211service.com
L'ascesa della botnet point-and-click
Nel 2005, un gruppo di hacker russo noto come UpLevel ha sviluppato Zeus, un programma punta e clicca per creare e controllare una rete di sistemi informatici compromessi, nota anche come botnet. Cinque anni di sviluppo dopo, l'ultima versione di questo software, che può essere scaricata gratuitamente e richiede pochissime competenze tecniche per funzionare, è una delle piattaforme botnet più popolari per spammer, truffatori e persone che si occupano di informazioni personali rubate.
Presa di denaro: Il software Zeus crea un ladro di password che prende di mira le credenziali di accesso per Citibank, WebMoney e Wells Fargo, tra le altre società finanziarie.
La scorsa settimana, la società di sicurezza NetWitness , con sede a Herndon, in Virginia, ha pubblicato un rapporto che evidenzia il tipo di caos che il software può provocare. Documenta una botnet Zeus che controllava quasi 75.000 computer in più di 2.400 organizzazioni, tra cui il produttore di farmaci Merck, il produttore di apparecchiature di rete Juniper Networks e lo studio di Hollywood Paramount Pictures. In quattro settimane, il software è stato utilizzato per rubare più di 68.000 credenziali di accesso, tra cui migliaia di accessi a Facebook e e-mail di Yahoo.
Avevano sistemi compromessi all'interno di aziende e agenzie governative, afferma Alex Cox, analista principale di NetWitness.
Un sondaggio condotto da un'altra società di sicurezza, con sede ad Atlanta Damballa –ha scoperto che i programmi controllati da Zeus erano i secondi più comuni all'interno delle reti aziendali nel 2009. Damballa ha tracciato più di 200 botnet basate su Zeus nelle reti aziendali. La più grande rete bot controllata tramite la piattaforma Zeus era costituita da 600.000 computer compromessi.
Il software Zeus è meno importante per le sue conquiste che per la sua grande considerazione tra i criminali informatici. Zeus è incredibilmente popolare tra le persone che vogliono armeggiare e avviare la propria piccola impresa, se vuoi, afferma Gunter Ollman, vicepresidente della ricerca per Damballa.
Un gruppo di quattro o cinque sviluppatori ha iniziato a lavorare su Zeus nel 2005. L'anno successivo hanno rilasciato la prima versione del programma, un Trojan di base progettato per nascondersi su un sistema infetto e rubare informazioni. Nel 2007, il gruppo è uscito con una versione più modulare, che ha permesso ad altri sviluppatori sotterranei di creare plug-in da aggiungere alle sue funzionalità.
L'ultima piattaforma Zeus consente agli utenti di creare software dannoso personalizzato per infettare i sistemi di destinazione, gestire una vasta rete di macchine compromesse e utilizzare la botnet risultante per guadagni illegali. Il kit di costruzione contiene un programma per la creazione del software bot e script Web per la creazione e l'hosting di un server di comando e controllo centrale.
Gli sviluppatori indipendenti hanno creato pacchetti di exploit compatibili in grado di infettare i sistemi delle vittime utilizzando vulnerabilità nel sistema operativo o nel browser. Altri sviluppatori si concentrano sulla creazione di software plug-in per aiutare gli aspiranti criminali informatici a fare soldi da una botnet Zeus. Alcuni componenti aggiuntivi si concentrano sugli attacchi di phishing, ad esempio fornendo le immagini e le pagine Web necessarie per creare siti bancari fraudolenti. Altri componenti aggiuntivi offrono agli operatori di bot gli strumenti per creare campagne di spam. C'è un'intera industria artigianale intorno alla creazione di componenti aggiuntivi per Zeus, afferma Don Jackson, un ricercatore di sicurezza con il Unità contro le minacce presso SecureWorks, una società con sede ad Atlanta.
La disponibilità del codice sorgente per Zeus ha attratto molti sviluppatori, afferma Jackson. I criminali online che cercano di controllare la propria botnet iniziano con Zeus, perché è semplice da usare, afferma, mentre i componenti aggiuntivi e le estensioni soddisfano gli utenti più sofisticati. È molto facile da usare fin dall'inizio, dice Jackson. Ma quando aggiungi la funzionalità avanzata che costa migliaia di dollari, allora diventa uno strumento per operatori avanzati.
Anche i kit Zeus di base includono tecniche di offuscamento per evitare il rilevamento da parte di software antivirus e altre misure di sicurezza. In un esperimento, il consulente Alex Heid di Information Security Services ha scoperto che solo circa la metà dei software antivirus ha rilevato un payload Zeus noto. Dopo aver impiegato alcune semplici tecniche per mascherare il codice, il tasso di rilevamento è sceso ulteriormente, al 10%. Le tecnologie del crimine informatico stanno avanzando più velocemente delle tecnologie di sicurezza, afferma Heid.
Una volta che Zeus ha compromesso un sistema, non dà all'utente alcun segno che sia lì, secondo Jackson. Che aspetto ha Zeus quando infetta il tuo computer? Bene, guarda il tuo computer ora, ed è così che sembra, dice Jackson. È progettato per fare il suo lavoro e farlo con successo e in silenzio.
Sebbene sia Damballa che NetWitness vendano tecnologie e servizi per il rilevamento di compromissioni sulle reti aziendali, non forniscono software per gli utenti finali.
La maggior parte delle aziende con cui lavoriamo ha un gran numero di utenti, quindi sostanzialmente rinunciano a difendere i propri computer, afferma Ollmann. Fai il miglior tentativo con antivirus e firewall, ma accettano che una certa percentuale dei loro sistemi verrà infettata, quindi si concentrano sul rilevamento e sulla ricostruzione dei sistemi (compromessi) piuttosto che sulla difesa da tutte le minacce.
Cox aggiunge che concentrarsi sulle comunicazioni tra i sistemi infetti e un server di comando e controllo è solitamente il modo migliore per catturare le infezioni. Capire come appare la normalità sulla tua rete in modo da poter individuare l'anomalia è ciò che è veramente importante nell'attuale ambiente delle minacce, dice. Non fidarti solo dei tuoi controlli di sicurezza esistenti e tieni d'occhio la tua rete.