Botnet Bredolab

Botnet Bredolab , znany również pod pseudonimem Oficla , był rosyjskim botnetem zaangażowanym głównie w wirusowy spam e-mail . Szacuje się, że zanim botnet został ostatecznie zlikwidowany w listopadzie 2010 r. poprzez przejęcie jego serwerów dowodzenia i kontroli , składał się z milionów komputerów zombie .

Kraje najbardziej dotknięte botnetem to sama Rosja, Uzbekistan, Stany Zjednoczone, Europa, Indie, Wietnam i Filipiny.

Operacje

Chociaż najwcześniejsze doniesienia dotyczące botnetu Bredolab pochodzą z maja 2009 r. (kiedy to znaleziono pierwsze próbki złośliwego oprogramowania konia trojańskiego Bredolab ), sam botnet zyskał na znaczeniu dopiero w sierpniu 2009 r., kiedy nastąpił znaczny wzrost rozmiaru botnetu . Główną formą rozprzestrzeniania się Bredonetu było wysyłanie złośliwych wiadomości e-mail zawierających złośliwe załączniki, które po otwarciu infekowały komputer, skutecznie zmieniając komputer w kolejnego zombie kontrolowanego przez botnet. W szczytowym momencie botnet był w stanie wysyłać codziennie 3,6 miliarda zainfekowanych wiadomości e-mail. Inną główną formą rozprzestrzeniania się było wykorzystywanie drive-by download – metody wykorzystującej luki w zabezpieczeniach oprogramowania. Ta metoda umożliwiała botnetowi ominięcie ochrony oprogramowania w celu ułatwienia pobierania bez wiedzy użytkownika.

Główny dochód botnetu generowany był poprzez dzierżawę części botnetu stronom trzecim, które mogły następnie wykorzystywać te zainfekowane systemy do własnych celów, a badacze bezpieczeństwa szacują, że właściciel botnetu zarabiał do 139 000 USD miesięcznie na działalności związanej z botnetem. Ze względu na strategię biznesową wynajmu, ładunek Bredolab był bardzo zróżnicowany i wahał się od scareware po złośliwe oprogramowanie i spam e-mail .

Demontaż i następstwa

bazy danych i kilka serwerów zarządzania z botnetu Bredolab w centrum danych LeaseWeb, skutecznie usuwając zdolność pasterza botnetu do kontrolowania botnetu centralnie. Próbując odzyskać kontrolę nad swoim botnetem, pasterz botnetów wykorzystał 220 000 komputerów, które wciąż znajdowały się pod jego kontrolą, do przeprowadzenia ataku DDoS na serwery LeaseWeb, jednak próby te ostatecznie poszły na marne. Po przejęciu kontroli nad botnetem zespół organów ścigania wykorzystał sam botnet do wysłania wiadomości do właścicieli zainfekowanych komputerów, stwierdzając, że ich komputer jest częścią botnetu.

Następnie ormiańscy funkcjonariusze organów ścigania aresztowali obywatela Armenii, Georgy'ego Avanesova, pod zarzutem bycia mózgiem botnetu. Podejrzany zaprzeczył jakiemukolwiek udziałowi w botnecie. Został skazany na cztery lata więzienia w maju 2012 roku.

Chociaż zajęcie serwerów dowodzenia i kontroli poważnie zakłóciło zdolność działania botnetu, sam botnet jest nadal częściowo nienaruszony, a serwery dowodzenia i kontroli nadal działają w Rosji i Kazachstanie. Firma FireEye , zajmująca się bezpieczeństwem , uważa, że ​​pozostałą część botnetu przejęła druga grupa hodowców botnetów do własnych celów, być może poprzedni klient, który dokonał inżynierii wstecznej części kodu oryginalnego twórcy botnetu. Mimo to grupa zauważyła, że ​​rozmiar i pojemność botnetu zostały poważnie ograniczone przez interwencję organów ścigania.