La amenaza BOTNET se combate desde los ordenadores de los usuarios por el FBI, pero ¿qué es un botnet?

Fiscal General en la presentación de la operación

Ha sido noticia estos últimos días la novedosa forma de combatir una botnet que ha utilizado el FBI. Tras conseguir autorización judicial en el marco de la llamada operación Adeona, mediante los servidores de DNS de Estados Unidos, indicando un dirección distinta, los ordenadores infectados dirigirán sus peticiones a un cuartel general diferente (y controlado por el propio FBI) del que habitualmente hace uso el botnet Coreflood, para emitir instrucciones de desinstalación del mismo.

Coreflood recogía claves de seguridad y toda clase de datos bancarios del usuario y los remitía a servidores remotos. Presuntamente infectaba a 2 millones de ordenadores en Estados Unidos (fuera hay muchos más) y los datos recopilados podían superar los 50 GB. 

Es una forma novedosa de luchar contra este tipo de amenaza, que, al margen de sus implicaciones de privacidad, en el futuro puede ser bloqueada por los creadores de botnets con estrategias como hacer que borren archivos del ordenador que reciba una instrucción no autenticada. 

Para entender mejor como se esta atajando a esta  botnet ampliaré el concepto.

¿Qué es un botnet?

Es un ejercito de pequeños trozo de software que viven y evolucionan de forma orgánica pero no aisladamente, sino que tienen un cuartel general, capaz de darles ordenes y de coordinar sus funciones, aunque estén separados por miles de kilómetros, funcionando mediante una estructura P2P.

Su finalidad puede ser múltiple, y su capacidad de evolucionar hace que este riesgo aumente ya que pueden mutar para cambiar su destino.

¿Qué características tienen?

En un intento de evadir la localización y su desactivación se caracterizan por funcionar en esquemas de estrella, haciendo uso de múltiples servidores, con organización jerárquica y aleatoria. 

¿Cómo se estructuran?

Pues hay diversas modalidades pero, suele tener un esquema parecido al siguiente para dificultar su clausura o bloqueo. Podemos distinguir varios niveles:

1. C&C (Command & Control) o Cuartel General:  Suele estar situado en un país de pocas garantías jurídicas, como Rusia o Irán (entre muchos otros) y basado en un servidor Apache (Software Libre).
2. Proxy principal Nginx: Nginx es un servidor HTTP opensource capaz de enfrentarse múltiples peticiones. Es la primera capa de ocultación.
3. Proxys secundarios Nginx: Repartidos alrededor del mundo y muchas veces cambiando su ubicación, ocultan al proxy principal.
4. Nodos Públicos
5. Ordenadores infectados, también llamados zombies. Envían la información de forma encriptada mediante protocolos P2P similares a los utilizados por edonkey o kademilia (parte del emule).

¿Cuáles son sus principales propósitos?

•  Ataques DDoS (Denegación de servicio distribuída).
• Ya que el Cuartel General controla a en ocasiones millones de ordenadores, y tiene acceso a sus recursos y a su banda ancha es la herramienta ideal para dirigir un ataque de peticiones a un servicio online.
•  Spamming:
• El bot instalado en cada ordenador se apropia de todas las direcciones de email que hay en el ordenador para pasarlas a un gran archivo destinado a spam (correo basura) además de poder utilizar el propio cliente de correo del usuario para enviar emails con un perfil no reconocido como spam por los filtros de correo.
• Sniffing:
•  Análisis de los paquetes de datos que enviamos desde nuestro ordenador para obtener información como contraseñas o hábitos de navegación.
• Keylogging:
• El bot registra las teclas pulsadas en el teclado y lo envía al Cuartel General del que depende en formato de texto plano, que pasará a analizarlo para extraer toda la información posibles (passwords, claves, números de cuenta, etc.)
• Usurpación de identidad o phishing:
• Estos bot pueden adquirir tal cantidad de datos que con ellos se puede suplantar la identidad en internet de una persona y mediante esta realizar otros ataques o cyberdelitos sin miedo a ser identificados, ya que a todos los efectos, actúan como otra persona.
• Fraude mediante click:
• Los bots instalados en miles de ordenadores acceden de forma invisible a una web mediante un enlace que, en origen pertenece a un banner de publicidad, aumentando de forma virtual el número de accesos y así los ingresos por publicidad que recibe una persona.

Algunas botnets famosas:

Ordenadores infectados por el botnet Zeus

• BredoLab -> 30 millones de zombies.
• Mariposa -> 12 millones de zombies.
• Conficker -> 11 millones de zombies. 
• Zeus -> Entre 5 y 12 millones de zombies.

Para saber más: 

FBI vs Coreflood en arstechinca (inglés).

Los federales detienen Coreflood (hablan sobre las consecuencias de este botnet en abcnews (Inglés) 

Sobre las botnet en CNET aquí y aquí (Inglés). 

Interesante vídeo sobre detectar botnets y ataque Men-In-The-Middle (Inglés).