[HaBo]

rat

Anzeige

Das dass Koobface Botnetz kontinuierlich weiterentwickelt wird um Gewinn für die Täter zu erzielen ist allgemein bekannt. Trend Micro hat sich Bemüht das Verhalten und die neuesten Entwicklungen aus dem Koobface Botnet zu überwachen und dabei auch Veränderungen festgestellt.

(Bildquellen: Web 2.0 Botnet Evolution: Koobface Revisited)

1. Das Benutzten von Proxys zum Schutz des command-and-Control Server´s (Fast-Flux)


2. Verschlüsseln der C&C-Kommunikation zum schutz der Gang-Mitglieder
3. Banning IP-Adressen aus wiederholtem Zugriff von Koobface-kontrollierten Websites
4. Die Einführung neuer binären Komponenten


5. Der Einsatz mehrerer Schichten zum binären Schutz mit komplexen Packern


Diese Änderungen stellen eine größere Herausforderung für die Forscher da als gedacht um die Gang-Mitglieder zu Überwachen und sie dahin zu bringen wo sie hingehören-hinter Gittern.Für weitere Informationen über die jüngsten Entwicklungen vom Koobface Botnetz und die neuesten Erkenntnissen von Trend Micro gibt es eine PDF "Web 2.0 Botnet Evolution: Koobface Revisited"

__________________

p0ven

Hm, was auf dem Netzplan meiner Meinung nach noch fehlt, ist der Austausch unter der Clients. Jedes aktuelle Botnet verteilt z.B. Updates, etc. via p2p (XMPP, IRC oder noch wüsteres) unter den Hosts und dies ohne dass der C&C zum Einsatz kommt.

Der neuste Trend ist ja Cloud Botneting oder, dass auf offenen VCS' Anbietern (Github, Lauchpad, etc.) Daten zwischengespeichert und abgeholt werden. Manchmal werden die VCS' auch direkt auf den Target Servern angelegt. *g*

Ich würde den Netzplan ungefähr so ergänzen:

botnetp2p.png

(Nur ne kurze Dia Kritzelei. Nichts Ernstzunehmendes. Mir war nur grad kurz Langweilig ;-))