Storm botnet

Typowy cykl życiowy spamu, który pochodzi z botnetu:
(1) Strona spamera (2) Spamer (3) Spamware (4) Zainfekowane komputery (5) Wirus lub trojan (6) Serwery pocztowe (7) Użytkownicy (8) Ruch internetowy

Storm botnet lub po prostu Storm – grupa komputerów "zombie" (botnet) kontrolowana na odległość. Storm botnet wykorzystywany jest w różnych dziedzinach wirtualnej przestępczości.

Po raz pierwszy został zidentyfikowany w styczniu 2007. W pewnym momencie Storm worm stanowił 8 proc. całego złośliwego oprogramowania znajdującego się na komputerach z systemem Microsoft Windows. Według szacunków z marca 2008, 20% światowego spamu pochodzi z botnetu Storm.

Wielkość sieci

We wrześniu 2007 oszacowano, iż Storm może składać się z od 1 miliona do 50 milionów systemów komputerowych połączonych dzięki Storm Worm, koniowi trojańskiemu, który rozpowszechnił się poprzez spam e-mailowy. Inne źródła umiejscawiają oszacowaną liczbę pomiędzy 250 tys. a 1 mln systemów. Pewien specjalista od bezpieczeństwa sieciowego twierdzący, iż stworzył oprogramowanie, które może poruszać się pomiędzy zainfekowanymi komputerami mówi, że zainfekowanych komputerów jest jedynie 160 tys..

Na podstawie danych z września 2007 roku stwierdzono, iż Storm botnet ma możliwość odcięcia od internetu całego kraju i posiada potencjalną możliwość wykonywania większej liczby obliczeń na sekundę, niż najlepsze superkomputery. Jednak nie jest to trafne porównanie; według specjalisty od bezpieczeństwa sieciowego Jamesa Turnera, podobnie można porównać "armię snajperów i broń jądrową". Bradley Anstis, pracownik brytyjskiej firmy Marshall, stwierdził, iż: "Bardziej niepokojąca jest możliwość obciążenia internetu. Wystarczy pomnożyć możliwość ADSL razy 40 milionów. To bardzo duży transfer. Jest to bardzo niepokojące. Mając takie zasoby w zasięgu ręki, można wykonać dystrybuowane ataki typu DoS przeciwko hostom".

22 kwietnia 2009 świat obiegła informacja jaką podała firma Finjan, która od miesięcy obserwuje Storm botnet składający się z 1,9 miliona przejętych komputerów.

Początki

Po raz pierwszy wykryty w styczniu 2007 roku, jego nazwa pochodzi od angielskiego wyrazu storm oznaczającego burzę, nawiązując do pierwszych e-maili rozpowszechniających robaka, których tytułem było "230 dead as storm batters Europe" (pol. 230 zabitych podczas burzy w Europie). Później korzystano z innych prowokujących tytułów jak "Amerykański samolot zestrzelony przez chińską rakietę" czy "Saddam Husajn żyje!". Po uruchomieniu załącznika dołączonego do e-maila, komputer zostaje zainfekowany robakiem Storm Worm. Jedynym systemem, który może zostać zainfekowany robakiem jest system Microsoft Windows.

Dziennikarz komputerowy Mark Stephens, piszący pod pseudonimem Robert X. Cringely twierdzi, iż główna wina istnienia Storm Botnet obciąża Microsoft i Adobe Systems. Pisze: "Jednym ze sprawców muszą być twórcy Flash, IE, Outlook i P-Point. Nadal płacimy za lata, w których Adobe i Microsoft beztrosko ignorowali luki bezpieczeństwa, choć wydaje się, iż teraz starają się już bardziej". Według Patricka Runalda Storm, "botnet jest mocno skoncentrowany na Ameryce i prawdopodobnie ma swoich agentów na terenie" Stanów Zjednoczonych. Inni eksperci twierdzą jednak, iż osoby kontrolujące ten botnet są Rosjanami, cytując, iż oprogramowanie Storm posiada nienawistne odniesienia do moskiewskiej firmy komputerowej Kaspersky Lab i zawiera rosyjski wyraz "buldozhka" oznaczający buldoga.

