Typowy cykl życiowy spamu, który pochodzi z botnetu:
(1) Strona spamera (2) Spamer (3) Spamware (4) Zainfekowane komputery (5) Wirus albo trojan (6) Serwery pocztowe (7) Użytkownicy (8) Ruch internetowy

Storm botnet albo po prostu Storm – grupa komputerów "zombie" (botnet) kontrolowana na odległość. Storm botnet wykorzystywany jest w wielorakich dziedzinach wirtualnej przestępczości.

Oryginalnie stał się zidentyfikowany w styczniu 2007. W pewnym momencie Storm worm stanowił 8 proc. całego złośliwego oprogramowania znajdującego się na komputerach z systemem Microsoft Windows^[1]. Wedle szacunków z marca 2008, 20% światowego spamu pochodzi z botnetu Storm^[2].

Wielkość sieci

We wrześniu 2007 oszacowano, iż Storm może składać się z od 1 miliona do 50 milionów systemów komputerowych połączonych dzięki Storm Worm, koniowi trojańskiemu, który rozpowszechnił się poprzez spam e-mailowy^[3]. Odmienne źródła umiejscawiają oszacowaną liczbę pomiędzy 250 tys. a 1 mln systemów. Pewien specjalista od bezpieczeństwa sieciowego twierdzący, iż stworzył oprogramowanie, które może poruszać się pomiędzy zainfekowanymi komputerami mówi, że zainfekowanych komputerów jest zaledwie 160 tys.^[4].

Na podstawie danych z września 2007 roku stwierdzono, iż Storm botnet ma możliwość odcięcia od internetu całego kraju oraz ma potencjalną możliwość wykonywania większej liczby obliczeń na sekundę, niż najlepsze superkomputery^[5]. Jednak nie jest to trafne porównanie; wedle specjalisty od bezpieczeństwa sieciowego Jamesa Turnera, analogicznie da się porównać "armię snajperów oraz broń jądrową"^[6]. Bradley Anstis, pracownik brytyjskiej firmy Marshall, stwierdził, iż: "Bardziej niepokojąca jest możliwość obciążenia internetu. Wystarczy pomnożyć możliwość ADSL razy 40 milionów. To bardzo duży transfer. Jest to bardzo niepokojące. Mając takie zasoby w zasięgu ręki, da się wykonać dystrybuowane ataki typu DoS przeciwko hostom"^[6].

22 kwietnia 2009 świat obiegła informacja jaką podała firma Finjan, która od miesięcy obserwuje Storm botnet składający się z 1,9 miliona przejętych komputerów^[7].

Początki

Oryginalnie wykryty w styczniu 2007 roku, jego nazwa pochodzi od angielskiego wyrazu storm oznaczającego burzę, nawiązując do pierwszych e-maili rozpowszechniających robaka, których tytułem było "230 dead as storm batters Europe" (pol. 230 zabitych podczas burzy w Europie). Później korzystano z innych prowokujących tytułów jak "Amerykański samolot zestrzelony przez chińską rakietę" czy "Saddam Husajn żyje!"^[3]. Po uruchomieniu załącznika dołączonego do e-maila, komputer zostaje zainfekowany robakiem Storm Worm. Jedynym systemem, który może zostać zainfekowany robakiem jest system Microsoft Windows.

Dziennikarz komputerowy Mark Stephens, piszący pod pseudonimem Robert X. Cringely twierdzi, iż główna wina istnienia Storm Botnet obciąża Microsoft oraz Adobe Systems. Pisze: "Jednym ze sprawców muszą być twórcy Flash, IE, Outlook oraz P-Point. Nadal płacimy za lata, w których Adobe oraz Microsoft beztrosko ignorowali luki bezpieczeństwa, choć wydaje się, iż teraz starają się już bardziej"^[8]. Wedle Patricka Runalda Storm, "botnet jest mocno skoncentrowany na Ameryce oraz prawdopodobnie ma swoich agentów na terenie" Stanów Zjednoczonych^[9]. Inni eksperci twierdzą jednak, iż osoby kontrolujące ten botnet są Rosjanami, cytując, iż oprogramowanie Storm ma nienawistne odniesienia do moskiewskiej firmy komputerowej Kaspersky Lab oraz zawiera rosyjski wyraz "buldozhka" oznaczający bulldoga^[10].

