बॉटनेट कैसे बंद करें

हाल ही में, रननेट में बॉटनेट्स के बारे में बहुत कुछ कहा गया है। यह मुख्य रूप से ज्ञात और दौरा किए गए संसाधनों पर DDoS के हमलों के कारण है। नीचे हम इस संकट के खिलाफ लड़ाई में बड़ी कंपनियों के अनुभव पर चर्चा करते हैं।

बॉटनेट क्या है?

एक बोटनेट दुर्भावनापूर्ण कोड से संक्रमित प्रणालियों का एक संग्रह है और केंद्र में प्रबंधित किया जाता है। इसके अलावा, इसे इस तरह से व्यवस्थित किया जाता है कि पर्याप्त रूप से बड़ी संख्या में नोड्स का विनाश या शटडाउन एक पूरे के रूप में इसके प्रदर्शन को प्रभावित न करे। बोटनेट का उपयोग ऐसे उद्देश्यों के लिए किया जा सकता है जैसे स्पैमिंग, फ़िशिंग, डीडीओएस, अन्य प्रणालियों पर हमले, नए पीसी को संक्रमित करना और उन्हें बोटनेट नोड्स में बदलना। यह ध्यान देने योग्य है कि वर्तमान में, साइबर अपराध उद्योग विशेष रूप से अपराधों के विशेषज्ञता और फोकस से काफी मजबूत है। इसका मतलब है कि हर कोई अपनी बात कर रहा है। परिणामस्वरूप, बॉटनेट के निर्माता कुछ प्रकार के अपराधों में विशेषज्ञता वाले अन्य साइबर अपराधियों को बॉटनेट के संसाधनों या सेवाओं को बेचते हैं (आप चित्रण में एक विशिष्ट व्यवसाय संरचना देख सकते हैं)। यह ध्यान देने योग्य है कि बॉटनेट नियंत्रण इंटरफ़ेस काफी सरल है। बहुत कम योग्यता वाला व्यक्ति भी इसे संभाल सकता है। क्लाउड ट्रेंड के अनुसार, हाल ही में सेवा के रूप में मालवेयर सेवा शुरू की। यदि कोई अपना दुर्भावनापूर्ण कोड बना और वितरित नहीं कर सकता है, तो हमेशा एक प्रदाता होगा जो एक निश्चित मूल्य के लिए ऐसा कर सकता है। हालाँकि, आज बॉटनेट बनाना भी कोई बड़ी बात नहीं है। बाजार पर कई तैयार किए गए बोटनेट किट हैं, जैसे कि ज़बॉट (ज़ीउस), स्पाईपी, मारिपोसा, ब्लैक एनर्जी, बटरफली, रेप्टाइल। इसका मतलब यह है कि आधुनिक बॉटनेट मालिकों के पास कोई विशेष तकनीकी कौशल भी नहीं हो सकता है। हालांकि, अगर हम बड़े बॉटनेट्स की बात करें, तो उनके निर्माता निश्चित रूप से सक्षम, प्रतिभाशाली लोग हैं, जिनसे निपटना काफी मुश्किल है। इस सामग्री के हिस्से के रूप में, मैं उन प्रथाओं के बारे में बात करना चाहूंगा जो बड़ी कंपनियों द्वारा साइबर अपराध का मुकाबला करने के लिए उपयोग की जाती हैं और विशेष रूप से, बोटनेट। यह, विशेष रूप से, Microsoft की गतिविधि पर ध्यान केंद्रित करेगा, जिसमें मैं काम करता हूं।

