BillGates द्वारा किस पर हमला किया जा रहा है?

ऐसा लगता है कि बिलगेट्स बोटनेट अधिक से अधिक फैल रहा है - 4 परिचितों ने पहले ही मुझसे पूछा है कि इससे कैसे छुटकारा पाया जाए, और यह क्या है।

मैं अपने सिस्टम पर ठीक काम करने वाला एक नया संस्करण प्राप्त करने में कामयाब रहा (सर्वर और डॉस-कीचड़ से कमांड प्राप्त किया), और यह मजेदार है!

क्या बदल गया है?

गेट्स मॉड्यूल में अब 2 मॉड्यूल शामिल हैं: बीकोंग और मॉनिटर ( मॉनी ) । यदि यह पथ पर शुरू होता है / usr / bin / pojie (मेरे मामले में), तो मोनी शुरू होता है, अगर किसी अन्य तरीके से, तो Beikong। Beikong, वास्तव में, बकवास है जो अन्य मॉड्यूल को पुन: कॉन्फ़िगर और अपडेट करता है, और मोनी सभी मॉड्यूल की स्थिति की निगरानी करता है (और यदि आवश्यक हो तो उन्हें पुनः आरंभ करता है), उनसे आंकड़े एकत्र करता है और इसे Beikong के माध्यम से सर्वर को भेजता है। यदि / usr / bin / pojie मौजूद नहीं है, तो Beikong खुद को वहां कॉपी करेगा और चलाएगा।















Beikong /tmp/notify.file में खुद के लिए रास्ता लिखता है, और मोनी अपनी PID को /tmp/moni.lock को लिखता है ।

गेट्स अभी भी UPX द्वारा पैक किए गए सरल DDoS मॉड्यूल को ड्रॉप करता है (मेरे मामले में, इसे फिर से कपडश कहा जाता था)।

अधिक बड़े बदलाव नहीं हुए हैं।

मजा करने का समय!

चूंकि बॉटनेट मेरे कंप्यूटर पर काम कर रहा था और यहां तक ​​कि किसी पर हमला करना शुरू कर दिया था, इसलिए मैंने यह देखने का फैसला किया कि CnC सर्वर और बॉट के बीच ट्रैफ़िक कैसे चलता है। जैसा कि अपेक्षित था, कोई एन्क्रिप्शन नहीं था, और सब कुछ स्पष्ट में चला गया।

यह ध्यान दिया जाना चाहिए कि गेट्स एक प्रकार के CnC सर्वर का उपयोग करता है (बिल मॉड्यूल के लिए और मोनी के माध्यम से आंकड़े भेजना), और "मेलिंडा" (वह मॉड्यूल जिसे मैंने पिछले लेख में "दस्तक" कहा था। वास्तव में, यह एक उन्नत डीडीओ मॉड्यूल है। , और मुझसे गलती हुई। नाम कोड में दिखाई नहीं दिया, और मैंने इसे देने का फैसला किया) एक और, और उनके पास अलग-अलग संचार प्रोटोकॉल हैं, लेकिन समानताएं हैं।



स्टार्टअप पर, दोनों मॉड्यूल अपने सर्वर से कनेक्ट होते हैं और एक हेलो पैकेज भेजते हैं: गेट्स के लिए, इसमें ओएस, कर्नेल, नाम और मॉड्यूल का संस्करण होता है, और मेलिंडा केवल ओएस और कर्नेल का नाम होता है।

मैंने प्रसिद्ध वीडियो की सिफारिशों के अनुसार पैकेज में डेटा को बदल दिया।











फिर, उन्हें पिंग पैकेट में एक दूसरे के साथ आदान-प्रदान किया जाता है।

गेट्स CnC एक बार में कई सर्वर भेज सकते हैं जो कि कप्सड के माध्यम से हमला कर सकते हैं। मॉड्यूल विशेष रूप से स्मार्ट नहीं है, केवल टीसीपी पर हमला कर सकता है और नकली पैकेट नहीं कर सकता है, जिसे मेलिंडा के बारे में नहीं कहा जा सकता है, जो टीसीपी, यूडीपी, आईसीएमपी और 2 प्रकार के डीएनएस पर हमला कर सकता है।

ट्रैकिंग

सामान्य तौर पर, मैंने इस बॉटनेट के लिए एक ट्रैकर लिखने का फैसला किया: एक क्लाइंट जो CnC सर्वर से कनेक्ट होगा और DDoS कमांड प्राप्त करेगा। ट्रैकर गेट्स और मेलिंडा सर्वर दोनों के साथ काम करता है। और लिख दिया।



github.com/ValdikSS/billgates-botnet-tracker



लगभग एक सप्ताह तक मैंने बॉटनेट के कार्यों की निगरानी की और परिणामों को डेटाबेस में लिखा।



















हां, मैं बहुत आलसी हूं कि phpmyadmin ने मुझे ग्राफिक्स आकर्षित किया।

आप यहां वास्तविक समय में बॉटनेट के कार्यों को ट्रैक कर सकते हैं:

billgates.valdikss.org.ru



अपने सर्वर का ख्याल रखें।