[opennet.ru] Самоуничтожение ботнета привело к разрушению операционной системы Windows на 100 тыс. ПК

>Вот так и получается, что комп с виндой тебе на самом деле не принадлежит

Здравия желаю, товарищ Капитан.

А вот здесь: http://blog.s21sec.com/2009/04/when-bot-master-goes-mad-kill-os.html считают, что функция "kill OS" нужна, чтобы оставить жертву без интернета на то время, пока снимают деньги с его счетов. Чтобы он как можно дольше не мог заметить пропажу.

Зачем дискасс, какое нам дело до ущербных?

Это ж нужно одновременно и заботать комп, и знать, как снять деньги у его владельца, причем нужно сотни тысяч этого. В десять случаев еще можно поверить, а в сто тысяч - нет.

>Зачем дискасс, какое нам дело до ущербных?

Это мы проводим подготовку к пиар-компании. Не пали контору.

> Это ж нужно одновременно и заботать комп,

Техника давно отработана. Они купили готовый троян-тулкит :)

> и знать, как снять деньги у его владельца,

Платёжных систем и банков не так уж много. Даже если ограничиться только имеющими доступ через браузер с возможностью сохранения пароля и только теми пользователями, которые сохраняют пароли, получится немало.

Затем можно задействовать кейлоггер или аналог WinMacro и записать пароли у тех, кто пароли не сохраняет.

Для этих снятие денег можно автоматизировать.

> причем нужно сотни тысяч этого.

100 000 протрояненых в первом сообщении. У всех Windows, значит, минимум, у 60% IE (думаю, гораздо больше), скорее всего у большинства настройки по умолчанию — с сохранением пароля. Пусть будет половина от 60%. Думаю, найдётся платёжная система, доля которой среди испанских пользователей-чайников составляет десятки процентов. Пусть 20. Итого имеем 6000 жертв, которых можно обворовать за секунды. Даже не задействуя сложные инструменты вроде кейлоггеров.

> В десять случаев еще можно поверить, а в сто тысяч - нет.

А в 6 тысяч готов поверить? А остальные — за компанию, чтоб никого случайно не пропустить.

Я всё-таки считаю уничтожение реестра в Zeus заметанием следов. Но по моей ссылке есть и трояны, удалявшие ntldr и %WINDIR%\System32. Считаешь, что просто из вредности?

>Для этих снятие денег можно автоматизировать.

Ага. Это можно, вероятно.

>Считаешь, что просто из вредности?

Да я еще досовый darkavenger помню, только с тех пор вирусы стали коммерческими. Да и вообще, украл и тихо смылся - это лучше, чем украл и поджег дом.

s/удалявшие/способные удалять/

>Считаешь, что просто из вредности?

Да я еще досовый darkavenger помню, только с тех пор вирусы стали коммерческими.

Вот именно. Зарабатывание денег плохо сочетается с истерическими припадками.

> Да и вообще, украл и тихо смылся - это лучше, чем украл и поджег дом.

Отягчающее обстоятельство, да. Но он может рассчитывать, что пока тушат, ловить его не будут.

А второй раз зайти он уже не сможет.

> А второй раз зайти он уже не сможет.

А зачем? Деньги он взял, сколько мог, продажей ботнетов не занимается, благо создать новый легко, дырявых компьютеров достаточно, а жадность до добра не доводит, важно уйти вовремя.

дайте вотки. очень страшно

По ссылке рассказывается зачем нужна команда "kos" вообще, а не зачем её использовать одновременно для всей сети ботнета. Легко поверить, если злоумышленник обрабатывает своих жертв последовательно, параллельно при этом заражая другие компьютеры. Для того, чтобы вычислить негодяя вся сеть и не нужна, поэтому в версию "заметания следов" верится с трудом. Захотели бы - уже давно вычислили с помощью подставных компьютеров с "вылеченым" трояном.

> Захотели бы - уже давно вычислили с помощью подставных компьютеров с "вылеченым" трояном.

Шаман об этом как-то рассказывал. Почему Касперский не имеет возможности так делать. Не вдаваясь в детали (которых я и не помню): это незаконно.