De Mylobot botnet is ontdekt in een recente wereldwijde aanval, na analyse is gebleken om een geavanceerde malware engine bevatten. Het kan verscheidene verschillende componenten voeren afhankelijk van de doelen, de hackers achter de rug zijn nog onbekend.
Mylobot Botnet Infectie Mechanism
De Mylobot botnet aanvallen werden tijdens een routine cybersecurity evaluatie ontdekt door een security team. De gepubliceerde analyse blijkt dat het botnet zowel een geavanceerde infectie methode en een post-infectie gedragspatroon die zijn gebaseerd op een zeer flexibele engine. De onderzoekers constateren dat dit een botnet die momenteel wordt beoordeeld als een van de meest geavanceerde die heeft geproduceerd. Tegelijkertijd is er geen informatie beschikbaar is over de identiteit van de hacker of strafrechtelijke collectief achter.
De gepubliceerde rapporten geven niet onthullen de exacte infectie mechanisme als de ontdekking werd gedaan op systemen die al zijn aangetast. Gezien de situatie zijn er verschillende mogelijke toetreding punten dat de kwaadaardige code zou kunnen hebben gebruikt.
Een van de opties is het gebruik van geïnfecteerde e-mailberichten, met name die die afhankelijk zijn van social engineering technieken. De criminelen kunnen proberen om valse berichten en meldingen dat de namen te gebruiken creëren, tekst en afbeeldingen van bekende bedrijven. Ze kunnen bevatten gehecht kopieën of hyperlinks geplaatst in het inhoudelijke lichaam. De infecties kunnen ook worden veroorzaakt door geïnfecteerde payloads zoals malware exemplaren installatieprogramma's of -Macro geïnfecteerde documenten.
De botnet kan ook worden gedownload van nagemaakte download sites dat zou een soortgelijke sjabloon en domeinnaam populaire diensten en bekende portals te gebruiken. Ze kunnen ook scripts zoals pop-ups te gebruiken, redirects, inline hyperlinks, banners en etc.
Een grootschalig Mylobot botnet infectie kan worden gemaakt met behulp van directe aanvallen op het netwerk. Ze gaar doelwit mogelijk kwetsbare onderdelen die in geautomatiseerde penetratie testkits geladen. Ze kunnen worden gebruikt tegen hele netwerk op hetzelfde moment.
Mylobot Botnet Capabilities
De Mylobot botnetmalware motor is gevonden verscheidene componenten die zich kan beschermen tegen detectielogica. Dit heeft de beveiligingssoftware verhinderd zijn handtekeningen vangen. De verzamelde monsters aangetoond speciale beschermende maatregelen die het virus behoeden voor allerlei toepassingen omvatten. De lijst op te nemen anti-virus programma's, firewalls, debuggen omgevingen en virtual machine hosts. De bijbehorende kopieën kunnen zowel bypass of geheel verwijderen van de beveiligingssoftware. Bepaalde Mylobot botnet monsters kunnen worden geconfigureerd om zich te verwijderen als ze niet in staat om deze stappen uit te voeren zijn.
Zodra de belangrijkste Mylobot botnet motor is op de doelcomputer zijn ingezet begint een data harvesting component die is geprogrammeerd om de volgende gegevenstypen kapen:
- Andere Virusinfecties - Een belangrijk onderdeel van de Mylobot botnet motor is dat het in staat is om de aanwezigheid van andere malware te detecteren. Het kan ze verwijderen of te omzeilen alleen die acties die een conflict kunnen veroorzaken met een eigen uitvoering.
- Persoonlijke gegevens - De Mylobot botnet kan een complexe motor die veel gevoelige gegevens kunnen oogsten over de slachtoffers te gebruiken. De geopenbaarde informatie kan de identiteit van de gebruiker bloot: hun naam, adres, telefoon nummer, plaats, wachtwoorden, accountgegevens en etc.
