Composants

Le FAI estonien coupe les serveurs de contrôle pour Srizbi Botnet

Table ronde : Où en est le Brexit, 26 jours avant la date fatidique ?

Table ronde : Où en est le Brexit, 26 jours avant la date fatidique ?
Anonim

Un fournisseur de services Internet estonien qui héberge temporairement les serveurs de commande et de contrôle du botnet Srizbi, responsable d'une grande partie des spams dans le monde, a coupé ces serveurs, selon des analystes de la sécurité informatique

Starline Web Services, basée à Tallinn, capitale de l'Estonie, avait accueilli quatre noms de domaine identifiés comme étant les points de contrôle de Srizbi, selon des chercheurs de la société de sécurité informatique FireEye.

Des centaines de milliers de PC infectés par Srizbi, un rootkit difficile à supprimer utilisé pour l'envoi de spam, a été programmé pour rechercher de nouvelles instructions auprès des serveurs de ces domaines.

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

Srizbi is consi l'un des botnets les plus puissants, avec au moins 450 000 PC infectés. On estime que la moitié des spams du monde proviennent d'ordinateurs infectés par Srizbi. Le spam reste une activité lucrative pour les cybercriminels.

Mais les spammeurs ont perdu le contrôle de Srizbi lorsque le FAI qui hébergeait auparavant ses serveurs de commande et de contrôle a été coupé de l'Internet. McColo, dont les serveurs sont basés à San Jose, en Californie, a été coupé par ses fournisseurs en amont au début du mois après avoir été exposé par des experts en sécurité informatique et le Washington Post. Cela a empêché les spammeurs de contrôler les ordinateurs infectés par Srizbi. Mais le code de Srizbi contenait un mécanisme de repli où les spammeurs pouvaient se reconnecter avec les machines bloquées si un tel scénario arrivait.

Un algorithme de Srizbi générerait périodiquement de nouveaux noms de domaine où le malware chercherait de nouvelles instructions si ces domaines étaient en ligne. Armés de ce même algorithme, les spammeurs n'avaient qu'à enregistrer les noms de domaine appropriés et à les pointer vers leurs serveurs.

Les spammeurs avaient cependant besoin d'un nouveau FAI pour héberger ces serveurs, au moins pendant un certain temps. Ils ont trouvé Starline Web Services, un très petit FAI, mais ce fournisseur les a également coupés.

"J'étais convaincu que ces sites étaient fermés", a déclaré Hillar Aarelaid, chef de la sécurité informatique de l'Estonie (CERT), jeudi.

Les tentatives de contacter Starline Web Services ont échoué. Mais Aarelaid a déclaré que le CERT a été en contact avec la société et qu'il semble répondre aux plaintes concernant des abus.

Starline Web Services achète sa connectivité à Compic, une autre société estonienne. Le CERT d'Estonie a signalé que Compic avait des sites Web hébergeant des logiciels malveillants, a déclaré Tarmo Randel, expert en sécurité de l'information à l'organisation.

Randel a indiqué que CERT avait «constamment» informé Compic des logiciels malveillants qu'il hébergeait. Compic va prendre des mesures pour supprimer les sites en fonction "de la façon dont nous crions", a déclaré Randel. "Compic réagit généralement rapidement lorsque le CERT envoie une plainte par courrier électronique - et copie la police criminelle estonienne, a déclaré Randel.

Jeudi, le fournisseur en amont de Compic, Linxtelecom, a envoyé un courrier électronique à la communauté estonienne.

Linxtelecom vend des services de transit IP qui relient les FAI locaux et les opérateurs de télécommunication avec des supports de données plus importants. Linxtelecom a déclaré dans le courriel que 99% des plaintes reçues pour abus sont liées à Compic, a déclaré Randel.

Un responsable de Linxtelecom a déclaré ne pas être au courant de l'e-mail. Compic répond aux plaintes dans un délai d'environ deux jours, mais Linxtelecom a coupé la connectivité aux sites Web hébergés par Compic après des plaintes, selon le responsable.

Les experts en sécurité informatique affirment qu'il existe une poignée de FAI et de registrars Travailler en étroite collaboration avec les cybercriminels pour soutenir les opérations de spam, les sites Web qui vendent de faux logiciels et d'autres escroqueries.

Les opérations sont difficiles à arrêter en raison de leur caractère international, de la rapidité avec laquelle les cybercriminels réagissent aux fermetures et du manque de ressources ou d'intérêt pour la répression.

La fermeture de McColo intervient après la publication d'une étude révélant la participation de l'entreprise dans le métro criminel.

De même, un autre FAI mal connu - connu sous le nom d'Atrivo ou d'Intercage - a été coupé par ses fournisseurs en amont en septembre suite aux pressions croissantes de la communauté de la sécurité informatique.

Des cas récents de McColo et d'Atrivo / Intercage retirés d'Internet, il sera plus facile à l'avenir de mettre plus de pression sur d'autres hébergeurs connus pour agir ou se déconnecter », a déclaré Toralv Dirro, stratège en sécurité chez McAfee Avert Labs. Jeudi.