Non-profit organisatie sust botnet in slaap

[Domenico]

'Neerhalen Coreflood-botnet is best mogelijk aanpak'

Internet Systems Consortium (ISC) oogst bewondering met de innovatieve uitschakeling van botnet Coreflood. De non-profit internetorganisatie kreeg van een Amerikaanse rechter toestemming om zijn eigen commando- en controleservers in de lucht te brengen, nadat de kwaadaardige controle-infrastructuur van CorefIood op 12 april door de FBI was uitgeschakeld.

ISC verwijdert de Coreflood-malware niet van geïnfecteerde pc's, want dat mag juridisch niet, maar vertelt de pc bij elke reboot om de Coreflood-software af te sluiten. Daardoor kan de malware geen schade aanrichten.

Daarnaast verzamelen de commando- en controleservers van ISC de IP-adressen van geïnfecteerde machines. Deze informatie geven ze door aan de betrokken providers, die hierdoor in staat worden gesteld hun klanten te informeren. In tandem hiermee verwijdert Microsoft via de Malicious Software Removal Tool de malware van geïnfecteerde Windows-machines.

'Best mogelijke aanpak'
'Ik verwacht dat dit de komende jaren de dominante aanpak gaat worden', vertelt Michel van Eeten, hoogleraar bestuurskunde aan de faculteit Techniek, Bestuur & Management van de Technische Universiteit (TU) Delft. 'Dit is momenteel de best mogelijke aanpak.'

Het is volgens Van Eeten 'een interessant experiment dat een balans weet te vinden tussen twee extremen: alleen de commando- en controleservers aanpakken, en daarmee de bots ongemoeid laten, of de bots ook aanpakken door via het botnet verwijdersoftware of counter-infecties te laten distribueren. Dat laatste, een droom van sommige beveiligingsexperts, is een onzalig plan om allerlei redenen en bovendien illegaal.'

Van Eeten: 'Dit experiment laat echter de software ongemoeid en stuurt alleen een soort slaapinstructie. Ondertussen worden de IP-adressen gebruikt om de betreffende ISP's te waarschuwen. Die kunnen contact opnemen met de gebruiker en hem of haar een gratis een verwijdertool aanbieden. Gebruikers nemen echter zelf verantwoordelijkheid voor het draaien van de tool, dat wordt niet opgelegd.'

Zwakke punt
De uitschakeling van Coreflood door ISC kent echter één zwak punt, volgens van Eeten. 'Hoeveel mondiale ISP's gaan daadwerkelijk actie ondernemen op basis van deze informatie en hoeveel gebruikers volgen het advies van de ISP daadwerkelijk op?' Uit eerder onderzoek van Van Eeten bleek dat slechts bij één op de tien machine-infecties actie wordt ondernomen door Nederlandse internetproviders, door bijvoorbeeld de klant te informeren of deze in quarantaine te plaatsen.

'Ook bij Bredolab heeft men de IP-adressen aan de ISP's in allerlei landen doorgespeeld, maar de meeste ISP's deden niets met die informatie', aldus Van Eeten. Ook bij het neerhalen van het Bredolab-botnet brachten Nederlandse autoriteiten eigen commando- en controleservers in de lucht. Deze leidde elke met Bredolab geïnfecteerde machine die contact zocht, naar een website met informatie over het opschonen van hun pc.

Opnieuw controle
Botnets worden echter tot nu toe voornamelijk aangepakt via het uitschakelen van de commando- en controleservers. Hoewel zo'n actie 'botherders' het wapens uit de handen slaat, blijven met malware geïnfecteerde computers in de lucht, in afwachting van nieuwe instructies. Dat geeft kwaadwillenden de mogelijkheid om vanaf een nieuwe commando- en controlestructuur opnieuw de controle over het botnet over te nemen.

'Je kunt het vergelijken met Hercules die de de veelkoppige slang Hydra bestrijdt: je kunt een botnet niet uitschakelen door de koppen er af te slaan. Sla er één hoofd af en er zullen twee nieuwe groeien. Dat is het probleem met botnets. Je moet dus een andere manier vinden', vertelde beveiligingsadviseur Rik Ferguson van Trend Micro eerder aan Computable.

Voor een succesvolle aanpak van botnets moeten volgens Ferguson een aantal ingrediënten samenkomen: 'handhaving, een proactieve opstelling van internet service providers en internationale harmonisering van wetgeving.'

bron: computable.nl


ISC verwijdert de Coreflood-malware niet van geïnfecteerde pc's, want dat mag juridisch niet, maar vertelt de pc bij elke reboot om de Coreflood-software af te sluiten. Daardoor kan de malware geen schade aanrichten.

Wat vinden jullie hier eigenlijk van? Zou het niet goed zijn dat dit wel gewoon zou mogen? Dus dat het botnet als het ware tegen zichzelf gebruikt word en zo alle infected computers worden gedesinfecteerd? Ik snap het juridische aspect hier niet echt van maar goed, het is net zoals in het echte leven. Je weet wie de dader is en waar die zich bevind maar juridisch gezien kun je hem niets maken dus gaat hij vrijuit.

Wat mij betreft zouden trojans ed wanneer het mogelijk is op afstand disabled mogen worden.

