Küresel Çaba ile Yeni Bir Solucan Tipi Yavaşladı

Daha önce büyük bilgisayar solucan salgınları yaşanmış, ama Conficker'e benzemeyen bir şey yok.

İlk olarak Kasım ayında, solucan son yıllarda herhangi bir solucandan daha fazla bilgisayara bulaşmıştı. Bazı tahminlere göre şimdi 10 milyondan fazla PC'ye kurulmuştur. Ama ilk görünüşünden beri garip bir şekilde sessizdi. Conficker PC'leri enfekte eder ve ağlar etrafında yayılır, ancak başka bir şey yapmaz. İnternet üzerinden sanal olarak herhangi bir sunucuyu sakatlayan devasa bir siber saldırı başlatmak için kullanılabilir veya milyarlarca spam mesajın üzerine milyarlarca dolar çıkarmak için spam göndericilere kiralanabilir. Bunun yerine, orada, birinin anahtarı çevirmesini bekleyen büyük bir yıkım motoru var.

Yakın zamana kadar, birçok güvenlik araştırmacısı, Conficker ağının ne beklediğini bilmiyordu. Ancak Perşembe günü, uluslararası bir koalisyon, solucanı kontrol edebilecek komuta ve kontrol sunucularından ayrı tutmak için daha önce görülmemiş adımlar attıklarını ortaya koydu. Grup, İnternet Alan Adlandırma Sistemini denetleyen Internet Tahsisli İsimler ve Numaralar Kurumu (ICANN) ile güçlerini birleştiren güvenlik araştırmacıları, teknoloji şirketleri, alan adı kayıt şirketlerinden oluşmaktadır.

[Daha fazla okuma: Kötü amaçlı yazılım nasıl kaldırılır? Windows PC'nizden

Araştırmacılar Conficker'in kodunu çıkardılar ve yeni talimatlar için evlerine telefon etmek için zor bir yeni teknik kullandığını keşfettiler. Her gün, solucan aklkanpbq.info gibi yaklaşık 250 rastgele alan adının yeni bir listesini oluşturur. Daha sonra, bu yönergeleri yeni talimatlar için kontrol eder ve Conficker'in yazarı tarafından oluşturulduklarından emin olmak için şifreleme imzasını doğrular.

Conficker'ın kodu ilk kez kırıldığında, güvenlik uzmanları bu rastgele oluşturulan etki alanlarının bir kısmını kapatarak, başlangıç ​​noktası olarak bilinenleri oluşturur. Saldırı makinelerinden veri almak ve solucanın nasıl çalıştığını gözlemlemek için sunucular. Ancak enfeksiyon daha yaygın hale geldikçe, tüm etki alanlarını kaydetmeye başladılar - haftada 2,000'e yakın - suçluların bir değişim geçirmeden önce bunları dolaşımdan çıkardılar. Eğer kötü adamlar bu kontrol ve kontrol alanlarından birini kaydetmeye çalıştıysa, daha önce “Conficker Cabal” olarak adlandırılan kurgusal bir grup tarafından çekildiklerini fark ederlerdi. Adresi? 1 Microsoft Way, Redmond Washington.

Bu araştırmacılar için yeni bir fare ve fare oyunu türüdür, ancak birkaç ay içinde birkaç kez test edilmiştir. Örneğin, Kasım ayında, başka bir grup, Srizbi olarak bilinen ve dünyanın en büyük botnet ağlarından biri tarafından kullanılan etki alanlarının kontrolünü ele almak için kullandı ve bunu komut ve kontrol sunucularından kesti.

Binlerce etki alanıyla, Ancak, bu taktik zaman alıcı ve pahalı olabilir. Böylece Conficker ile, grup alan adı tescil ve kilitleme adı verilen yeni bir teknik kullanarak isimleri belirledi ve kilitledi.

Conficker'in alanlarını tanımlama ve kilitleme çalışmalarını bölen grup, sadece solucanı kontrol altında tuttu Ölümcül bir darbe ele almadığı için, The Shadowserver Foundation'ın kurucu ortağı Andre DiMino, bir siber suçlar izleme grubu. “Bu, gerçekten bu noktada önemli bir fark yaratma potansiyeline sahip ilk temel çaba” dedi. "Bunun sakatlanmasında bazı etkiye sahip olduğumuzu düşünmek istiyoruz."

Bu, İnternet'in adres sistemini yönetmekten sorumlu olan ICANN için keşfedilmemiş bölge. Geçmişte ICANN, suçluların yaygın olarak kullandığı alan adı kayıt memurlarından akreditasyonu iptal etme gücünü kullanması nedeniyle eleştirildi. Ancak bu sefer, alanlarını kilitlemek ve grubun katılımcılarını bir araya getirmeyi zorlaştıran rahatlatıcı kurallar için övgü alıyor.

"Bu özel durumda, işler hızla ilerleyecek şekilde tekerlekleri yağladılar" diyor David Ulevitch, OpenDNS. “Bence bunun için övgüler almalı… ICANN'in gerçekten olumlu bir şey yaptığı ilk zamanlardan biri.”

Ağ güvenliği danışmanlığı Destek İstihbarat CEO'su Rick Wesson, bu kadar farklı bir grup kuruluşun birlikte çalışmasının dikkat çekici olduğunu söyledi. "Çin ve Amerika, küresel ölçekte kötü niyetli bir aktiviteyi yenmek için işbirliği yaptılar. Bu ciddi. Bu asla olmadı," dedi.

ICANN, bu hikayeye ve Conficker çabasındaki katılımcıların çoğuna yorum arayan aramaları geri almadı, Microsoft, Verisign ve Çin İnternet Ağı Bilgi Merkezi (CNNIC) de dahil olmak üzere bu makale için röportaj yapmayı reddetti.

Özel olarak, bazı katılımcılar, iyi organize edilebilecek şeylerle mücadelede bireysel çabalarına dikkat çekmek istemediklerini söylüyorlar. siber suç grubu. Diğeri, çabaların çok yeni olması nedeniyle, taktikleri tartışmak için henüz erken olduğunu söylüyorlar.

Tüm hikaye ne olursa olsun, bahisler açıkça yüksek. Conficker zaten hükümet ve askeri ağlarda tespit edildi ve özellikle şirket ağlarında tehlikeli oldu. Bir kayma ve Conficker'in yaratıcıları ağlarını yeniden programlayabilir, bilgisayarlara çatlamak zorunda kalacak yeni bir algoritma ve bu bilgisayarları hain amaçlar için kullanma fırsatı verir. Wesson, "Yüzde 100 doğru olmalıyız," dedi. "Ve savaş günlük bir savaştır."

(Singapur'daki Sumner Lemon bu rapora katkıda bulundu.)