Botnet 2.0 con Twitter

Perché ostinarsi con i canali IRC? Oramai con il Web 2.0 anche le botnet devono essere più "trendy" (e anche più furbe). E quindi il "Command & Control" è facilmente attuabile da cellulari, smartphone, portatili, desktop lasciati incustoditi, e tanto altro. In questo modo potrete comandare la vostra botnet direttamente dalla spiaggia! Questo spostamento di protocollo di trasmissione da IRC al caro e "offuscante" HTTP non è ovviamente un caso, ma una opportunità!

Il video (Symantec) mi sembra molto eloquente:

Allego qui di seguito il bel post dell'amico Maddler sull'argomento:

Uno dei problemi principali nella realizzazione di una botnet è sicuramente legato alla necessità di poter contattare i PC infetti per poter inviar loro i comandi di gestione. La tecnica più diffusa, almeno sino ad ora, era di utilizzare IRC a tale scopo. Gli zombie si connettono ad un server, entrano in un canale e restano in attesa che il master invii loro i comandi. Dal punto di vista della difesa si tratta però di una tecnica facilmente neutralizzabile, utilizzando soluzioni di firewalling e/o proxy. Ma si sa, viviamo in un mondo in continua evoluzione ed era inevitabile che anche le botnet arrivassero al 2.0 e per farlo quale migliore soluzione che utilizzare uno dei siti 2.0 per definizione? Twitter!

Rispetto all’impiego di IRC i vantaggi sono immediati. Nella stragrande maggioranza delle reti “aziendali” IRC è bloccato e in ogni caso una connessione verso un server ad alta frequentazione come è Twitter dà sicuramente molto meno nell’occhio di quanto non possa accadere per una connessione verso lkjawer.da.ru.

La tecnica resta sostanzialmente invariata. Il PC infetto si connette tramite web e segue il feed dell’account Twitter del master e, come avviene per IRC, resta in attesa delle istruzioni da seguire. In alcuni casi i comandi venivano inviati “in chiaro”, rendendo di fatto facilmente tracciabili gli account utilizzati per il controllo delle botnet. Nelle versioni più recenti del tool i comandi sono invece offuscati, rendendo di fatto più difficile la caccia.

Il master può utilizzare sia tweets in chiaro

che offuscati per comunicare con gli zombie

Il messaggio in BASE64 nell’immagine sopra contiene il link di malware da scaricare sulle macchine controllate.

$ echo "aHR0cDovL2JpdC5seS9SNlNUViAgaHR0cDovL2JpdC5seS8yS29Ibw==" 

  \  |openssl base64 -d   hxxp://bit.ly/R6STV  hxxp://bit.ly/2KoHo

In questo momento la ricerca per “.REMOVEALL” non restituisce alcun risultato. E` improbabile che ciò indichi che tutte le twitter botnet siano state identificate e bloccate, molto più probabile invece che si sia diffusa la variante più recente, con l’invio di comandi offuscati.

La neutralizzazione di questo tipo di botnet risulta sicuramente più complessa di quanto non possa essere per l’IRC. Di fatto l’unica soluzione efficace è rappresentata dall’adozione di un buon antivirus in grado di bloccare sia il vettore di contaggio (tipicamente contenuto in attachment ricevuti via email) sia l’esecuzione di software scaricati successivamente dal bot.