Hybrid Botnet Control System. Desarrollo de http bot en perl

El desarrollo de crimeware es cada vez más abierto. Sus creadores buscan constantemente implementar en los programas dañinos mecanismos evasivos cada vez mas eficaces con un mínimo impacto de recursos no solo en el equipo controlado arbitrariamente sino también en los servidores que los alojan, existiendo en la actualidad una gama de alternativas realmente importante que van desde "productos" pagos a gratuitos.

En este sentido, en algún momento había mencionado el desarrollo Open Source de crimeware donde conté sobre la creación de dos proyectos paralelos; y si bien no se tratan de aplicaciones complejas presentan dos características llamativas.

Por un lado, su descarga es libre, lo cual significa que el concepto adoptado en la aplicación puede ser ampliado (o “mejorado” diría su autor) por otros desarrolladores agregando funcionalidades mucho más complejas.

Por otro lado, no entra (en primera instancia) en el ciclo del mercado clandestino de comercialización de crimeware; y, en el caso particular de Hybrid Botnet Control System y a diferencia de los aplicativos web de este estilo, el bot se encuentra escrito en Perl, algo no habitual (de hecho creo que si no es el primero es uno de ellos).

Por lo demás, es básicamente similar a cualquiera de las alternativas disponibles en el mercado negro. Es decir, el panel de administración es vía web, escrito en PHP y la base de datos se almacena en un MySQL.

Otro aspecto común es que generalmente el desarrollo y comercialización de los aplicativos diseñados para el control y administración (C&C) de botnets posee su cuna en países como Rusia, y si bien el panel de control vía web de Hybrid se encuentra basado en uno de los primeros aplicativos de origen ruso que implantaron el concepto de administración vía http llamado Black Energy (a quien pertenece la captura que muestra el sistema de autenticación), parecería que su base de desarrollo no se encuentra en Europa del Este.

De todos modos, sea cual fuese el origen de su desarrollo, estas actividades no hacen otra cosa que ayudar a incrementar los ingresos de ciber-delincuentes y alimentar el ciclo delictivo muy arraigado bajo el concepto de crimeware, marcando una tendencia difícil de frenar debido al abanico de alternativas que pueden ser implementadas e implantadas a través de este tipo de iniciativas.

Información relacionada
Desarrollo de crimeware Open Source para controlar y...
TRiAD Botnet III. Administración remota de zombis multi...
TRiAD Botnet II. Administración remota de zombis multi...
TRiAD Botnet. Administración remota de zombis en Linux

# Jorge Mieres

Ver más

Una recorrida por los últimos scareware XIII

Más dominios, direcciones IP y hosting relacionados con códigos maliciosos tipo scareware (rogue) que durante este mes se encuentran diseminando amenazas. Como siempre, la recomendación es bloquear estas direcciones y dominios.

Antivirus Security
MD5: db924706a824c5c43feebbe6a781d1ba
IP: 84.16.237.52
Germany Berlin Netdirekt E.k
Dominios asociados
best-antivirus-security .com

Result: 29/41 (70.73%)



Malware Remobal Tool
MD5: 72b06c550ccbd110be2a4ce66b7bd7c1
IP: 174.132.250.194
United States Dallas Theplanet.com Internet Services Inc
Dominios asociados
malwarebot.org
malwaree.com
malwaree.org
remove-a360.com
remove-antivirus-360.com
remove-antivirus-system-pro.com
remove-antivirusbest.com
remove-av360.com, remove-ie-security.com, remove-malware-defender.com, remove-malware-doctor.com, remove-ms-antispyware.com, remove-personal-antivirus.com, remove-personal-defender.com, remove-spyware-guard.com, remove-spyware-protect-2009.com, remove-spyware-protect.com, remove-system-guard.com, remove-ultra-antivir-2009.com, remove-ultra-antivirus-2009.com, remove-virus-alarm.com, remove-virus-melt.com, remove, winpc-antivirus.com, remove-winpc-defender.com, smitfraudfixtool.com, vundofix.org, vundofixtool.com, www-malware.org, www.av360removaltool.com, www.malwarebot.org, www.malwaree.com, www.malwaree.org, www.remove-ms-antispyware.com, antivirus360remover.com, av360removaltool.com

