Waledac, análisis de un botnet peer-to-peer (II de II)

Como ya comentamos al final de la anterior entrega, Waledac ha sido uno de los botnets mas importantes del año 2009 y es muy posible que todavía en el año 2010 siga acampando a sus anchas por Internet, seguramente haya cambiado su manera de actuar y gracias al boom de las redes sociales en el año 2009 se habrá podido extender todavía mas.

Uno de los objetivos principales del estudio de Waledac era estimar su tamaño. Como ya dijimos, a los spammers no se puede acceder directamente e intentar medir el tamaño del bot por el nº de repetidores nos daría una cifra sin sentido. Así pues, los investigadores crearon un script para simular que era un repetidor del botnet. Este script implementaba todas las funciones del repetidor, salvo que en vez de reenviar las peticiones, las respondía directamente. A este script se le llamo Walowdac.

En la imagen anterior podemos ver el ejemplo de como se introdujo en la red el repetidor ficticio.

Para dar mas precisión a la medición del bot, se introdujeron varios repetidores ficticios a lo largo del botnet. La información que recibían estos repetidores ficticios iba desde IP's, timestamps, versiones de los bots y de Windows y también las campañas de spam que se distribuían a través del botnet. En las últimas versiones de Waledac también se capturaron datos como cuentas FTP, POP3 y HTTP, en concreto 128.271 cuentas de FTP, 93.950 HTTP y 39.051 POP3. Los bots dentro de Waledac son identificados con un ID y cada vez hay un intercambio de mensajes estos se identifican con su ID.

Resultados de las mediciones

Los resultados de las mediciones se tomaron desde el 6 de Agosto hasta el 1 de Septiembre.

Durante la recolección en este periodo, se encontraron 248.983 IDs de diferentes nodos. El número máximo de nodos recolectados en un solo día fue de 102.748.  Lo curioso viene ahora, casi todos los spammers y repetidores son originarios de USA o de Europa:

Como vemos en esta tabla, USA está a la cabeza con el 17,34% de los spammers y el 19,50% de repetidores. Lo que realmente me acojona, es que España esté entre estas cifras, que un país de 40 millones de habitantes sea el 5,90% del total de los spammers y el 4,60% de los repetidores dice mucho, a mi me sugiere que la gente no está concienciada con la seguridad y que además debemos de comprar mucho Viagra, Cialis o cualquier producto que nos llega a nuestra bandeja de entrada en forma de spam.

Sobre las campañas de spam que manda Waledac, se recogieron distintos métodos de spam, entre ellos:

• Mandar spam con información sobre Viagra, Cialis y otros medicamentos farmaceuticos
• Correos con la promesa de regalo de un reloj de imitación si agregábamos a un amigo al correo
• Correos especiales del día de San Valentín, Navidad, etc.

Otro dato importante es el nº de correos que podría llegar a mandar el bot diariamente. Un estudio reciente de ESET reveló que un spammer podía mandar alrededor de 6500 correos por hora pero solo llegan a su destinatario un 25,32%, lo que harían 150.000 correos al día. Teniendo en cuenta que se monitorizaron  unos 10.000 bots conectados a la vez, si hacemos cuentas:

10.000 * 24 * 6500 * 0.2532 = 394.992.000 correos enviados al día

Este número solo es una estimación pero nos da una idea de lo que es capaz de hacer Waledac. Si todos los equipos estuvieran encendidos a la vez, Waledac sería capaz de enviar 8000 millones de correos, una cifra espeluznante.

Conclusión

Como conclusión quiero hacer especial mención a que en España falta todavía mucha información sobre seguridad informática a nivel de usuario y que creo que en los colegios se debería de enseñar desde pequeños a utilizar correctamente los equipos y a introducir ciertas palabras como spam, phishing, virus, botnet para que sepan que en Internet no todo son flores y margaritas de colores como algunos creen que es.