XLoader Botnet Operator Mask C&C servery využívající teorii pravděpodobnosti
Check Point objevil novou verzi botnetu XLoader, botnet kradoucí informace, který útočí na systémy Windows a MacOS který používá nový způsob maskování C&Hodnoty vytvořené v akcích.
Podle odborníků z Kontrolní bod, novou verzi XLloader používá teorie pravděpodobnosti na “skrýt” útočníci’ C&Hodnoty vytvořené v akcích, velmi obtížně detekovatelný malware.
Vysoké utajení je dosaženo skrytím názvu domény skutečného C&C server spolu s konfigurací obsahující 64 falešné domény, z nichž 16 domény jsou vybírány náhodně, a pak dva z nich 16 jsou nahrazeny falešným C&C adresa a skutečná adresa.
Také by vás mohlo zajímat co ruština Fronton Botnet dokáže mnohem víc než jen masivní DDoS Útoky.
V nových verzích XLoaderu, mechanismus se změnil: po výběru 16 falešné domény z konfigurace, prvních osm domén je před každým komunikačním cyklem přepsáno a jsou jim přiděleny nové náhodné hodnoty. Ve stejnou dobu, jsou přijímána opatření k přeskočení skutečné domény.
Dále, XLloader 2.5 nahradí tři domény z vytvořeného seznamu dvěma falešnými adresami serveru a skutečným C&doména serveru C. Konečný cíl hackerů je zřejmý – zabránit objevení skutečného C&C server, na základě zpoždění mezi přístupy k doménám.
XLoader nejprve vytvoří seznam 16 domény, které jsou náhodně vybrány z 64 domény uložené v konfiguraci. Po každém pokusu o přístup k vybranému 16 domény, provede se následující kód:
