|
RustockRustock — руткит и ботнет, созданный на его базе. Rustock появился в 2006 году[1]. Ботнет функционировал до марта 2011 года[2]. Поражались ПК с 32-битной ОС Microsoft Windows. С заражённых компьютеров рассылался спам, скорость его рассылки могла достигать 25 тыс. сообщений в час[3][4]. Ботнет Rustock содержал от 150 тыс. до 2 миллионов заражённых компьютеров. ИсторияЛаборатория Касперского полагает, что широкое распространение вируса Rustock началось 10 сентября 2007 года[5]. В мае 2008 года вирус был обнаружен. Через несколько дней он распознавался несколькими антивирусами[5]. В 2008 в связи с временным отключением хостинга McColo (Сан-Хосе, Калифорния), у которого была установлена часть серверов управления ботнетом, активность ботнета уменьшалась[6]. Ботнет был разрушен 16 марта 2011[2] в рамках совместной операции «b107»[7], проведённой Microsoft, агентами федеральных правоохранительных органов, FireEye, и университетом Вашингтона[8]. В мае 2011[9] года Microsoft заявляла, что к работе ботнета был причастен человек, использовавший никнейм «Cosma2k»[10]. Предположительно, часть организаторов ботсети находилась в России[11]. В июне 2011 года Microsoft разместила в газетах «Деловой Петербург» и «Московские новости» обращение к создателям Rustock и уведомила их о судебном процессе над ними в окружном суде штата Вашингтон[12]. За информацию о создателях вируса 18 июля 2011 года было объявлено крупное денежное вознаграждение[12]. Внутреннее устройствоКаждый заражённый компьютер регулярно обращался к управляющим серверам. Взаимодействие с ними происходило при помощи протокола HTTP и запросов типа POST. Все данные дополнительно шифровались, по мнению компании Symantec при помощи алгоритма RC4. Сеанс обмена состоял из двух фаз: обмен ключами и передача инструкций. Обмен ключами происходил при обращении с скрипту login.php (клиент посылал 96 байт, отклик сервера 16 байт). Инструкции передавались скриптом data.php[13]. Файл вируса состоит из[13]:
Загрузчик руткита использует функции ExAllocatePool, ZwQuerySystemInformation, ExFreePool, stricmp из ntoskrnl.exe[13]. ВариацииБыли найдены также 3 вариации вируса Rustock:
Примечания
Ссылки
|
||||||||||||||||||
