Praeguseks on Internetist maha võetud botnetvõrgustikud Srizbi ja Rustock. Mõlemad spämmivad botnetid kuulusid USA veebihostingufirma McColo võrku. Internetis on aktiivsed veel üksikud mahukad botnetvõrgustikud – Pushdo/Cutwail (nt. Troj/Pushdo-Gen/, Troj/Exchan-Gen jt) ja Bobax/Kraken (nt. W32/Bobax jt).
Marshal TRACE teenuse analüüsidest võib järeldada, et endiseid Srizbi ja Rustocki botnette asendab nüüd Pushdo. Viimane klassifitseerub allalaadivaks troojalaseks. Näiteks levib see arvutitroojalane Windowsi operatsioonisüsteemi kasutavates arvutites kas e-posti (nt. e-kaardid) teel või nakatutakse pahatahtlikke kodulehekülgi külastades.
Cutwail (nt. Win32/Cutwail) on aga troojalane, mis nakatunud Windowsiga arvutis käivitab spämmiboti. Arvuti ise võtab perioodiliselt ühendust Pushdo/Cutwail botneti kontrollserveritega. Cutwail-botnetis on 125 000 arvutit, mis suudavad päevas väljastada kuni 16 miljardit ühikut spämmi.
Pushdo/Cutwail botneti tsentraalhaldus on tarkvaraliselt töökindel ja arukalt modifitseeritud.
Pushdo troojalasega nakatatud arvutist saadetakse Pushdo kontrollserverile nakatatud arvuti andmed: Internet Exploreri versioon, IP aadress, kasutaja profiiliõigused, arvuti kõvaketta seerianumber, failisüsteemi tüüp (NTFS, FAT32), Pushdo troojalase enda käivituste arv ja Windowsi operatsioonisüsteemi versioon (Windows98/Windows2000/WindowsXP/WindowsVista).
Pushdo/Cutwail botneti kontrollservereid saab hallata läbi veebipõhise administratiivliidese ning sisestada sealtkaudu ka käske: ‘STAT’ (serveri staatus), ‘TRCK’ (statistikalogi dump), ‘CARG’ (pahavara andmebaasi uuendus), ‘FLTR’ (whitelist/blacklist filtri andmebaasi uuendus), ‘FINA’ (sessiooni lõpetamine).
Pushdo/Cutwail botneti kontrollserverid kasutavad ka GeoIP geolokatsiooni andmebaase, et kaardistada nakatatud arvutite paiknemist asukohamaade kaupa. Selline funktsioon annab näiteks botneti haldajale võimaluse teostada pahavara- ja spämmi rünnakuid konkreetsete riikide ning mandrite piires. Secureworks’i andmetel on Pushdo troojalase tundmatu looja oma programmeerimise algkoodis ja -käsustikus rohkem “kodus” Unixi süsteemis kui Windowsi platvormil. Pushdo kohta võib detailsemalt lugeda siit.
Bobax/Kraken botneti pahavara aga leiab oma tee Windows arvutikasutajani läbi JPEG ja PNG pildiformaatide. Algselt paistab selline fotofail Internetis või e-postkastis täiesti tavalisena, kuid tegelikult on selle failinimes sees varjatud laiend (nt. .exe jt), mis käivitabki arvutis pahavara.
Nakatatud arvutis toimub andmevahetus Bobax/Kraken botnetiga läbi tcp pordi 447. Paljud ISP-d, asutused ja firmad blokeerivad oma tulemüürides ära võrguliikluse tcp pordile 447. Võrguadministraatoritel on tavaks ütelda, et 447 tcp pordilt ei liigu andmete näol arvutikasutajateni mitte midagi “head” ega “tervislikku”.
Bobax/Krakeni spämmibotnetti kuulub hinnanguliselt üle 400 000 nakatunud arvuti (zombi), mis suudavad päevas välja saata 9 miljardit ühikut spämmi. Krakeni botneti kohta saab põhjalikumalt lugeda siit.
Surfame oma arvutitega Internetis ja laeme alla piiramatus koguses tundmatut tarkvara. Kui me seda kõike tehes ei kasuta ettevaatusabinõusid, näiteks korralikult paigatud operatsioonisüsteemi ja viirusetõrjet, siis varem või hiljem komistame Internetis pahavara otsa. Mis omakorda võib meid teha botneti liikmeks.
Kas sina oleksid nõus, et võhivõõras pätt sinu isiklikku arvutit kasutades tasuta sellega raha teenib? 🙂