เอสโตเนีย ISP ตัดเซิร์ฟเวอร์ควบคุมออกสำหรับ Srizbi Botnet

เอสโตเนียไอเอสพีเน็ทซึ่งเป็นเจ้าภาพจัดการเซิร์ฟเวอร์คำสั่งและการควบคุมสำหรับบอตเน็ตของ Srizbi ชั่วคราวซึ่งเป็นผู้รับผิดชอบสแปมส่วนใหญ่ของโลกได้ตัดเซิร์ฟเวอร์เหล่านั้นออกแล้ว นักวิจัยจาก บริษัท รักษาความปลอดภัยคอมพิวเตอร์ FireEye กล่าวว่า Starline Web Services ซึ่งตั้งอยู่ในเมืองหลวงของประเทศเอสโทเนียเมือง Tallinn ได้เป็นเจ้าภาพจัดชื่อโดเมนไว้ 4 ชื่อซึ่งเป็นจุดควบคุมสำหรับ Srizbi

คอมพิวเตอร์หลายแสนเครื่องทั่วโลกที่ติดเชื้อ Srizbi rootkit ที่ยากต่อการลบเพื่อส่งสแปมถูกตั้งโปรแกรมเพื่อค้นหาคำแนะนำใหม่จากเซิร์ฟเวอร์ในโดเมนเหล่านั้น

[อ่านเพิ่มเติม: วิธีลบมัลแวร์จากคอมพิวเตอร์ที่ใช้ Windows ของคุณ]

Srizbi เป็น consi เป็นหนึ่งใน botnet ที่มีประสิทธิภาพมากขึ้นโดยมีการติดเชื้ออย่างน้อย 450,000 เครื่อง คาดว่าครึ่งหนึ่งของสแปมของโลกมาจากคอมพิวเตอร์ที่ติดเชื้อ Srizbi สแปมยังคงเป็นธุรกิจที่ทำกำไรได้สำหรับอาชญากรไซเบอร์

แต่ผู้ส่งอีเมลขยะสูญเสียการควบคุม Srizbi เมื่อ ISP ที่เคยเป็นเซิร์ฟเวอร์ควบคุมคำสั่งและควบคุมถูกตัดขาดจากอินเทอร์เน็ต McColo ซึ่งเป็นเซิร์ฟเวอร์ที่ตั้งอยู่ในเมืองซานโฮเซ่รัฐแคลิฟอร์เนียถูกตัดขาดจากผู้ให้บริการต้นน้ำเมื่อต้นเดือนที่ผ่านมาหลังจากที่ผู้เชี่ยวชาญด้านความปลอดภัยคอมพิวเตอร์และ Washington Post เปิดเผยข้อมูล

ผู้ส่งอีเมลขยะไม่สามารถควบคุมคอมพิวเตอร์ที่ติดเชื้อ Srizbi ได้ แต่รหัส Srizbi มีกลไก fallback ที่ผู้ส่งอีเมลขยะสามารถเชื่อมต่อกับเครื่องที่ติดอยู่ได้หากสถานการณ์ดังกล่าวเกิดขึ้น

อัลกอริทึมภายใน Srizbi จะสร้างชื่อโดเมนใหม่ ๆ เป็นระยะ ๆ ซึ่งมัลแวร์จะค้นหาคำแนะนำใหม่ ๆ หากโดเมนเหล่านั้นอาศัยอยู่บนอินเทอร์เน็ต. อาวุธที่มีขั้นตอนเดียวกันนี้ผู้ส่งอีเมลขยะได้ลงทะเบียนชื่อโดเมนที่เหมาะสมเท่านั้นและนำไปยังเซิร์ฟเวอร์ของตน

ผู้ส่งอีเมลขยะจำเป็นต้องมี ISP ใหม่เพื่อโฮสต์เซิร์ฟเวอร์เหล่านั้นอย่างน้อยสักระยะหนึ่ง พวกเขาพบ Starline Web Services ซึ่งเป็น ISP ขนาดเล็กมาก แต่ผู้ให้บริการรายนั้นได้ตัดบัญชีออกด้วยเช่นกัน

"ฉันพอใจที่ไซต์เหล่านั้นถูกปิดตัวลง" Hillar Aarelaid หัวหน้าเจ้าหน้าที่รักษาความปลอดภัยของทีมตอบสนองทางคอมพิวเตอร์ในเอสโตเนียกล่าว CERT) ในวันพฤหัสบดี

