Hakerzy wykorzystują Twittera do zarządzania botnetami
Jose Nazario - ekspert do spraw bezpieczeństwa IT, pracownik firmy Arbor Networks - ustalił, że hakerzy wykorzystują Twittera do przesyłania komend zainfekowanym przez złośliwe oprogramowanie komputerom. W ten sposób sterują botnetami.
Jose Nazario - ekspert do spraw bezpieczeństwa IT, pracownik firmy Arbor Networks - ustalił, że hakerzy wykorzystują Twittera do przesyłania komend zainfekowanym przez złośliwe oprogramowanie komputerom. W ten sposób sterują botnetami.
Nazario znalazł w Twitterze konto o nazwie "upd4t3". Publikowano tam z pozoru bezsensowne ciągi liter i cyfr. Po ich rozszyfrowaniu okazało się, że we wpisach ukryto linki, które zarażone pecety wykorzystywały do aktualizowania zainstalowanych w nich koni trojańskich i innych robaków.
Nazario dokonał konwersji jednego postu w oparciu o kod base64, który służy do zapisywania ciągu bajtów za pomocą liczb od 0 do 63. Ciąg "aHR0cDovL2JpdC5seS9SNlNUViAgaHR0cDovL2JpdC5seS8yS29Ibw==" przyjął postać "hxxp://bit.ly/R6STV hxxp://bit.ly/2KoHo" (NSFW).
Inny wpis udało się odczytać w ten sposób:
[cytat]$ unzip out.qqq
Archive: out.qqq
inflating: gbpm.dll
inflating: gbpm.exe
$ openssl md5 gbpm.*
MD5(gbpm.dll)= ceb8d7fd74da0a187cc39ced4550ddb4
MD5(gbpm.exe)= a5cc8140e783190efb69d38c2be4393f[/cytat]
Nazario rozpakował plik gbpm.dll i otrzymał następujący rezultat:
[cytat]$ upx2 -d gbpm.dll.upx
Ultimate Packer for eXecutables
Copyright (C) 1996,1997,1998,1999,2000,2001,2002,2003,2004,2005,2006
UPX 2.02 Markus Oberhumer, Laszlo Molnar & John Reiser Aug 13th 2006
.
File size Ratio Format Name
263680 [/cytat]
Ustalił na tej podstawie, że celem aplikacji jest kradzież prywatnych danych i przesłanie ich na kilka wyszczególnionych przez hakera serwerów. Ekspert ostrzegł, że tylko co drugi program antywirusowy rozpoznaje oprogramowanie botnetowe, aktualizacje jest w stanie wykryć jedynie 22% aplikacji.
Widać więc, że hakerzy polubili Twittera. Dlaczego? Bo jest to wygodne, tanie i bezpieczne narzędzie do kontrolowania botnetów. Zapewnia anonimowość, większość użytkowników serwisu i tak nie zorientuje się, że dane konto jest źródłem złośliwego kodu.
Źródło: Arbor Networks
