Gašenje Rustock bot meže prepolovilo spam

Anti-spam, 28.03.2011, 10:12 AM

Zombi (bot) mrežu Rustock, koja je na vrhuncu aktivnosti slala 30 milijardi spam poruka dnevno, kontrolisao je mali tim, sastavljen od dvoje ili troje ljudi, smatraju analitičari. Bot mreža koja je uključivala oko milion preotetih i umreženih kompjutera zahvaljujući mnogobrojnim različitim trikovima uspevala je da sakrije tragove.

Rustock je zauzimao ogroman prostor u ekosistemu bot mreža godinama unazad i bio ključni igrač u distribuciji spama i zlonamernog softvera, svakodnevno šaljući milijarde neželjenih email poruka u kojima se reklamirao čitav niz proizvoda, ali najčešće se radilo o reklamiranju lažnih lekova.

U februaru je Microsoft podneo tužbu američkom federalnom sudu protiv neimenovanih lica odgovornih za funkcionisanje mreže, navodeći u tužbi detaljno o kakvim aktivnostima mreže je reč i kakvi su ekonomski efekti funkcionisanja bot mreže. Tužba je bila osnov za akciju policije koja je usledila a koja je značila upad u centre podataka hosting provajdera u Denveru, Sijetlu, Kanzas Sitiju, Dalasu i drugim gradovima Srednje Amerike.

Sada kada je onemogućeno funkcionisanje mreže, nivo spama je drastično opao i taj relativno nizak nivo spama se održava od 16. marta kada je grupa, koja je uključila pravosudne organe i niz kompanija predvođenih Microsoft-om, izvršila upad u centre podataka u sedam američkih gradova i isključila 96 servera koji su funkcionisali kao centri za komandu i kontrolu (C&C) Rustock-a.

Gašenje Rustock-a je smanjilo svetski nivo spama za 35-40% samo nedelju dana nakon akcije američkih vlasti i Microsoft-a.

Sada se hard diskovi koji su tom prilikom oduzeti nalaze u procesu forenzičke analize, a prvi rezultati ove analize ukazuju na to da je džinovskom bot mrežom rukovodila veoma mala grupa ljudi čiji identitet još uvek nije poznat.

Za razliku od bot mreža kakva je Zeus koja funkcioniše na principu franšize i uključuje brojne kriminalne grupe, Rustock je bio strogo kontrolisan, i s obzirom da se pretpostavlja da je mrežom upravljala svega nekolicina ljudi, verovatno je ona svojim kreatorima i administratorima izazivala glavobolje s obzirom da je reč o ogromnoj bot mreži sa približno milion korisnika.

Međutim, iako komplikovan, ovakav način upravljanja bot mrežom se u praksi pokazao kao dobro odabrani model jer je mreža praktično godinama ostala izvan dometa onih koji se bave bezbednošću na internetu.

Žrtve su hvatane u zamku onda kada bi posetile veb sajtove sa oglasima i linkovima koji su služili kao mamac. Jednom kada bi računar bio zaražen, posebno enkriptovana ažuriranja bi se redovno isporučivala, a ona su uključivala i spam mehanizme koji bi potom slali milione reklamnih poruka za lažne lekove. Ažuriranja za Rustock su bila tako maskirana da je bilo veoma teško softveru za zaštitu bezbednosti računara, koji obično traga za poznatim znacima prisustva zlonamernog programa, da ih prepozna.

Serveri Rustock bot mreže hostovani su isključivo u SAD što nije uobičajeno kada je reč o bot mrežama, i to u okviru hosting centara na teritoriji srednje Amerike, umesto u velikim gradovima, što je pomoglo da dugo ostanu van radara. Početkom marta, pre akcije koja je ugasila Rustock, SAD je po obimu bio drugi svetski izvor spama zahvaljujući činjenici da je Rustock funkcionisao oslanjajući se na servere u SAD.

Na troškove hostinga C&C sistema procenjuje se da je odlazilo oko 10000 dolara mesečno. To verovatno nije bilo preskupo onima koji su kontrolisali mrežu jer je profit koji im je donosio Rustock, kako se procenjuje, bio ogroman iako nema egzaktnih podataka o kojoj sumi je reč.

Nakon akcije Microsoft-a i ostalih koji su bili uključeni u istragu, oni koji su kontrolisali mrežu nisu pokušali da ponovo uspostave kontrolu nad njom. Koraci tehničke prirode koje je preduzeo Microsoft trebalo i da onemoguće takve pokušaje, ali stručnjaci sumnjaju da bi kreatori Rustock-a uopšte i pokušavali tako nešto jer bi to sada bio veliki rizik njih s obzirom da je Microsoft-ov pravni tim uperio prstom u njih. Ovo je drugi put za godinu dana da kompanija Microsoft pokreće akciju protiv neke bot mreže. Prvi put je ona bila usmerena protiv Waledac mreže kada je Microsoft primenio sličnu taktiku. Waledac se kasnije vratio u igru ali daleko manje moćan nego što je to bio pre nego je došlo do intervencije protiv ove mreže.

Rustock je bila jedna od najstarijih aktivnih bot mreža, koja je svoje formiranje započela pre pet godina.