Специалисты SecureWorks обнаружили зомби-сеть, которая маскирует инструкции от контролирующего центра под JPEG-файлы. К счастью, эта маскировка под картинки далеко не совершенна, так что вполне поддаётся "вычислению" защитными средствами. Речь идёт о неком троянце, который в SecureWorks называют Monkif/DlKhora. Основное назначение этого вредоноса состоит в загрузке на зараженный компьютер других программ и их последующем запуске. Monkif также пытается отключать установленные на компьютере антивирусную защиту и файрвол. Особый интерес представляет схема взаимодействия этого загрузочного трояна с контролирующим центром. Инструкции от него приходят в таком виде, словно это HTTP-сервер, возвращающий изображение в формате JPEG по запросу клиентской машины. В частности, они сопровождаются HTTP-заголовком с "Content-Type: image/jpeg", а также 32-байтным JPEG-заголовком. Бот мониторит входящий трафик и, распознав такой заголовок, декодирует оставшуюся часть сообщения. Впрочем, несмотря на то, что задумана эта схема с некоторой долей фантазии, реализована она довольно топорно. Так, инструкции кодируются весьма примитивно: "исключающее или" с фиксированным однобайтовым ключом. Да и маскировка под картинку тоже неидеальна. Даже данные о размере изображения в поддельном JPEG-заголовке не соответствуют самому "изображению"-инструкции. Это может быть использовано специалистами по киберзащите для отлавливания таких инструкций в общем трафике. 01.10.2009 http://www.webplanet.ru/news/security/2009/10/01/jpeg_botnet.html29.09.2009 http://www.secureworks.com/research/blog/index.php/2009/9/29/monkifdlkhora-botnet-hiding-its-commands-as-jpeg-images/
Ну как обычно, эта говноподелка спалилась на одном из аверов в момент истала, ее код отослали в ВИРУСТОТАЛ, оттуда ее забрали конторы, отреверсили, получили адрес сервака, написали абузу, возможно получили к нему доступ с разрешения провайдера и посчитали среднее число конектящхся компов.
Параноики рулят говоришь ? Ты бы еще в альбоме детском для рисования написал в двоичном коде свои паролики чтобы никто не догадался
Хммм а по моему нормально - создаешь папку и туда скидываешь 2кило картинок. В одну из них сливаешь архив с тхт файлом (вес 2-3Килобайта прибавиться к картине, что совсем не заметно) и все дела)) Главное условие - изображение не должно редактироваться
пытался скорее припрятать да толку? у истинных и правоверных, на каждый отдельно взятый веб-ресурс - отдельный пасс/пасс-фраза. GIF тупо выдал себя в момент загрузки странички. дальнейшая операция по ликвидации - дело техники. даже в сурс странички не пришлось заглядывать. в топике - некто, с 0 сообщений. все ясно