[NEWS] Superobamaonline su probabile Waledac botnet

[c.m.g]

Originariamente inviato da @Sirio@

Così a naso.. sembra sempre lui.

Spero che arrivi anche tra il mio spam

Ciao c.m.g

certo che è lui

ciao

[Edgar Bangkok]

mercoledì 4 febbraio 2009

Sono sempre attivi molti dei domini Waledac visti nei giorni scorsi
Eco un elenco verificato con Webscanner di domini Waledac che linkavano alla pagina che distribuisce il malware.
(img sul blog)
Ora VT dimostra nuovamente un basso riconoscimento del pericolo, almeno da quanto si nota dalla scansione on line del file malware.
(img sul blog)

Queste invece alcuni parti del contenuto di un articolo apparso su Lavasoft Blog

Si tratta di una intervista a Jeremy Conway, un ricercatore indipendente di sicurezza che scrive su Sudosecure.net e che ha attivato uno stretto monitoraggio della botnet Waledac

----------------------------------------------------------------------------------------

* Come stai seguendo Waledac botnet e da quanto tempo e' apparsa in rete ?

“Waledac apparve per la prima volta a meta' dicembre, ed ho iniziato un tracking 'aggressivo' di monitoraggio dopo il 2 gennaio.
Per monitorare questo worm, ho scritto degli scripts che sfruttano la struttura double flux di Waledac botnet..........
L'altra parte del mio monitoraggio consiste nel recuperare l'eseguibile Waledac ogni 30 minuti ed eseguire un semplice MD5 sul file per identificarne le nuove versioni ..................”

* Come vengono infettati i computers ?

"Il principale obiettivo di Waledac botnet e' quello di distribuire spam.
Spam template sono passati con un sistema HTTP peer to peer tra i computer infetti, questo e' anche il motivo per cui molti ricercatori si riferiscono al Waledac come HTTP P2P botnet..........
Gli utenti vengono infettati sfruttando tecniche di ingegneria sociale attraverso messaggi di spam.
Ci sono stati diversi temi:
Il primo e' stato un tema di Natale in cui all'utente e' stato detto che ha ricevuto una cartolina postale o e-card da un amico ed e' stato chiesto di scaricarla.
Il secondo grande tema era un tema politico che tentava di sfruttare l'inaugurazione e la popolarita' del presidente Obama.
Questo tema ha inviato numerosi messaggi di spam che sembravano essere notizie del tipo “Barack Obama ha rifiutato di essere presidente".
Questi messaggi di spam puntavano ad un finto blog di Obama con tutti i link presenti che proponevano all'utente finale di scaricare ed eseguire il trojan Waledac .
Il terzo e attuale tema e' un tema di San Valentino con messaggi del tipo "Qualcuno ti ama"............

* Quale e' la portata della botnet di PC compromessi creata? Che nazione ha la maggioranza dei PC infetti ?

"Waledac" botnet "ha circa 20.000 – 30.000 nodi infetti e sta crescendo.
Questa stima e' stata ricavata dalla scansione della botnet e l'analisi di computer infetti; la Cina sembra essere la regione piu' duramente colpita, seguita da La Repubblica di Corea, e poi gli Stati Uniti.
Sono stato personalmente sorpreso di trovare gli Stati Uniti, come solo la terza nazione piu' infettati visto il tema specifico per gli USA relativo a Obama."

* Che cosa si conosce circa gli autori di questo malware?

"Molto poco e' veramente conosciuto sui veri autori del Trojan Waledac, ma si sospetta che i russi di Business Network (RBN) siano coinvolti.
Credo che questo sospetto derivi da tanti ricercatori che pensano che Waledac sia il sostituto di Storm Worm .................. ".

* Quali consigli daresti agli utenti di computer per prevenire l'infezione ?.

"Il miglior consiglio che posso dare agli utenti e' di non scaricare files eseguibili da siti che sostengono che e' necessario installare files per visualizzare ulteriori contenuti del sito web.
La maggior parte dei siti Web legittimi non chiede agli utenti di scaricare un software aggiuntivo per visualizzare il loro contenuto.
Un altro consiglio che posso dare e' di non aprire i messaggi e-mail da persone che non conosci, e non seguire i link all'interno di questi messaggi.
Dopo di che, sarebbe opportuno anche avere sempre il software antivirus aggiornato e funzionante. "

Articolo completo dell'intervista su http://www.lavasoft.com/company/blog/?p=502

----------------------------------------------------------------------------------------------

Per quanto si riferisce ai miei report ottenuti con mezzi molto piu' semplici c'e' comunque da notare che sono abbastanza allineati con i risultati molto piu' precisi ed affidabili ottenuti dal tracker sudosecure.net.

