Programmiere des Gozi Trojaners Angeklagt

Der Gozi-Trojaner aka Snatch 2 soll weltweit mehr als eine Million Computer infiziert und Schäden in Höhe von mehreren zehn Millionen US-Dollar verursacht haben. 2007 tauchte der Trojaner auf und besorgte den Verantwortlichen Rumänen Mihai P,Denis C. aus Lettland und dem seid Mai 2011 inhaftiertem Russen Nikita K. mehreren zehn Millionen US-Dollar von Hunderttausende private Computer so wie NASA und Regierungsbehörden.

 Der Händer Gozi bot den Trojaner in Foren und IRC Channels zum Kauf an.

Looking for sources (Quelle: secureworks.com)

 Verkauft wurde der Trojaner zwischen $1000 und $2000 (USD).
Snatch is advertised on the author's home page (Quelle: secureworks.com)

Der fertige Trojaner wurde dann gegen eine wöchentliche Gebühr auf der Online Plattform 76Service.com zur Verfügung gestellt.
 
(Quelle: secureworks.com)

 Die Kunden konnten selbst bestimmen, welche Ziele angegriffen werden und die gestohlenen Daten wurden für sie gespeichert. Über BulletProof Hoster sei nicht nur Gozi, sondern auch Zeus und SpyEye von Mihai P. verbreitet worden sein.Sollten die Angeklagten schuldig gesprochen werden, drohen ihnen Höchststrafen von 60 und 95 Jahren Gefängnis. mfg Bl4ck r47 24.01.2013 20:05 Uhr

Virut belebt Waledac wieder

Nach Angaben von Symantec sollen mit W32.Virut infizierte Systeme den aus dem verkehrgezogenen Bot  W32.Waledac.D oder auch Kelihos bekannt gewordene Botnet nachladen.Waledac galt nach Gegenmaßnahmen von Microsoft als tot, wird aber wohl auf diese Weise offenbar zurück ins Leben gerufen
.

Bild: Symantec


Nach Angaben von Symantec soll ein beobachtetes System 2000 Spambotschaften pro Stunde verschicken.
Der Sicherheitsbotschafter rechnet nun mit mehreren Milliarden unerwünschten Werbemails pro Tag,von etwa 308.000 mit Virut infizierten Systemen von dennen ein Viertel Waledac nachläd.Das von Symantec vorgelegten Modellgehen geht von 1,2 bis 3,6 Milliarden Spambotschaften pro Tag aus.



Bild: Symantec

Der bisherige versand von unerwünschten Emails über das wiederauferstandene Waledac Botznet versand den großteil seines Spams an die USA. In Europa ist Frankreich am stärksten betroffen. Es handelte sich größtenteils soll es sich um bekannte Werbebotschaften handeln wie eine Online-Apotheke aus Kanada und  leistungssteigernde Medikamente.

Der Fall zeige dass sich solche Botnetze nicht gegenseitig behindern müssen und es ein Zeichen für verstärkter Zusammenarbeit unter  Cyberkriminellen währe.

Microsoft hatte großen Anteil an der Schließung von Waledac im Jahre 2010 so wie dem Nachfolger Kelihos 2011.Außerdem beantragte Microsoft eine richterliche Verfügungen, um die Command & Control-Server von Waledac abschalten abschalten zu lassen und so zu verhindern, dass neue Module auf den Dronen nachinstalliert werden können.

mfg Black r47
19.01.2013 20:29

Kim.com/Mega

Die Uhr macht TickTackTickTack und ich selber bin gespannt darauf was passieren wird.

Bigger,Better,Faster,Stronger and Safer,das ist der neue Werbeslogan von Kimdotcom seinem neuen Filehoster.


Aber wird er auch genau so Erfolgreich sein wie Megaupload und ob der Filehoster morgen an den Start geht bleibt abzuwarten.Eines ist klar,ein zweites mal werden dem FBI keine Fehler unterlaufen.

18.01.2013 07:54 Uhr
mfg Bl4ck r47

bx1 auf der Durchreise

Schon am  26. März 2012 (Zdnet.de) hatte Microsoft zwei Zeus Botnetze abschalten lassen und eine Klage gegen 39 Beschuldigte eingereicht die bislang nur unter Nicknamen wie Slavik, zebra7753, iceIX, Veggi Roma, susanneon, JabberZeus Crew und h4xOrdz bekannt sind.



Jetzt ist es der Thailändischen Polizei gelungen Hamza Bendelladj aka bx1 zu fassen als er einen Zwischen stop in Bangkok machte.Seit drei Jahren fahndete das FBI nach Hamza Bendelladj,weil er private Bankkonten bei mindestens 217 Banken weltweit geknackt und zum Teil leer geräumt haben soll. 

Kaspersky veranschlagt den von Bendelladj verursachten Schaden laut Blog Threatpost auf 100 Millionen US-Dollar.


Bildquelle: KrebsonSecurity.com

Unter der Domain http://www.zeuslegalnotice.com liegt ein Anklageschreiben aller verdächtigen vor.


15.01.2013 13:26 Uhr
mfg Bl4ck r47

Das Botnet im Tor Netzwerk

Security-Street-Blog und viele weitere treffen immer mehr auf Botnetze deren Kommunikation mit
Hilfe des Tor Netzwerkes verschleiert wird.

Bei einer normalen Verbindung eines Botnetzes Sprechen sich Client und Server dirket an.

Bild Gdata

Im Tornetzwerk sieht das aber schon anders aus,die Dronen kontaktieren über das Tor-Netzwerk nur einen Dienst mit einer Pseudo-Adresse wie m4wyxqg7cfbqrwjc.onion, die das Tor-Netz auflöst und vermittelt.

Bild Gdata

Besonders schwer ist eine solches Netzwerk für Trojaner wie Zeus nicht gerade.


                               Example ZeuS
1) Set up ZeuS webpanel the usual way. Webpanel will use port 80.

2) On the webpanel server do:
   1. run sudo apt-get install tor
   2. edit /etc/tor/torrc:

      HiddenServiceDir /var/lib/tor/zeusbot
      HiddenServicePort 13380 127.0.0.1:80

   3. Restart TOR using sudo service tor restart
   4. run cat /var/lib/tor/zeusbot/hostname to get your *.onion domain

3) Make your order:
   Domain: rz26346sssz553un.onion
   Ports: 13380

4) You will recieve your own stub.exe and bridge.dat . This bridge.dat will
   contain your domain, ports and will only work with your unique stub.exe!

5) Build your ZeusBot:


6) Upgrade your bot.exe with the Torifier and you are ready to roll!

Dennoch bieten Tor Hidden Services wie auch Tor selber im allgemeinen keine sonderlich schnell Raketenverbindung was ein ziemliches Handicaps ist, wenn man eine zuverlässige Echtzeit-Kommunikation mit tausenden Dronen benötigt. 

Auch der Blogger von http://www.exposedbotnets.com hatte in den letzten Tagen über ein Botnet berichtet welches sich mit Hilfe von Tor Versteckt.

Server:  uy5t7cus7dptkchs.onion
Port:  16667
Channel:  #5net1
Channel:  #allin 
* Topic for #allin is: !silence on
* Topic for #allin set by sudo at Thu Dec 06 15:52:55 2012
Nick format:  [USA-W7-683960]USER
Oper:suda (suda@admin.invalid)
  
You obviously need to set TOR as your irc proxy to connect. 


Quellen:
http://www.exposedbotnets.com/2012/12/uy5t7cus7dptkchsonion-irc-botnet-hosted.html
http://blog.gdatasoftware.com/blog/article/botnet-command-server-hidden-in-tor.html
http://www.heise.de/security/meldung/Botnetz-versteckt-sich-im-Tor-Netzwerk-1764791.html

mfg Bl4ck r47 10.12.2012 18:37 Uhr

Underground Takedown

Es ist ein schöner Samstag Morgen und ich stöbere gerade so in meinen Daten als ich eine Liste finde die ich seit Jahren immer Aktuell halte.

