Microsoft draagt bewijs Rustock-botnetonderzoek over aan FBI

Microsoft draagt het bewijs van de vermoedelijke hoofdverdachte van het botnet Rustock over aan de FBI. Het softwarebedrijf zocht een halfjaar naar de geestelijke vader van het spamnetwerk, dat ooit bijna 30 miljard mailtjes per dag verstuurde.

Microsoft speelt het eigen onderzoek door naar het Amerikaanse Openbaar Ministerie, dat de verdachte strafrechtelijk moet vervolgen. Het bewijs bestaat onder meer uit ip-adressen die als laatste verbonden waren met de servers van Rustock, vlak voordat het botnet op zwart werd gezet. De servers waren ondergebracht bij een hostingbedrijf in Azerbeidzjan. Volgens het bedrijf communiceerde de eigenaar van het botnet alleen via instant-messaging met de naam Cosma2k. Betalingen kwamen volgens Cnet van een account bij WebMoney.

Eerder dit jaar spande Microsoft een civiele rechtszaak aan tegen de vermoedelijke eigenaren van het botnet. Om 'voorman' Cosma2k van Rustock op de hoogte te stellen, liet Microsoft de aanklacht afdrukken bij twee grote Russische kranten. Bovendien verstuurde het bedrijf uit Redmond berichten naar het ip-adres dat in het onderzoek naar de hoofdverdachte werd gevonden. Microsoft kwam aan die informatie na het bieden van een premie van 250.000 dollar in juli, wat volgens de softwarereus bijna vijftig tips opleverde.

Na toestemming van de rechter ontmantelde Microsoft, samen met de Amerikaanse en Nederlandse politie, in maart het botnet Rustock, dat in zijn hoogtijdagen 30 miljard mailtjes per dag verstuurde. De spam bestond onder andere uit nepprijsvragen namens Microsoft en aanbiedingen voor medicijnen. Een enkele Rustock-zombie zou 7500 spamberichten in 45 minuten hebben verstuurd. Volgens beveiligingsbedrijf Symantec was Rustock eind 2010 de grootste spambron ter wereld en zou 47,5 procent van alle spam van het netwerk afkomstig zijn geweest.

Hoewel een aantal door Rustock geïnfecteerde computers nog spam verstuurt, gelooft Microsoft dat het botnet met 75 procent is afgenomen. De Amerikaanse rechter verbood begin deze maand voor een periode van twee jaar het hergebruik van tienduizenden voormalige domeinnamen en ip-adressen van Rustock.

Reacties (38)

[Buggle]

En wederom zitten we met een gigantisch botnet omdat er blijkbaar gigantische gaten in de computers van gebruikers zitten. Goed, ik weet ook wel dat je niet heel veel controle hebt over de mensen die illegaal software gebruiken in de opkomende economiën, maar methodes als gedwongen securityupdates kunnen toch behoorlijk wat zoden aan de dijk zetten.
Met name mensen die geen kaas gegeten hebben van computers en de gevaren niet inzien zouden toch eigenlijk voor zichzelf beschermd moeten worden. Het automatisch updaten van Chrome, zonder dat de gebruiker daar wat van ziet, is wat mij betreft de enige uitweg uit deze zombienetwerken.

[Verwijderd]

Ik kan het maar deels met je eens zijn. Het is uitermate ondoorzichtig als software zich zonder mede weten van de gebruiker update. Wie zegt met niet dat dat impliciet al een veiligheidsrisico met zich mee brengt.

Komt bij dat (en dan spreek ik maar weer eens vanuit een businessperspectief) het vaak helemaal niet gewenst is dat iedere update zomaar wordt doorgevoerd. Voor het zelfde geld valt er wat anders om en dan zijn de rapen gaar. Ligt je hele bedrijf op z'n gat, om nog maar te zwijgen over het feit dat je dat soort updates niet door iedere pc op je netwerk wil laten downloaden maar dat je dat maar 1 keer wil doen en het vervolgens te distribueren.

Leuke oplossing maar beetje te kort door de bocht.

