Tweet

0

Botnet vermomt commando's als afbeeldingen

Steganografie in praktijk gebracht

Beveiligers hebben een creatieve toepassing van steganografie - de kunst om een geheime boodschap te verstoppen in een onschuldige - gevonden in het botnet Monkif/Dikhora. De bedieners van dit netwerk vermommen hun commando's als jpeg-afbeeldingen, om zo detectie te ontlopen.

De commando's worden via http verstuurd met als content-type header image/jpeg, en worden voorafgegaan door een 32 bit grote jpeg-header. De botsoftware controleert of de header overeenkomt met wat hij verwacht en decodeert daarna het commando.

Deze poging tot verstoppen zal overigens meer kwaad dan goed doen voor de botnetherders. Omdat er geen pogingen gedaan worden de overgezonden informatie aan te dikken met zinloze bytes, waardoor het qua omvang ook op een jpeg-beeld lijkt, is het een relatief opvallende manier om commando's te versturen, wat detectie eenvoudiger maakt.

De informatie die via het netwerk verstuurd wordt is - buiten de verzendwijze om - redelijk standaard. Mensen die ongewenst lid zijn van het Monkif/Dikhora-botnet krijgen reguliere kapingssoftware aan boord waarmee hun computer op afstand te bedienen is.

 

bron: ZDNet