ХАКЕР 04 /171/ 2013 ZeroAccess: полная биография99• %Windir%\installer\[UID];• %UserProfile%\local settings\application data\[UID] (для XPи ниже) или %UserProfile%\AppData\Local\[UID] (для Vistaи выше).Здесь UID — значение, генерируемое дроппером на основехеша MD5 от времени создания системного диска и отформатированное,чтобы выглядеть, как CLSID, например {e051c979-bddd-5d1f-8953-4b8c940e9b4d}. В указанных каталогах такжесоздаются подкаталоги U (для дополнительных модулей) и L(для временных файлов), а также файл @ (s32 или s64).Один файл n использует hijacking COM-объекта, ассоциированногос WMI, при этом модифицируется следующийключ реестра: HKCR\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32. Другой файл n используетдля запуска COM-объект в ветке: HKCU\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}.Модификация файла services.exe производилась интереснымобразом: в файл вставлялся небольшой шелл-код (w32или w64), который вызовом функции ZwQueryEaFile() подгружал«хвост» вредоносного кода (e32 или e64) из Extended Attributesфайла, предварительно сохраненного туда при помощиZwSetEaFile(). Функционал PE-файлов в компонентах e32 и e64был идентичен n32 и n64.Более поздние версии прячут свои файлы внутриC:\$Recycle.Bin или С:\RECYCLER (см. рис. 5), где создаетсякаталог с именем, соответствующим CLSID пользователя компьютера.Если были права администратора, создавался ещекаталог с CLSID S-1-5-18 (LOCAL_SYSTEM). Внутри создавалсяподкаталог со случайным именем, образованным хешированиемMD5 текущего времени. Для старта каждой из двух копийфайла n создавались следующие COM-объекты:• HKCU\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9} — для пользователя с ограниченнымиправами;• HKCR\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F} —для пользователя с правами администратора.Алгоритм работы P2P-сети претерпел некоторые изменения.В зависимости от разрядности ОС использовались разныепорты: 16464 и 16470 для x32, 16465 и 16471 для x64. Такимобразом, организовывалось четыре независимых P2P-сети,в каждой из которой использовался свой RSA-ключ, длина которогобыла увеличена с 512 до 1024 бит. Как и прежде, существовалоразделение по типу полезной нагрузки, порты 16464и 16465 использовались релизом с click fraud payload, 16470и 16471 — релизом с bitcoin miner payload.Если раньше P2P использовал только TCP, то теперь списокIP-адресов запрашивался по UDP, а список файлов (модулей)— по ТСР. Команда retL теперь возвращала только 16 значенийиз своего bootstrap list (противодействие «отравлению»bootstrap list), в этом же блоке данных передавались сведенияоб имеющихся модулях. В bootstrap list теперь указывалосьне абсолютное значение timestamp, а разница между текущимвременем и временем последнего обращения. Сведенияоб используемых модулях передавались в виде заголовка,состоящего из полей File name, Timestamp, Size. К заголовкуприлагалась цифровая подпись (хеш MD5, зашифрованныйзакрытым ключом злоумышленников). Подпись проверяласьна корректность при загрузке и сохранялась в ExtendedAttributes файла. Таким образом, криптографическая защитаот постороннего вмешательства имелась как на уровне содержимого(как и в предыдущей версии, ресурс «33333», содержащийцифровую подпись), так и на уровне имени, датысоздания и размера файла. Сам файл при передаче шифровалсяRC4-ключом. Для принудительной смены bootstrap listРис. 5. Расположениефайлов последнейверсииПример ZeroAccess хорошо иллюстрируетпринцип бритвы Оккама — не умножайтесущности без надобности, или, попростому,— не усложняйтебыла введена команда NewL, которая могла использоватьсяпри обнаружении злоумышленниками sinkhole антивируснойкомпании в списке пиров, для восстановления status quo. Всеуказанные отличия от реализации P2P предыдущей версиибыли призваны устранить потенциальную возможность нарушитьработу ботнета.Состав загружаемых модулей различается для разных версий.Например, версия click fraud с портом P2P 16464 обычновыкачивает три файла:• 800000cb.@ — модуль click fraud, регистрирует класс с именемz00clicker3;• 00000001.@ — dll, используемая в качестве хранилища ресурсов(данные для 800000cb.@);• 80000000.@ — модуль трекинга, предназначен для сборастатистики заражений, информация о зараженной системеотправляется на livecounter.co/count.php.Версия с bitcoin miner использовала несколько иной набормодулей:• 000000cb.@ — модуль click fraud;• 80000000.@ — модуль трекинга;• 80000032.@, 80000064.@ — модуль bitcoin miner (x32 и x64);• 00000004.@, 00000008.@ — dll, используемая в качестве хранилищаресурсов (данные для 80000032.@ и 80000064.@).Кроме указанных, отмечена загрузка модулей перенаправленияпоисковых запросов, рассылки спама и загрузки произвольныхфайлов.ЗАКЛЮЧЕНИЕПример ZeroAccess хорошо иллюстрирует принцип бритвыОккама — не умножайте сущности без надобности, или, попростому,— не усложняйте. Начавшись как технологичнаяразработка и потеряв в ходе своей эволюции руткит-составляющую,ZeroAccess тем не менее успешно продолжает существоватьи даже обзавелся такой модной фичей, как P2P.По оценкам компании Sophos, количество заражений компьютеровботом ZeroAccess на конец августа 2012-го составлялоболее 9 миллионов, а активных ботов — около 1 миллиона.В отчете лаборатории Kindsight Security «Malware Report»за третий квартал 2012 года говорится уже о 2,2 миллиона зараженныхсистем, из которых 685 тысяч (31%) находятся в США.По мнению экспертов, ботнет на основе ZeroAccess был самымактивным в 2012 году.В свете этих цифр, думаю, уже ни у кого не осталось сомнений,что ZeroAcces — это не ноль без палочки. Пусть Ring0 уже и не используется, но «Access» к вычислительным мощностямничего не подозревающих пользователей продолжаетприносить злоумышленникам кучу вечнозеленых американскихбумажек. А это значит, антивирусным компаниям есть над чемработать. Читателям же хочется в очередной раз напомнить —спасение вашего железного друга от троянской напасти полностьюна вашей совести, будьте бдительны.
