От обнаружения до уничтожения: как охотятся на ботнеты

[BOOX]

Количество бот-атак в России за 2024 год выросло на 30% по сравнению с 2023 годом, достигнув 1,7 млрд паразитных обращений.

И по прогнозам экспертов, мощности бот-атак будут только расти: предполагается, что в будущем злоумышленники приблизятся к полной имитации человеческого поведения, что значительно осложнит отражение бот-атак. В статье рассмотрим, как защититься от бот-атак, а также какие методы обнаружения и стратегии разрушения сетей зараженных устройств существуют.

Методы обнаружения​

Точное количество активных ботнетов сегодня назвать сложно, так как это динамически меняющаяся величина, и многие ботнеты остаются скрытыми или не обнаруживаются сразу. Ежегодно обнаруживаются десятки тысяч новых ботнетов. При этом одновременно могут быть активны тысячи сетей, контролирующие миллионы зараженных устройств по всему миру.

Ботнеты распространяются глобально, но наибольшая активность наблюдается в регионах с большим количеством уязвимых устройств (например, страны с низким уровнем кибергигиены или слабой защитой IoT-устройств).

Боты могут совершать атаки на приложения, API и серверные службы. Зараженные устройства могут скликивать рекламу, использоваться для DDoS-атак и майнинга криптовалюты. Чтобы снизить последствия заражения, необходимо быстро обнаружить мошеннический трафик. Для этого ИБ-специалисты используют различные методы.

Фильтрация по IP-адресам и анализ сетевого трафика. Ботнеты часто используют множество устройств, расположенных в разных сетях, для выполнения атак (например, DDoS) или рассылки спама. Фильтрация по IP позволяет обнаружить аномально высокое количество запросов с определенных адресов или диапазонов, что может указывать на вредоносную активность.

У трафика ботнетов есть широкий перечень параметров. Некоторые параметры у ботнета неизменные, иные, напротив, обладают избыточной изменчивостью.

Если есть исторические данные для сервиса хотя бы за несколько дней, а перечень снимаемых с трафика параметров исчисляется как минимум многими десятками, то выделить и оценить количество нового трафика, как правило, не представляется чем-то сложным.

Вопрос в том, есть ли инструменты быстро подготовить и выкатить наборы правил для блокировок/противодействия ботнету с приемлемым уровнем False Positive.

Ботнеты управляются через Command & Control серверы, с которых злоумышленники отправляют команды зараженным устройствам. Выявить эти серверы помогает анализ IP-адресов, с которых поступают подозрительные команды.

Готовые стоп-листы. Существуют базы данных (например, Spamhaus, AbuseIPDB, AlienVault OTX), которые содержат списки IP-адресов, связанных с известными ботнетами или вредоносной активностью. Кроме того,

Для просмотра ссылки необходимо нажать Вход или Регистрация

также могут предоставить данные об угрозах ботнетов. Фильтрация позволяет блокировать трафик с этих адресов, предотвращая взаимодействие ботнета с командным сервером или целевыми системами.

Обнаружение на основе сигнатур. Использование сигнатур вредоносных программ для обнаружения известных вредоносных программ ботнетов эффективно, но не работает против новых или измененных угроз.

Мы в SkyDNS в случае с подобными маскировками, анализируем трафик пользователя и ищем запросы к уже известным нам ботнетам и сетям. Если обращения к C2С или зараженным узлам зафиксировано, то мы считаем трафик с этого клиента/устройства подозрительным. Далее из трафика выделяем неизвестные нам домены, которые также по умолчанию попадают под подозрение. А то, что осталось, – по умолчанию считается ботнетами, и перепроверяются по историческим данным (Passive DNS), владельцам и принадлежности к хакерским группировкам. Переходы на такие сайты будут блокироваться.

Кроме того, мы используем частотный анализ количества запросов от пользователя, и при всплеске трафика будет произведена блокировка и оповещение в службу ИБ.

Поведенческий анализ. ИБ-специалисты разрабатывают модели машинного обучения, которые автоматически идентифицируют необычную активность: подключение к нестандартным портам или сервисам, большое количество запросов за короткий промежуток времени, сканирование портов и т. д.

Honeypots. Honeypot — система-приманка, которая предназначена для привлечения и обнаружения ботнетов. Установив honeypot, организации могут наблюдать за поведением ботнетов и собирать информацию о методах и инструментах, используемых в атаках ботнетов.

Разрушение ботнета​

Ряд уникальных функциональных особенностей ботов и ботнетов делают их хорошо подходящими для долгосрочных вторжений. Владелец ботнета может обновлять ботов, чтобы изменить всю их функциональность в зависимости от того, что он/она хотел бы, чтобы они делали, и адаптироваться к изменениям и контрмерам целевой системы.

