Botnet

Această intrare sau secțiune privind securitatea cibernetică nu menționează sursele necesare sau cei prezenți sunt insuficienți . Puteți îmbunătăți această intrare adăugând citări din surse de încredere în conformitate cu liniile directoare privind utilizarea surselor .

Acest articol sau secțiune despre informatică conține erori de ortografie sau sintactice sau este scris într-o formă îmbunătățită . Comentariu : Lexiconul, sintaxa și morfologia părții care nu au fost încă revizuite sunt pline de erori de traducere din engleză în italiană; să fie revizuit începând de la # Peer-to-peer , sintetizând și / sau rescriind dacă este necesar. Ajutați la corectarea acestuia în conformitate cu convențiile din limba italiană și manualul de stil Wikipedia . Urmați sfaturile de proiectare de referință .

Imaginea prezintă diagrama atacului DDos al botnetului Stacheldraht.

O botnet este o rețea de computere, de obicei PC-uri , controlată de un botmaster și alcătuită din dispozitive infectate cu programe malware specializate, numite roboți sau zombi . ^[1]

Dispozitivele conectate la internet cu vulnerabilități în infrastructura lor de securitate cibernetică pot deveni uneori parte a botnetului și, dacă agentul de infectare este un troian , administratorul de bot poate controla sistemul prin acces la distanță . Computerele infectate pot lansa atacuri, denumite, denegare de serviciu distribuită împotriva altor sisteme și / sau pot efectua alte operațiuni ilegale, în unele cazuri chiar și la comiterea unor organizații criminale. ^[1]

Aplicații Botnet

Aplicații legale

În general, termenul este utilizat pentru acele rețele capabile să acționeze cu sincronie și autonomie în scopuri ilegale, dar există rețele botnet legale utilizate pentru calcul distribuit și pentru a studia răspândirea malware-ului.

Cereri ilegale

Botnet-urile compromit uneori computerele în care pot fi încălcate apărările de securitate, cum ar fi acreditări de conectare slabe sau scurte, firewall-uri slab configurate sau software de server vulnerabil, unde controlul este predat botmasterului, care poate direcționa activitatea acestor computere prin intermediul protocoalelor de rețea, cum ar fi IRC și HTTP / HTTPS .

Unele rețele bot pot fi închiriate de criminali cibernetici în diferite scopuri, cum ar fi șantajul, atacurile și stocarea materialelor ilicite, cum ar fi pornografia infantilă .

Mod de operare și utilizare

Astfel de malware / troieni specializați, de îndată ce au preluat controlul asupra sistemului, trebuie să poată furniza autorului lor datele fundamentale referitoare la sistemul infectat. Pentru a face acest lucru, ei folosesc adesea canale IRC pentru a oferi acces exclusiv autorului prin conectarea la un canal privat protejat prin parolă . Prin intermediul canalului de chat , autorul poate verifica simultan toate sistemele infectate care ascultă pe canal, care pot fi de zeci de mii, și să emită aceste comenzi, solicitând imagini pe ecran, adresă IP sau, de exemplu, furnizarea numelui de gazdă / IP al unui victima să fie atacată prin DDoS . Botmasterii pot controla, de asemenea, computerele zombie prin rețele sofisticate peer-to-peer , chiar și cu Skype și, prin urmare, cu protocoale binare și criptate . Dacă ținta se află în spatele unui firewall bine configurat, protocolul HTTP / HTTPS poate fi folosit și pentru a sustrage controalele, deoarece portul 80 se află în lista albă de firewall a aproape tuturor utilizatorilor: conexiunea utilizează un server specializat intermediar care fie acceptă protocolul direct sau îl folosește ca o încapsulare pentru alte protocoale care trebuie să rămână ascunse.

