شبكة botnet آلية بقناة تحكم تعتمد على تويتر

وجد أحد الباحثين شبكة آلية تستخدم توتير كمركز سيطرة و تحكم بالـ botnet. تقوم هذه الشبكة باستخدام حالة الرسائل Status Message في ارسال مجموعة من العناوين إلى البوت المتصل. هذه العناوين تحتوي على أوامر جديدة أو برامج تشغيلية تستخدم في عملية سرقة للمعلومات أو اطلاق هجمات حجب الخدمة DoS.

كما هو واضح في الصورة أعلاه, ملف عادي لعضو في توتير ولكن الغير العادي هو الرموز التي تحتويها صفحة العضو. لنلقي نظرة على تفسير هذه الرموز, من الواضح أن الترميز المستخدم هو base64 ولفك الترميز نقوم بالآتي:

الوصلتان أعلاه لا تعملان الآن ولكن قبل أن تتوقفا عن العمل كانت إحداهما تظهر نص مرمّز بالكامل باستخدام base64. باستخدام الطريقة أعلاه ولكن على ملف يظهر ملف مضغوط PKZIP نقوم بتخزين الملف بأي امتداد الباحث اختار الامتداد .qqq بعدها نقوم بمحاولة فك الضغط والتي اسفرت عن الآتي:

الملف ذو الامتداد dll هو ملف مغلّف بواسطة upx يمكن فك تغليف باستخدام upx كالآتي:

الملف يبدو أنّه سارق للمعلومات يمكن الاستدلال على ذلك من خلال احتواءه على قائمة بالعناوين التي يقوم بالارسال إليها:

تحذير: بعض هذه العناوين لا تعمل الان. لا تحاول زيارة هذه العناوين إذا كنت لا تدري ما الذي تريده من زيارتها لأنها قد تتسبب في تحميل برمجيات ضارة على حاسوبك أو في بعض الأحيان إلى اطلاق هجمة حجب خدمة على العنوان الذي قدمت منه (حصلت مع عدّة أشخاص في حالات أخرى لذلك اقتضى التنويه).

الملف ذو الامتداد التشغيل exe تم تغليف باستخدام حزمة تغليف أخرى, قابيلة اكتشاف برامج مكافحة الفيروسات له ضعيفة كما هو واضح في هذا التقرير.

بعد البحث اكتشف أن العضو نفسه صاحب الحساب المشبوه قام بانشاء حسابات أخرى للغرض نفسه على شبكات أخرى.

المصدر: Arbor Networks

عن الكاتب:

باحث عن المعرفة, طالب ماجستير باحث في أمن المعلومات و مدوّن يهتم في العديد من الجالات المتعلّقة بالشبكات, الحماية والأنظمة المفتوحة المصدر.