Google Groups используется хакерами для управления троянами
Эксперты компании Symantec сообщили об обнаружении группы интернет-преступников, пользующихся сервисом телеконференций Google Groups, как командный центр для вредоносного ПО, заражавшего компьютеры. По словам представителей Symantec данный пример является еще одной иллюстрацией смены мошенниками способов взаимодействия со своими ботнетами.
Ранее на популярном сервисе блогов Twitter был обнаружен подобный механизм, когда один из блогов использовался, как своеобразный командный сервер для передачи команд троянам, ведущим атаки на IT-ресурсы. По прогнозам Symantec, популярность данных сервисов в качестве Comand and Control механизмов со временем будет лишь расти и администраторам сервисов придется закрывать «бот-конференции» и«бот-блоги» постоянно.
По словам экспертов Symante, киберпреступники пользовались Google Groups для управления трояном Trojan.Grups, который представлял собой злонамеренный код под ОС Windows. Эта вредоносная программа открывает путь к зараженному ПК с целью внедрения других вредоносных кодов. При проникновении трояна в компьютер, он начинает считывание сообщений из специальной конференции с командами для него. После считывания команды троян выполняет ее и публикует отчет о выполненной работе в конференции.
Использование довольно надежного шифра RC4 для шифрования является одним из важнейших моментов этой атаки. Командный центр публикует зашифрованные в RC4 сообщения, а троян отвечает таким же зашифрованным способом. Подобные шаги могут свидетельствовать о дополнительных действиях злоумышленников, направленных на избежание обнаружения.
Аналитики Symantec сообщают, что сохранение истории общения трояна и его авторов это одно из серьезнейших недостатков данного метода, что позволяет отслеживать все шаги обеих сторон. Эксперты полагают, что авторы Trojan.Grups находятся в Тайване, так как дешифровка сообщений показала, что они уходят в зону .tw, а некоторые части кода говорят о том, что написание оригинала велось на упрощенном китайском.