«Лаборатория Касперского» совместно с CrowdStrike Intelligence Team, Honeynet Project и Dell SecureWorks провела операции по отключению второго ботнета Hlux (также известного как Kelihos). За шесть дней эксперты обезвредили бот-сеть, в состав которой входило более 116 000 зараженных компьютеров.
«Лаборатория Касперского» во второй раз вступает в схватку с модификацией ботнета Hlux/Kelihos. В сентябре 2011 года совместно с отделом компании Misrosoft по борьбе с киберпреступностью и компаниями Surf Net и Kyrus Tech, Inc был успешно отключен первый ботнет Hlux/Kelihos, в состав которого входили 40 000 хостов. В тот раз была проведена операция по внедрению sinkhole-маршрутизатора, в ходе которой ботнет и его резервная инфраструктура были отключены от командного сервера.
Несмотря на нейтрализацию первого ботнета и установление контроля над ним, эксперты обнаружили следы функционирования второго активного ботнета Hlux/Kelihos. Вредоносная программа для него была написана с использованием того же кода, что и в первом Hlux/Kelihos, однако новый бот, помимо традиционных функций рассылки спама и проведения DDoS-атак, обладал рядом дополнительных.
В течение недели «Лаборатория Касперского», команда CrowdStrike Intelligence, Honeynet Project и Dell SecureWorks проводили операцию по внедрению sinkhole-маршрутизатора, в ходе которой ботнет был успешно обезврежен. В отличие от традиционных ботнетов, которые для управления сетью используют один командный сервер (C&C), Hlux/Kelihos имеет пиринговую архитектуру, которая подразумевает, что каждый компьютер может выступать в качестве как сервера, так и клиента. Для нейтрализации подобной схемы группой экспертов по безопасности была создана глобальная распределенная сеть, состоящая из компьютеров, которые были внедрены в инфраструктуру ботнета. Вскоре эта сеть стала настолько масштабной, что «Лаборатория Касперского» смогла нейтрализовать действие ботов, предотвратив возможность получения ими вредоносных команд.
Так как большая часть компьютеров, входящих в ботнет, соединена с маршрутизатором, эксперты имеют возможность отслеживать количество и географическое положение зараженных машин. На сегодня речь идет о 116 000 зараженных системах. Большинство IP-адресов расположены в Польше и США.
Полный анализ проведенной операции содержится в блог-посте, опубликованном на www.securelist.com/ru/blog.
«Лаборатория Касперского» выражает признательность CrowdStrike Intelligence Team, Honeynet Project и Dell SecureWorks за сотрудничество в ходе проведения операции.
***
Информационная служба «Лаборатории Касперского»