Темная комета - DarkComet

Темная комета это троян удаленного доступа (RAT), разработанный Жан-Пьером Лесуэром (известный как DarkCoderSc^[2]), независимый программист и кодировщик компьютерной безопасности из Франции. Хотя RAT был разработан еще в 2008 году, он начал распространяться в начале 2012 года. Программа была прекращена, частично из-за ее использования в Сирийская гражданская война для наблюдения за активистами, но также и из-за опасений автора быть арестованными по неназванным причинам.^[1] По состоянию на август 2018 года разработка программы «приостановлена ​​на неопределенный срок», и загрузки на ее официальном сайте больше не предлагаются.^[3]

DarkComet позволяет пользователю управлять системой с помощью графический интерфейс пользователя. Он имеет множество функций, которые позволяют пользователю использовать его в качестве инструмента удаленной административной помощи; однако DarkComet имеет много функций, которые можно использовать злонамеренно. DarkComet обычно используется для слежки за жертвами путем создания снимков экрана, ввода ключей или кражи паролей.

История DarkComet

Сирия

В 2014 году DarkComet был связан с Сирийский конфликт. Люди в Сирии начали использовать безопасные соединения, чтобы обойти правительственную цензуру и наблюдение за Интернетом. Это заставило сирийское правительство прибегнуть к использованию RAT для слежки за своими гражданскими лицами. Многие считают, что именно это стало причиной арестов многих активистов в Сирии.^[1]

RAT распространялся через «заминированное сообщение чата Skype», которое состояло из сообщения со значком Facebook, которое на самом деле было исполняемым файлом, предназначенным для установки DarkComet.^[4] После заражения машина жертвы попыталась отправить сообщение другим людям с тем же заминированным сообщением чата Skype.

Как только DarkComet был связан с Сирийский режим Lesueur прекратил разработку этого инструмента, заявив: «Я никогда не мог представить, что правительство будет использовать его для шпионажа», - сказал он. «Если бы я знал это, я бы никогда не создал такой инструмент».^[1]

Целевые игроки, военные и правительства

В 2012 году компания Arbos Network обнаружила доказательства того, что DarkComet использовался неизвестными хакерами из Африки для нападения на военных и игроков. В то время они в основном были нацелены на Соединенные Штаты.^[5]

Je Suis Charlie

По следам 7 января 2015 г., атака на Чарли Эбдо журнал в Париж, хакеры использовали "#JeSuisCharlie "Слоган, чтобы обманом заставить людей загрузить DarkComet. DarkComet был замаскирован под изображение новорожденного ребенка, на браслете которого было написано" Je suis Charlie ". После загрузки изображения пользователи оказались скомпрометированы.^[6] Хакеры воспользовались катастрофой, чтобы взломать как можно больше систем. DarkComet был обнаружен в течение 24 часов после атаки.

Архитектура и особенности

Архитектура

DarkComet, как и многие другие RAT, использует архитектуру обратного сокета. Незараженный компьютер с графическим интерфейсом, позволяющим управлять зараженными, является клиентом, а зараженные системы (без графического интерфейса) - серверами.^[7]

Когда DarkComet выполняется, сервер подключается к клиенту и позволяет клиенту контролировать и контролировать сервер. На этом этапе клиент может использовать любую из функций, содержащихся в графическом интерфейсе. На сервере открывается сокет, который ожидает получения пакетов от контроллера и выполняет полученные команды.

особенности

Следующий список функций не является исчерпывающим, но они являются критически важными, которые делают DarkComet опасным инструментом. Многие из этих функций могут использоваться для полного управления системой и предоставления клиенту полного доступа при предоставлении через UAC.

• Шпионские функции
  • Захват веб-камеры
  • Захват звука
  • Удаленный рабочий стол
  • Кейлоггер
• Сетевые функции
  • Активные порты
  • Сетевые ресурсы
  • Серверные Socks5
  • Компьютеры LAN
  • Сетевой шлюз
  • IP сканер
  • Ссылка для скачивания
  • Обзор страницы
  • Перенаправить IP / порт
  • Точки доступа WiFi
• Мощность компьютера
  • Выключение
  • Неисправность
  • Рестарт
  • Выйти
• Действия сервера
  • Заблокировать компьютер
  • Перезагрузите сервер
  • Закрыть сервер
  • Удалить сервер
  • Загрузить и выполнить
  • Служба удаленного редактирования
• Сервер обновлений
  • Из URL
  • Из файла

DarkComet также имеет некоторые «забавные функции».

• Интересные особенности
  • Fun Manager
  • Фортепиано
  • Окно сообщения
  • Microsoft Reader
  • Удаленный чат

Обнаружение

DarkComet - широко известная часть вредоносное ПО. Если пользователь устанавливает антивирус, или средство для удаления темной кометы, они могут быстро вылечить свой компьютер. Его целевые машины обычно любые Windows XP, вплоть до Windows 10.

Общие антивирусные теги для приложения темной кометы следующие:

• Троян [Backdoor] /Win32.DarkKomet.xyk
• BDS / DarkKomet.GS
• Бэкдор.Win32.DarkKomet! O
• КРЫСА. Темная Комета

Когда компьютер заражен, он пытается установить соединение через разъем к компьютеру контроллеров. Как только соединение установлено, зараженный компьютер прослушивает команды от контроллера, если контроллер отправляет команду, зараженный компьютер получает ее и выполняет любую отправленную функцию.

Рекомендации

внешние ссылки

• Официальный веб-сайт (ныне несуществующий)