Ich nenne sie Underground Takedown.




In dieser Liste sind alle großen Botnet Herder so wie Underground Foren und Bulletproof Hoster aufgelistet die über all die Jahre Versuchten mit Illegalen Mitteln Geld zu verdienen und doch Gescheitert sind.

Schaut man sich den Bereich der Botnetze genauer an so wird man feststellen das ein Botnet vom Tag seiner Entdeckung bis zum Takedown 2 Jahre Online wahr im durchschnitt.Nur Koobface schaffte es 3 Jahre Online zu bleiben.

Es ist eine 50/50 Chance Identifiziert zu werden oder Unerkannt zu bleiben,auffällig ist nur das alle Betreiber eines P2P Botnetz unerkannt blieben während alle anderen lokalisiert wurden konnten.

Auch den Underground Foren geht es nicht anders,sie alle versuchen sich im Schutze ihrer Hoster zu verstecken.Der bekannteste Hoster für Illegale Foren ist 2x4.ru/Wahome.Dort tummeln sich die bekanntesten und größten Foren,von Warez über Carding bis hin zu Botnetzen.Sollte dieser ISP einmal Down genommen werden ist der halbe Underground verschwunden :-D .

HostExploit veröffentlicht jedes Quartal eine Liste mit Hostern die besonders viel Illegale Aktivitäten aufweisen. Top 50 Bad Host.Auch Amazon und Google sind in der Liste zu finden da sie wegen ihrer Cloud sehr beliebt geworden sind.

Es bleibt weiter abzuwarten wer als nächstes auf der Liste der Fahander vom FBI,Secret Service und dem BKA steht.sie alle sind der größte Feind der Cybercrime geworden und Arbeiten verstärkt daran das Inernet ein wenig sicherer zu machen,wen auch nicht immer mit den Richtigen Mitteln wie dem BKA Trojaner oder das FBI mit carderprofit.net.

mfg Bl4ck r47
24.11.2012 08:58 Uhr

Das OS spielt keine Rolle mehr

Früher sagte man immer Windows sei zu Unsicher im Internet und viele hatten zwei Rechner oder Arbeiteten mit Windows und einer Virtuellen Maschine.All dieses ist spielt nun keine Rolle mehr im Internet,so ist durch die Verbreitung von Exploit Kits wie das Black Hole oder Eleonore Kit jeder Rechner angreifbar.

Dabei spielt es heut zu Tage keine Rolle mehr ob ich mit Windows,Mac OSX oder Linux im Netz unterwegs bin. Durch den Erfolg des Flaschfake Trojaners steigt das Interesse der Cybercrime sich auf jedes Betriebsystem zu Konzentrieren und nicht nicht nur auf Windows zu versteifen.

Bild Kaspersky

So kombinieren Kriminelle ihren Schadecode um plattformübergreifend arbeiten zu können wie der von Symantec entdeckte Maljava.Maljava macht sich den Vor- und Nachteil der plattformübergreifenden Java-Laufzeitumgebung zu eigen und lädt via Drive-by Download einen Dropper herunter. Auf Macs ist dieser eine Python-Datei und auf Windows-Rechnern eine Exe-Datei.Auch hier gibt es einen unterschiedlichen Code. Während sich die Windows-Exe als vermeintlich systemkritische ntshrui.dll tarnt, ist die Mac-Version mit update.py benannt.


Bild Symantec


So werden Prinzipiell auch Linux-Rechner angegriffen aber laut Symantec wird dann der Mac-Code-Teil ausgeführt, der auf Linux-Rechnern allerdings mangels geschriebenen Codes ins Leere läuft.So sind sich Symantec und Dr. Web derzeit uneinig über die Infektionsrate des Flashfake-Trojaners. Dr. Web geht von rund 570.000 infizierten Macs aus und Symantec von ungefähr 200.000 Infizierten Systemen.


mfg bl4ck r47
29.04.2012 15:24 Uhr