[Niemand_Anders]

Behalve dan dat als je automatisch een geinfecteerde Chrome update ophaalt omdat de webserver een vervalst SSL (DigiNotar) certificaat heeft. Voor landen als Iraan en China is het niet zo heel erg lastig om providers te verplichten HUN DNS server te gebruiken. En omdat de 'mirror' website netjes een aan Google (of Microft, Mozilla, etc) toegewezen certificaat heeft worden de updates zonder problemen doorgevoerd.

Nu Internet Explorer zich redelijk goed aan de webstandaarden houd (volgens de aangepaste ACID test zonder experimentele tests scoren ze netjes 100%) en Mozilla en Google nog een hoop moeten leren of software op de bedrijfs desktop zie ik juist dat het marktaandeel van Internet Explorer weer juist aan het toenemen is nadat Firefox en Chrome lange tijd marktaandeel wisten af te snoepen.

Software welke zonder tussenkomst van de gebruiker zelf updates binnenhaalt en installeerd is niet alleen een enorm veiligheids risico (update is niet door een systeembeheerder gecontroleerd), bij een bedrijf met duizenden werkplekken zorgt het ook voor een onnodige transfer piek. Microsoft bied de oplossing om een update eenmaal binnen te halen, te testen en daarna (gecontroleerd) intern te verspreiden naar de werkplekken. Microsoft heeft dat gekopieerd van Novell Netware en het zal mij niet verbazen als zij het weer van andere hebben overgenomen.

Overigens is de enigste oplossing dat Microsoft alleen software laat installeren welke het 'Designed for Windows' certificeringsproces heeft doorlopen (zeer duur) en dus ondertekend met een certificaat van Microsoft.. Maar die optie is ook ongewenst omdat opensource dan buiten spel zou worden gezet.

Een mogelijk tussenweg is dat Windows een certificering eist van software welke als Administrator gedraaid moet worden en dat programma's welke alleen in userspace draaien niet ondertekend hoeven te zijn..

Maar misschien dat Microsoft zijn Windows Update programma ooit open zet voor externe applicaties zodat het een Linux repository smaakje krijgt..

[Buggle]

Allereerst wist ik natuurlijk dat er reacties zouden komen over de bedrijfsnetwerken. Dat weet ik ook wel en daar doelde ik niet op. Het gaat meestal om thuisgebruikers met een PC die zo lek is als een zeef omdat ze nog nooit van updaten gehoord hebben. Ze draaien Adobe Reader stenentijdperk.0.0 en denken dat de pc zo traag is omdat windows trager wordt.

Ik ben het uiteraard wel met jullie eens dat het ook een veiligheidsrisico met zich meebrengt bij de verspreiding van geinfecteerde bestanden. Dat is een reëel risico. Maar aan de andere kant vind ik het alternatief nog erger (zoals het nu is). Er zouden dan ook gewoon meerdere versies van een softwareproduct uit moeten komen, onder andere met en zonder automatische updateprocedure. Als we naar Iran gaan kijken maakt het al niet eens meer uit, want de eerste instance die je van Chrome installeert is dan ook al geinfecteerd.
Misschien was het voorbeeld van Chrome niet al te best, maar wat ik bedoel te zeggen is dat het updaten van software niet meer bij de gebruiker zou moeten komen te liggen (ik ken niemand zonder IT achtergrond die bewust zijn computer regelmatig update). Hoe dat technisch geimplementeerd zou moeten worden is een ander verhaal.
Het lijkt me ook duidelijk dat er een vervanging moet komen van het huidige SSL systeem, bijvoorbeeld. Want ook MS WU is niet volledig veilig. Het is wel de beste oplossing die er momenteel is, denk ik.

[wildhagen]

Goede zaak. Dit was echt een gigantisch botnet. Mooi dat het opgerold is, en ik hoop dat de daders een zeer zware straf krijgen.

Hopelijk gaat er dan een signaal van uit tegen anderen met dit soort slechte bedoelingen.

[Verwijderd]

Goede zaak. Dit was echt een gigantisch botnet. Mooi dat het opgerold is, en ik hoop dat de daders een zeer zware straf krijgen.

Hopelijk gaat er dan een signaal van uit tegen anderen met dit soort slechte bedoelingen.

Dat is volgens mij gewoon een kwestie van kosten en baten.
Zolang je de bedrijven die spam willen versturen niet aangepakt worden zal er vraag naar dit soort "bedrijven" blijven bestaan.
En zolang mensen daadwerkelijk iets kopen naar aanleiding van spam, zoals bijvoorbeeld medicijnen online met alle risico's van dien, blijft het lucratief.

(2009) 12% of e-mail users have actually tried to buy stuff from spam.

[Yezpahr]

Het ligt niet aan de bestrijding van tegen dit soort bedrijven, maar aan de manier waarop er word omgesprongen met rechtszaken en serverparken.
Dit nieuwsbericht bewijst maar weer dat het oppakken van botnets wèl gebeurt en dat het ook een merkbaar effect heeft in het spamgehalte.

Het was vorig jaar nog normaal dat ik 1.000 spam berichten in mijn spambox had van Gmail. De laatste 10 maanden is dat 60-120.

De spam is altijd Engrish-talig of E.Fuddish en beweert dat je te dik bent, impotent, kaal, 'small', baanloos, harddrugsprobleem hebt en huisloos bent en heeft altijd een oplossing voor dat probleem middels een zalfje, pillen (ja, méér drugs), boek e.a. aanbiedingen.
Maar het blijft een aanbieding. Letterlijk. Ze bieden het je aan, maar je krijgt echt niet iets van hun hoor, ze accepteren je geld en er gebeurt niets.

De spam bedrijven doen het hier verkeerd imo. Ze kunnen meer verdienen als ze bijvoorbeeld de mensen verslaafd maken aan een ècht product. Bijvoorbeeld slakkenslijm of 10-jaar-abonnementen op computerhardware.

Maar als de juridische wegen nou eens handiger in elkaar gevlochten werden, dan waren veel rechtszaken niet nodig, want dan was het gewoon niet lucratief genoeg.

Mijn idee voor het aanpakken zal nooit aanslaan, maar zal een domein eigenaar die alleen domeinruimte huurt wel gelijk belemmeren er bijvoorbeeld een toegangspunt voor botnets te maken:
Ik denk namelijk aan een systematische set up van de servers, waarin de eigenaar van een domein tegelijk x-percentage eigenaar is van de servercomputer waar het domein op staat. Hierdoor kun je niet verstoppertje spelen met nicknames, je zult je echte naam moeten opgeven.
Hoe die status word gepresenteerd zal in een contract moeten staan, zoals kosten en opbrengsten. Iemand die genoeg domeinruimte op 1 server concentreert zal niet genoeg percentage mogen bemachtigen om als hoofd-eigenaar te boek te staan. Dit moet ook in het contract vermeld worden.
De hoofd-eigenaar zal in dit idee dus altijd moeten weten wie wat waar host en mag niet onwetend blijven over wat de anderen voor het publiek toegankelijk maken. Dit controlewerk zou werkgelegenheid kunnen creëren.

Ik heb het een en ander nagevraagd, maar geen enkel punt wat ik hier heb genoemd kan in het huidige rechtssysteem nageleefd worden. Contracten kunnen daarentegen wel zo iets realiseren, maar dit zal weinig klanten/hosts trekken die een serieuze planning hebben, door het gebrek aan anonimiteit.

[Verwijderd]

1000 spam berichten per dag bij gmail, dan deed je echt wat fout met je gmail.

Per jaar krijg ik minder dan 10 spamberichten bij gmail.
(op honderden contactpersonen en duizenden emails)

Misschien wat voorzichtiger omgaan met je adres.....?

[Reactie gewijzigd door Verwijderd op 25 juli 2024 13:12]

[thegve]

In de spambox, kan gewoon bad luck zijn hoor. Ik heb er een paar honderd.

