Компания ESET оказала помощь Microsoft, польскому CERT и правоохранительным органам по всему миру в ликвидации ботнета Dorkbot с привлечением механизма sinkhole для управляющих C&C-серверов этого ботнета. Мы хотим опубликовать обзорный технический анализ этой вредоносной программы, некоторую статистическую информацию по заражениям и информацию о C&C-серверах.



Для оказания необходимой помощи в ликвидации этого ботнета, нами был использован большой накопленный опыт в отслеживании данной угрозы и защиты от нее пользователей. Исчерпывающая информация об этой угрозе была представлена еще в 2012 г. исследователем ESET Pablo Ramos на конференции Virus Bulletin.

Злоумышленники сумели заразить с использованием Dorkbot многих пользователей в более чем 200 странах мира. Вредоносная программа обнаруживается антивирусными продуктами ESET как Win32/Dorkbot и для ее распространения привлекались социальные сети, спам-рассылки, наборы эксплойтов, а также механизмы распространения через съемные носители. Будучи установленным на ПК, Dorkbot нарушает работу установленных антивирусных продуктов, блокируя им доступ для получения обновлений. Бот использует протокол IRC для получения инструкций от злоумышленников.

Кроме выполнения привычных для троянских программ функций, таких как, кража паролей от популярных сервисов Facebook и Twitter, Dorkbot специализируется на установке в скомпрометированной системе одной или нескольких других вредоносных программ. Мы фиксировали установку ботом таких вредоносных программ как Win32/Kasidet (Neutrino бот), а также Win32/Lethic. Первая используется злоумышленниками для проведения DDoS-атак, а вторая представляет из себя спам-бот.

Dorkbot до сих пор является очень распространенным во многих странах мира. Каждую неделю мы наблюдаем тысячи заражений пользователей данной вредоносной программой и свежие образцы бота пребывают в нашу антивирусную лабораторию ежедневно. Неудивительно, что Dorkbot стал целью правоохранительных органов. Для проверки своей системы на заражение Dorkbot и его последующего удаления, воспользуйтесь нашим бесплатным инструментом Dorkbot Cleaner.


Рис. География распространения Dorkbot.

На диаграмме ниже показаны различные компоненты, которые используются в последних версиях Dorkbot, нам удалось их проанализировать.



Рассмотрим типичный процесс заражения вредоносной программой через съемный USB-накопитель, который поможет лучше проиллюстрировать роль каждого модуля. Так как Dorkbot выполняет поиск подключенных к зараженной системе съемных носителей для их последующей компрометации, многие из наших обнаружений образцов этой вредоносной программы срабатывали именно на съемных носителях. При этом на них было обнаружено два типа файлов Dorkbot: исполняемый файл дроппера и .LNK-файлы с фишинговыми названиями, которые указывают на файл дроппера.

При запуске пользователем дроппера Dorkbot с USB-носителя (обнаруживается AV-продуктами ESET как Win32/Dorkbot.I), он пытается загрузить с удаленного сервера основной компонент вредоносной программы. Адрес самого сервера жестко зашит в исполняемом файле дроппера. Загруженный файл сильно упакован, а его код извлекает из себя и исполняет исполняемый файл Win32/Dorkbot.L, который представляет из себя простую обертку (wrapper), используемую для установки основного компонента. Этот основной компонент обнаруживается нами как Win32/Dorkbot.B и отвечает за работу с удаленным сервером по IRC. Обертка также специализируется на перехвате API-функции DnsQuery у основного компонента. Такой метод используется Dorkbot для усложнения обнаружения доменов настоящих C&C-серверов антивирусными аналитиками, поскольку в таком случае у запускаемого компонента отсутствуют адреса настоящих C&C-серверов злоумышленников. Когда он попытается выполнить трансляцию доменов через DnsQuery, вызов функции будет перехвачен и в качестве одного из аргументов обертка передаст API-функции адрес настоящего C&C-сервера.

После завершения установки вредоносной программы, бот будет пытаться подключиться к IRC-серверу и будет ожидать поступления определенных команд по фиксированному каналу от злоумышленников. Как правило, бот получает команды на загрузку и исполнение в системе новых вредоносных программ, которые были указаны выше.

Ботнет на основе Dorkbot активен уже давно и злоумышленники успешно используют его по сей день. Инфраструктура управляющих C&C-серверов этого ботнета является одной из тех, деятельность которой отслеживают специалисты компании ESET. Такая информация очень важна для отслеживания изменений в поведении вредоносной программы, а также для накапливания информации о ней, с целью ее использования правоохранительными органами.

Вредоносная программа Dorkbot не использует каких-либо новых методов для компрометации новых систем. Пользователи должны быть осторожны при открытии файлов на сменных носителях, а также тех файлов, которые они получают через электронную почту и социальные сети. Для проверки своей системы на заражение Dorkbot, можно воспользоваться нашим бесплатным инструментом отсюда. На сегодняшний день антивирусные продукты ESET тысячи различных модификаций файлов Dorkbot, а также файлов вредоносных программ, которые распространяются этим ботнетом.

Ниже приведены примеры URL-адресов или их составляющих, на срабатывание которых нацелен компонент похитителя паролей Dorkbot.

*paypal.*
*google.*
*aol.*
*screenname.aol.*
*bigstring.*
*fastmail.*
*gmx.*
*login.live.*
*login.yahoo.*
*facebook.*
*hackforums.*
*steampowered*
*no-ip*
*dyndns*
*runescape*
*.moneybookers.*
*twitter.com/sessions*
*secure.logmein.*
*officebanking.cl/*
*signin.ebay*
*depositfiles.*
*megaupload.*
*sendspace.com/login*
*mediafire.com/*
*freakshare.com/login*
*netload.in/index*
*4shared.com/login*
*hotfile.com/login*
*fileserv.com/login*
*uploading.com/*
*uploaded.to/*
*filesonic.com/*
*oron.com/login*
*what.cd/login*
*letitbit.net*
*sms4file.com/*
*vip-file.com/*
*torrentleech.org/*
*thepiratebay.org/login*
*netflix.com/*
*alertpay.com/login*
*godaddy.com/login*
*namecheap.com/*
*moniker.com/*
*1and1.com/xml/config*
*enom.com/login*
*dotster.com/*
*webnames.ru/*
*:2082/login* (possibly targeting cpanel)
*:2083/login* (possibly targeting cpanel)
*:2086/login* (possibly targeting GNUnet)
*whcms*
*:2222/CMD_LOGIN* (possibly targeting DirectAdmin)
*bcointernacional*
*members.brazzers.com*
*youporn.*
*members*