Freitag, 14. Januar 2011
Samstag, 8. Januar 2011
Sonntag, 2. Januar 2011
Das Ende von Bredolab
So die Feiertage sind nun zu Ende und ich komme endlich mal dazu eine News über das Bredolab Botnet zu verfassen.Am 25. Oktober 2010 teilte die für den Kampf gegen Cyberkriminalität zuständige Abteilung der niederländischen Polizei mit, dass 143 Kontrollserver des Botnetzes Bredolab unschädlich gemacht wurden.Nur einen Tag später wurde am internationalen Flughafen Jerewan einer der Betreiber des stillgelegten Zombie-Netzes festgenommen.
Das Controll Panel für die Downloads, das den Loader (Backdoor.Win32.Bredolab) enthält, wurde unter dem Namen BManager in Hackerforen zum Verkauf angeboten.Für die Verbreitung des schädlichen Bot-Programms dienten gehackte legitime Webseiten, die Besucher auf schädliche Ressourcen umleiteten, von denen aus ihre Computer mit Backdoor.Win32.Bredolab infiziert wurden.
Bredolab lud ein überaus breites Spektrum an Malware auf die Computer seiner Opfer:
Trojan-Spy.Win32.Zbot (Zeus)
Trojan-Spy.Win32.SpyEyes (SpyEye)
Trojan-Spy.Win32.BZub (Agend DQ)
Backdoor.Win32.HareBot
Backdoor.Win32.Blakken
Backdoor.Win32.Shiz
Trojan-Dropper.Win32.TDSS
Trojan-Ransom.Win32.PinkBlocker
Trojan.Win32.Jorik.Oficla (myLoader)
Backdoor.Haxdoor (A-311 Death)
Backdoor.Rustock
Downloader.MisleadApp
Hacktool.Rootkit (Hacker Defender)
Infostealer
Trojan.FakeAV
Trojan.KillAV
Trojan.Pandex
Trojan.Srizbi
W32.Koobface
W32.Waledac
Nachdem der Browser des Anwenders mit Hilfe von Pegel oder Iframe auf eine schädliche Webseite umgeleitet worden war, wurde von dort aus der JavaScript-Code über folgende Lücken (CVE-2006-0003, CVE-2008-1084, CVE-2008-2463) geladen:
Die in den schädlichen Links enthaltenen Domains waren in verschiedenen Domain-Zonen registriert: ru, info, at, com. Jede Domain verfügte über fünf IP-Adressen, die ihrerseits wiederum mit einer Vielzahl von schädlichen Domains in Verbindung standen.
Das oben Beschriebene erinnert an die Funktion von Fast-Flux-Netzen, genauer gesagt an Double-Flux-Netze, bei denen sich auch die Adresse der DNS-Server ändert.
Die Betreiber des Bredolab-Botnetzes haben ein 30 Millionen Rechner umfassendes Zombie-Netzwerk aufgebaut, das über einen längeren Zeitraum funktioniert hat. Um das Botnetz in funktionsfähigem Zustand zu erhalten, haben die Cyberkriminellen das Steuerungszentrum des Botnetzes überaus klug und effektiv versteckt, indem sie die Technik von Fast-Flux-Netzen nutzten. Ein solches Schema gewährleistet nicht nur eine hohe Fehlertoleranz des Botnetz-Steuerungszentrums, sondern es erleichtert auch die Steuerung des schädlichen Contents: Anstatt die schädlichen Webseiten auf einer Vielzahl von Knoten zu verwalten, reicht es aus, eine solche Webseite auf dem Kommandozentrum zu platzieren und Redirects zu ihr einzurichten.
Angesichts seiner Komplexität ist es unwahrscheinlich, dass das Bredolab-Botnetz von nur einer Person kontrolliert wurde. Allerdings ist bisher nur von der Verhaftung eines Kriminellen die Rede, der mit diesem Botnetz in Verbindung steht. Es kann also sein, dass die übrigen Mitglieder der kriminellen Gruppe ihre Geschäfte fortführen werden, da das von ihnen erdachte und in die Tat umgesetzte Schema äußerst effizient ist.
03.01.2011 08:54 Uhr
Das Controll Panel für die Downloads, das den Loader (Backdoor.Win32.Bredolab) enthält, wurde unter dem Namen BManager in Hackerforen zum Verkauf angeboten.Für die Verbreitung des schädlichen Bot-Programms dienten gehackte legitime Webseiten, die Besucher auf schädliche Ressourcen umleiteten, von denen aus ihre Computer mit Backdoor.Win32.Bredolab infiziert wurden.
