Vlákno názorů k článku
Malware způsobující DDoS byl zachycen a je zkoumán od Neznamy - Otazkou je co je mozne danym zkoumanim zjistit....

Otazkou je co je mozne danym zkoumanim zjistit. Malware pravdepodobne vyuziva nejakou znamou a jiz opravenou zranitelnost + byl jiz zachycen anti-virovymi programy. Urcite tam adresy C & C serveru nebudou jen tak napsane.....

I kdyz tam nebudou "jen tak" napsane, nekde ty adresy c&c serveru byt musi. Jak jinak bych chtel bota ovladat? Tedy jestli si sebou neveze seznam cilu a cas kdy ma zautocit...

Spominam na zajimavej clanek kterej kdysi davno zverejnil jistej Steve Gibson (nemohu ted najit link). Nekdo skousel ddos na jeho web. Sehnal si malware z jednoho z infikovanych pocitacu, disassembloval, a nasel adresu irc-serveru kam se ten bot pripojoval a kde cekal na prikazy. Tak se tam Steve pripojil take, a hezky si poklabosil s tim "hackerem". Kloucek byl hezky vyjukanej kdyz mu Steve rekl, jak ho nasel...

To bude asi ono.... Zase za tech 10 let se dost zmenilo.... Mozna se jim to podari.

http://www.crime-research.org/library/grcdos.pdf

Bejvávalo. Dnes se na c&c používá tor, twitter, facebook, algoritmy závislé na aktuálním čase a samozřejmě asymetrická kryptografie.

Disassemblovat to není pro každého.

To nic nemeni na faktu, ze ten malware nejak "vola domu". Tedy jestli ma byt soucasti botnetu a nejak aktivne vyuzivan. Proto musi znat adresu kam se prihlasit. Je jedno, jestli je to IP nebo FQDN, facebook nebo irc, a jestli je to kryptovano a vyuzivan tor. Porad musi znat nakou adresu, kde se ozvat, a odkud prijimat pokyny...

To je prave to, nemusi. Respektive pokud zna tor adresu cile, tak je tobe ta informace naprosto naprd, protoze nejsi schopnej ten cil nijak lokalizovat => ani ho eliminovat. Tak maximalne se na tu adresu muzes podivat a zjistit, co tam najdes.

Navic ta adresa muze existovat jen docasne ...

Adresy tam sice nejspis primo nebudou, ale analyza chovani muze poskytnout celkem hodnotne info, ktere identifikaci C2 serveru pomuze.
Ale taky bych cekal, ze tu analzyu nebude nutne delat from scratch, otazka je, jestli je k dispozici a to dostatecne podrobna. Mit signaturu malwaru v databazi je jedna vec a podrobne prouzkoumat jeho chovani je vec druha.