Connessioni / Next / Search / Sicurezza / Social
Icann oscura. E il botnet sparisce
Uno studio di FireEye conferma che l’azione dell’Icann nei confronti di McColo, oscurato perché ospitava botnet di vario tipo, è stata molto efficace. Ma è presto per cantare vittoria
Non tardano ad arrivare i risultati derivanti dalla posizione, decisamente rigida, dell’Icann contro i provider che ospitano siti Web-spazzatura: a pochi giorni dall’oscuramento coatto di McColo, un consistente numero di macchine compromesse sta tentando di ricevere comandi remoti, senza risultati, da un botnet molto diffuso.
Quattrocentocinquantamila, per la precisione: così sostiene FireEye Security, specializzata nell’analisi del traffico di rete e prodiga di documentazione sul botnet incriminato, Sribzi. La conclusione cui arriva l’azienda californiana è semplice: via il provider, via il problema. E quindi, complimenti a chi ha operato il repulisti, ovvero all’Icann.
L’analisi di FireEye scende nel dettaglio: Srizbi manda (o meglio, mandava) comandi a macchine che si collegavano agli indirizzi Ip 75.127.68.122 o 64.22.92.154. Questo dato può essere utile agli amministratori di rete per risalire ad eventuali sistemi compromessi in base all’analisi del traffico.
Tuttavia, è probabile che l’asse portante dell’ormai decapitato botnet siano Pc domestici poco e male protetti. “Srizbi installa un rootkit - spiega un post di FireEye - che nasconde i cambiamenti operati ai file di sistema e alle impostazioni del registro. In ambienti in cui vengono effettuati periodicisnapshot, è semplice ripristinare eventuali macchine compromesse a uno stato precedente, non compromesso”.
Il botnet Srizbi, comunque, è solo la punta dell’iceberg: c’è da pensare che con la chiusura di McColo - e con quella imminente di EstDomains - cadranno altre teste. O meglio, sistemi che usano le capacità computazionali e la banda dei propri zombie come open relay per spam e malware. Soprattutto spam, secondo Richard Cox, CIO di Spamhaus, che ha commentato: “I nostri server non erano così scarichi da mesi”.
Senza tuttavia dimenticare che, per un registrar cui vengono tagliati i cavi per la propria attività illecita, c’è un numero consistente di cybercriminali danneggiati nei propri interessi: che, quindi, vorranno ricreare altrove la propria fonte di guadagno. Facile, quindi, prevedere che per chi sorveglia e regola l’assegnazione di domini in rete i prossimi mesi saranno trafficati. In tutti i sensi.
Ancora nessun commento.