Samozniszczenie sieci botów

Pojawiły się informacje mówiące, że w kwietniu doszło do samozniszczenia składającej się z około 100 000 komputerów sieci botów; główny serwer sterujący wysłał wówczas do wszystkich komputerów polecenie samozniszczenia. Botnet bazował na platformie ZeuS, kosztującej jedynie kilkaset dolarów, za pomocą której cyberprzestępcy są w stanie infekować pecety użytkowników w celu przejęcia nad nimi zdalnej kontroli.

12 maja 2009, 16:06

Specjaliści z S21sec ustalili, że gdy tylko należący do sieci komputer otrzyma rozkaz samozniszczenia, usuwane są następujące wpisy w Rejestrze systemu Windows: HKEYCURRENTUSER, HKEYLOCALMACHINE\Software i HKEYLOCALMACHINE\System. Następnie wirtualna pamięć Windows jest nadpisywana zerami, czego skutkiem jest uczynienie systemu operacyjnego bezużytecznym.

Tego rodzaju funkcje samoniszczące nie są niczym nowym, zwłaszcza jeśli mowa o trojanach atakujących systemy bankowe. W przypadku tych ostatnich mechanizm taki służy do odcięcia ofiary od Internetu po wykradzeniu jej danych dostępowych do serwisu banku oraz numerów PIN i TAN, tak aby nie mogła ona śledzić dalej tego, co dzieje się na jej koncie. Poza tym cyberprzestępcy mogą w ten sposób przynajmniej częściowo zatrzeć ślady swojej aktywności, mimo że pliki binarne szkodliwego oprogramowania często pozostają na zainfekowanych komputerach.

Istnieją rozmaite przypuszczenia na temat powodów całkowitego samozniszczenia botneta. Jedna z hipotez mówi, że być może serwer sterujący ZeuS został przejęty przez konkurencyjną grupę cyberprzestępców. Z drugiej strony trzeba pamiętać, że dane na temat zniszczenia bazują jedynie na obserwacjach szwajcarskiego aktywisty antyspamowego Romana Hüssy'ego, który jest właścicielem serwisu ZeusTracker monitorującego wiele serwerów sterujących ZeuS należących do rozmaitych grup. Hüssy utrzymuje, że 8 kwietnia obserwowany przez niego serwer ZeuS wysłał rozkaz samozniszczenia do 100 000 podległych mu botów. W wypowiedzi dla amerykańskich mediów Szwajcar wyraził przypuszczenie, że operatorzy mogli zniszczyć własną sieć przez pomyłkę. Operatorami takich sieci bywają często osoby niemające dostatecznej wiedzy i umiejętności.

wydanie internetowe www.heise-online.pl