एक सप्ताह बाद b54

एक सप्ताह से अधिक समय पहले, Microsoft ने ऑपरेशन b54 की शुरुआत की घोषणा की, जिसका उद्देश्य दुर्भावनापूर्ण कोड Citadel का उपयोग करके निर्मित बोटनेट को अक्षम करना है। ऑपरेशन का मुख्य उद्देश्य घुसपैठियों द्वारा इन बॉटनेट से पैसा निकालने के लिए स्थापित योजना को नष्ट करना है। इसके अलावा, इसमें दुर्भावनापूर्ण बॉट कोड से आईएसपी के साथ मिलकर कंप्यूटर को साफ करने की क्रियाएं शामिल हैं।

इस ऑपरेशन के भाग के रूप में, Microsoft ने जॉन डो (प्रतिवादियों जिनकी सटीक पहचान अभी तक स्थापित नहीं हुई है) के खिलाफ सार्वजनिक रूप से उपलब्ध नागरिक मुकदमों को उपलब्ध कराया। दस्तावेजों में से एक में निर्देश हैं जिनके अनुसार यह ऑपरेशन आगे बढ़ना चाहिए। इसका सार विभिन्न बॉटनेट्स के नियंत्रण सर्वरों के कुल निराकरण के लिए नीचे नहीं आता है (गढ़ आपको बिल्डर को इस तरह से कॉन्फ़िगर करने की अनुमति देता है कि क्रिमवेयर टूलकिट का प्रत्येक उपयोगकर्ता इस बिल्डर से बनाए गए बॉट से अपना बॉटनेट प्राप्त करता है), लेकिन बॉटनेट को फिर से चालू करने के लिए ताकि यह न हो हमलावरों को पहले से संक्रमित प्रणाली पर नियंत्रण हासिल करने की अनुमति दी। इस तरह की स्कीम को इन डोमेन के रजिस्ट्रार से सिटाडल बॉट (C & C) द्वारा एक्सेस किए गए डोमेन के बारे में संपर्क जानकारी के पुनर्लेखन के हिस्से का उपयोग करके प्राप्त किया जाता है।

सभी पंजीकृत गढ़ डोमेन ( परिशिष्ट A में सूचीबद्ध) के लिए, रजिस्ट्रार को निम्नलिखित क्रियाएं करनी चाहिए:

• डोमेन मालिकों के बारे में WHOIS संपर्क जानकारी को अपरिवर्तित छोड़ दें;
• डोमेन को अपनी गतिविधियों को समाप्त किए बिना काम करना चाहिए;
• इन डोमेन के लिए DNS सर्वर पते निम्नलिखित के लिए फिर से लिखे जाने चाहिए: NS5.microsoftinternetsafety.net और NS6.microsoftinternetsafety.net।

इनमें से किसी एक डोमेन से मिली जानकारी का उदाहरण नीचे दिए गए चित्र में दिखाया गया है (whois.domaintools.com सेवा का उपयोग करके प्राप्त जानकारी)।



अन्य सभी सिटाडेल डोमेन के लिए, अर्थात् वे जो परिशिष्ट A में पंजीकृत नहीं हैं, कार्रवाई करें:

• ऐसे डोमेन को Microsoft में स्थानांतरित करें ताकि कंपनी के पास उन्हें प्रशासित करने का अधिकार हो;
• Microsoft द्वारा निर्दिष्ट ऐसे डोमेन में संपर्क जानकारी बदलें;
• डोमेन को अपनी गतिविधियों को समाप्त किए बिना काम करना चाहिए;
• इन डोमेन के लिए DNS सर्वर पते निम्नलिखित के लिए फिर से लिखे जाने चाहिए: NS5.microsoftinternetsafety.net और NS6.microsoftinternetsafety.net।

इन डोमेन के लिए, WHOIS जानकारी इस तरह दिखाई देगी:

डोमेन व्यवस्थापक
Microsoft निगम
एक Microsoft मार्ग
रेडमंड, WA 98052
संयुक्त राज्य
फोन: +1.4258828080
प्रतिकृति: +1.4259367329
domains@microsoft.com
सर्वर: NS5.microsoftinternetsafety.net, NS6.microsoftinternetsafety.net

बुरी खबर यह है कि एक निश्चित संख्या में Citadel डोमेन का उपयोग सुरक्षा फर्मों और पुनर्विक्रेताओं द्वारा Citadel botnets (सिंकहोल) गतिविधि को रिकॉर्ड करने के लिए किया जाता है। उन्होंने विशेष रूप से इन डोमेन को बनाया और एक बॉटनेट के काम के आंकड़े प्राप्त करने के लिए उन्हें खुद पर पंजीकृत किया। ऐसे डोमेन के संपर्क विवरण को न देखते हुए, कंपनी ने उन्हें अपने आप में फिर से पंजीकृत किया, जिसके कारण अन्य कंपनियों के बॉटनेट ट्रैकिंग सिस्टम में व्यवधान आया ।


उनके डोमेन के इस व्यवहार को देखने वाले पहले ज़्यूसट्रैकर के निर्माता रोमन ह्युसी थे। उन्होंने इस तथ्य पर ध्यान आकर्षित किया कि बॉटनेट सिंक्रोनाइज़ेशन के लिए अभिप्रेत डोमेन पते अब 199.2.137.0/24 में Microsoft सर्वर की ओर इशारा करते हैं। यह स्पष्ट है कि उनके डोमेन को कंपनी की संपत्ति बनने का भाग्य भुगतना पड़ा। इसके परिणामस्वरूप, Microsoft ने 300 के बारे में दुर्व्यवहारों को अक्षम कर दिया था। बोटनेट गतिविधि को और अधिक मॉनिटर करना मुश्किल बना दिया। विशेषज्ञों के अनुसार, कंपनी द्वारा जब्त किए गए 4,000 डोमेन में से लगभग 1,000 को विशेष रूप से सिंकहोल ऑपरेशन के लिए बनाया गया था और इससे उपयोगकर्ताओं को कोई खतरा नहीं था ।

कंपनी द्वारा डोमेन हासिल करने के बाद, बॉट्स के लिए एक विशेष कॉन्फ़िगरेशन फ़ाइल "शुरू" करने का चरण शुरू हुआ (कंप्यूटर सिटर्ड कोड से संक्रमित)। तथ्य यह है कि एक विन्यास फ़ाइल और बाद के निर्देशों को प्राप्त करने के लिए गढ़ बॉट अपने डोमेन से पूछताछ करते हैं। Microsoft द्वारा बनाई गई एक फ़ाइल AV संसाधनों को अनलॉक करने के लिए बॉट को निर्देश देती है, जो नेटवर्क पर एंटीवायरस वितरण तक पहुंच प्राप्त करने के लिए Citadel से संक्रमित उपयोगकर्ताओं को अनुमति देगा। इसके अलावा, यह कॉन्फ़िगरेशन फ़ाइल C & C के साथ संचार के लिए मुख्य सर्वर के रूप में Microsoft सर्वर को नियंत्रित करती है, यानी बॉट अब अन्य सर्वरों को प्रदूषित नहीं करेगा, लेकिन हमेशा इसे केवल कनेक्ट करेगा।



कुछ दिनों बाद, यह नोट किया गया कि अब बॉट्स के लिए कंपनी द्वारा बनाई गई कॉन्फ़िगरेशन फ़ाइल में facebook.com और लोकलहोस्ट को भी Microsoft सर्वर को संबोधित उपयोगकर्ता अनुरोधों को पुनर्निर्देशित करना शामिल है। एक संक्रमित कंप्यूटर पर fb आने पर, उपयोगकर्ता को Microsoft से चेतावनी पृष्ठ पर पुनः निर्देशित किया जाएगा।