Trojan komunikuje s tvorcami pingom

DSL.sk, 8.8.2006

Na nového trojana zasielajúceho zachytené dáta nezvyčajným spôsobom upozornila IT-bezpečnostná spoločnosť Websense.

Zatiaľ nepomenovaný trojan sa po infikovaní PC nainštaluje ako tzv. Internet Explorer Browser Helper Object (BHO) a sleduje užívateľom do stránok zadávané údaje.

Pri detekcii niektorých stránok, napríklad prihlasovacích stránok ku konkrétnym internet-bankingom, prihlasovacie údaje užívateľom vpísané do formulára zasiela svojim tvorcom.

Nevyužíva k tomu ale obvyklé TCP alebo UDP protokoly určené na prenášanie dát, zachytené údaje zasiela pomocou ICMP ping paketu.

Ping používa ICMP echo request pakety na zistenie odozvy vzdialeného servera, keď meria dobu, za ktorú sa zo servera vráti ICMP echo response paket. Ping paket ale môže obsahovať aj ľubovoľné dáta a práve do jeho dátovej časti trojan jednoduchým XOR algoritmom kóduje zasielané údaje.

V popise trojana na stránkach Websense je možné vidieť dekódovanú ukážku dátovej časti ping paketu zasielajúceho informácie vpísané do prihlasovacieho formulára na stránkach Deutsche Bank.

Zámerom tvorcov trojana je snaha vyhnúť sa novým spôsobom zasielania údajov detekcii, keď ICMP protokol často býva povolený ale nie prísne monitorovaný, na rozdiel od často trojanmi používaného HTTP alebo HTTPS. Jedným z prvých krokov po kompromitovaní sietí s prísnymi bezpečnostnými pravidlami býva zvyčajne zákaz akejkoľvek HTTPS komunikácie.


Najnovšie články:



Diskusia:

rch Od: rch | Pridané: 8.8.2006 22:24 Este ked bude komunikovat aj pongom, tak to sa mozme na to vykaslat. Odpovedať Hodnotiť:

aag Od: aag | Pridané: 8.8.2006 22:59 ked zacne komunikovat aj s pongom tak mozme hrat pinpong po nete pomocou trojana Odpovedať Hodnotiť:

rch Od: rch | Pridané: 9.8.2006 0:03 Ak poznas Monty Python: Uz sa tesim, ked budu utoky trojskymi zajacmi (Trojan Rabbit) . Tie by mali byt dost neskodne ;) Odpovedať Hodnotiť:

JANciJ Od: JANciJ | Pridané: 8.8.2006 23:08 ste lolci :) Odpovedať Hodnotiť:

M3G Od: M3G | Pridané: 9.8.2006 0:28 Trojan sa volaj môj profesor na škole. A bol to dobrý pingo Odpovedať Hodnotiť:

g3m Od: g3m | Pridané: 9.8.2006 13:03 pamatam :-) Odpovedať Hodnotiť:

fafo Od: fafo | Pridané: 9.8.2006 0:51 este ze nepouzivam IE =D Odpovedať Hodnotiť:

X0D Od: X0D | Pridané: 9.8.2006 9:02 podla mna je to mozne na hocktorom browsere. ale vidiet ze maju iq tie sv*ne. ked uz je nieco absolutne chranene a stracaju informacie hned vymyslia nieco nove. len aby to malo vacsi ucel na tracking. v to dufam. aby ich raz vsetkych lapili. bol by pokoj. nemuseli bi sme stale tahat a oskusavat antiviruzzz. Odpovedať Hodnotiť:

TheTOM.SK Od: TheTOM.SK | Pridané: 9.8.2006 9:14 To mas fakt. Ked sa blokne javascript, tak hodia trojana do cookies. Pre toho, kto neotvara prilohy, hodia virus do HTML textu. A teraz toto, clovek aby vsetko blokoval. :( Odpovedať Hodnotiť:

bart Od: bart | Pridané: 9.8.2006 10:08 ešteže existujú aj iné OS ako Windows Odpovedať Hodnotiť:

jammer Od: jammer | Pridané: 9.8.2006 10:19 velmi inteligentny postreh...ako teda myslis ze "ostatne" OS su 100% bezpecne? Svet nebude nikdy dokonaly... Odpovedať Hodnotiť:

bart Od: bart | Pridané: 9.8.2006 10:49 žiadny "väčší" soft nie je bezpečný, ide o to koľko má chýb Odpovedať Hodnotiť:

blondy Od: blondy | Pridané: 9.8.2006 11:33 a ked ziadnu nema, tak sa vyuzije nejaka vlastnot, aby sa ako chyba spavala ;-) Odpovedať Hodnotiť:

NOD Od: NOD | Pridané: 9.8.2006 11:36 lenze tym padom by antivirove spolocnosti krachli a to nedovolia tak radsej budu nadalej podporovat ludi co tvoria virusi Odpovedať Hodnotiť:

K-NinetyNine Od: K-NinetyNine | Pridané: 9.8.2006 13:29 Az bude antivirak zatazovat 50% CPU a zaplni 150MB RAM, tak si fsetci vytjahneme kable a oni aj tak krachnu... alebo prejdeme na OS pre ktory je momentalne mensi pocet skodlivych kodov... Odpovedať Hodnotiť:

jkl Od: jkl | Pridané: 9.8.2006 13:46 alebo prikupime este jedem procak a k tomu pamet - mozno aj preto uz predavaju dvojjadrove procaky :) Odpovedať Hodnotiť:

rch Od: rch | Pridané: 9.8.2006 16:50 Dvojjadrovy procak je Ti nanic, ked antivirak scanuje otvarane subory (on-access) - aj tak sa zdrzuje I/O na disku. Odpovedať Hodnotiť:

dzony Od: dzony | Pridané: 26.5.2007 17:39 Ani mna to uz nebavi zakazdym nejake ftakoviny/antivirus... /sice dolezite, davat do PC. Odpovedať Hodnotiť:

Pridať komentár