XLoader Botnet Operators Mask C&C-servrar som använder sannolikhetsteori
Check Point har upptäckt en ny version av botnätet XLoader, ett informationstjälande botnät som attackerar Windows- och MacOS-system som använder ett nytt sätt att maskera C&Värdena som skapas i Actions.
Enligt experter från Check Point, den nya versionen av XLoader använder sannolikhetsteori till “Dölj” angripare’ C&Värdena som skapas i Actions, gör skadlig programvara mycket svår att upptäcka.
Hög stealth uppnås genom att dölja domännamnet för den riktiga C&C-server tillsammans med en konfiguration som innehåller 64 falska domäner, från vilken 16 domäner är slumpmässigt valda, och sedan två av dessa 16 är ersatta med en falsk C&C-adress och en riktig adress.
Du kanske också är intresserad av att veta vad ryska Fronton Botnet kan göra mycket mer än massivt DDoS Attacker.
I nya versioner av XLoader, mekanismen har förändrats: efter att ha valt 16 falska domäner från konfigurationen, de första åtta domänerna skrivs över och ges nya slumpmässiga värden före varje kommunikationscykel. På samma gång, åtgärder vidtas för att hoppa över den verkliga domänen.
För övrigt, XLoader 2.5 ersätter tre domäner från den skapade listan med två falska serveradresser och det riktiga C&C-serverdomän. Hackarnas slutmål är uppenbart – för att förhindra upptäckten av den verkliga C&C-server, baserat på förseningarna mellan åtkomsterna till domänerna.
XLoader skapar först en lista med 16 domäner som väljs slumpmässigt från 64 domäner lagrade i konfigurationen. Efter varje försök att komma åt det valda 16 domäner, följande kod exekveras:
