Phát hiện mới: Botnet nhận chỉ thị từ hình ảnh JPEG « Cntt « CongDongThongTin.Com – Cộng Đồng ThôngTin

Phát hiện mới: Botnet nhận chỉ thị từ hình ảnh JPEG

Bùi Anh Tuấn, ngày 4-10-2009. Chuyên mục: CNTT, Tin Bảo Mật, Tin CNTT, Tin Mới Nhất. 112 Lượt xem

Các nhà nghiên cứu bảo mật vừa phát hiện chủ nhân của một bonet có thể gửi lệnh đến các máy tính bị kiểm soát thông qua các file hình JPEG. Kỹ thuật mới này nhằm che giấu traffic của malware thoát khỏi sự phát hiện của các phần mềm “quét” mạng.

Phương pháp này bị phát hiện khi Jason Milletary, một nhà nghiên cứu bảo mật của SecureWorks, đang phân tích một botnet có tên gọi Monkif hoặc DlKhora. Botnet này hoạt động như một kênh phát tán malware.

hình, ảnh, image, images, pic, pictures, pictures, screenshot, photo, Botnet Gets Instructions From Image Files 2 Phát hiện mới: Botnet nhận chỉ thị từ hình ảnh JPEG, congdongthongtin.com Các dịch vụ phát tán malware thường phổ biến trên thị trường chợ đen, nhà cung cấp dịch vụ này được trả một ít tiền cho mỗi máy tính bị lây nhiễm malware. Người tạo nên các trojan download này phải đảm bảo sự hoạt động của chúng không bị các phần mềm quét phát hiện, do đó phải sử dụng các kỹ thuật chống phát hiện.

Milletary lưu ý rằng, để tăng cường hiệu quả vô hiệu hóa các phần mềm chống virus và tường lửa, botnet này còn che giấu traffic Internet của nó dưới dạng chuyển tải file JPEG. Máy chủ điều khiển và chỉ thị thay đổi header HTTP Content-Type thành ‘image/jpeg’ và mở đầu các chỉ thị bằng một header JPEG 32-byte giả mạo.

Khi file JPEG giả dạng được tải về máy tính, bot sẽ tách ra khỏi header và bắt đầu giải mã phần còn lại vốn được mã hóa XOR bằng một byte đơn 0×4. Các chỉ thị được SecureWorks theo dõi, ra lệnh cho bot cài một trojan click-gian-lận xuất hiện dưới dạng một BHO-Browser Helper Object.

Botnet không khó khăn khi nhồi nhét các chỉ thị để có được kích thước thông thường của một file JPEG. Ngoài ra, dữ liệu cũng không được phân tích đối với một file JPEG thông thường. Những đặc điểm này có thể giúp đưa ra phương pháp chung để phát hiện traffic bằng cách nhận diện các dữ liệu hình ảnh trá hình.

Theo nghiên cứu về “kinh tế thế giới ngầm” của Kaspersky, người phát triển adware trả tiền cho chủ nhân bonet khoảng 0,03-1,5 USD/cài đặt. Chi phí cài đặt malware vào máy tính đã bị xâm nhập còn tùy vào vị trí địa lí, ví dụ đối với các hệ thống ở Trung Quốc giá khoảng 3 USD, còn với các máy tính ở Mỹ giá có thể lên đến 120 USD.

softpedia

0 Bài này HAY !