Wie is er verantwoordelijk voor het ontsmetten van besmette Windows machines die onderdeel van een botnet uitmaken? Dat is de vraag waar botnetjager FireEye Malware Intelligence Lab mee te maken kreeg. De grote botnets op het internet kregen een zware klap te verduren toen hostingbedrijf McColo uit de lucht werd gehaald. Door een foutje werd de spamhoster weer aangesloten en daar maakte het Rustock botnet dankbaar gebruik van.

Het Srizbi botnet had de zaken, zo leek het in eerste instantie, minder goed voor elkaar. De domeinen waarmee de bots in het geval van een probleem moesten communiceren, waren nog niet geregistreerd. Nu blijkt dit niet helemaal het geval te zijn en is het slechts een kwestie van tijd voordat de botnetbeheerders hun domein kunnen terugclaimen. FireEye kent de IP-adressen van alle bots in het netwerk en kan via het al bestaande communicatiekanaal de bots "ontsmetten". "Ja, als we hadden gewild hadden we het "verwijder" commando kunnen gegeven of de binary van de bot kunnen updaten zodat die niet meer zou werken. Het ongeautoriseerd aanpassen van honderdduizenden systemen is niet iets waar wij ons mee bezighouden", aldus onderzoeker Alex Lanstein.

Het bedrijf registreert de domeinnamen waar de bots in het geval van problemen verbinding mee maken, maar kan dit niet eindeloos blijven doen. "Srizbi bestaat uit meer dan 450.000 bots en het aantal neemt niet af. We blijven nog een aantal dagen domeinen registreren, maar het geld raakt een keer op, en dan zijn de nieuwe domeinnamen door iedereen te registreren, ook de botnetbeheerders of iemand die een botnetbeheerder wil worden."