मानक बोटनेट प्रबंधन दृष्टिकोण

Microsoft बनाम botnet

शायद यह किसी को मुस्कुराएगा, लेकिन पिछले कुछ वर्षों में Microsoft में उत्पादों और सेवाओं की सुरक्षा में सुधार के लिए गंभीर काम हुए हैं। सुरक्षित एसडीएल कोड विकसित करने के तरीके प्रकट हुए और लागू किए जाने लगे, जिसने हाल ही में खोजी गई कमजोरियों की संख्या को विशेष रूप से प्रभावित किया (विशेष रूप से उन जिसका शोषण किया जा सकता था)। लेकिन आज हम निवारक उपायों के बारे में बात नहीं करेंगे जो भविष्य के खतरों को रोक सकते हैं, लेकिन उन समस्याओं का मुकाबला करने के बारे में जो आज प्रासंगिक हैं। विंडोज ऑपरेटिंग सिस्टम के तहत चलने वाली बड़ी संख्या में संक्रमित मशीनें ऐसी ही एक समस्या है।
कंपनी के भीतर कई साइबर अपराध प्रभाग बनाए गए हैं। उत्तरार्द्ध के अलग-अलग नाम हैं - डिजिटल क्राइम यूनिट, माइक्रोसॉफ्ट सिक्योरिटी रिस्पांस सेंटर, ट्रस्ट ऑफ कंप्यूटिंग, - लेकिन हर किसी के कार्य साइबर क्राइम की समस्या से किसी न किसी तरह प्रभावित होते हैं। कानून प्रवर्तन और अनुसंधान संगठनों के साथ मिलकर, Microsoft ने सबसे बड़े बॉटनेट्स को नष्ट करने के लिए ऑपरेशन शुरू किया। जोर से लगता है? शायद, लेकिन एक वर्ष में बॉटनेट जैसे:

• रस्टॉक, जिसने दुनिया का 80% स्पैम भेजा।
• कोरफ्लड, जो अपराधों के लिए एक उपकरण के रूप में कार्य करता था जो घाटे में $ 100 मिलियन से अधिक लाया।
• वेलेडैक, जिसके बॉट्स रोजाना 1.5 बिलियन स्पैम मैसेज भेजते थे।

बॉटनेट्स का संयोजन: सामान्य अभ्यास

किसी बोटनेट को नष्ट करने के विशिष्ट तरीकों को समझने के लिए, आपको इसकी वास्तुकला और कमजोरियों को समझने की आवश्यकता है। अधिकांश बार, एक या एक से अधिक कमांड (अक्सर केंद्रीय) कमांड और कंट्रोल या सीएंडसी नामक सर्वर का उपयोग बॉटनेट को नियंत्रित करने के लिए किया जाता है। वे अलग-अलग प्रोटोकॉल का उपयोग करके बोटनेट के अंत नोड्स के साथ बातचीत करते हैं। सबसे अधिक इस्तेमाल किया जाने वाला नियंत्रण प्रोटोकॉल आईआरसी है। हालांकि, हाल के वर्षों में, पी 2 पी प्रोटोकॉल का उपयोग अधिक स्थिर, यद्यपि तकनीकी रूप से परिष्कृत, वैकल्पिक रूप से तेजी से बढ़ा है। हाल ही में, एक दिलचस्प विदेशी बॉटनेट नियंत्रण और फेसबुक पर प्रकाशित तस्वीरों के शरीर में नियंत्रण आदेशों के हस्तांतरण के लिए फ़ाइल-साझाकरण नेटवर्क का उपयोग किया गया है। एक या दूसरा तरीका, बॉटनेट का मुकाबला करने के लिए, आप कई विशिष्ट कार्य कर सकते हैं:

• C & C नोड्स को कैप्चर या अक्षम करें।
• सी एंड सी नोड्स पर DDoS।
• प्रदाता को शिकायतें जहां सी एंड सी नोड्स की मेजबानी की जाती है।
• C & C द्वारा उपयोग किए गए DNS नामों को कैप्चर करना।
• आईपी ​​ब्लॉकिंग
• बोटनेट मालिक की गिरफ्तारी।
• मुकदमा।

