Просмотр кода страницы Rustock

'''Rustock''' — [[руткит]] и [[ботнет]], созданный на его базе. Rustock появился в 2006 году<ref name="scmagazineus1">{{cite web|author=Chuck Miller|url=http://www.scmagazineus.com/the-rustock-botnet-spams-again/article/112940/|title=The Rustock botnet spams again|publisher=SC Magazine US|date=2008-07-25|accessdate=2010-04-21|archiveurl=https://www.webcitation.org/69vUxu3hU?url=http://www.scmagazine.com/the-rustock-botnet-spams-again/article/112940/|archivedate=2012-08-15|deadurl=yes}}</ref>. Ботнет функционировал до марта 2011 года<ref name="cnlhfmtps"/>.

Поражались ПК с 32-битной ОС [[Microsoft Windows]]. С заражённых компьютеров рассылался спам, скорость его рассылки могла достигать 25 тыс. сообщений в час<ref>{{cite web|url=http://news.techworld.com/security/119086/real-viagra-sales-power-global-spam-flood/|title=Real Viagra sales power global spam flood - Techworld.com|publisher=News.techworld.com|date=|accessdate=2010-04-21|archiveurl=https://www.webcitation.org/69vUyrZxz?url=http://news.techworld.com/security/119086/real-viagra-sales-power-global-spam-flood/|archivedate=2012-08-15|deadurl=yes}}</ref><ref>{{Cite web |url=http://www.m86security.com/labs/spambotitem.asp?article=902 |title=Rustock: M86 Security<!-- Заголовок добавлен ботом --> |access-date=2012-01-13 |archive-date=2012-05-25 |archive-url=https://web.archive.org/web/20120525081746/http://www.m86security.com/labs/spambotitem.asp?article=902 |deadlink=no }}</ref>.
Ботнет Rustock содержал от 150 тыс. до 2 миллионов заражённых компьютеров.

== История ==
[[Лаборатория Касперского]] полагает, что широкое распространение вируса Rustock началось 10 сентября 2007 года<ref name="rvvv"> «Rustock и все-все-все» (securelist.com)</ref>.

В мае 2008 года вирус был обнаружен. Через несколько дней он распознавался несколькими антивирусами<ref name="rvvv" />.

В 2008 в связи с временным отключением хостинга [[McColo]] ([[Сан-Хосе (Калифорния)|Сан-Хосе, Калифорния]]), у которого была установлена часть серверов управления ботнетом, активность ботнета уменьшалась<ref>https://www.theregister.co.uk/2008/11/18/short_mccolo_resurrection/ {{Wayback|url=https://www.theregister.co.uk/2008/11/18/short_mccolo_resurrection/ |date=20171113024401 }} Dead network provider arms Rustock botnet from the hereafter. McColo dials Russia as world sleeps]</reF>.

Ботнет был разрушен 16 марта 2011<ref name="cnlhfmtps">{{cite news | last=Hickins | first=Michael | title=Prolific Spam Network Is Unplugged | publisher=Wall Street Journal | date=2011-03-17 | url=http://blogs.wsj.com/digits/2011/03/17/prolific-spam-network-is-unplugged/ | accessdate=2011-03-17 | archivedate=2011-07-22 | archiveurl=https://web.archive.org/web/20110722023812/http://blogs.wsj.com/digits/2011/03/17/prolific-spam-network-is-unplugged/ }}</ref> в рамках совместной операции «b107»<ref>{{cite web|last=Williams|first=Jeff|title=Operation b107 - Rustock Botnet Takedown|url=http://blogs.technet.com/b/mmpc/archive/2011/03/18/operation-b107-rustock-botnet-takedown.aspx|accessdate=2011-03-27|archiveurl=https://www.webcitation.org/69vUzvePA?url=http://blogs.technet.com/b/mmpc/archive/2011/03/18/operation-b107-rustock-botnet-takedown.aspx|archivedate=2012-08-15|deadurl=yes}}</ref>, проведённой [[Microsoft]], агентами федеральных правоохранительных органов, [[FireEye]], и [[Вашингтонский университет|университетом Вашингтона]]<ref>{{cite news | last=Wingfield | first=Nick | title=Spam Network Shut Down | publisher=Wall Street Journal | date=2011-03-18 | url=http://online.wsj.com/article/SB10001424052748703328404576207173861008758.html | accessdate=2011-03-18 | archivedate=2011-03-20 | archiveurl=https://web.archive.org/web/20110320045611/http://online.wsj.com/article/SB10001424052748703328404576207173861008758.html }}</ref>.

