La botnet Kelihos o Kelihos botnet, también conocida como Hlux, es una botnet principalmente involucrada en spamming y robo de bitcoins.
Historia La botnet Kelihos fue descubierta cerca de diciembre del 2010. Los investigadores originalmente sospecharon que habían encontrado una nueva versión de las botnets Storm o Waledac, debido al código fuente y modus operandi similar. Sin embargo, el análisis de la botnet mostró que era una red nueva con 45 000 computadoras infectadas, capaz de enviar un estimado de 4 mil millones de mensajes de spam por día. En septiembre de 2011 Microsoft apagó la botnet en una operación con nombre en código "Operation b79". Al mismo tiempo, Microsoft presentó cargos civiles contra los acusados Dominique Alexander Piatti, dotFREE Group SRO y 22 John Doe por su sospechado involuramiento en la botnet por la emisión de 3700 subdominios usados por la botnet. Estos cargos fueron retirados más tarde cuando Microsoft determinó que los acusados no habían sido controladores intencionales de la botnet.
En enero del 2012, se descubrió una nueva versión de la botnet, a veces referida como Kelihos.b o Version 2, consistente en un estimado de 110 000 computadoras infectadas. Durante el mismo mes que Microsoft presentó cargos contra el ciudadano ruso Andrey Sabelnikov, un ex profesional de seguridad IT, por ser el alegado creador del código fuente de Kelihos botnet. La segunda versión de la botnet fue apagada en marzo del 2012 usando sumideros de DNS de varias empresas privadas.
Después del apagado de la segunda versión de la botnet, el 2 de abril surgió lo que parecía ser una nueva versión, aunque hay desacuerdo entre los grupos de investigación si la botnet era simplemente remanentes de la versión 2 deshabilitada o una nueva versión. Esta versión de la botnet consiste actualmente en un estimado de 70 000 computadoras infectadas. La versión Kelihos.c afecta mayormente computadoras a través de Facebook al enviar enlaces de descarga maliciosos a los usuarios del sitio. Una vez clickeado el enlace, se descarga un troyano llamado Fifesoc, que convierte a la computadora en un zombi parte de la botnet.
El 24 de noviembre de 2015, ocurrió un evento en la Kelihos botnet que causó la difusión de falsos positivos de IPs que estaban en la lista negra:
Una declaración jurada sin sellar del 5 de febrero del 2018, mostró el rol inesperado de Apple en llevar al rey del spam ruso ante la justicia. Peter Levashov supuestamente corría la botnet bajo el alias "Severa", alquilando el acceso a spammers y otros cibercriminales. A pesar de los grandes esfuerzos de Levashov en su anonimidad, los registros de la Corte muestran que agentes federales estaban vigilando su cuenta iCloud desde el 20 de mayo del 2016, canalizando hacia atrás información crucial que llevó a su arresto. La orden federal vigente de iCloud habría dado a las autoridades una pestaña de direcciones IP utilizadas para iniciar sesión en la cuenta, que podrían haberles avisado de sus vacaciones en Barcelona, España, donde fue arrestado a pedido de la policía estadounidense y extraditado a los Estados Unidos para su enjuiciamiento.
Estructura, operaciones y difusión La botnet Kelihos es lo que se conoce como una botnet peer-to-peer, donde los nodos individuales de la botnet son capaces de actuar como servidores de command-and-control para la botnet entera. En botnets tradicionales no peer-to-peer, todos los nodos reciben instrucciones y "trabajo" de un conjunto limitado de servidores - si esos servidores son eliminados o neutralizados, la botnet no recibirá más instrucciones y por lo tanto estará efectivamente apagada. Las botnets peer-to-peer busca mitigar ese risgo permitiendo que cualquier nodo pueda enviar instrucciones a la botnet entera, dificultando el apagado de la botnet.
La primera versión de la botnet estuvo involucrada principalmente en ataques de denegación de servicio y spam de correos electrónicos, mientras que la versión 2 agregó la habilidad de robar billeteras Bitcoin, así como un programa usado para minar bitcoins en sí. Su capacidad de spamming permitió a la botnet difundirse a sí misma mediante el envío de enlaces de malware a los usuarios para infectarlos con un troyano, aunque las versiones posteriores se propagaron principalmente en sitios de redes sociales, en particular a través de Facebook.
Referencias
Kelihos Categoría:Seguridad de redes informáticas Categoría:Sistemas multiagente Categoría:Computación distribuida