दुर्भाग्य से, ये सभी तरीके प्रभावी नहीं हैं, और कुछ पूरी तरह से अवैध हैं। इस बीच, हम उनमें से कुछ को लागू करने में सफल रहे। इसलिए, रस्टॉक और कोरफ्लड बॉटनेट्स काफी तुच्छ रूप से नष्ट हो गए। कानून प्रवर्तन एजेंसियों (एक प्रारंभिक अदालत के फैसले के अनुसार) द्वारा सी एंड सी-सर्वर को जब्त करके ऐसा करना संभव था, जिसके बाद मैलवेयर को हटाने की कमान बॉटनेट में शामिल सभी संक्रमित मशीनों को प्रदान की गई थी, जो बॉटनेट डेवलपर द्वारा प्रदान की गई थी। एक और बोटनेट - वाल्डैक - को बंद करने का काम और भी दिलचस्प हो गया, और मैं इस बिंदु पर अधिक विस्तार से ध्यान देना चाहूंगा।

Waledac स्तरित प्रबंधन वास्तुकला

वेलेडैक: डिवाइस

वेलेडैक के साथ चुनौती विकेन्द्रीकृत बोटनेट योजना थी। उनके काम के लिए, 277 से कम डोमेन नाम आरक्षित नहीं थे। इसका मतलब है कि आपको अलग-अलग होस्टिंग प्रदाताओं से कई डेटा केंद्रों में एक ही समय में सर्वर पर कब्जा करना था। इसके अलावा, बोटनेट को नियंत्रित करने के लिए एक पी 2 पी तंत्र का सफलतापूर्वक उपयोग किया गया था। यदि आप बॉटनेट आरेख को देखते हैं, तो बहुस्तरीय प्रबंधन सर्वर तुरंत स्पष्ट होते हैं। वेलेडैक का उपयोग करके संक्रमण प्रक्रिया के दौरान, दुर्भावनापूर्ण कोड निर्धारित करता है कि नया नोड क्या भूमिका निभाएगा। यह नैट के पीछे होने पर स्पैम भेजने वाला या तो एक सरल नोड बन जाता है और आने वाले कनेक्शनों को पोर्ट 80 पर स्वीकार नहीं करता है, या एक नोड जो केंद्र से आदेशों को दोहराता है (रिले करता है) - एक प्रकार का पुनरावर्तक। बॉटनेट को नियंत्रित करने के लिए रिपीटर्स का उपयोग किया जाता है। प्रत्येक पुनरावर्तक, स्पैमर्स को नियंत्रण आदेश प्रसारित करने के अलावा, "पड़ोसी" की एक सूची भी रखता है जिसमें 100 नोड्स होते हैं जो रिले के रूप में भी कार्य करते हैं, जिससे यह पी 2 पी प्रोटोकॉल के माध्यम से जुड़ सकता है। समय के साथ, कोई भी पुनरावर्तक नोड तेजी से प्रवाह DNS में अपने डोमेन नाम को पंजीकृत करता है। यह स्पैमर को स्वयं से संपर्क करने की अनुमति देने के लिए किया जाता है यदि निकटतम पुनरावर्तक अचानक विफल हो जाता है और दुर्गम हो जाता है। इस प्रकार, बोटनेट नोड्स हमेशा निकटतम रिले नोड पा सकते हैं और इसे से निष्पादन योग्य कोड के कमांड और अपडेट प्राप्त कर सकते हैं। एक बोटनेट को डिज़ाइन किया गया है ताकि समय के साथ, नोड्स की भूमिकाएं बदल सकें। यदि एक उदाहरण के लिए पुनरावर्तक के रूप में उपयोग की जाने वाली प्रणाली, कॉर्पोरेट नेटवर्क में प्रवेश करती है और 80 वें पोर्ट पर कनेक्शन स्वीकार करने में असमर्थ है, तो यह स्वचालित रूप से एक स्पैमर की भूमिका प्राप्त करता है। उसी समय, बॉटनेट टोपोलॉजी का विश्लेषण करना इतना आसान नहीं है, क्योंकि पुनरावर्तक का एक और लक्ष्य बॉटनेट टोपोलॉजी के अध्ययन का मुकाबला करना है। यह एक तरह की प्रॉक्सी का काम करता है और स्‍पैमर्स को C & C कंट्रोल नोड्स के बारे में कुछ भी जानने की अनुमति नहीं देता है।

