Fighting modern botnets_short

Современные методы борьбы с ботнетами
Бешков Андрей
Руководитель программы ИТ безопасности
Microsoft Россия
http://beshkov.ru
http://twitter.com/abeshkov
abeshkov@microsoft.com

Содержание
10 самых распространенных семейств зловредного ПО
Что такое ботнеты и как в них попасть?
Архитектура ботнета Waledac
Опыт борьбы Microsoft с ботнетами

Откуда данные о зловредах?
Данные о зловредном ПО были собраны с 600 миллионов компьютеров обслуживаемых средствами безопасности Microsoft такими как:
Malicious Software Removal Tool
Microsoft Security Essentials
Windows Defender
Microsoft Forefront Client Security
Windows Live OneCare
Windows Live OneCare safety scanner
http://www.microsoft.com/security/sir/

TOP 10 семейств злонамеренного ПО

Win32/Taterf и Win32/Frethog
Крадет логины MMORGS игр. Lineageи.т.д
Распространяется через папки общего доступа.
Приносит с собой Frethog крадуший остальные пароли.
Устанавливается с разрешения пользователя

Win32/Renos
Запугивает пользователя сообщениями о несуществующем заражении ОС.
Устанавливает в систему:
SpySheriff, SpyAxe, SpyFalcon, SpyDawn, SpywareStrike
Устанавливается с разрешения пользователя.

Win32/FakeSpypro
Поддельный антивирус. Заражает систему с позволения пользователя.
Запугивает и заставляет покупать поддельное ПО для лечения.

Win32/Alureon
Перед просмотром видео предлагает пользователю поставить кодеки или драйвера для проигрывания видео.
Кто же от такого откажется? Бесплатно!
Может вызывать BSOD при последующих обновлениях системы

Win32/Zwangi
Предлагает скачать и установить бесплатный
скринсейвер.
Устанавливается с разрешения пользователя.

Win32/Conficker
Единственный червь использующий для распространения 3 уязвимости в Windows. В пике эпидемии доходил до 6,5 млн зараженных хостов.
Обновление устраняющее уязвимость выпущено за 3 месяца до эпидемии!
Более 90% клиентов обновилось в течении первой недели. Заразились те, кто не установили обновление в течении трех месяцев.

Новые социальные атаки
Поддельный вебсайт с IE9 попал в топ поисковой выдачи Bing и Google
за счет рекламы. Заблокирован IE9 SmartScreen Filter

Атаки на альтернативные браузеры

Атаки Drive-By Download
2. IFrameсекретно
загружает
другую страницу
3. Страница
перенаправляет
на другую
страницу с эксплоитом
4. Если эксплоит
сработал,
скачивается
зловред и
заражает жертву
1. Пользователь с уязвимой
системой посещаетстраницу с невидимымIFrame
Пользователь
Взломанный
или злонамереный сайт
Перенаправление
Сервер с эксплоитом
Сервер с вредоносом

Уязвимости для Drive-By Download
Тестировалось на 500000 машин с известными уязвимостями. Результативность заражения 31%
37% - Java JRE
32% - AdobeReader и Acrobat
16% - AdobeFlash.
10% - InternetExplorer
3% - AppleQuickTime
2% - Центр справки и поддержки Windows
Исследование CSIS
http://www.theregister.co.uk/2011/09/28/window_malware_infection_exposed/

Windows 7 заражается в 5 раз меньше!
Обнаружение зловредного ПО на каждую 1000 запусков антивирусных средств.
Avast подсчитала статистику заражения руткитами:
74% - Windows XP
17% - WindowsVista
12% - Windows 7

Почему Windows 7 в 5 раз реже заражается?

