Довольно интересную находку обнаружили вирусные аналитики из компании McAfee. На прошлой неделе мы уже сообщали о массовых DDoS атаках, обрушившихся на десятки правительственных сайтов Южной Кореи. Сами по себе DDoS- атаки, нацеленные на отказ в обслуживании, сегодня уже никого не удивляют, однако надо отметить, что каждый раз, что-то интересное обнаруживается в "сопутствующих" материалах. На этот раз, эксперты из исследовательской лаборатории McAfee, разобрав на части в бот-клиент, который использовался для атак и координации потоков мусорных запросов, нашла в нем интересную разрушительную начинку. Георг Вичерски, эксперт компании   рассказал о находке в корпоративном блоге еще в понедельник, однако зарубежные СМИ отреагировали лишь несколько дней спустя. Тем не менее, лучше поздно, чем никогда: сообщить об опасном коде важно, поскольку он характеризуется высоким уровнем деструктивности и нацелен на необратимую порчу данных, хранящихся на инфицированном компьютере. Согласно опубликованным данным, после установки в систему бот-клиент создает файл noise03.dat, куда записывает отметку о дате и времени заражения, а также количество дней, которое отведено компьютеру. Оператор вредоносной сети может увеличить последний параметр с помощью особых команд, но общая продолжительность "срока жизни" не может превышать 10 дней.

Как только время истечет, будет запущен деструктивный функционал:

Любопытно, что разработчики бот-клиента предусмотрели даже защиту от перевода системной даты: если установить день, предшествующий моменту инфицирования, то разрушительные процедуры будут запущены немедленно. Есть у ботнета и другая особенность: он обладает двухуровневой системой контрольных серверов, почти равномерно распределенных по всему миру. Серверы первого уровня указаны в файле конфигурации, который может обновляться оператором вредоносной сети; при обращении к ним инфицированный компьютер получает список серверов второго уровня, от которых уже поступают конкретные инструкции. Секторная диаграмма географического расположения контрольных точек ботнета, построенная аналитиками McAfee, говорит сама за себя.

(изображение из первоисточника blogs.mcafee.com. Щелкните для увеличения...)

При этом бот-клиент похож скорее на троянский загрузчик: он не получает от центра управления прямые команды, а "скачивает" с командных серверов конфигурационные файлы, содержимое которых считывают и приводят в исполнение вторичные компоненты вредоносной программы, работающие независимо от основной службы. Описанная инфраструктура управления усложняет декомпозицию и обратный анализ инфекции, а также обеспечивает отказоустойчивость: трудно подавить сразу все серверы, если они находятся в не одном десятке стран мира.

Источник