Οι Spammers αποκαθιστούν τον έλεγχο μέσω του Srizbi Botnet

Οι πωλητές ασφάλειας λένε ότι οι αποστολείς ανεπιθύμητης αλληλογραφίας επανασυνδέονται με τα hacked PC που χρησιμοποιούνται για την αποστολή ανεπιθύμητων μηνυμάτων, όπως αποδεικνύεται από τον αυξανόμενο αριθμό ανεπιθύμητων μηνυμάτων που κυκλοφορούν στο Διαδίκτυο τις τελευταίες ημέρες. Τα επίπεδα ανεπιθύμητης αλληλογραφίας μειώθηκαν ξαφνικά πριν από δύο εβδομάδες μετά το κλείσιμο του McColo, ενός αδίστακτου ISP (Internet Service Provider) με έδρα το Σαν Χοσέ της Καλιφόρνια, του οποίου η συνδεσιμότητα χρησιμοποιήθηκε για τον έλεγχο δικτύων εκατοντάδων χιλιάδων υπολογιστών για αποστολή ανεπιθύμητων μηνυμάτων, γνωστών ως botnet.

Οι υπολογιστές που είναι μέρος του botnet Srizbi - ο οποίος, σύμφωνα με κάποιες εκτιμήσεις, έστειλαν σχεδόν το ήμισυ των ανεπιθύμητων μηνυμάτων παγκοσμίως - εμφανίζονται να ενεργοποιούνται και πάλι, σύμφωνα με τους ερευνητές της FireEye

[Περαιτέρω ανάγνωση: Πώς να αφαιρέσετε το κακόβουλο λογισμικό από Windows PC]

«Η Srizbi επέστρεψε από τους νεκρούς και έχει αρχίσει να ενημερώνει όλα τα bots της με μια νέα, νέα δυαδική», σύμφωνα με ένα blog post την Τρίτη από τους Atif Mushtaq και Alex Lanstein της FireEye. "Η παγκόσμια ενημέρωση ξεκίνησε μόλις πριν από λίγες ώρες."

Οι υπολογιστές της Srizbi ελέγχονταν από spammers μέσω του δικτύου της McColo. Όταν ο McColo τερματίστηκε, αυτοί οι υπολογιστές προσπάθησαν να καλέσουν πίσω και να πάρουν νέες οδηγίες για να στείλουν ανεπιθύμητα μηνύματα. Όμως οι χειριστές του botnet είναι έξυπνοι και δημιούργησαν έναν τρόπο να ξαναγυρίσουν αυτά τα μηχανήματα αν ήταν λανθασμένα.

Οι ερευνητές της FireEye έκαναν ουσιαστικά μια αυτοψία στον κώδικα του Srizbi. Διαπιστώνουν ότι οι χάκερ βάζουν έναν αλγόριθμο που δημιουργεί δυναμικά ένα όνομα τομέα από το οποίο ένας συμβιβασμένος υπολογιστής θα μπορούσε να παραλάβει νέες οδηγίες.

Οι χάκερς θα μπορούσαν τότε να καταχωρήσουν αυτό το όνομα τομέα και να βάλουν εντολές εκεί για να πει στο συμβιβασμένο PC να πάει σε διαφορετικό commander-and-control server - και όχι McColo's - για νέες οδηγίες.

Δεδομένου ότι ο FireEye κατάλαβε πώς ο αλγόριθμος λειτουργούσε, η εταιρία κατέγραψε τα κενά ονόματα τομέα, όπως "auaopagr.com", που παράγει ο αλγόριθμος. Όταν τα μηχανήματα αυτά αναφέρθηκαν για το καθήκον, δεν υπήρχαν οδηγίες. Όμως, το FireEye δεν μπορεί να παραμείνει για πάντα για τους spammers αγοράζοντας ονόματα τομέα.

Τώρα οι συμβιβασμένοι υπολογιστές συνδέονται με ονόματα τομέα που έχουν καταχωρηθεί από τους spammers και λαμβάνουν ενημερωμένο κώδικα, συμπεριλαμβανομένων των προτύπων για νέες καμπάνιες ανεπιθύμητης αλληλογραφίας. Οι νέοι διακομιστές εντολών και ελέγχου βρίσκονται στην Εσθονία και τα ονόματα τομέα αγοράζονται από έναν καταχωρητή στη Ρωσία, δήλωσε ο FireEye.

Η Srizbi σε μια στιγμή ανερχόταν σε περισσότερους από 450.000 υπολογιστές και μένει να δούμε πόσοι αυτά τα μηχανήματα έχουν ενημερωμένο κώδικα. Αλλά τα τρία άλλα botnets που ελέγχονται μέσω McColo - Rustock, Cutwail και Asprox - όλα φαίνεται να επιστρέφουν και στο διαδίκτυο.

Ο Dmitry Samosseiko του πωλητή ασφάλειας υπολογιστών, Sophos, έγραψε την Τετάρτη ότι τα επίπεδα ανεπιθύμητης αλληλογραφίας αυξήθηκαν ξαφνικά αυτή την εβδομάδα εν μέρει στην αναζωπύρωση του botnet Rustock

Η συνδεσιμότητα του McColo αποκαταστάθηκε για λίγο από την TeliaSonora και οι πολύτιμες λίγες ώρες σε απευθείας σύνδεση επέτρεψαν στους αποστολείς να πει στους υπολογιστές που είχαν μολυνθεί από το Rustock πού να πάνε για νέες οδηγίες

MessagLabs πωλητής Antispam, το οποίο πρόσφατα εξαγόρασε η Symantec, δεν σημείωσε αύξηση των ανεπιθύμητων μηνυμάτων που σχετίζονται με το Srizbi, δήλωσε ο Paul Wood, ανώτερος αναλυτής που εδρεύει στα γραφεία του Ηνωμένου Βασιλείου.

Το Wood είπε ότι το MessageLabs αναλύει το spam που καταλήγει στα inboxes των 8 εκατομμυρίων και το Srizbi μπορεί να μην έχει ακόμη ταχύτητα ή να αλλάξει τον τρόπο με τον οποίο στοχεύει τους ανθρώπους.

Όμως, το MessageLabs έχει παρατηρήσει μια ανησυχητική ανεπιθύμητη αλληλογραφία που προέρχεται από τους Rustock, Cutwail και Asprox, Το

"Όπως και κάθε είδους επιχείρηση, εάν ο courier σας κατεβαίνει ή μπαίνει σε απεργία, βρίσκετε έναν εναλλακτικό παροχέα," δήλωσε ο Wood.

Παρόλα αυτά, τα επίπεδα ανεπιθύμητης αλληλογραφίας είναι περίπου το 40% αυτού που ήταν πριν ο McColo πέσει κάτω, είπε ο Wood.