ウェブサイト

メガ・ド・ボットネットを倒す

contemporary photography, post modern Mexican conceptual art

contemporary photography, post modern Mexican conceptual art

目次:

Anonim

セキュリティ会社FireEyeの研究者として2年間、Atif MushtaqはMega-Dボットのマルウェアがクライアントのネットワーク。その過程で、彼はコントローラーがそれをどのように操作したかを学びました。昨年6月、彼はオンラインで調査結果を発表し始めました。 11月、彼は突然ディフェンスから犯罪に切り替えました。

コントローラのターゲット設定

MushtaqとFireEyeの2人の同僚は、Mega-Dのコマンドインフラストラクチャの後に行きました。ボットネットは、電子メールの添付ファイル、Webベースの攻撃、および他の配布方法を使用して、多数のPCに悪質なボットプログラムを感染させます。

ボットは、オンラインコマンドアンドコントロール（C&C）これらのサーバーはボットネットのAchillesのヒールです：それらを分離すると、無作為に配置されたボットはアイドル状態になります。しかし、Mega-Dのコントローラーは、C&Cサーバーの遠隔の配列を使用していました。軍隊のすべてのボットには、プライマリコマンドサーバーに到達できなかった場合、追加の宛先リストが割り当てられました。

Synchronized Assault

Mushtaqのチームは、Mega-Dを無意識のうちにホストしていたインターネットサービスプロバイダに最初にコンタクトしました制御サーバー;彼の調査によると、ほとんどのサーバーはトルコに1つ、イスラエルにもう1つ、アメリカに拠点を置いていました。

FireEyeグループは海外のISPを除いて肯定的な回答を受けました。その後、Mushtaq社とMega-D社は、管理サーバーに使用したドメイン名のレコードを持つドメイン名レジストラに連絡を取りました。レジストラはFireEyeと協力して、Mega-Dの既存のドメイン名をno-pointに指定しました。ボットネットのドメイン名プールを遮断することで、ボットが海外のISPが撤退を拒否したメガ-D提携サーバーに接続できなくなったことが保証された。

最後に、FireEyeとレジストラは予備のドメイン名ボットのプログラミングに掲載されたメガ・Dのコントローラー。コントローラは、既存のドメインがダウンした場合に1つまたは複数の予備のドメインを登録して使用することを意図していました.FireEyeはそれらをピックアップして「シンクホール」（サーバは静かに座ってメガ-Dボットで注文をチェックする）。これらのログを使用して、FireEyeは、ボットネットが約250,000台のMega-Dに感染したコンピュータで構成されていると見積もった。

メガデスを下る

Symantec電子メールのセキュリティ子会社であるMessageLabsは、前の年（find.pcworld.com/64165）の「トップ10のスパムボット」に含まれていました。ボットネットの出力は日々変動していましたが、11月1日にMessageLabsが見たスパムの11.8％をMega-Dが占めていました。

3日後、FireEyeの措置によってMega-Dのインターネットスパムの市場シェアが0.1未満

FireEyeは、感染マシンのIPアドレスを追跡し、影響を受けるISPや企業に連絡するボランティアグループShadowServer.orgに反メガDの取り組みを委譲する予定です。

戦闘の継続

Mushtaqは、FireEyeのメガD攻撃に対する成功した攻撃は、マルウェアとの戦いの単なる戦いであったことを認識しています。 Mega-Dの背後にいる犯罪者は、ボットネットを復活させようとしているかもしれません、あるいは、それを放棄して新しいものを作り出すかもしれません。しかし、他のボットネットは繁栄し続けています。 "

FireEyeは大きな勝利を収めました。" SecureWorksのマルウェアリサーチディレクター、ジョー・スチュワート氏は言います。 Stewartのセキュリティ会社はFireEyeと同様に、ボットネットやその他の脅威からクライアントネットワークを保護しています。 StewartはMushtaqのように数年かけて犯罪企業と戦ってきました。 2009年、スチュワートは、ボットネットを不採算にするためのボランティアグループを作成する提案を述べました。しかし、このような時間を要するボランティア活動に従事するセキュリティ専門家はほとんどいません。

スチュワート氏は、「今日は、時間と資源とお金がかかる。さまざまなボットネットや犯罪組織でのレーダー下のストライキが発生したが、これらの賞賛すべき取り組みは、「スパマーのビジネスモデルを止めさせない」と述べている。

Mushtaq、Stewart、連邦法執行機関は常勤の調整作業に取りかかる必要があります。 Stewartによると、規制当局はそれを実現するための深刻な計画を立案し始めていないが、Mushtayeは、FireEyeがその方法を国内外の法執行機関と共有していると述べ、彼は期待している。これをもう一度やりたいと思っています」とMushtaqは言います。 「私たちが眠っていない悪人を見せたい」