Rustock

Den aktuella versionen av sidan har ännu inte granskats av erfarna bidragsgivare och kan skilja sig väsentligt från versionen som granskades den 10 januari 2020; kontroller kräver 8 redigeringar .

Rustock  är ett rootkit och ett botnät baserat på det. Rustock dök upp 2006 [1] . Botnätet fungerade fram till mars 2011 [2] .

Datorer med 32-bitars Microsoft Windows påverkades . Spam skickades från infekterade datorer, hastigheten på dess distribution kunde nå 25 tusen meddelanden per timme [3] [4] . Rustocks botnät innehöll mellan 150 000 och 2 miljoner infekterade datorer.

Historik

Kaspersky Lab tror att den utbredda spridningen av Rustock-viruset började den 10 september 2007 [5] .

I maj 2008 upptäcktes viruset. Efter några dagar kändes det igen av flera antivirus [5] .

2008, på grund av den tillfälliga avstängningen av McColo hosting ( San Jose, Kalifornien ), som hade några botnätkontrollservrar installerade, minskade botnätaktiviteten [6] .

Botnätet förstördes den 16 mars 2011 [2] som en del av en gemensam operation "b107" [7] utförd av Microsoft , federala brottsbekämpande agenter, FireEye och University of Washington [8] .

I maj 2011 [9] uppgav Microsoft att en person som använde smeknamnet "Cosma2k" [10] var involverad i arbetet med botnätet . Förmodligen fanns några av organisatörerna av botnätet i Ryssland [11] .

I juni 2011 överklagade Microsoft grundarna av Rustock i tidningarna Delovoy Peterburg och Moskovskiye Novosti och underrättade dem om deras rättegång i distriktsdomstolen i delstaten Washington [12] .

Den 18 juli 2011 tillkännagavs en stor monetär belöning för information om skaparna av viruset [12] .

Internt arrangemang

Varje infekterad dator fick regelbundet åtkomst till kontrollservrarna. Interaktion med dem skedde med hjälp av HTTP-protokollet och förfrågningar av typen POST. All data krypterades dessutom, enligt Symantec , med hjälp av RC4-algoritmen . Utbytessessionen bestod av två faser: utbyte av nycklar och överföring av instruktioner. Nyckelutbytet ägde rum vid åtkomst till login.php-skriptet (klienten skickade 96 byte, serversvaret var 16 byte). Instruktionerna skickades av skriptet data.php [13] .

Virusfilen består av [13] :

Rootkit - laddaren använder funktionerna ExAllocatePool, ZwQuerySystemInformation, ExFreePool, stricmp från ntoskrnl.exe [13] .

Variationer

3 varianter av Rustock-viruset har också hittats:

Anteckningar

  1. ↑ Chuck Miller. Rustocks botnät spammar igen (otillgänglig länk) . SC Magazine US (25 juli 2008). Hämtad 21 april 2010. Arkiverad från originalet 15 augusti 2012. 
  2. ^ 12 Hickins , Michael . Prolific Spam Network Is Unplugged , Wall Street Journal (17 mars 2011). Arkiverad från originalet den 22 juli 2011. Hämtad 17 mars 2011.
  3. ↑ Real Viagra säljkraft global spamflod - Techworld.com (nedlänk) . news.techworld.com. Hämtad 21 april 2010. Arkiverad från originalet 15 augusti 2012. 
  4. ↑ Rustock: M86 Security . Tillträdesdatum: 13 januari 2012. Arkiverad från originalet den 25 maj 2012.
  5. ↑ 1 2 "Rustock och allt-alla-alla" (securelist.com)
  6. ↑ https://www.theregister.co.uk/2008/11/18/short_mccolo_resurrection/ Arkiverad 13 november 2017 hos Wayback Machine Dead-nätverksleverantören beväpnar Rustock botnet från det härefter. McColo ringer Ryssland medan världen sover]
  7. ↑ Williams, Jeff Operation b107 - Rustock Botnet Takedown (länk ej tillgänglig) . Hämtad 27 mars 2011. Arkiverad från originalet 15 augusti 2012. 
  8. ↑ Wingfield, Nick . Spam Network Shut Down , Wall Street Journal (18 mars 2011). Arkiverad från originalet den 20 mars 2011. Hämtad 18 mars 2011.
  9. ↑ Rustock Botnet-misstänkt sökte jobb på Google-Krebs on Security . Hämtad 13 januari 2012. Arkiverad från originalet 7 januari 2012.
  10. ↑ Microsoft överlämnar Rustock botnät-fallet till FBI Arkiverad 13 november 2011 på Wayback Machine "Enligt CNET är Cosma2k huvudledaren för Rustock-botnätet"
  11. ↑ "Microsoft: spår av arrangörerna av Rustock-botnätet leder till Ryssland" Arkivkopia daterad 4 mars 2016 på Wayback Machine // CyberSecurity.ru "företaget rapporterade att åtminstone en del av Rustock-operatörerna är belägna i Ryssland."
  12. ↑ 1 2 Microsoft lovar 250 000 dollar för "ryska bot"-data . Datum för åtkomst: 13 januari 2012. Arkiverad från originalet den 6 november 2011.
  13. ↑ 1 2 3 En fallstudie av Rustock Rootkit och Spam Bot // HotBots

Länkar

 Botnät