Технологическая или социальная проблема?
9 из 10 самых распространенных злонамеренных приложений устанавливаются в систему с согласия пользователя!
По версии AVG Technologies заражение с применением социальной инженерии происходит в 4 раза чаще чем с помощью уязвимостей в ОС и приложениях любого производителя.
http://www.virusbtn.com/conference/vb2010/abstracts/Hughes.xml

Как защищаться?
Обучать пользователей защите от социальной инженерии.
Smart Screen в Internet Explorer защищает от 99% социальных атак.
Обновлять системы и приложения. Большинство атак выполняется с использованием старых уязвимостей
Enhanced Mitigation Experience Toolkit (EMET) v2.0
Фильтрация трафика известных эксплоитов – Forefront TMG

Как защищаться?
Работа в системе с правами обычного пользователя предотвращает атаки на:
75% - критических уязвимостей Windows 7
100% - уязвимостейMicrosoft Office опубликованных в 2010 г.
100% - уязвимостейInternet Explorer опубликованных за2010 г.
64% всех уязвимостей в продуктах Microsoft опубликованных в 2010 г.
Исследование BeyondTrust за 2010 г
http://www.net-security.org/secworld.php?id=10886

Ботнеты

Топ25 ботнетов

Распределение ботнетов по странам

Linux и Android ботнеты
Psyb0t – 100.000 ADSL зараженных маршрутизаторов Netcomm NB5.
Появился за счет халатности производителя.
Psybot поддерживает заражение прошивок OpenWRT и DD-WRT.
Кроме подбора пароля по SSH, FTP или telnet может атаковать
некорректно настроенные версии phpMyAdmin и MySQL.
http://www.symantec.com/security_response/writeup.jsp?docid=2009-032400-0103-99
http://www.opennet.ru/opennews/art.shtml?num=25528
http://www.opennet.ru/opennews/art.shtml?num=20918
Впоследствии появился ботнетChuck Norris
http://www.pcworld.com/businesscenter/article/189868/chuck_norris_botnet_karatechops_routers_hard.html
Ботнет на основе Android из 40000 устройств довольно серьезная сила. Возник из за отсутствия проверки приложений в Android market
http://s1.securityweek.com/report-reveals-emerging-trend-android-botnet-infections

Ботнетвдействии
1) Злоумышленник создает зловред сам или покупает его на рынке. Затем использует его для заражения целей или продает другим.
2) Доступ к части ботнета продается другим злоумышленникам
3) Доступ к ботнету получен
4) Ресурсы ботнета используются для множества аттак одновременно
5) Свободные ресурсы используются для заражения и добавления новых узлов в ботнет

Рынок ботнетов

Рынок ботнетов
Цена за тысячу зараженных компьютеров:
США и Великобритания – от 110$до 180$.
Европа - от 20$до 60$.
Другие страны - менее 10$.
Цена варьируется в зависимости от того что можно найти на зараженных ПК и скорости подключения в Интернет.

Изготовление ботнетов
Ботнеткомплекты в продаже:
Zbot(Zeus)
Spyeye
Mariposa
BlackEnergy
ButterFly
Reptile
Zombiem
Ice-X
Цена на комплект варьируется от 10000$ до 5$.

Построение ботнета Zbot
Справится даже ребенок!

Управление ботнетом Zbot

Аналог облачных вычислений:
Выполняет задачи нескольких заказчиков одновременно
Эластичен и представляет почти безграничные ресурсы
Оплата за потребляемые ресурсы

Логины и пароли собранные ботами с зараженных систем

Обнаружение активности ботнетов
IP адреса узлов
отправителей
Спам сообщений

Поведение ботнета при рассылке спама
Lethicкрайне агрессивно рассылает спам с малого количества IP адресов.
Rustockиспользует много IP адресов и шлет с каждого понемногу.
За счет этого обнаружить Rustockсложнее.

Типовая структура ботнета

Варианты уничтожения ботнета
Захватить или уничтожить С&C узлы
DDoSна С&C узлы?
Жалобы провайдеру
Захват DNS имен
Блокирование IP адресов
Арест владельца ботнета
Судебный иск

