Ботнет Hlux/Kelihos обезвредили

В рамках международного сотрудничества по борьбе с ботнетами и хостинговыми компаниями, предоставляющими возможность анонимной регистрации доменов, Лаборатория Касперского, Microsoft и Kyrus Tech обезвредили ботнет Kelihos (Hlux). Ботнет использовался для рассылки спам-сообщений, кражи личных данных, проведения DDoS-атак и многих других видов криминальной деятельности.

По некоторым оценкам, в Kelihos входило 40 тысяч компьютеров. Данные, предоставленные "Лабораторией Касперского", использовались компанией Microsoft для составления гражданского иска против 24 человек, связанных с инфраструктурой ботнета, что позволило отключить домены, используемые для управления и контроля сети. Кроме того, прямое заявление с подробной информацией и свидетельствами против ботнета Kelihos подала компания Kyrus Tech.

Кроме того, "Лаборатория Касперского" приняла меры для устранения контроля киберпреступников над ботнетом: специалисты компании проанализировали код, используемый в ботнете, разобрали протокол связи, обнаружили уязвимость в пиринговой инфраструктуре и разработали соответствующие инструменты противодействия. Более того, с момента отключения по решению суда доменов, используемых в работе ботнета, "Лаборатория Касперского" начала операцию с использованием маршрутизатора-поглотителя (sinkhole): один из компьютеров компании стал участвовать в комплексном внутреннем обмене данными в ботнете с целью получения контроля над Kelihos.

"Лаборатория Касперского" сыграла ключевую роль в этой операции, предоставив нашей компании уникальные данные, основанные на детальном анализе ботнета Kelihos, – выразил свою признательность за активное участие "Лаборатории Касперского" в обезвреживании ботнета Ричард Боскович (Richard Boscovich), старший юрист подразделения Microsoft по борьбе с киберпреступностью. – Это способствовало успешной ликвидации ботнета, а также помогло собрать для суда доказательства, касающиеся его технических характеристик и структуры. Мы благодарны "Лаборатории Касперского" за поддержку и стремление сделать Интернет более безопасным".

"С 26 сентября, когда "Лаборатория Касперского" начала операцию с применением маршрутизатора-поглотителя, ботнет является неработоспособным, – прокомментировал проект по нейтрализации Kelihos старший вирусный аналитик "Лаборатории Касперского" в Германии Тильман Вернер (Tillmann Werner). – В данный момент боты обмениваются информацией с нашим компьютером, что дает возможность провести интеллектуальный анализ и отследить случаи заражения по странам. На данный момент "Лаборатория Касперского" насчитывает 61 463 инфицированных IP-адресов и работает с соответствующими провайдерами с целью информирования владельцев сетей о заражениях".

Kelihos является пиринговым ботнетом и состоит из нескольких уровней, включающих в себя узлы различных типов: контроллеры, маршрутизаторы и рабочие узлы. Контроллеры – это компьютеры, предположительно управляемые киберпреступниками, стоящими за ботнетом. Они дают ботам команды и контролируют динамическую структуру пиринговой сети. Маршрутизаторы – это зараженные компьютеры с публичными IP-адресами, запускающие бот для рассылки спама, сбора адресов электронной почты, "выуживания" частной информации о пользователе из сетевого потока.

Компания Microsoft уже добавила вредоносную программу, которая использовалась ботнетом Kelihos для заражения компьютеров пользователей, в антивирусную базу Средства удаления вредоносных программ. Благодаря тому, что этот инструмент используется большим количеством пользователей, уже удалось устранить значительное количество заражений.