Zeus C&C Server Analyse

ARCHIVED ARTICLE FROM OLD BLOG – DATED 29.09.2010

Durch Zufall bin ich Heute an einen Zeus Botnet Command & Control Server gekommen, Serverstandort Indien – 34 Bots Online.

Scheinbar soll das Webpanel mit Crypter in einschlägigen Foren bis zu 1000$ kosten,
und die Käufer sind scheinbar zu blöde zum absichern.

FAIL’s des Serverbesitzers:
.htaccess ind _.htaccess umbenannt, da es scheinbar Probleme mit XAMPP gab.
Offener FTP mit Standard XAMPP login (newuser:wampp) und VOLLEN schreibrechten.
MySQL Root benutzer OHNE Passwort.

Was Ich gemacht habe:
Per FTP eingeloggt (kein Hack, die Daten waren ja Standard) und MySQLDumper hochgeladen
(PhpMyAdmin hat lustige fehler ausgeworfen das PHP zu alt ist), und das Admin Passwort den Zeus Panels geändert
(MD5 OHNE Salt, simpler Online Generator hat gereicht)

Hier haben wir den Login Bildschirm:

Danach begrüßen uns gleich die Bot Statistiken:

Die Detail Seite mit den Daten eines Bots sieht so aus:

Ein Interface zum sniffen von HTTP Verbindungen gibts auch:

Bots lassen sich umfangreich filtern:

Die Liste der benutzten Betriebssysteme:

Auch eine nette Auswahl an Multifunktionen gibt es:

Wie zb. der Check ob auf dem Host ein SOCKS5 Proxy laufen kann:

Die Scripting Engine hat auch einiges zu Bieten:

Hier die verfügbaren Commands – “kos” schaut recht “freundlich” aus  :

Und hier noch welche Files benötigt werden zum Installieren von Zeus:

Und hier noch ein Video mit einem Walkthrough:

http://www.dailymotion.com/user/str0/video/xan56t_germandeutsch-inside-of-a-zeus-botn_tech