Рейтинг ботнетов

Для заражения пользователя киберпреступники активно применяют методы социального инжиниринга — например, исполняемый файл ZeroAccess зачастую загружается и устанавливается под видом кейгена или «кряка» для игры самим пользователем.

«Зомби-сеть» ZeroAccess используется владельцами для рассылки спама, загрузки новых вредоносных программ, накрутки посещаемости сайтов за счет кликов по рекламным ссылкам, а также для генерации электронной валюты Bitcoin (на захваченных ботнетом ПК выполняются специальные математические операции для генерации этой валюты).

Сегодня в состав ZeroAccess входит до 2 млн активных компьютеров, что делает его одним из крупнейших ботнетов за всю историю информационной безопасности (и самым крупным, созданным на основе P2P-архитектуры).

На данный момент Atrax — технически самый сложный и интересный ботнет, использующий для распространения анонимную сеть TOR.

Поскольку передача данных в этой сети — процесс небыстрый, то ботнет не используется для кражи больших объемов данных. Вместо этого он собирает конфиденциальную информацию, вводимую в формы авторизации на различных порталах, а также загружает на ПК дополнительные вредоносные файлы.

Atrax попадает на ПК через специальную вредоносную страницу, замаскированную под сайт службы поддержки клиентов PayPal. Нетрудно догадаться, что эта ссылка распространяется при помощи фишинговых писем якобы от представителей данной платежной системы.

Ботнеты, подобные Atrax, представляют сложность для обнаружения истинного расположения командного центра «зомби-сети». Как ни парадоксально, но в данном случае анонимность TOR защищает не пользователей, а самих киберпреступников.

Небольшой, но интересный ботнет, созданный специально для хищения информации у пользователей Facebook (Социальная сеть признана экстремистской и запрещена на территории Российской Федерации).

Речь идет о личной информации (имя, пол, фото, логины и пароли), а также о данных связанных с аккаунтами кредитных карт. Кроме того, ботнет использовался для получения игровых очков в сверхпопулярной игре Zynga Poker (ежемесячно к ней обращаются не менее 35 млн игроков).

Для получения искомых персональных данных был использован ботнет из 800 зараженных компьютеров, выполнявших инструкции командного центра. В итоге PokerAgent похитил данные 16 000 аккаунтов Facebook (Социальная сеть признана экстремистской и запрещена на территории Российской Федерации).

Также вредоносный код мог публиковать в Хронике зараженного пользователя фишинговую ссылку, ведущую на страницу с формой ввода логина и пароля, замаскированную под главную страницу Facebook (Социальная сеть признана экстремистской и запрещена на территории Российской Федерации). Как можно догадаться, введенные данные моментально попадали к злоумышленникам.

Ботнеты для Android появились лишь в 2012 году, но уже активно развиваются, заражая все новые и новые устройства на базе этой мобильной платформы. Одним из самых успешных стал ботнет Android.GGSmart.

Эта зомби-сеть происходит из Китая, родины огромного количества вредоносного ПО. Для заражения максимального количества пользователей злоумышленники встроили вредоносный код Android. GGSmart в ряд легальных приложений и популярных игр,

распространяя угрозу через неофициальные магазины приложений Android.

Этот ботнет позволяет злоумышленниками удаленно управлять любым из захваченных мобильных устройств с целью хищения личной информации пользователя, загрузки дополнительных приложений, включая рекламные, а также для отправки платных SMS. На пике активности ботнет на основе Android. GGSmart включал до миллиона Android-устройств.

Ботнет на основе трояна Flashback стал самым крупным ботнетом для устройств на платформе Mac OS X. На пике активности ботнет сумел объединить до 600000 компьютеров, разрушив миф о неуязвимости ОС от Apple для вредоносных программ.

При распространении трояна Flashback киберпреступники рассылали вредоносные ссылки, замаскированные под страницы с играми, сайты с потоковым видео и подобные развлекательные порталы.

Для заражения системы киберпреступники использовали уязвимость нулевого дня (то есть неизвестную прежде уязвимость) в плагине Java от Oracle. С помощью ботнета Flashback киберпреступники могли загружать на захваченные компьютеры дополнительное злонамеренное ПО сторонних производителей и перенаправлять пользователей на вредоносные сайты.

Что примечательно, обновление, закрывающее используемые злоумышленниками уязвимости, компания Apple выпустила через два месяца после выпуска аналогичного обновления компанией Oracle. Позднее Apple даже была вынуждена разработать специальную утилиту для удаления Flashback с компьютеров пользователей. Кроме того, еще сильнее были ограничены возможности по установке внешних приложений — чем меньше пользователь установит программ, тем ниже вероятность заразить систему.

По материалам ESET