close

Festi

Vai alla navigazione Vai alla ricerca

Festi  è un rootkit e una botnet basati su di esso. Funziona con i sistemi operativi della famiglia Windows. Festi è giunto per la prima volta all'attenzione delle aziende coinvolte nello sviluppo e nella vendita di programmi antivirus nell'autunno del 2009 [1] [2] . All'epoca si stimava che la botnet includesse circa 25.000 macchine infette e inviasse circa 2,5 miliardi di email ogni giorno [3] [4] [5] . Festi è stato più attivo nel 2011-2012 [6] [7] . Stime più recenti dell'agosto 2012 riflettono il fatto che la botnet ha inviato spam da 250.000 indirizzi IP univoci, un quarto del milione di indirizzi che inviano tutto lo spam nel mondo [8] . La funzionalità principale della botnet Festi è l'invio di spam e l'esecuzione di attacchi denial of service distribuiti [9] .

Modalità di distribuzione

La distribuzione viene effettuata utilizzando lo schema PPI [10] (Pay-Per-Install). Per impedire il rilevamento da parte degli antivirus, il bootloader è distribuito in forma crittografata [10] , il che rende difficile eseguire ricerche di firme .

Architettura

Abbiamo ottenuto tutti i dati sull'architettura botnet dalla ricerca della società antivirus ESET [10] [11] [12] . Il bootloader scarica e installa un bot , che è un driver in modalità kernel che si aggiunge all'elenco dei driver che iniziano con il sistema operativo. Solo una parte del bot è memorizzata sul disco rigido, che è responsabile della comunicazione con il centro di comando e del caricamento dei moduli. Dopo l'avvio, il bot accede periodicamente al centro di comando per ottenere la configurazione, caricare i moduli e le attività necessarie per l'esecuzione.

Moduli

Da una ricerca condotta dagli specialisti della società di antivirus ESET, è noto che Festi ha almeno due moduli. Uno di questi è destinato all'invio di spam (BotSpam.dll), l'altro all'esecuzione di attacchi denial of service distribuiti (BotDoS.dll). Il modulo di attacco denial of service distribuito supporta i seguenti tipi di attacchi, vale a dire: TCP flood, UDP flood, DNS flood, HTTP(s) flood e packet flood con un numero casuale nel numero di protocollo utilizzato.

Un esperto di Kaspersky Lab che ha studiato la botnet ha concluso che ci sono più moduli, ma non tutti vengono utilizzati. Il loro elenco include un modulo per implementare un server socks (BotSocks.dll) con protocolli TCP e UDP, un modulo per visualizzare e gestire in remoto il computer di un utente (BotRemote.dll), un modulo che implementa la ricerca sul disco di un computer remoto e sulla rete locale (BotSearch.dll ) a cui è connesso il computer remoto, moduli grabber per tutti i browser attualmente conosciuti (BotGrabber.dll).

I moduli non vengono mai archiviati sul disco rigido, rendendoli quasi impossibili da rilevare.

Rete

Il bot utilizza la tecnologia client-server e implementa il proprio protocollo di interazione di rete con il centro di comando per il funzionamento, che viene utilizzato per ricevere la configurazione della botnet, scaricare i moduli e anche per ricevere attività dal centro di comando e notificare al centro di comando il loro completamento. I dati sono crittografati, il che impedisce la determinazione del contenuto del traffico di rete.

Protezione contro il rilevamento e il debug

Una volta installato, il bot disabilita il firewall di sistema , nasconde il driver in modalità kernel e le chiavi del registro di sistema , necessarie per il caricamento e il funzionamento, protegge se stesso e le chiavi di registro dall'eliminazione. La rete è di basso livello, il che consente di aggirare facilmente i filtri di rete del software antivirus. L'uso dei filtri di rete è monitorato per impedirne l'installazione. Il bot controlla se è in esecuzione su una macchina virtuale , in caso di esito positivo del controllo interrompe la sua attività. Festi verifica periodicamente la presenza di un debugger e sa come rimuovere i breakpoint .

Approccio allo sviluppo orientato agli oggetti

Festi è costruito utilizzando una tecnologia di sviluppo software orientata agli oggetti , il che rende molto difficile il reverse engineering della ricerca e rende il bot facilmente trasportabile su altri sistemi operativi.

Gestione

Tutta la gestione della botnet Festi avviene tramite interfaccia web e avviene tramite browser.

Chi c'è dietro i Festi

Secondo gli esperti della società antivirus ESET [12] , il giornalista e blogger americano, lo specialista di sicurezza informatica Brian Krebs [13] , secondo il giornalista americano del quotidiano The New York Times Andrew Kramer [14] , nonché da fonti vicino ai servizi speciali russi, l'architetto e sviluppatore della botnet Festi, l'hacker russo Igor Artimovich .

