Botnet-kapers: spammen levert weinig op

Onderzoekers die een deel van het beruchte Storm-botnet kaapten, stellen dat het sturen van honderden miljoenen spammails slechts een habbekrats oplevert. Om redelijk te verdienen zouden immense hoeveelheden zombie-pc's nodig zijn.

De wetenschappers, werkzaam aan de informaticafaculteiten van twee Californische universiteiten, infiltreerden een deel van het Storm-botnet om de economie achter het versturen van spam te bestuderen. Gedurende een periode van 26 dagen werden circa 350 miljoen spammailtjes verstuurd. Geïnteresseerden werden vervolgens naar nep-sites gestuurd, die zo waren opgezet dat de winkelmandjes weliswaar konden worden gevuld, maar er vlak voor het invullen van creditcardgegevens een errorbericht werd getoond.

Ondanks de grote hoeveelheid spam kwam het in slechts 28 gevallen tot een 'aankoop', wat als de sites echt hadden gewerkt 2731 dollar in het laatje had gebracht. Dat komt neer op een conversie van minder dan 0,00001 procent. De informatici schatten dat een op de vier mailtjes voorbij de spamfilters kwam. Ze benadrukken geen extra spamberichten te hebben gestuurd, maar de bestaande spamstroom enkel te hebben gewijzigd door een deel van de berichten naar de nep-sites laten linken.

Omdat de onderzoekers naar eigen schatting circa 1,5 procent van het Storm-zombienet in handen hadden, menen ze dat er met het totale netwerk gedurende de testperiode circa 9500 dollar zou zijn opgehaald, wat zich vertaalt in een jaaromzet van een slordige 3,5 miljoen dollar. De wetenschappers geven toe dat hun studie betrekkelijk klein van omvang is maar geloven dat ze voor wat betreft winstmarges voor botnetspam in de buurt van de werkelijkheid zitten, en hopen dat anderen vergelijkbare onderzoeken zullen uitvoeren.

Reacties (57)

[Robbert S.]

Ze hebben het over $9500,- per dag tijdens "campaign activity". Er is niet elke dag spam verstuurd. Gemiddeld zullen ze zo'n $7000,- per dag verdienen met het hele netwerk.

After 26 days, and almost 350 million e-mail messages, only 28 sales resulted — a conversion rate of well under 0.00001%. (...) Taken together, these conversions would have resulted in revenues of $2,731.88—a bit over $100 a day for the measurement period or $140 per day for periods when the campaign was active. (...) Thus, the total daily revenue attributable to Storm’s pharmacy campaign is likely closer to $7000 (or $9500 during periods of campaign activity).

(...)

Storm-generated pharmaceutical spam would produce roughly 3.5 million dollars of revenue in a year. This number could be even higher if spam-advertised pharmacies experience repeat business. A bit less than “millions of dollars every day”, but certainly a healthy enterprise.

Deze tekst staat onder "8. CONCLUSIONS" in de PDF. Hier kan je ook vinden hoeveel van die $3,5 miljoen nou ook echt winst is voor de botnetters. Aanzienlijk minder dan dit artikel suggereert.

edit:
Tekst iets ingekort.

[Reactie gewijzigd door Robbert S. op 23 juli 2024 15:27]

[Brahiewahiewa]

Volges mijn slaat het onderzoek nergens op.
Het gaat er helemaal niet om hoeveel omzet je daadwerkelijk genereert.
De "eigenaren" van botnets verdienen aan het versturen van spam: wilt U 1 miljard mailtjes versturen? Dat kost U dan x $. Of die mailtjes omzet genereren of niet, zal ze worst wezen.

[Mar2zz]

Je hebt volgens mij helemaal gelijk. De hackers zelf verkopen die producten niet, dus verdienen ook daar niet aan, zij krijgen geld van de persoon/bedrijf die het product wil verkopen dat aangeboden wordt. Viagra en penis-enlargers. De volgende scenario's zijn ook denkbaar:

1: De websites zijn opgezet door de hackers om creditcardgegevens te achterhalen.
2: De websites zijn opgezet door de hackers en besmet zodat bezoekers aan het botnet toegevoegd kunnen worden.

Met 1 kan heel veel verdiend worden, met 2 kan nog meer van 1 geregeld worden en nog meer capaciteit aan spammers worden verkocht. Bovendien, hoe groter het botnet, hoe makkelijker het wordt om te brute-forcen om toegang te krijgen tot allerlei leuke en interessante webservers.

Ik vraag me af of het onderzoek ook met deze scenario's rekening houdt.

[robvanwijk]

Nou ja, als die spam omzet genereert is de kans dat dezelfde "klant" nog een keer een miljard mailtjes koopt natuurlijk wel aanzienlijk groter; als de klant er verlies op maakt moeten ze elke keer nieuwe klanten zoeken die naïef genoeg zijn om te denken dat ze wel winst kunnen maken.

