Orang Baik Membawa Turun Mega-D Botnet

Selama dua tahun sebagai peneliti dengan perusahaan keamanan FireEye, Atif Mushtaq bekerja untuk mencegah malware Mega-D menginfeksi jaringan klien.. Dalam prosesnya, dia belajar bagaimana pengontrol mengoperasikannya. Juni lalu, ia mulai menerbitkan temuannya secara online. Pada bulan November, dia tiba-tiba beralih dari batas menjadi pelanggaran. Dan Mega-D - botnet tangguh dan tangguh yang telah memaksa 250.000 PC untuk melakukan penawarannya - turun.

Pengontrol Target

Mushtaq dan dua rekan FireEye pergi setelah infrastruktur perintah Mega-D. Serangan pertama botnet dari serangan menggunakan lampiran e-mail, serangan berbasis Web, dan metode distribusi lainnya untuk menginfeksi sejumlah besar PC dengan program bot berbahaya.

Bot menerima perintah marching dari server perintah dan kontrol (C & C) online, tetapi server tersebut adalah tumit Achilles botnet: Isolasikan mereka, dan bot yang tidak diarahkan akan diam. Pengontrol Mega-D menggunakan berbagai macam server C & C, bagaimanapun, dan setiap bot di pasukannya telah diberi daftar tujuan tambahan untuk dicoba jika tidak bisa mencapai server perintah utamanya. Jadi, menjatuhkan Mega-D akan membutuhkan serangan yang terkoordinasi dengan hati-hati.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

Synchronized Assault

Tim Mushtaq pertama kali menghubungi penyedia layanan Internet yang tanpa disadari menghosting Mega-D server kontrol; penelitiannya menunjukkan bahwa sebagian besar server berbasis di Amerika Serikat, satu di Turki dan lainnya di Israel.

Kelompok FireEye menerima tanggapan positif kecuali dari ISP luar negeri. Server C & C domestik turun.

Selanjutnya, Mushtaq dan perusahaan menghubungi pencatat nama domain yang memegang catatan untuk nama domain yang digunakan oleh Mega-D untuk server kontrolnya. Para pendaftar berkolaborasi dengan FireEye untuk menunjukkan nama domain Mega-D yang sudah ada ke no-where. Dengan memotong kumpulan nama domain botnet, operator antibotnet memastikan bahwa bot tidak dapat mencapai server Mega-D-afiliasi yang ditolak oleh ISP luar negeri.

Akhirnya, FireEye dan pencatat mendaftar untuk mengklaim nama domain cadangan bahwa pengendali Mega-D tercantum dalam pemrograman bots. Kontroler dimaksudkan untuk mendaftar dan menggunakan satu atau lebih dari cadangan lakukan jika domain yang ada turun - jadi FireEye mengambil mereka dan mengarahkan mereka ke "sinkholes" (server yang telah diatur untuk duduk diam dan usaha log oleh Mega -D bot untuk check-in untuk pesanan). Menggunakan log tersebut, FireEye memperkirakan bahwa botnet terdiri dari sekitar 250.000 komputer Mega-D yang terinfeksi.

Down Goes Mega-D

MessageLabs, anak perusahaan keamanan e-mail Symantec, melaporkan bahwa Mega-D telah "secara konsisten telah di atas 10 bot spam "untuk tahun sebelumnya (find.pcworld.com/64165). Output botnet berfluktuasi dari hari ke hari, tetapi pada 1 November Mega-D menyumbang 11,8 persen dari semua spam yang dilihat MessageLabs.

Tiga hari kemudian, tindakan FireEye telah mengurangi pangsa pasar Mega-D dari spam Internet menjadi kurang dari 0,1 persen, MessageLabs mengatakan.

FireEye berencana untuk menyerahkan upaya anti-Mega-D ke ShadowServer.org, sebuah kelompok relawan yang akan melacak alamat IP mesin yang terinfeksi dan menghubungi ISP dan bisnis yang terkena dampak. Jaringan bisnis atau administrator ISP dapat mendaftar untuk layanan notifikasi gratis.

Melanjutkan Pertempuran

Mushtaq mengakui bahwa serangan sukses FireEye terhadap Mega-D hanyalah salah satu pertempuran dalam perang melawan malware. Para penjahat di belakang Mega-D mungkin mencoba untuk menghidupkan kembali botnet mereka, katanya, atau mereka mungkin meninggalkannya dan membuat yang baru. Tapi botnets lain terus berkembang.

"FireEye memang memiliki kemenangan besar," kata Joe Stewart, direktur penelitian malware dengan SecureWorks. "Pertanyaannya adalah, apakah itu akan memiliki dampak jangka panjang?"

Seperti FireEye, perusahaan keamanan Stewart melindungi jaringan klien dari botnet dan ancaman lainnya; dan seperti Mushtaq, Stewart telah menghabiskan bertahun-tahun memerangi perusahaan kriminal. Pada tahun 2009, Stewart menguraikan sebuah proposal untuk membuat kelompok relawan yang didedikasikan untuk membuat botnet tidak menguntungkan untuk dijalankan. Tetapi hanya sedikit profesional keamanan yang dapat melakukan kegiatan sukarelawan yang memakan waktu.

"Butuh waktu dan sumber daya dan uang untuk dilakukan hari ini," kata Stewart. Pemogokan lain di bawah radar di berbagai botnets dan organisasi kriminal telah terjadi, tetapi upaya-upaya terpuji ini "tidak akan menghentikan model bisnis spammer."

Mushtaq, Stewart, dan pro keamanan lainnya setuju bahwa penegak hukum federal perlu melangkah dengan upaya koordinasi penuh waktu. Menurut Stewart, regulator belum mulai menyusun rencana serius untuk mewujudkannya, tetapi Mushtaq mengatakan bahwa FireEye berbagi metode dengan penegakan hukum domestik dan internasional, dan dia berharap.

Sampai itu terjadi, "kami pasti ingin melakukan ini lagi, "kata Mushtaq. "Kami ingin menunjukkan pada orang-orang jahat bahwa kami tidak tidur."