XLoader Botnet Operators Mask C&C-servere som bruker sannsynlighetsteori
Check Point har oppdaget en ny versjon av XLoader-botnettet, et botnett som stjeler informasjon som angriper Windows- og MacOS-systemer som bruker en ny måte å maskere C&Verdiene skapt i Actions.
Ifølge eksperter fra Sjekkpunkt, den nye versjonen av XLoader bruker sannsynlighetsteori til “gjemme seg” angripere’ C&Verdiene skapt i Actions, gjør skadelig programvare svært vanskelig å oppdage.
Høy stealth oppnås ved å skjule domenenavnet til den ekte C&C-server sammen med en konfigurasjon som inneholder 64 falske domener, hvorfra 16 domener er tilfeldig valgt, og så to av disse 16 er erstattet med en falsk C&C-adresse og en ekte adresse.
Du kan også være interessert i å vite hva russisk Fronton Botnet kan gjøre mye mer enn massivt DDoS Angrep.
I nye versjoner av XLoader, mekanismen har endret seg: etter å ha valgt 16 falske domener fra konfigurasjonen, de første åtte domenene blir overskrevet og gitt nye tilfeldige verdier før hver kommunikasjonssyklus. Samtidig, tiltak er iverksatt for å hoppe over det virkelige domenet.
I tillegg, XLoader 2.5 erstatter tre domener fra den opprettede listen med to falske serveradresser og den ekte C&C server domene. Det endelige målet til hackerne er åpenbart – for å forhindre oppdagelsen av den virkelige C&C -server, basert på forsinkelsene mellom tilganger til domenene.
XLoader oppretter først en liste over 16 domener som er tilfeldig valgt fra 64 domener som er lagret i konfigurasjonen. Etter hvert forsøk på å få tilgang til det valgte 16 domener, følgende kode kjøres:
