![[HaBo]](/styles/default/logoklein.png){kind=small}
rat
0
Die spanische Polizeieinheit Guardia Civil hat am Mittwoch Einzelheiten zur Festnahme von drei mutmaßlichen Hauptverantwortlichen eines unter dem Namen "Mariposa" bekannten Botnetzes (PDF-Datei) mitgeteilt. Festgenommen wurden in den vergangenen Wochen demnach drei Spanier, denen vorgeworfen wird, seit Ende 2008 über 13 Millionen Computer unter ihre Kontrolle gebracht und damit eines der größten Botnetze weltweit betrieben zu haben. Bei Hausdurchsuchungen in Valmaseda, Santiago de Compostela und Molina de Segura beschlagnahmten die Behörden den Angaben zufolge umfangreiches Beweismaterial, darunter Zugangsdaten zu Unternehmensnetzen, Online-Banking-Accounts und E-Mail-Konten von mehr als 800.000 Nutzern.
Unterstützt wurde die "Grupo de Delitos Telemáticos" der Guardia Civil vom amerikanischen FBI, dem Georgia Tech Information Security Center, dem spanischen Hersteller von Sicherheitssoftware Panda Security und dem Defense Intelligence Team, das im Mai 2009 auf "Mariposa" aufmerksam wurde und anschließend zahlreiche Master-Server identifizierte, von denen die gekaperten Windows-Rechner Befehle zum Herunterladen von weiteren Schadprogrammen wie Key-Loggern erhielten. Aufgebaut wurde das Netz offenbar vor allem über das Versenden von Links auf präparierte Webseiten in Instant Messages. Rief der Empfänger eine der Seiten auf, wurde eine nicht näher spezifizierte Sicherheitslücke im Internet Explorer zur Infizierung des Rechners ausgenutzt.
Zum Mariposa-Botnetz, dessen "Command and Control Server" bereits am 23. Dezember vergangenen Jahres vom Netz genommen worden sein sollen, gehörten den Angaben zufolge PCs in 190 Ländern, darunter Rechner in Schulen, Regierungsinstitutionen und hunderten Großunternehmen. Den entstandenen Schaden vermag die Guardia Civil derzeit nicht zu beziffern. Offenbar wurde das Botnetz aber auch an andere Interessengruppen vermietet: So verzeichnete das Defense Intelligence Team (dessen Name selbst für Master-Server-Domains wie "defintelsucks.com" missbraucht wurde) Anfang November massive DOS-Attacken auf mehrere arabische Websites. Die Mariposa-Hauptverantwortlichen erwarten bei einer Verurteilung in Spanien mehrjährige Haftstrafen wegen Computersabotage und Betrugs.
http://defintel.com/docs/Mariposa_Analysis.pdf
http://www.heise.de/security/meldun...-zu-Mariposa-Verhaftungen-bekannt-945386.html
Hintergrund Infos von mir:
Das in den News bekannte Mariposa Botnet wurde mit dem ButterFly Bot aufgebaut,der programmierer war im Undergrount als iserdo bekannt,ein Mitglied der uNkn0wn Crew.Der Bot wurde im Sommer 2009 von einem Cracker Namens LEAKISO2008 gecrackt und Public gemacht.Daraufhin wurde der Bot überarbeitet und in einer neuen Version Angeboten.
Der Bot wurde zu folgenden Preisen angeboten.
Packages:
Licenses*
Payment methods: WesternUnion, MoneyGram and WebMoney.
WebMoney prices are 15% higher.
Features (client):
Das Protokoll des Butterfly Bots.
Clients and master client(s) communicate with server. There is no direct communication between clients and master client(s). There is also no connection, because communication is based on UDP protocol which is connection-less. All "connection(s)" mentioned on this page is/are referred to connection-impersonating created by this software on upper level. BFF Clients do not connect to Master Client directly (like with RAT - remote administrative tools), instead they connect to BFF Server. BFF Master Client connects to BFF server. Order routes, replies and protocol information are therefore taken care by BFF Server.
http://www.symantec.com/connect/de/blogs/jailing-butterfly
http://www.symantec.com/connect/de/blogs/mariposa-butterfly
http://www.symantec.com/connect/de/blogs/mariposa-butterfly-bot-kit
Unterstützt wurde die "Grupo de Delitos Telemáticos" der Guardia Civil vom amerikanischen FBI, dem Georgia Tech Information Security Center, dem spanischen Hersteller von Sicherheitssoftware Panda Security und dem Defense Intelligence Team, das im Mai 2009 auf "Mariposa" aufmerksam wurde und anschließend zahlreiche Master-Server identifizierte, von denen die gekaperten Windows-Rechner Befehle zum Herunterladen von weiteren Schadprogrammen wie Key-Loggern erhielten. Aufgebaut wurde das Netz offenbar vor allem über das Versenden von Links auf präparierte Webseiten in Instant Messages. Rief der Empfänger eine der Seiten auf, wurde eine nicht näher spezifizierte Sicherheitslücke im Internet Explorer zur Infizierung des Rechners ausgenutzt.
Zum Mariposa-Botnetz, dessen "Command and Control Server" bereits am 23. Dezember vergangenen Jahres vom Netz genommen worden sein sollen, gehörten den Angaben zufolge PCs in 190 Ländern, darunter Rechner in Schulen, Regierungsinstitutionen und hunderten Großunternehmen. Den entstandenen Schaden vermag die Guardia Civil derzeit nicht zu beziffern. Offenbar wurde das Botnetz aber auch an andere Interessengruppen vermietet: So verzeichnete das Defense Intelligence Team (dessen Name selbst für Master-Server-Domains wie "defintelsucks.com" missbraucht wurde) Anfang November massive DOS-Attacken auf mehrere arabische Websites. Die Mariposa-Hauptverantwortlichen erwarten bei einer Verurteilung in Spanien mehrjährige Haftstrafen wegen Computersabotage und Betrugs.
http://defintel.com/docs/Mariposa_Analysis.pdf
http://www.heise.de/security/meldun...-zu-Mariposa-Verhaftungen-bekannt-945386.html
Hintergrund Infos von mir:
Das in den News bekannte Mariposa Botnet wurde mit dem ButterFly Bot aufgebaut,der programmierer war im Undergrount als iserdo bekannt,ein Mitglied der uNkn0wn Crew.Der Bot wurde im Sommer 2009 von einem Cracker Namens LEAKISO2008 gecrackt und Public gemacht.Daraufhin wurde der Bot überarbeitet und in einer neuen Version Angeboten.
Der Bot wurde zu folgenden Preisen angeboten.
Packages:
- BASIC: 350 EUR
(BFF core with modules: External Downloader, USB Spreader, MSN Spreader) - PREMIUM: 400 EUR
(BFF core with modules: External Downloader, Basic Flooder, Slowloris Flooder) - BUSINESS: 450 EUR
(BFF core with modules: External Downloader, Visit, Cookie Stuffer, Adware Simple) - STANDARD: 600 EUR
(BFF core with modules: External Downloader, USB Spreader, MSN Spreader, Basic Flooder, Visit, Reverse Socks Simple) - SELECTED: 600 EUR
(BFF core with modules: External Downloader, USB Spreader, MSN Spreader, Basic Flooder, Slowloris Flooder) - PROFESSIONAL: 900 EUR
(BFF core with modules: External Downloader, Visit, Reverse Socks Simple, Connect Hook, Post Data Grabber, Cookie Stuffer, Adware Simple) - ULTIMATE: 1100 EUR
(BFF core with modules: External Downloader, Basic Flooder, Slowloris Flooder, USB Spreader, MSN Spreader, Visit, Reverse Socks Simple, Connect Hook, Post Data Grabber, Cookie Stuffer, Adware Simple) - CUSTOM: price depends on chosen modules
(BFF core with modules you can choose!)
- Basic Flooder: 100 EUR
- Slowloris Flooder: 200 EUR
- USB Spreader: 100 EUR
- MSN Spreader: 100 EUR
- Visit: 100 EUR
- Reverse Socks Simple: 100 EUR
- Post Data Grabber: 200 EUR
- Connect Hook: 200 EUR
- Adware Simple: 100 EUR
- Cookie Stuffer: 200 EUR
Licenses*
- 3 months: 150 EUR
- 6 months: 250 EUR
- 12 months: 400 EUR
Payment methods: WesternUnion, MoneyGram and WebMoney.
WebMoney prices are 15% higher.
Features (client):
- Direct code injection into remote process (part of module system) for automatic Windows Firewall bypass
- Module system (in-file & on-fly module loading mechanism)
- UDP flood with random data and packets sizes, configurable strength of flood
- Strong TCP flood, working with max power on all WINNT systems with configurable strength of flood
- USB spreader with on-fly autorun.inf content
- Downloader that downloads files via ButterFly Network Protocol (no need for third party HTTP or FTP servers)
- MSN spreader (hooking send and WSARecv functions) - completely version independant message replacer
- Visit module (client visit website; hidden or with default browser)
- External downloader - can download via HTTP, HTTPS and FTP protocols, extended options (user agent, additional request headers, target folder and filename, execute, melt and update options, single download option)
- NEW: Reverse Proxy Simple module with receiver (turn every client into proxy server instantly!)
- Post Data Grabber for Internet Explorer 6, 7 and 8 (catches all data sent by POST method, including HTTPS)
- Connect Hook for Internet Explorer, Firefox, Opera and Chrome (all versions)
- Adware Simple (adwertise your website on clients while they browse world wide web)
- Cookie Stuffer for Internet Explorer and Mozilla Firefox
- NEW: Slowloris Flooder (great flooder for stress testing HTTP Web servers)
- Based on UDP
- Own application layer protocol
- Own acks, reliability control
- Support for transferring large data blocks
- Download modules over protocol
- Download third party software over protocol (also update)
- Configurable max upload per second for each peer
- Multithreaded design with variable number of threads selection for maximized performance
- Ability to configure frames per seconds to fine tune servers CPU usage / latency ratio
- Ability to configure servers overall max upload
- GEOIP client localization (accurate country info on clients)
- Automated modules distribution to clients without needed modules
- Multiple server connect instances possible
- Debug console
- Console on/off for each instance
- Client dump window
- On-join commands
- Timer commands
- One-time commads
- Various conditions for commands, can be used together (check screenshots)
- Console style commanding, from where any command can be issued (for "PROs")
Das Protokoll des Butterfly Bots.
Clients and master client(s) communicate with server. There is no direct communication between clients and master client(s). There is also no connection, because communication is based on UDP protocol which is connection-less. All "connection(s)" mentioned on this page is/are referred to connection-impersonating created by this software on upper level. BFF Clients do not connect to Master Client directly (like with RAT - remote administrative tools), instead they connect to BFF Server. BFF Master Client connects to BFF server. Order routes, replies and protocol information are therefore taken care by BFF Server.
http://www.symantec.com/connect/de/blogs/jailing-butterfly
http://www.symantec.com/connect/de/blogs/mariposa-butterfly
http://www.symantec.com/connect/de/blogs/mariposa-butterfly-bot-kit
Zuletzt bearbeitet:
