USA e Korea, il DDoS proveniva dall’Inghilterra

Recentemente alcuni siti governativi e non della Korea e degli stati uniti, sono stati coinvolti in alcune ondate di attacchi DDoS.

Circa 5 giorni fa un ricercatore della BKIS, una società Vietnamita specializzata in sicurezza, ha pubblicato sul blog della società i risultati delle sue ricerche.

BKIS è membro della APCERT, la quale è stata incaricata dalla KrCERT (Korean Computer Emergency Response Team), di invesitgare su questi attacchi.

Ne è emerso che i server Koreani erano infettati da del malware gestito tramite dei codici iniettati in un file "flash.gif", e gestiti da 8 Command and Control (C&C) servers. Successivamente tutti i computer zombies, ogni 3 minuti, selezionavano randomicamente uno di questi 8 server C&C per ricevere gli ordini d’attacco.

A loro volta questi 8 C&C erano controllati da un Master Server localizzato in Inghilterra, fino ad ora l’esistenza di questo Master Server non era mai stata riportata.

I ricercatori, nell’intento di risalire alla fonte, hanno cercato di crackare a loro volta questi C&C servers riuscendo a guadagnare l’accesso in 2 degli 8 servers, da li in poi, analizzando i loro log, il lavoro è stato relativamente facile.

In questi log infatti vi era registrato l’ip del Master Server che era della classe 195.90.118.xxx localizzato per l’appunto in UK. Dopo ulteriori analisi è emerso che tale macchina è equipaggiata con Windows 2003 Server.

Riguardo gli zombies ci sono stati fino adesso pareri discordanti, la Symantec infatti aveva stimato circa 50.000 zombie, 20.000 secondo il governo Koreano. La BKIS invece, avvalendosi di tali log, afferma che la botnet conta qualcosa come 166,908 zombie distribuiti in 74 stati sparsi per il mondo.

Classifica degli stati che contengono più pc zombies.

Adesso sta ai governi di USA e Korea decidere se cercare l’autore dell’attacco o no, la BKIS avendo localizzato il Master Server conferma l’alta possibilità di poterlo scovare, nel frattempo KrCERT e US-CERT hanno ricevuto tutti i dati relativi agli ip coinvolti nell’attacco. Di sicuro sappiamo che Korea ed Inghilterra stanno collaborando in tale ricerca.

0 votato