close

Rustock

Aller à la navigation Aller à la recherche

Rustock  est un rootkit et un botnet basé sur celui-ci. Rustock est apparu en 2006 [1] . Le botnet a fonctionné jusqu'en mars 2011 [2] .

Les PC avec Microsoft Windows 32 bits ont été touchés . Le spam était envoyé à partir d'ordinateurs infectés, la vitesse de sa distribution pouvait atteindre 25 000 messages par heure [3] [4] . Le botnet Rustock contenait entre 150 000 et 2 millions d'ordinateurs infectés.

Histoire

Kaspersky Lab pense que la diffusion à grande échelle du virus Rustock a commencé le 10 septembre 2007 [5] .

En mai 2008, le virus a été découvert. Au bout de quelques jours, il a été reconnu par plusieurs antivirus [5] .

En 2008, en raison de l'arrêt temporaire de l'hébergement McColo ( San Jose, Californie ), qui avait installé des serveurs de contrôle de botnet, l'activité des botnets a diminué [6] .

Le botnet a été détruit le 16 mars 2011 [2] dans le cadre d'une opération conjointe "b107" [7] menée par Microsoft , des agents fédéraux chargés de l'application des lois, FireEye et l'Université de Washington [8] .

En mai 2011 [9] Microsoft a déclaré qu'une personne utilisant le surnom "Cosma2k" [10] était impliquée dans le travail du botnet . Vraisemblablement, certains des organisateurs du botnet se trouvaient en Russie [11] .

En juin 2011, Microsoft a fait appel des fondateurs de Rustock dans les journaux Delovoy Peterburg et Moskovskiye Novosti et leur a notifié leur procès devant le tribunal de district de l'État de Washington [12] .

Le 18 juillet 2011, une importante récompense monétaire a été annoncée pour des informations sur les créateurs du virus [12] .

Aménagement intérieur

Chaque ordinateur infecté accédait régulièrement aux serveurs de contrôle. L'interaction avec eux s'est faite à l'aide du protocole HTTP et de requêtes de type POST. Toutes les données ont en outre été cryptées, selon Symantec , à l'aide de l' algorithme RC4 . La session d'échange comportait deux phases : l'échange des clés et la transmission des instructions. L'échange de clé a eu lieu lors de l'accès au script login.php (le client a envoyé 96 octets, la réponse du serveur était de 16 octets). Les instructions ont été passées par le script data.php [13] .

Le fichier virus se compose de [13] :

  • Module de désobfucation primaire de taille 0x4AF octets
  • Rootkit du chargeur de démarrage ( 0x476 octets)
  • Codes de rootkit.
  • Module d'envoi de spam.

Le chargeur de rootkit utilise les fonctions ExAllocatePool, ZwQuerySystemInformation, ExFreePool, stricmp de ntoskrnl.exe [13] .

Variantes

3 variantes du virus Rustock ont ​​également été trouvées :

  • Variante Rustock.С1 - créée le 10 septembre 2007.
  • Variante Rustock.С2 - Créée le 26 septembre.
  • Variantes C3 et C4 - créées les 9 et 10 octobre 2007.

Remarques

  1. ↑ Chuck Miller. Le botnet Rustock spamme à nouveau (lien indisponible) . SC Magazine US (25 juillet 2008). Récupéré le 21 avril 2010. Archivé de l'original le 15 août 2012. 
  2. ↑ 12 Hickins , Michael . Prolific Spam Network Is Unplugged , Wall Street Journal (17 mars 2011). Archivé de l'original le 22 juillet 2011. Consulté le 17 mars 2011.
  3. ↑ Real Viagra sales power global spam flood - Techworld.com (downlink) . news.techworld.com. Récupéré le 21 avril 2010. Archivé de l'original le 15 août 2012. 
  4. ↑ Rustock : Sécurité M86 . Date d'accès : 13 janvier 2012. Archivé de l'original le 25 mai 2012.
  5. ↑ 1 2 « Rustock et tout-tout-tout » (securelist.com)
  6. ↑ https://www.theregister.co.uk/2008/11/18/short_mccolo_resurrection/ Archivé le 13 novembre 2017 chez le fournisseur de réseau Wayback Machine Dead arme le botnet Rustock de l'au-delà. McColo appelle la Russie pendant que le monde dort]
  7. ↑ Williams, Jeff Operation b107 - Rustock Botnet Takedown (lien indisponible) . Récupéré le 27 mars 2011. Archivé de l'original le 15 août 2012. 
  8. ↑ Wingfield, Nick . Arrêt du réseau anti-spam , Wall Street Journal (18 mars 2011). Archivé de l'original le 20 mars 2011. Consulté le 18 mars 2011.
  9. ↑ Rustock Botnet Suspect Recherche un emploi chez Google - Krebs on Security . Récupéré le 13 janvier 2012. Archivé de l'original le 7 janvier 2012.
  10. ↑ Microsoft confie l'affaire du botnet Rustock au FBI Archivé le 13 novembre 2011 sur la Wayback Machine "Selon CNET, Cosma2k est le meneur du botnet Rustock"
  11. ↑ "Microsoft : les traces des organisateurs du botnet Rustock mènent à la Russie" Copie d'archive datée du 4 mars 2016 à la Wayback Machine // CyberSecurity.ru "la société a signalé qu'au moins une partie des opérateurs de Rustock sont situés en Russie."
  12. ↑ 1 2 Microsoft promet 250 000 $ pour les données du "bot russe" . Date d'accès : 13 janvier 2012. Archivé de l'original le 6 novembre 2011.
  13. ↑ 1 2 3 Une étude de cas du Rootkit Rustock et du Spam Bot // HotBots

Liens

Source - https://ru.wikipedia.org/w/index.php?title=Rustock&oldid=122388851