Aceste programe malware sunt deseori programate pentru a spiona sistemul infectat ca și cum ar fi spyware , interceptând parole și alte informații private, dar utile pentru atacator. De asemenea, pot oferi acces la mașinile infectate prin ușile din spate sau pot oferi servicii proxy care garantează anonimatul rețelei în detrimentul lățimii de bandă a rețelei infectate.

O utilizare mai sofisticată a botnetelor este ca un proxy pentru un sistem compromis: roboții sunt deseori curățați de malware, dar dacă atacatorul instalează un server pe una dintre aceste mașini și pierde controlul, daunele pot fi semnificative pentru el. Pentru a reduce aceste penalități, o tehnică recent utilizată este cea a fastflux ^[2] în care o mașină din afara botnetului rulează un server fals (de exemplu pentru spoofing ) și mașinile din botnet acționează doar ca un proxy pentru această mașină.

Pe măsură ce numărul sistemelor compromise crește, atacatorul poate folosi din ce în ce mai multă putere de calcul pentru a ghici parolele sistemelor inaccesibile anterior prin intermediul computerului distribuit .

Mecanisme de protecție a botnetelor ^[3]

Canalele C&C ( Command and Control ), un punct forte al infrastructurii, pot fi, de asemenea, o slăbiciune: mijloacele pentru a le accesa trebuie protejate împotriva altor infractori cibernetici. Acest nivel de protecție este garantat prin:

• găzduire antiglonț ;
• DNS dinamic ;
• flux rapid ;
• flux de domenii.

Flux de domenii

Pentru a preveni blocarea domeniilor care permit accesul la mașinile infectate, atacatorul poate folosi software care generează dinamic mereu nume de domeniu diferite și folosește propriul sistem DNS. Deținând controlul asupra înregistrărilor DNS , malware-ul poate schimba rapid adresele IP către care indică numele domeniilor, direcționează domeniile către alte domenii sau chiar poate redenumi domeniile la intervale aleatorii, urmând un model previzibil de malware. Toate acestea sunt elemente ale fluxului de domenii , adesea utilizate împreună cu arhitecturi robuste (cum ar fi stele, multi-server, ierarhizate și aleatorii) pentru a se sustrage blocajelor de la autorități și furnizorii de servicii de internet . ^{[3] [4]}

Modelul client-server

O rețea bazată pe modelul client-server, în care clienții individuali solicită servicii și resurse de la servere implicite centralizate

Modelul client-server a apărut pe primele tipuri de botnet-uri de Internet și se bazează, în general, pe IRC sau pe site-uri web care conțin liste de comenzi predefinite. IRC este un protocol bazat pe text, care este ușor de implementat, iar rețelele bazate pe acesta au în mod avantajos agenți infecțioși mici, care necesită o lățime de bandă redusă și folosesc metode simple pentru comunicare.

În cazul unei botnet IRC, clienții infectați se conectează la un server IRC infectat și se conectează la un anumit canal pentru a primi comenzi. Botmasterul trimite comenzile către canal prin intermediul serverului IRC, clientul le recuperează și le execută. ^[5]

Acest tip de canal, totuși, poate fi inhibat de filtre simple bazate pe cuvinte cheie, chiar dacă agentul creează noi canale de chat aleatorii: de fapt, majoritatea botnet-urilor mari au folosit domenii și găzduire securizată mai degrabă decât IRC în construcția lor (vezi. Rustock botnet , botnet Srizbi ).

De-a lungul timpului, modelul client-server a devenit prea ușor de blocat și botmasterii au optat pentru utilizarea protocoalelor peer-to-peer.

De la persoană la persoană

O rețea peer-to-peer (P2P), în care nodurile („peers”) se interconectează pentru a partaja resurse între ele fără utilizarea unui sistem administrativ centralizat

Ca răspuns la eforturile de detectare și eliminare a botnetelor IRC, hackerii s-au mutat în rețeaua Peer-to-Peer ca alternativă pentru a continua distribuirea malware-ului. Astfel de roboți tind să folosească semnături digitale, astfel încât numai cei care au acces la cheia privată pot avea controlul ^[6] ( Gameover ZeuS , botnet ZeroAccess ).

