211service.com
Creazione di una botnet in cattività
Per catturare un criminale, a volte devi pensare come tale.
Pertanto, i ricercatori sulle tracce dei cybercriminali che utilizzano eserciti di computer infetti, noti come botnet, per inviare e-mail di spam o per attaccare siti Web, stanno costruendo le proprie botnet. Fortunatamente, il nuovo approccio viene testato utilizzando un cluster di elaborazione ad alta potenza isolato in modo sicuro da Internet.
Abbiamo creato quella che pensavamo fosse la più vicina a una botnet in natura, afferma Pierre-Marc Bureau, un ricercatore di un'azienda di sicurezza informatica ASTUCCIO , parte del progetto guidato da un team dell'Ecole Polytechnique de Montreal con i collaboratori della Nancy University, Francia, e della Carlton University, Canada. Per quanto ne sappiamo, questo è il primo esperimento così realistico, dice.
Oltre 3.000 copie di Windows XP sono state installate su un cluster di 98 server presso l'Ecole Polytechnique. Ogni sistema informatico virtuale era avvolto in un software che lo collegava agli altri come se fosse un singolo computer connesso a Internet oa una rete locale. Ogni sistema è stato inoltre infettato dal worm Waledac, un software ormai ben compreso e in gran parte superato che all'inizio del 2010 Microsoft stimava che controllasse centinaia di migliaia di computer e inviasse 1,5 miliardi di messaggi di spam al giorno.
Il team ha imitato la struttura di controllo necessaria per prendere in carico una botnet Waledac, in cui un server centrale di comando e controllo invia ordini a una manciata di bot che poi diffondono tali istruzioni ad altre macchine.
Negli ultimi anni, i ricercatori hanno sviluppato tecniche per intercettare le comunicazioni botnet in tempo reale e persino per iniettare messaggi in queste comunicazioni. Tuttavia, la creazione di una botnet completa in un ambiente sperimentale consente molta più libertà, afferma Bureau. Quando si sperimenta su una botnet live, si può provocare una reazione negativa da parte del proprietario che danneggia le macchine infette, spiega, e quindi si controllano anche le macchine di utenti innocenti, il che ha problemi etici e legali.
Avere la propria botnet ha anche dato ai ricercatori il lusso di poterlo osservare dentro e fuori mentre funzionava normalmente o è stato attaccato da qualcuno che cercava di disabilitare la rete, e anche per eseguire più prove che hanno prodotto risultati statisticamente significativi.
È stata, dice il Bureau, una sorta di sfida convincere il proprietario di un cluster del valore di circa 1 milione di dollari che l'installazione di malware su di esso era una buona idea.
Per poter eseguire questo esperimento, abbiamo dovuto prendere serie precauzioni per assicurarci che non perdesse mai, dice Bureau. Molti altri computer dell'università ospitante eseguivano senza dubbio versioni di Windows molto simili a quelle utilizzate nell'esperimento. Il cluster è stato fisicamente disconnesso dalla rete più ampia, e tutto doveva essere caricato su di esso utilizzando DVD anziché collegandosi a un altro computer, anche per un breve periodo.
Uno dei risultati degli esperimenti è stata una panoramica delle sfide poste dall'esecuzione di una botnet, afferma Bureau. Gli esperti avevano notato che la crittografia utilizzata per proteggere i messaggi tra i singoli bot e il server di comando e controllo era debole e presumevano che i suoi progettisti fossero cattivi codificatori. In effetti, è stata probabilmente una decisione progettuale intenzionale, afferma Bureau. Abbiamo trovato il nostro server di comando e controllo rapidamente sopraffatto dal carico della crittografia. Abbiamo capito che avevano preso determinate decisioni a causa delle pesanti richieste di una grande botnet.
Il team ha anche provato un attacco Sybil, che prevede l'aggiunta di falsi bot alla rete per influenzarne il comportamento. Gli esperimenti hanno dimostrato che questo approccio potrebbe impedire alla botnet di inviare spam del tutto.
legno di Thorsten , che guida la ricerca su botnet e malware presso la Ruhr University Bochum, in Germania, concorda sul fatto che una botnet captive sia un utile strumento di ricerca. È un ambiente controllato in cui puoi fare qualsiasi cosa, dice.
Holz faceva parte di un team che ha iniettato messaggi nella rete di controllo del worm Storm, un diffuso predecessore di Waledac, per studiarne il comportamento. L'interpretazione dei risultati è stata complicata dal fatto che i gruppi della Georgia Tech e dell'Università della California, San Diego, stavano facendo la stessa cosa. Tutti vedevamo apparire messaggi che erano stati iniettati da altri gruppi di ricerca, dice Holz. È diventato un parco giochi per le strategie di iniezione e questo ha complicato i nostri risultati.
Una botnet captive non sarà mai esattamente come una in natura, afferma Holz. Lo svantaggio è che non puoi emulare tutto, dice. Una tipica botnet Waledac conterrebbe da 50.000 a 100.000 computer infetti, contro i 3.000 dell'esperimento. Il comportamento di una vera botnet sarebbe anche modellato dai modelli di traffico su Internet da altre fonti, qualcosa non catturato dalla simulazione.
Bureau dice che spera di vedere e fare più esperimenti di questo tipo, ad esempio per rivelare il funzionamento di malware meno conosciuti. Ora che abbiamo dimostrato che è possibile per la prima volta, spero di vedere le risorse informatiche messe a disposizione per fare di più.