Conclusione

In conclusione, possiamo affermare che la botnet Festi è stata una delle botnet più potenti per l'invio di spam e l'esecuzione di attacchi denial of service distribuiti. I principi con cui è costruita la botnet Festi massimizzano la durata del bot nel sistema e impediscono che il bot venga rilevato dal software antivirus e dai filtri di rete. Il meccanismo del modulo consente di espandere le funzionalità della botnet in qualsiasi direzione creando e caricando i moduli necessari per raggiungere vari obiettivi, mentre l'approccio allo sviluppo orientato agli oggetti rende difficile lo studio della botnet utilizzando metodi di reverse engineering e rende possibile trasferire il bot su altri sistemi operativi grazie a una chiara distinzione tra funzionalità specifiche per un sistema operativo specifico e il resto della logica del bot. Potenti sistemi anti-rilevamento e debugging rendono il bot Festi praticamente invisibile e invulnerabile. Il sistema di binding e l'utilizzo di centri di comando di riserva consente di riprendere il controllo della botnet dopo un cambio di centro di comando. Festi non è un tipico esempio di malware , poiché gli autori hanno preso molto sul serio il processo di sviluppo. Possiamo tranquillamente affermare che il bot Festi è un capolavoro tra i software dannosi [15] .

Vedi anche

Note

  1. ↑ Lewis, Daren Festi La botnet diventa una delle principali botnet di spamming . Symantec Connect (5 novembre 2009). Estratto il 4 dicembre 2013 . Archiviato dall'originale il 18 aprile 2018.
  2. ↑ Appare la botnet di Kaplan, Dan Festi . Rivista SC (6 novembre 2009). Data di accesso: 4 dicembre 2013 Archiviata dall'originale il 4 marzo 2016.
  3. ^ Jackson Higgins, Kelly Nuova botnet di spamming in ascesa - Dark Reading . darkreading (06 novembre 2009). Estratto il 15 dicembre 2013 . Archiviato dall'originale il 7 agosto 2012.
  4. ^ Wattanajantra, Asavin 'Festi' sta crescendo fino a diventare un peso massimo dello spambot . ITPRO (6 novembre 2009). Estratto il 4 dicembre 2013 . Archiviato dall'originale il 18 aprile 2018.
  5. ↑ Botnet Festi in forte aumento (downlink) . SPAMfighter (18 novembre 2009). Data di accesso: 4 dicembre 2013 Archiviata dall'originale il 21 dicembre 2014. 
  6. ^ Kirk, Jeremy Spamhaus dichiara morto Grum Botnet, ma Festi aumenta . PC World (16 agosto 2012). Estratto il 4 dicembre 2013 . Archiviato dall'originale il 1 luglio 2015.
  7. ↑ Kirk, Jeremy Spamhaus dichiara la botnet Grum morta, ma Festi aumenta (link non disponibile) . PC Advisor (17 agosto 2012). Data di accesso: 4 dicembre 2013 Archiviata dall'originale il 15 dicembre 2013. 
  8. ^ Saarinen, la botnet di Juha Festi fa aumentare i volumi di spam . ITNews (20 agosto 2012). Estratto il 4 dicembre 2013 . Archiviato dall'originale il 30 giugno 2015.
  9. ↑ La botnet Festi aiuta a lanciare l'attacco 'DDoS' denial-of-service . Stop agli hacker (13 giugno 2012). Data di accesso: 4 dicembre 2013 Archiviata dall'originale il 15 dicembre 2013.
  10. ↑ 1 2 3 Matrosov, Aleksandr King of Spam: Analisi botnet Festi . ESET (11 maggio 2012). Estratto il 4 dicembre 2013 . Archiviato dall'originale il 18 aprile 2018.
  11. ↑ Rodionov, Eugene Festi analisi e indagine sulla botnet (link inaccessibile) . ESET (2011). Archiviato dall'originale il 15 dicembre 2013. 
  12. ↑ 1 2 Matrosov, Aleksandr Festi Analisi e Indagine Botnet . AVAR 2012 (12-14 novembre 2012). Archiviato dall'originale il 15 dicembre 2013.
  13. ^ Krebs, Brian Chi è il botmaster di "Festi"? . Krebs sulla sicurezza (12 giugno 2012). Estratto il 4 dicembre 2013 . Archiviato dall'originale il 18 aprile 2018.
  14. ^ Kramer, l'attacco online di Andrew porta a sbirciare nella tana dello spam . Il New York Times (2 settembre 2013). Estratto il 28 settembre 2017 . Archiviato dall'originale il 18 aprile 2018.
  15. ↑ Festi: malizioso e incorporeo . Rivista Xakep (settembre 2012). Data di accesso: 15 dicembre 2013 Archiviata dall'originale il 15 dicembre 2013.

Collegamenti

Fonte - https://ru.wikipedia.org/w/index.php?title=Festi&oldid=122164734