[The-BosS]

Wat vinden jullie hier eigenlijk van? Zou het niet goed zijn dat dit wel gewoon zou mogen? Dus dat het botnet als het ware tegen zichzelf gebruikt word en zo alle infected computers worden gedesinfecteerd? Ik snap het juridische aspect hier niet echt van maar goed, het is net zoals in het echte leven. Je weet wie de dader is en waar die zich bevind maar juridisch gezien kun je hem niets maken dus gaat hij vrijuit.

Wat mij betreft zouden trojans ed wanneer het mogelijk is op afstand disabled mogen worden.

Laat ons stellen dat de wetgeving op de bescherming van privacy gegevens iets harder door weegt dan het verwijderen van het botnet op iemand zijn pc. Want wie zegt en kan garanderen dat deze "goede" control en command servers ook niet gehackt kunnen worden. Dat je een bureaublad veranderd of iedere 5 minuten een melding geeft dat dit botnet draaid vindt ik beter dan het zonder pardon van iemand zijn pc te verwijderen. Dan kun je stellen dat de GB/AH/IKEA/.. ook zomaar je huis binnen mag om een slecht product te verwijderen voor je het gebruikt of dat een automerk je auto ophaalt zonder je mede weten omdat er een productiefout is.

Trouwens ik vindt het laag tegen de grond om ISP en gebruikers de grond in te boren dat ze niets doen met de informatie die ze krijgen, draai het even om en kijk eens hoe vlug de politie hun donuts laat staan om een PV op te stellen of onderzoek te starten.

[ichat]

@tha boss ik ga 100% met je mee, - ik denk dat 'onderwijs' hierin beter is dan altijd alles maar voorkouwen, - ik vind het jammer dat isp xs4all de enige lijkt die op effectieve manier klanten dwingt zich aan de netregels te houden, - ik schaam me bijna toe te geven dat ik een keer vergeten ben een van m'n routers degelijk te beveiligen. 2 dagen later waren alle behalve poort 80 en poort 443 porten voor mijn account geblockt en had ik een telefoontje of was het een sms bericht, of ik even contact op wilde nemen met xs4all. - na het een en ander samen door te hebben genomen, bleek, dat er een van m'n routertjes, een bug had die door een slechte beveiliging tot uiting was gekomen iemand had geprobeerd in te loggen - en de router had geprobeerd netwerk info naar hem te sturen, maar dit resulteerde in een flood (wel een leuk anti hacker trick - maar het koste me een waarschuwing). - jammer alleen dat er weinig isp's (connectie providers) zijn die die aanpak volgen.

stuur bedrijven als upc een mail en je mag blij zijn als je en auto-reply krijgt (eigen ervaring).

deze aanpak echter op de grens van het toelaatbare - heeft in eerste instantie de schijn mee een goed innitiatief te zijn. ik hoop alleen dat het ook effectief blijkt, en vooral dat providers dit soort pogingen massaal gaan steunen, op een zekere professionaliteit te kunnen garanderen (daar maak ik me namelijk toch wel zorgen om)

[onager]

Wat vinden jullie hier eigenlijk van? Zou het niet goed zijn dat dit wel gewoon zou mogen? Dus dat het botnet als het ware tegen zichzelf gebruikt word en zo alle infected computers worden gedesinfecteerd? Ik snap het juridische aspect hier niet echt van maar goed, het is net zoals in het echte leven. Je weet wie de dader is en waar die zich bevind maar juridisch gezien kun je hem niets maken dus gaat hij vrijuit.

Wat mij betreft zouden trojans ed wanneer het mogelijk is op afstand disabled mogen worden.

Ik weet uit eigen ervaring hoe ontzettend frusterend het is, als daders vrijuit gaan, omdat ze niet door een rechter aangepakt kunnen worden. Toch vind ik het een erg griezelig idee, dat er iemand de bevoegdheid zou krijgen om in te grijpen in computersystemen. Zo'n maatregel heeft wel een begin, maar geen einde en kan uiteindelijk leiden tot verregaande vormen van censuur.
Je zou misschien kunnen zeggen dat ook hier de vergelijking met het "echte leven" opgaat: er zijn overal en altijd risico's en ik bepaal zelf of en in hoeverre ik die risico's wil aangaan of ze wil ontlopen. Als er dan iets gebeurt, ben ik ook zelf verantwoordelijk voor de gevolgen.
"Iedereen" weet zo langzamerhand dat een computer geïnfecteerd kan worden. Je bent ook zelf verantwoordelijk voor de gevolgen als dat gebeurt. Natuurlijk mogen (moeten?) anderen (ISP's misschien) de gevolgen van zoiets voor zichzelf en de rest van de wereld beperken. Zij bepalen immers ook zelf welke risico's ze wel en niet willen aanvaarden, maar nogmaals: ingrijpen in andersmans systeem (en daarmee in diens persoonlijke integriteit en levensfeer)? Daardoor zou je zelfs precies hetzelfde doen als zo'n infectie: ongevraagd binnen dringen en iets veranderen.
Om de nuance aan te brengen: hooguit zou zoiets heel gericht door een rechter kunnen worden opgedragen, als daarvoor echt redenen aanwezig zijn. Ik vermoed dat die daar heel terughoudend in zullen zijn, met het oog op de precedentwerking. Zoiets kan vervolgens ook gebruikt worden om boeken uit een bibliotheek te laten verwijderen, of onwelgevallige artikelen uit kranten om maar wat te noemen.