Перейти к содержанию
A.

Botnet Shutdown Success Story: How Kaspersky Lab Disabled the Hlux/Kelihos Botnet

Recommended Posts

A.

Как я и обещал вот в этой теме

http://www.anti-malware.ru/forum/index.php?showtopic=19722

Лаборатория Касперского рассказывает правду о том кто, что и как сделал для закрытия ботнета Hlux.

Kaspersky Lab played a critical role in this botnet takedown initiative, leading the way to reverse-engineer the bot malware, cracking the communication protocol and developing tools to attack the peer-to-peer infrastructure. We worked closely with Microsoft’s Digital Crimes Unit (DCU), sharing the relevant information and providing them with access to our live botnet tracking system.

A key part of this effort is the sinkholing of the botnet. It’s important to understand that the botnet still exists – but it’s being controlled by Kaspersky Lab. In tandem with Microsoft’s move to the U.S. court system to disable the domains, we started to sinkhole the botnet. Right now we have 3,000 hosts connecting to our sinkhole every minute. This post describes the inner workings of the botnet and the work we did to prevent it from further operation.

Дальнейшие технические детали по ссылке:

http://www.securelist.com/en/blog/20819313..._Kelihos_Botnet

P.S. Заодно прошу считать это нашим ответом на упреки некоторых местных, в том что якобы антивирусные компании специально не борятся с киберпреступностью.

Ага.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen

Здорово!

И расставили точки над i.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

A.

Когда будет на русском, чтобы утянуть в бложик?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter
Здорово!

И расставили точки над i.

Еще вычищать компьютеры нужно, это был только первый этап.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen

Невзирая на 2:39, я дошел до раздела What now? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
OlegAndr

Думаю на эти надо компы закачивать MSRT, вроде как утилита MS, меньше будет легальных вопросов чем если туда запузырить что нить от Касперского.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Kaspersky Lab, Kyrus Tech and Microsoft Disable the Hlux/Kelihos Botnet

In their ongoing assault against botnet operators and the hosting companies that allow anonymous domain registrations which facilitate them, Kaspersky Lab, Microsoft and Kyrus Tech have successfully worked together to take out the Kelihos botnet, originally named Hlux by Kaspersky Lab. Kelihos was used for delivering billions of spam messages, stealing personal data, performing DDoS attacks and many other criminal activities, via an estimated 40,000 computers. Microsoft has also taken legal action against 24 individuals in connection with the infrastructure behind the botnet in a civil case that enabled the takedown of the domains being used to command and control the botnet. Microsoft’s legal action included declarations submitted to court to which contributions were made by Kaspersky Lab, and also a direct declaration from Kyrus Tech providing detailed information and evidence regarding the Kelihos botnet.

Kaspersky Lab has played a pivotal role in taking down the botnet, tracking it since the beginning of 2011, when it started collaborating with Microsoft in tackling Kelihos, including sharing its live botnet tracking system with the US company. Kaspersky Lab has also taken care that the botnet cannot be controlled anymore, and continues to make sure that this is the case. Its specialists reversed-engineered the code used in the bot, cracked the communication protocol, discovered the weaknesses in the peer-to-peer infrastructure, and developed the corresponding tools to counteract it. What’s more, since the offending domains used in the botnet have gone offline via court orders Microsoft had secured, Kaspersky Lab has been “sinkholing” the botnet - where one of its computers has gotten inside the botnet’s complex internal communications to bring it under its control.

Acknowledging Kaspersky Lab’s active involvement in taking down the botnet, Richard Boscovich, senior attorney with the Microsoft Digital Crimes Unit, said: "Kaspersky Lab played a key role in this operation by providing us with unique and in-depth insight based upon their technical analysis and understanding of the Kelihos botnet. This contributed to both a successful takedown and as evidence for declarations made about the analysis and structure of the botnet. We are grateful for their support in this matter and their determination to make the Internet safer."

Speaking of the continuing role Kaspersky Lab is playing in controlling Kelihos, Tillmann Werner, senior malware analyst of Kaspersky Lab Germany, said: “Since Kaspersky Lab’s sinkholing operation began on September 26, the botnet has been inoperable. And since the bots are communicating with our machine now, data mining can be conducted to track infections per country, for example. So far, Kaspersky Lab has counted 61,463 infected IP addresses, and is working with the respective ISPs to inform the network owners about the infections.”

