<div id="post_message_792409">

Исследователи обнаружили новый ботнет <a href="https://nsfocusglobal.com/high-risk-warning-for-windows-ecosystem-new-botnet-family-httpbot-is-expanding/" target="_blank">HTTPBot</a>, который используется для атак на игровые и технологические компании, а также образовательные учреждения и туристические порталы в Китае.<br/>
<br/>
Специалисты NSFOCUS сообщили, что за последние несколько месяцев ботнет активно развивался, постоянно используя зараженные устройства для проведения атак.<br/>
<br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">
<font size="3">«Используя атаки типа HTTP-Flood с высокой степенью имитации и динамические методы обфускации функций, он обходит традиционные механизмы обнаружения, основанные на правилах», — говорят эксперты.</font>
</td>
</tr>
</table>
</div>Впервые HTTPBot был замечен еще в августе 2024 года и получил свое название благодаря применению HTTP-протоколов для DDoS-атак. По словам исследователей, написанный на языке Go, вредонос является своего рода аномалией, поскольку его целью являются системы под управлением Windows.<br/>
<br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">
<font size="3">«Семейства DDoS-ботнетов, как правило, концентрируются на Linux и IoT. Однако семейство ботнетов HTTPBot нацелено именно на Windows, — объясняют в NSFOCUS. — Глубоко симулируя уровни протокола и имитируя нормальное поведение браузера, HTTPBot обходит средства защиты, которые полагаются на целостность протоколов. Кроме того, вредонос постоянно занимает ресурсы серверных сессий с помощью рандомизированных путей URL и механизмов cookie replenishment, а не просто полагается на большие объемы трафика».</font>
</td>
</tr>
</table>
</div>Также малварь примечательна тем, что используется для совершения узконаправленных и точных атак на такие объекты, как платежные системы и системы авторизации в играх.<br/>
<br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">
<font size="3">«Точность этих атак подобна скальпелю, и HTTPBot представляет собой системную угрозу для отраслей, которые зависят от взаимодействий в режиме реального времени, — пишут специалисты. — HTTPBot знаменует собой смену парадигмы в DDoS-атаках и переходит от "беспорядочного подавления трафиком" к "высокоточному удушению бизнеса"».</font>
</td>
</tr>
</table>
</div>По оценкам экспертов, с начала апреля 2025 года HTTPBot использовался для совершения примерно 200 атак.<br/>
<br/>
После установки и запуска малварь скрывает свой GUI, чтобы обойти мониторинг процессов и скрыться как от пользователей, так и от защитных решений. Кроме того, вредонос прописывается в реестре Windows, чтобы обеспечить себе автоматический запуск при каждом старте системы.<br/>
<br/>
Затем малварь связывается со своим управляющим сервером и ожидает дальнейших инструкций для HTTP-атак на определенные цели. HTTPBot поддерживает различные модули:<br/>
<ul><li>BrowserAttack — предполагает использование скрытых экземпляров Google Chrome для имитации легитимного трафика с одновременным истощением ресурсов сервера;</li>
</ul><ul><li>HttpAutoAttack — использует основанный на cookie метод для имитации легитимных сессий;</li>
</ul><ul><li>HttpFpDlAttack — использует протокол HTTP/2 и предлагает подход, направленный на увеличение нагрузки на процессор сервера, вынуждая его к возврату больших ответов;</li>
</ul><ul><li>WebSocketAttack — использует ws:// и wss:// для установления WebSocket-соединений;</li>
</ul><ul><li>PostAttack — использует HTTP POST для проведения атак;</li>
</ul><ul><li>CookieAttack — добавляет поток обработки cookie, основываясь на методе BrowserAttack.</li>
</ul><a href="https://xakep.ru/2025/05/19/httpbot/" target="_blank">@xakep.ru</a>
</div>