Компьютерра PDA N105 (02.04.2011-08.04.2011)

Дело в том, что McColo предоставлял услуги так называемого "пуленепробиваемого хостинга": компания не задавала своим клиентам ненужных вопросов и не реагировала на жалобы. На McColo собралась живописнейшая компания: спамеры, распространители детской порнографии, фишеры и прочих "мерзавцев сотни три". Среди клиентов McColo всплыла даже Russian Business Network - полумифическая питерская фирма, которая также занималась криминальным бизнесом в киберпространстве, включая "пуленепробиваемый хостинг" со всяким "интересным" контентом. И, самое главное, на серверах McColo располагались контрольные центры ботнетов Mega-D, Srizbi, Pushdo, Warezov и нашего дорогого Rustock.

19 ноября 2008 года McColo, воспользовавшись соглашением о резервном копировании со шведским провайдером TeliaSonera, ненадолго вернулся в онлайн, но его тут же снова закрыли. Впрочем, судя по всему, этого времени хватило, чтобы перевести контрольные серверы ботнетов с тонущего хостера куда-то ещё.

Спустя несколько недель объёмы спама вернулись к прежним значениям.

Операция b107

В середине марта 2011 года, к вящему недоумению борцов с сетевыми напастями, ботнет Rustock заглох намертво. Его активность уже снижалась в рождественско-новогодний период, но затем он снова воспрял. Возникла масса пересудов на тему возможного возвращения ботнета в строй.

18 марта отдел по борьбе с киберпреступностью Microsoft объявил, что он совместно с правоохранительными органами США провёл операцию под кодовым названием b107, в результате которой ботнет Rustock был обезглавлен.

Операция против Rustock проводилась по той же схеме, что и более ранняя (и успешная) атака на ботнет Waledac. Первый этап был сугубо юридическим: владельцев ботнета Rustock обвинили в нарушении лицензионного соглашения Windows, поскольку Rustock делает возможным удалённый доступ к ОС Windows на заражённом компьютере, что категорически запрещено лицензией. Это ещё не всё: поступило обвинение и в нарушениях торговой марки (изрядная часть спама шла через Hotmail), и нарушении американского закона CAN-SPAM.

Комедия? Это ещё не всё: в Microsoft заручились поддержкой - кого бы вы думали? - фармацевтической компании Pfizer, выпускающей "Виагру". Ей давно надоела спамерская реклама: и покушение на торговую марку, и для здоровья опасно.

В результате корпорациям удалось добиться изъятия дисков, на которых находились контрольные серверы ботнета. После этого второй этап был делом техники. У Rustock нашлось несколько слабых мест: для обмена данными между клиентом и сервером используется протокол HTTP; вдобавок бот-агенты ищут контрольные серверы не только по DNS, но и по списку IP-адресов, встроенных в исходный код троянов. Их надо было отключать все разом. Что и было проделано.

Помощь Microsoft оказали компания FireEye (в прошлом она косвенно поучаствовала в закрытии McColo) и специалисты по сетевой безопасности из Университета штата Вашингтон. За рубежом к операции подключились киберподразделение полиции Нидерландов (как минимум один контрольный центр находился на территории этой страны) и китайское агентство CNCERT/CC - оно заблокировало домены, находившиеся на территории Поднебесной.

Как выяснилось, контрольные центры ботнета в этот раз располагались на вполне легальных, а отнюдь не "пуленепробиваемых" площадках. Тайно, разумеется. Маршалы США вместе с юристами Microsoft нанесли одновременные визиты в несколько компаний в семи городах США, конфискуя оборудование, как говорится, "с запасом".

Finita La Comedia?

Две недели тишины. Судя по всему, ботнет действительно парализован - выбито его главное коммуникационное звено. А вот насчёт того, что будет дальше, вопросов остаётся достаточно. Ars Technica указывает, что теперь всё зависит от того, насколько долго сможет Microsoft удерживать "судебную" блокировку IP-адресов, прописанных в коде трояна. И успеют ли к тому моменту, как все сроки иссякнут, пользователи заражённых машин принять меры. Как ни смешно, именно Windows XP - "бессмертная" операционная система - является главной "питательной средой" для ботнета. Под Vista и Windows 7 спамбот не работает.

В "Лаборатории Касперского" на ситуацию смотрят чуть более оптимистично. По мнению Александра Гостева, если Microsoft закрыла все домены Rustock, то установка нового ботнета возможна только с нуля.

Ключевое слово, однако, - "если"...

Пользователям Windows XP рекомендуется проверить свои компьютеры утилитой CureIt, написанной в компании "Доктор Веб". Она позволяет выявить наличие руткита Rustock в системе и устранить его.

Василий Щепетнёв: Дюжина старушек

Автор: Василий Щепетнев

Опубликовано 08 апреля 2011 года