Srizbi botnet

El Srizbi botnet, también conocido por sus alias de Cbeplay y Intercambiador, es el segundo más grande o más grande del mundo botnet Según informes periciales y es responsable de enviar a más de la mitad de todos los spam Enviado por todos los grandes botnets combinado. Los botnets consisten en ordenadores infectados por la Srizbi troyano, que envía spam en comando. La botnet sufrió un importante revés en noviembre de 2008 cuando el proveedor de alojamiento McColo fue tomada volúmenes de spam mundial reducidos hasta un 75% como resultado de esta acción.

Tamaño

El tamaño de la botnet Srizbi se estima que alrededor de 450.000 en peligro las máquinas, con diferencias de estimación es inferior al 5% entre diversas fuentes. La botnet se divulga para ser capaz de enviar correo basura alrededor 60 billones mensajes al día, que es más de la mitad del total los aproximadamente 100 billones de mensajes de spam cada día. Como comparación, la muy publicitada Storm botnet Sólo consigue alcanzar aproximadamente el 20% de la cantidad total de spam enviado durante sus períodos.

La botnet Srizbi está mostrando un relativo declive después de un crecimiento agresivo en la cantidad de mensajes de spam enviado a mediados de 2008. Desde el 13 de julio, la botnet se cree que es responsable de aproximadamente el 40% de todo el spam en la red, un brusco descenso de la participación de casi el 60% en mayo.

Orígenes

Los primeros informes sobre brotes troyanos Srizbi fueron alrededor de junio de 2007, con pequeñas diferencias en las fechas de detección a través de software antivirus vendedores. Sin embargo, los informes indican que la primera versión ya había sido reunida en 31 de marzo de 2007. Allí no está implicado en la botnet ninguna señal de disminución en el número de bots.

La botnet Srizbi por algunos expertos es considerada el segundo mayor botnet de Internet. Sin embargo, hay controversia rodea la Botnet Kraken. A partir de 2008, puede ser que Srizbi es la botnet más grande.

Composición de propagación y botnet

La botnet Srizbi consiste en computadoras que han sido infectados por la Srizbi caballo de Troya. Este caballo de Troya se despliega en su ordenador de la víctima a través de la MPack malware Kit. Ediciones pasadas han utilizado el kit de malware "n404 web explotar kit" para difundir, pero el uso de este kit ha sido desaprobado a favor de Mpack.

La distribución de estos kits de malware se logra parcialmente mediante la utilización de la botnet sí mismo. La botnet se ha sabido para enviar spam que contiene enlaces a falsos vídeos sobre celebridades, que incluya un enlace apuntando al kit de malware. Intentos similares han sido tomados con otros temas tales como mensajes personales y ventas de software ilegal. Aparte esta autopropagación, el kit MPack es también conocido por tácticas se separa mucho más agresivas, más en particular el compromiso de unos 10.000 sitios web en junio de 2007. Estos dominios, que incluyó un sorprendente número de sitios web pornográfico, terminó el visitante desprevenido a sitios web que contengan el programa MPack de reenvío.

Una vez que una computadora infectada por el caballo de Troya, el equipo llega a ser conocido como un Zombie, que será en el comando del regulador de la botnet, comúnmente conocido como el pastor de botnet. La operación de la botnet Srizbi se basa en un número de servidores que controlan la utilización de los robots individuales en la botnet. Estos servidores son copias redundantes de uno al otro, que protege la botnet de ser paralizado en el caso de un fallo del sistema o acción legal descuelga un servidor. Estos servidores se colocan generalmente en países tales como Rusia, donde está limitado el cumplimiento de la ley contra el crimen digital.

Reactor Mailer

El lado del servidor de la Srizbi botnet es manejado por un programa llamado "Reactor Mailer", que es un Python-base componente Web responsable de coordinar el spam enviado por los bots individuales en la botnet. Reactor Mailer ha existido desde el año 2004 y está actualmente en su tercera versión, que también se utiliza para el control de la botnet Srizbi. El software permite inicio de sesión seguro y permite múltiples cuentas, lo que sugiere fuertemente que el acceso a la botnet y su capacidad de spam se vende a terceros (Software como un servicio). Esto es reforzado por pruebas que demuestran que la botnet Srizbi ejecuta varios lotes de spam a la vez; bloques de Direcciones IP se pueden observar diferentes tipos de spam a enviar en cualquier momento. Una vez que un usuario se haya concedido acceso, él o ella puede utilizar el software para crear el mensaje que quieren enviar, para probar su SpamAssassin puntuación y luego enviarlo a todos los usuarios de una lista de direcciones de correo electrónico.

Sospecha se ha planteado que el escritor del programa de correo del Reactor podría ser la misma persona responsable por el troyano Srizbi, como análisis de código muestran una huella de código que los partidos entre los dos programas. Si esta afirmación es verdad, entonces este codificador bien podría ser responsable por el troyano detrás de otro botnet, llamado Rustock. Según Symantec, el código utilizado en el troyano Srizbi es muy similar al código que se encuentra en el troyano Rustock y bien podría ser una versión mejorada de este último.

Srizbi trojan

El troyano Srizbi es la del lado del cliente programa encargado de enviar el spam desde equipos infectados. El troyano ha sido acreditado con ser extremadamente eficiente en esta tarea, que explica por qué Srizbi es capaz de enviar tales altos volúmenes de spam sin tener una gran ventaja numérica en el número de ordenadores infectados.

