Izvorna koda botneta Zeus ušla na internet @ Slo-Tech

Novice » Varnost »
Izvorna koda botneta Zeus ušla na internet

Izvorna koda botneta Zeus ušla na internet

Mandi :: 12. maj 2011 ob 07:12
Varnost

Shema delovanja botneta Zeus

vir: Wikipedia

vir: Heise

Heise -

Zeus (aka Zbot, PRG, Wsnpoem, Gorhax) je že skoraj pet let star trojanec za okolje MS Windows, ki s beleženjem tipk (keylogging) in vnosov v spletne obrazce (form grabbing) krade podatke za dostop do storitev spletnega bančništva, številke kreditnih kartic, prijavna gesla in druge visokovredne podatke. Zbrano nato pošlje na par centralnih strežnikov. S pomočjo dobro organizirane in mednarodne kriminalne združbe se denar prenakaže na druge račune, opere in prenese na offshore accounte. Celotna operacija je bila izredno široka in uspešna - okuženih naj bi bilo več milijonov računalnikov na obeh straneh Atlantika, tako osebnih kot tistih v podjetjih in vladnih ustanovah.

Policija je izvedla več aretacij, vendar je bot preživel, ker je bil razvoj ločen od uporabe; se pravi, razvijalci so prevedno različico prodali več kriminalnim združbam in četudi so oblasti ustavile eno, je to le sprostilo prostor za delovanje drugih. Cena se je gibala od 700 pa do 15.000 dolarjev, odvisno od zmogljivosti.

Konec aprila so se stvari spremenile - nekdo z vzdevkom IOO je na več podzemnih forumih začel ponujati kar celotno izvorno kodo botneta. Kodo je očitno nekdo kupil in dal na voljo javnosti, kajti zadnjih nekaj tednov kroži po ponudnikih brezplačnega gostovanja datotek. Več neodvisnih raziskovalcev je že potrdilo njeno pristnost.

Napisana je v jeziku C++, v ZIP datoteki pa so na voljo klient (za okužene računalnike), strežnik (za zbiranje ukradenih podatkov), skripte za prevajanje in celo projektna datoteka za Microsoft Visual Studio. Koda se prevede, je lepo berljiva in v neobfuskirani obliki, zato pa manjkajo komentarji. Pripada najnovejši različici 2.0.8.9.

Obstaja odkrit strah, da bo to povzročilo razmah uporabe bota.

13 komentarjev

Hair :: 12. maj 2011, 08:22

a še kdo vidi, kako se ruši celotna monetarna struktura? :D
če dodamo še 77 mil. podatkov od sonyja in recimo tole, dobmo bolj celostno podobo.

the new age :)
all hail internet! :D

Whenever people agree with me, I feel I must be wrong.

Bistri007 :: 12. maj 2011, 08:35

Kolikor vidim iz screenshota VS IDE na http://www.csis.dk/en/csis/blog/3176/ , komentarji so. Ampak so v ruščini... (moraš imeti še RU codepage nastavljen)

Največja napaka desetletja je bila narejena 4. novembra 2008
Oni so goljufali in Alah je goljufal, Alah je najboljši prevarant. (Koran 3:54)
Citiraj svetega očeta Benedikta XVI. in postani "persona rudis"...

residual :: 12. maj 2011, 08:40

za večino uspeha teh botov so krivi nerazgledani in nevešči uporabniki ter leni admini po firmah

jaz še nakako najbolj zaupam PayPal-u v kombinaciji z Visa elektron, glede na to da se ogromno nelegalnih stvari odvija čez ebay. Sami kriminalci si menda ja ne bodo rušli svoje integritete.

banke pa naj porihtajo svoje stvari kot morajo, če na pa gremo nazaj na stari keš flow, kar je trn v peti državi.

Bistri007 :: 12. maj 2011, 08:46

ST članek:

zato pa manjkajo komentarji

Sem res preveril, source/client/core.cpp, komentarji so:

////////////////////////////////////////////////////////////////////////////////////////////////////
// &#1057;&#1087;&#1080;&#1089;&#1086;&#1082; &#1087;&#1088;&#1086;&#1094;&#1077;&#1089;&#1089;&#1086;&#1074;.
////////////////////////////////////////////////////////////////////////////////////////////////////

typedef struct
{
  DWORD nameId;  //&#1048;&#1084;&#1103; &#1087;&#1088;&#1086;&#1094;&#1077;&#1089;&#1089;&#1072;, &#1084;&#1086;&#1078;&#1077;&#1090; &#1084;&#1086;&#1076;&#1077;&#1088;&#1078;&#1072;&#1090;&#1100; &#1084;&#1072;&#1089;&#1082;&#1091; &#1077;&#1089;&#1083;&#1080; folder == CSIDL_DESKTOP.
  DWORD rights; //&#1055;&#1088;&#1072;&#1074;&#1072; CDPF_RIGHT_*.
  DWORD folder; //&#1055;&#1072;&#1087;&#1082;&#1072; &#1087;&#1088;&#1086;&#1094;&#1077;&#1089;&#1089;&#1072; CSIDL_. &#1045;&#1089;&#1083;&#1080; folder == CSIDL_DESKTOP, &#1087;&#1072;&#1087;&#1082;&#1072; &#1084;&#1086;&#1078;&#1077;&#1090; &#1073;&#1099;&#1090;&#1100; &#1083;&#1102;&#1073;&#1072;&#1103;.
}
PROCESSRIGHTS;

