13 марта 2015
Ботнет Rmnet выжил и продолжает оставаться угрозой ИБ компаний
Несмотря на сообщения информационных агентств об успешной блокировке деятельности ботнета Rmnet, специалисты компании «Доктор Веб» не отмечают снижения его активности.
Европол провел масштабную операцию с целью прекращения деятельности ботнета Rmnet. Согласно представленным средствами массовой информации данным, сотрудники отдела по борьбе с киберпреступностью полиции Великобритании совместно со специалистами из Германии, Италии и Нидерландов пресекли деятельность нескольких крупных управляющих серверов Rmnet. 24 февраля 2015 года были отключены командные серверы бот-сети. В операции принимали участие:
-
Europol's European Cybercrime Centre;
-
Computer Emergency Response Team;
-
компании Symantec, Microsoft, AnubisNetworks и другие.
Специалистам по информационной безопасности удалось перехватить порядка 300 доменов управляющих серверов, сгенерированных вредоносной программой. По информации компании «Symantec», в результате операции прекращена деятельность ботнета, состоящего из 350 000 инфицированных устройств, а по данным Microsoft их общее количество может достигать 500 000.
Специалисты компании «Доктор Веб» отслеживают несколько подсетей ботнетов, созданных злоумышленниками с использованием
Различные версии файлового вируса Rmnet продолжают использоваться злоумышленниками. Модификация, получившая наименование Win32.Rmnet.12, известна еще с сентября 2011 года. Это многокомпонентный файловый вирус, обладающий способностью к саморазмножению. Он в состоянии выполнять следующие команды:
-
встраивать в вебстраницы постороннее содержимое;
-
похищать файлы cookies;
-
красть пароли от наиболее популярных FTP-клиентов:
-
Ghisler, WS FTP, CuteFTP, FlashFXP, FileZilla, Bullet Proof FTP.
Модификация вируса Win32.Rmnet.16 отличается от предыдущей версии способностью отключать процессы наиболее распространенных антивирусных программ. Вирус способен выполнять команды:
-
запись в загрузочную область диска;
-
обновление вируса;
-
скачивание и запуск произвольного файла;
-
создание и отправку злоумышленникам снимка экрана;
-
сохранение своих файлов в конце диска в зашифрованном виде;
-
уничтожение операционной системы.
На сегодняшний день специалистам «Доктор Веб» известно около12 подсетей Rmnet, использующих алгоритм генерации доменов управляющих серверов, и две подсети Win32.Rmnet.12. Только внутри последних среднесуточная активность составляет порядка 250 000 – 270 000 инфицированных узлов. В целом же специалисты компании «Доктор Веб» считают, что около 500 000 персональных компьютеров инфицированы различными модификациями вируса и продолжают действовать и обращаться к уцелевшим командным серверам.
