Da,
este surprinzator, dar in data de 12 noiembrie cantitatea de spam de
pe Internet a scazut cu 75% in urma inchiderii ISP-ului McColo,
dovada este mai jos:
Operatiunea
de inchidere a fost coordonata de catre Brian
Krebs de la Washington Post, dar investigatia s-a
desfasurat multe luni inainte, la aceasta participand mai multe
organizatii din domeniul securitatii informatice, intre care:
SecureWorks,
FireEye
si ThreatExpert.
Aceste organizatii au dovedit ca McColo era principalul hoster al
centrelor de comanda si control (C&C) pentru cele mai mari retele
de boti:
De
fapt McColo, un important ISP din California, era unul dintre
principalii furnizori de “servicii” pentru criminalitatea
informatica din Rusia, printre clientii sai fiind si Russian
Business Network. Furtul a peste 500.000 de numere de
carti de credit si debit, precum si conturi de online banking a fost
posibil prin intermediul unuia dintre cei mai greu de detectat
troieni, Sinowal,
distribuit cu “ajutorul” serverelor hostate de McColo.
Actiunea
de inchidere nu a decurs fara incidente; la trei zile dupa ce Global
Crossing si Hurricane Electric au intrerupt furnizarea de servicii
Internet catre McColo, organizatia FireEye a constatat ca botii din
doua mari retele, Srizbi si Rustock, se conecteaza catre centrele de
comanda din McColo si primesc update-uri. Acest lucru a fost posibil
datorita unui contract de backup cu TeliaSonera; desi s-a intervenit
rapid, noua legatura nu a putut fi suspendata decat dupa 12 ore. Din
pacate, in rastimpul acestor 12 ore Rustock a reusit sa transfere o
mare parte din centrele C&C in Rusia.
Cine
a fost in spatele McColo? In urma unor investigatii prin diverse
grupari “underground” din Rusia, se pare ca cel care a fondat
McColo a fost un student de 19 ani din Moscova, pe nume Nikolai cu
porecla Kolya-McColo. A fost pentru ca a murit in septembrie 2007
intr-un accident de masina in urma unei curse pe strazile din
Moscova. Masina in care se afla s-a rupt efectiv in doua in urma
impactului cu un stalp electric la 200km/h.
La
acest moment se pare ca marile retele de boti reintra in posesia
centrelor de comanda si control. FireEye a reusit sa decodeze
mecanismul de fallback al Srizbi; dupa pierderea conexiunii catre
McColo, malware-ul de pe botii Srizbi genereaza conform unui algoritm
la fiecare trei zile un numar de patru domenii Internet cu care
incearca sa comunice. Desi cercetatorii de la FireEye au inregistrat
in avans doua mii de nume de domenii, la un moment dat “proprietarii”
Srizbi au intervenit si au preluat controlul. Pentru scurt timp noul
hoster pentru C&C Srzibi a fost Starline Web Services din
Estonia. La sfarsitul lunii noiembrie Estonia CERT (Computer
Emergency Response Team) a intervenit catre acest ISP pentru blocarea
accesului la serverele Srizbi.
Unul
din factorii decisivi in lupta impotriva retelelor de boti este
colaborarea intre diversele organizatii si firme din domeniul
securitatii informatice si furnizorii de servicii Internet.
Surse:
Washington
Post, SecureWorks,
FireEye, ThreatExpert.