Концы в воду

ДДосье

добавить в избранное

Концы в воду

Прочитали: 12099 Комментариев: 104 Рейтинг: 322

14 февраля 2017

Раз, два, три, четыре, пять,
я иду искать!
Кто не спрятался –
Я не виноват!

Детская считалочка

DDoS-атака не может произойти сама по себе. За ней стоят заказчик и исполнитель, который ее начинает, отслеживает процесс, корректирует список атакуемых узлов, отчитывается перед заказчиком о проделанной «работе» и т. д.

Рассмотрим атаку с помощью ботнета, т. е. сети зараженных компьютеров – это самый простой способ. При такой атаке исполнитель заказа посылает команду на управляемый им ботнет, и все компьютеры начинают выдавать запросы на атакуемый сервер. Каждый компьютер имеет адрес в сети. То есть атакуемый сервер знает адреса компьютеров, с которых идут обращения к нему. Проанализировав файлы отчета на машинах ботнета, можно выйти на ПК, с которого была отдана команда атаковать.

Казалось бы, ничего сложного. Но почему же тогда так мало известно уголовных дел, по которым проходят соучастники DDoS-атак?

Во-первых, не все всегда так просто с самим ботнетом.

Современные ботнеты условно делятся на два типа. Первый получает команды с управляющих серверов, второй работает без них, напрямую передавая информацию от одного зараженного узла к другому. Linux.Rex.1 организует бот-сети второго типа. Они называются одноранговыми, пиринговыми или P2P-сетями (от англ. peer-to-peer, «равный к равному»). В архитектуре Linux.Rex.1 имеется собственная реализация протокола, позволяющего обмениваться информацией с другими зараженными узлами и создавать таким образом децентрализованный P2P-ботнет. Сам зараженный компьютер при запуске троянца работает как один из узлов этой сети.

Троянец принимает от других инфицированных компьютеров управляющие директивы по протоколу HTTPS и при необходимости передает их другим узлам ботнета. По команде Linux.Rex.1 начинает или останавливает DDoS-атаку на узел с заданным IP-адресом.

Еще одна функция Linux.Rex.1 — рассылка сообщений по электронной почте. В этих письмах злоумышленники угрожают владельцам веб-сайтов организовать на них DDoS-атаку. Чтобы избежать атаки, потенциальной жертве предлагается заплатить выкуп в криптовалюте биткойн.

http://news.drweb.ru/show/?i=10157

Таким образом, ботнет не имеет единой точки управления. Команды передаются от одного компьютера к другому. Разматывать этот клубок – сложно и долго, так как компьютеры могут находиться по всему миру.

Вторая проблема – отчеты, по которым можно узнать, с каких адресов происходило обращение к узлу ботсети. Лог выглядит примерно так:

#drweb

На всякий случай отметим, что в данном примере все приложения – легальные.

Такие отчеты, как правило, не имеют защиты, и хакеры могут их удалить. Так что следы будут стерты – если, конечно, вы не делаете регулярный бекап!

И наконец, третье. Хакер может командовать атакой не со своего компьютера, а удаленно – со взломанного. Вполне возможно, находящегося в другой стране. И на этом компьютере он тоже способен подчистить логи. #DDoS-атака #ботнет #взлом #киберпреступление #безопасность

Антивирусная правДА! рекомендует

Если вы не хотите стать частью ботсети (и, следовательно, – соучастником атак), установите средства защиты, в первую очередь антивирус.
Устанавливайте обновления всего используемого ПО – вредоносные программы могут проникнуть к вам через уязвимости в разных программах.
Используйте сложные пароли. Очень часто проникновение происходит после перебора паролей доступа – а они зачастую оказываются у разных пользователей одинаковыми.
Регулярно делайте резервное копирование (бекап) – это позволит найти следы преступления, если оно все-таки будет совершено.

Оцените выпуск

Чтобы проголосовать зайдите в аккаунт на сайте или создайте его, если аккаунта еще нет.

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.

Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Dronn
08:31:49 2024-09-02

У меня был случай такой, троянца подцепил какого и мой компьютер вошел в ботнет, стал троить и все такое потом на каком то ресурсе посмотрел свой айпи адрес, а там оказывается что мой комп передавал какие то запросы не понятно куда и это ботнет, написал провайдеру поменяли айпишник сразу же. Статья полезная для понимание ботнет систем.

Karnegi
12:12:49 2020-03-25

Бдительность помноженная на осторожность!!!

cruise
12:47:32 2020-01-22

Никогда не хотел стать частью бот-сети. Интересно, есть ли какая статистика по количеству машин входящих в бот сети, пользователи которых об этом не подозревают.