प्रत्येक पुनरावर्तक पड़ोसियों की सूची रखता है

वालिदैक: विनाश

बॉटनेट की वास्तुकला का विश्लेषण करने के बाद, हमने निम्नलिखित विशिष्ट चरणों के साथ बॉटनेट पर हमला करने की योजना पर काम किया:

1. प्रबंधन टीमों के आदान-प्रदान के लिए सहकर्मी से सहकर्मी तंत्र का उल्लंघन।
2. DNS / HTTP आदेशों के आदान-प्रदान का उल्लंघन।
3. सी और सी-सर्वर की ऊपरी दो परतों का उल्लंघन।

पहला कदम पी 2 पी तंत्र को बाधित करना था। इस तथ्य के कारण कि बॉटनेट के अंदर निकटतम रिले को खोजने का कार्य अस्थिर था, यह संभव था कि काम करने वाले पड़ोसी पुनरावर्तक को खोजने के लिए नोड को अपनी "पड़ोसियों" की सूची में 20 पते तक जाना था। इसके लिए धन्यवाद, हम नकली रिपीटर्स बनाने में सक्षम थे, उन्हें बॉटनेट में शामिल किया और रिपीटर्स की सूची में नकली अपडेट वितरित करना शुरू किया, जिससे पी 2 पी प्रबंधन प्रणाली की कनेक्टिविटी टूट गई। इसने स्पैमर को विशेष रूप से निर्मित Microsoft कमांड सर्वर से कमांड भेजने की अनुमति दी।
यदि पी 2 पी तंत्र निष्क्रिय है, तो बोटनेट नोड्स तेज प्रवाह डीएनएस तंत्र का उपयोग करके एक-दूसरे की खोज करना शुरू करते हैं। इसलिए, इस नियंत्रण विधि को नष्ट करना आवश्यक था, ताकि एक हमलावर बॉटनेट के नियंत्रण को फिर से हासिल न कर सके। यह एक दिलचस्प बिंदु है, क्योंकि यहां हमने कानूनी तंत्र का उपयोग किया है। ICANN के माध्यम से DNS नाम को रद्द करने की विशिष्ट प्रक्रिया "यूनिफ़ॉर्म डोमेन-नेम डिस्प्यूट-रिज़ॉल्यूशन पॉलिसी" डरावना नाम के साथ प्रक्रिया का उपयोग करते हुए काफी समय ले सकती है। यह हमलावरों को यह महसूस करने की अनुमति देगा कि वे उस पर हमला कर रहे थे और नए DNS नामों को पंजीकृत करने के लिए कदम उठा रहे थे, जिन्हें बाद में बॉटनेट नियंत्रण में स्थानांतरित कर दिया जाएगा। इसलिए, मानक ICANN प्रक्रिया के बजाय, हमने "TRO (अस्थायी प्रतिबंध आदेश)" प्रक्रिया का उपयोग किया - यूएस फेडरल कोर्ट के एक फैसले से 28 दिनों के लिए डोमेन को अस्थायी रूप से निलंबित करने की क्षमता। इस स्तर पर, एक और जटिलता यह थी कि DNS नामों का हिस्सा चीन में पंजीकृत था।
हमलावरों के लिए अदालत में माइक्रोसॉफ्ट के साथ प्रतिस्पर्धा करने के लिए, अगर उनके पास बॉटनेट पर अपने अधिकारों का दावा करने की इच्छा है, तो साइट पर दावे का एक बयान प्रकाशित किया गया है। इसके अलावा, उन देशों में राष्ट्रीय समाचार पत्र जहां से संदिग्धों ने बोटनेट को नियंत्रित किया सबपोना के नोटिस प्रकाशित किए। जैसा कि अपेक्षित था, किसी ने अदालत में उपस्थित होने और बॉटनेट को अपने अधिकारों की घोषणा करने की हिम्मत नहीं की। इस प्रकार, संयुक्त राज्य अमेरिका और चीन में माइक्रोसॉफ्ट ने कोर्ट जीता। आप Microsoft वेबसाइट के एक विशेष खंड में बॉटनेट के लिए कानूनी पेचीदगियों और ट्विस्ट और संघर्ष के मोड़ के बारे में अधिक पढ़ सकते हैं।
इन कानूनी कार्रवाइयों के परिणामस्वरूप, Microsoft को DNS के अधिकार पास हुए। DNS नाम वर्तमान में Microsoft सर्वर से जुड़े हैं। यदि एक संक्रमित नोड बॉटनेट से इन सर्वरों से जुड़ा है, तो इसके लिए एक आदेश जारी किया जाता है जो वाल्डैक बॉट से दुर्भावनापूर्ण कोड को हटाने का आदेश देता है।

