Исследователи перехватили контроль над ботнетом Torpig и ковыряли его 10 дней, пока владелцы не накатили обновление и не вернули управление себе. За это время стало понятно какого вида информацию он собирает, как он это делает, как защищается от перехвата управления и на какое поведение юзеров он рассчитан.

Авторы утверждают что Torpig это одно из самых продвинутых crimeware на сегодняшний день. У него самая лучшая программная архитектура, самые остроумные способы воровства данных, самая лучшая топология управления. Также Torpig наносит самый большой финансовый ущерб.
Оценка экономической эффективности $3-300 млн в год. Из упражнений спамеров, ботнеты похоже становятся серьёзным бизнесом.

Работает это всё следующим образом

Инсталяция

Взламываются популярные сайты и вставляется ссылка на специальный JavaScript. Браузер скачивает и выполняет вредоносный JavaScript, код в котором пытается залинковать свою dll в проводник (explorer.exe) используя известные уязвимости самого браузера, его плагинов или ActiveX объектов. Уязвимости перебираются по кругу пока одна из них не сработает. Дальше все операции выполняются как будто бы самим explorer.exe – вполне себе уважаемым процессом. Теперь загружается драйвер ядра, который подменяет оригинальный disk.sys на себя и затирает Master Boot Record (MBR)
Всё, шаг №1 выполнен – руткит Mebroot поставлен. Фокус тут в том, что после перезагрузки Mebroot выполняется самым первым, раньше чем загрузится OS и остается практически невидимым для антивирусного ПО.

Сам по себе Mebroot ничего плохого не делает, но это только платформа для других модулей которые и делают всяческие гадости. Итак, сразу после перезагрузки, каждые два часа Mebroot соединятеся с Mebroot C&C server и качает модули, например Torpig. Все соединения шифруются. Теперь и шаг №2 выполнен – Torpig установлен.

Torpig вставляет линкует свою dll в Service Control Manager (services.exe), проводник и 29 другиз популярных программ, например браузеры – IE, Firefox, Opera, FTP клиенты – CuteFTP, LeechFTP, e-mail клиенты – Thunderbird, Outlook, Eudora, мессенжеры – Skype, ICQ и такое прочее. Теперь Torpig может просматривать все данные которые эти программы манипулируют, выделять интересные куски, например логины с паролями. Каждые 20 минут Torpig закачивает всё что он там насобирал на сервер.

Топология управления

Тут интересное архитектурное решение, если адрес этого C&C сервера известен и более менее постоянен, то его легко можно отфильтровать тем самым нейтрализовав утечку данных. Исторически ботнеты это делают следующим образом – имя домена статично и не меняется, но очень часто меняются IP серверов куда замаплена DNS запись – это делает блокировку по IP не эффективной. Недостаток тут очевиден – статическое доменное имя. Mebroor и Torpig вместо этого генерируют доменные имена по специальному алгоритму, если домен заблокирован, не отвечает на запросы по ботнетовскому протоколу или не существует – генерируется следующее имя и так до победного конца.
Тут надо помнить, что регистрация домена стоит денег, но владельцам ботнета нет необходимости регистрировать все имена – достаточно удерживать контроль над хотя бы одним из доменов который сгенерируют боты. В этой силе кроется и слабость. Если алгоритм известен и предсказуем, нужно зарегистрировать следующий домен которому подчинится ботнет.

Именно так авторы статьи и перехватили управление. На 10 дней.

К чести оригинальных программистов ботнета следует заметить, что эти 10 дней не прошли даром. Они поменяли алгоритм генерации доменных имен, усложнили и внесли недетерменизм. Это сразу сделало перехват управления экономически не выгодным, например новая версия Conficker генерирует 50,000 доменных имен в день, если все их регистрировать это выливается в большие расходы – $91 – $182 млн.

Остроумные способы воровства данных

Тут старый добрый фишинг поднятый на новый уровень. В своём конфигурационном файле Torpig читает имена банковских сайтов. Если юзер посещает такой сайт, Torpig вставляет HTML форму прямо в страницу сайта. Это происходит прямо в DOM-e браузера. Определить это очень трудно – URL сайта верный, стили и картинки соблюдены, и даже SSL тут не спасёт. Все сертификаты верны. Пользователя просят якобы подтвердить свою личность введя номер карты, налоговый номер и прочее.

За 10 дней, Torpig наворовал 300ооо логинов с паролями, 1600 номеров кредитных карт и 8300 логинов в онлайн банкинг. Всего в забеге участвовало 180ооо инфицированных хостов.

Саму цетовую схему взял тут. Недостаток оригинального файла – это полный export всего подряд, а нужно всего только цвета поменять.