Result: 9/41 (21.95%)

akaysu.cn, ajowah.cn/installer_1.exe, atiqad.cn/video.php?wm=70157&n=15, atiqad.cn/installer_70157.exe, akaysu.cn/video.php?wm=70157&n=15 (195.95.151.174), getavplusnow .com/se.exe, antivirusplus-ok.com/redirect.php, getavplusnow .com/install/InternetExplorer.dll (195.95.151.176) - Ukraine Kiev Eastnet-ua-net
mirmuzappar .net/setup.exe (210.51.181.129) - China Beijing Cnc Idc Customer
rondo-trips.cn/go.php?id=2010-10&key=b8c7c33ca&p=1 (83.133.123.113) - Germany Lncde-greatnet-newmedia
kahold.info/download/install.php (204.27.57.227) - United States Kansas City Aarons.net
downloadxxtube .com/download/setup.exe (78.159.98.70) - Germany Berlin Netdirekt E.k
www.antispyware.com, adwarealert.com/install.php (75.125.200.226), regsweep.com/install.php (75.125.241.58) - United States Dallas Theplanet.com Internet Services Inc
pluspromooffer.com/srm/adv/142, showpromooffer.com/srm/adv/142 (212.95.53.143) - Lithuania Kaunas Netdirect-uab-retrogarsas
microwaresoftware.com/download.php (89.149.207.120) - Germany Berlin Netdirekt E.k
guardlab2009 .net/InstallerWF.exe (76.76.103.164) - Malaysia Ronn Chang
online-defenderv9.com (94.102.51.26) - Netherlands Amsterdam As29073 Ecatel Ltd

Error Repair Tool
IP: 75.125.61.163
United States Dallas Theplanet.com Internet Services Inc
Dominios asociados
errorrepairtool .com, errorsrepair .com
errorstool .com, www.errorstool .com


Antivirus System Pro = System Guard 2009
IP: 91.206.201.8
Ukraine Pe Sergey Demin
Dominios asociados
oemantivir.com
avir-guardian.com
avir-protect.com
aviremover.com, aviremover2009.com, avirguardian.com, avirprotect.com, avremoverpro.com, awareprotect.com, esysprotect.com, esysprotector.com, intsecurepro.com, intsecureprof.com, osguardpro.com, ossecure2009.com, scanforspywarenow.com, www.avir-guardian.com, www.avir-protect.com, www.esysprotector.com

Save Soldier
MD5: 71f3f5fa2d4d5a48aaecde6cc926c28a
IP: 194.54.81.18
Ukraine Realon Service Llc
Dominios asociados
savesoldier .com
wersincast .com
winbluesoft.net
winishield .com

Result: 6/41 (14.64%)

Información relacionada
Una recorrida por los últimos scareware XII
Una recorrida por los últimos scareware XI
Una recorrida por los últimos scareware X
Una recorrida por los últimos scareware IX
Una recorrida por los últimos scareware VIII
Una recorrida por los últimos scareware VII
Una recorrida por los últimos scareware VI
Una recorrida por los últimos scareware V
Una recorrida por los últimos scareware IV
Una recorrida por los últimos scareware III
Una recorrida por los últimos scareware II
Una recorrida por los últimos scareware

# pistus

Ver más

Desarrollo de crimeware Open Source para controlar y administrar botnets

El desarrollo de aplicativos web orientados al control y administración de botnets a través del protocolo http, se encuentra en un nivel muy avanzado por parte de la comunidad underground de Europa del Este, y en particular desde Rusia, donde ciber-delincuentes inundan constantemente el mercado clandestino de crimeware comercializando paquetes como Eleonore, ZeuS, ElFiesta, Adrenaline, entre muchos otros.

Sin embargo, este modelo de negocio que ya se encuentra implantado, se expande hacia otros territorios donde la ambición de ciber-delincuentes se ve espejada por esta tendencia difícil de frenar, pero con otras filosofías: Crimeware Open Source. Es decir, desarrollo de programas de código abierto diseñados para ser utilizados con fines delictivos a través de Internet.

En este caso, se trata de una familia de crimeware diseñados para el control y administración de redes zombis.

Se trata de una serie de proyectos que buscan, como dice el autor (cuyo nick es “cross”), dejar claro que el desarrollo de botnets en Perl es posible. Bajo el slogan “x1Machine Remote Administration System” pone a disposición del ciber-crimen organizado dos proyectos orientados al manipuleo de botnets llamados Hybrid y TRiAD.

