Microsoft нанесе сериозен удар по огромен ботнет

Microsoft и партньори на компанията успяха да изведат до голяма степен от строя огромен ботнет, станал причина за инфектирането на милиони системи по целия свят и нанесъл щети за стотици хиляди долара.

Ботнетите или организираните в мрежа от зловредна програма заплахи са основните виновници за масовите спам кампании, които разпращат писма с прикачени в тях зловредни програми, имитиращи невинни документи и разписки, фалшива реклама по сайтовете и друг тип атаки, за които чуваме всеки ден.

Т.нар. ботнети са начин за престъпниците да автоматизират престъпните си действия и да увеличат многократно печалбата от своите действия, докато в същото време запазват своята анонимност и сигурност, скрити зад огромната армия от зомби компютри, които са хванали в плен. Necurs е специален случай в тази категория. Появил се преди цели осем години – през 2012 – ботнетът и свързаната с него едноименна заплаха се отличава още от началото със своята сложна инфраструктура и техническа експертиза на авторите му. Допълнително за разпространението му помага сътрудничеството между различните криминални групи, чиито интереси обслужва и доброто сътрудничество между тях. През годините, Necurs е известен с разпространението на банкови троянци, като Dridex и Zeus, извършването на мащабни DdoS атаки, финансови измами, а с ерата на рансъмуера – и с криптовируси – основно Cryptowall и Locky. Самата зловредна програма, свързана с Necurs се отличава с модулна архитектура, която се обновява често, руткит компонент, защита срещу анализ и способност да деактивира антивирусни продукти и защитната стена на Windows.

Това, което особено затруднява спирането на активността на Necurs е алгоритъма за генериране на домейни (DGAs, Domain generation algorithms), който генерира огромен брой домейни, чиито имена не следват определен ред и са трудни за проследяване и идентифициране. Освен това, за комуникацията с авторите си, Necurs използва не един, а два DGA канала, което допълнително затруднява специалистите по киберсигурност.

Но с Necurs вече е свършено. Microsoft обяви, че компанията и нейни партньори от 35 държави, участвали в операцията са успели да разбият DGA алгоритъма, използван от ботнета.

„Впоследствие, ние успяхме да предвидим над шест милиона уникални домейни, които ще бъдат създадени в следващите 25 месеца. Microsoft предаде тези домейни на съответните регистратори в съответните страни по света, така че уебсайтовете да бъдат блокирани и да им бъде попречено да станат част от инфраструктурата на Necurs. С поемането на контрол над съществуващите сайтове и създаването на невъзможност да бъдат генерирани нови, ние нарушихме сериозно операциите на ботнета“, пишат от компанията.

Заедно с това, Microsoft се свързва с властите в съответните държави, за да освободят хванатите в плен на Necurs системи. В хода на операцията, компанията работи с интернет доставчици, домейн регистратори, CERT екипите и властите в Мексико, Колумбия, Тайван, Индия, Япония, Франция, Испания, Полша и Румъния.