Een coalitie van beveiligingsbedrijven heeft een botnet van 109.000 Windows-computers uitgeschakeld. Het gaat om het tweede Kelihos-botnet. Het eerste botnet werd eind september door onder andere Microsoft, Kaspersky Lab en SURFnet uitgeschakeld. Dit keer trokken Kaspersky Lab, het CrowdStrike Intelligence Team, Dell SecureWorks en leden van het Honeynet Project ten strijde en wisten het botnet in vijf dagen te neutraliseren.
Ondanks de eliminatie van het eerste botnet werd in januari bekend dat er een tweede Kelihos-botnet actief was. Hoewel het om een nieuw botnet ging, was de malware die het gebruikte gebaseerd op dezelfde code als die van het oorspronkelijke Kelihos-botnet. Uit de nieuwe malware bleek dat er bij het tweede botnet sprake was van enkele verbeteringen, waaronder nieuwe infectiemethoden en Bitcoin-functies voor het stelen van gegevens en digitaal geld.
Net als het oorspronkelijke botnet maakte deze versie gebruik van een netwerk van geïnfecteerde computers om spam te verzenden, persoonlijke gegevens te stelen en gedistribueerde denial of service (DDoS)-aanvallen uit te voeren op specifieke doelwitten.
Sinkhole
In de week van 19 maart van 2012 voerde de coalitie van beveiligingsbedrijven een sinkhole-operatie uit, waardoor het botnet met succes werd uitgeschakeld. Beide versies van het Kelihos-botnet waren peer-to-peer (P2P)-botnets. Dit houdt in dat alle computers binnen het botnet netwerk als server en/of client kunnen fungeren, in tegenstelling tot traditionele botnets die gebruikmaken van één C&C-server.
Om dit flexibele P2P-botnet te neutraliseren creëerde de groep van beveiligingsexperts een wereldwijd netwerk van computers die de infrastructuur van het botnet infiltreerden. Na een korte periode slaagde dit sinkhole-netwerk erin om zijn 'populariteit' binnen het botnet te vergroten, waardoor er steeds meer geïnfecteerde computers onder de controle van de experts kwamen. Hierdoor konden de criminele exploitanten van het botnet de computers niet langer bereiken.
Naarmate er meer geïnfecteerde machines worden geneutraliseerd, zorgt de P2P-architectuur ervoor dat de infrastructuur van het botnet als het ware inzinkt: zijn kracht neemt exponentieel af naarmate het de controle over steeds meer computers verliest.
Data-mining
Sinds start van de sinkhole-operatie op 19 maart is het botnet niet langer bruikbaar. Aangezien de meerderheid van de computers binnen het botnet met het sinkhole-netwerk verbonden zijn, is het mogelijk om met behulp van data-mining het aantal infecties en de geografische locatie van de geïnfecteerde computers bepalen.
Tot dusver zijn er 109.000 geïnfecteerde IP-adressen geteld, waarvan 84% Windows XP als besturingssysteem gebruikt. De meerderheid van deze IP-adressen bevindt zich in Polen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Wanneer je hieronder het e-mailadres van je account opgeeft wordt er een nieuwe activatielink naar je gestuurd. Deze link kun je gebruiken om een nieuw wachtwoord in te stellen.
Wanneer je het juiste e-mailadres hebt opgegeven ontvang je automatisch een nieuwe activatielink. Deze link kan je gebruiken om een nieuw wachtwoord in te stellen.
Geef je e-mailadres op en kies een alias van maximaal 30 karakters.
Je hebt je succesvol aangemeld. Voordat je je account kunt gebruiken moet deze eerst geactiveerd worden. Dit kan je zelf doen middels de activatielink die naar het opgegeven e-mailadres is verstuurd.