[badvirus] Странный вирус

forensics 500

Перед решением ознакомьтесь с тасками Гостевой режим и Бэкдор.Вирус на компьютере Петра успешно работал лишь короткий интервал времени, однако хакеры успели получить достаточно тайных киберсекретов компании.Однако, они сами совершенно не позаботились о безопасности своих серверов. Поэтому скоро эти секреты получим и мы. Правда же?

Вспоминаем таск Backdoor. После декомпиляции видим, что кейлоггер отправлял POST-запрос с данными по адресу 45.77.142.82:31337/log:

Попытаемся зайти на главную страницу по этому адресу:

Видим, что хацкеры используют в качестве сервера БД для логов MySQL.

Попытаемся подключиться к их серверу БД. Для Windows и Linux команды одни и те же, достаточно просто установить MySQL. Мануалов в интернете полно.

Подключаемся к серверу БД:

mysql -h 45.77.142.82

И видим, что мы смогли подключиться:

Для начала, нам нужно узнать, какие БД есть на этом сервере:

SHOW DATABASES; # регистр не важен 

И получаем результат:

Первая БД нас не сильно интересует, а вот в keyes вероятно есть что-то интересное. Подключаемся к ней:

USE keyes;

Если ошибок не возникло, сразу же смотрим, какие таблицы в этой БД:

SHOW TABLES;

Видим следующую картину:

Таблица keyes — как раз то, что нам нужно. Выводим всё, что в ней есть:

SELECT * FROM keyes;

Получаем следующий результат:

В таблице keyes только две колонки: id, strokes.

Как видно, большинство символов закодированы в utf-8. Попробуем перевести пару строк:

>>> b'\xd1\x8b\xd0\xbc\xd0\xb5\xd0\xbc '.decode('utf-8')
'ымем '
>>> b'\xd1\x82\xd0\xbe\xd0\xbc\xd1\x81 '.decode('utf-8')
'томс '
>>> b' \xd1\x8c\xd1\x82\xd0\xb5\xd1\x80'.decode('utf-8')
' ьтер'
>>> b'\xd0\xb9\xd0\xb0\xd0\xbb\xd0\xbd\xd0\xbe'.decode('utf-8')
'йално'
>>> b'\xd0\xb7\xd0\xb5\xd0\xb1 \xd0\xbd'.decode('utf-8')
'зеб н'
>>> b'\xd0\xb8\xd0\xb3\xd0\xb5\xd1\x80 '.decode('utf-8')
'игер '
>>> b'\xd1\x86\xd0\xb0\xd1\x80\xd1\x82\xd1\x81'.decode('utf-8')
'цартс'
>>> b' \xd0\xb8 \xd0\xb8\xd0\xb8'.decode('utf-8')
' и ии'
>>> b'p \xd1\x81\xd0\xbc\xd1\x81'.decode('utf-8')
'p смс'

Понимаем, что нужно просто читать эти записи наоборот. Флаг у нас всегда пишется английскими буквами. Ищем такие строки в таблице:

Флаг: ugra_mysq1_1n53cur17y

ЗЫ: можно конечно написать скрипт, которые подключается к БД, считывает все строки, и декодит их. Кто это сделает тот молодец.

April 26, 2019
by Eugene Fronzak
0
8

38. Автоматизированные торговые сети ECN (Electronic Communication Network)

ECN - это компьютерные сети, которые позволяют обойтись без маркет-мейкеров и напрямую связывают продавцов и покупателей ценных бумаг.

Для того чтобы получить доступ к ECN, инвестору необходимо заключить соглашение с брокером, который имеет партнерские отношения по крайней мере с одной ECN. Такие брокеры называются “брокерами с прямым доступом”, поскольку они обеспечивают прямой доступ к компьютерным сетям.

На настоящий момент существует не менее 11 ECN, причем способы обработки приказов в каждой из них немного различаются. Естественно, что различается и размер комиссионных, которые составляют от четверти цента и более за акцию. 

На четыре сети – Instinet, Island, Archipelago и RediBook – приходится почти 85% операций, осуществляемых через ECN. Активному трейдеру даже не стоит рассматривать какие-либо другие варианты, поскольку ликвидность в таком деле играет большую роль: если инвестор не сможет найти достаточное число предложений, удовлетворяющих его требованиям, то у него будет меньше шансов осуществить выгодную сделку.

Главные особенности ECN

Все заявки, поступающие в ECN, попадают в единую книгу заявок (ордеров), которая по своей сути является базой данных. В основе любой ECN лежит система «подбора соответствующих ордеров» (order matching system), которая позволяет автоматически исполнять противоположные (на покупку и на продажу) приказы при совпадении их некоторых параметров (актив, цена, количество).

ECN относятся к электронным системам торговли с прямым доступом, то есть при помощи данной системы ордер от имени клиента напрямую поступает на рынок. В этом заключается основное отличие ECN от брокера, который выступает посредником — обрабатывает ордер в своей внутренней системе и выводит его на рынок уже от своего имени.

Главное преимущество ECN состоит в более масштабном охвате рынка — в торгах участвуют финансовые организации, расположенные в самых разных уголках Земли.

April 21, 2019
by Eugene Fronzak
0
4

37. Торговые сети - ETNs (Electronic Trading Networks)

Электронные торговые сети ETNs (electronic trading networks) — это информационные сети крупных торговых сетей (например, информационная сеть торговой сети "Техносила").

