Специалисты SecureWorks обнаружили зомби-сеть, которая маскирует инструкции
от контролирующего центра под JPEG-файлы. К счастью, эта маскировка под картинки
далеко не совершенна, так что вполне поддаётся "вычислению" защитными
средствами.
Речь идёт о неком троянце, который в SecureWorks называют Monkif/DlKhora.
Основное назначение этого вредоноса состоит в загрузке на зараженный компьютер
других программ и их последующем запуске. Monkif также пытается отключать
установленные на компьютере антивирусную защиту и файрвол.
Особый интерес представляет схема взаимодействия этого загрузочного трояна с
контролирующим центром. Инструкции от него приходят в таком виде, словно это
HTTP-сервер, возвращающий изображение в формате JPEG по запросу клиентской
машины. В частности, они сопровождаются HTTP-заголовком с "Content-Type:
image/jpeg", а также 32-байтным JPEG-заголовком. Бот мониторит входящий трафик
и, распознав такой заголовок, декодирует оставшуюся часть сообщения.
Впрочем, несмотря на то, что задумана эта схема с некоторой долей фантазии,
реализована она довольно топорно. Так, инструкции кодируются весьма примитивно:
"исключающее или" с фиксированным однобайтовым ключом.
Да и маскировка под картинку тоже неидеальна. Даже данные о размере
изображения в поддельном JPEG-заголовке не соответствуют самому
"изображению"-инструкции. Это может быть использовано специалистами по
киберзащите для отлавливания таких инструкций в общем трафике.