डोमेन नाम पंजीकरण

Microsoft सर्वर को Waledac से जोड़ना

निष्कर्ष

इस तरह, हम धीरे-धीरे वाल्डैक बॉटनेट के अंतिम अवशेषों के इंटरनेट को साफ करने की उम्मीद करते हैं। भविष्य में साइबर अपराधियों को बॉटनेट बनाने से रोकने के लिए, Microsoft ने सबूतों की जांच करना और इकट्ठा करना जारी रखा है। यह अंत करने के लिए, हमने किसी को $ 250,000 का इनाम देने की पेशकश की, जो रस्टॉक के पीछे आपराधिक समूह की गिरफ्तारी के लिए अनुकूल जानकारी प्रदान करेगा। हमारे अनुभव में, यह दृष्टिकोण काम कर सकता है। अंत में, मैं यह कहना चाहता हूं कि भविष्य में Microsoft साइबर अपराध से सक्रिय रूप से निपटने का इरादा रखता है, इसके लिए उपलब्ध सभी साधनों द्वारा साइबर अपराधियों का पीछा करना।

---

हर किसी की तरह नहीं

यह मान लेना लापरवाह है कि बॉटनेट में केवल विंडोज मशीनें होती हैं। लिनक्स / यूनिक्स पर बॉटनेट्स हैं - Psyb0t, चक नॉरिस, सैकड़ों हजारों उपकरणों के साथ। मूल रूप से, इन बोटनेट्स को घरेलू राउटर, स्विचेस और निम्न मूल्य सीमा के एनएएस से बनाया जाता है। इस तरह के बॉटनेट को नष्ट करना बेहद मुश्किल है, क्योंकि ज्यादातर मामलों में घर के उपयोगकर्ता को लिनक्स का ज्ञान नहीं होता है और डिवाइस के फर्मवेयर को अपडेट करने का कौशल होता है। डिवाइस निर्माता डिवाइस के तेजी से अप्रचलन में रुचि रखता है और अक्सर न केवल कमियों को खत्म करने का इरादा रखता है, बल्कि इसके उत्पादों को केंद्रित करने के लिए भी तंत्र नहीं है। 2009 के एक अध्ययन के अनुसार, किसी भी समय इंटरनेट पर आप पुराने फर्मवेयर और डिफ़ॉल्ट पासवर्ड के साथ कई मिलियन होम डिवाइस पा सकते हैं।

---

हैकर पत्रिका, अक्टूबर (10) 153
एंड्री बेशकोव ( एबेशकोव ) ।

हैकर की सदस्यता लें

• 1 999 पी। पेपर विकल्प के 12 नंबरों के लिए
• 1249 आरयूआर iOS / iPad की वार्षिक सदस्यता के लिए (Android रिलीज़ जल्द ही आ रहा है!)
• एंड्रॉइड पर हैकर