Bredolab lud ein überaus breites Spektrum an Malware auf die Computer seiner Opfer:
Trojan-Spy.Win32.Zbot (Zeus)
Trojan-Spy.Win32.SpyEyes (SpyEye)
Trojan-Spy.Win32.BZub (Agend DQ)
Backdoor.Win32.HareBot
Backdoor.Win32.Blakken
Backdoor.Win32.Shiz
Trojan-Dropper.Win32.TDSS
Trojan-Ransom.Win32.PinkBlocker
Trojan.Win32.Jorik.Oficla (myLoader)
Backdoor.Haxdoor (A-311 Death)
Backdoor.Rustock
Downloader.MisleadApp
Hacktool.Rootkit (Hacker Defender)
Infostealer
Trojan.FakeAV
Trojan.KillAV
Trojan.Pandex
Trojan.Srizbi
W32.Koobface
W32.Waledac
Nachdem der Browser des Anwenders mit Hilfe von Pegel oder Iframe auf eine schädliche Webseite umgeleitet worden war, wurde von dort aus der JavaScript-Code über folgende Lücken (CVE-2006-0003, CVE-2008-1084, CVE-2008-2463) geladen:
Die in den schädlichen Links enthaltenen Domains waren in verschiedenen Domain-Zonen registriert: ru, info, at, com. Jede Domain verfügte über fünf IP-Adressen, die ihrerseits wiederum mit einer Vielzahl von schädlichen Domains in Verbindung standen.
Das oben Beschriebene erinnert an die Funktion von Fast-Flux-Netzen, genauer gesagt an Double-Flux-Netze, bei denen sich auch die Adresse der DNS-Server ändert.
Die Betreiber des Bredolab-Botnetzes haben ein 30 Millionen Rechner umfassendes Zombie-Netzwerk aufgebaut, das über einen längeren Zeitraum funktioniert hat. Um das Botnetz in funktionsfähigem Zustand zu erhalten, haben die Cyberkriminellen das Steuerungszentrum des Botnetzes überaus klug und effektiv versteckt, indem sie die Technik von Fast-Flux-Netzen nutzten. Ein solches Schema gewährleistet nicht nur eine hohe Fehlertoleranz des Botnetz-Steuerungszentrums, sondern es erleichtert auch die Steuerung des schädlichen Contents: Anstatt die schädlichen Webseiten auf einer Vielzahl von Knoten zu verwalten, reicht es aus, eine solche Webseite auf dem Kommandozentrum zu platzieren und Redirects zu ihr einzurichten.
Angesichts seiner Komplexität ist es unwahrscheinlich, dass das Bredolab-Botnetz von nur einer Person kontrolliert wurde. Allerdings ist bisher nur von der Verhaftung eines Kriminellen die Rede, der mit diesem Botnetz in Verbindung steht. Es kann also sein, dass die übrigen Mitglieder der kriminellen Gruppe ihre Geschäfte fortführen werden, da das von ihnen erdachte und in die Tat umgesetzte Schema äußerst effizient ist.
03.01.2011 08:54 Uhr
Dienstag, 28. Dezember 2010
Panda TV #56, WikiLeaks-Sympathisanten greifen an, Hacker twittern Weihnachtsgrüße
28.12.2010 21:59 Uhr
Freitag, 3. Dezember 2010
Betreiber des Mega-D Botnetzes verhaftet
Heute sind Interessante Details zu dem Mega-D Botnet aufgetaucht.
Das FBI hat den russischen Staatsbürger Oleg Nikolaenko als Betreiber des Botnetzes Identifizeren und einem Haftbefehl des US-Bezirksgericht auch gleich Festnehmen können. M86 Security Labs hat das Botnetz Anfang 2008 bemerkte und den Spam Verlauf überwacht.Das Botnet bekam seinen Namen durch die Zahlreiche Versendung von "Megadik" Spam-Kampagnen. Mega-D hat seitdem seine Höhen und Tiefen und verschiedene Forscher und Strafverfolgungsbehörden hatten ein immer größer werdendes Interesse an dem Botnet.
Das FBI fand Nikolaenko durch eine Federal Trade Commission Untersuchung im Jahre 2008 die mit dem Affiliate-Programm GenBucks in Verbindung steht.
Zwischen dem 6.Juni und 14.Dezember 2007 wurde eine Zahlungen in Höhe von rund $465.000 auf ein ePassporte Konto von Nikolaenko registriert welches für die Dienstleistungen von Spam eingerichtet wurde.