Struktura

Storm botnet (lub "sieć zombie") składa się z komputerów z zainstalowanym systemem operacyjnym Microsoft Windows, jako że jest to jedyny system podatny na robaka Storm Worm. Po infekcji komputer staje się botem i zaczyna wykonywać automatyczne zadania – od pobierania danych o użytkowniku po atakowanie stron internetowych i wysyłanie zainfekowanych e-maili bez wiedzy użytkownika. Oszacowana liczba komputerów zajmująca się rozsyłaniem złośliwego oprogramowania Storm poprzez załączniki w wiadomościach to liczba pomiędzy 5 a 6 tys.; w samym wrześniu 2007 roku wysłanych zostało ponad 1,2 mld zainfekowanych wiadomości, z rekordowym wynikiem 57 mln wysłanych 22 sierpnia. Lawrance Baldist, specjalista komputerowy stwierdził, iż "summa summarum Storm rozsyła miliardy wiadomości dziennie. Z łatwością może podwoić tę liczbę". Jedną z metod do przyciągania ofiar do spreparowanych stron internetowych jest reklamowanie serwisów oferujących darmową muzykę takich artystów, jak Beyoncé Knowles, Kelly Clarkson, Rihanna, The Eagles, Foo Fighters, R. Kelly czy Velvet Revolver.

Serwery back-end kontrolujące działanie botnetu i Storm worma automatycznie szyfrują swoje oprogramowanie infekujące dwukrotnie w ciągu godziny, co sprawia, iż jest ono trudne do wykrycia przez programy antywirusowe i utrudnia zmniejszenie rozpowszechniania się robaka. Dodatkowo, serwery, które kontrolują botnet, są schowane za permanentnie zmieniającym się DNS, stosując technikę nazywaną "fast flux", przez co trudno zlokalizować serwery www i poczty dystrybuujące wirusa. Operatorzy Storma kontrolują botnet korzystając z technik peer-to-peer, co utrudnia monitorowanie i blokowanie systemu. Nie istnieje jedno, centralne miejsce zarządzające systemem, które można by było zablokować. Storm dodatkowo korzysta z szyfrowanego połączenia. Próby zainfekowania komputerów głównie rozchodzą się wokół przekonania użytkownika do uruchomienia załącznika w e-mailu, korzystając z chwytów socjotechnicznych. Przykładowo, kontrolerzy botnetu wykorzystali rozpoczęcie rozgrywek ligi NFL, największej zawodowej ligi futbolu amerykańskiego, rozsyłając programy "oferujące" programy do analizy wyników meczów, które nie robiły nic poza infekcją komputera. Według Matta Sergeanta, głównego specjalisty od technologii anty-spamowych w firmie MessageLabs, "Jeśli chodzi o moc, botnet ten kompletnie przewyższa superkomputery. Jeśli zsumujesz 500 najlepszych superkomputerów i tak przewyższy je jedynie swoimi 2 milionami komputerów. Jest to przerażające, iż kryminaliści mają dostęp do takiej mocy, a my nie możemy zbyt dużo w tej sprawie zrobić". Szacuje się, iż na razie używane jest zaledwie 10%-20% całkowitej mocy Storma.

Specjalista od bezpieczeństwa sieciowego Joe Stewart opisał szczegółowo proces, w jakim maszyny dołączają do botnetu: próby połączenia z botnetem są wykonywane poprzez uruchamianie serii plików EXE znajdujących się w danym systemie. Zazwyczaj nazywane są jak ciąg od game0.exe do game5.exe lub podobnie, i wykonują następujące czynności:

1. game0.exe - Backdoor/"ściągacz"
2. game1.exe - Przekaźnik SMTP
3. game2.exe - Złodziej adresów e-mail
4. game3.exe - "Rozprzestrzeniacz" zainfekowanych e-maili
5. game4.exe - Narzędzie do ataków typu DoS
6. game5.exe - Zaktualizowana kopia "umiejscawiacza" robaka Storm

Przy każdym etapie następuje połączenie z botnetem; fast flux DNS utrudnia śledzenie tego procesu. Kod ten uruchamiany jest z %windir%\system32\wincom32.sys na systemie Windows poprzez rootkit kernela, a wszystkie połączenia do botnetu wykonywane są poprzez zmodyfikowany protokół eDonkey/Overnet.