Les experts en sécurité visualisent les botnets avec un œil sur la défense

Tous les botnets ne sont pas organisés de la même manière. C'est la conclusion d'un rapport de Damballa qui cherche à catégoriser les structures dominantes. Il tente d'expliquer pourquoi certains types de blocage et de filtrage vont à l'encontre de certains botnets, et pas d'autres.

"La bannière de la menace" hybride "est souvent utilisée", explique Gunter Ollmann, vice-président de la recherche chez Damballa Une entreprise de sécurité spécialisée dans l'atténuation des botnets «Mais ce label ne signifie rien pour les équipes chargées de défendre l'entreprise En expliquant les topologies (et leurs forces et faiblesses) ces équipes peuvent mieux visualiser la menace.»

et offre aux robots individuels une communication directe avec le serveur de commande et de contrôle (CnC). Il peut être visualisé dans un modèle en forme d'étoile. Cependant, en fournissant des communications directes avec un serveur CnC, le botnet crée un point de défaillance unique. Sortez le serveur CnC et le botnet expire. Ollmann explique que le botnet Zeus DIY est un modèle star, mais que les botmasters le mettent souvent à niveau, le rendant multiserveur.

"Dans la plupart des cas, des botnets particuliers peuvent être classés comme membres d'une seule topologie CnC. mais <

Multi-Server est l'extension logique de la structure Star utilisant plusieurs serveurs CnC pour alimenter les bots individuels. Cette conception, dit Ollmann, offre de la résilience si un serveur CnC tombe en panne. Il nécessite également une planification sophistiquée afin d'exécuter. Srizbi est un exemple classique de botnet de topologie CnC multiserveur

La structure hiérarchique des botnets est très centralisée et souvent associée à des botnets multi-étapes - par exemple les botnets dont les agents bot ont des capacités de propagation de vers - et utilisent des super CnC peer-to-peer basé sur un noeud. Cela signifie qu'aucun bot n'est au courant de l'emplacement d'autres robots, ce qui rend souvent difficile pour les chercheurs en sécurité de mesurer la taille globale du botnet. Cette structure, dit Damballa, est la mieux adaptée pour la location ou la vente de parties du botnet à d'autres. L'inconvénient est que les instructions prennent plus de temps pour atteindre leurs cibles, donc certains types d'attaques sont impossibles à coordonner.

Le hasard est l'inverse de la structure hiérarchique. Ce botnet est décentralisé et utilise plusieurs chemins de communication. L'inconvénient est que chaque robot peut en énumérer d'autres dans le voisinage, et souvent la communication traîne entre les grappes de bots, rendant encore certaines attaques impossibles à coordonner. Tempête s'adapterait au modèle aléatoire de Damballa, comme les botnets basés sur le malware Conficker

Le rapport, Botnet Communication Topologies: Comprendre les subtilités du botnet Command-and-Control, a également classé différentes méthodes de fast-flux, la méthode par laquelle un CnC le serveur change ses domaines à la volée. Damballa a constaté que Domain Flux, un processus qui change et alloue plusieurs noms de domaine complets à une seule adresse IP ou infrastructure CnC, est le plus résistant à la découverte et à l'atténuation.

Robert Vamosi est analyste des risques, de la fraude et de la sécurité. Javelin Strategy & Research et un écrivain de sécurité informatique indépendant couvrant les pirates criminels et les menaces de logiciels malveillants.