//!!! &#1050;&#1054;&#1044; &#1076;&#1083;&#1103; CSIDL_DESKTOP &#1085;&#1077; &#1072;&#1082;&#1090;&#1080;&#1074;&#1077;&#1085;!
const static PROCESSRIGHTS processRights[] =
{
  //&#1055;&#1088;&#1086;&#1094;&#1077;&#1089;&#1089;&#1099;, &#1082;&#1086;&#1090;&#1086;&#1088;&#1099;&#1077; &#1087;&#1088;&#1080;&#1089;&#1091;&#1090;&#1074;&#1091;&#1102;&#1090; &#1085;&#1072; &#1087;&#1088;&#1086;&#1090;&#1103;&#1078;&#1077;&#1085;&#1080;&#1081; &#1074;&#1089;&#1077; &#1089;&#1077;&#1089;&#1089;&#1080;&#1080; &#1087;&#1086;&#1083;&#1100;&#1079;&#1086;&#1074;&#1072;&#1090;&#1077;&#1083;&#1103;.
  {CryptedStrings::id_core_pr_dwm,      Core::CDPF_RIGHT_CONTROL,                                                                                                        CSIDL_SYSTEM},
  {CryptedStrings::id_core_pr_taskhost, Core::CDPF_RIGHT_CONTROL | Core::CDPF_RIGHT_SERVER_SESSION | Core::CDPF_RIGHT_TCP_SERVER | Core::CDPF_RIGHT_BACKCONNECT_SESSION, CSIDL_SYSTEM},
  {CryptedStrings::id_core_pr_taskeng,  Core::CDPF_RIGHT_CONTROL | Core::CDPF_RIGHT_SERVER_SESSION | Core::CDPF_RIGHT_TCP_SERVER | Core::CDPF_RIGHT_BACKCONNECT_SESSION, CSIDL_SYSTEM},
  {CryptedStrings::id_core_pr_wscntfy,  Core::CDPF_RIGHT_CONTROL,                                                                                                        CSIDL_SYSTEM},
  {CryptedStrings::id_core_pr_ctfmon,   Core::CDPF_RIGHT_CONTROL,                                                                                                        CSIDL_SYSTEM},
  {CryptedStrings::id_core_pr_rdpclip,  Core::CDPF_RIGHT_CONTROL,                                                                                                        CSIDL_SYSTEM},
  {CryptedStrings::id_core_pr_explorer, Core::CDPF_RIGHT_CONTROL | Core::CDPF_RIGHT_SERVER_SESSION | Core::CDPF_RIGHT_TCP_SERVER | Core::CDPF_RIGHT_BACKCONNECT_SESSION, CSIDL_WINDOWS},
};

////////////////////////////////////////////////////////////////////////////////////////////////////
// &#1059;&#1090;&#1080;&#1083;&#1080;&#1090;&#1099;.
////////////////////////////////////////////////////////////////////////////////////////////////////

-----------------------------------
A ne bi šel S-T že ennkat na UTF-8?
Še enkrat, ne v code-boxu

////////////////////////////////////////////////////////////////////////////////////////////////////
// Список процессов.
////////////////////////////////////////////////////////////////////////////////////////////////////

typedef struct
{
DWORD nameId; //Имя процесса, может модержать маску если folder == CSIDL_DESKTOP.
DWORD rights; //Права CDPF_RIGHT_*.
DWORD folder; //Папка процесса CSIDL_. Если folder == CSIDL_DESKTOP, папка может быть любая.
}
PROCESSRIGHTS;

