Beveiliger sloopt botnet binnen 24 uur
Een berucht botnet dat voor ruim 4% van alle spam ter wereld verantwoordelijk is, is door een proactieve botnetjager binnen 24 uur ontmanteld. Normaliter onderzoekt beveiligingsbedrijf FireEye de werking van de verschillende botnets die actief zijn. In het geval van Mega-D / Ozdok besloot men tot actie over te gaan. En dat is een stuk lastiger dan alleen het vinden van de coördinaten en backup mechanismen van de command & controle server die het botnet beheert. "Voor het uit de lucht halen moet iemand het initiatief nemen en een gecombineerde poging doen met partijen zoals internet service providers, registrars, etc.", zegt onderzoeker Atif Mushtaq. "In plaats van een passieve rol, besloot FireEye dit keer om met deze groepen samen te werken." Met als gevolg dat alle grote command & controle servers van het botnet uit de lucht zijn gehaald. "Ongeacht het aantal mechanismen om op terug te vallen, als ze niet goed geïmplementeerd zijn, is het botnet kwetsbaar."
De operatie richtte zich op verschillende punten tegelijkertijd, zodat het botnet niet op andere servers kon terugvallen. De eerste stap was het verzamelen van het bewijs tegen de domeinnamen die Ozdok gebruikte. Vervolgens waarschuwde het onderzoeksteam de betrokken internet service providers. De tweede stap was het inlichten van de registrars om de actieve Command & Controle domeinen uit de lucht te halen. Als derde actie besloot FireEye alle C&C domeinnamen te registreren die nog niet geregistreerd waren. De botnetbeheerder had dit voor onbekende redenen zelf niet gedaan.
Mogelijk
De domeinen wijzen nu door naar de servers van FireEye. "Dat betekent dat alle Ozdok zombies geen verbinding meer met hun echte C&C maken, maar met onze server." Binnen 24 uur kwamen zo'n 265.000 unieke IP-adressen voorbij. FireEye wil die machines helpen om weer in een "normale staat" terug te keren. "Het lijkt of alles volgens plan ging", merkt Mushtaq op. Volgens spambestrijder Marshal was de actie inderdaad een succes. "Het laatste spambericht van Ozdok was zo'n zeven uur geleden, het lijkt erop dat de actie een impact heeft gehad." Mushtaq besluit dat de operatie laat zien dat het moeilijk, maar mogelijk is om de naarste botnets ter wereld aan te pakken.
het wel mogelijk, maar alleen als er samenwerking is.
daar antivirus schrijvertjes, met jullie peperdure oplossingen die niet werken......xD
Zo dadelijk krijgen enkel nog te maken met de juridische integratie van deze werkwijze in de huidige maatschappij.
Wat op zijn beurt ook niet makkelijk zal zijn, gezien de internationale omvang van het probleem.
Maar het zit er aan te komen... We zijn op de goede weg.
Meld mijn virusscanner (Nod32) dit ?
Dank u.
Volgens mij zijn alle stappen die FireEye heeft genomen volstrekt legaal, en wat dat betreft zijn ze binnen de grenzen van de wet gebleven. Het feit dat malware nu verwijst naar DNS namen die zij hebben geregistreerd betekent nog niet dat FireEye daardoor verantwoordelijk is geworden voor de malware, of voor de schade welke mensen daardoor hebben opgelopen.
Welke van de in het artikel beschreven akties zijn volgens jou illegaal ?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
