211service.com
Monitoraggio dei data center criminali
I contenuti Web dannosi sono sempre più distribuiti da criminali professionisti che gestiscono la propria infrastruttura. Questi truffatori gestiscono società di hosting che vengono utilizzate per ospitare codice dannoso e inviano comandi ai computer dirottati. In un discorso tenuto questa settimana a Fonte Boston , una conferenza sulla sicurezza informatica, un ricercatore ha descritto le tattiche utilizzate da una di queste società di hosting dannose per evitare la chiusura.
Sebbene lo spam e il malware possano sembrare infiniti online, le società di hosting dannose svolgono un ruolo fondamentale nella propagazione di questi parassiti, afferma Alex Lanstein, ricercatore senior di sicurezza presso FireEye , una società di sicurezza con sede a Milpitas, CA. Ad esempio, indica la chiusura alla fine del 2008 della società di hosting dannosa McColo. Quando questa società ha cessato l'attività, più di due terzi dello spam su Internet si sono fermati.
Tuttavia, altre società sono sorte per prendere il posto di McColo. In particolare, Lanstein indica un pool di computer compromessi, o botnet, noto come Grum, che in determinati momenti di picco lo scorso anno era responsabile del 26% dello spam mondiale. Lanstein afferma di aver fatto risalire le operazioni di Grum a un blocco di indirizzi di protocollo Internet (IP) ospitato da una singola azienda in Ucraina chiamata SteepHost.
Lanstein ha scoperto che gli indirizzi IP che comandano Grum erano sparsi su tutti gli indirizzi gestiti da SteepHost, il che secondo lui indica che l'azienda opera esclusivamente come un data center criminale.
Ma è tutt'altro che facile abbattere una società di hosting dannosa. Lanstein afferma di aver contattato le società che forniscono servizi a SteepHost. Hanno bloccato alcuni degli indirizzi IP dannosi utilizzati dall'azienda, ma Lanstein osserva che SteepHost ha risposto stipulando un contratto per una connessione di backup da un altro provider. Non volevano essere chiusi, quindi hanno ottenuto un trasporto migliore, dice. È frustrante.
Anche quando una società di hosting dannosa viene chiusa, non c'è nulla che impedisca a un'altra di sostituirla. I cattivi sono davvero bravi a ottenere spazio IP, dice Lanstein.
Il problema, dice, è che non ci sono meccanismi in atto per togliere gli indirizzi IP ai malintenzionati. Anche i blocchi di indirizzi IP di proprietà di McColo sono stati restituiti al pool solo un paio di mesi fa, poiché non potevano essere confiscati finché i proprietari rimanevano pagati per intero per il loro utilizzo. Posso immaginare perché ci siano carenze di indirizzi IP, dice Lanstein.
Anche le società di hosting dannose a volte si proteggono nascondendosi dietro ad altre aziende. All'inizio di quest'anno, un provider di servizi Internet russo chiamato Troyak è stato messo offline dopo che era diventato chiaro che stava fornendo servizi a diverse società di hosting che fornivano supporto di comando e controllo alle botnet.
Alla Source Boston, HD Moore, chief security officer per l'azienda di sicurezza informatica con sede a Boston Rapid7 , ha tenuto un discorso in cui ha sottolineato quanto stia diventando affollato lo spazio degli indirizzi IP: il 91 percento dello spazio degli indirizzi utilizzabile è già stato assegnato.
Moore ha osservato che un problema diverso potrebbe emergere come effetto collaterale degli sforzi per risolvere la carenza. Il successore del sistema attuale, noto come IPv6, aprirebbe un numero enorme di indirizzi IP disponibili. In tale scenario, ha affermato Moore, ci sarebbe così tanto spazio disponibile che le società di hosting canaglia potrebbero acquisire grandi blocchi di indirizzi IP, il che sarebbe più difficile da monitorare.