Cele mai noi rețele bot sunt acum în întregime bazate pe rețele P2P. În loc să comunice cu un server centralizat, roboții P2P se configurează atât ca un server pentru a executa comenzi, cât și ca un client pentru a le primi. ^[7]

Pentru a căuta alte mașini infectate din rețea, robotul interogă discret adresele IP aleatoare până când poate contacta o altă mașină infectată. Botul contactat răspunde cu informații precum versiunea sa de software și o listă de roboți cunoscuți. Dacă oricare dintre versiuni este mai mică decât cealaltă, acestea inițiază un transfer de fișiere care efectuează actualizarea. ^[6] În acest fel, fiecare robot își dezvoltă lista de mașini infectate și se actualizează prin comunicarea periodică cu toți ceilalți roboți cunoscuți.

Componentele principale

• Componenta gazdă
• Componenta rețelei

Componenta gazdă

Roboții sunt mașinile compromise pe care botmasterul le poate controla de la distanță. Un agent rău intenționat, activ în mașini compromise, face acest lucru posibil. Agentul rău intenționat care permite controlul de la distanță al unei mașini compromise de către un botmaster se numește agent bot. Un agent bot poate fi o componentă malware independentă sub forma unui fișier executabil de bibliotecă de legături dinamice (DLL) sau a unei bucăți de cod adăugate la codul malware. Funcția principală a agentului bot este: primi comenzi de la botmaster, efectua atacuri, trimite date către botmaster.

Componenta rețelei

Componenta botnet este orice resursă online pe care o botnet o folosește pentru a-și îndeplini directiva.

Comandă și control (C&C)

Protocoalele de comandă și control Botnet au fost implementate în mai multe moduri, începând cu abordările tradiționale IRC către versiuni mai sofisticate.

Telnet

Rețelele botnet Telnet utilizează un protocol simplu C&C în care roboții se conectează la o unitate principală de comandă care găzduiește botnetul.

Serverul de monitorizare scanează o serie de adrese IP pentru serverele telnet și ssh cu acreditări de autentificare implicite. Odată găsite datele de autentificare ale roboților, acestea sunt colectate într-o „listă de infecții” și sunt ulterior infectate de scripturi rău intenționate, executate prin ssh, de către serverul de control.

Când se execută comanda ssh, serverul se infectează și devine o componentă a botnetului prin intermediul codului rău intenționat care l-a infectat. În acest moment, botmasterul, prin serverul principal de comandă, este capabil să controleze roboții și, prin urmare, să poată declanșa atacuri DDoS mari.

Aceste tipuri de botnets au fost utilizate pentru a ataca site-uri web mari, cum ar fi Xbox Live și rețeaua PlayStation, de către un cunoscut grup de crackers numit Lizard Squad .

IRC

Canalele de comunicare IRC sunt o formă veche de chat online. ^[8] Rețelele IRC folosesc metode simple de comunicare cu lățime de bandă redusă, care le fac valoroase pentru găzduirea unei rețele bot. Fiind relativ simple în construcție, acestea au fost utilizate, cu succes moderat, pentru a coordona atacurile DDoS sau pentru a trimite mii de e-mailuri spam prin rețea.

Într-o cameră de chat este posibil să găsiți mulți utilizatori care pot fi infectați și pot deveni roboți; botmasterul ar putea emite comenzi prin camera de chat, reușind să alerteze rapid toți zombii conectați. ^[8]

Crackerii sunt capabili să schimbe continuu canalul pentru a evita eliminarea, dar, în același timp, simpla blocare a anumitor cuvinte cheie s-a dovedit eficientă în oprirea botnetelor bazate pe IRC.

Esențială pentru utilizarea rețelelor IRC este cunoașterea bot-clienților: a serverului IRC, a portului și a canalului de comunicații.

