Spammer Regaining Control Sa paglipas ng Srizbi Botnet

Ang sombi computer na ginagamit upang magpadala ng spam ay Ang mga vendor ng seguridad ay nagsasabi na ang mga spammer ay muling nakikipag-ugnayan sa mga na-hack na PC na ginagamit para sa pagpapadala ng spam bilang pinatunayan ng isang tumataas na bilang ng mga mensaheng spam na nagpapalipat-lipat sa Internet sa mga huling araw. Ang mga antas ng spam ay biglang bumagsak ng dalawang linggo na ang nakalilipas matapos ang pagsasara ng McColo, ang isang malupit na ISP (Internet Service Provider) na nakabase sa San Jose, California, na ang koneksyon ay ginamit upang kontrolin ang mga network ng daan-daang libo ng mga computer upang magpadala ng spam, na kilala bilang botnets.

Mga computer na bahagi ng Srizbi botnet - na sa pamamagitan ng ilang mga pagtatantya ay nagpadala ng halos kalahati ng spam ng mundo - ay tila nagiging aktibo muli, ayon sa mga mananaliksik mula sa FireEye.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

"Si Srizbi ay nagbalik mula sa mga patay at sinimulan ang pag-update ng lahat ng mga bot sa isang sariwang, bagong binary," ayon sa isang blog post noong Martes ni Atif Mushtaq at Alex Lanstein ng FireEye. "Nagsimula ang pag-update sa buong mundo ilang oras lamang ang nakalilipas."

Ang mga computer ni Srizbi ay kontrolado ng mga spammer sa pamamagitan ng network ni McColo. Nang tumigil si McColo, sinubukan ng mga computer na tumawag muli at kumuha ng mga bagong tagubilin upang magpadala ng spam. Ngunit ang mga botnet operator ay matalino at lumikha ng isang paraan upang makuha ang mga machine pabalik kung sila ay maiiwan tayo.

FireEye mananaliksik ay mahalagang isang autopsy sa code ng Srizbi. Natagpuan nila na ang mga hacker ay inilagay sa isang algorithm na dynamic na bumubuo ng isang domain name na kung saan ang nakompromisong computer ay maaaring makakuha ng mga bagong tagubilin.

Ang mga hacker ay maaaring magrehistro na domain name at maglagay ng mga tagubilin doon upang sabihin sa nakompromisong PC na pumunta sa ibang command-and-control server - hindi McColo's - para sa mga bagong tagubilin.

Dahil ang FireEye ay nakilala kung paano gumana ang algorithm, ang kumpanya ay nakarehistro ang mga pangalan ng domain na walang kuwenta, tulad ng "auaopagr.com," na binuo ng algorithm. Kapag ang mga machine na iniulat para sa tungkulin, walang mga tagubilin. Ngunit hindi nagawa ng FireEye na i-preempting ang mga spammer magpakailanman sa pamamagitan ng pagbili ng mga pangalan ng domain.

Ngayon ang nakompromisong mga computer ay nakakonekta sa mga pangalan ng domain na nakarehistro ng mga spammer at nakakakuha ng na-update na code, kabilang ang mga template para sa mga bagong kampanyang spam. Ang bagong command-and-control server ay nasa Estonia at ang mga pangalan ng domain ay binibili mula sa isang registrar sa Russia, sinabi ng FireEye.

Si Srizbi ay isang beses na umabot sa higit sa 450,000 PCs, at nananatiling makikita kung ilang na-update ng mga machine na iyon ang code. Ngunit tatlong iba pang mga botnets na kinokontrol sa pamamagitan ng McColo - Rustock, Cutwail at Asprox - lahat ay lumilitaw din na bumalik online.

Dmitry Samosseiko ng kompyuter ng seguridad vendor Sophos wrote sa Miyerkules na ang mga antas ng spam biglang surged mas maaga sa linggong ito, dahil sa bahagi sa muling pagkabuhay ng botnet ng Rustock.

Ang pagkakakonekta ni McColo ay naibalik sa pamamagitan ng pagkakamali ng TeliaSonora, at ang mahalagang ilang oras sa online ay pinahihintulutan ang mga spammer na sabihin sa mga computer na nahawaan ng Rustock kung saan pupunta para sa mga bagong tagubilin

Antispam vendor MessagLabs, na kamakailan-lamang ay nakuha ng Symantec, ay hindi nakasaad sa isang pagtaas sa spam na nauugnay sa Srizbi, sinabi ni Paul Wood, senior analyst na nakabase sa kanilang mga opisina ng UK.

Wood sinabi MessageLabs pinag-aaralan ang spam na nagtatapos sa mga inbox ng 8 milyon nito ang mga gumagamit at maaaring ito ay na ang Srizbi ay alinman sa hindi hanggang sa bilis pa o nagbago kung paano ito target ng mga tao.

Ngunit MessageLabs ay napansin ng isang uptick sa spam na nagmumula sa Rustock, Cutwail at Asprox, na kung saan ay nagpapahiwatig ng mga botn

"Tulad ng anumang uri ng negosyo kung ang iyong courier ay bumaba o lumalabag, makakahanap ka ng alternatibong provider," sabi ni Wood.

Gayunpaman, ang mga antas ng spam ay humigit-kumulang sa 40 porsiyento ng kung ano ang kanilang ay bago bumaba si McColo, sinabi ni Wood.