In den vergangenen Monaten sind die Aktivitäten des Mega-D Botnetzes deutlich zurückgegangen und seine Command & Control-Server zeigten keine Aktivitäten mehr.Einer der gründe dafür dürfte wohl das große Interesse der Behörden und Analytiker gewesen sein. Für M86 Security ist dieses ein großer Erfolg da es heute zu Tage nicht mehr ausreicht das Botnet selber abzuschalten sondern die Herder selber gefasst werden müssen um die Steigende Bedrohung in Schacht halten zu können.
M86 Security Labs Timeline
Feb-2008: Spam from botnet “Mega-D” constituted 32% of spam, malware identified and control servers disabled
Feb-2008: Mega-D recovers and resumes spamming
October-2008: FTC initiates action against AffKing affiliate program
November-2008: McColo takedown halted operations on Mega-D and other spamming botnets
December-2008: Mega-D resumes spamming
November-2009: Mega-D operations disrupted by FireEye
February-2010: Mega-D resumes spamming…again
December-2010: FBI identifies Mega-D’s operator
Quellen:
http://labs.m86security.com
http://krebsonsecurity.com
03.12.2010 11:41 Uhr
Das FBI hat den russischen Staatsbürger Oleg Nikolaenko als Betreiber des Botnetzes Identifizeren und einem Haftbefehl des US-Bezirksgericht auch gleich Festnehmen können. M86 Security Labs hat das Botnetz Anfang 2008 bemerkte und den Spam Verlauf überwacht.Das Botnet bekam seinen Namen durch die Zahlreiche Versendung von "Megadik" Spam-Kampagnen. Mega-D hat seitdem seine Höhen und Tiefen und verschiedene Forscher und Strafverfolgungsbehörden hatten ein immer größer werdendes Interesse an dem Botnet.
Das FBI fand Nikolaenko durch eine Federal Trade Commission Untersuchung im Jahre 2008 die mit dem Affiliate-Programm GenBucks in Verbindung steht.
Zwischen dem 6.Juni und 14.Dezember 2007 wurde eine Zahlungen in Höhe von rund $465.000 auf ein ePassporte Konto von Nikolaenko registriert welches für die Dienstleistungen von Spam eingerichtet wurde.
In den vergangenen Monaten sind die Aktivitäten des Mega-D Botnetzes deutlich zurückgegangen und seine Command & Control-Server zeigten keine Aktivitäten mehr.Einer der gründe dafür dürfte wohl das große Interesse der Behörden und Analytiker gewesen sein. Für M86 Security ist dieses ein großer Erfolg da es heute zu Tage nicht mehr ausreicht das Botnet selber abzuschalten sondern die Herder selber gefasst werden müssen um die Steigende Bedrohung in Schacht halten zu können.
M86 Security Labs Timeline
Feb-2008: Spam from botnet “Mega-D” constituted 32% of spam, malware identified and control servers disabled
Feb-2008: Mega-D recovers and resumes spamming
October-2008: FTC initiates action against AffKing affiliate program
November-2008: McColo takedown halted operations on Mega-D and other spamming botnets
December-2008: Mega-D resumes spamming
November-2009: Mega-D operations disrupted by FireEye
February-2010: Mega-D resumes spamming…again
December-2010: FBI identifies Mega-D’s operator
Quellen:
http://labs.m86security.com
http://krebsonsecurity.com
03.12.2010 11:41 Uhr
Donnerstag, 25. November 2010
Früher gab es noch Pistolen,Heute gibt es Botnetze
Immer wieder sorgen Botnetze für viel Aufsehen. Diese Netzwerke aus Zombie-Computern werden von ihren Herdern als Geldquelle errichtetet. Recherchen des Virenschutz Anbieters Symantec ergaben, dass die Betreiber dieser Netzwerke Millionen von US-Dollar verdienen.
Die Botnetze werden von Cybercriminellen errichtet und an interessierte Internet-Betrüger zwischen 9 und bis zu 65 US-Dollar pro Stunde vermietet. Das Experten-Team von MessageLabs Intelligence, der Analyseabteilung von Symantec Hosted Services hat nun ermittelt womit die Mieter dieser Botnetze ihre Gewinne erzielen.
Eine der wohl grösten Einnahmequellen ist der Spam-Versand.Selbst wenn nur ein bedeutungsloser Bruchteil der nervenden Werbebotschaften zum Erfolg führt, ist dieses ein Erfolg für ihre Urheber. Die Betreiber fragwürdiger Onlineapotheken können dank Spam-Mails einen Jahresumsatz von bis zu 3,5 Millionen US-Dollar erzielen.
