Clever Geek Handbook

ボットネットを閉じる方法

最近、Runetのボットネットに぀いお倚くのこずが蚀われおいたす。 これは䞻に、既知および蚪問枈みのリ゜ヌスに察するDDoS攻撃によるものです。 以䞋では、この惚劇ずの戊いにおける倧䌁業の経隓に぀いお説明したす。







ボットネットずは䜕ですか



ボットネットは、悪意のあるコヌドに感染し、䞀元管理されるシステムの集合です。 さらに、十分な数のノヌドの砎壊たたはシャットダりンが党䜓ずしおのパフォヌマンスに圱響を䞎えないように構成されおいたす。 ボットネットは、スパム、フィッシング、DDoS、他のシステムぞの攻撃、新しいPCぞの感染、ボットネットノヌドぞの倉換などの目的に䜿甚できたす。 珟時点では、サむバヌ犯眪業界は犯眪の専門化ず焊点によっお非垞に匷く区分されおいるこずに泚意しおください。 これは、誰もが自分のこずをやっおいるずいうこずです。 その結果、ボットネットの䜜成者は、特定のタむプの犯眪に特化した他のサむバヌ犯眪者にボットネットのリ゜ヌスたたはサヌビスを販売しおいたす図に兞型的なビゞネス構造を芋るこずができたす。 ボットネット制埡むンタヌフェヌスが非垞にシンプルであるこずは泚目に倀したす。 資栌が非垞に䜎い人でも察応できたす。 曇りの傟向に埓っお、最近、サヌビスMalware as a Serviceを開始したした。 誰かが悪意のあるコヌドを䜜成しお配垃できない堎合、特定の䟡栌でこれを実行できるプロバむダヌが垞に存圚したす。 ただし、今日ボットネットを䜜成するこずも倧したこずではありたせん。 ZbotZeus、Spyeye、Mariposa、Black Energy、ButterFly、Reptileなど、倚くの既補のボットネットキットが垂堎に出回っおいたす。 これは、珟代のボットネットの所有者が特別な技術的スキルさえ持っおいないこずを意味したす。 ただし、倧芏暡なボットネットに぀いお話すず、その䜜成者はもちろん有胜で才胜のある人であり、察凊するのは非垞に困難です。 この資料の䞀郚ずしお、倧䌁業がサむバヌ犯眪、特にボットネットず戊うために䜿甚しおいるプラ​​クティスに぀いおお話したいず思いたす。 これは、特に、私が働いおいるマむクロ゜フトの掻動に焊点を圓おたす。



暙準ボットネット管理アプロヌチ





マむクロ゜フト察 ボットネット



おそらくこれは誰かを笑わせるかもしれたせんが、過去数幎にわたっおマむクロ゜フトでは、補品ずサヌビスのセキュリティを改善するための真剣な仕事がありたした。 安党なSDLコヌドを開発するための方法論が登堎し、適甚され始めたした。これは、最近発芋された脆匱性特に悪甚される可胜性のある脆匱性の数に倧きな圱響を䞎えたした。 しかし、今日は、将来の脅嚁を防ぐこずができる予防措眮に぀いおではなく、今日関連する問題ず戊うこずに぀いお話したす。 Windowsオペレヌティングシステムで実行されおいる倚数の感染マシンは、たさにそのような問題です。

倚くのサむバヌ犯眪郚門が瀟内に䜜成されたした。 埌者には異なる名前がありたす-デゞタル犯眪ナニット、マむクロ゜フトセキュリティレスポンスセンタヌ、信頌䟡倀コンピュヌティング-しかし、誰もがサむバヌ犯眪の問題ず䜕らかの圢で重耇しおいたす。 法執行機関や研究機関ず協力しお、マむクロ゜フトは最倧のボットネットを砎壊するための運甚を開始したした。 倧声で聞こえたすか おそらく、しかし、1幎で次のようなボットネット



ボットネットずの戊い䞀般的な慣行



ボットネットを砎壊する䞀般的な方法を理解するには、そのアヌキテクチャず匱点を理解する必芁がありたす。 ほずんどの堎合、CommandControlたたはCCず呌ばれる1぀以䞊のコマンド倚くの堎合、䞭倮サヌバヌがボットネットの制埡に䜿甚されたす。 異なるプロトコルを䜿甚しお、ボットネットの゚ンドノヌドず察話したす。 最も䞀般的に䜿甚される制埡プロトコルはIRCです。 ただし、近幎では、技術的に掗緎されおいるものの、より安定した代替手段ずしおのP2Pプロトコルの䜿甚が急激に増加しおいたす。 最近、興味深い゚キゟチックなものは、ボットネット制埡のためのファむル共有ネットワヌクの䜿甚ず、Facebookで公開された写真の本文での制埡コマンドの転送です。 䜕らかの方法でボットネットず戊うために、いく぀かの特定のアクションを実行できたす。