В мае 2011<ref>{{Cite web |url=http://krebsonsecurity.com/2011/06/rustock-botnet-suspect-sought-job-at-google/ |title=Rustock Botnet Suspect Sought Job at Google — Krebs on Security<!-- Заголовок добавлен ботом --> |access-date=2012-01-13 |archive-date=2012-01-07 |archive-url=https://web.archive.org/web/20120107073631/http://krebsonsecurity.com/2011/06/rustock-botnet-suspect-sought-job-at-google/ |deadlink=no }}</ref> года Microsoft заявляла, что к работе ботнета был причастен человек, использовавший никнейм «Cosma2k»<ref>[http://www.electronista.com/articles/11/09/22/fbi.gets.microsoft.evidence.in.spammer.case/ Microsoft turns Rustock botnet case over to the FBI] {{Wayback|url=http://www.electronista.com/articles/11/09/22/fbi.gets.microsoft.evidence.in.spammer.case/ |date=20111113040953 }} "According to CNET, Cosma2k is the ringleader of the Rustock botnet"</ref>. Предположительно, часть организаторов ботсети находилась в России<ref>[http://www.cybersecurity.ru/crypto/123692.html «Microsoft: следы организаторов бот-сети Rustock ведут в Россию»] {{Wayback|url=http://www.cybersecurity.ru/crypto/123692.html |date=20160304113957 }} // CyberSecurity.ru "в корпорации сообщили, что по крайней мере часть операторов Rustock находится в России. "</ref>.

В июне 2011 года Microsoft разместила в газетах «Деловой Петербург» и «Московские новости» обращение к создателям Rustock и уведомила их о судебном процессе над ними в окружном суде штата Вашингтон<ref name="wbcuri"/>.

За информацию о создателях вируса 18 июля 2011 года было объявлено крупное денежное вознаграждение<ref name="wbcuri">{{Cite web |url=http://www.bbc.co.uk/russian/international/2011/07/110719_microsoft_rustock_reward.shtml |title=Microsoft обещает $250 тыс. за данные о «русском боте» |access-date=2012-01-13 |archive-date=2011-11-06 |archive-url=https://web.archive.org/web/20111106043311/http://www.bbc.co.uk/russian/international/2011/07/110719_microsoft_rustock_reward.shtml |deadlink=no }}</ref>.

== Внутреннее устройство ==
Каждый заражённый компьютер регулярно обращался к управляющим серверам. Взаимодействие с ними происходило при помощи протокола HTTP и запросов типа POST. Все данные дополнительно шифровались, по мнению компании [[Symantec]] при помощи алгоритма [[RC4]]. Сеанс обмена состоял из двух фаз: обмен ключами и передача инструкций. Обмен ключами происходил при обращении с скрипту login.php (клиент посылал 96 байт, отклик сервера 16 байт). Инструкции передавались скриптом data.php<ref name="acsotrrasb">A Case Study of the Rustock Rootkit and Spam Bot // HotBots</Ref>.

Файл вируса состоит из<ref name="acsotrrasb"/>:
* Модуля первичной деобсфукации размером 0x4AF байт
* Загрузчика [[Rootkit]] (0x476 байт)
* Кодов Rootkit.
* Модуля отправки спама.

Загрузчик [[руткит]]а использует функции ExAllocatePool, ZwQuerySystemInformation, ExFreePool, stricmp из ntoskrnl.exe<ref name="acsotrrasb"/>.

== Вариации ==
Были найдены также 3 вариации вируса Rustock:
* Вариант Rustock.С1 — создан 10 сентября 2007 года.
* Вариант Rustock.С2 — создан 26 сентября.
* Варианты C3 и С4 — созданы 9—10 октября 2007.

== Примечания ==
{{примечания}}

== Ссылки ==
* Александр Гостев. [https://securelist.ru/rustock-i-vse-vse-vse/1108/ «Rustock и все-все-все»] // Securelist.ru
* Ken Chiang, Levi Lloyd (Sandia). [http://www.usenix.org/event/hotbots07/tech/full_papers/chiang/chiang_html/ A Case Study of the Rustock Rootkit and Spam Bot] // HotBots’07 Proceedings of the first conference on First Workshop on Hot Topics in Understanding Botnets
* Вячеслав Русаков: [http://drweb.com/upload/a8601a8e66f6ff9a9c629c969482d292_1210059861_DDOCUMENTSArticales_PRDrWEB_Rustock_rus.pdf "Win32.Ntldrbot (aka Rustock.C) – не миф, а реальность!" (pdf)]

{{Ботнеты}}
{{Хакерские атаки 2000-х}}
{{Хакерские атаки 2010-х}}

[[Категория:Компьютерные вирусы и сетевые черви]]
[[Категория:Ботнеты]]
[[Категория:Спам]]