Боты также могут использовать другие зараженные компьютеры в ботнете в качестве каналов связи, предоставляя ботоводу практически бесконечное количество путей связи для адаптации к изменяющимся параметрам и доставки обновлений. Это подчеркивает, что заражение является наиболее важным шагом, поскольку функциональность и методы связи всегда можно изменить позже по мере необходимости.

Поскольку удаленный ботовод управляет зараженными компьютерами, ботнет можно сравнить с наличием в вашей сети злонамеренного хакера, а не просто вредоносной исполняемой программы. В случае заражения устройств быстрое реагирование на инцидент имеет решающее значение. Реагирование на инцидент включает в себя следующие шаги:

• Изоляция. Отключение затронутых устройств от сети для предотвращения дальнейшего распространения.
• Устранение. Удаление вредоносного ПО со взломанных устройств с помощью инструментов безопасности.
• Восстановление. Восстановление систем из чистых резервных копий и обеспечение обновления всех мер безопасности.
• Анализ после инцидента. Расследование нарушения с целью понять, как оно произошло, и предотвратить будущие инциденты.

Чаще всего, это закрытие уязвимостей, благодаря которым происходит проникновение на компьютеры, попадание в антивирусные базы и тому подобное. Также исследователи могут точно выяснить все источники команд для конкретной версии ПО и попытаться обрубить этот канал взаимодействия — например, связать с провайдерами контрольного сервера ботнета или модерации соцсети для закрытия вредоносной страницы сайта.

Можно добиться уничтожения центров управления ботнетами. Если ботнет использует архитектуру клиент-сервер, его можно нейтрализовать, отключив главный сервер или серверы, которые его контролируют. Для отключения центра управления ботнетом обычно требуется обращение к провайдеру и поддержка правоохранительных органов.

Ботнеты теряют эффективность из-за блокировки C&C, обновления защиты на устройствах или изъятия инфраструктуры правоохранительными органами. Кроме этого, внутренние конфликты между «хакерами» и технические сбои могут привести к постепенному исчезновению ботнета. Повышение осведомленности пользователей в вопросах информационной безопасности, использование машинного обучения для оперативного выявления аномалий, своевременное обновление устройств также снижают скорость распространения ботнетов и их конечную эффективность.

ИБ-специалисты могут выяснить, кто стоит за тем или иным ботнетом, проанализировав вредоносный код.

Чтобы понять, кто стоит за ботнетом, специалисты анализируют вредоносный код. Даже если он зашифрован или обфусцирован, можно выявить характерные паттерны, которые указывают на его происхождение. Ошибки в коде, структура команд, язык интерфейса и другие детали помогают установить связь с известными хакерскими группами. Также сравнивают обнаруженные образцы с базами данных угроз — если ботнет использовался раньше, можно найти его «подпись» и определить, кто за ним стоит.

Ботнет может перестать существовать, если будут обнаружены и арестованы владельцы сети зараженных устройств. Нередко для таких операций требуется, чтобы сотрудничали сразу несколько государств и оказывали друг другу всевозможное содействие. Например, в 2024 году Европол провел международную

Для просмотра ссылки необходимо нажать Вход или Регистрация

(«Конец игры») против глобальной сети ботнетов, которая включала IcedID, SystemBC, Pikabot, Smokeloader и Bumblebee. Операция привела к четырем арестам и отключению более 100 серверов по всему миру.

Заключение​

Борьба с ботнетами остается одной из ключевых задач в области кибербезопасности. Эти скрытые и высокоорганизованные сети представляют серьезную угрозу для частных пользователей, корпораций и государственных структур. Однако благодаря современным методам обнаружения, таким как анализ сетевого трафика, фильтрация IP-адресов, машинное обучение и координация между международными организациями, мы можем эффективно выявлять и разрушать ботнеты.

Поскольку ботнеты трудно обнаружить, организации должны уделить внимание предотвращению появления ботнетов.

Для этого необходимо:

• своевременно обновлять ПО и ОС;
• установить и вовремя обновлять антивирусное ПО;
• обучать сотрудников информационной гигиене, в том числе распознавать фишинг и сообщать о подозрительных активностях ИБ-специалисту;
• отключить неиспользуемые сервисы;
• использовать брандмауэр;
• использовать надежные пароли и многофакторную аутентификацию.

В будущем развитие искусственного интеллекта и более тесное международное сотрудничество могут стать решающими факторами в борьбе с этим постоянно эволюционирующим видом киберугроз. Оставаться на шаг впереди злоумышленников — это не просто задача, а необходимость для обеспечения безопасности в цифровую эпоху.

Для просмотра ссылки необходимо нажать Вход или Регистрация