Kelihos is a peer-to-peer botnet. It consists of layers of different kinds of nodes: controllers, routers and workers. Controllers are machines presumably operated by the gang behind the botnet. They distribute commands to the bots and supervise the peer-to-peer network's dynamic structure. Routers are infected machines with public IP addresses. They run the bot for sending out spam, collecting email addresses, sniffing out user credentials from the network stream, etc.

Microsoft has announced that its Malware Protection Center has added detection for the Kelihos malware to its Malicious Software Removal Tool. Since this tool is well-distributed the number of infections that have already been cleaned up is significant.

Cooperation between Kaspersky Lab and Microsoft has been ongoing now for some time. Notable recent collaboration includes that on the infamous Stuxnet worm, which hacked industrial control systems like those used in Iran’s nuclear programs.

Kaspersky Lab would like to thank SURFnet for its support in the operation, and especially for providing the perfect infrastructure to run the sinkhole.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Почему взялись именно за Hlux/Kelihos?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Почему взялись именно за Hlux/Kelihos?

cz.cc что нибудь говорит ?

это одна из причин.

Он мощно начал, еще в начале года

http://www.shadowserver.org/wiki/pmwiki.ph...lendar/20101230

Именно тогда, с январе и началась операция по его исследованию.

http://www.securelist.com/en/blog/11114/Ne..._Botnet_Arising

http://www.securelist.com/en/blog/11116/A_...the_HLux_botnet

А когда потом с него повалили и фейк-ав и блокеры (это помимо спама) - ну такой "прекрасный" вирусный супермаркет нельзя было оставить нетронутым. Да и провернуть первый в истории угон P2P-ботнета тоже интересно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
KIS_fan

На русском:

http://www.securelist.com/ru/blog/40767/Ka...et_Hlux_Kelihos

На сайте Microsoft:

https://blogs.technet.com/b/microsoft_blog/...nt-in-case.aspx

Ни слова о ЛК ... почему ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Mr. Justice
На русском:

http://www.securelist.com/ru/blog/40767/Ka...et_Hlux_Kelihos

На сайте Microsoft:

https://blogs.technet.com/b/microsoft_blog/...nt-in-case.aspx

Ни слова о ЛК ... почему ?

Тоже читал материалы от Microsoft, не увидел упоминания ЛК. Странно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Это всего лишь запись в блоге; упоминание о Kaspersky Lab есть в официальных документах, которые были приобщены к делу и появились сразу после публикации новости.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Microsoft заключила внесудебное соглашение с двумя ответчиками по делу о криминальном ботнете Kelihos/Hlux и отказалась от исковых претензий к этим лицам.