Hybrid Project

El proyecto “Híbrido” es el más ambicioso. Se encuentra escrito en Perl, funciona sólo en plataformas GNU/Linux y permite, como es común en la mayoría del crimeware actual de este estilo, administrar botnets por http. Si bien su autor manifiesta que no fue concebido con fines maliciosos, la leyenda que se encuentra en la interfaz de la versión 1 (la imagen que a continuación se muestra) dice BotNet Control System, lo cual es contradictorio.

La configuración se realiza por intermedio de un pequeño panel al cual se accede a través del archivo HyGen.pl.

La versión 2 (siguiente captura) mantiene las mismas características que su antecesor. Por el momento, se encuentra en estado de “Prueba de concepto” (PoC). Sin embargo, puede ser manipulado por cualquier ciber-delincuente para hacerlo completamente funcional y agregar más componentes para abusar de los zombis.

Un detalle interesante es que su interfaz se encuentra basada en BlackEnergy, una de las primeras botnet basadas en administración vía http diseñada para realizar ataques DDoS (Denegación de Servicio Distribuida).

TRiAD Project

Sobre este crimeware ya hemos hablado. Se trata de un proyecto paralelo cuya primera versión (siguiente captura) está diseñada, al igual que el proyecto Hybrid, para operar bajo entornos GNU/Linux.

Esta primera versión nació a principios de 2009 y ya cuenta con tres versiones que incorporan algunas funcionalidades más. Se encuentra escrito en C y a través de ella se pueden llevar a cabo tres actividades dañinas: ejecución de ataques de Denegación de Servicio Distribuida (DDoS), BindShell (ejecución de una shell y apertura de puertos) y ReverseShell (aviso de conexión de una zombi).

TRiAD HTTP Control System v2 es la segunda versión del proyecto que evolucionó para convertirse en un crimeware multiplataforma que puede ser implementado en sistemas Windows y GNU/Linux.

Esta versión, además de contar con las funcionalidades presentes en la versión 1, posee nuevas características: eliminación de la bot, apagar y reinicio del equipo de forma remota. La siguiente captura corresponde a la página de descarga.

Al igual que la segunda versión, TRiAD http Control System v3 se encuentra escrito en C, compilado con GCC y es corre bajo Windows y GNU/Linux. Sus características son:

En sistemas GNU/Linux:

• Syn Flood con source IP spoofing: [SynStorm]-[Host]-[Port]-[Nr of Packets]-[Delay]
• Small HTTP Server: [HTTP Server]-[Port]-[Time(minutes)]
• Bind Shell: [Bind Shell]-[Port]-[Allowed IP Address]

Mientras que la versión para plataformas Windows cuenta con:

• UDP Flood: [Reverse Shell]-[Host]-[Port]
• Small Proxy Server: [UdpStorm]-[Target IP]-[Target Port]-[Nr of Packets]-[Delay]
• Reverse Shell: [Proxy Server]-[Port]-[Time(minutes)]

Independientemente de la plataforma, ambas poseen en común la posibilidad de:

• Sleep: Modo “dormido”
• Reboot remote machine: Reiniciar el equipo de forma remota
• Shutdown remote machine: Apagar el equipo de forma remota
• Delete bot from remote machine: Eliminar la bot de forma remota

Evidentemente, esta situación supone una serie de aspectos agravantes que hacen de este tipo de “iniciativas” fuentes ideales tanto para script kiddies aspirantes a ciber-delincuentes por su condición de gratuito, como para desarrolladores profesionales que pueden personalizar su código para agregar funcionalidades que se adapten a las necesidades de cada comprador (por lo general, botmasters) en función de la plataforma que se desea explotar.

Información relacionada
TRiAD Botnet III. Administración remota de zombis multi...
TRiAD Botnet II. Administración remota de zombis multi...
TRiAD Botnet. Administración remota de zombis en Linux

# Jorge Mieres

Ver más

Fragus. Nueva botnet framework In-the-Wild

Una nueva aplicación web escrita en php y desarrollada como sistema de administración de exploits, diseminación de malware y control de botnets, ha entrado al mercado clandestino de crimeware prometiendo ser uno de los más explotados.