Объясняет, как latency коррелирует с прибылью, почему сайты вообще медленно грузятся в браузере и рассказывает как это можно исправить. Утверждает он следующие интересные вещи:

Влияние latency на доход

Google: +500 ms  -20% traffic
Yahoo: +400 ms  -5-9% full-page traffic
Amazon: +100 ms  -1% sales

На конференции Velocity 2009 докладчикам от  AOL, Google, Microsoft и Shopzilla задали вопрос “почему это важно – уделять внимание производительности?”

• Microsof (Bing): увеличение времени отклика на 2 секунды это -1,8% запрос/пользователь и -4,3% дохода с пользователя
• Google: увеличение времени отклика на 400 ms это -0,59% запрос/пользователь
• AOL: 25% падение количества page hits при удвоении времени отклика
• Shopzilla: Ускорение с 7секунд до 2х дало +25% page hits, +7-12%  дохода и 50% экономия на железе

Почему сайты медленно грузятся?

Согласно Souder-а причины могут быть следующие:

• Тормозит back-end
• Тормозит front-end
• Тормозит интернет

Steve говорит, что 80-90% всего времени тратится на front-end и соответсвенно оптимизировать надо как раз эту часть в первую очередь. И дешевле всего и эффект виднее.

Как исправить

Вот его 14 правил:

1. Делать меньше HTTP запросов
2. Использовать CDN
3. Не забыть про Expires
4. Использовать Gzip компрессию
5. Все стили на верх страницы
6. Все скрипты – вниз
7. Избегать CSS expressions
8. Выносить JS и CSS во внешние файлы
9. Уменьшать DNS lookups
10. Сжимать JS
11. Избегать redirect-ов
12. Выкинуть повторяющийся JS
13. Не забыть про ETags
14. Сделать AJAX контент cacheable

Сама презентация поясняет основные приёмы ускорения загрузки страниц:

• сначала грузим только то, что надо для отображения станицы, затем всё остальное
• 6 способов загрузить JS и чем они отличаются
  XHR Eval, XHR Injection, JS in Iframe, JS DOM Element, JS Defer, document.write Script Tag
• как прятать от пользователя что мы ещё не все загрузили (индикатор загрузки в браузерах)
• несколько неблокирующих способов грузить JS
• способы вызова/инициализации JS со страницы, он называет это “coupling techniques”
  hardcoded callback, window onload, timer, degrading script tags, script onload
• какие домены лишние, а какие наоборот надо добавить в round-robin DNS
• почему для статики HTTP 1.0 лучше чем HTTP 1.1
• фокусы с flush() на разных языках
• эффективные и не эффективные CSS

Область практической применимости очевидна и огромна. “Deployed Software” это коммерческий софт. Утверждается, что лучше всего работает в кластерах, уязвимости обнаруженные на одном из хостов, автоматически накатываются на все остальные.

Идея такова:
это самое “Deployed Software” постоянно мониторится на подозрительную активность, например переполнение буферов, подозрительные передачи управления и прочее некорректное поведение. Это само по себе не новость, обычно после обнаружения такой активности приложение прерывается, при повторении – блокируется.

Тут на самом деле две проблемы:

• Если система high availability – ни о каком прерывании или блокировках не может быть и речи.
• Скорость латания дыр в коммерческом софте не велика – буквально через месяц программисты выпускают патч.

Новость тут в том, что ClearView, так называется система, обещает чинить баги и устранять уязвимости в реальном времени без рестартов и человеческого вмешательства.

ClearView сначала собирает статистику поведения во время нормального выполнения, они называют это “инвариантами выполнения”, затем отслеживает активность, при обнаружении подозрений автоматически патчит бинарный код пытаясь восстановить “инварианты выполнения”. Умеет сама тестировать различные варианты исправлений, накатывать и откатывать заплатки. Т.е. фактически пытаться держать систему в устойчивом состоянии, фильтруя input или блокируя и исправляя код.

P.S.
Ещё два шага и программы будут писать сами себя.

Плакат “50 лет космических исследований” от National Geographic. Масштаб не соблюден, траектории не соблюдены, зато видно что исследовалось чаще. Десяток к солнцу, десяток к внешним планетам, и совсем мало в дальний космос. Успехи и неудачи, 200 экспедиций, 50 лет исследований на одной картинке.

Большая картинка здесь

В июле этого года Google запустил like/unlike в Google Reader. Человек читает статью – она ему интересна – человек отмечает ее как “понравилось”.

Всем читателям этого RSS потока видно, кому понравилась эта статья и сколько их. Задумывалось, что счастливые юзера будут кликать на имена, проверять что там эти люди ещё расшарили интересного и находить себе компанию по интересам.

Это полезно, но не очень интересно, намного интереснее применить эту собранную гуглом статистику в своих целях. Например можно фильтровать статьи в RSS потоках по количеству проголосовавших и читать только самое интересное. Можно смотреть на свой собственный RSS и видеть что читателям интересно, а что нет. А можно смотреть на RSS конкурентов и снова видеть что народу нравится.

Этакий digg или stumbleupon в миниатюре и совершенно бесплатно.
Ну а теперь как это сделать

Здесь и далее я буду использовать термин RSS как собирательный образ для всех синдикативных протоколов.

