Log ind
Publiceret d. 26. februar 2010 kl. 14.30
| 
ANNONCE:
Med en størrelse på godt 74.000 inficerede pc'er er det et botnet i mellemstørrelsen.
Alligevel er der nogle ting ved opdagelsen af Kneber, der gør det værd at kigge nærmere på.
Svært at opdage
Vi har at gøre med et botnet, der anvender Zeus-programmet, som også er kendt som Zbot. Det er et af de mest udbredte botnetprogrammer.
Kneber er altså bare "endnu et Zeus-botnet."
Alligevel kan firmaet NetWitness, der opdagede det, fortælle, at under 10 procent af antivirusprogrammer kunne genkende programmet og stoppe det.
Hvordan opdagede NetWitness så truslen? Det skete via en løbende overvågning af datatrafikken på en af firmaets kunders netværk.
Her fangede man en filoverførsel af et program, der så ud til at være gjort svært at gennemskue (såkaldt obfuscation). En nærmere analyse førte til opdagelsen af det Zeus-baserede botnet.
I gamle dage havde vi en overskuelig mængde skadelige programmer, der spredte sig i stort tal.
I dag har vi i stedet en ekstremt stor mængde forskellige programmer, der hver især er mindre udbredte.
Årsagen er klar: Signaturbaserede antivirusprogrammer er nødt til at kende en trussel, før de kan beskytte mod den.
Signaturer er ikke nok
Så eksemplet med Kneber-udgaven af Zeus-programmet viser, at der er brug for andre metoder end signaturgenkendelse, når dagens trojanske heste skal fanges.
En mulighed er heuristiske algoritmer, der genkender skadelige programmers typiske opførsel i stedet for deres signatur.
Den mulighed tilbyder stort set alle antivirusproducenter.
En anden mulighed er avanceret netværksovervågning, hvor man analyserer indholdet af de enkelte datapakker (deep packet inspection).
Fortsættes ...
|
