Антивирусные эксперты из компании Symantec обнаружили группу интернет-преступников, использующих сервис телеконференций Google Groups в качестве командного центра для вредоносного программного обеспечения, заразившего компьютеры.
"Анализируя находку, вспоминается старый способ, когда разведчики использовали для получения заданий ключевые слова из рекламы и специальных статей в газетах. Сейчас атакующие используют тот же метод, однако на смену газетам пришли тексты в блогах, которые представляют собой набор служебных данных, которые могут видеть все, но понять истинный смысл могут только троянцы ботнета", - рассказывает Зулькифар Рамзан, технический директор Symantec Security Response.
В случае с Google Groups, преступники использовали сервис для управления трояном Trojan.Grups, представляющего собой злонамеренный код для ОС Microsoft Windows. Суть троянца в том, что он открывает путь к зараженным ПК с целью подселения других вредоносных кодов. Когда троянец проникает в компьютер, то он считывает сообщения из специальной конференции, где содержатся команды для него. После того, как троянец считывает команду, он выполняет ее и публикует в конференции отчет о проданной работе.
"Одним из важных моментов этой атаки является использование довольно устойчивого шифра RC4 для шифрования "общения" командный центр публикует сообщения, зашифрованные в RC4, а троянец таким же зашифрованным способом отвечает", - рассказывают в Symantec. Подобные шаги говорят, в первую очередь, о дополнительных шагах злоумышленников, направленных на избежание обнаружения. В Symantec говорят, что одним из серьезных недостатков данного метода является сохранение истории "переписки" троянца и его авторов, что позволяет отследить все шаги обеих сторон. В случае с Trojan.Grups антивирусные аналитики полагают, что авторы всей атаки находятся на Тайване, так как дешифровка сообщений показывает, что они уходят в зону .tw, а некоторые моменты кода говорят о том, что оригинал был написан на упрощенном китайском.
Источник