Aparte de tener un motor eficiente spam, el troyano también es muy capaz de ocultarse tanto el usuario como el propio sistema, incluyendo cualquier producto diseñado para eliminar al troyano en el sistema. El troyano en sí mismo se ejecuta completamente en modo de núcleo y se ha observado a emplear Rootkit tecnologías para evitar cualquier forma de detección. Parcheando el NTFS sistema de archivos Controladores, el troyano hará que sus archivos invisible tanto para el Sistema operativo y cualquier usuario humano utilizando el sistema. El troyano también es capaz de esconderse tráfico de red genera conectando directamente NDIS y TCP/IP Controladores para su proceso, una característica única actualmente para este troyano. Este procedimiento ha sido probado para permitir el troyano eludir ambos cortafuegos y Sniffer protección proporcionada localmente en el sistema.

Una vez que el robot está en su lugar y operacional, hará contacto con uno de los hardcoded servidores de una lista que lleva con él. Este servidor luego suministrará el bot con un zip archivo que contiene una serie de archivos necesarios por el bot para iniciar su negocio de "spamming". Se han identificado los siguientes archivos para ser descargados:

1. 000_data2 -Dominios de servidor de correo
2. 001_ncommall -lista de nombres
3. 002_senderna -lista de nombres de posibles remitente
4. 003_sendersu -lista de apellidos posible remitente
5. config -Archivo de configuración de spam principal
6. Mensaje -Mensaje HTML al spam
7. MList -Direcciones de correo receptores
8. mxdata -Datos del registro MX

Cuando estos archivos se han recibido, el bot inicializará primero una rutina de software que le permite eliminar archivos críticos para revelar spam y Rootkit aplicaciones. Después de este procedimiento se realiza, el troyano entonces comenzará enviando el mensaje de spam que ha recibido desde el servidor de control.

Incidentes

La botnet Srizbi ha sido la base para varios incidentes que han recibido cobertura de los medios. Varios de los más notables se describirán a continuación aquí. Esto no es una lista completa de los incidentes, pero sólo una lista de las más importantes.

El incidente de "Ron Paul"

En octubre de 2007, varios anti-spam las empresas notó un inusual spam político campaña emergente. A diferencia de los habituales mensajes sobre relojes, acciones o la ampliación del pene, el correo contenía información promocional sobre Estados Unidos candidato presidencial Ron Paul. El campamento de Ron Paul desestimó el spam no estar relacionados con la campaña presidencial oficial. Un portavoz dijo a la prensa: "Si bien es cierto, podría hacerse por un partidario bienintencionado pero equivocado o alguien con malas intenciones intentando avergonzar a la campaña. Ya sea cierto, es un trabajo independiente, y no tenemos conexión."

El spam fue confirmado en última instancia, como haber venido desde la red Srizbi. A través de la captura de uno de los servidores de control involucrados, los investigadores aprendieron que se envió el mensaje de spam hasta 160 millones direcciones de correo electrónico por tan sólo 3.000 ordenadores bot. El spammer sólo ha sido identificado por su Internet mango ("nenastnyj"НЕНАСТНЫЙsignifica "lluvia" o "falta", como "día de lluvia, mal tiempo" en ruso); No se ha determinado su identidad real.

Spam malicioso triplicando volúmenes en una semana

En la semana del 20 de junio de 2008 Srizbi logró triplicar la cantidad de spam malicioso enviado desde un promedio de 3% al 9,9%, en gran parte debido a su propio esfuerzo. Esta ola de spam particular era un agresivo intento de aumentar el tamaño de la botnet Srizbi enviando correos electrónicos a los usuarios que les advirtieron que había sido grabadas desnuda. Enviando este mensaje, que es una especie de spam que se refiere como "Tema estúpido", fue un intento de que la gente haga clic en el enlace malicioso incluido en el correo, antes de darse cuenta que este mensaje era más probable spam. Mientras que viejo, esto Ingeniería social técnica sigue siendo un método probado de infección para los spammers.

El tamaño de esta operación muestra que los ingresos monetarios y poder de una botnet estrechamente se basan en su capacidad de spam: más infectados ordenadores se traducen directamente en mayores ingresos para el controlador de botnet. También muestra que los poder botnets tienen que aumentar su propio tamaño, principalmente mediante el uso de una parte de su fuerza en números.

Reubicación del servidor

Después del retiro de los servidores de control McColo a finales de noviembre de 2008, el control de la botnet fue transferido a los servidores alojados en Estonia. Esto se logró a través de un mecanismo en el caballo de Troya que consultar un conjunto algorítmico generado de nombres de dominio, uno de los cuales fue registrado por los individuos controlando la botnet. El Estados Unidos empresa de seguridad informática FireEye, Inc. mantener el sistema en manos de los controladores por un período de dos semanas por preventivamente registro del dominio generado nombres pero no estaba en condiciones de sostener este esfuerzo. Sin embargo la actividad "spamming" se redujo considerablemente después de esta transferencia de servidor de control.

Véase también

• Botnet
• Storm botnet
• Kit de malware MPack
• E-mail-spam
• Crimen de Internet
• Seguridad en Internet
• Operación: Bot Roast
• Shadowserver

Otras Páginas

• Colecciones de imagenes digitales de bibliotecas Universidad de Stanford
• Cronologia de San Francisco
• Beilschmiedia obtusifolia
• Establecimiento de anglosajones de Gran Bretana
• Asignacion de ancho de banda