|
هشدار در مورد رشد Botnets
|
|
توسط :
nsec
تاریخ :
چهارشنبه 12 خرداد 1389
گروه :
هشدارهاي مهم
تعداد بازدید :
458 بار
چکیده :
پس از دریافت گزارشهایی مبنی بر وجود حجم زیاد درخواستهای نامشخص به پایگاه http://babycaleb.fortunecity.co.uk در فایل رخدادهای چندین سرویس دهنده وب مختلف، تیم وب مرکز تخصصی آپای دانشگاه صنعتی اصفهان پس از بررسی پایگاه مورد نظر متوجه شد که در این پایگاه، قطعه کد بدافزاری وجود دارد که در صورت اجرا شدن اقدام به برقراری یک سوکت با تعدادی میزبان مینماید و ...
پس از دریافت گزارشهایی مبنی بر وجود حجم زیاد درخواستهای نامشخص به پایگاه http://babycaleb.fortunecity.co.uk در فایل رخدادهای چندین سرویس دهنده وب مختلف، تیم وب مرکز تخصصی آپای دانشگاه صنعتی اصفهان پس از بررسی پایگاه مورد نظر متوجه شد که در این پایگاه، قطعه کد بدافزاری وجود دارد که در صورت اجرا شدن اقدام به برقراری یک سوکت با تعدادی میزبان مینماید و پس از آن میتوان هدایت بدافزار را از طریق IRC در دست گرفت و به آن فرمان داد. تمامی این شواهد نشاندهنده رشد سریع شبکه گستردهای از botnetها است. این قطعه کد به صورت رمز شده بوده و برای تعیین نحوه عملکرد آن، ابتدا باید آن را رمزگشایی نمود. پس از انجام رمزگشایی قطعه کد مورد نظر توسط تیم وب مرکز، آدرس پایگاهها و نحوه عملکرد این bot مشخص شده است. گردانندگان این بدافزار ابتدا در پایگاههایی که نسبت به اجرای کد ریموت در برخی از متغیرهای GET آسیبپذیر هستند، این فایل را ارجاع داده و پس از آن سرویس دهنده وب در صورت اجازه inclusion فایل خارجی، این فایل را اجرا خواهد نمود و کد مورد نظر در سمت سرور آسیبپذیر اجرا خواهد شد. پس از اجرای کد، نام مستعاری به صورت تصادفی برای قربانی در نظر گرفته شده و سپس به یکی از 8 سرور مورد نظر متصل میشود. پس از آن فرامین از طریق IRC به صورت پیغام خصوصی برای botها ارسال میشود. از جمله قابلیتهای این bot میتوان به امکان خواندن لیست فایلها، اضافه و حذف نمودن فایلها و بارگذاری ویا بارگیری از سیستم اشاره کرد. سازندگان این بدافزار، نسخه آن را 1.28d درنظر گرفتهاند و آن را بهصورت رمز شده درون کد قرار دادهاند. معمولاً از شبکههای Botnet برای حملات ساختار یافته گسترده مانند حملات انکار سرویس توزیع شده در سطح وسیع استفاده میشود.
به این خبر چه امتیازی میدهید ؟
