47.5 KB · ⇊ 14 parts · ⤓ Micron 47.5 KB · ⤓ HTML 95.1 KB

top

Un mwcabotnet è una mwcqrete composta da dispositivi infettati da mwcgmalware, noti come bot o mwcwzombie, che operano sotto il controllo di un singolo attore, chiamato botmastercite-ref-8-1-0[1]. Questa struttura consente di ampliare le risorse e le capacità offensive a disposizione del botmaster.cite-ref-fortinet-2-0[2]

I dispositivi connessi a mwfqInternet, se affetti da mwfgvulnerabilità nell'infrastruttura, possono diventare parte di una botnet. Se l'agente infettante è un mwfwtrojan, il botmaster può controllare il sistema tramite mwgaaccesso remoto utilizzando protocolli di rete come mwgqIRC o mwggHTTP, attraverso un centro di comando noto come Command and Control (C2)cite-ref-6-3-0[3]. I mwhwcomputer infettati possono lanciare attacchi, noti come mwiaDistributed Denial of Service (DDoS), contro altri sistemi e/o compiere operazioni illecite, talvolta su commissione di organizzazioni criminali.cite-ref-fortinet-2-1[2]

Le botnet sono strumenti potenti per i criminali informatici, poiché consentono attacchi su larga scala e la possibilità di affittare l'accesso a segmenti della loro rete sul mercato nero per ottenere guadagni significativi.

• Applicazioni delle botnet

• Applicazioni legali

• Applicazioni illegali

• Modalità di funzionamento e uso

• Meccanismi di protezione dai botnet

• Modello client-server

• Peer-to-peer

• Componenti principali

• Componente Host

• Componente di rete

• Comando e controllo (C&C)

• Telnet

• IRC

• P2P

• Domini e HTTP

• Esempi notevoli

• La botnet e la criminalità

• Contromisure

• Il fronte tecnico

• Elenco storico di botnet

• Note

• Voci correlate

• Collegamenti esterni

In generale, il termine "botnet" viene utilizzato per descrivere mwkgreti capaci di agire con sincronia e autonomia per fini illegali. Tuttavia, esistono anche botnet legali impiegate per studiare la diffusione del malware o per progetti di ricerca sul mwkwcalcolo distribuito. Un esempio significativo è il progetto mwlaSETI@home della mwlqBerkeley University, che utilizza la potenza computazionale aggregata di una rete di computer per cercare forme di vita extraterrestre.cite-ref-4[4]

Le botnet possono compromettere i computer violando le loro difese di sicurezza, come credenziali di accesso deboli, mwnafirewall mal configurati o software vulnerabili. In tali casi, il controllo del sistema viene ceduto al botmaster, che è in grado di dirigere le attività di questi computer tramite protocolli di rete come mwnqIRC e mwngHTTP/mwnwHTTPS.

Alcune botnet sono utilizzate da criminali informatici per una varietà di scopi, tra cui estorsioni, attacchi e la conservazione di materiale illecito, come contenuti di natura mwoqpedopornografica.

Tali mwpamalware/mwpqtrojan specializzati, una volta assunto il controllo di un sistema, trasmettono all'esterno, generalmente al proprio botmaster, i dati fondamentali relativi al sistema infettato. Per fare ciò, spesso sfruttano i canali mwpgIRC, connettendosi a un canale privato protetto da mwpwpassword per fornire un accesso esclusivo al loro gestore. Tramite questo canale di mwqachat, il gestore è in grado di controllare simultaneamente tutti i sistemi infetti in ascolto, che possono essere anche decine di migliaia, impartendo ordini e richiedendo informazioni come immagini dello schermo, indirizzi IP o, ad esempio, l'mwqqhostname/mwqgIP di una vittima da attaccare tramite mwqwDDoS. I botmaster possono anche controllare i computer zombie attraverso reti mwrapeer-to-peer sofisticate, persino utilizzando mwrqSkype e protocolli binari e mwrgcrittografati. Se il bersaglio si trova dietro un mwrwfirewall ben configurato, per eludere i controlli può essere utilizzato il protocollo mwsaHTTP/mwsqHTTPS, poiché la porta 80 è generalmente presente nella whitelist dei firewall di quasi tutti gli utenti. In questo caso, il collegamento sfrutta un server intermedio specializzato che supporta il protocollo direttamente o lo utilizza come incapsulamento per altri protocolli che devono rimanere nascosti.

Questi mwswmalware sono spesso programmati per spiare il sistema infetto come se fossero mwtaspyware, intercettando password e altre informazioni private utili all'attaccante. Possono anche offrire accesso alle macchine infette tramite mwtqbackdoor oppure fornire servizi mwtgproxy che garantiscono l'mwtwanonimato in rete a scapito della banda della rete compromessa.

Un uso più sofisticato delle botnet è quello di fungere da mwuqproxy verso un sistema compromesso: i bot vengono spesso ripuliti dal malware; tuttavia, se l'attaccante installa un mwugserver su una di queste macchine e ne perde il controllo, il danno può essere significativo. Per ridurre tali rischi, una tecnica recentemente adottata è quella del mwuwfastfluxcite-ref-5[5], in cui una macchina esterna alla botnet esegue un finto server (ad esempio per effettuare mwwaspoofing), mentre le macchine della botnet fungono solo da proxy verso questa macchina.

Con l'aumento del numero di sistemi compromessi, l'attaccante può sfruttare sempre più potenza di calcolo per mwwgindividuare le password di sistemi che in precedenza risultavano molto difficili da decifrare, utilizzando tecniche di mwwwcalcolo distribuito.

I canali C&C (Command and Control), che rappresentano un punto di forza dell'infrastruttura, possono anche costituire una debolezza: i mezzi per accedervi devono essere protetti da altri pirati informatici. Questo livello di protezione è garantito attraverso diverse tecniche, tra cui:

• Hosting bulletproofcite-ref-6[6]

• mwzqDynamic DNS

• mwzwFast fluxing

• Domain fluxingcite-ref-7-7-0[7]

Per evitare che i domini accessibili dalle macchine infette attivino blocchi di protezione o altri automatismi di sicurezza, l'attaccante può utilizzare software che generano dinamicamente nomi di dominio sempre diversi e impiegare un proprio sistema DNS. Avendo il controllo sui mwbgrecord DNS, il malware può cambiare rapidamente gli indirizzi IP a cui puntano i nomi di dominio, reindirizzare domini verso altri domini o rinominare i domini a intervalli casuali seguendo un mwbwpattern prevedibile dal malware. Questi sono tutti elementi del mwcadomain fluxingcite-ref-7-7-1[7], spesso utilizzato insieme a architetture robuste (come stella, multi-server, gerarchica e randomizzata) per eludere i blocchi imposti delle mwdqautorità e dei mwdgfornitori di servizi Internet.cite-ref-0-8-0[8]cite-ref-9[9]

Il modello mwgqclient-server è stato uno dei primi approcci utilizzati nelle botnet di Internet, generalmente basato su mwggIRC o su siti web contenenti liste di comandi predefiniti. mwgwIRC è un protocollo testuale facile da implementare, e le botnet che si fondano su di esso presentano agenti infettanti di dimensioni contenute, che richiedono poca larghezza di banda e utilizzano metodi semplici per la comunicazione.

Nel caso delle botnet basate su IRC, i client infetti si collegano a un server IRC e accedono a un determinato canale per ricevere i comandi. Il botmaster invia i comandi al canale tramite il server IRC, e i client li recuperano ed eseguono.cite-ref-worldcat-org-10-0[10]

Tuttavia, questo tipo di canale può essere facilmente inibito da filtri basati su parole chiave, anche se gli agenti creano nuovi canali di chat in modo casuale. Infatti, molte delle grandi botnet preferivano utilizzare domini e mwighosting protetti piuttosto che IRC nella loro architettura (come nel caso della Rustock botnetcite-ref-11[11] e della Srizbi botnetcite-ref-12[12]).

Con il passare del tempo, il modello client-server è diventato troppo vulnerabile ai blocchi, spingendo i botmaster a optare per l'uso di protocolli peer-to-peer.

In risposta agli sforzi per individuare ed eliminare le botnet IRC, i botmaster hanno iniziato a distribuire malware sulle reti peer-to-peer (P2P). Questi bot tendono a utilizzare mwmgfirme digitali, in modo che solo chi ha accesso alla chiave privata possa controllare le botnetcite-ref-4-13-0[13]. (Gameover ZeuS, mwnwZeroAccess botnet).

Le botnet più recenti operano completamente su reti mwoqP2P. Invece di comunicare con un server centralizzato, i bot mwogP2P fungono sia da server per la distribuzione dei comandi sia da client per riceverli.cite-ref-worldcat-org-10-1[10] Questo approccio elimina il problema del singolo punto di vulnerabilità, tipico delle botnet centralizzate.

Per individuare altre macchine infette, il bot interroga discretamente mwqaindirizzi IP casuali fino a stabilire un contatto con un'altra macchina compromessa. La macchina contattata risponde fornendo informazioni come la propria versione del software e l'elenco dei bot conosciuti. Se una delle due versioni è inferiore all'altra, inizia un trasferimento di file per effettuare l'aggiornamento.cite-ref-4-13-1[13] In questo modo, ogni bot amplia la propria lista di macchine infette e si aggiorna comunicando periodicamente con tutti i bot conosciuti.

• Componente Host

• Componente di rete

I bot sono le macchine compromesse che il botmaster può controllare a distanza grazie a un agente attivato su di esse. L'agente che consente a una macchina compromessa di essere gestita da un botmaster è chiamato agente di bot (bot agent). Questo agente può essere un componente di malware autonomo, presentarsi come un file di mwswlibreria di collegamento dinamico (DLL), un eseguibile o un pezzo di codice integrato nel malware stesso. Le funzioni principali dell'agente di bot includono: ricevere i comandi dal botmaster, eseguire attacchi e inviare dati al botmaster.

Il componente di rete di una botnet è qualsiasi risorsa online utilizzata dalla botnet per portare a termine le sue operazioni.

I protocolli di comando e controllo delle botnet sono stati implementati in vari modi, passando da approcci tradizionali come IRC a soluzioni più sofisticate.

Le botnet Telnet utilizzano un semplice protocollo di comando e controllo (C&C) in cui i bot si connettono a un'unità di comando principale che gestisce la botnet.

Il server di controllo scansiona un intervallo di indirizzi IP alla ricerca di server mwuwTelnetcite-ref-14[14] e mwwaSSH con credenziali di accesso predefinite. Una volta trovate queste credenziali, vengono raccolte in una "lista di infezione" e, successivamente, i server vengono infettati tramite script malevoli eseguiti attraverso mwwqSSH dal server di controllo.

Quando il comando SSH viene eseguito, il server infettato diventa parte della botnet grazie al codice malevolo che lo ha compromesso. A questo punto, il botmastercite-ref-8-1-1[1], attraverso l'unità di comando principale, è in grado di controllare i bot e lanciare attacchi mwxwDDoS su larga scala.

Questi tipi di botnet sono stati utilizzati per attaccare grandi siti web come mwyqXbox Live e mwygPlayStation network da un noto gruppo di hacker chiamato mwywLizard Squad.cite-ref-15[15]

I canali di comunicazione mw0gIRC rappresentano una forma tradizionale di chat onlinecite-ref-5-16-0[16]. Le reti IRC utilizzano metodi di comunicazione semplici e a bassa larghezza di banda, rendendole adatte per ospitare botnet. Queste reti sono state utilizzate con un certo successo per coordinare attacchi DDoS e inviare migliaia di email spam.

In una mw2achat room, è possibile trovare numerosi utenti che possono essere infettati e diventare bot; il botmaster può impartire comandi attraverso la chat room, allertando rapidamente tutti gli utenti connessi.

I mw2gcracker possono cambiare continuamente canale per evitare di essere rimossi, ma il semplice blocco di determinate parole chiave si è dimostrato efficace nel fermare le botnet basate su IRC.

Essenziale per l'uso delle reti IRC è la conoscenza da parte dei bot-client del server IRC, della porta e del canale di comunicazione.

Le organizzazioni anti-malware sono in grado di rilevare e disattivare server e canali, bloccando efficacemente le botnet. Quando ciò accade, i client rimangono infetti ma inattivi, poiché non hanno più modo di ricevere istruzioni. Per affrontare questo problema, una botnet può essere composta da diversi server o canali; se uno di essi viene disabilitato, il sistema può passare a un altro server o canale disponibile, evitando così che i client rimangano inattivi. È possibile rilevare e interrompere ulteriori server o canali sniffando il traffico IRC.cite-ref-worldcat-org-10-2[10]

Poiché la maggior parte delle botnet che utilizzano reti e domini IRC possono essere disattivate nel tempo, i cracker si sono spostati verso le botnet P2P (peer-to-peer) per rendere più difficile la loro rimozione.

In una botnet P2P, tutti i bot sono connessi tra loro e possono fungere sia da server che da client. Questo modello decentralizzato aumenta la resilienza della botnet, poiché non esiste un singolo punto di vulnerabilità.

Il cracker o il gruppo di cracker che crea una botnet di questo tipo inizia reclutando i membri identificando gli host vulnerabili all'interno di una rete P2P già esistente. L'infezione avviene attraverso lo scambio di file malevoli, rendendo il processo di contaminazione relativamente semplice. Dopo l'infezione, è fondamentale che i bot si connettano tra loro e, in particolare, al botmaster per ricevere i comandi.cite-ref-5-16-1[16]

Per consentire a un bot di connettersi alla rete, deve eseguire una fase di bootstrap, che consiste nel collegarsi a un server bootstrap il cui indirizzo è incorporato nel codice del bot stesso. Questo server viene contattato la prima volta che il bot viene eseguito.

Il compito di un server bootstrap è mantenere un ampio elenco di indirizzi IP dei nodi. Anche se questi server possono essere rimossi dai professionisti della sicurezza, ciò non influirebbe sui bot già presenti nella rete, ma impedirebbe l'ingresso di nuove infezioni fino alla configurazione di nuovi server.cite-ref-9-17-0[17] Una volta costruita la rete, i bot rimangono in attesa di istruzioni per eseguire azioni illecite o aggiornamenti. Alcuni botmaster utilizzano anche la crittografia come metodo per proteggere o nascondere la botnet da potenziali avversari. Spesso ricorrono a crittografia a chiave pubblica per garantire la sicurezza delle comunicazioni all'interno della rete.

Molte botnet utilizzano domini per la loro costruzione, di solito ospitati da servizi da mw8qbulletproof hosting. Questo rappresenta uno dei primi tipi di comando e controllo (C&C).

Un computer zombie accede a una pagina web o a un dominio appositamente progettati per restituire l’elenco dei comandi di controllo.

Il vantaggio dell’uso di mw9apagine web o domini come C&C consiste nel consentire un controllo e un mantenimento tramite codice semplice, che può essere facilmente aggiornato.

Gli svantaggi dell’utilizzo di questo metodo includono la necessità di una notevole larghezza di banda e il fatto che i domini possono essere facilmente sequestrati dalle agenzie governative senza molti problemi. Se i domini che controllano le botnet non vengono sequestrati, diventano obiettivi facili per attacchi mw9gDoS.

Il DNS fast-flux può essere utilizzato come metodo per rendere difficile il rintracciamento dei server di controllo. I server di controllo possono anche passare ad altri domini DNS, con algoritmi di generazione del dominio utilizzati per creare nuovi nomi DNS per i server controllori.

Alcune botnet utilizzano servizi di hosting DNS gratuiti come DynDns.org, No-IP.com e Afraid.org per indirizzare un sottodominio verso un server che ospita i bot. Questi servizi DNS gratuiti forniscono indirizzi spesso codificati nel file eseguibile della botnet. La rimozione di questi servizi può paralizzare l’intera botnet.

Tra le numerose botnet emerse negli anni 2000-2010, molte delle quali erano ancora attive nel 2015, si possono citare due esempi significativi, entrambi diffusi tramite trojan su piattaforme Microsoft Windows:

• mw-qZeroAccess: utilizzata principalmente per l'estrazione di mw-gBitcoin e per frodi legate a servizi pubblicitari mw-wpay-per-click. Questa botnet è nota per aver sfruttato milioni di computer infetti per generare profitti attraverso attività illecite.

• mwaqeTorpig: focalizzata principalmente sul furto di dati personali e bancari. Torpig ha colpito un gran numero di utenti, raccogliendo informazioni sensibili attraverso tecniche di mwaqiphishing e mwaqmmalware.

Negli ultimi anni, le botnet sono diventate una fonte di interesse crescente per la criminalità organizzata, rappresentando un metodo efficace per guadagnare denaro in modo illegale. I botmaster vendono i servizi delle botnet a clienti desiderosi di compiere azioni illecite. Tra le attività disponibili nel "catalogo" delle botnet ci sono:

• mwaqgDenial of Service (DoS): attacchi massivi come mwaqkDDoS (Distributed Denial of Service), mwaqoDoS e mwaqsDRDoS, che mirano a sovraccaricare un servizio o un sito web rendendolo inaccessibile.

• mwaq0Spam: campagne di invio massivo di email con l'obiettivo di promuovere e vendere ad un vasto pubblico, prodotti, spesso illegali.

• mwaq8Phishing: campagne progettate per ingannare gli utenti e carpire le loro credenziali, utilizzate per furti d'identità, mwarariciclaggio di denaro e altre attività fraudolente.

• mwariSpyware: software maligno che raccoglie informazioni sull'attività online di un utente senza il suo consenso, trasmettendo tali dati a terzi che li sfruttano per trarne profitto.

Queste attività non solo danneggiano gli individui e le aziende, ma rappresentano anche una minaccia significativa per la sicurezza informatica globale. Le botnet sono quindi strumenti cruciali nel panorama della criminalità informatica moderna.

La botnet rappresenta un problema complesso e, di conseguenza, anche la sua soluzione risulta altrettanto intricata. Infatti, sebbene in teoria basterebbe eliminare il malware dal computer per estirpare completamente la minaccia, la botnet non risiede su un solo host. Pertanto, anche dopo aver rimosso il malware e ripristinato una macchina compromessa, il problema rimane irrisolto: questo processo elimina semplicemente un elemento ospite dalla botnet, ma essa continuerà a essere operativa e accessibile dai cybercriminali che la gestiscono.Per questo motivo, la lotta contro le botnet deve essere condotta su due fronti:

1. mwargIl fronte tecnico

2. mwaroIl fronte legale

Dal punto di vista tecnico, la lotta contro le botnet si concentra su due elementi principali: l'mwar0host e la rete. Poiché le botnet sono disperse geograficamente, è necessario identificare e riparare ogni singolo computer infetto. Inoltre, è importante limitare l'efficacia dei sistemi di filtraggio. Alcune botnet utilizzano mwar4DNS gratuiti e servizi di hosting come mwar8DynDns.org, mwasaNo-IP.com, e mwaseAfraid.org per puntare un mwasisottodominio verso un server mwasmIRC che ospita i bot. Questi servizi DNS gratuiti non ospitano gli attacchi, ma forniscono punti di riferimento. La rimozione di tali servizi può paralizzare un'intera botnet. Inoltre, alcune botnet implementano versioni personalizzate di protocolli molto noti. L'analisi delle differenze tra le implementazioni dei protocolli può essere utilizzata per il rilevamento delle botnet. Ad esempio, Mega-Dcite-ref-18[18] dispone di una versione leggermente modificata del protocollo SMTP per testare la capacità di invio di spam. Filtrare il server mwasgSMTP di Mega-D disabilita l'intero pool di bot che si basa su quel server

| Nome | Data di creazione | Data di smantellamento | N° stimato di bot | Capacità dello spam (bn/gg) | Alias |

|---|---|---|---|---|---|

| Bagle | 2004 | | 230.000 | 5.7 | Beagle, Mitglieder, Lodeight |

| Marina Botnet | | | 6.215.000 | 92 | Damon Briant, BOB.dc, Cotmonger, Hacktool.Spammer, Kraken |

| Torpig | | | 180.000 [ 19 ] | | Sinowal, Anserin |

| Storm | | | 160.000 | 3 | Nuwar, Peacomm, Zhelatin |

| Rustock | 2006 circa | marzo 2011 | 150.000 [ 20 ] | 30 | RKRustok, Costrat |

| Donbot | | | 125.000 [ 21 ] | 0.8 | Buzus, Bachsoy |

| Cutwail | 2007 circa | | 175.000 [ 21 ] | 74 | Pandex, Mutant (correlato a: Wigon, Pushdo) |

| Akbot | 2007 | | 1.300.000 [ 22 ] | | |

| Srizbi | marzo 2007 | novembre 2008 | 450.000 [ 23 ] | 60 | Cbeplay, Exchanger |

| Lethic | | | 260.000 | 2 | |

| Xarvester | | | 10.000 | 0.15 | Rlsloup, Pixoliz |

| Sality | 2008 circa | | 1.000.000 [ 24 ] | | Sector, Kuku |

| Mariposa | 2008 circa | 2009 | 12.000.000 [ 25 ] | | |

| Conficker | novembre 2008 | | 10.500.000 [ 26 ] | 10 | DownUp, DownAndUp, DownAdUp, Kido |

| Waledac | novembre 2008 | marzo 2010 | 90.000 [ 27 ] | 1.5 | Waled, Waledpak |

| Maazben | | | 50.000 | 0.5 | |

| Onewordsub | | | 40.000 [ 28 ] | 1.8 | |

| Gheg | | | 30.000 | 0.24 | Tofsee, Mondera |

| Nucrypt | | | 20.000 [ 28 ] | 5 | Loosky, Locksky |

| Wopla | | | 20.000 [ 28 ] | 0.6 | Pokier, Slogger, Cryptic |

| Asprox | 2008 circa | | 15.000 [ 29 ] | | Danmec, Hydraflux |

| Spamthru | | | 12.000 [ 28 ] | 0.35 | Spam-DComServ, Covesmer, Xmiler |

| Gumblar | 2008 circa | | | | |

| BredoLab | maggio 2009 | novembre 2010 | 30.000.000 | 3.6 | Oficla |

| Grum | 2009 circa | luglio 2012 | 560.000 [ 30 ] | 39.9 | Tedroo |

| Mega-D | | | 509.000 [ 31 ] | 10 | Ozdok |

| Kraken | | | 400.000 [ 32 ] | 9 | Kracken |

| Festi | agosto 2009 | | 250.000 [ 33 ] | 2.25 | Spamnost |

| Vulcanbot | marzo 2010 | | | | |

| LowSec | gennaio 2010 | | 11.000 | 0.5 | LowSecurity, FreeMoney, Ring0.Tools |

| TDL4 | 2010 circa | | 4.500.000 [ 34 ] | | TDSS, Alureon |

| Zeus | | | 3.600.000 [ 35 ] | | Zbot, PRG, Wsnpoem, Gorhax, Kneber |

| Kelihos | 2010 | 2011/2012 | 300.000 | 4 | Hlux |

| Ramnit | 2011 circa | febbraio 2015 | 3.200.000 [ 36 ] | | |

| Zer0n3t | 2013 | 2013 | 200 + computer server | 4 | Fib3rl0g1c, Zer0n3t, Zer0Log1x |

| Chameleon | 2012 circa | | 120.000 | | |

| Mirai (malware) | agosto 2016 | | 380.000 | | |

| Koobface | | | 2.900.000 [ 35 ] | | Ali Baba & 4 |

I ricercatori dell'Università della California hanno preso il controllo di una botnet che si è rivelata sei volte più piccola del previsto. Questo è accaduto perché molti utenti cambiano frequentemente il loro indirizzo IP durante la giornata. Pertanto, stimare la dimensione di una botnet basandosi solo sul numero di indirizzi IP può portare a una valutazione inaccurata della sua reale grandezza.cite-ref-37[37]

cite-note-8-11. ↑ Un mwaq4botmaster è un individuo che gestisce e controlla una botnet, una rete di dispositivi infettati da malware, noti come bot o zombie. Il botmaster ha il compito di orchestrare le operazioni della botnet, che possono includere attività sia legittime che illecite. Queste reti possono essere utilizzate per eseguire attacchi informatici, come gli attacchi Distributed Denial of Service (DDoS), o per compiere altre azioni dannose.Il botmaster stabilisce un'infrastruttura di comando e controllo (C&C) per comunicare con i dispositivi compromessi, impartendo loro istruzioni su come operare. Spesso, il botmaster utilizza tecniche di anonimizzazione, come proxy o la rete TOR, per nascondere la propria identità e posizione, rendendo difficile per le forze dell'ordine rintracciarlo.Inoltre, i botmaster possono collaborare con altri botmaster o affittare l'accesso alla loro botnet a terzi, aumentando ulteriormente il potenziale di attacco della rete. La versatilità dei botmaster consente loro di adattare le loro operazioni in base alle esigenze del momento, sia per scopi malevoli che per attività più innocue, come la gestione delle risorse informatiche distribuite o la ricerca sulla sicurezza.

cite-note-fortinet-22. ↑ mwarqFORTINET, mwarumwaryAnatomy of a Botnet, p.mwarc 1,2,3,4 mwarg(archiviato dall'mwarkurl originale il 1º febbraio 2017).

cite-note-6-33. ↑ mwar0mwar4mwar8Bots and Botnet: An Overview | SANS Institute, su mwasasans.org. mwaseURL consultato l'11 marzo 2022.

cite-note-44. ↑ mwasumwasymwascBotnet: come proteggervi, su mwasgIONOS Digitalguide. mwaskURL consultato l'11 marzo 2022.

cite-note-55. ↑ mwas0(mwas4mwas8ENmwata) mwateKnow Your Enemy: Fast-Flux Service Networks | The Honeynet Project mwatiArchiviatomwatm il 9 maggio 2008 in mwatqInternet Archivemwatu.

cite-note-66. ↑ Lmwato'mwatshosting bulletproof è un servizio di web hosting che offre elevati livelli di privacy e restrizioni minime sul tipo di contenuto ospitato. È spesso utilizzato da operatori di cybercriminalità per mantenere le loro attività online senza rischiare chiusure o persecuzioni da parte delle autorità.Questi provider garantiscono una maggiore libertà operativa, proteggendo i clienti da attacchi e sequestri. Tra le caratteristiche comuni ci sono la registrazione anonima, l'accettazione di pagamenti in criptovalute e politiche di retention dei dati molto limitate. Inoltre, offrono protezione avanzata contro attacchi DDoS, assicurando che i siti rimangano online anche in situazioni critiche.In sintesi, l'hosting bulletproof è un elemento cruciale per le botnet e le attività illecite online, fornendo un ambiente resiliente per le operazioni di cybercriminalità.

cite-note-7-77. ↑ Il mwaueDomain fluxing è una tecnica utilizzata principalmente da attaccanti informatici per eludere la rilevazione e il blocco delle loro attività dannose. Questa strategia implica il cambiamento rapido e costante dei nomi di dominio associati a un server, rendendo difficile per i sistemi di sicurezza identificare e fermare le operazioni malevole.

cite-note-0-88. ↑ mwauu(mwauymwaucEN) Elisan, Christopher, mwaugmwaukMalware, Rootkits & Botnets A Beginner's Guide, McGraw Hill Professional, 2013, p.mwauo mwaus69, mwauwISBNmwau0 0-07-179206-6.

cite-note-99. ↑ mwavi(mwavmmwavqEN) Gunter Ollmann, mwavuBotnet Communication Topologies, Damballa Inc..

cite-note-worldcat-org-1010. ↑ mwav0Stavroulakis, Peter. e Stamp, Mark., mwav4mwav8Handbook of information and communication security, Springer, 2010, mwawaISBNmwawe 978-3-642-04117-4, mwawmOCLCmwawq mwawu663093967.

cite-note-1111. ↑ La mwawkmwawoRustock botnet è stata una delle botnet più significative e operative dal 2006 fino a marzo 2011. Composta principalmente da computer che eseguivano il sistema operativo Microsoft Windows, era in grado di inviare fino a 25.000 messaggi di spam all'ora da un singolo PC infettato. Durante il suo picco, la botnet inviava in media 192 messaggi di spam per ogni macchina compromessa al minuto, con stime sulla sua dimensione che variavano da 150.000 a 2.400.000 macchine.

cite-note-1212. ↑ La mwaw4Srizbi botnet è considerata una delle botnet più grandi al mondo, responsabile dell'invio di oltre la metà di tutto lo spam generato dalle principali botnet. Questa rete è composta da computer infettati dal trojan Srizbi, il quale consente di inviare spam su comando. La botnet ha subito un colpo significativo nel novembre 2008 quando il provider di hosting Janka Cartel è stato chiuso, causando una riduzione globale dello spam fino al 93%.

cite-note-4-1313. ↑ mwaxqSimon Heron, mwaxumwaxyBotnet command and control techniques, in mwaxcNetwork Security, vol.mwaxg 2007, n.mwaxk 4, 1º aprile 2007, pp.mwaxo 13-16, mwaxsDOI:mwaxw10.1016/S1353-4858(07)70045-4. mwax0URL consultato il 29 novembre 2017.

cite-note-1414. ↑ Un mwayeserver Telnet è un componente di rete che utilizza il protocollo Telnet per consentire l'accesso remoto a un computer o a un dispositivo attraverso una connessione di rete. Telnet, acronimo di "TErminaL NETwork", è un protocollo di comunicazione client-server che permette agli utenti di interagire con il sistema remoto tramite una riga di comando. Funzionamento del Server Telnet Quando un client Telnet si connette a un server Telnet, il server ascolta le richieste in arrivo sulla porta standard 23 (anche se può essere configurato su porte diverse). Una volta stabilita la connessione, il client può inviare comandi al server, che risponde eseguendo le operazioni richieste e restituendo l'output al client. Questo consente agli utenti di gestire e configurare il sistema remoto come se fossero fisicamente presenti davanti a esso. Utilizzi Comuni I server Telnet sono comunemente utilizzati per: Gestione remota: Gli amministratori possono configurare e gestire dispositivi di rete come router e switch senza dover essere fisicamente presenti. Accesso a sistemi legacy: Alcuni sistemi più vecchi utilizzano ancora Telnet per l'accesso remoto. Debugging e test: Gli amministratori possono utilizzare Telnet per testare la connettività ai server e verificare se le porte specifiche sono aperte. Sicurezza Un aspetto critico del server Telnet è la sua mancanza di sicurezza: non cripta i dati trasmessi, compresi nomi utente e password, rendendolo vulnerabile a intercettazioni e attacchi. Per questo motivo, molte organizzazioni preferiscono utilizzare protocolli più sicuri, come SSH (Secure Shell), per l'accesso remoto.In sintesi, un server Telnet fornisce un'interfaccia per accedere e controllare sistemi remoti, ma la sua mancanza di misure di sicurezza adeguate ne limita l'uso in contesti sensibili.

cite-note-1515. ↑ mwayumwayymwaycLizard Squad: Ecco perché abbiamo affondato PlayStation Network e Xbox Live Leggi l'articolo originale su ZEUS News - https://www.zeusnews.it/n.php?c=22315, su mwaygzeusnews.it.

cite-note-5-1616. ↑ mway4mway8mwazaLa botnet, su mwazedi-srv.unisa.it.

cite-note-9-1717. ↑ mwazumwazymwazcPeer-to-Peer Botnets for Beginners, su mwazgmalwaretech.com.

cite-note-1818. ↑ mwazwMega-D, noto anche con l'alias mwaz0Ozdok, è una mwaz4botnet che, al suo apice, era responsabile dell'invio del 32% dello spam a livello mondiale. Il 14 ottobre 2008, la Federal Trade Commission degli Stati Uniti, in collaborazione con Marshal Software, ha rintracciato i proprietari della botnet e congelato i loro beni. Il 6 novembre 2009, la società di sicurezza FireEye, Inc. ha disabilitato la botnet Mega-D intervenendo sulla sua struttura di comando e controllo. Questo intervento è stato simile a quello effettuato contro la botnet Srizbi alla fine del 2008.

cite-note-191. mwa0i(mwa0mmwa0qEN) mwa0umwa0yResearchers hijack control of Torpig botnet, in mwa0cSC Media US, 5 maggio 2009. mwa0gURL consultato il 27 novembre 2017.