Organizațiile anti-malware pot detecta și închide servere și canale, blocând în mod eficient rețelele bot. Dacă s-ar întâmpla acest lucru, clienții ar rămâne infectați, dar ar rămâne în stare latentă, deoarece nu ar mai avea o modalitate de a primi instrucțiuni. Pentru administratorul de bot, aceasta ar fi o pierdere economică, pentru a face față acestei probleme, o botnet poate consta din mai multe servere sau canale, dacă unul dintre ei ar fi dezactivat, s-ar alege un alt server sau canal pentru a face clienții să se conecteze la un server disponibil și nu sunt orfani. Puteți detecta și opri servere sau canale suplimentare adulmecând trafic IRC. ^[5]

P2P

Deoarece majoritatea rețelelor de bot care utilizează rețele și domenii IRC pot fi eliminate în timp, crackerele s-au mutat în rețelele de rețea P2P pentru a face mai dificilă eliminarea.

Într-o botnet P2P, toți roboții sunt conectați între ei și pot acționa atât ca server, cât și ca client.

Crackerul / grupul de crackers care construiesc o astfel de botnet va recruta inițial membri identificând gazde vulnerabile într-o rețea P2P existentă și infectându-i prin schimbul de fișiere rău intenționat, făcând procesul de contaminare foarte simplu. După contaminare, roboții trebuie să se conecteze la alții și mai ales la botmaster pentru a putea primi comenzi. ^[8]

Pentru ca un bot să se conecteze la rețea, acesta trebuie să efectueze un pas de bootstrap, care constă în conectarea la un server de bootstrap a cărui adresă este conținută în interiorul botului în sine și la care se conectează prima dată când este rulat.

Sarcina unui server bootstrap este de a menține o listă imensă de adrese IP de nod. Aceste servere ar putea fi eliminate de către supraveghetorii de securitate, acest lucru nu ar afecta roboții deja prezenți în rețea, ci ar împiedica intrarea de noi infecții până la configurarea noilor servere. ^[9]

Odată ce rețeaua este construită, roboții așteaptă instrucțiuni pentru a efectua acțiuni sau actualizări ilegale.

Unii administratori de bot-uri au folosit, de asemenea, criptarea ca metodă de securizare sau blocare a botnetului de la alții, de cele mai multe ori folosind criptarea cu cheie publică.

Domenii și HTTP

Multe botnet utilizează domenii pentru construcția lor, acestea fiind de obicei găzduite de găzduire antiglonț . Acesta este unul dintre primele tipuri de C&C.

Un computer zombie accesează o pagină web sau un domeniu special conceput pentru a returna lista comenzilor de control.

Avantajul utilizării paginilor web sau a domeniilor precum C&C este că permite controlul și întreținerea cu un cod simplu și poate fi ușor actualizat.

Dezavantajele utilizării acestei metode sunt că este necesară o lățime de bandă semnificativă, iar domeniile pot fi ușor exploatate de agențiile guvernamentale fără probleme. Dacă domeniile care controlează botnet-urile nu sunt confiscate, ele devin ținte ușoare pentru atacurile DoS .

DNS cu flux rapid poate fi folosit ca o modalitate de a face dificilă depistarea serverelor de control. Serverele martor pot trece, de asemenea, la alte domenii DNS, cu algoritmii de generare a domeniului utilizați pentru a crea noi nume DNS pentru serverele martor.

Unele botnet utilizează servicii gratuite de găzduire DNS, cum ar fi DynDns.org, No-IP.com și Afraid.org pentru a direcționa un subdomeniu către un server care găzduiește roboții. Aceste servicii DNS gratuite oferă adrese adesea codate în fișierul executabil botnet. Eliminarea acestor servicii poate paraliza întreaga botnet.