[BRAINLESS01]

Ik zou er voor tekenen! 3.5 miljoen voor een beetje niks doen (het systeem is er immers al, je moet het hooguit een beetje bijhouden). Als je dat een paar jaar doet kun je daarna lekker van het leven genieten op een of ander eiland, je moet alleen zorgen dat je niet gepakt wordt..

[Nickname55]

Beetje bijhouden? Constant verandering door voeren om er voor te zorgen dat virusscanners en Microsoft met zn maandelijkse opschoonacties niet je hele netwerk uit de lucht plukken. Steeds nieuwe bug / gaten / exploits vinden in software om pc / servers binnen te komen. Constant voor iedereen uit rennen om te zorgen dat je niet gevonden word, steeds nieuwe goede proxies zoeken en configureren om verborgen te blijven. En uiteraard al helemaal geen fouten maken, zoals AVG deed bij hun virus scanner, want dan je is je net ook uit de lucht Bovendien ... het systeem is er niet, dat moet je maken of voor heel veel centjes kopen.

[jules]

Grote kans dat die botnets draaien op pc's die minder goed beveiligt zijn. Je schakelt de automatische update functie uit van Windows en vervolgens is het een koekie om de boel draaiende te houden.

Iedere virusscanner heeft wel zwaktes, virussen die ze niet scannen. Als je als virus zo weet binnen te komen en de scanner weet uit te schakelen, dito met de windows update, dan is het vervolgens nog alleen zorgen dat het systeem blijft draaien en online blijft. Het systeem en of het netwerk dus niet te zwaar belasten en ga zo maar door. Zodra het systeem zich merkwaardig gedraagt zal de gebruiker actie gaan ondernemen.

Als je echt kennis van zaken hebt zou je kunnen zorgen dat je al die virusscanners voor blijft en ondanks dat de scanner actief blijft, het virus ook nog op het systeem blijft draaien. Maar deze techniek kost gigantisch veel energie lijkt me. Wel zullen ze er voor zorgen met zeer frequente updates dat nieuwe versies om systemen te infecteren niet herkend worden door virussen. Maar eenmaal draaiende met een uitgeschakelde virusscanner word het al een stuk makkelijker.

[ronny]

Tevens moet je dus ook nog zorgen dat je ander BOT nets uit de lucht houd. Want de 3.5 miljoen is voor alle spam als ik het goed heb en daar moet je dus ook nog gevangenis straffen en dergelijke voor riskeren.

[opperhokker]

Op zich is dit bericht al reclame genoeg om zelf eens een poging te wagen. Een paar daagjes draaien en je hebt een leuke vakantie voor de boeg.

Wel jammer dat dit bericht niets zegt over het aantal daadwerkelijk in gebruik zijnde emailadressen waarheen gespamd is. Veel emailadressen zijn gegenereerd en correcte aflevering (nog los van de filters) berust dan op toeval.

[Corrit]

Dat is natuurlijk de grootste onzin die je maar kunt verzinnen, alsof iedereen zomaar even z'n eigen botnetje op kan zetten om in een paar daagjes duizenden euro's binnen te halen. Hier kom je echt niet zomaar tussen. De mensen die dit doen zijn professionals.

En al zou het mogelijk zijn, zou jij voor die paar duizend euro het risico willen lopen gepakt te worden?

[Rob Coops]

Dat is voor een deel waar, de mensen die dit doen zijn profesionals en dat komt omdat het zo enorm veel geld op levert. Vaak zullen dit soort botnets ook proberen andere botnets buiten de deur te houden dan wel over te nemen.
Het is zeker voor de gemiddelde tweaker niet de moeite waard om een poging te wagen maar iemand die op dit moment een flinke inkomens stroom heeft uit het een of andere grijze gebied zou best wel eens een poging kunnen wagen. Met een beetje geld koop je al snel een redelijk netwerk, en met wat meer geld al snel een clubje programeurs die minder last van hun geweten hebben zo lang hun bank rekening maar leuke getallen blijft vertonen, en dus kun je al snel een zeer luceratief bedrijfje op zetten, waar mensen netjes geld blijven sturen naar de een of andere online website van een nog maar kort bestaande B.V. die ook weer net zo snel verdwijnt.

Het is niet voor iedereen, maar als je kunt kiezen tussen zelf je handen vuil maken of achterover leunen en mensen een bijna slachtoffer looze misdaad laten plegen voor je...

[elmuerte]

3.5 miljoen aan omzet is weinig?
Het is niet alsof er zo veel kosten zijn voor de spammer/botnet beheerder.

De reken som in de tekst is een beetje vreemd, 1.5% => $2731; 100% => $9500 ?
Die $9500 is per dag, die $2731 was over 26 dagen. Anders kom je nooit op 3.5 miljoen.

[Reactie gewijzigd door elmuerte op 23 juli 2024 15:27]

[Woy]

Ja ik zat ook al te rekenen, maar per dag zou het wel ongeveer kloppen. Maar anders kom je idd nooit op 3,5 miljoen.

[jmzeeman]

Wat veel mensen hier even vergeten maar waar je wel rekening mee moet houden is dat het hier om de OMZET van de online apotheek gaat. Daar moeten nog wel alle pillen e.d. van gekocht worden de daadwerkelijke winst ligt waarschijnlijk veel lager(de onderzoekers durven daar weinig over te zeggen). Maar hun uiteindelijke inschatting is dat het zeker niet loont voor 3rd parties om spam te laten versturen. Alleen als de verkoper ook de eigenaar van het botnet is kan er geld verdiend worden. Hun inschatting is dat de uiteindelijke winst ligt op het loon van 2 á 3 goede programmeurs. Weinig winstgevend dus.

... Moreover, neither of these behaviors is found in any of the other (smaller) campaigns distributed by Storm (suggesting that these may in fact be fee-for-service distribution arrangements). If true, then the cost of distribution is largely that of the labor used in the development and maintenance of the botnet software itself.

If true, this hypothesis is heartening since it suggests that the
third-party retail market for spam distribution has not grown large
or efficient enough to produce competitive pricing and thus, that
profitable spam campaigns require organizations that can assemble
complete “soup-to-nuts” teams.

[Reactie gewijzigd door jmzeeman op 23 juli 2024 15:27]

[Sukeltje]

dat is als de mensen wel daadwerkelijk hun product krijgen, wat ik mij afvraag bij veel van dit soort acties?

[Sukeltje]

ik heb even zitten rekenen, en ik snap niet hoe ze op 3.5 miljoen komen.

$2731 / 26 (dagen) = $105.xx per dag

$105.xx * 100
---------------------- = $7002.56 per dag (bij gebruik totale botnet)
1.5 (1.5% van totale botnet hadden ze gebruikt)

$7002.56 * 365 = $2.555.935 per jaar

en dat is als ze iedere dag zouden draaien... en volges mij bereken ik het zo goed, dus dan snap ik niet hoe ze aan die $3.5 miljoen komen, want dat scheelt een miloen.

edit:

nog een leuke, als je doorrekent wat ze per dag met het totale botnet zouden kunnen sturen (uitgaande van de gegevens):

350.000.000 * 100
------------------------- = 23.333.333.333 mailtjes per dag
1.5

23.333.333.333 * 365 = 8.516.666.666.666 mailtjes in een jaar als ze iedere dag dat aantal zouden sturen

[Reactie gewijzigd door Sukeltje op 23 juli 2024 15:27]

[McAndrew]

Ik hoop niet dat dit soort onderzoeken een trend gaat worden. Voordat je het weet bestaat de SPAM-stroom voor het grootste gedeelte uit onderzoeksmailtjes. Dan kom je als fatsoenlijke Spammer helemaal niet meer aan bod (of BOT),

[Edgarz]

Al was het maar 1 miljoen per jaar. Ik verdien minder per jaar voor 50 uur per week. Ben wel benieuwd hoe de kostenstructuur in elkaar zit van zo'n organisatie.

[sirono]

ik vind 3,5 miljoen op jaarbasis en 2731 euro met 1 actie niet echt weinig.
zeker als je kijkt dat ze er niks voor hebben hoeven doen!

[CyberJoe]

Ik hoor helemaal niemand iets zeggen over het verschil tussen omzet en winst. Er blijft netto veel minder over. Ik ga toch maar wat anders doen (had net een botnet van 3 computers opgezet....eventjes rekenen....)

[Da_Teach]

Want de spammers die via botnets werken hebben ook onwijs hoge kosten?

Of heb je het idee dat het product dat je besteld daadwerkelijk afgeleverd wordt?

[i-chat]

voor een deel wellicht wel, voor een deel vast ook nie, fijt blijft dat je veel uren bezig bent om de zooi te programmeren etc. veel research (wat ook duur is ( huur maar 's een programmeur)),

vervolgens heb je ook het nodige data verkeer om alle nodes te managen dat doe je wellicht niet zo heel snel via een tele2 abo..

en er zijn vast andere kosten

[IStealYourGun]

Er bestaat kant en klare software die je kan aankopen, daarnaast verloop alles mooi in het zwart, m.a.w eenmaal de opstart gebeurd is, is het bijna uitsluitend winst winst winst.

[PV85]

Je moet het denk ik vergelijken met de straffen die ervoor staan (9 jaar dacht ik) en de pakkans.
Ik denk dat als je dat vergelijkt met andere criminele activiteiten, je misschien wel meer kunt verdienen.

[Admiral Freebee]

Met uitzondering dat cybercriminaliteit makkelijk te organiseren valt vanuit landen die hierover geen goede wetgeving hebben en de pakkans dus betrekkelijk laag is.