Пакет вредоносного ПО имеет панель управления, размещенную на удаленном сервере. Она позволяет отдавать команды подчинённым компьютерам и отслеживать количество заражений и ботов, находящихся в распоряжении атакующего.
Рисунок 2. Планирование атаки DDoS по HTTP
В сравнении с другими подобными предложениями Zemra предоставляет большее количество функций:
- 256-разрядное шифрование взаимодействия сервера с клиентом по протоколу DES;
- Проведение DDoS-атак;
- Мониторинг устройств;
- Загрузка и выполнение двоичных файлов;
- Установка и постоянная проверка наличия заражения;
- Распространение по USB;
- Автоматическое обновление;
- Автоматическая деинсталляция;
- Сбор информации о системе.
Однако главной его функцией является осуществление DDoS-атак на удаленный компьютер по выбору пользователя. Изначально, при заражении компьютера, код Backdoor.Zemra связывается с «хозяином» по HTTP и отправляет запрос, передавая информацию об оборудовании, текущем пользовательском программном агенте, уровне прав пользователя и версии ОС. Данный запрос обрабатывается скриптом gate.php, извлекающим информацию и размещающим её в базе данных SQL. На основе этой информации отслеживаются готовые к выполнению заданий компьютеры.
Исследование полученного кода позволило определить два типа DDoS-атак, реализуемых этим ботом – HTTP-флуд и SYN-флуд.
При атаке первого типа (HTTP-флуд) происходит открытие соединения с произвольным портом атакуемого компьютера (в этом случае имеется специальная возможность закрывать подобное соединение, не дожидаясь окончания таймаута). После чего соединение на стороне клиента закрывается и открывается новое с небольшой паузой.
Атака второго типа (SYN-флуд) позволяет отправлять множество пакетов вызова на компьютер-мишень одновременно. Задачей подобного типа атак является создание перегрузки сервера при обработке им сетевых запросов.
Антивирусные продукты компании Symantec с 25 июня 2012 года определяют данную угрозу как Backdoor.Zemra. Для предотвращения заражения этим вирусом эксперты Symantec рекомендуют пользователям убедиться, что у них на компьютерах установлены новейшие технологические средства защиты Symantec с обновленными антивирусными базами.
Редактор раздела: Алена Журавлева (info@mskit.ru)
Рубрики: ПО, Безопасность