Struktura

Storm botnet (lub "sieć zombie") składa się z komputerów z zainstalowanym systemem operacyjnym Microsoft Windows, jako że jest to wyłączny system podatny na robaka Storm Worm^[5]. Po infekcji komputer staje się botem oraz zaczyna wykonywać automatyczne zadania – od pobierania danych o użytkowniku po atakowanie stron internetowych oraz wysyłanie zainfekowanych e-maili bez wiedzy użytkownika. Oszacowana liczba komputerów zajmująca się rozsyłaniem złośliwego oprogramowania Storm poprzez załączniki w wiadomościach to liczba pomiędzy 5 a 6 tys.; w samym wrześniu 2007 roku wysłanych było ponad 1,2 mld zainfekowanych wiadomości, z rekordowym wynikiem 57 mln wysłanych 22 sierpnia^[5]. Lawrance Baldist, specjalista komputerowy stwierdził, iż "summa summarum Storm rozsyła miliardy wiadomości dziennie. Z łatwością może podwoić tę liczbę"^[3]. Jedną z metod do przyciągania ofiar do spreparowanych stron internetowych jest reklamowanie serwisów oferujących darmową muzykę takich artystów, jak Beyoncé Knowles, Kelly Clarkson, Rihanna, The Eagles, Foo Fighters, R. Kelly czy Velvet Revolver^[11].

Serwery back-end kontrolujące działanie botnetu oraz Storm worma automatycznie szyfrują swoje oprogramowanie infekujące dwukrotnie w ciągu godziny, co sprawia iż jest one trudne do wykrycia przez programy antywirusowe oraz utrudnia zmniejszenie rozpowszechniania się robaka. Dodatkowo, serwery, które kontrolują botnet, są schowane za permanentnie zmieniającym się DNS, stosując technikę nazywaną "fast flux", przez co trudno zlokalizować serwery www oraz poczty dystrybuujące wirusa. Operatorzy Storma kontrolują botnet korzystając z technik peer-to-peer, co utrudnia monitorowanie oraz blokowanie systemu^[12]. Nie istnieje jedno, centralne miejsce zarządzające systemem, które da się by było zablokować. Storm dodatkowo wykorzystuje z szyfrowanego połączenia^[13]. Próby zainfekowania komputerów z reguły rozchodzą się wokół przekonania użytkownika do uruchomienia załącznika w e-mailu, korzystając z chwytów socjotechnicznych. Przykładowo, kontrolerzy botnetu wykorzystali rozpoczęcie rozgrywek ligi NFL, największej zawodowej ligi futbolu amerykańskiego, rozsyłając programy "oferujące" programy do analizy wyników meczów, które nie robiły nic poza infekcją komputera^[14]. Wedle Matta Sergeanta, głównego specjalisty od technologii anty-spamowych w firmie MessageLabs, "Jeśli chodzi o moc, botnet ten kompletnie przewyższa superkomputery. Jeśli zsumujesz 500 najlepszych superkomputerów oraz tak przewyższy je zaledwie swoimi 2 milionami komputerów. Jest to przerażające, iż kryminaliści posiadają dostęp do takiej mocy, a my nie możemy zbyt dużo w tej sprawie zrobić"^[5]. Szacuje się, iż na razie używane jest zaledwie 10%-20% całkowitej mocy Storma^[15].

Specjalista od bezpieczeństwa sieciowego Joe Stewart opisał szczegółowo proces, w jakim maszyny dołączają do botnetu: próby połączenia z botnetem są wykonywane poprzez uruchamianie serii plików EXE znajdujących się w danym systemie. Zwykle nazywane są jak ciąg od game0.exe do game5.exe albo podobnie, oraz wykonują następujące czynności^[16]:

1. game0.exe - Backdoor/"ściągacz"
2. game1.exe - Przekaźnik SMTP
3. game2.exe - Złodziej adresów e-mail
4. game3.exe - "Rozprzestrzeniacz" zainfekowanych e-maili
5. game4.exe - Narzędzie do ataków typu DoS
6. game5.exe - Zaktualizowana kopia "umiejscawiacza" robaka Storm

Przy każdym etapie następuje połączenie z botnetem; fast flux DNS utrudnia śledzenie tego procesu. Kod ten uruchamiany jest z %windir%\system32\wincom32.sys na systemie Windows poprzez rootkit kernela, a wszystkie połączenia do botnetu wykonywane są poprzez zmodyfikowany protokół eDonkey/Overnet.

Przypisy