Monitorare le minacce botnet L'antivirus non può vedere

Mentre il software di sicurezza tradizionale in genere controlla solo le comunicazioni in entrata e i download per malware, uno strumento di sicurezza gratuito. BotHunter invece mette in correlazione la comunicazione bidirezionale tra computer vulnerabili e hacker. BotHunter "ribalta il paradigma della sicurezza" concentrandosi sull'uscita, afferma Phillip Porras, un esperto di sicurezza informatica di SRI International e uno dei suoi creatori.

Le botnet sono reti oscure di computer compromessi. In genere il PC viene infettato da malware proveniente dalla posta elettronica o da un sito Web compromesso. L'infezione potrebbe durare un po 'di tempo prima di chiamare un server di comando e controllo che può scaricare malware o arruolare il PC in una campagna di spam o attacco denial of service.

Con BotHunter, un amministratore di rete può vedere quale sistema una rete sta comunicando con un server esterno sconosciuto e agisce rapidamente per fermarlo. BotHunter produce un rapporto che elenca tutti gli eventi rilevanti e le fonti di eventi che lo portano alla conclusione di un'infezione. C'è un punteggio sulla probabilità che il match sia malware.

[Ulteriori letture: Come rimuovere malware dal PC Windows]

BotHunter - un'applicazione che nasce dal progetto di analisi Cyber-Threat di SRI International - si differenzia dai tradizionali Sistemi di rilevamento delle intrusioni mantenendo un registro degli scambi di dati che si verificano in genere quando un PC è infettato da malware. Basta specificare la rete che si desidera monitorare e BotHunter quindi ascolta passivamente, registra il traffico anonimo e occasionalmente invia messaggi in uscita a un database di adware, spyware, virus e worm gestito da SRI International. Attualmente, il progetto sta raccogliendo 10.000 nuovi scambi di dati malware ogni giorno, secondo Porras. Ha detto che BotHunter ha iniziato a riconoscere i modelli di scambio dei dati di Conflicker già nel novembre 2008, molto prima che la minaccia venisse resa popolare da altri fornitori di sicurezza.

Porras afferma che sia il database delle minacce sia i motori di analisi BotHunter sono costantemente controllati per la precisione. Questo viene fatto infettando gli honeynet SRI con malware noti per vedere se BotHunter lo rileva con precisione.

BotHunter, che è gratuito ma non open source, funziona con Unix, Linux, Max OS e Windows XP (anche su desktop standalone PC). Una versione di Windows Vista è attesa a breve. BotHunter non intende essere un sostituto della sicurezza tradizionale (firewall e antivirus), afferma Porras, ma un complemento. Dice che ci sono stati 110.000 download in tutto il mondo dalla sua uscita.

Porras ammette che ci sono alcuni Black Hat, anche alcuni White Hat, che discutono online su vari modi per aggirare BotHunter. Per ora, tuttavia, BotHunter rimane un modo utile per identificare e quindi mitigare i botware sulla rete o sul sistema domestico.

Robert Vamosi è uno scrittore freelance specializzato nella protezione di hacker criminali e malware.