cite-note-202. mwa0w(mwa00mwa04EN) mwa08mwa1aThe Rustock botnet spams again, in mwa1eSC Media US, 25 luglio 2008. mwa1iURL consultato il 27 novembre 2017.

cite-note-1-213. mwa1g(mwa1kmwa1oEN) mwa1smwa1wSpam Botnets to Watch in 2009, su mwa10secureworks.com. mwa14URL consultato il 27 novembre 2017 mwa18(archiviato dall'mwa2aurl originale il 5 marzo 2016).

cite-note-224. mwa2q(mwa2umwa2yEN) mwa2cmwa2gNew Zealand teenager accused of controlling botnet of 1.3 million computers - The H Security: News and Features, su mwa2kh-online.com. mwa2oURL consultato il 27 novembre 2017.

cite-note-235. mwa24(mwa28mwa3aEN) mwa3emwa3iSpam on rise after brief reprieve, 26 novembre 2008. mwa3mURL consultato il 27 novembre 2017.

cite-note-246. mwa3cmwa3gmwa3kSality: Story of a Peer-to-Peer Viral Network (mwa3omwa3sPDF), su mwa3wsymantec.com.

cite-note-257. mwa4a(mwa4emwa4iEN) mwa4mmwa4qHow FBI, police busted massive botnet. mwa4uURL consultato il 27 novembre 2017.

cite-note-268. mwa4kmwa4omwa4sNews from the Lab Archivemwa4w : January 2004 to September 2015, su mwa40f-secure.com. mwa44URL consultato il 27 novembre 2017.

cite-note-279. mwa5i(mwa5mmwa5qEN) mwa5umwa5yWaledac botnet 'decimated' by MS takedown. mwa5cURL consultato il 27 novembre 2017.

cite-note-2-2810. mwa6e(mwa6imwa6mEN) Gregg Keizer, mwa6qmwa6uTop botnets control 1M hijacked computers, in mwa6ymwa6cComputerworld. mwa6gURL consultato il 9 novembre 2019.

cite-note-2911. mwa6w(mwa60mwa64EN) mwa68mwa7aBotnet sics zombie soldiers on gimpy websites. mwa7eURL consultato il 27 novembre 2017.

cite-note-3012. mwa7umwa7ymwa7cResearch: Small DIY botnets prevalent in enterprise networksmwa7o (mwa8imwa8mJPG), su mwa8qzdnet.com.

cite-note-3113. mwa8gmwa8kmwa8oOleg Nikolaenko, Mega-D Botmaster to Stand Trial, su mwa8sgarwarner.blogspot.it. mwa8wURL consultato il 27 novembre 2017.

cite-note-3214. mwa9a(mwa9emwa9iEN) mwa9mmwa9qNew Massive Botnet Twice the Size of Storm, in mwa9uDark Reading. mwa9yURL consultato il 27 novembre 2017.

cite-note-3315. mwa9o(mwa9smwa9wEN) mwa90mwa94Spamhaus Declares Grum Botnet Dead, but Festi Surges, su mwa98PCWorld. mwa-aURL consultato il 27 novembre 2017.

cite-note-3416. mwa-q(mwa-umwa-yES) mwa-cmwa-gCómo detectar y borrar el rootkit TDL4 (TDSS/Alureon), in mwa-kinfoALEPH, 3 luglio 2011. mwa-oURL consultato il 27 novembre 2017.

cite-note-3-3517. mwa-a(mwa-emwa-iEN) Ellen Messmer, mwa-mmwa-qAmerica's 10 most wanted botnets, in mwa-uNetwork World. mwa-yURL consultato il 27 novembre 2017.

cite-note-3618. mwa-o(mwa-smwa-wEN) mwa-0mwa-4Europol takedown of Ramnit botnet frees 3.2 million PCs from cybercriminals’ grasp, in mwa-8Naked Security, 27 febbraio 2015. mwbaaURL consultato il 27 novembre 2017 mwbae(archiviato dall'mwbaiurl originale il 18 aprile 2023).

cite-note-3737. ↑ mwbay(mwbacmwbagEN) Tom Espiner, mwbakmwbaoBotnet size may be exaggerated, says Enisa | ZDNet, in mwbasZDNet. mwbawURL consultato il 27 novembre 2017.

• mwbbaComputer zombie

• citerefbritannica-com(EN) botnet, su Enciclopedia Britannica, Encyclopædia Britannica, Inc.

• citereffoldoc(EN) Denis Howe, Botnet, in Free On-line Dictionary of Computing. Disponibile con licenza mwbbyGFDL

• mwbbgJone Pierantonio, Botnet Hunters, quei cacciatori che setacciano il web (e vanno a caccia di malware), su chefuturo.it (archiviato dall'url originale il 23 febbraio 2017).