2SDnjc1JCzF
TrickBot научился прятать управление ботнетом внутри DNS-запросов
FortiGuard Labs обнаружила новые образцы TrickBot, которые используют DNS-туннелирование для связи с командными серверами. Вместо привычного HTTP-трафика вредонос прячет C2-команды внутри DNS-запросов и ответов, что помогает обходить часть сетевых средств защиты
TrickBot остается модульным вредоносом для Windows: после заражения он может загружать дополнительные модули, выполнять команды, запускать PowerShell, внедрять код в процессы и передавать управление атакующим. В новой версии Fortinet отдельно выделяет высокий уровень опасности: угроза способна дать злоумышленникам полный контроль над компьютером жертвы.
Для закрепления в системе вариант TrickBot использует планировщик заданий Windows. Задача создается под маскировочным именем вроде автоматического обновления Wireshark, запускается при старте устройства и повторяется каждые пять минут. Имя задачи и путь к исполняемому файлу вредонос хранит в альтернативных потоках NTFS, чтобы не создавать дубликаты и усложнить анализ.
Главная особенность кампании - способ передачи данных. TrickBot шифрует управляющие пакеты XOR-ключом, переводит их в hex, разбивает на фрагменты и встраивает в поддомены, которые дописываются к домену C2. Запросы уходят через публичный DNS-сервер 8.8.8.8, а ответы используют IPv4-адреса как контейнер для полезной нагрузки.
По расчетам исследователей, один DNS-ответ может переносить до 183 байт данных, а передача файла размером 1,2 МБ через такой канал заняла около 40 секунд. Это не самый быстрый способ связи, но он удобен для скрытности: DNS часто разрешен даже в жестко фильтруемых сетях.
Для защитников это означает, что одного контроля HTTP и HTTPS уже недостаточно. Подозрительными признаками могут быть длинные или malformed DNS-запросы, частые обращения к неизвестным доменам, нестандартные поддомены с hex-подобными строками и повторяющиеся задачи в Windows Task Scheduler под именами «автообновлений».
похожие материалы
Максим Степченков и Ева Беляева обсудили зависимость от поставщиков ИБ в «Belyaev_Podcast»
Когда единая экосистема безопасности становится зависимостью, а замена продукта требует пересмотра бюджета и процессов?
ИБ-Пророки обсудили будущее информационной безопасности на форуме GISDAYS
2 октября в Москве в рамках IX Ежегодного форума по информационной безопасности и ИТ GISDAYS* 2026 состоялась дискуссия авторов проекта «ИБ-Пророк».
DDoS-атаки на российский бизнес подскочили на 61% - хакеры разгоняют мощность до 3 Тбит/с
Количество DDoS-атак на российские компании в III квартале 2026 года выросло на 61% по сравнению с тем же периодом прошлого года.
Последствия удара по дата-центру «Яндекса» под Рязанью: объект остановлен, облачные сервисы дали сбой
В ночь на 8 октября беспилотники атаковали дата-центр «Яндекса» в Сасово Рязанской области.
Российским разработчикам игр дадут 5 млрд рублей и начнут готовить их к IPO
В России запускают венчурный фонд Indie GO Fund II объемом 5 млрд рублей для поддержки разработчиков видеоигр, которые планируют масштабироваться за пределами российского рынка и в перспективе выйти на биржу.
Департамент здравоохранения Томской области перевёл медицинские системы на VMmanager
В Департаменте здравоохранения Томской области завершилась модернизация ИТ-инфраструктуры на базе платформы виртуализации VMmanager от компании ISPsystem (входит в «Группу Астра»).
В 3 квартале 2026 года с DDoS-атаками столкнулись ритейлеры, логисты и телеком
В 3 квартале 2026 года хакеры значительно усилили DDoS-атаки на российские компании, стремясь получить коммерческую выгоду.
ИнфоТеКС и «Флант» подтвердили совместимость продуктов
Компании «ИнфоТеКС» и «Флант» подтвердили совместимость и корректную совместную работу программного обеспечения Deckhouse Stronghold 1.
RuBackup Catalog Granular Recovery от «Группы Астра»: точечное восстановление объектов каталога ALD Pro без остановки сервисов
Оно обеспечивает резервное копирование и гранулярное восстановление объектов LDAP-каталога и их атрибутов в онлайн-режиме — без остановки LDAP-службы и связанных с ней сервисов.
Впервые в России документ подписали через низкоорбитальную спутниковую связь
Российская аэрокосмическая компания БЮРО 1440 и УК «ЭЛЬГА» на форуме «Цифровые решения» заключили соглашение о тестировании сервиса на базе низкоорбитальной спутниковой группировки.