//!!! КОД для CSIDL_DESKTOP не активен!
const static PROCESSRIGHTS processRights[] =
{
//Процессы, которые присутвуют на протяжений все сессии пользователя.
{CryptedStrings::id_core_pr_dwm, Core::CDPF_RIGHT_CONTROL, CSIDL_SYSTEM},
{CryptedStrings::id_core_pr_taskhost, Core::CDPF_RIGHT_CONTROL | Core::CDPF_RIGHT_SERVER_SESSION | Core::CDPF_RIGHT_TCP_SERVER | Core::CDPF_RIGHT_BACKCONNECT_SESSION, CSIDL_SYSTEM},
{CryptedStrings::id_core_pr_taskeng, Core::CDPF_RIGHT_CONTROL | Core::CDPF_RIGHT_SERVER_SESSION | Core::CDPF_RIGHT_TCP_SERVER | Core::CDPF_RIGHT_BACKCONNECT_SESSION, CSIDL_SYSTEM},
{CryptedStrings::id_core_pr_wscntfy, Core::CDPF_RIGHT_CONTROL, CSIDL_SYSTEM},
{CryptedStrings::id_core_pr_ctfmon, Core::CDPF_RIGHT_CONTROL, CSIDL_SYSTEM},
{CryptedStrings::id_core_pr_rdpclip, Core::CDPF_RIGHT_CONTROL, CSIDL_SYSTEM},
{CryptedStrings::id_core_pr_explorer, Core::CDPF_RIGHT_CONTROL | Core::CDPF_RIGHT_SERVER_SESSION | Core::CDPF_RIGHT_TCP_SERVER | Core::CDPF_RIGHT_BACKCONNECT_SESSION, CSIDL_WINDOWS},
};

////////////////////////////////////////////////////////////////////////////////////////////////////
// Утилиты.
////////////////////////////////////////////////////////////////////////////////////////////////////

Zgodovina sprememb…

spremenilo: Bistri007 (12. maj 2011 ob 08:47)

FireSnake :: 12. maj 2011, 13:59

Tole si obvezno dol cuknem in pogledam kodo ....

Poglej in se nasmej: vicmaher.si

poweroff :: 12. maj 2011, 20:14

Kaj je to neka kurioziteta za uporabnike Winsow? :))

sudo poweroff

gslo :: 12. maj 2011, 20:26

lol, windows trojan in source na netu, smells like honeypot + backdoorz. :P

Zgodovina sprememb…

spremenilo: gslo (12. maj 2011 ob 20:26)

Bor H :: 13. maj 2011, 23:06

Am, a ni to tut kršenje avtorskih pravic in ST mirno to reklamira?

MrStein :: 13. maj 2011, 23:57

Saj ni prvič, al?

Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

poweroff :: 14. maj 2011, 13:05

BorH - res je, je kršenje avtorskih pravic. Ampak - to mora avtor vložit tožbo.

Naj izvoli, LOL.

sudo poweroff

knesz :: 14. maj 2011, 13:23

poweroff je 14. maj 2011 ob 13:05 izjavil:

BorH - res je, je kršenje avtorskih pravic. Ampak - to mora avtor vložit tožbo.

Naj izvoli, LOL.

Potemtakem bi morali na ST dovoliti vse objave, ki kršijo avtorske pravice in jih brisati samo, če bo avtor vložil tožbo oz. pritožbo, LOL

ender :: 14. maj 2011, 13:37

Če S-T samo poroča, da se je nekaj zgodilo, to ni kršenje avtorskih pravic. Saj ni prvič da imamo novico o pobegli izvorni kodi.

There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.

P3Hi :: 14. maj 2011, 15:56

reports_files.php -> PHP/Panda.A
reports_db.php -> PHP/Panda.B
botnet_scripts_php -> PHP/Bot.D
zsbcs.exe -> BDS/Botnet.q.1
client32.bin -> TR/Spy.Zbot.aogb.5
zsb.exe -> TR/Kazy.7027.31 ^^ predkompajlano tak da ne laufat, če ne zaupate :=)

No pa preglejmo source, če je kej pametnega ;((

Vredno ogleda ...

	Tema	Sporočila	Ogledi	Zadnje sporočilo
	Tema	Sporočila	Ogledi	Zadnje sporočilo
»	Napadi na medbančno omrežje SWIFT čedalje pogostejši McHusch Oddelek: Novice / Varnost	6	5839 (4565)	krneki0001 13. okt 2016 08:46:43
»	Nemčija obtožuje Rusijo hekerskega napada McHusch Oddelek: Novice / Varnost	24	12035 (9970)	zmaugy 6. jun 2015 12:38:25
»	Brian Krebs spet na udaru hekerjev poweroff Oddelek: Novice / NWO	19	6852 (4868)	jype 7. avg 2013 14:02:39
»	Ameriška višja šola potrdila desetletno virusno okužbo in krajo občutljivih osebnih p Mandi Oddelek: Novice / Varnost	13	5573 (4393)	SuperVeloce 18. jan 2012 16:15:12
»	Upravljavec strani Kino.to nezakonito pridobil več milijonov evrov McHusch Oddelek: Novice / Avtorsko pravo	12	7034 (5899)	digitalcek 21. jun 2011 08:20:19

Več podobnih tem

Zadnje novice

Zadnji članki

Išči:

Novice » Varnost »
Izvorna koda botneta Zeus ušla na internet

Izvorna koda botneta Zeus ušla na internet