G Data odkrywa botneta w sieci Tor

[ichito]

Sieć Tor kojarzy się nam raczej z niezachwianym poczuciem bezpieczeństwa i anonimowości...niestety to złudne wrażenie i nawet pomijając

[Aby zobaczyć linki, zarejestruj się tutaj]

z ubiegłego roku, jest teraz nad czym poważnie się zastanowić. Otóż...

Specjaliści z niemieckiej firmy G Data Software wykryli nowy botnet, który choć pod wieloma względami przypomina inne sieci zombie-PC, to jednak ma pewną unikalną cechę - jest kontrolowany za pomocą serwera IRC uruchomionego w anonimizującej sieci Tor. Zdaniem ekspertów, zlikwidowanie takiego botnetu może być wyjątkowo trudnym zadaniem.
Sieć Tor stworzono z myślą o zapewnieniu użytkownikom maksymalnej anonimowości - system funkcjonuje w oparciu o sieć routerów cebulowych, za pośrednictwem których przesyłane są zapytania i dane od użytkownika do serwera (np. strony WWW czy serwera IRC). Taka budowa sieci sprawia, że bardzo trudne jest prześledzenie ścieżki, jaką przesyłane są informacje, a także określenie fizycznej lokalizacji użytkownika czy serwera.
Z pewnością na to właśnie liczyli twórcy nowego botnetu - ponieważ do wysyłania komend do komputerów wchodzących w skład sieci wykorzystują serwer IRC działający jako ukryta usługa w sieci Tor. Specjaliści z G Data Software przyznają, że dla przestępców takie rozwiązanie ma wiele sensu, bo w tej sytuacji zlikwidowanie systemu sterowania bonetem może być znacznie trudniejsze niż w przypadku tradycyjnych serwerów command & control (zwykle ich namierzenie nie jest skomplikowane).
(...)
Warto jednak odnotować, że zastosowanie Tora do kontrolowania złośliwego oprogramowania ma również pewne wady - sieć znana jest bowiem z powolnego i niestabilnego działania (te cechy zaobserwowano również w analizowanym botnecie).

Całość artykułu

[Aby zobaczyć linki, zarejestruj się tutaj]

Krótki cytat jeszcze z artykułu na blogu G Data w tym temacie

[Aby zobaczyć linki, zarejestruj się tutaj]

This gains the botnet owner several advantages:

The server is anonymous and thus cannot point to the botnet owners’ identity.
The server cannot be taken down easily.
The traffic is encrypted by Tor, so it can’t be blocked by Intrusion Detection Systems.
Tor traffic usually cannot be blocked altogether, because there are also legit use cases for Tor.
The bot creator does not necessarily have to generate a custom protocol, but can use the known and reliable IRC protocol.

Źródło cytatu

[Aby zobaczyć linki, zarejestruj się tutaj]