Botnets

1. Botnets Gabriel Losada Saraiva Gaio CaculakisMatheus R. MuttonPedro Henrique de O. Fernandes

2. IntroduçãoDefinições • MALWARE: programas desenvolvidos para executar ações danosas em um computador. Exemplos: worm, bots, virus • WORM: Programa capaz de se propagar automaticamente através de redes, enviando cópias de si mesmo de computador para computador. • SpyWare: Programa automático de computador, que recolhe informações sobre o usuário, sobre os seus costumes na Internet.

3. IntroduçãoDefinições • BOT: é um tipo de código malicioso que transforma o computador infectado em um “zumbi”, ou seja, a serviço de seu controlador . • Computadores “zumbis”: Máquinas que podem ser controladas à distância pelo invasor, independente das ações do usuário. • Bot herder: Nome que se dá à pessoa ou grupo que controla os computadores zombie, infectados com Bots

4. O que são Botnets? • Grupo de computadores zombies (infectados por bots), e que são controlados por um hacker a que se denomina bot herder • Grandes benefícios, alugando-as a terceiros para o envio de spam, por exemplo, ou utilizando-as diretamente para instalar spyware em milhares de computadores. • também podem descarregar outro malware, como keyloggers, e assim a rede pode ser utilizada para conseguir os dados confidenciais de milhares de utilizadores.

5. Topologia da Botnet Fonte: www.secureworks.com

6. Atualidades • Shadow BotNet, controlava 100mil computadores. Descoberta em Agosto, 2008. • Polícia de Quebec, no Canadá, descobriu e dissolveu uma quadrilha de hackers que comandava uma botnet . O grupo é responsável por cerca de US$ 44 milhões em danos. Fevereiro 2008. • BotNet Nova Zelândia, controlava mais de um milhão de computadores. Descoberta através da operação Operation Bot Roast em Novembro, 2007

7. Lista das maiores botnets do mundo 1. Srizbi; 315 000 computadores; 60 mil milhões de mensagens/dia2. Bobax; 185 000 computadores; 9 mil milhões de mensagens/dia3. Rustock; 150 000 computadores; 30 mil milhões de mensagens/dia4. Cutwail; 125 000 computadores; 16 mil milhões de mensagens/dia5. Storm; 85 000 computadores; 3 mil milhões de mensagens/dia6. Grum; 50 000 computadores; 2 mil milhões de mensagens/dia7. Onewordsub; 40 000 computadores; número de mensagens desconhecido8. Ozdok; 35 000 computadores; 10 mil milhões de mensagens/dia9. Nucrypt; 20 000 computadores; 5 mil milhões de mensagens/dia10. Wopla; 20 000 computadores; 600 milhões de mensagens/dia11. Spamthru; 12 000 computadores; 350 milhões de mensagens/dia Fonte: SecureWorks, abril de 2008

8. Tipos de Botnets Existem vários tipos de Botnets, cada um com uma característica diferente. Alguns exemplos seguem abaixo: • GT-Bots e mIRC bots • XtremBot, Agobot, Forbot, Phatbot • UrXBot, sdbot, UrBot e RBot

9. Tipos de BotnetsGT-Bots e mIRC bots • GT-Bots e mIRC bots baseada mIRC é um dos mais utilizados clientes IRC para a plataforma Windows . GT é o nome comum para os bots roteiro usando mIRC. GT-Bots podem lançar códigos binarios e scrips em um chat mIRC que contem muitas vezes extensões de arquivos .MRC.

10. Tipos de BotnetsXtremBot, Agobot, Forbot, Phatbot • O robô é escrito usando C + + com várias plataformas capacidades como um compilador GPL e como o código-fonte • Devido à sua abordagem modular, adicionando comandos ou scanners para aumentar a sua eficiência e tirar proveito de vulnerabilidades é bastante fácil. • Agobot é bastante distinto, ele é o único robô que faz uso de outros protocolos além de controlar IRC.

11. Tipos de BotnetsUrXBot, sdbot, UrBot e RBot • São publicados sob GPL • Escrita em língua compilador C rudimentar. • Embora a sua implementação é menos variada e sua concepção menos sohisticated, este tipo de bots são bem conhecidos e largamente utilizados na internet.

12. Objetivos dos Botnets • Lucro (criadas para venda)‏ • DdoS (lucro)‏ • Spam (lucro)‏

13. Estratégia de ataque • Criação • Configuração • Infecção • Controle • Atividades Maliciosas

14. Como o invasor se comunica com o Bot - PC infectado - • O Bot conecta o computador infectado a um servidor IRC, e aguarda por instruções do invasor; • Servidor IRC geralmente é utilizado devido a sua simplicidade, e por ser fácil de administrar.