Se trata de Fragus v1.0, que se ha sumado desde julio de 2009 a la gran lista de aplicativos de este estilo que pretenden acaparar el mercado negro. Su desarrollo esta originado en Rusia y se inserta al mercado con un costo suficientemente “competitivo”.

En los últimos meses han surgido nuevos framework para el control y administración de botnets que hacen de ello una tarea muy sencilla como Liberty Exploit System y Eleonora Exploit Pack; entre algunos otros mucho más antiguos que han actualizado sus funcionalidades como YES Exploit System y ElFiesta.

Sin embargo, el hecho de encontrar cada vez más aplicativos maliciosos de este estilo In-the-Wild no es una situación casual, sino que responde a un modelo de negocio que se esconde detrás del desarrollo de crimeware y se retroalimenta a si mismo con la comercialización de un gran abanico de opciones.

Desde un punto de vista general, Fragus cuenta con una interfaz atractiva, soporte para idioma inglés y ruso, y un sencillo sistema de estadísticas que permite obtener y comparar información relacionada a los navegadores, sistemas operativos (incluyendo sus versiones) y países en los cuales se han reclutado los zombis que forman parte de la red (lo que es lo mismo: una estrategia de inteligencia que permite relacionar información de forma oportuna). La siguiente captura muestra el control estadístico.

Además posee otras características como:

• Posibilidad de chequear de forma rápida los datos a través de un resumen al cual se accede sin cargar la página.
• Administrar el upload de archivos desde el mismo panel de administración.
• Permite especificar un nombre al archivo binario que se subirá al sistema.
• Posibilidad de distinguir el tráfico realizado por un “cliente” para mantener cada estadística de forma independiente.
• Permite elegir el archivo a subir desde el panel de administración o realizar una carga de forma aleatoria.
• Permite a sus “clientes” mantener su propio kit de exploits seleccionándolos desde una lista.
• También permite controlar la información estadística desde un dominio independiente al del panel de administración, lo cual permite acceder a la información sin realizar el proceso de autenticación.
• Permite limpiar la información estadística a nivel general o en particular de cada “cliente”.
• Toda la configuración de las opciones que ofrece Fragus para la administración y control de botnets se pueden realizar fácilmente desde el Framework.
• Posee un sistema de búsqueda interno que permite buscar y encontrar rápidamente enlaces con iframe en el tráfico abierto. También en general o en particular para cada “cliente”.

Además, Fragus también permite explotar vulnerabilidades en imágenes de alta calidad, editar la cantidad de dominios necesarios para realizar una migración de la información sin perder el tráfico, editar una dirección URL en la cual explotar paquetes de visitas dos veces o más; es decir, descargar desde la misma página varios binarios, pdf, swf dependiendo del exploit.

Ejemplos de malware diseminado por Fragus son:

• Manual.pdf
• Patch.exe

Su sistema modular permite añadir exploits fácilmente y posee un cripter (optativo) escrito desde cero que, según el autor, evita la detección por parte de una gran cantidad de compañías antivirus sin sobrecargar el navegador. Pero no obstante, también permite seleccionar un cripter diferente dándole al “cliente” la posibilidad de decidir qué cripter utilizar sin limitarlo al incorporado por defecto. El autor también asegura que Fragus está optimizado para funcionar sin problemas con grandes flujos de tráfico y carga mínima en el servidor.

Otro aspecto que resalta, y que lo diferencia de los clásicos crimeware de su tipo es que posee una instrucción destinada a evitar la detección del dominio utilizado por parte de los searchbots, (el dominio asociado a Fragus por defecto cuando se lanzo el crimeware es fragus.cn) y el proceso de instalación no es engorroso ni necesita tocar algún archivo de configuración de forma manual, ya que posee un asistente de ayuda que permite tenerlo instalado en pocos minutos.

Entre los exploits que posee preinstalados se encuentran:

• MDAC
• PDF printf()
• PDF collectEmailInfo()
• PDF getIcon()
• MS DirectShow
• MS09-002 - for IE7
• MS Spreadsheet
• AOL IWinAmp
• MS Snapshot MS COM

El costo de esta primera version de Fragus es USD 800. Este valor incluye el código fuente que se encuentra protegido con IonCube. El costo del cripter (escrito desde cero) es de USD 150 y por otros USD 30 se esconde el funcionamiento del crimeware para evadir su detección, quizás con técnicas fast-flux.