Широко известный факт, что Google Reader отдает нормализованные, агрегированные им RSS потоки. Надо только сформировать правильно URL:

http://www.google.com/reader/public/atom/feed/<url encoded feed URL>

Например для http://www.engadget.com/rss.xml это выглядит как

http://www.google.com/reader/public/atom/feed/http%3A%2F%2Fwww.engadget.com%2Frss.xml

Заглянув в source агрегированного Google Reader RSS/Atom потока видим такие теги

<gr:likingUser>00319180390340199299</gr:likingUser>
<gr:likingUser>09803098588727110477</gr:likingUser>
<gr:likingUser>09419458535147286956</gr:likingUser>
<gr:likingUser>01041706060102840430</gr:likingUser>
<gr:likingUser>16152963933826181588</gr:likingUser>
<gr:likingUser>02215958792577066354</gr:likingUser>

Это ID юзеров которые отметили статью как “понравилось”. Можно даже воспользоваться Social Graph API и посмотреть кто же эти люди такие. Или можно посмотреть что эти люди расшарили. Что бы понять как это работает смотрите src линков.

Так как все эти <gr:likingUser> теги видны всем без авторизации то можно автоматически отфильтровывать статьи с низким порогом “понравилось”. Можно вычислять точно количество “понравилось” и делать далеко идущие выводы.

Прямо в RSS потоке Google Reader отдает не более 100 user ID. Но если нужно знать точное число можно сконструировать URL вида

http://www.google.com/reader/api/0/item/likers?i=<gr:original-id>&output=<json|xml>

и пересчитать их всех. Например: JSON, XML

Хорошо работает для популярных, англоязычных RSS. Чем меньше аудитория тем разумеется хуже работает crowd-sourcing.

Если вы слышали про все те проблемы с которыми столкнулись ученые CERN пытаясь запустить Большой адронный коллайдер то вам в голову наверняка приходили такие же мысли как и некоторым учёным – виноват парадокс путешествия во времени.

Большой адронный коллайдер запустили 10 сентября прошлого года, была ещё большая шумиха о возможных весьма неприятных далеко идущие последствиях. Коллайдер сломался 9 дней спустя и с тех самых пор учёные из CERN мучаются, пытаясь поставить его обратно на адронные ноги. Ожидается, что он заработает в следующем месяце, а пока множество теорий пытаются объяснить многочисленные неудачи. Из совсем свежих – арест физика который якобы работает на Аль-Каиду.

Согласно одной из этих теорий, бозон Хиггса отправился обратно во времени что бы предотвратить свое собственное рождение. Идея была рождена даже до того, как сломался Большой адронный коллайдер, и отлично подходит для объяснение почему постройку Superconducting Supercollider в США отменили в 1993 году после того как миллиарды долларов были уже потрачены.

Не смотря на то, что идея звучит достаточно странно, это не шутка. Два уважаемых физика уже опубликовали статью об этом. Они даже предложили эксперимент на Большой адронном коллайдере, который подтвердит или опровергнет теорию. Предлагается имитировать генератор случайных чисел – если распределение экстремально не равномерное – то либо коллайдер никогда не заработает либо заработает на энергиях недостаточных для получения бозона Хиггса.

Авторы говорят буквально следующее – “Мы предполагаем, что все машины созданные для воспроизводства бозона Хиггса будут иметь плохую судьбу”

Вопрос стоит достаточно серьёзно – неудача с получением бозона может cкомпрометировать всю стандартную физику элементарных частиц.

Само собой, другие уважаемые физики считают, что эта идея совершенно безумна. С другой стороны, если коллайдер сломается опять, наверняка все больше людей начнут разделять точку зрения этой теории. Великий физик Нильс Бор однажды сказал – “Мы все согласны что ваша теория совершенно безумна. Вопрос о том, достаточно ли она безумна, чтобы оказаться еще и верной”

по мотивам Wired

Вроде ничего особенного, но какая композиция! какой свет! какие идеи!

Вот здесь полная галерея
http://www.flickr.com/photos/bunnyrel/sets/72157615647396658/

Three Friends, Beijing, 1989

Don Hong-Oai studied with the famous 104-year-old master, Long Chin-San in Taiwan. Here he learned to work in a Chinese “pictorial” style, using several negatives to compose a picture and perfecting his landscape work. He was honored by Kodak, Ilford and at Fotokina in West Germany and is a member of the International Federation of Photographic Art in Switzerland and the Chinatown Photographic Society

Only Me

Man-made Lake, Guangdong, 1986

Pine Peak

Winter Fog

After Prayer, Vietnam, 1973

Discipline is the
bridge between goals
and accomplishments

Набрано было стилизованным под готику шрифтом. Девушка читала курс органической химии.

Дисциплина это конечно наше всё, но каким же надо быть лодырем, что бы сделать себе такое напоминание…