"Лаборатория Касперского" совместно с CrowdStrike Intelligence Team, Honeynet Project и Dell SecureWorks объявляет о проведении операции по отключению второго ботнета Hlux (также известного как Kelihos). За шесть дней эксперты обезвредили бот-сеть, в состав которой входило более 116 000 зараженных компьютеров.
"Лаборатория Касперского" уже во второй раз вступает в схватку с модификацией ботнета Hlux/Kelihos. В сентябре 2011 года "Лабораторией Касперского" совместно с отделом компании Misrosoft по борьбе с киберпреступностью и компаниями Surf Net и Kyrus Tech, Inc был успешно отключен первый ботнет Hlux/Kelihos, в состав которого входило порядка 40 000 хостов. В тот раз "Лаборатория Касперского" провела операцию по внедрению sinkhole-маршрутизатора, в ходе которой ботнет и его резервная инфраструктура были отключены от командного сервера.
Несмотря на нейтрализацию первого ботнета и установление контроля над ним, эксперты "Лаборатории Касперского" обнаружили следы функционирования второго активного ботнета Hlux/Kelihos. Вредоносная программа для него была написана с использованием того же кода, что и в первом Hlux/Kelihos, однако новый бот, помимо традиционных функций рассылки спама и проведения DDoS-атак, обладал рядом дополнительных.
В течение недели, начиная с 19 марта 2012 года, "Лаборатория Касперского", команда CrowdStrike Intelligence, Honeynet Project и Dell SecureWorks проводили операцию по внедрению sinkhole-маршрутизатора, в ходе которой ботнет был успешно обезврежен. В отличие от традиционных ботнетов, которые для управления сетью используют один командный сервер (C&C), Hlux/Kelihos имеет пиринговую архитектуру, которая подразумевает, что каждый компьютер может выступать в качестве как сервера, так и клиента. Для нейтрализации подобной схемы группой экспертов по безопасности была создана глобальная распределенная сеть, состоящая из компьютеров, которые были внедрены в инфраструктуру ботнета. Вскоре эта сеть стала настолько масштабной, что "Лаборатория Касперского" смогла нейтрализовать действие ботов, предотвратив возможность получения ими вредоносных команд.
Так как большая часть компьютеров, входящих в ботнет, соединена с маршрутизатором, эксперты "Лаборатории Касперского" имеют возможность отслеживать количество и географическое положение зараженных машин. На настоящий момент речь идет о 116 000 зараженных системах. Большинство IP-адресов расположены в Польше и США.
Полный анализ проведенной операции содержится в блог-посте, опубликованном на www.securelist.com/ru/blog.
"Лаборатория Касперского" выражает свою признательность CrowdStrike Intelligence Team, Honeynet Project и Dell SecureWorks за сотрудничество в ходе проведения операции.