Ссылка

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • Booi77Casino
    • Booi77Casino
    • AM_Bot
      Российский разработчик систем информационной безопасности «Гарда Технологии» (входит в «ИКС Холдинг») выпустил пятую версию аппаратно-программного комплекса «Периметр». Комплекс представляет собой решение для защиты от сетевых атак отказа в обслуживании (DDoS-атаки) на сетях оператора связи.    ВведениеНовая функциональность АПК «Периметр» 5.0Обнаружение атак и сокращение времени обнаруженияОбъединение векторов DDoS-атакМногоуровневое подавление DDoS-атакИндивидуальная настройка методов подавления различных векторов атакРабота с трафиком HTTPSВзаимодействие с клиентским устройствомРасширение отчетной информацииПолная поддержка «горячего» резервированияТранзакционная модель изменения конфигурацииОбратное разрешение IP-адресовВыводы ВведениеПятая версия аппаратно-программного комплекса «Периметр» получила обновленные механизмы обнаружения и подавления, позволяющие эффективно реагировать на современные угрозы DDoS-атак. Новая функциональность АПК «Периметр» 5.0:обнаружения DDoS-атак на основе сигнатур;оптимизация механизмов и сокращение времени обнаружения атаки до 20 секунд;объединение векторов, идущих на один защищаемый объект, в рамках одной DDoS-атаки;многоуровневое подавление DDoS-атаки;индивидуальная настройка методов подавления векторов;расшифровка HTTPS-трафика и применение к нему методов фильтрации протокола HTTP;расширение взаимодействия операторского и клиентского устройства;расширение отчётной информации;полная поддержка «горячего» резервирования;транзакционная модель изменения конфигурации;возможность обратного разрешения IP-адресов источников и назначений трафика атаки. Обнаружение атак и сокращение времени обнаруженияВ новой версии обнаружение атак осуществляется на основе сигнатур, создаваемых администратором комплекса. Каждая сигнатура описывает вектор атаки: набор характеристик трафика атаки на специальном языке описания сигнатур.В качестве вектора атаки может быть задан как определенный класс атак, например, TCP flood attack или UDP amplification attack, так и конкретные атаки в пределах одного класса, например, NTP amplification, SSDP amplification или ping flood (ICMP echo-request flood), Smurf/Amplification attack, Common ICMP flood.Администратору комплекса доступно 100 сигнатур, которые могут быть адаптированы с учетом потребностей защищаемых клиентов, а индивидуальная настройка пороговых значений трафика для отдельных векторов атак позволяет уменьшить вероятность ложных обнаружений, учитывая характер трафика защищаемых клиентов.Комплекс позволяет обнаруживать DDoS-атаку при значительном превышении пороговых значений трафика не позднее чем через 20 секунд после поступления информации о трафике атаки. Объединение векторов DDoS-атакОбнаруженные комплексом векторы атак, направленные на один узел сети (или одну группу узлов сети при работе детектора в режиме объединения трафика хостов), могут быть объединены в рамках одной атаки. Информация как по трафику атакуемого узла (группы узлов), так и по выявленным векторам атак отображается на одном экране, что позволяет определить характеристики трафика, которые вносят наибольший вклад в трафик атаки, в том числе и по отдельным векторам атак. Эта информация позволяет оптимально подавлять атаки, минимизируя влияние на трафик легитимных пользователей. Рисунок 1. Объединение векторов DDoS-атак  Многоуровневое подавление DDoS-атакДля подавления атак используется система фильтрации комплекса и возможности маршрутизирующего оборудования (BGP FlowSpec и Blackhole). Новая версия позволяет использовать эти инструменты совместно как в ручном, так и в автоматическом режимах. Это дает возможность организовать многоуровневую защиту клиента: при различных уровнях опасности атаки будут использоваться различные инструменты подавления.Например, атаки на защищаемый ресурс, не превышающие 10 Гбит/с, фильтруются на системе очистки. При увеличении объема атаки до 20 Гбит/с, фильтрация выполняется с применением инструмента BGP FlowSpec. При увеличении объема атаки свыше 80 Гбит/с, применяется инструмент Blackhole. Индивидуальная настройка методов подавления различных векторов атакВ новой версии расширены возможности автоматического противодействия DDoS-атакам. Доступен выбор способов индивидуальной фильтрации для каждой сигнатуры (вектора) атаки. При обнаружении вектора будут включаться только те методы, которые эффективны при его подавлении.Например, если атака начинается с вектора TCP SYN flood, то при фильтрации комплекс задействует настроенные для этого вектора атаки методы (например, метод syn-cookie). При развитии атаки и появлении дополнительного вектора NTP-amplification комплекс добавит к фильтрации методы по этому вектору (например, фильтрация по протоколу и порту источника на системе фильтрации или правила BGP-Flowspec). При завершении вектора атаки, методы по нему будут выключены.В случае необходимости, пользователь может вмешаться в процесс автоматической фильтрации и внести дополнительные изменения.