Ботнет прячет команды в картинки

Специалисты SecureWorks обнаружили зомби-сеть, которая маскирует инструкции от контролирующего центра под JPEG-файлы. К счастью, эта маскировка под картинки далеко не совершенна, так что вполне поддаётся «вычислению» защитными средствами.

Речь идёт о неком троянце, который в SecureWorks называют Monkif/DlKhora. Основное назначение этого вредоноса состоит в загрузке на зараженный компьютер других программ и их последующем запуске. Monkif также пытается отключать установленные на компьютере антивирусную защиту и файрвол.

Особый интерес представляет схема взаимодействия этого загрузочного трояна с контролирующим центром. Инструкции от него приходят в таком виде, словно это HTTP-сервер, возвращающий изображение в формате JPEG по запросу клиентской машины. В частности, они сопровождаются HTTP-заголовком с «Content-Type: image/jpeg», а также 32-байтным JPEG-заголовком. Бот мониторит входящий трафик и, распознав такой заголовок, декодирует оставшуюся часть сообщения.

Впрочем, несмотря на то, что задумана эта схема с некоторой долей фантазии, реализована она довольно топорно. Так, инструкции кодируются весьма примитивно: «исключающее или» с фиксированным однобайтовым ключом.

Да и маскировка под картинку тоже неидеальна. Даже данные о размере изображения в поддельном JPEG-заголовке не соответствуют самому «изображению»-инструкции. Это может быть использовано специалистами по киберзащите для отлавливания таких инструкций в общем трафике.