XLoader Botnet Operators Mask C&C-servere, der bruger sandsynlighedsteori
Check Point har opdaget en ny version af XLoader-botnettet, et informationstjælende botnet, der angriber Windows- og MacOS-systemer der bruger en ny måde at maskere C på&Værdierne skabt i Actions.
Ifølge eksperter fra Kontrolpunkt, den nye version af XLoader bruger sandsynlighedsteori til “skjule” angribere’ C&Værdierne skabt i Actions, gør malware meget vanskelig at opdage.
Høj stealth opnås ved at skjule domænenavnet på den rigtige C&C-server sammen med en konfiguration, der indeholder 64 falske domæner, hvorfra 16 domæner er tilfældigt udvalgt, og så to af disse 16 er erstattet med en falsk C&C-adresse og en rigtig adresse.
Du kan også være interesseret i at vide hvad Russisk Fronton Botnet kan meget mere end massivt DDoS Angreb.
I nye versioner af XLoader, mekanismen har ændret sig: efter at have valgt 16 falske domæner fra konfigurationen, de første otte domæner overskrives og får nye tilfældige værdier før hver kommunikationscyklus. På samme tid, der træffes foranstaltninger for at springe det rigtige domæne over.
Desuden, XLoader 2.5 erstatter tre domæner fra den oprettede liste med to falske serveradresser og det rigtige C&C server domæne. Hackernes ultimative mål er indlysende – for at forhindre opdagelsen af den rigtige C&C server, baseret på forsinkelserne mellem adgange til domænerne.
XLoader opretter først en liste over 16 domæner, der er tilfældigt udvalgt fra 64 domæner gemt i konfigurationen. Efter hvert forsøg på at få adgang til det valgte 16 domæner, følgende kode udføres:
