Skynet: botnet, który ukrył swoje centrum dowodzenia w sieci TOR

Analiz botnetów opartych na próbkach złośliwego oprogramowania albo na dostępie do przejętego serwera C&C nie brakuje w internecie. Znacznie trudniej jednak trafić na sytuację, w której swoje motywy i metody opisuje sam twórca takiej sieci.

Taka właśnie okazja nadarzyła się kilka miesięcy temu, gdy na Reddicie odbyła się sesja AMA (Ask Me Anything) z osobą stojącą za botnetem Skynet. Jego wyróżnikiem jest umieszczenie serwera C&C w sieci TOR. Niedawno firma Rapid7 opublikowała na swoim blogu materiał, w którym połączyła własną analizę kodu z odpowiedziami udzielonymi przez autora, składając to w spójną historię. Oto najważniejsze wnioski z tej lektury.

Prosty sposób na rozprzestrzenianie

Z relacji samego twórcy wynika, że botnet rozprowadzany jest wyłącznie za pomocą sieci Usenet, podszywając się pod instalator popularnego oprogramowania, na którym zależy użytkownikom. Autor nie musiał sięgać po exploit packi czy podatności 0-day w Firefoksie - wystarczyło skłonić odpowiednio dużą grupę osób, by same zainstalowały złośliwy plik. Struktura Usenetu, polegająca na replikowaniu plików między wieloma serwerami, powoduje, że raz opublikowanego pliku trudno się pozbyć. Do tego Usenet nie jest priorytetem dla organów ścigania, a wciąż stanowi popularne źródło nielegalnego oprogramowania. To wszystko razem sprawia, że taka dystrybucja jest jednocześnie niedroga i efektywna.

Jak zbudowany jest bot

Próbka zdobyta przez analityków Rapid7 była rozpoznawana przez zaledwie 7 z 42 silników antywirusowych, i to nie dzięki sygnaturze, lecz jedynie w wyniku analizy heurystycznej. To sugeruje, że autor regularnie musi wypuszczać nowe wersje bota, aby unikać wykrycia.

Kod bota składa się z trzech głównych elementów: klienta IRC opartego na typowym bocie Zeus, windowsowej wersji klienta sieci TOR oraz programu CGMiner służącego do kopania Bitcoinów. Kluczową rolę odgrywa klient TOR, ponieważ serwer C&C działa jako usługa ukryta w tej sieci, posiadając adres w domenie .onion. Dzięki temu eliminowane jest jedno z głównych zagrożeń dla botnetów niekorzystających z architektury p2p, czyli ryzyko utraty kontroli nad serwerem C&C. Warto dodać, że koncepcja umieszczenia C&C w sieci TOR była prezentowana już dwa lata wcześniej podczas konferencji Defcon.

Konstrukcja sieci TOR sprawia, że fizyczna lokalizacja serwera C&C jest praktycznie niemożliwa do ustalenia. Ten sposób komunikacji ma jeszcze inne zalety: cała transmisja między klientem botnetu a C&C jest automatycznie szyfrowana, bez potrzeby wdrażania dodatkowych mechanizmów. Domeny .onion nie można przejąć, by przekierować ruch klientów do serwera kontrolowanego przez badaczy. Przeniesienie centrum dowodzenia na inny serwer wymaga jedynie skopiowania prywatnych kluczy z poprzedniej maszyny.

Komunikacja po staremu

Pierwsze botnety powstawały z botów nadzorujących kanały IRC, więc protokół ten był standardem komunikacji jeszcze dekadę temu. Dziś większość botnetów opiera się na ruchu HTTP, który łatwo przechodzi przez firewalle, ale Skynet trzyma się sprawdzonego, klasycznego IRC.

Zestaw komend, jakimi dysponuje bot, nie jest szeroki. Umożliwia zbieranie danych z zarażonego komputera, otwieranie portu SOCKS, aktualizację samego bota oraz przeprowadzanie atakow DDoS w wariantach SYN flood, UDP flood, Slowloris oraz HTTP flood.

Dwa centra dowodzenia naraz

Co interesujące, niezależnie od komunikacji IRC z głównym C&C, bot łączy się równolegle z klasycznym serwerem C&C Zeusa, który również działa w sieci TOR. Autor wykorzystuje Zeusa w standardowy sposób - do kradzieży loginów i haseł z popularnych serwisów społecznościowych, poczty i systemów finansowych.

Skąd płyną zyski

Głównym źródłem dochodów twórcy botnetu jest wydobycie Bitcoinów, przy wydajności sieci na poziomie około 20 GH/s. Siedem miesięcy temu wyliczał on swoje przychody na około 40 dolarów dziennie. Aby zmniejszyć szansę wykrycia, kopanie BTC włącza się dopiero po co najmniej dwóch minutach braku aktywności użytkownika i natychmiast zatrzymuje się, gdy pojawi się jakikolwiek ruch na komputerze. Obciążenie karty graficznej ograniczono do 60%, co ma zapobiegać przegrzewaniu i głośnej pracy wentylatorów.

Drugim strumieniem przychodów jest handel danymi wykradzionymi przez Zeusa. Autor przyznaje, że nie analizuje ich samodzielnie, lecz zbywa hurtowo na czarnym rynku, co od czasu do czasu przynosi mu kilkaset dolarów.

Skąd łączą się boty

Zespołowi analityków udało się zidentyfikować lokalizację części klientów botnetu. Zauważyli, że badany przez nich klient otrzymał komendę przeprowadzenia ataku DDoS na jedną z firm w Holandii. Po kontakcie z administratorami tej firmy badacze uzyskali listę adresów IP maszyn uczestniczących w atakuu.

Mapa rozprzestrzenienia botnetu przygotowana przez Rapid7 wskazuje, że najwięcej zainfekowanych komputerów znajduje się w Niemczech i Holandii. Kilkadziesiąt zarażonych stacji zlokalizowano również w Polsce.

Podsumowanie

Choć od publikacji wywiadu na Reddicie minęło już siedem miesięcy, wszystko wskazuje na to, że sieć Skynet nadal funkcjonuje bez większych zakłóceń, co dowodzi skuteczności przyjętego przez autora modelu działania. Nie można też przeoczyć, że kilkanaście tysięcy dodatkowych węzłów wykorzystywanych przez botnet niejako przy okazji zwiększa wydajność całej sieci TOR.

Źródło: Zaufana Trzecia Strona