Épphogy sikerült felszámolni a világ egyik legismertebb zombihálózatát, a Kelihost, biztonsági szakemberek máris arról számoltak be, hogy a botnetet üzemeltető kiberbűnözői csoport egy Facebookon terjedő féreg segítségével már el is kezdett építeni egy új hálózatot.
A 110 ezer fertőzött számítógépből álló Kelihos elleni sikeres fellépés egy szakmaközi együttműködésnek köszönhető: a Kaspersky Lab, a CrowdStrike, a Dell SecureWorks és a Honeynet Project szakemberei múlt szerdán jelentették be, hogy közös munkájuk eredményeképp átvették a botnet irányítását. A Kelihost tavaly egyszer már a Microsoft és a Kaspersky közös akciója „padlóra küldte”, ám a bűnözők viszonylag gyorsan talpra álltak, és február elején már újra találkoztak a botnettel a biztonsági szakemberek. A hírek szerint most is a Kelihosban alkalmazott úgynevezett „sinkholing” technológia tulajdonságaira alapozva sikerült az irányító (command and control) szerverek ellenőrzése alól kivonni a zombigépeket.
De talán épp ennek, a magig el nem jutó módszernek köszönhető, hogy a Seculert szakemberei már egy nappal később arról számoltak be, hogy találkoztak a hálózat-újjáépítés nyomaival. A jelentés szerint a Kelihost működtető csoport valószínűleg fizetett egy Facebook-férget kifejlesztő csoportnak, és azok feltelepítették a vírust már fertőzött, irányítás alá vont gépekre. Ezek után a malware igen gyorsan kompromittált több mint 70 ezer Facebook-fiókot, és a gépekre már a Kelihos trójaijának új változata került. Ráadásul ez a féreg arra is alkalmas is lehet, hogy az elveszített gépeket visszaszerezzék, ugyanis nem elegendő lekapcsolni a zombikat a botnetről, ahogy eddig tették, el is kell távolítani róluk a korábbi fertőzést, és ez időigényes feladat.
Épp ezért írta az eseményekre reagálva egy szakértő, Gunter Ollmann, a Damballa biztonsági cég vezetője, hogy a p2p-alapú botnetek esetében egyetlen hatékony fellépés lehetséges: személyükben kell lekapcsolni az üzemeltetőket – ha ezt nem teszik meg, kilátástalan a küzdelem.
