Нажмите на изображение для увеличения.  Название: 9679696.jpg  Просмотров: 0  Размер: 5.3 Кб  ID: 4965

Экспертами из области безопасности, работающими в компании S21sec, недавно был обнаружен модифицированный троян, который получил название "Цитадель". Помимо своих привычных вредоносных функций, он обладает улучшенным алгоритмом шифрования и функцией поиска наличия активированных виртуальных сред, таких как, например, песочницы.

Как рассказывают специалисты, самое интересное в этом трояне то, что среди добавленных функций присутствует так называемый антиэмулятор. После попадания на компьютер вирус начинает сканировать его на наличие функционирующих на текущий момент виртуальных сред. Если подобный процесс запущен, то программа создаёт лже-домен и предпринимает попытки установить с ним контакт. Эксперты отметили, что таким образом исследователей хотели направить по обманному пути, сымитировав отключённый сервер. А если результат проверки оказывается отрицательным, то троян начинает устанавливать связь уже с реальными удалёнными серверами.

Плюс ко всему прочему, авторы данной модификации трояна "Цитадель" снабдили своё творение ещё и усовершенствованным алгоритмом шифрования. С помощью изменённого RC4 во время проведения сеанса связи весь сетевой трафик шифруется. Создатели также учли тот факт, что у данного алгоритма имеются уязвимости, а потому решили добавить к нему ещё и внутренний хэш.

Исследователи рассказывают, что в процессе шифрования потока данных кроме привычных операций сложения в алгоритме RC 4, во время каждой последующей интеграции к полученным значениям добавляются последовательно ещё дополнительные символы, которые также удалось вычислить при помощи XOR функции.

Если говорить другими словами, то суть внутреннего шифрования заключается в том, что к основным значениям XOR операции добавляются дополнительная последовательность из чисел, которая, в свою очередь, также проходила через XOR процесс.

В итоге эксперты пришли к выводу, что обновлённая и модифицированная версия трояна не будет аналогией предыдущим версиям, а потому соединение с ними поддерживать не будет. Специалисты продолжают подробное исследование этого вирусного продукта.