100MalwareБРАТСТВОБратство НОДНОДАлександр Лозовскийlozovsky@real.xakep.ruЗАКУПАЕМСЯЛично я по-прежнему предпочитаю покупать ПО на дисках и в большихкоробках. Так я по крайней мере чувствую, за что именно я плачуденьги :). Однако двадцать первый век диктует свои требования,он заставляет вендоров идти на поводу у компьютерных маньяков,которые хотят покупать софт (и даже игрушки!) через эти ваши интернеты.А еще современный пользователь хочет быстроты, дешевизны,удобства и гибкости настройки. И ESET дает ему все перечисленное.План действий таков.В интернете ты покупаешь базовый пакет ESET NOD32 Start Pack.Стоит он дешевле даже малоизвестных антивирусов (менее 1000 рублей),а содержит в себе антивирус, антишпион, антифишинг и контрольсъемных носителей (кстати, крутая штука: может создаватьбелые и черные списки носителей по серийному номеру) и по своейсути является «антивирусом» (не содержит файрвола). Купив однулицензию, ты внезапно порадуешься ее кросс-платформенности —после активации лицензии ESET Антивирус или ESET Smart Securityможно дополнительно загрузить и установить продукты ESETCybersecurity для OS Х и ESET Антивирус для Linux Desktop. Лицензияраспространяется на защиту всех операционных систем (MSWindows, ОС X и Linux), вне зависимости от того, установлены онина одном устройстве или на разных.А что делать, если вдруг базовой защиты тебе окажется недостаточно?Идти в магазин за большой блестящей коробкой с надписьюESET Smart Security? Да! Хотя погоди, товарищи из ESET передают,что ходить никуда не надо, даже если очень хочется. Новый сервис«Управление лицензиями» позволяет апгрейдить «антивирус»до Security с доплатой или пропорциональным уменьшением временидействия лицензии. На аналогичных условиях можно докупитьESET Mobile Security и вообще совершить любую метаморфозус продуктами от ESET на вполне человеческих условиях.УСТАНОВКАТут все традиционно:useradd nod32 && groupadd nod32cd nod32-0.86.1/./configure –prefix=/usrmake installchown –R nod32 /usr/share/nod32ШЕСТАЯ ВЕРСИЯ АНТИВИРУСНОЙЛИНЕЙКИ ОТ ESET: START PACK,НОВАЯ СИСТЕМА ЛИЦЕНЗИРОВА-НИЯ И МНОГОЕ ДРУГОЕЗа что мы любим NOD32? Во-первых, АлександрМатросов из ESET пишет нам отличныестатьи. Во-вторых, Александр не читает этурубрику и поэтому никогда не узнает о том,что мы иногда прогуливаем гонорары. Нуи в-третьих, антивирусное ПО от ESET — самопо себе отличное. Посмотрим, что же принесланам его новая, шестая версия.Хотя нет, погоди, это же мои фантазии. На самом деле установкапод винду ничем не примечательна — запускаем, на все соглашаемся,решаем, нужно ли нам участвовать в облачном сервисе от ESET,опять соглашаемся. Это все, ребута по окончанию установки не требуется.РАБОТАЕМNOD32 всегда был знаменит быстротой, малозаметностью и минималистичныминтерфейсом. Все эти достоинства сохранились в новойверсии программы. Например, пользователей ноутов он теперьможет порадовать не только скоростью работы, но и автоматическимпереходом в режим экономии энергии. Разумеется, антивирусв полной мере выполняет все возложенные на него задачи: определяети блокирует опасные ссылки в интернете, проверяет все скачиваемыефайлы на наличие вредоносного кода и шпионского ПО,а кроме того, оснащен модулем «Безопасность в социальных сетях»,сканирует учетную запись в Facebook и проверяет все сообщенияна наличие вредоносных ссылок и вирусов.ЗАКЛЮЧЕНИЕНовая версия NOD32 достойна того, чтобы ее купить, — особеннона ноутбук, нетбук или компьютер твоей подружки (охраняет компьютертихо, не отягощая пользователя лишними вопросами). А гибкаясистема лицензирования поможет, если ты вдруг надумаешьрасширить защиту или обеспечить свой андроидофон антивирусом.Удачи!