Festi

Festi — руткіт і ботнет, створений на його базі. Працює під операційними системами сімейства Windows. Перший раз Festi потрапив у поле зору компаній, що займаються розробкою і продажем антивірусних програм, восени 2009 року. За оцінками того часу ботнет включав в себе приблизно 25.000 заражених машин і розсилав приблизно 2.5 мільярди листів кожен день. Найбільшу активність Festi виявляв у 2011-2012 роках. Більш свіжі оцінки, датовані серпнем 2012 року, відображають той факт, що ботнет слав спам з 250.000 унікальних IP-адрес, що становить чверть від мільйона адрес, з яких здійснюється розсилка усього спаму у світі. Основна функціональність ботнету Festi — це розсилка спаму і здійснення атак типу «розподілена відмова в обслуговуванні» .

Способи розповсюдження Поширення ведеться з використанням схеми PPI(Pay-Per-Install). Для запобігання виявлення антивірусами завантажувач поширюється в зашифрованому вигляді, що ускладнює сигнатурний пошук.

Архітектура Всі дані про архітектуру ботнету почерпнуто із досліджень антивірусної компанії ESET . Завантажувач завантажує і встановлює бота, який являє собою драйвер режиму ядра, який додає себе в список драйверів, які запускаються разом з операційною системою. На жорсткому диску зберігається лише частина бота, що відповідає за зв'язок з командним центром і завантаження модулів. Після старту бот періодично звертається до командного центру для отримання конфігурації, завантаження модулів і завдань, необхідних для виконання.

Модулі З досліджень, проведених фахівцями антивірусної компанії ESET, відомо, що Festi має як мінімум два модуля. Один з них призначається для розсилки спаму (BotSpam.dll), інший для здійснення атак типу «розподілена відмова в обслуговуванні» (BotDoS.dll). Модуль для здійснення атак типу «розподілена відмова в обслуговуванні» підтримує наступні види атак, а саме: TCP-флуд, UDP-флуд, DNS-флуд, HTTP(s)-флуд, а також флуд пакетами з випадковим числом в номері використовуваного протоколу.

Експерт «Лабораторії Касперського», який досліджував ботнет, зробив висновок про те, що модулів більше, але не всі з них використовуються. Їх список включає в себе модуль для реалізації socks-сервера (BotSocks.dll) з протоколами TCP і UDP, модуль для віддаленого перегляду і управління комп'ютером користувача (BotRemote.dll), модуль що реалізує пошук по диску віддаленого комп'ютера і локальної мережі (BotSearch.dll), до якої віддалений комп'ютер підключений, модулі-грабери для всіх відомих на даний момент браузерів (BotGrabber.dll).

Модулі ніколи не зберігаються на жорсткому диску, що робить практично неможливим їх виявлення.

Мережева взаємодія Бот використовує клієнт-серверну технологію і для функціонування реалізовує власний протокол мережної взаємодії з командним центром, який використовується для отримання конфігурації ботнету, завантаження модулів, а також для отримання завдань від командного центру та оповіщення командного центру про їх виконання. Дані шифруються, що перешкоджає визначенню вмісту мережевого трафіку.

Захист від виявлення і налагодження При установці бот відключає системний брандмауер, ховає свій драйвер режиму ядра і ключі системного реєстру, необхідні для завантаження і роботи, захищає себе і ключі реєстру від видалення. Робота з мережею відбувається на низькому рівні, що дозволяє безперешкодно обходити мережеві фільтри антивірусного програмного забезпечення. Ведеться спостереження за використанням мережевих фільтрів, щоб перешкодити їх установці. Бот перевіряє, запущений він під віртуальною машиною, у разі позитивного результату перевірки, припиняє свою діяльність. Festi періодично перевіряє наявність відладчика і вміє знімати точки зупину.

Об'єктно-орієнтований підхід до розробки Festi створений з використанням об'єктно-орієнтованої технології розробки програмного забезпечення, що сильно ускладнює дослідження методом зворотної розробки і робить бота легко переносимим на інші операційні системи.

Управління Все управління ботнетом Festi реалізовано за допомогою вебінтерфейсу і здійснюється через браузер.

Хто стоїть за Festi За інформацією фахівців антивірусної компанії ESET, американського журналіста і блогера, фахівця в галузі інформаційної безпеки , за інформацією американського журналіста газети The New York Times Ендрю Крамера, а також з джерел близьких до російських спецслужб архітектор і розробник ботнету Festi — російський хакер Ігор Артимович.

Висновок У висновку можна сказати, що ботнет Festi був одним з найпотужніших ботнетів для розсилки спаму і проведення атак типу «розподілена відмова в обслуговуванні». Принципи, за якими побудований ботнет Festi, максимально збільшують час життя бота в системі, перешкоджають виявленню бота антивірусним програмним забезпеченням і мережевими фільтрами. Механізм модулів дозволяє розширювати функціональність ботнету в будь-яку сторону за рахунок створення та завантаження необхідних модулів для досягнення різних цілей, а об'єктно-орієнтований підхід до розробки ускладнює дослідження ботнету з використанням способів зворотної розробки і дає можливість перенесення бота на інші операційні системи за рахунок чіткого розмежування специфічної для конкретної операційної системи функціональності та іншої логіки бота. Потужні системи протидії виявленню і налагодження роблять бота Festi практично невидимим і невразливим. Система прив'язок і використання резервних командних центрів дає можливість відновлення контролю над ботнетом після зміни командного центру. Festi є нетиповим примірником шкідливого програмного забезпечення, так як автори вкрай серйозно підійшли до процесу його розробки. Можна сміливо сказати, що бот Festi — шедевр серед шкідливого програмного забезпечення.

Див. також

Ботнети Шкідливе програмне забезпечення Кібервійна

Примітки

Посилання

Top 10 botnets and their impact, December 9, 2009, Top 10 botnets and their impact, Help Net Security The top 10 'most wanted' spam-spewing botnets Rustock, Mega-D, Festi, Pushdo among worst botnet offenders, July 15, 2010, Ellen Messmer, Network World При DDoS-атаці на Аерофлот використовували ботнет Festi, 18 липня 2012, SecureLab The New Era of Botnets, White Paper Festi botnet takes over following Grum shutdown, August 17, 2012, ComputerWorld UK Spam botnets: The fall of Grum and the rise of Festi, August 16, 2012, Thomas Morrison, SPAMHAUS Spamhaus: Grum Dead, Festi Alive and Well August 22, 2012, Malcolm James, All Spammed Up The Global Botnet Threat, November 14, 2012, MacAfee