Windows

푸시도 봇넷이 진화하고 있으며, 게시 중단 시도에 탄력적으로됩니다.

Tofu & PC - If It (Prod. VoVanDuc) M/V

Tofu & PC - If It (Prod. VoVanDuc) M/V
Anonim

Pushdo Trojan 프로그램은 2007 년 초로 거슬러 올라가며 Zeus 및 SpyEye 같은 다른 맬웨어 위협을 배포하는 데 사용됩니다. 또한 세계 일일 스팸 트래픽의 상당 부분을 직접 담당하는 Cutwail이라는 자체 스팸 엔진 모듈도 함께 제공됩니다.

보안 업계는 지난 4 회 동안 Pushdo / Cutwail 봇넷을 4 번 종료하려고했습니다 599 년 3 월, Damballa의 보안 연구원은 새로운 악의적 인 트래픽 패턴을 발견하고이를 다시 추적 할 수있었습니다.

[추가 정보: Windows PC에서 악성 코드 제거 방법] "PushDo의 최신 변종은 정상적인 명령 및 제어 (C & C) 통신 방법의 대체 메커니즘으로 도메인 생성 알고리즘 (DGA)을 사용한 도메인 플럭스를 사용하여 또 다른 차원을 추가합니다. "Dammalla 연구원은 수요일 블로그 게시물에서 말했다. 악성 코드는 존재하지 않는 고유 한 도메인 이름을 매일 1,000 개 이상 생성하고 하드 코드 된 C & C 서버에 도달 할 수없는 경우 연결합니다. 공격자는 알고리즘 작동 방식을 알고 있기 때문에 사전에 해당 도메인 중 하나를 등록하고 새로운 지침을 제공하기 위해 봇이 연결될 때까지 기다릴 수 있습니다.

이 기술은 보안 연구원이 봇넷의 명령 제어 서버 또는 보안 제품이 C & C 트래픽을 차단할 수있게 해줍니다. "998"푸시도 (PushDo)는 지난 18 개월 동안 Damballa가 C & C와 통신하는 수단으로 DGA 기술을 사용하는 데있어 세 번째 주요 맬웨어 제품군입니다. "Damballa 연구원은 말했다. "ZeuS 맬웨어 변종 군과 TDL / TDSS 맬웨어 변종은 회피 방법에 DGA도 사용합니다."Damballa, Dell SecureWorks 및 Georgia Institute of Technology의 연구원은 악성 프로그램의 새로운 변종을 조사하고 그 영향을 측정하기 위해 협력했습니다. 그들의 연구 결과는 수요일에 발표 된 공동 보고서에 실렸다.

DGA 기술을 사용하는 것 외에도, 최신 Pushdo 변형은 정상적인 트래픽과 C & C 트래픽을 혼합하기 위해 정기적으로 200 개가 넘는 합법적 인 웹 사이트를 쿼리합니다. 조사에 따르면 푸시도의 DGA에 의해 생성 된 도메인 네임 42 개가 등록되었으며, 이들에 대한 요청을 모니터링하여 봇넷의 크기를 추정했다.

"거의 2 개월 동안, 우리는 싱크 홀에 C & C 바이너리 데이터를 게시하는 1,038,915 개의 고유 한 IP를 관찰했다 "고 연구진은 보고서에서 밝혔다. 일일 통계는 고유 IP (인터넷 프로토콜) 주소가 30,000에서 40,000 사이라고 전했다.

수집 된 데이터에 따르면 감염률이 가장 높은 국가는 인도,이란, 멕시코이다. 일반적으로 다른 봇넷 감염의 상위에있는 중국은 상위 10 위도 아니고 미국은 6 위 밖에되지 않습니다.

Pushdo 맬웨어는 일반적으로 드라이브 바이 다운로드 공격을 통해 배포됩니다. 웹 브라우저 플러그인의 취약점을 악용하는 공격을 기반으로하거나 사이버 범죄자들이 사용하는 페이 - 인스톨 (pay-per-install) 방식의 일환으로 다른 봇넷에 설치되는 것으로 나타났다.