Beveiligingsdeskundigen visualiseren botnets met het oog op verdediging

Niet alle botnets zijn op dezelfde manier georganiseerd. Dat is de conclusie van een rapport van Damballa dat de overheersende structuren wil categoriseren. Het probeert uit te leggen waarom bepaalde soorten blokkeren en filteren tegen sommige botnets werken, en niet voor anderen.

"De 'hybride' dreigsvaandel wordt vaak omver geworpen," zegt Gunter Ollmann, VP of Research, Damballa, een onderneming beveiligingsbedrijf dat zich specialiseert in botnet-mitigatie "Maar dat label betekent niets voor teams die zijn belast met de verdediging van de onderneming. Door de topologieën (en hun sterke en zwakke punten) uit te leggen, kunnen deze teams de bedreiging beter visualiseren."

De sterstructuur is de meest elementaire en biedt individuele bots een directe communicatie met de Command and Control (CnC) -server. Het kan worden gevisualiseerd in een sterachtig patroon. Door directe communicatie met één CnC-server te bieden, creëert het botnet echter één faalpunt. Schakel de CnC-server uit en het botnet vervalt. Ollmann zegt dat de Zeus DIY-botnetkit, uit de verpakking, een sterpatroon is, maar dat botmasters vaak upgraden, waardoor het multiserver wordt.

"In de meeste gevallen kunnen bepaalde botnets worden geclassificeerd als lid van slechts één CnC-topologie- -maar vaak is het afhankelijk van de botnet-master welke zij kiezen. "

Multi-server is de logische uitbreiding van de Star-structuur met behulp van meerdere CnC-servers om instructies aan de individuele bots te geven. Dit ontwerp, zegt Ollmann, biedt veerkracht als een CnC-server uitvalt. Het vereist ook geavanceerde planning om uit te voeren. Srizbi is een klassiek voorbeeld van een multi-server CnC-topologie-botnet.

De hiërarchische botnetstructuur is sterk gecentraliseerd en wordt vaak geassocieerd met meertraps botnets - bijvoorbeeld botnets die botagenten hebben, hebben wormpropagatiemogelijkheden - en gebruiken super -node-gebaseerde peer-to-peer CnC. Dat betekent dat geen enkele bot zich bewust is van de locatie van andere bots, waardoor het vaak moeilijk wordt voor beveiligingsonderzoekers om de totale omvang van het botnet te meten. Deze structuur, zegt Damballa, is het meest geschikt om delen van het botnet aan anderen te verhuren of te verkopen. Het nadeel is dat instructies langer duren om hun doelen te bereiken, zodat sommige soorten aanvallen niet kunnen worden gecoördineerd.

Het rapport, Botnet-communicatie Topologieën: inzicht in de fijne kneepjes van botnet Command-and-Control, ook gerangschikt verschillende methoden van snelle flux, de methode waarmee een CnC server verandert zijn domeinen on the fly. Damballa ontdekte dat Domain Flux, een proces dat meerdere Fully Qualified Domain Names wijzigt en toewijst aan één IP-adres of CnC-infrastructuur, het meest bestand is tegen detectie en mitigatie. Robert Vamosi is een risico-, fraude- en beveiligingsanalist voor Javelin Strategy & Research en een onafhankelijke schrijver van computerbeveiliging voor bedreigingen van criminele hackers en malware.