Toma
17:59:04 2019-02-22

Антивирус и сложные пароли - гарантия защиты!

Денисенко Павел Андреевич
17:55:55 2018-07-26

Сложные пароли тоже неоходимо устанавливать)

Jin
18:06:38 2018-05-16

Если бы все выполняли рекомендации Dr.Web...

vasvet
08:58:40 2018-04-14

Очень поучительно, спасибо за информацию.

alex-diesel Собкор
10:27:30 2018-04-03

все сложнее компьютерная жизнь, все разнообразнее угрозы и утомительнее процедуры защиты.
Чего ждать? Революционного прорыва в безопасности или катастрофического провала?

a13x Собкор
09:10:32 2017-02-19

Бекапы нужны как воздух. И чем дальше - тем потребность в них острее. К сожалению.

Anfre
06:36:19 2017-02-19

Коментарии как обычно - на высоте. ))

Okcana
15:08:54 2017-02-16

Советую прочитать!!!

sania2186
19:05:37 2017-02-15

Регулярно делайте резервное копирование

Неуёмный Обыватель Собкор
01:24:34 2017-02-15

@razgen, когда-то досконально изучал сайты и форумы большинства самых известных антивирусных компаний (около 15) и даже развивал сайт, посвященный вирусам и антивирусам. А также был партнером одновременно 5 вендоров в этой сфере. Но ориентиры поменялись и всё это уже в прошлом. Как вы сказали, "нет времени чтобы более глубоко изучить все возможности и функционалы своего антивируса".

Неуёмный Обыватель Собкор
01:16:59 2017-02-15

@razgen, этому "что-то не вяжется со статистикой прочитавших прошлые выпуски" есть логичное объяснение. Я это уже спрашивал в одном из выпусков про природу этой аномалии. Администрация ответила, что те 3 дня: 4,5 и 8 августа и еще больший всплеск 29.07 (почти 100 тыс прочитавших) производилась переадресация на сегодняшний (текущий) выпуск АП после скачки утилиты Dr.Web CureIt! Попытка популяризации, так сказать.

razgen Собкор
01:07:57 2017-02-15

Неуёмный Обыватель, во Вы сами читаете форумы или какие-то другие образовательные проекты на сайтах других антивирусов.
Лично я на сайты других антивирусов вообще не захожу и даже не знаю что у них имеется в плане образовательно-поучительного по нескольким причинам. Какой смысл мне изучать проекты других антивирусов, если у меня установлен данный антивирус и я хочу лучше изучить его возможности с помощью этого проекта.
Во вторых нет времени чтобы более глубоко изучить все возможности и функционалы своего антивируса. Стараюсь понемножку, понемножку с каждым выпуском что нибудь усвоить.
Точно так же пользователи других антивирусов тусуются на своих проектах.

Неуёмный Обыватель Собкор
00:57:46 2017-02-15

@razgen, согласен с вами в том, что большая часть "слухом не слыхивал и слушать не хотят". Посторонний человек слушая пропагандиста выпусков АП или рекомендаций из них, может посчитать, что столкнулся с неким сектантом, членом общества параноиков-фанатов зелёных пауков )))

razgen Собкор
00:53:34 2017-02-15

Неуёмный Обыватель, а Вы вот не подумали что что-то не вяжется со статистикой прочитавших прошлые выпуски которую Вы приводите. Если посмотреть от сегодняшнего дня назад, то в основном две с лишним тысячи до 9 августа 2016, а 08 августа сразу резкий скачок на порядок. Ну не могут два соседних дня так разнится.

Неуёмный Обыватель Собкор
00:47:17 2017-02-15

@razgen, мне повезло чуток побольше - я знаю лично несколько человек, читающих АП и внемлющих рекомендациям. Хотя чего уж "повезло"? Не буду скромничать, то что они стали читать - результат моей пропаганды. Не будем ориентироваться на серую массу, будем продвигать АП в массу!

razgen Собкор
00:41:36 2017-02-15

@Неуёмный_Обыватель, я хочу сказать что я пока в жизни ещё не встретил ни одного живого человека читающего выпуски АП. У кого не спрошу и на работе и в различных организациях и у друзей у знакомых никто об этом слухом не слыхивал и слушать не хотят. Короче у всех в ответ только смех, тебе видно делать нечего. Поставили любой антивирус и забыли. Многие не знают что это такое и вообще установлен ли у них антивирус. Говорят зачем мне голову этим забивать, мне подключили компьютер работает и что ещё надо. Поспрашивайте у своих знакомых знают ли они об этом.
А выпуски нужны для тех кто их читает. И постепенно они будут набирать популярность побольше.

