Een groot peer-to-peer botnet heeft vorig jaar in twaalf dagen tijd heel het IPv4-internet gescand. Het gaat om het Sality-botnet, waarvan de eerste variant in 2003 verscheen. Sindsdien wist de malware miljoenen computers te infecteren, aldus onderzoek van de Universiteit van Californië-San Diego (UCSD) en de Universiteit van Napoli. De onderzoekers wisten de activiteit van het botnet via het USCD netwerktelescoop te monitoren, een passief systeem dat verkeer monitort.

Sality gebruikte zo'n 3 miljoen unieke IP-adressen om de gehele IP4-adresruimte te scannen, wat twaalf dagen in beslag nam. De aanvallers waren op zoek naar kwetsbare Voice-over-IP (VoIP) servers.

VoIP-fraude
"Ze probeerden waarschijnlijk om SIP-server te brute-forcen om zo accounts aan te maken om gratis of anoniem te bellen of VoIP-fraude te plegen", aldus de onderzoekers. Om niet op te vallen gebruikten de botnetbeheerders een techniek genaamd "reverse-byte order scanning", waardoor een klein aantal pakketten per dag wordt verstuurd. Ook voerde ongeveer 1 miljoen van de 3 miljoen IP-adressen één scan uit en stopte vervolgens met scannen.

Volgens de onderzoekers is deze manier van scannen niet uniek, maar is het de eerste keer dat het wordt waargenomen en vastgelegd. "Sommige experts denken dat dit gedrag door andere botnets is overgenomen, maar wij zijn niet bekend met gegevens die een soortgelijke gebeurtenis als deze bevestigen."

De onderzoekers trekken de volgende conclusie aan de hand van de hun onderzoek. "Nu stemcommunicatie overgaat naar een compleet IP-netwerk, vormen de kwetsbaarheid van de VoIP-infrastructuur en de steeds groter wordende mogelijkheden van botnets om hier misbruik van te maken een grote uitdaging voor internetarchitecten, engineers en beleidsmakers."