Good Guys Bring Down the Mega-D Botnet

Selama dua tahun sebagai penyelidik dengan firma keselamatan FireEye, Atif Mushtaq bekerja untuk memastikan keganasan Mega-D bot daripada menjangkiti rangkaian klien. Dalam proses itu, dia belajar bagaimana pengawalnya mengendalikannya. Jun lalu, beliau mula menerbitkan penemuannya secara dalam talian. Pada bulan November, dia tiba-tiba bertukar dari pelanggaran kepada pelanggaran. Dan Mega-D - botnet yang kuat dan kuat yang telah memaksa 250,000 PC untuk melakukan pembidaannya - turun.

Pengawal Penargetan

Mushtaq dan dua rekan FireEye meneruskan infrastruktur arahan Mega-D. Serangan gelombang pertama botnet menggunakan lampiran e-mel, serangan berasaskan Web, dan kaedah pengedaran lain untuk menjangkiti sejumlah besar PC dengan program bot yang jahat.

Bot menerima perintah berbaris dari pelayan arahan dan kawalan (C & C) dalam talian, tetapi pelayan tersebut adalah tumit Achilles 'botnet: Isolasi mereka, dan bot yang tidak diarahkan akan duduk terbiar. Pengendali Mega-D menggunakan rangkaian pelayan C & C jauh sekali, dan setiap bot dalam tenteranya telah diberikan senarai destinasi tambahan untuk mencuba jika tidak dapat mencapai pelayan utamanya.

[Bacaan lanjut: Bagaimana untuk membuang malware dari PC Windows anda]

Serangan Tersegerak

Pasukan Mushtaq mula-mula menghubungi pembekal perkhidmatan Internet yang tanpa tuan rumah menjadi tuan rumah Mega-D pelayan kawalan; penyelidikannya menunjukkan bahawa kebanyakan pelayan berpusat di Amerika Syarikat, dengan satu di Turki dan satu lagi di Israel.

Kumpulan FireEye menerima respons positif kecuali dari ISP luar negara. Pelayan C & C tempatan turun.

Seterusnya, Mushtaq dan syarikat menghubungi pendaftar nama domain yang memegang rekod untuk nama domain yang digunakan oleh Mega-D untuk pelayan kawalannya. Pendaftar berkolaborasi dengan FireEye untuk menunjuk nama domain Mega-D yang ada di mana-mana. Dengan memotong kumpulan nama domain botnet, koperasi antibotnet memastikan bahawa bot tidak dapat mencapai pelayan Mega-D yang ISP di luar negara telah menolak untuk turun.

Akhirnya, FireEye dan pendaftar bekerja untuk menuntut nama domain ganti bahawa pengawal Mega-D disenaraikan dalam pengaturcaraan bot '. Pengawal-pengawal yang dimaksudkan untuk mendaftar dan menggunakan satu atau lebih alat ganti ganti jika domain sedia ada turun - jadi FireEye mengambilnya dan menunjuk mereka ke "sinkholes" (pelayan yang telah ditetapkan untuk duduk diam dan log usaha Mega -D bot untuk mendaftar masuk untuk pesanan). Menggunakan log itu, FireEye menganggarkan bahawa botnet terdiri daripada kira-kira 250,000 komputer yang dijangkiti Mega-D.

Down Goes Mega-D

MessageLabs, sebuah anak syarikat keselamatan e-mel Symantec, melaporkan bahawa Mega-D telah "secara konsisten telah dalam 10 bot spam teratas "untuk tahun sebelumnya (find.pcworld.com/64165). Output botnet berubah-ubah dari hari ke hari, tetapi pada 1 November Mega-D menyumbang 11.8 peratus daripada semua spam yang dilihat MessageLabs.

Tiga hari kemudian, tindakan FireEye telah mengurangkan penguasaan pasaran Mega-D spam Internet kepada kurang dari 0.1 peratus, kata MessageLabs.

FireEye merancang untuk menyerahkan usaha anti-Mega-D ke ShadowServer.org, sebuah kumpulan sukarelawan yang akan menjejaki alamat IP mesin yang dijangkiti dan menghubungi ISP dan perniagaan terjejas. Rangkaian perniagaan atau pentadbir ISP boleh mendaftar untuk perkhidmatan pemberitahuan percuma.

Melanjutkan Pertempuran

Mushtaq mengakui bahawa serangan FireEye yang berjaya terhadap Mega-D hanya satu pertempuran dalam perang terhadap perisian hasad. Penjenayah di sebalik Mega-D mungkin cuba untuk memulihkan botnet mereka, katanya, atau mereka mungkin meninggalkannya dan membuat yang baru. Tetapi botnet lain terus berkembang.

"FireEye mempunyai kemenangan besar," kata Joe Stewart, pengarah penyelidikan malware dengan SecureWorks. "Persoalannya, adakah ia mempunyai impak jangka panjang?"

Seperti FireEye, syarikat keselamatan Stewart melindungi rangkaian pelanggan daripada botnet dan ancaman lain; dan seperti Mushtaq, Stewart telah menghabiskan masa bertahun-tahun memerangi perusahaan jenayah. Pada tahun 2009, Stewart menggariskan cadangan untuk mewujudkan kumpulan sukarelawan yang berdedikasi untuk membuat botnets tidak menguntungkan untuk dijalankan. Tetapi beberapa pakar keselamatan boleh melakukan aktiviti sukarela seperti itu.

"Ia memerlukan masa dan sumber dan wang untuk dilakukan hari ini," kata Stewart. Lain-lain, mogok di bawah radar di pelbagai botnet dan organisasi jenayah telah berlaku, katanya, tetapi usaha yang patut dipuji ini "tidak akan menghentikan model perniagaan spammer."

Mushtaq, Stewart, dan lain-lain pihak keselamatan bersetuju penguatkuasaan undang-undang persekutuan perlu melangkah dengan usaha koordinasi sepenuh masa. Menurut Stewart, pengawal selia belum memulakan rancangan serius untuk membuatnya berlaku, tetapi Mushtaq mengatakan bahawa FireEye berkongsi kaedahnya dengan penguatkuasaan undang-undang domestik dan antarabangsa, dan dia berharap.

Sehingga itu berlaku, "kami pasti ingin melakukan ini lagi, "kata Mushtaq. "Kami mahu menunjukkan kepada orang jahat bahawa kami tidak tidur."