Неуёмный Обыватель Собкор
00:40:55 2017-02-15

@razgen, конечно, вопрос про "если у вас подозрение, что у вас на ПК орудует хакер, выдерните кабель к интернету" вы не задавали. Просто я переадресовал вам известную мне десятилетиями рекомендацию. Дело в том, что "выдернув кабель от интернета" (или отключив его) решаются сразу 2 задачи:
1) перестать быть участником атаки
2) возможность сохранить для анализа как раз те логи, про которые идет речь в выпуске.

Ну и после этого как раз самое время выполнить рекомендацию №4 из выпуска - сделать бекап.

Неуёмный Обыватель Собкор
00:20:09 2017-02-15

@razgen, к чему эти проценты? Вы хотите обратиться к готовящим выпуски, чтобы они больше не писали муру, ибо всё равно их читает количество читателей стремящихся к 0%? Странно, что вы никак не хотите принимать такую истину, что можно работать на ПК, не имеющем доступа в сеть (хотя бы периодически), но при этом как-то быть в курсе мировых новостей, либо каким-то образом с другого ПК получать доступ к интернету, например. То, что вы не можете представить такую ситуацию, не означает, что этого не существует. Я знаю множество предприятий, где есть ПК или даже много ПК, но нет интернета. Также, у меня полно знакомых в деревне, у кого никогда не было интернета, но лет 15, как есть ПК или даже 2-3 в доме. Вы не поверите, компьютеры ни первых, ни вторых никогда не были частями ботсетей. Про что я и писал, что "Самый простой способ не стать частью ботсети - не подключать свой ПК или устройство вообще ни к каким сетям." И
это совершенно не равносильно вашему "Это всё равно что сказать: "Самый простой и самый надёжный способ не стать частью ботсети - не иметь ПК и никакие другие гаджеты". У них есть ПК и они им пользуются в тех случаях, для каких они приобретены. И они могут уверенно сказать, что никогда их компьютеры не были виновными в DDoS-атаках.

razgen Собкор
23:58:50 2017-02-14

Неуёмный Обыватель, да хоть 50 000, что это значит по отношению к 150 млн. это 0,03 процента. Представляете три сотых одного процента, а неизвестно у скольких пользователей из из этих трёх сотых процента, по нескольку компьютеров которые не подключены и подключены к сети а может ни одного такого и нет среди этих 0,03%. Всё равно вероятность такого случая стремится кнулю. В этом несложно убедиться, используя формулы теории вероятностей.

razgen Собкор
23:58:16 2017-02-14

Неуёмный Обыватель, @razgen, да и рекомендацию "если у вас подозрение, что у вас на ПК орудует хакер, выдерните кабель к интернету" никто не отменял ;)

Видимо не по адресу. Я такой вопрос не задавал.

Х...р
22:41:15 2017-02-14

проблема есть

Неуёмный Обыватель Собкор
22:39:46 2017-02-14

@razgen, кстати, насчет "читают порядка 2 000 пользователей". Например, выпуск от 8 августа 2016 года "Все ходы записаны" и тема которого перекликается, с этим выпуском в части того, что можно по логам распутать, прочитали на данный момент 20246 читателя. А предыдущий выпуск от 5 августа и того более- 46721 раза. В упоминаемом выпуске вы кстати спрашивали: "razgen
11:41:21 2016-08-08

Использую Dr.Web Security Space. Есть ли необходимость дополнительно устанавливать расширение Dr.Web Link Checker? Или в Dr.Web Security Space "всё включено", в том числе и функционал выполняемый "Линкчекером"."

Вот вам там как раз ответили на этот вопрос. Просто вы на днях (в выпуске от 9 февраля 2017 года) опять задали этот вопрос и вам уже ответили неправильно обычные читатели. А в том старом выпуске был правильный ответ от сотрудника DrWeb- КК.

orw_mikle
22:38:58 2017-02-14

Спасибо, все так и делаем, согласно ваших рекомендаций.

vla_va
22:38:02 2017-02-14

Разматывать этот клубок – сложно и долго...

tosya
22:19:37 2017-02-14

антивирус,брандмауэр

Неуёмный Обыватель Собкор
22:17:20 2017-02-14

@razgen, очень странные выкладки? То, что не читают, не означают, что не имеют возможности прочитать. Никто им не блокирует доступ на этот сайт. Да и через любой поисковик могут запросто попасть сюда.
Какое отношение имеют закупки какого-то конкретного антивируса какой-то конкретной АЭС к необходимости изоляции их ПК от внешних сетей? И как это помешает сотруднику АЭС через поисковик вечерком попасть на этот сайт? Вывод "закупали мегапупердругой антивирус... соответственно не заглядывают" просто убийственный. Давайте не будем никому ограничивать чтение выпусков и заявлять, что выпуск для кого-то не предназначен ;)
P.S. Насчет моей наивности, я полагаю, вы очень и очень сильно заблуждаетесь )))