Exemple notabile

Dintre zecile de botnete născute în anii 2000-2010 și dintre care în 2015 dezafectarea completă nu a fost încă certificată, menționăm două exemple, ambele, răspândite prin troieni pe platformele Microsoft Windows :

• ZeroAccess , exploatat pentru extragerea Bitcoin sau pentru fraudarea serviciilor de publicitate pay per click ;
• Torpig , utilizat în principal pentru furtul de date personale și bancare.

Botnet și crimă

Botnet-urile au devenit în ultima vreme o sursă de interes pentru criminalitatea organizată. Ele sunt de fapt o modalitate de a câștiga bani ilegal. De fapt, botmasterii vând serviciile de botnet către clienții care doresc să efectueze acțiuni ilegale. Printre acțiunile pe care botnetele le au în „catalogul” lor se numără:

• Negarea serviciului : atac masiv asupra cuiva: DDos; DoS; DRDos
• Spam : campanii de spam destinate vânzării de produse (adesea ilegale)
• Phishing : campanii de spam cu scopul de a fura acreditări în scopul furtului, spălării banilor, informațiilor etc.
• Spyware : este un software rău intenționat care trimite informații cu privire la activitatea online a unui utilizator fără consimțământul acestuia, transmitându-le unei organizații care le va folosi pentru profit.

Contramăsuri

Botnetul este o problemă complexă care necesită o soluție complexă. Botnet este diferit de orice altă amenințare malware în care ștergerea malware-ului din gazdă elimină amenințarea. O rețea bot este alcătuită din componente care sunt dincolo de gazdă, eliminând astfel malware-ul și remedierea mașinii compromise nu distruge rețeaua bot. Procesul elimină pur și simplu gazda din botnet, dar este încă în viață, astfel încât blocarea unui botnet nu va opri distribuitorii criminali cibernetici. Acesta este motivul pentru care lupta împotriva botnet-ului se luptă pe două fronturi:

• Frontul tehnic
• Frontul juridic

Frontul tehnic

Punctul de vedere tehnic se concentrează în luptă pe cele două componente principale ale botnetului: gazda și rețeaua.

Dispersia geografică a botnetului înseamnă că fiecare recrut trebuie identificat / blocat / reparat individual și limitează beneficiile filtrării. Unele botnets folosesc DNS gratuit și servicii de găzduire precum DynDns.org, No-IP.com și Afraid.org pentru a direcționa un subdomeniu către un server IRC care găzduiește roboții. În timp ce aceste servicii DNS gratuite nu găzduiesc atacuri, ele oferă puncte de referință. Eliminarea acestor servicii poate paraliza o întreagă botnet. Unele botnets implementează versiuni personalizate ale protocoalelor bine cunoscute. Diferențele dintre implementări pot fi utilizate pentru detectarea botnetului. De exemplu, Mega-D are o implementare ușor modificată a protocolului SMTP pentru capacitatea de testare a spamului. Filtrarea serverului SMTP al Mega-D dezactivează întregul pool de bot care se bazează pe același server SMTP.

Frontul juridic

Oamenii din spatele unei rețele botnet trebuie să fie răspunzători pentru acțiunile lor, astfel încât să li se împiedice să o facă din nou și să dea un exemplu pentru alți infractori cibernetici încă în libertate.

Lista istoric a botnetelor

Cercetătorii de la Universitatea din California au preluat controlul asupra unei rețele bot care s-a dovedit a fi de șase ori mai mică decât se aștepta, deoarece este obișnuit ca unii utilizatori să își schimbe adresa IP de mai multe ori pe zi. Estimarea dimensiunii botnetului pe baza numărului de adrese IP poate să nu ofere o reprezentare exactă a dimensiunii botnetului. ^[28]

Notă

Elemente conexe

• Calculator zombie

linkuri externe

• Jone Pierantonio, vânătorii de botnet, acei vânători care scotocesc internetul (și merg la vânătoare de malware) , pe chefuturo.it (arhivat din original la 23 februarie 2017) .

Portal de securitate cibernetică : accesați intrările Wikipedia care se ocupă de securitatea cibernetică