Для управления подобными сетями используются такие современные системы управления торговыми предприятиями, как Microsoft Axapta (Microsoft Dynamics AX 4.0), Oracle Retail Solution (Retek), SAP Retail и др. Систему SAP Retail используют 9 из 12 крупнейших отечественных торговых сетей.

Типичный сценарий В2В-взаимодействия на основе информационных торговых сетей показан на этой картинке:

В левой части рисунка показаны поставщики и покупатели верхнего уровня. Их работа обеспечивается программным обеспечением компа­ний SAP и Oracle, которое устанавливается на большую вычислитель­ную машину (мейнфрейм). В правой части рисунка показаны поставщики и покупатели регионального уровня. Их работа обеспечивается программ­ным обеспечением Ariba Commerce Services Network и SAP Business Suite. На рисунке показаны инструменты взаимодействия. Это EDI RosettaNet, XML OBI, eXML, xCBL.

April 21, 2019
by Eugene Fronzak
0
3

36. WAN (Wide Area Network)

Глобальная вычислительная сетьГВС (англ. Wide Area NetworkWAN) — компьютерная сеть, охватывающая большие территории и включающая большое число узлов.

Глобальные вычислительные сети служат для объединения разрозненных сетей так, чтобы пользователи и компьютеры, где бы они ни находились, могли взаимодействовать со всеми остальными участниками глобальной сети.

Некоторые Глобальные вычислительные сети построены исключительно для организаций, другие являются средством коммуникации корпоративных ЛВС с сетью Интернет или посредством Интернет с удалёнными сетями, входящими в состав корпоративных. Основными используемыми протоколами являются TCP/IP, SONET/SDH, MPLS, ATM и Frame relay.

Описание

Глобальные вычислительные сети связывают компьютеры, рассредоточенные на расстоянии сотен и тысяч километров. Часто используются уже существующие не очень качественные линии связи. В этом случае, более низкие, чем в локальных сетях, скорости передачи данных ограничивают набор услуг передачей файлов, преимущественно не в оперативном, а в фоновом режиме, с использованием электронной почты. В то же время, для стойкой передачи дискретных данных применяются более сложные методы и оборудование, чем в локальных сетях.

Отличие глобальной сети от локальной

Глобальные сети отличаются от локальных тем, что глобальные сети рассчитаны на неограниченное число абонентов и используют, как правило, качественные каналы связи и высокую скорость передачи, а механизм управления обменом абсолютно гарантированно быстрый.

April 21, 2019
by Eugene Fronzak
0
3

35. MAN (Metropolitan Area Network)

Городская вычислительная сеть (Metropolitan area network, MAN) (от англ. «сеть крупного города») объединяет компьютеры в пределах города, представляет собой сеть, по размерам меньшую, чем WAN, но большую, чем LAN.

Описание

MAN — это не только кабельное телевидение. Недавние разработки, связанные с высокоскоростным беспроводным доступом в Интернет, привели к созданию других MAN, которые описаны в стандарте IEEE 802.16, описывающем широкополосные беспроводные ЛВС (локальные вычислительные сети).
MAN (Metropolitan Area Network) — опорная сеть провайдера. То есть точки, связанные скоростными каналами. Расстояние — от 1 до 10 км. Это ещё не WAN, но точно MAN-решения.

MAN применяется для объединения в одну сеть группы сетей, расположенных в разных зданиях. В диаметре такая сеть может составлять от 5 до 50 километров.

MAN часто действует как высокоскоростная сеть, чтобы позволить совместно использовать региональные ресурсы (подобно большой LAN). Это также часто используется, чтобы обеспечить общедоступное подключение к другим сетям, используя связь с WAN.

April 21, 2019
by Eugene Fronzak
0
8

34. LAN (Local Area Net)

Лока́льная вычисли́тельная сеть (ЛВСлокальная сеть; англ. Local Area Network, LAN) — компьютерная сеть, покрывающая обычно относительно небольшую территорию или небольшую группу зданий (дом, офис, фирму, институт).

Построение сети

Компьютеры могут соединяться между собой, используя различные среды доступа: медные проводники (витая пара), оптические проводники (оптические кабели) и через радиоканал (беспроводные технологии). Проводные, оптические связи устанавливаются через Ethernet и прочие средства. Отдельная локальная вычислительная сеть может иметь связь с другими локальными сетями через шлюзы, а также быть частью глобальной вычислительной сети (например, Интернет) или иметь подключение к ней.

Технологии локальных сетей реализуют, как правило, функции только двух нижних уровней модели OSI - физического и канального.

Адресация

В локальных сетях, основанных на протоколе IPv4, могут использоваться специальные адреса, назначенные IANA (стандарты RFC 1918 и RFC 1597):

  • 10.0.0.0—10.255.255.255;
  • 172.16.0.0—172.31.255.255;
  • 192.168.0.0—192.168.255.255.

Такие адреса называют частнымивнутреннимилокальными или «серыми»; эти адреса недоступны из сети Интернет. Необходимость использовать такие адреса возникла из-за того, что при разработке протокола IP не предусматривалось столь широкое его распространение, и постепенно адресов стало не хватать. Для решения этой проблемы был разработан протокол IPv6, однако он пока малопопулярен.

April 21, 2019
by Eugene Fronzak
0
7
Show more