Тайна Duqu: часть шестая

В последние несколько недель мы занимались исследованием инфраструктуры серверов управления, используемых Duqu. Широко известен факт, что первоначально обнаруженные образцы Duqu использовали C&C в Индии, размещенный на площадке хостинговой компании WebWerks. Впоследствии был выявлен еще один сервер Duqu — базирующийся в… Прочитать полный текст статьи

Легальные буткиты

Предисловие Теоретические возможности Случай 1. Чтение и запись памяти Случай 2. Загрузка неподписанных драйверов Случай 3. Классические анти-руткиты Случай 4. Сокрытие MBR От теории к практике Comodo Time Machine Norton GoBack PC Back Pro и Rollback Rx RestoreIT Синдром сокрытия… Прочитать полный текст статьи

Тайна Duqu: часть пятая

Драйвер Драйвер является первым компонентом Duqu, который загружается в систему. По нашим данным, драйвер и другие компоненты этой вредоносной программы устанавливаются с помощью дроппера, использующего 0-day уязвимость (CVE-2011-3402). Драйвер прописывается в реестре по следующему пути: HKLMSystemCurrentControlSetServices. Конкретное имя ключа реестра… Прочитать полный текст статьи

Тайна Duqu: Привет, «Mr. B. Jason» и «Dexter»

Как мы сообщали ранее, в последнее время мы вели исследование ряда инцидентов, связанных с заражением троянцем Duqu. Нам удалось значительно продвинуться в понимании истории Duqu и собрать еще несколько отсутствующих компонентов, без которых понимание происходящего было затруднено. Прежде всего мы… Прочитать полный текст статьи

Тайна Duqu: часть третья

Прежде всего я должен сообщить об ошибке, допущенной в прошлом тексте. При анализе 4-го инцидента в Иране мы констатировали факт двух сетевых атак на машину жертвы с IP-адреса 63.87.255.149. Это могло бы стать отличной версией происхождения Duqu, но оказалось потрясающей… Прочитать полный текст статьи

Тайна Duqu: часть вторая

Наше исследование троянской программы Duqu продолжается. В первой части отчета, опубликованной несколько дней назад мы указали на существование гораздо большего количества драйверов, чем считалось раньше, а также сделали выводы о возможном наличии других модулей. Кроме того, мы пришли к выводу,… Прочитать полный текст статьи

Тайна Duqu: часть первая

Прежде всего мы считаем необходимым внести ясность в некоторую путаницу с именами файлов и с самими файлами, относящимися к данному инциденту. Для полного понимания ситуации необходимо знать, что на самом деле речь идет о двух (как минимум) разных вредоносных программах.… Прочитать полный текст статьи

Duqu FAQ

— Что представляет собой Duqu и какое отношение он имеет к Stuxnet? Duqu — сложная троянская программа, которая, похоже, была написана создателями скандально известного червя Stuxnet. Её основная цель — действовать в качестве бэкдора в системе, упрощая кражу частной информации.… Прочитать полный текст статьи

Стеганография как элемент самозащиты ботнета

Эксперты Microsoft обнаружили новый механизм в системе обороны Alureon, позволяющий повысить жизнестойкость бот-сети. Запароленный конфигурационный файл со списком запасных C&C, который в случае ЧП использует один из его вариантов, внедрен в jpg-объект и доступен зловреду через LiveJournal и WordPress. В… Прочитать полный текст статьи

Злоумышленники переключились с MBR на загрузчик NTFS-раздела

В последнее время модифицирование областей жесткого диска, ответственных за начальную загрузку системы, становится все более популярным у злоумышленников. При этом если раньше мы видели только изменение MBR (основная загрузочная запись), то сейчас злоумышленники переключились на заражение кода загрузчика NTFS-раздела. Недавно… Прочитать полный текст статьи