- campagnestatistieken - De data harvesting motor kan een grote hoeveelheid gegevens over de besmette apparaten die kunnen leiden tot de campagne optimalisaties in de daaropvolgende aanvallen openbaren. Dit kan bijvoorbeeld een profiel van alle geïnstalleerde hardwarecomponenten en etc onder.
Naar aanleiding van de uitvoering van de module zal het zich installeren op de doelcomputer als een systeem dienst. Het is gebleken uit te schakelen Windows Defender en Windows Update samen met vele poorten die gewoonlijk worden via de ingebouwde firewall. De security analyse blijkt dat alle systeem diensten die opereren vanuit het %APP DATA%. Hierdoor kunnen bepaalde functies niet meer werkt en de gebruikers waardevolle gegevens verloren.
De belangrijkste functie van de Mylobot botnet is de lancering van haar Trojan component. Het is een geavanceerde motor van zijn eigen die verbinding kan maken met een -Hacker gecontroleerde server en uitvoeren op afstand commando, bespioneren de slachtoffers en de overname van de controle over hun machines op een bepaald moment. Met behulp van deze beveiligde verbinding kan ook worden gebruikt om extra bedreigingen voor de doelen in te zetten.
Zoals blijkt om computers te richten op een wereldwijde schaal speculeren we dat de aanvallen tegen grote bedrijven of de overheid netwerken worden aangedreven. Het is heel goed mogelijk dat de lopende aanval campagnes zijn gericht op slechts een zorgvuldig gecontroleerd set van computers binnen te dringen.
Gebruik Mylobot Botnet in toekomstige aanvallen
De Mylobot botnet kan worden gebruikt als een effectieve oplossing tegen uiteenlopende doelen. De security analyse die de mogelijkheden gepresenteerd blijkt dat de onderliggende motor bevat veel modules die verschillende lagen van beveiliging kan omzeilen - zowel netwerk tegenmaatregelen en desktop installaties die aanwezig zijn op de individuele gastheren zijn. Het feit dat de gevangen stammen werden gevonden na de infectie al de anti-virus producten zijn doorgedrongen blijkt dat op dit moment is er geen accurate informatie over het aantal actieve infecties wereldwijd. De impact ervan kan variëren van individuele gebruikers tot grote ondernemingen en zelfs de overheid netwerken.
Er zijn verschillende mogelijke gebruiksvoorbeeld's die de hackers kan hechten:
- directe aanvallen - De Mylobot botnet kan worden gebruikt om vooraf vastgestelde doelstellingen richten via de aangeboden mogelijkheden van de virusengine.
- wijdverbreide Attack - De botnet kan worden geprogrammeerd om te proberen en te infecteren veel doelen tegelijk. Dit kan het beste gebeuren door het gebruik van vele instanties die zijn ingesteld tegen een vooraf vastgestelde netwerk van doelhosts. De infectie pogingen meestal uitgevoerd om parallel.
- payload Delivery - Het botnet wordt voornamelijk gebruikt om de beveiliging te omzeilen. Maar in plaats van het uitvoeren van het grootste deel van de kwaadaardige acties op zich door haar ingezette een secundaire virus dat verantwoordelijk is voor de infectie.
- aangepaste versies - Mylobot Botnet monsters worden aangeboden op de ondergrondse hacker markten en op maat gemaakt voor bepaalde doelen.
In alle gevallen infecties veroorzaakt door de Mylobot botnet moet met uiterste voorzichtigheid worden behandeld als ze heel moeilijk kan zijn om te verwijderen. We verwachten een verdere updates aan de code die kan ze nog moeilijker te detecteren en te verwijderen zien.
Martin Beltov
Martin studeerde af met een graad in de uitgeverij van de universiteit van Sofia. Als een cyber security enthousiast dat hij geniet van het schrijven over de nieuwste bedreigingen en de mechanismen van inbraak.
Volg mij: