Botnets - Parte I

Escrito por Mariano Vazquez Martes, 01 de Junio de 2010 00:00

Bot es la abreviatura de robot y es un programa que contiene instrucciones para actuar en forma automática. Ante una acción genera una reacción esperada.

En un principio surgió de la mano de los canales de IRC (Internet Chat Relay) y hasta hoy, se utiliza dado que ayuda al operador a realizar tareas de forma independiente, tales como; detectar si un usuario está escribiendo demasiadas líneas en un corto periodo de tiempo, o si está inundando con textos un determinado canal de chat, por lo tanto, el bot expulsa a dicha persona del canal al igual que si detecta que algún usuario está enviando spam, o utilizando lenguaje inapropiado.

¿Qué son las Botnet?

Es una red de bots generalmente con fines maliciosos y/o delictivos. La red mencionada permite a un atacante, luego de infectar la máquina de sus víctimas valiéndose de distintos métodos de infección basados en vulnerabilidades en los protocolos, sistemas operativos y/o aplicaciones; tomar el control del equipo infectado.

Los bots que integran una botnet son parte de una red que está compuesta por máquinas víctimas de todo el mundo. Algunas redes botnet son realmente importantes por su tamaño llegando a tener bajo su control miles de máquinas infectadas en distintas regiones del planeta. Microsoft puede dar cuenta de ello, quien este año, mediante una operación llamada “Operación b49”, dio un duro golpe a una de las mayores redes de botnets llamada waledac; esta contaba con alrededor de 100.000 equipos infectados, lo que traducido en términos de ataques de DDOS (distributed denial of service), spam, y/o scam, causarían un enorme daño. La red de botnets mariposa aún mayor que la anterior, fue intervenida por la milicia Española siendo afectada su estructura de forma efectiva llegando a tener en su esplendor más de 200.000 equipos a su disposición.

¿Qué buscan las redes botnets? ¿Cómo se las utiliza?

Buscan obtener ganancias valiéndose de distintas funcionalidades:

Hacer ataques de denegación distribuida de servicio (DDOS) a sitios Web, enviando miles de peticiones por segundo, provocando que cualquier sitio Web colapse o degrade su performance, y en definitiva, generando un daño económico y/o de imagen en el anterior. Algunas veces, este tipo de ataques son contratados en forma ilícita por un tercero para causar daño a su competencia comercial. Otras veces, se pide una suma de dinero a la empresa, a modo de extorsión, amenazándola con degradar la performance de sus servicios Web.
El alquiler de una red botnet de aproximadamente 10.000 equipos, cuesta alrededor de USD 200 diarios.
Enviar spam, por este motivo son cientos los correos no solicitados que recibimos por año en nuestra bandeja de entrada siendo bastante complejo el bloqueo dado que provienen de lugares distintos, impostando asuntos (subjects) y remitentes (senders) conocidos.
Hacer scam, y en este sentido creo que todos recordarán al funcionario Nigeriano que quería sacar del país una suma de 50 millones de dólares prometiendo a quien lo ayudase el 30% de dicho monto.
Otra facilidad y en mi opinión, la más peligrosa, es el fraude por medio de la técnica de Phishing, donde se trata de engañar al usuario a fin de que ingrese a un enlace con sitios Web falsos que clonan, por ejemplo, portales de entidades financieras o sitios Web de compras, robando las credenciales de los mismos para luego obtener beneficios económicos, por medio de compras, transferencias y/o pago de servicios. Este tipo de ataque trae aparejado el robo de identidad que es la técnica de suplantar directamente la identidad de una persona, problema muy complejo en un mundo cada vez más informatizado.
Robo de información del equipo infectado, tal como; usuarios y passwords de cuentas de ADSL, números de tarjeta de crédito, y contraseñas, generalmente utilizando técnicas de keylogging.

Estructura básica de las Botnets

Se componen de un botmaster que es el individuo y/o organización delictiva que maneja una o varias máquinas infectadas donde la primera línea o contacto directo con él se denomina centro de control y comando, y desde allí interactúa con las máquinas infectadas, es decir, el contacto entre los botmasters y los bots se realiza a través de estos equipos intermediarios con el objetivo de implementar las órdenes del botmaster y monitorear que se siga manteniendo un número elevado de máquinas infectadas disponibles para utilizar...

Por Mariano Vázquez, Técnico Superior en Comunicaciones (ORT), NSP, Ingeniero de e-Security en Standard Bank Argentina.