การพยายามติดต่อ Starline Web Services ไม่ประสบความสำเร็จ แต่ Aarelaid กล่าวว่า CERT ได้ติดต่อกับ บริษัท และดูเหมือนว่าจะตอบสนองต่อข้อร้องเรียนเกี่ยวกับการทำผิดกฎหมาย

Starline Web Services ซื้อการเชื่อมต่อจาก Compic ซึ่งเป็นอีก บริษัท หนึ่งในเอสโตเนีย Compos ได้รับแจ้งจาก CERT ของเอสโตเนียเนื่องจากมีเว็บไซต์ที่ให้บริการซอฟต์แวร์ที่เป็นอันตราย Tarmo Randel ผู้เชี่ยวชาญด้านความปลอดภัยข้อมูลขององค์กรกล่าวว่า Randel กล่าวว่า CERT ได้แจ้ง Compic เกี่ยวกับมัลแวร์ที่โฮสต์ไว้ Randel กล่าวว่า Compic จะดำเนินการเพื่อลบไซต์ขึ้นอยู่กับว่าเราดังมากแค่ไหน Compet มักจะตอบสนองได้อย่างรวดเร็วเมื่อ CERT ส่งอีเมลร้องเรียนและคัดลอกตำรวจแห่งชาติอาชญากรรมในเอสโตเนีย Randel กล่าวในวันพฤหัสบดีผู้ให้บริการต้นน้ำของ Compic ซึ่งเป็น Linxtelecom ได้ส่งอีเมลไปยังชุมชนเอสโตเนีย ISP ซึ่งกล่าวว่าเป็น วางแผนที่จะตัด Compic, Randal กล่าวว่า

Linxtelecom ขายบริการขนส่ง IP ที่เชื่อมต่อกับ ISPs ท้องถิ่นและผู้ประกอบการโทรคมนาคมกับผู้ให้บริการข้อมูลขนาดใหญ่ Linxtelecom กล่าวในอีเมลว่าร้อยละ 99 ของข้อร้องเรียนที่ได้รับมากกว่าการล่วงละเมิดเกี่ยวข้องกับ Compic, Randel กล่าวว่า

เจ้าหน้าที่ Linxtelecom กล่าวว่าเขาไม่ทราบเกี่ยวกับ e-mail Compic ไม่ตอบสนองต่อข้อร้องเรียนภายในสองวันหรือมากกว่านั้น แต่ Linxtelecom ในอดีตได้ตัดการเชื่อมต่อกับเว็บไซต์ที่ Compic ได้รับการร้องเรียนแล้วอย่างเป็นทางการ

ผู้เชี่ยวชาญด้านความปลอดภัยคอมพิวเตอร์กล่าวว่ามีผู้ให้บริการอินเทอร์เน็ตและจดทะเบียนชื่อโดเมนเพียงไม่กี่ราย ทำงานใกล้ชิดกับอาชญากรไซเบอร์เพื่อสนับสนุนการดำเนินการกับสแปมเว็บไซต์ที่ขายซอฟต์แวร์ปลอมและการหลอกลวงอื่น ๆ

การดำเนินงานเป็นเรื่องยากที่จะหยุดชะงักเนื่องจากความเป็นสากลความเร็วของอาชญากรไซเบอร์ที่ตอบสนองต่อการปิดระบบและการขาดทรัพยากรการบังคับใช้กฎหมายหรือความสนใจ

การหยุดทำงานของ McColo หลังจากการวิจัยถูกตีพิมพ์ซึ่งแสดงให้เห็นถึงขอบเขตที่ บริษัท มีส่วนเกี่ยวข้อง ในความผิดทางอาญาใต้ดิน

ในทำนองเดียวกันอีกคนหนึ่งตั้งข้อสังเกตว่า ISP ที่ไม่ดี - เรียกว่า Atrivo หรือ Intercage - ถูกตัดขาดโดยผู้ให้บริการต้นน้ำในเดือนกันยายนเนื่องจากความกดดันจากชุมชนความปลอดภัยของคอมพิวเตอร์

"ด้วย เมื่อเร็ว ๆ นี้กรณีของ McColo และ Atrivo / Intercage นำออกอินเทอร์เน็ตจะง่ายขึ้นในอนาคตที่จะสร้างแรงกดดันเพิ่มเติมให้กับ hosters ที่รู้จักกันดีอื่น ๆ ของ badware ที่จะดำเนินการหรือไปออฟไลน์ "Toralv Dirro นักยุทธศาสตร์ด้านความปลอดภัยของ McAfee's Avert Labs กล่าว Thurday.