残念ながら、これらの方法のすべおが効果的であるわけではなく、䞀郚は完党に違法です。 䞀方、私たちはそれらのいく぀かをうたく適甚するこずに成功したした。 そのため、RustockおよびCorefloodボットネットは非垞に些现なこずに砎壊されたした。 これは、法執行機関がCCサヌバヌを抌収するこずで可胜になりたした予備的な裁刀所の決定による。その埌、ボットネット開発者によっお提䟛された、ボットネットに含たれるすべおの感染マシンにマルりェアを削陀するコマンドが提䟛されたした。 別のボットネットであるWaledacを閉じる䜜業はさらに興味深いものであるこずが刀明したため、この点に぀いお詳しく説明したいず思いたす。



Waledac階局化管理アヌキテクチャ





Waledacデバむス



Waledacの課題は、分散型ボットネットスキヌムでした。 圌の仕事のために、277以䞊のドメむン名が予玄されたした。 これは、異なるホスティングプロバむダヌから耇数のデヌタセンタヌでサヌバヌを同時にキャプチャする必芁があったこずを意味したす。 さらに、P2Pメカニズムを䜿甚しおボットネットを制埡するこずに成功したした。 ボットネット図を芋るず、倚局管理サヌバヌがすぐにわかりたす。 Waledacを䜿甚した感染プロセス䞭に、悪意のあるコヌドが新しいノヌドの圹割を決定したす。 NATの背埌にあり、ポヌト80ぞの着信接続を受け入れない堎合、スパムを送信する単玔なノヌド、たたはセンタヌからコマンドを繰り返すリレヌするノヌド、぀たり䞀皮のリピヌタヌになりたす。 リピヌタヌは、ボットネットを制埡するために䜿甚されたす。 各リピヌタヌは、制埡コマンドをスパマヌに送信するこずに加えお、P2Pプロトコルを介しお接続できるリレヌずしおも機胜する100個のノヌドで構成される「ネむバヌ」のリストも保持したす。 時間の経過ずずもに、どのリピヌタヌノヌドもそのドメむン名を高速フラックスDNSに登録したす。 これは、最も近いリピヌタヌが突然故障しおアクセスできなくなった堎合に、スパマヌが自分自身に連絡できるようにするために行われたす。 したがっお、ボットネットノヌドは垞に最も近いリレヌノヌドを芋぀け、そこから実行可胜なコヌドのコマンドず曎新を受信できたす。 ボットネットは、時間の経過ずずもにノヌドの圹割が倉化するように蚭蚈されおいたす。 たずえば、リピヌタヌずしお䜿甚されるシステムが䌁業ネットワヌクに入り、80番目のポヌトで接続を受け入れるこずができない堎合、スパマヌの圹割を自動的に受け取りたす。 同時に、リピヌタヌのもう1぀の目暙はボットネットトポロゞの調査に察抗するこずであるため、ボットネットトポロゞを分析するこずはそれほど容易ではありたせん。 これは䞀皮のプロキシずしお機胜し、スパマヌがCCコントロヌルノヌドに぀いお䜕も知らないようにしたす。



各リピヌタヌは近隣のリストを維持したす





ワレダック砎壊



ボットネットのアヌキテクチャを分析した埌、次の特定の手順でボットネットを攻撃する蚈画を立おたした。

  1. 管理チヌムの亀換のためのピアツヌピアメカニズムの違反。
  2. DNS / HTTPコマンドの亀換の違反。
  3. CおよびCサヌバヌの䞊䜍2局の違反。
最初のステップは、P2Pメカニズムを䞭断するこずでした。 ボットネット内で最も近いリレヌを芋぀ける機胜が䞍安定であるずいう事実により、ノヌドは、動䜜䞭の隣接するリピヌタヌを芋぀けるために、「近隣」のリスト内で最倧20個のアドレスを通過しなければならなかった可胜性がありたす。 これにより、停のリピヌタヌを䜜成し、それらをボットネットに含めお、リピヌタヌのリストに停の曎新を配垃し始め、それによっおP2P管理システムの接続を䞭断するこずができたした。 これにより、特別に䜜成されたMicrosoftコマンドサヌバヌからスパマヌにコマンドを送信できたした。

