คนดีนำ Botnet Mega-D

เป็นเวลาสองปีในฐานะนักวิจัยและ บริษัท รักษาความปลอดภัย FireEye Atif Mushtaq ได้พยายามรักษามัลแวร์บอท Mega-D จากการติดไวรัสเครือข่ายของลูกค้า. ในกระบวนการนี้เขาได้เรียนรู้ว่าผู้ควบคุมทำอย่างไร เมื่อเดือนมิถุนายนที่ผ่านมาเขาเริ่มเผยแพร่ผลงานทางออนไลน์ ในเดือนพฤศจิกายนเขาก็เปลี่ยนจากความผิดไปสู่ความผิด และ Mega-D - botnet ที่มีประสิทธิภาพและยืดหยุ่นซึ่งบังคับให้เครื่องคอมพิวเตอร์จำนวน 250,000 เครื่องทำแบบทดสอบ - ลงไป

ผู้ควบคุมการกำหนดเป้าหมาย

Mushtaq และเพื่อนร่วมงาน FireEye สองคนเดินตามโครงสร้างพื้นฐานคำสั่ง Mega-D การโจมตีครั้งแรกของ botnetnet จะใช้สิ่งที่แนบมากับอีเมลการโจมตีทางเว็บและวิธีแจกจ่ายอื่น ๆ เพื่อแพร่กระจายพีซีจำนวนมากที่มีโปรแกรมบอร์บอร์ที่เป็นอันตราย

บอทเหล่านี้ได้รับคำสั่งเดินทัพจากเซิร์ฟเวอร์คำสั่งและการควบคุมแบบออนไลน์ (C & C) แต่เซิร์ฟเวอร์เหล่านี้เป็นส้น Achilles ของ botnet: แยกพวกเขาและบอทที่ไม่มีทิศทางจะนั่งไม่ทำงาน ตัวควบคุม Mega-D ใช้อาร์เรย์ของเซิร์ฟเวอร์ C & C ที่กว้างขวาง แต่และทุกบอทในกองทัพของตนได้รับมอบหมายรายการจุดหมายปลายทางเพิ่มเติมเพื่อทดลองใช้หากไม่สามารถเข้าถึงเซิร์ฟเวอร์คำสั่งหลักได้

Synchronized Assault

ทีม Mushtaq ได้ติดต่อกับผู้ให้บริการอินเทอร์เน็ตโดยไม่ได้ตั้งใจว่าจะเป็นเจ้าภาพ Mega-D เซิร์ฟเวอร์ควบคุม; การวิจัยของเขาแสดงให้เห็นว่าเซิร์ฟเวอร์ส่วนใหญ่มีพื้นฐานอยู่ในสหรัฐอเมริกาโดยมีโรงงานในตุรกีและอีกแห่งหนึ่งในอิสราเอล

กลุ่ม FireEye ได้รับการตอบรับเชิงบวกยกเว้นจาก ISPs ในต่างประเทศ เซิร์ฟเวอร์ C & C ภายในประเทศลดลง

ต่อไป บริษัท Mushtaq และ บริษัท ได้ติดต่อผู้จดทะเบียนโดเมนชื่อระเบียนที่ชื่อ Mega-D ใช้สำหรับเซิร์ฟเวอร์ควบคุม นายทะเบียนร่วมมือกับ FireEye เพื่อชี้ชื่อโดเมน Mega-D ที่มีอยู่ไปยังที่ใด โดยการตัดชื่อโดเมนของ botnet botnet ทำให้นักปฏิบัติงานต่อต้านยาปฏิชีวนะมั่นใจว่าบอทไม่สามารถเข้าถึงเซิร์ฟเวอร์ Mega-D-affiliated ที่ผู้ให้บริการอินเทอร์เน็ตในต่างประเทศปฏิเสธที่จะล้มลง

ในที่สุด FireEye และนายทะเบียนได้เรียกร้องชื่อโดเมนสำรอง ที่ตัวควบคุม Mega-D ระบุไว้ในโปรแกรมของบอท คอนโทรลเลอร์ตั้งใจที่จะลงทะเบียนและใช้เครื่องสำรองไฟอย่างน้อยหนึ่งเครื่องถ้าโดเมนที่มีอยู่ลงไป - ดังนั้น FireEye จึงหยิบมันขึ้นมาและชี้ไปที่ "sinkholes" (เซิร์ฟเวอร์ที่มีการตั้งค่าให้นั่งเงียบ ๆ -D บอทเพื่อตรวจสอบใบสั่งซื้อ) MessageLabs ซึ่งเป็น บริษัท ในเครือของ Symantec e-mail รายงานว่า Mega-D ได้รับการ "อย่างสม่ำเสมอมาโดยตลอด" FireEye ได้รายงานว่า ใน 10 อันดับสแปมบอท "ในปีที่แล้ว (find.pcworld.com/64165) ผลผลิตของ botnet เปลี่ยนแปลงไปทุกวัน แต่ในวันที่ 1 พ.ย. Mega-D คิดเป็นร้อยละ 11.8 ของสแปมทั้งหมดที่ MessageLabs เห็น

