Microsoft, fbi går sammen; forkrøpler halv milliard dollar citadell botnet

Fryde! Citadel botnet har falt! Datamaskinene det en gang var slavert av er gratis, og verden vil bli satt riktig. Vel, ikke helt, men Microsoft kunngjorde i går at de hadde inngått et samarbeid med FBI og andre organisasjoner for å ta 1.462 kjente, uavhengige Citadel-botnett offline.

Handlingen, ledet av Microsoft, blir fakturert som en stor suksess. I en FBI-utgivelse skrev byrået at de deltok "i separate, men koordinerte operasjoner" som involverte Microsoft og andre selskaper. "FBI ga informasjon til utenlandske rettshåndhevelse kolleger, slik at de også kunne iverksette frivillige tiltak på botnet-infrastruktur som ligger utenfor USA, " skrev byrået. "FBI innhentet og serverte også domstolsgodkjenne retterrettigheter innenlands relatert til botnettene."

Takedown

Microsoft begynte sin etterforskning av Citadel i 2012, og oppdaget raskt det enorme omfanget av den ulovlige operasjonen. De skrev i en pressemelding at Citadel hadde smittet over fem millioner datamaskiner i 90 land inkludert USA, Europa, Kina, India og Australia. Microsoft anslår at skadelig programvare var ansvarlig for å stjele en halv milliard dollar fra både enkeltpersoner og selskaper.

Det første trinnet med å ta ned serverne begynte i den amerikanske tingretten for Western District of North Carolina, som autoriserte Microsoft til å avbryte kommunikasjonen mellom 1.462 Citadel-botnett og de infiserte datamaskinene.

"5. juni beslagla Microsoft, eskortert av US Marshals, data og bevis fra botnettene, " skrev programvareselskapet. Dette inkluderte servere fra datahostingsfasiliteter i New Jersey og Pennsylvania.

Ken Pickering, sikkerhetsstrateg i CORE Security, sa at denne typen offentlig-private partnerskap var en god ting. "Det er visse ferdigheter og talenter i privat sektor som ikke er i offentlig sektor, " sa han.

Pickering fortsatte med å si at å ta ned Citadel også er bra for Microsoft. Han forklarte, "dette er utnyttelser av deres produkt og påvirker deres brukerbase."

Hva er Citadel

Hvis du er en vanlig leser av SecurityWatch, har du sannsynligvis sett Citadel nevnt før. Det er sannsynligvis mest kjent for å være den ondsinnede nyttelasten i NBC.com-malvertiseringsdevakelen, der en lovlig kjøpt annonse inneholdt ondsinnet kode.

På tidspunktet for NBC-angrepet sa Malwarebyets til PC Mag at Citadel er basert på Zeus Banking Trojan. I gårsdagens løslatelse om nedtakelsen, ropte Microsoft spesifikt ut Citadels keylogging-evner og hvordan det ble brukt til å kompromittere offerets bankkontoer.

"Fordi operatørene brukte skadelig programvare for å stjele ofrenes legitimasjon på nettbanker og foreta uredelige transaksjoner, støttet ledere av finansielle tjenester, inkludert FS-ISAC, NACHA, ABA, og Agari Microsofts sivile søksmål ved å tjene som erklærere i saken, " skrev Microsoft.

Citadel er bemerkelsesverdig for sin mangfoldighet og enkle montering, og Symantec skriver at den kan kjøpes for rundt 3000 dollar. Disse 1 462 aktive botnettene som er nevnt av Microsoft, er nettverk av infiserte datamaskiner uavhengig av hverandre, men alle kjører den samme - eller lignende programvaren. Forhåpentligvis vil dette sende en melding til andre ville være plager om at Citadel kanskje ikke er det valgte verktøyet.

Selv om det er vanskelig å bestemme det nøyaktige antallet Citadel-botnett i naturen, var Pickering optimistisk. "Jeg tror de forstyrret en stor del av dem, " sa han.

Imidlertid bemerket han også at mange botnett er utenfor USA. "En stor del av botnettene opererer i Ukraina og Russland, " sier Pickering.

Hva blir det neste

Det viktige å huske er at Citadel ikke er død. "På grunn av trusselens størrelse og kompleksitet, forventer ikke Microsoft og dets partnere å eliminere alle botnettene ved hjelp av Citadel, " skrev Microsoft. "Det er imidlertid forventet at denne handlingen vil forstyrre botnettens drift betydelig, noe som vil gjøre det mer risikabelt og dyrere for nettkriminelle å fortsette å gjøre forretninger og la ofre få fri datamaskiner fra skadelig programvare."

Selv om det å ta ned serverne absolutt har ødelagt botnettet, er det sannsynligvis mer verdifullt å øke risikoen og kostnadene for organisasjonene og enkeltpersonene som kjører Citadel botnets. Det meste nettkriminalitet er et tallspill, avhengig av mange suksesser - noen ganger små suksesser - for å tjene penger. Når en angrepsmetode blir for vanskelig eller for dyr, blir kriminelle tvunget til å innovere eller gi opp.

Det viktigste neste trinnet er å fjerne Citadel-malware fra infiserte datamaskiner, slik at Citadel-botnett ikke kan gjenoppstå senere. "Umiddelbart etter forstyrrelsen vil Microsoft bruke trusselinformasjonen som ble samlet under beslaget for å samarbeide med Internett-leverandører og beredskapsteam for datamaskiner over hele verden for raskt og effektivt å varsle folk om datamaskinen deres er infisert, " skrev Microsoft. Hvis du allerede vet at du har blitt smittet, vil verktøy for fjerning av skadelig programvare som vårt Editors 'Choice Malwarebytes Anti-Malware 1.70 være et godt første skritt for å rense datamaskinen din.

Selv om Citadel egentlig ikke er død, er Microsoft, FBI og alle de andre spillerne raske til å påpeke at det bare var en seier å jobbe sammen. Forhåpentligvis får vi flere gode nyheter om andre supergrupper som jobber for å ta ned skurkene.