P2Pメカニズムが動䜜しない堎合、ボットネットノヌドは高速フラックスDNSメカニズムを䜿甚しお盞互の怜玢を開始したす。 したがっお、攻撃者がボットネットの制埡を取り戻すこずができないように、この制埡方法を砎壊する必芁がありたした。 ここでは法的メカニズムを䜿甚したため、これは興味深い点です。 「Uniform Domain-Name Dispute-Resolution Policy」ずいう恐ろしい名前の手順を䜿甚しお、ICANNを介しおDNS名を取り消す䞀般的な手順には、かなり時間がかかる堎合がありたす。 これにより、攻撃者は自分が攻撃しおいるこずを認識し、新しいDNS名を登録するための措眮を講じるこずができたす。この名前は、埌でボットネット制埡に転送されたす。 そのため、暙準のICANN手順の代わりに、「TRO䞀時的抑制呜什」手順を䜿甚したした。これは、米囜連邊裁刀所の決定によりドメむンを28日間䞀時的に停止する機胜です。 この段階でのもう1぀の問題は、DNS名の䞀郚が䞭囜で登録されたこずです。

攻撃者が法廷でマむクロ゜フトず競争するために、ボットネットに察する暩利を䞻匵したい堎合は、䞻匵の声明がサむトで公開されおいたす。 たた、容疑者がボットネットを制埡した囜の党囜玙も召喚状を発行したした。 予想通り、誰もあえお法廷に出おボットネットに察する暩利を宣蚀したせんでした。 したがっお、Microsoftは米囜ず䞭囜の裁刀所で勝蚎したした。 MicrosoftのWebサむトの特別なセクションで、ボットネットの闘争の法的な耇雑さずin䜙曲折に぀いお詳しく読むこずができたす。

これらの法的措眮の結果、DNSの暩利はマむクロ゜フトに枡されたした。 DNS名は珟圚、Microsoftサヌバヌに接続されおいたす。 感染したノヌドがボットネットからこれらのサヌバヌに接続されおいる堎合、Waledacボットから悪意のあるコヌドを削陀するように呜什するコマンドがそれに送信されたす。



ドメむン名登録





MicrosoftサヌバヌをWaledacに接続する



おわりに



このようにしお、むンタヌネットからWaldacボットネットの最埌の遺物を埐々に取り陀きたいず考えおいたす。 サむバヌ犯眪者が将来ボットネットを䜜成するのを防ぐために、Microsoftは蚌拠の調査ず収集を続けおいたす。 この目的のために、 Rustockの背埌にある犯眪グルヌプの逮捕を助長する情報を提䟛する人に、250,000ドルの報酬を提䟛したした。 私たちの経隓では、このアプロヌチはうたくいくかもしれたせん。 結論ずしお、将来マむクロ゜フトはサむバヌ犯眪に積極的に察凊し、利甚可胜なあらゆる手段でサむバヌ犯眪者を远跡する぀もりであるず蚀いたいず思いたす。



みんな奜きじゃない

ボットネットがWindowsマシンのみで構成されおいるず想定するのは無謀です。 Linux / Unixにはボットネットがありたす-Psyb0t、Chuck Norris、数十䞇のデバむス。 基本的に、これらのボットネットは、䜎䟡栌垯のホヌムルヌタヌ、スむッチ、およびNASから䜜成されたす。 このようなボットネットを砎壊するこずは、ほずんどの堎合、ホヌムナヌザヌがLinuxの知識ずデバむスのファヌムりェアを曎新するスキルを持たないため、非垞に困難です。 デバむスの補造業者は、デバむスの急速な陳腐化に関心があり、倚くの堎合、欠点を解消するこずを意図しおいないだけでなく、補品を集䞭的に曎新するメカニズムも持っおいたせん。 2009幎の調査によるず、むンタヌネットではい぀でも、叀いファヌムりェアずデフォルトのパスワヌドを備えた数癟䞇台の家庭甚デバむスを芋぀けるこずができたす。


画像

ハッカヌマガゞン、 10月10153

アンドレむ・ベシュコフ アベシュコフ  。



ハッカヌを賌読する



More articles:


All Articles