Данные механизмы позволяют выполнять фильтрацию, которая гибко адаптируется под развитие DDoS-атаки. Работа с трафиком HTTPSАПК «Периметр»  позволяет эффективно защищать web-серверы как от объемных DDoS-атак, направленных на исчерпание полосы пропускания каналов связи или ресурсов сетевого оборудования, так и от атак уровня приложений, направленных на ресурсы самого web-сервера, в том числе и от медленных атак. Поскольку подавляющее большинство web-серверов использует в качестве протокола взаимодействия с клиентом HTTPS, в новой версии реализован механизм расшифровки HTTPS-трафика. Это позволяет применять методы анализа и фильтрации протокола HTTP к расшифрованному трафику.Например, если защищаемый ресурс предоставляет web-сервис по протоколу HTTPS, то для защиты этого сервиса можно использовать расшифровку трафика и применение к нему методов аутентификации пользователей (HTTP-аутентификация), а также ведение HTTP-журнала и построение статистики запросов и ответов для определения источников, атакующих сервис. Взаимодействие с клиентским устройствомУправление операторским комплексом осуществляет команда инженеров оператора связи и решает следующие задачи по защите от DDoS-атак:предоставление клиентам услуг защиты;защита большого количества клиентов;подавление атак большого объема на системе очистки и границе сети. Рисунок 2. Операторский комплекс  Если у клиента оператора связи есть потребность самостоятельно выполнять полную или частичную защиту собственных ресурсов, а также иметь возможность при необходимости воспользоваться ресурсами операторского комплекса, он может воспользоваться решением «Скаут», разработанным в ООО «Гарда Технологии». Рисунок 3. Схема работы решения «Скаут»  Решение «Скаут»:позволяет выполнять защиту на этапе установки TCP-соединений путем полного проксирования с минимальной задержкой на аутентификацию;аналогично операторскому комплексу, «Скаут» выполняет защиту шифрованного трафика как за счет контроля устанавливаемых SSL-соединений, так и за счет расшифровки SSL-трафика и применения к нему различных методов фильтрации протоколов уровня приложений: HTTP, DNS, SIP и т.д.находится под управлением клиента, что позволяет избежать передачи конфиденциальной информации, например, сертификатов безопасности web-серверов третьим лицам;может взаимодействовать с операторским АПК «Периметр» в случае необходимости подавления атак большого объема с использованием центров очистки оператора связи, а также инструментов подавления на границе сети оператора. Рисунок 4. Взаимодействие «Скаута» и оператора связи  Атаки небольшого объема фильтруются на стороне клиента. Рисунок 5. Фильтрация на стороне клиента  В случае появления атак, фильтрация которых требует больших ресурсов, отправляется запрос операторскому комплексу. Рисунок 6. Операторский комплекс выполняет фильтрацию  В новой версии операторский комплекс кроме запроса на подавление атаки через центр очистки оператора принимает от клиентского устройства:области адресного пространства клиента, к которым необходимо применить фильтрацию;черный и белый списки адресов, которые могут быть использованы при фильтрации в центре очистки оператора. Расширение отчетной информацииВ набор аналитических отчетов АПК «Периметр» 5.0 добавлены отчеты:по аппроксимации объемов IPv6-трафика на будущие периоды времени;о транзитном трафике (по приложениям, странам, сетевым элементам, протоколам, автономным системам);о трафике виртуальных сетей (VPN). Полная поддержка «горячего» резервированияКаждый модуль АПК «Периметр» обладает возможностью «горячего» резервирования. При отказе модуля, происходит автоматическое переключение на резервный. Это позволяет обеспечивать высокую отказоустойчивость комплекса. Транзакционная модель изменения конфигурацииВ АПК «Периметр» добавлен режим работы, в котором каждое изменение конфигурации фиксируется для подтверждения администраторами комплекса. Изменения могут быть применены или отменены. Транзакционная модель позволяет контролировать изменения, вносимые в конфигурацию комплекса, не допуская применение случайных или недопустимых изменений, а также выполнять одновременное применение изменений, сделанных через графический интерфейс. Например, создание защищаемого объекта, настройка для него параметров детектирования и подавления, настройка уведомлений для клиента, - всё это будет применено в рамках одного изменения конфигурации. Обратное разрешение IP-адресовТакая функция позволяет получать дополнительную информацию об IP-адресах, используя сервисы DNS и WHOIS для источников и получателей трафика. Например, для IP-адреса источника можно получить полное доменное имя, используя сервис DNS, а также информацию о регистраторе и принадлежности к сетевому префиксу, используя сервис WHOIS. ВыводыАПК «Периметр» позволяет обнаруживать DDoS-атаки на сетях операторского класса, корпоративных сетях, сетях центров обработки данных с объемами сетевого трафика от единиц Гбит/с до десятков Тбит/с.Кластеры очистки, входящие в состав АПК «Периметр», позволяют защищаться от DDoS-атак объемом до 640Гбит/с. Читать далее
    • Alushaa
      Весьма удобное приложение, с помощью  которого можно смотреть расписание электричек. Это очень интересный вариант, можете присмотреться, он действительно крутой и я там все спокойно скачиваю)
    • PR55.RP55
      SQx То, что я выше написал сделать можно -  если есть доступ к PC. Однако не при работе со скриптом. Я  для Demkd  написал. В скрипт добавлять команды типа: adds criterion delref   fuckyoumm2_filter Checks the list by criterion т.е. добавлен критерий ( с выбором типа команды ) >  проверяется список > найденный по критерию объект удаляется.      
×