15. Como o invasor se comunica com o Bot - Invasor - • O invasor não se conecta diretamente aos bots, ele também se conecta a um servidor IRC, e entra no mesmo canal. • Após estar conectado, envia mensagens, que são interpretadas pelos Bots. • Servidores IRC tem a desvantagem de serem transmitidos em texto claro. Para tentar dificultar esta análise de tráfego, os invasores utilizam a ferramenta TOR.

16. Tipos de ataque • DDoS • Spam • Sniffing e Keylogging • Click Fraud • Warez

17. Tipos de ataque DDos • Principal forma de ataque de botnets • Os ataques DDoS podem ser definidos como ataques DoS diferentes partindo de várias origens, disparados simultânea e coordenadamente sobre um ou mais alvos. fonte: http://www.cfa.harvard.edu/~huchra/ay16/M35a.gif

18. Tipos de ataqueSpam • Mensagem eletrônica contendo propaganda de produtos ou serviços enviada a uma ou mais pessoas sem que essas pessoas tenham solicitado as informações contidas na mensagem.            fonte:  http://cs.jpl.nasa.gov/gray/skicat.jpg

19. Tipos de ataqueKeylogging • É um software cuja finalidade é monitorar tudo o que é digitado. • Os Keylogger na maioria das vezes se infiltram no computador da vítima através de e-mails e links falsos • Os Keylogger são programados de várias maneiras. Exemplo:salvar os logs (que podem ser arquivos .txt .HTML) , enviar os logs para o email de uma pessoa.

20. Tipos de ataqueClick Fraud • Bots são instruídos a entrar em websites e clicar automaticamente em banners. • Este mecanismo é utilizado para roubar dinheiro de empresas que pagam recompensas por cada página visitada.

21. Mapa com resultado dos Centros de Comando, detectados em 2007            fonte:  http://www.shadowserver.org/wiki/uploads/Stats/ccip-all.jpg

22. Mapa com os IPs que se infectaram ou sairam de uma BotNet no ano de 2008.            fonte:  http://www.shadowserver.org/wiki/uploads/Stats/drones.jpg

23. Quantidade de C&C Data 03/11/2008 – 18:00hs            fonte:  http://www.shadowserver.org/wiki/uploads/Stats/botnets-day.png

24. Quantidade de Bots/Zombies ativos Entropia: número de dias decorridos para se considerar um Bot inativo (morto). OBS: quedas repentinas podem ser explicadas pela queda de um C&C, e conseqüentemente seus Bots.            fonte:  http://www.shadowserver.org/wiki/uploads/Stats/botcount5-day.png

25. Quantidade de Bots/Zombies ativos            fonte:  http://www.shadowserver.org/wiki/uploads/Stats/botcount5-week.png

26. Prevenção e Combate • Usar anti-vírus e software anti-spyware e mantendo-o até à data. • A definição de seu sistema operacional de software para baixar e instalar patches de segurança automaticamente. • Ser cuidadoso ao abrir quaisquer anexos ou download de arquivos de e-mails que você recebe.

27. Prevenção e Combate • Utilizar uma firewall para proteger seu computador contra ataques hackers enquanto está ligado à Internet. • Desligar da Internet quando estiver longe do seu computador. • Verificar a sua "itens enviados" arquivo ou "saída" caixa de correio de mensagens que você não tinha a intenção de enviar. • Download de software livre só a partir de sites que você conhece e confia.

28. Prevenção e Combate • Agir imediatamente se o seu computador está infectado. Se o seu computador foi infectado por um vírus, desligue a ligação à Internet de imediato. • Aprender mais sobre a assegurar o seu computador em www.OnGuardOnline.gov.

29. Conclusões • Conceitos errados sobre segurança • Detectar bots e botnets não é uma tarefa simples

30. Referências Bibliográficas • Wikipédia. WORM. Disponível em: http://pt.wikipedia.org/wiki/Worm, Setembro • TechFaq. What is a Botnet? Disponível em: http://www.tech-faq.com/botnet.shtml, Setembro • FTC Consumer Alert. Botnets and Hackers and Spam. Disponível em: http://www.ftc.gov/bcp/edu/pubs/consumer/alerts/alt132.pdf, Setembro • Wikipedia. Warez. Disponível em: http://pt.wikipedia.org/wiki/Warez, Setembro • Palestra sobre Bot e Botnets. Disponível em: http://www.csirt.pop-mg.rnp.br/eventos/palestras/botnets.pdf, Outubro • Wikipédia . Spyware. Disponível em :http://pt.wikipedia.org/wiki/Spyware, Outubro