Эволюция DGA на примере трояна Matsnu

Исследователи компании Seculert обнаружили новую версию трояна Matsnu (также известную как Trustezeb), алгоритм генерации доменных имен (domain generation algorithm, DGA) которой использует довольно любопытную технику для обхода средств защиты безопасности.

DGA-алгоритм Matsnu генерирует 24-символьные доменные имена, основанные на комбинации существительных и глаголов (существительное – глагол – существительное — глагол). Используемые слова могут быть введены злоумышленником или взяты из предопределенного списка, содержащего 878 существительных и 444 глагола.

По словам технического директора и сооснователя Seculert Авива Раффа (Aviv Raff), используя данный метод, злоумышленники пытаются обойти фонетические алгоритмы машины, которые отслеживают бессмысленные доменные имена, например, ldfjdiehwslgoeh.com.

DGA-алгоритм является реконфигурабельным, поскольку позволяет киберпреступникам установить количество ежедневно генерируемых доменных имен и время, через которое ранее сгенерированное доменное имя может быть использовано повторно.

После инфицирования машины, троян соединяется с C&C-сервером посредством отправки HTTP-запроса. По команде C&C-сервера вредонос собирает информацию о системе, в том числе имени пользователя, имени компьютера в сети, версии операционной системы, о центральном и графическом процессорах, виртуальных машинах, а также языках, драйверах и установленных средствах защиты безопасности.

Кроме того, по инструкции C&C-сервера троян может выполнять различные действия. Например, самоудалиться, самомодифицироваться, обновить предопределенный список доменных имен или загрузить файлы. Как пояснили специалисты Seculert, коммуникации между инфицированным компьютером и командным сервером обфусцированы, а все пересылаемые данные сжаты и зашифрованы.

По словам экспертов, Matsnu использует новый алгоритм с июня 2014 года. Наибольшее количество инфицирований этим трояном было зафиксировано в Германии (89%). Немного меньше – в Австрии и Польше.

Источник: securitylab.ru

Реклама
Запись опубликована в рубрике News. Добавьте в закладки постоянную ссылку.

Добавить комментарий

Заполните поля или щелкните по значку, чтобы оставить свой комментарий:

Логотип WordPress.com

Для комментария используется ваша учётная запись WordPress.com. Выход / Изменить )

Фотография Twitter

Для комментария используется ваша учётная запись Twitter. Выход / Изменить )

Фотография Facebook

Для комментария используется ваша учётная запись Facebook. Выход / Изменить )

Google+ photo

Для комментария используется ваша учётная запись Google+. Выход / Изменить )

Connecting to %s