Механизмы управления C&C узлами

Операция b49
Захват ботнета Waledac

Структуработнета Waledac

Waledac exchange node and repeater node

277 DNS именWaledac
newyearcardcompany.com
newyearcardfree.com
newyearcardonline.com
newyearcardservice.com
smartcardgreeting.com
superchristmasday.com
superchristmaslights.com
superyearcard.com
themirabelladirect.com
themirabellaguide.com
themirabellahome.com
yourregards.com
youryearcard.com
bestbarack.com
greatobamaguide.com
greatobamaonline.com
jobarack.com
superobamadirect.com
superobamaonline.com
thebaracksite.com
topwale.com
waledirekt.com
waleonline.com
waleprojekt.com
goodnewsdigital.com
goodnewsreview.com
linkworldnews.com
reportradio.com
spacemynews.com
wapcitynews.com
worldnewsdot.com
worldnewseye.com
worldtracknews.com
bestgoodnews.com
adorelyric.com
adorepoem.com
adoresongs.com
bestbaracksite.com
bestobamadirect.com
expowale.com
bestadore.com
bestlovelong.com
funloveonline.com
youradore.com
yourgreatlove.com
orldlovelife.com
romanticsloving.com
adoresong.com
bestlovehelp.com
chatloveonline.com
cherishletter.com
cherishpoems.com
lovecentralonline.com
lovelifeportal.com
whocherish.com
worldlovelife.com
worshiplove.com
yourteamdoc.com
yourdatabank.com
alldatanow.com
alldataworld.com
cantlosedata.com
justchristmasgift.com
lifegreetingcard.com
livechristmascard.com
bestchristmascard.com
bestmirabella.com
bestyearcard.com
blackchristmascard.com
cardnewyear.com
cheapdecember.com
christmaslightsnow.com
decemberchristmas.com
directchristmasgift.com
eternalgreetingcard.com
freechristmassite.com
freechristmasworld.com
freedecember.com
funnychristmasguide.com
greatmirabellasite.com
greetingcardcalendar.com
greetingcardgarb.com
greetingguide.com
greetingsupersite.com
holidayxmas.com
topgreetingsite.com
whitewhitechristmas.com
worldgreetingcard.com
yourchristmaslights.com
yourdecember.com
yourmirabelladirect.com

P2P обмен внутри Waledacс помощьюfast flux DNS

Проксирование траффика Waledac

Захват Waledac
Последовательность действий
Создание прецедента
Hotmail заблокировал 651 миллионсоединений отботнета Waledac-за 18 дней
Waledacвходит в 10 крупнейших ботнетов в 39 странах
Захват С & C
доменов
Официальное уведомление
Судебный иск

Уведомление о решении суда www.noticeofpleadings.com

ОтравлениеWaledac

Активные IP адресаботнета Waledac
2-й квартал 2010 г.

Активные IP адресаботнета Waledac
Январь 2011 г.

После захвата
MS не может удалить ботов с зараженных ПК. Это будет вмешательством в частную жизнь.
Образцы ботов добавляются в антивирусные продукты MS и других производителей. Обмен образцами идет через Microsoft Active Protection Program (MAPP)
Интернет провайдерам сообщаются адреса зараженных машин через программу Global Infrastructure Alliance for Internet Safety
Пользователям рекомендуется использовать:
Malicious Software Removal Tool
Microsoft Safety Scanner
Microsoft Security Essentials

Уничтожение других ботнетов
Захват ботнетаWaledac
1.5 миллиардов спам сообщений ежедневно. В процессе исследования было найдено полмиллиона паролей от почтовых ящиков пользователей и ftp серверов.
Захват ботнета Rustock. В пике своей активности рассылал80% мирового спама. Примерно 2000 спам сообщений в секунду.
Захват ботнетаCoreflood
ФБР при содействии Microsoft захватила ботнетCorefloodотвечающий за финансовые преступления на сумму 100 миллионовдолларов
Захват ботнетаKelihos
Совместная операция Лаборатории Касперского и Microsoft. Kelihosможно назвать Waledac 2.0

Ресурсы
http://blogs.technet.com/mmpc/
http://blogs.technet.com/msrc/
http://www.microsoft.com/security/sdl/

Fighting modern botnets_short

by RISSPA on Oct 16, 2011

Accessibility

Upload Details

Usage Rights

2 Embeds 79

Statistics

Fighting modern botnets_short — Presentation Transcript

http://www.risspa.ru	78
http://ec2-176-34-245-108.eu-west-1.compute.amazonaws.com	1