En definitiva, el “servicio” completo de Fragus posee un costo de USD 980 y, como es habitual en este mercado clandestino, el “trato” de compra se realiza a través de ICQ y la transacción del dinero a través de WebMoney.

Como podemos apreciar, este nuevo crimeware que se inserta en la escena delictiva promete ser muy competitivo. Además, el malware que tiene por defecto listo para su diseminación posee una tasa de detección preocupantemente baja, lo cual transforma a esta aplicación web en una seria amenaza.

Información relacionada
Liberty Exploit System. Otra alternativa crimeware para el control de botnets
Los precios del crimeware ruso. Parte 2
Eleonore Exploits Pack. Nuevo crimeware In-the-Wild

# Jorge Mieres

Ver más

Liberty Exploit System. Otra alternativa crimeware para el control de botnets

El mercado negro controlado por ciber-delincuentes sigue generando productos “competitivos” dentro de un negocio donde el bajo costo del crimeware marca y justifica su uso masivo. En este sentido, las botnets se ven beneficiadas por el desarrollo de aplicativos web destinados a hacer de su administración, una tarea fácil e intuitiva; además de alimentar constantemente el proceso delictivo del cual forman parte.

Otra de las alternativas que se suma es este negocio clandestino es Liberty Exploit System, cuyo autor recientemente a puesto a disposición del ciber-crimen una nueva versión, la 1.0.5, y de la cual manifiesta que posee una excelente relación “precio/calidad”.

Su valor es de USD 500. Por USD 20 más se consigue la “ventaja” de acceder a un cripter, y por otros USD 50 se ofrece el cambio de dominios cuando el utilizado ha sido bloqueado, lo que demuestra el tipo de servicios que ofrece el crimeware en general. Además, el sistema de pago se realiza solamente a través de WebMoney.

A diferencia de su antecesor, la versión 1.0.4, no trae incorporado por defecto la explotación de vulnerabilidades en Sun Java JRE/JDK, pero puede ser solicitado. Además se agregó un exploit para MS DirectShow. El paquete se compone de los siguientes exploits preinstalados:

• MS06-014 Internet Explorer (MDAC) Remote Code Execution Exploit
• PDF util.printf()
• PDF collab.collectEmailInfo()
• PDF collab.getIcon()
• Flash 9
• MS DirectShow

Algunas características a destacar de la aplicación web (maliciosa) es el bloque de reacceso a la página, es decir, sólo se accede a la página que posee el exploit una sola vez, luego de eso la bloquea; la base de datos se maneja con MySQL, la optimización que ofrece para operar con grandes flujos de información es interesante, instalación sumamente sencilla, permite incorporar técnicas anti-análisis, entre otras.

Con respecto al panel de administración (dicho sea de paso sencillo y minimalista), a través de este se realiza un seguimiento detallado a nivel estadístico sobre el tipo y versión de navegadores explotados, los países donde se poseen zombis, el tipo de tráfico, entre otros. Además, algo que diferencia a este crimeware, ya que no todos lo poseen, es un sistema de estadísticas gráfico, mediante el cual se generan tortas con información relevante sobre los aspectos antes mencionados. En la captura se ve un ejemplo.

Este sistema estadístico y recolección de información es lo que llama la atención, en general, en todos el crimeware de este estilo, ya que independientemente de la perspectiva que la analicemos, no es más que la obtención de información elaborada, lo que en otros ambientes se conoce como Inteligencia.

Esto da lugar a comprender y a comenzar a tener en cuenta en su justa medida, que las botnets, como las conocemos hoy en día, representan un grave problema de seguridad a nivel global, no solo por la propagación de malware sino que también por que son empleadas para llevar a cabo otras maniobras de ataque donde los objetivos van más allá de los usuarios hogareños.

Información relacionada
Los precios del crimeware ruso. Parte 2
TRiAD Botnet III. Administración remota de zombis multiplataforma
Eleonore Exploits Pack. Nuevo crimeware In-the-Wild
Mirando de cerca la estructura de Unique Sploits Pack
Adrenaline botnet: zona de comando. El crimeware ruso...
YES Exploit System. Otro crimeware made in Rusia

# pistus

Ver más