Botnet-aflytning bekræfter spam-forbindelse

Sikkerhedseksperter advarede om, at sikkerhedshullet, som Microsoft lukkede med MS06-040-opdateringen, kunne udnyttes af en internetorm.

Imidlertid har vi endnu ikke set noget angreb i samme størrelsesorden som Sasser eller MSBlast.

Men ormene er skam dukket op. De bliver blot holdt i kort snor af spam-bagmænd, bekræfter aflytninger af aktiviteten på de såkaldte botnet.

Et botnet er et netværk bestående af virusinficerede pc'er, der forbinder til en IRC-server, hvorfra bagmændene kan fjernstyre pc'erne til typisk at fungere som spamserver.

MS06-040 udnyttes af to varianter af MocBot, som dog kun er spredt i et begrænset antal.

Sikkerhedsekspert Joe Stewart fra LURHQ inficerede en pc med den ene variant for at aflytte den ved hjælp af et såkaldt sandnet. Det skriver magasinet eWeek.

Det viste sig, at MocBot-varianten via omveje blev brugt til at downloade et andet program, som fungerede som spamserver.

- Det ser ud som om, det her var et lille målrettet af den simple grund, at de ville holde sig under radarhøjde. Det hele handler om at skabe små botnetværk og tjene penge på spam, siger Joe Stewart til eWeek.

Aflytningen bekræfter, at virusprogrammørerne i dag foretrækker at holde lav profil i modsætning til tidligere tiders store angreb, der af og til formåede at stjæle overskrifter i store nyhedsmedier.

De mere diskrete angreb betyder, at bagmændene nu håber at inficere blot et par hundrede pc'er med en ny variant. Det sker ofte, før antivirusfirmaerne har mulighed for at udsende opdateringer, der beskytter mod de nye varianter.

Samtidig er det muligt for bagmændene at lade programmerne downloade såkaldte rootkits, der kan være stort set umulige at opdage, når de først har inficeret et system.

Relevant link

eWeeks artikel om Joe Stewarts aflytning