Sia il report del tracker che anche i report ottenuti semplicemente con un whois ciclico concordano nell'indicare che in questi ultimi giorni , anche se Cina e Korea sono sicuramente ai primi posti come macchine infette, l'elenco delle nazioni coinvolte nella botnet che vengono linkate al momento e' cambiato.
(img sul blog)
Come si vede in una breve scansione fatta con lo script Autoit la Cina non appare nell'elenco degli IP facenti parte della botnet ed anche la Korea appare in maniera abbastanza ridotta.

Ricordo come sempre che sia i domini elencati che molti degli IP nel report possono essere ancora attivi e linkare al file malware. Prendete quindi tutte le precauzioni del caso (noscript, sandboxie o pc virtuale) se volete esaminare i links proposti e il relativo file malware.

Edgar

fonte: http://edetools.blogspot.com/2009/02...-febbraio.html

[Edgar Bangkok]

giovedì 5 febbraio 2009

La percentuale di IP provenienti da macchine italiane facenti parte della botnet Waledac sembrerebbe in aumento
Questi alcuni degli indirizzi IP rilevati ieri e relativi all'Italia
(img sul blog)
Un verifica di alcuni di questi confermava che erano indirizzi IP che puntavano effettivamente a macchine infette
(img sul blog)
Anche questa mattina (ora thai) appaiono nel report dello script whois alcuni IP riconducibili all'Italia
(img sul blog)
che verificati aprono pagine Waledac con il tema di San Valentino.
(img sul blog)

E distribuiscono i 'soliti' files eseguibili malware
(img sul blog)
che al momento VT vede come
(img sul blog)

Edgar

fonte: : http://edetools.blogspot.com/2009/02...-febbraio.html

[Edgar Bangkok]

venerdì 6 febbraio 2009


Per verificare se uno script che esegue un whois ripetuto di un dominio Waledac possa avvicinarsi a fornire dati attendibili al riguardo della distribuzione dei PC infetti della omonima Botnet ho voluto fare alcuni test al riguardo della distribuzione degli IP.
Per questo ho confrontato i risultati forniti dal tracker Waledac di sudosure.net con quelli ottenuti eseguendo lo script Autoit con whois ripetuto sul dominio Waledac attivo yourgreatlove.com

Per eseguire un confronto tra i dati ottenuti con lo script e quelli con il tracker, lo stesso script e' stato eseguito per circa 5 ore (questa mattina 6 febbraio dalle ore 7 alle 12 ora thai) sul dominio yourgreatlove.com ed ho poi provveduto ad acquisire gli IP rilevati dal Tracker Sudosecure per l'equivalente intervallo di tempo. (7 -12)

A questo punto ho eseguito un conteggio degli IP suddivisi per nazione ed acquisiti con i due metodi e trasformato i valori in percentuale in quanto attraverso lo script whois la quantita' di IP catturati e' piu' alta del numero di IP presenti sul report del Tracker sempre per uno stesso intervallo di tempo.

Ai dati acquisiti tramite script inoltre e' stato applicato un filtro per eliminare gli IP duplicati.

Ecco i risultati ottenuti
(img sul blog)
che hanno superato tutte le aspettative in fatto di convergenza dei valori trovati.

Come si puo' notare ad esempio la percentuale degli IP rilevati di provenienza USA per una scansione di cinque ore del dominio yourgreatlove.com e quasi identica a quello rilevata con il tracker, ma anche altri valori sono abbastanza vicini.

Inoltre ho voluto verificare se, come prevedibile, IP acquisiti con i due sistemi fossero identici come valore (esempio su IP di provenienza UK)
(img sul blog)
ed infatti abbiamo una grande quantita di stessi numeri IP tra quelli rilevati dal tracker (in giallo) e quelli dello script whois (in verde) (in rosso i valori uguali)

Sembra quindi confermato che, anche nella sua estrema semplicita', l'eseguire un whois ripetuto su un dominio botnet sia abbastanza indicativo della provenienza dei pc che fanno parte della rete di macchine compromesse anche se evidentemente il tracker simula molto piu' da vicino il comportamento di un pc in rete botnet e quindi acquisisce i risultati con maggiore precisione.

Come commento ai risultati c'e' da notare come l'Italia , limitatamente all'intervallo di tempo preso in considerazione e in entrambi i report (script e tracker) si piazzi al quinto posto della graduatoria il che dimostra una certa attenzione agli IP italiani da parte della botnet, mentre anche il Regno Unito passa al secondo posto con notevole incremento di pc infetti
Invece sia la Korea che la Cina (non presente nel report del Tracker) passano in posizioni molto piu basse anche se si stima che abbiano ancora il maggior numero di PC compromessi online.

In riferimento al numero di pc infetti per nazione va sempre comunque ricordato che la variare dell'orario di acqusizione varia la percentuale di macchine infette online per quella zona del globo (es. ore serali giorni festivi ecc....).

Edgar

fonte: http://edetools.blogspot.com/2009/02...verifiche.html

[c.m.g]

Waledac, il ritorno delle botnet su punto informatico