สามวันต่อมาการกระทำของ FireEye ทำให้ส่วนแบ่งการตลาดอินเทอร์เน็ตของสแปมลดลงเหลือน้อยกว่า 0.1 MessageLabs กล่าว FireEye วางแผนจะปลดปล่อยความพยายามในการต่อต้าน Mega-D ให้แก่ ShadowServer.org ซึ่งเป็นกลุ่มอาสาสมัครที่จะติดตาม IP แอดเดรสของเครื่องที่ติดเชื้อและติดต่อผู้ให้บริการอินเทอร์เน็ตและธุรกิจที่ได้รับผลกระทบ ผู้ดูแลระบบเครือข่ายหรือผู้ให้บริการอินเทอร์เน็ตสามารถลงทะเบียนเพื่อรับบริการแจ้งเตือนได้ฟรี

การรบต่อ

Mushtaq ตระหนักดีว่าการโจมตีที่ไม่ประสบความสำเร็จของ FireEye กับ Mega-D เป็นเพียงแค่สงครามครั้งเดียวในสงครามมัลแวร์ อาชญากรที่อยู่เบื้องหลัง Mega-D อาจพยายามฟื้นฟูบอตเน็ตของตนหรืออาจทิ้งมันและสร้างใหม่ แต่ botnet อื่น ๆ ยังคงเติบโตอย่างต่อเนื่อง "FireEye มีชัยชนะที่สำคัญ" Joe Stewart ผู้อำนวยการฝ่ายวิจัยมัลแวร์ของ SecureWorks กล่าว "คำถามคือมันจะมีผลกระทบในระยะยาวหรือไม่?" เช่นเดียวกับ FireEye บริษัท รักษาความปลอดภัยของสจ๊วตปกป้องเครือข่ายลูกค้าจากบ็อตเน็ตและภัยคุกคามอื่น ๆ และเหมือน Mushtaq Stewart ใช้เวลาหลายปีในการต่อสู้กับอาชญากร ในปี 2009 สจ๊วตระบุข้อเสนอเพื่อสร้างกลุ่มอาสาสมัครที่ทุ่มเทให้กับการทำให้ botnets ไม่สามารถทำกำไรได้ แต่ผู้เชี่ยวชาญด้านความปลอดภัยเพียงไม่กี่คนอาจมีส่วนร่วมในกิจกรรมอาสาสมัครที่ใช้เวลานานกว่านี้

Stewart กล่าวว่า "ต้องใช้เวลาและทรัพยากรและเงินที่จะทำในทุกวันนี้" การโจมตีภายใต้เรดาร์อื่น ๆ ที่ botnet และองค์กรอาชญากรรมได้เกิดขึ้นเขากล่าว แต่ความพยายามที่น่าชื่นชมเหล่านี้คือ "ไม่ควรหยุดโมเดลธุรกิจของ spammer"

Mushtaq, Stewart และผู้เชี่ยวชาญด้านความปลอดภัยอื่น ๆ เห็นด้วย การบังคับใช้กฎหมายของรัฐบาลกลางที่จำเป็นต้องมีขั้นตอนด้วยความพยายามในการประสานงานแบบเต็มเวลา Stewart กล่าวว่าหน่วยงานกำกับดูแลยังไม่ได้เริ่มวางแผนอย่างจริงจังเพื่อให้เกิดเหตุการณ์เช่นนี้ขึ้น แต่ Mushtaq กล่าวว่า FireEye กำลังแบ่งปันวิธีการนี้กับการบังคับใช้กฎหมายทั้งในประเทศและระหว่างประเทศและเขาก็มีความหวัง

จนกระทั่งถึงเวลาที่เกิดขึ้น "เราเป็นมั่นเหมาะ มองหาการทำเช่นนี้อีกครั้ง "Mushtaq กล่าว "เราต้องการแสดงคนเลวที่เราไม่ได้นอนหลับ"