В...а
22:14:49 2017-02-14

концы в логах

amonn
22:08:12 2017-02-14

Чем дальше в лес...

iAFC
22:07:19 2017-02-14

Используй антивирус и не парься

Леонид
22:05:12 2017-02-14

главное чтобы уменьшалось количество атак!

razgen Собкор
21:54:21 2017-02-14

@Неуёмный_Обыватель, <<....Выпуск можно прочитать спокойно на ПК, подключенном к сети и при этом иметь в наличии один или даже целю армию ПК, не подключенных к сети.....>>

Вы очень наивны. С учётом того что только у нас в стране имеется более 100 000 000 ПК, а выпуски АП читают порядка 2 000 пользователе. Причём в это число читателей выпусков входят пользователи не только России но и других стран. Вот и получается что более 100 млн. пользователей не читают выпуски антивирусной правды. Вероятность Вашего примера стремится к нулю. С АЭС так же пример неудачен. Поищите на сайте госзакупок и Вы увидите что АЭС закупали для своих нужд антивирусы других компаний и соответственно они сюда не заглядывают.

Marsn77
21:23:36 2017-02-14

Из всех рекомендаций основная - установка на ПК антивируса

razgen Собкор
21:22:51 2017-02-14

Вопрос к автору выпуска.
Пункт 4. Ваших рекомендаций гласит:"Регулярно делайте резервное копирование (бекап) – это позволит найти следы преступления, если оно все-таки будет совершено."

Понятно что в первую очередь мы копируем наиболее важную для нас информацию. А что именно надо копировать, где остаются следы преступления? Вот я например через "обзор" выбрал для копирования все папки и файлы с диска D, он у меня имеет относительно небольшой объём. А с диска С ничего не вводил для копирования, оставил только то что было по умолчанию.

ek
21:18:01 2017-02-14

ботнеты всякие тут...

kva-kva
20:56:14 2017-02-14

алиби сохранять в бэкапе?

mk.insta
20:46:52 2017-02-14

все страшнее и страшнее

fed0t
20:38:21 2017-02-14

Не прокатит.

Ovod
19:34:50 2017-02-14

Всё под контролем Dr.Web SS.

Viktoria
19:25:43 2017-02-14

Правильные рекомендации.

m@ri
19:14:08 2017-02-14

На то и рассчитано.

solec
19:09:25 2017-02-14

Информация принята к сведению )

Б...а
19:02:49 2017-02-14

Многие и не догадываются о том,что они - часть бот-сети.

Luger Собкор
18:54:22 2017-02-14

DDoS-атаки становятся неплохим средством заработка для определенной части общества.

krasserr
18:28:13 2017-02-14

Делаем правильные выводы...
"выдерните кабель к интернету" - помогает в 100% случаев(лично проверено!)

Неуёмный Обыватель Собкор
18:11:33 2017-02-14

@razgen, да и рекомендацию "если у вас подозрение, что у вас на ПК орудует хакер, выдерните кабель к интернету" никто не отменял ;)

Неуёмный Обыватель Собкор
18:08:09 2017-02-14

@razgen, Александр Аронов всё верно кода-то подметил. Но нельзя быть настолько категоричным. Выпуск можно прочитать спокойно на ПК, подключенном к сети и при этом иметь в наличии один или даже целю армию ПК, не подключенных к сети. В некоторых отделах предприятий, в которых обрабатывается информация, содержащая коммерческую тайну, категорически не рекомендуется какое-либо подключение к сети. То же самое относится к ПК, управляющими, например, АЭС или другой важной инфраструктурой или скажем оборудованием в реанимации или операционной. К ним не должно быть никакого доступа ни извне, ни оттуда никуда. Таких примеров много. Но это не значит, что человек отвечающий за работоспособность этих ПК, не имеет возможности прочитать выпуск АП :)

azimut
17:59:59 2017-02-14

По второму сценарию вобще бесполезно.

Комментарии к другим выпускам | Мои комментарии

Главная

Выпуски

Рубрики

Рейтинг

О проекте

Статистика

Избранное

Инструменты

Антивирусная правДА!TM

Концы в воду

Антивирусная правДА! рекомендует

Нам важно ваше мнение

Комментарии пользователей