Die 3 anderen kriminellen Erwerbszweige, welche mittels Botnetze Internet-Nutzer attackieren könnte man als die digitale Varianten von Bankraub, Diebstahl und Schutzgelderpressung bezeichnen. Via Botnetz verbreitete Malware kann für den Internet-Betrügern mehr Einnahmen bedeuten als jeder reale Bankraub mit Pistole.
2010 konnte das FBI eine Gruppe von Cyberkriminellen festnehmen, welche mit Hilfe des Zeus Trojaners rund 70 Millionen US-Dollar von fremden Bankkonten ergaunert hatten. Zeus ist auch als Kneber, Zbot, PRG, wsnpoem oder Gorhax bekannt.
Mit der Androhung Webseiten mit so genannten DDoS Attacken lahmzulegen versuchen Internet-Kriminelle Schutzgeld von ihren Opfern zu erpressen. Verweigert der Betreiber der Webseite die Zahlung werden dessen Server solange von gemieteten Botnetzen mit Unmengen an Daten bombardiert bis diese den Dienst verweigert.
Eine weitere Art der digitalen Kriminalität hat sich darauf spezialisiert auf illegalen Netzwerken Nutzerkonten bekannter Onlinespiele wie World of Warcraft zu knacken. Auf diesen Plattformen können sich Spieler digitale Gegenstände erspielen, welche ihnen einen Vorteil in ihrem Spiel verschaffen. Jeh seltener und schwieriger die zu erspielenden Gegenstände sind umso wertvoller sind diese dann auch.
Internet-Betrüger übertragen derartige Items von den gehackten Konten auf eigens dafür angelegte Konten um diese von dort aus zu verkaufen. Es wird berichtet, dass eine asiatische Bande auf diese Weise 140.000 US-Dollar ergaunert habe.
25.11.2010 15:17 uhr
Die Botnetze werden von Cybercriminellen errichtet und an interessierte Internet-Betrüger zwischen 9 und bis zu 65 US-Dollar pro Stunde vermietet. Das Experten-Team von MessageLabs Intelligence, der Analyseabteilung von Symantec Hosted Services hat nun ermittelt womit die Mieter dieser Botnetze ihre Gewinne erzielen.
Eine der wohl grösten Einnahmequellen ist der Spam-Versand.Selbst wenn nur ein bedeutungsloser Bruchteil der nervenden Werbebotschaften zum Erfolg führt, ist dieses ein Erfolg für ihre Urheber. Die Betreiber fragwürdiger Onlineapotheken können dank Spam-Mails einen Jahresumsatz von bis zu 3,5 Millionen US-Dollar erzielen.
Die 3 anderen kriminellen Erwerbszweige, welche mittels Botnetze Internet-Nutzer attackieren könnte man als die digitale Varianten von Bankraub, Diebstahl und Schutzgelderpressung bezeichnen. Via Botnetz verbreitete Malware kann für den Internet-Betrügern mehr Einnahmen bedeuten als jeder reale Bankraub mit Pistole.
2010 konnte das FBI eine Gruppe von Cyberkriminellen festnehmen, welche mit Hilfe des Zeus Trojaners rund 70 Millionen US-Dollar von fremden Bankkonten ergaunert hatten. Zeus ist auch als Kneber, Zbot, PRG, wsnpoem oder Gorhax bekannt.
Mit der Androhung Webseiten mit so genannten DDoS Attacken lahmzulegen versuchen Internet-Kriminelle Schutzgeld von ihren Opfern zu erpressen. Verweigert der Betreiber der Webseite die Zahlung werden dessen Server solange von gemieteten Botnetzen mit Unmengen an Daten bombardiert bis diese den Dienst verweigert.
Eine weitere Art der digitalen Kriminalität hat sich darauf spezialisiert auf illegalen Netzwerken Nutzerkonten bekannter Onlinespiele wie World of Warcraft zu knacken. Auf diesen Plattformen können sich Spieler digitale Gegenstände erspielen, welche ihnen einen Vorteil in ihrem Spiel verschaffen. Jeh seltener und schwieriger die zu erspielenden Gegenstände sind umso wertvoller sind diese dann auch.
Internet-Betrüger übertragen derartige Items von den gehackten Konten auf eigens dafür angelegte Konten um diese von dort aus zu verkaufen. Es wird berichtet, dass eine asiatische Bande auf diese Weise 140.000 US-Dollar ergaunert habe.
25.11.2010 15:17 uhr
Abonnieren
Posts (Atom)
