Tworzenie botnetu w niewoli

Aby złapać przestępcę, czasami trzeba tak myśleć.

Dlatego badacze na tropie cyberprzestępców, którzy wykorzystują armie zainfekowanych komputerów, zwanych botnetami, do rozsyłania spamu lub atakowania stron internetowych, tworzą własne botnety. Na szczęście nowe podejście jest testowane przy użyciu klastra obliczeniowego o dużej mocy, który jest bezpiecznie odizolowany od Internetu.

Stworzyliśmy coś, co naszym zdaniem byłoby najbliższe botnetowi na wolności, mówi Pierre-Marc Bureau, badacz z firmy zajmującej się bezpieczeństwem komputerowym. OBUDOWA , część projektu prowadzonego przez zespół z Ecole Polytechnique de Montreal ze współpracownikami z Nancy University we Francji i Carlton University w Kanadzie. Według naszej wiedzy jest to pierwszy tak realistyczny eksperyment, mówi.

Ponad 3000 kopii systemu Windows XP zostało zainstalowanych na klastrze 98 serwerów w Ecole Polytechnique. Każdy wirtualny system komputerowy był owinięty oprogramowaniem, które łączyło go z innymi, jakby był pojedynczym komputerem podłączonym do Internetu lub sieci lokalnej. Każdy system był również zainfekowany robakiem Waledac, dobrze poznanym i w dużej mierze zniszczonym oprogramowaniem, które według szacunków Microsoft na początku 2010 roku kontrolowało setki tysięcy komputerów i wysyłało 1,5 miliarda wiadomości spamowych dziennie.

Zespół naśladował strukturę kontrolną niezbędną do przejęcia kontroli nad botnetem Waledac, w którym centralny serwer dowodzenia i kontroli wysyła rozkazy do garstki botów, które następnie rozpowszechniają te instrukcje na inne maszyny.

W ostatnich latach naukowcy opracowali techniki podsłuchiwania komunikacji botnetów na żywo, a nawet wstrzykiwania wiadomości do tej komunikacji. Zbudowanie kompletnego botnetu w środowisku eksperymentalnym zapewnia jednak znacznie większą swobodę, mówi Bureau. Kiedy eksperymentujesz na żywym botnecie, możesz wywołać złą reakcję jego właściciela, który szkodzi zainfekowanym maszynom, wyjaśnia, a także potencjalnie kontrolujesz maszyny niewinnych użytkowników, co ma problemy etyczne i prawne.

Posiadanie własnego botnetu dało również badaczom luksus obserwowania go od środka i na zewnątrz, gdy działał normalnie lub został zaatakowany przez kogoś, kto próbował wyłączyć sieć, a także mógł przeprowadzić wiele prób, które przyniosły statystycznie istotne wyniki.

Według Bureau wyzwaniem było przekonanie właściciela klastra o wartości około 1 miliona dolarów, że zainstalowanie na nim złośliwego oprogramowania było dobrym pomysłem.

Aby móc przeprowadzić ten eksperyment, musieliśmy podjąć poważne środki ostrożności, aby upewnić się, że nigdy nie wycieknie, mówi Bureau. Na wielu innych komputerach na uczelni przyjmującej bez wątpienia działały wersje systemu Windows podobne do tych, które wykorzystano w eksperymencie. Klaster został fizycznie odłączony od szerszej sieci i wszystko musiało zostać załadowane na niego za pomocą DVD, a nie przez podłączenie do innego komputera, nawet na krótki czas.

Jednym z wyników eksperymentów był wgląd w wyzwania związane z prowadzeniem botnetu, mówi Bureau. Eksperci zauważyli, że szyfrowanie używane do zabezpieczania wiadomości między poszczególnymi botami a serwerem dowodzenia i kontroli było słabe i zakładali, że jego projektanci byli złymi programistami. W rzeczywistości była to prawdopodobnie celowa decyzja projektowa, mówi Bureau. Zauważyliśmy, że nasz serwer dowodzenia i kontroli szybko został przytłoczony obciążeniem kryptografii. Zrozumieliśmy, że podjęli pewne decyzje z powodu dużych wymagań dużego botnetu.

Zespół wypróbował również atak Sybil, który polega na dodawaniu fałszywych botów do sieci, aby wpłynąć na jej zachowanie. Eksperymenty wykazały, że takie podejście może całkowicie powstrzymać botnet przed rozsyłaniem spamu.

Drewno Thorsten , który prowadzi badania nad botnetami i złośliwym oprogramowaniem na Uniwersytecie Ruhr w Bochum w Niemczech, zgadza się, że botnet typu captive jest użytecznym narzędziem badawczym. To kontrolowane środowisko, w którym możesz zrobić wszystko, mówi.

Holz był częścią zespołu, który wstrzykiwał wiadomości do sieci kontrolnej robaka Storm, szeroko rozpowszechnionego poprzednika Waledac, w celu zbadania jego zachowania. Interpretację wyników komplikował fakt, że grupy z Georgia Tech i University of California w San Diego robiły to samo. Wszyscy widzieliśmy pojawiające się wiadomości, które zostały wstrzyknięte przez inne grupy badawcze, mówi Holz. Stał się placem zabaw dla strategii wstrzykiwania, co komplikowało nasze wyniki.

Uwięziony botnet nigdy nie będzie dokładnie taki jak na wolności, mówi Holz. Wadą jest to, że nie można naśladować wszystkiego, mówi. Typowy botnet Waledac zawierałby od 50 000 do 100 000 zainfekowanych komputerów, w porównaniu z 3000 w eksperymencie. Zachowanie prawdziwego botnetu byłoby również kształtowane przez wzorce ruchu w Internecie z innych źródeł, coś, czego nie uchwyciła symulacja.

Bureau twierdzi, że ma nadzieję zobaczyć i przeprowadzić więcej takich eksperymentów – na przykład, aby ujawnić działanie mniej zrozumiałego złośliwego oprogramowania. Teraz po raz pierwszy udowodniliśmy, że jest to możliwe. Mam nadzieję, że udostępnione zasoby obliczeniowe pozwolą na więcej.

ukryć