Grootste verdachten zijn vermoedelijk de kennissen die het leuk vinden om allerlei onzin mails en hoax's rond te mailen met iedereen in het aan of cc veld, in combinatie met alle:

Ik heb een leuke foto! Moet je op deze site kijken: ....

mails, gok ik dat de spammers via die Outlook-virussen aan mijn mail komen. En daar doe ik al alles tegen wat enigzins "sociaal verantwoord" nog kan, zoals er 1 keer op wijzen...

[Yezpahr]

@trm0001
Ik bedoelde niet zozeer per dag .
Maar je weet, na 30 dagen ofzo worden ze verwijderd.
Het lag tussen de 900 en 1100 in per 30 dagen dus.

Het viel toen dus eigenlijk nog wel mee, maar nu stelt het amper nog wat voor.

@thegve
De kettingbrieven van bekenden negeer ik gewoon en komen wel gewoon in de in-box.
Als ik me er druk over ga maken hou ik weinig vrienden over.

[Oxiounking]

Niet alleen dat ze de producten kopen, maar creditcard gegevens worden afhandig gemaakt, en dan worden er duizenden euro's geint

[Reactie gewijzigd door Oxiounking op 25 juli 2024 13:12]

[mad_max234]

Spammers sturen soms gewoon nep mailtjes rond waar het bedrijf in de spam helemaal niks vanaf weet, of er sterk op tegen is zoals in geval van MS.

"De spam bestond onder andere uit nepprijsvragen namens Microsoft en aanbiedingen voor medicijnen. "

[Dooxed]

De Amerikaanse rechter verbood begin deze maand voor een periode van twee jaar het hergebruik van tienduizenden voormalige domeinnamen en ip-adressen van Rustock.

Hoe kan een rechter in een land een verbod op het (her-)gebruik van domeinnamen en ip-adressen wereldwijd opleggen? Of is dit alleen voor Amerika en zijn de domeinnamen / ip-adressen in handen van de overheid?

[Reactie gewijzigd door Dooxed op 23 juli 2024 09:11]

[Verwijderd]

Dat vraag ik me ook af. Als Rustock een Amerikaans "bedrijf" is, kan ik het me nog enigzins voorstellen, maar hoe dan ook, zelfs in deze zaak, vind ik het niet kunnen dat de Verenigde Staten zomaar eigendom kunnen claimen van data wat in Europa gehost wordt.

[tedades]

Volgens mij vielen bepaalde domeinen (zoals .com) onder amerikaanse wetgeving.

[thegve]

.com word uitgegeven door IANA, een Amerikaanse stichting die oa ook de IP-adressen beheerd.
Met andere woorden: het internet *is* van Amerika...
Niet dat ze hier actief iets mee doen voor zover ik weet nu. Het hergebruik van domeinnamen verbieden zie ik het nut eigenlijk alleen voor in voor de potentieele legitieme koper van die domeinnamen/IP's.
Je zal maar zo'n naam kopen zonder hier vanaf te weten en er vervolgens achter komen dat je geblocked word over het halve internet.

[Bux666]

... 30 miljard mailtjes per dag ...

Daar zal 'Cosma2k' vast wel wat aan verdient hebben! Goed dat dit opgedoekt is!

[Wolfos]

Het is ook niet de taak van Microsoft om misdadigers op te sporen, dus mooi dat ze het overgedragen hebben.

[Verwijderd]

Lekker met twee maten meten. Weet nog hoe de hele goe gemeente hier viel over het feit dat Apple recent hun phone probeerde terug te krijgen. Die hadden er ook "netjes" agenten bij gehaald.

[tinusbalpol]

Klein detail dat Apple zijn phone kwijtraakte, terwijl Microsoft een botnet vond.....

[kibje]

Waar iedereen over viel was dat twee mensen van Apple zeiden dat ze politieagenten waren en iemands huis betraden. Tevens vergelijk je appelen met peren.

[Verwijderd]

Bovendien verstuurde het bedrijf uit Redmond berichten naar het ip-adres dat in het onderzoek naar de hoofdverdachte werd gevonden.

Ik vraag me af hoe ze dat doen. Net Send ip Hoi we verzoeken u contact op te nemen met MS wegens spam?

[DB LucF]

Exact mijn gedachte. Juist hierover zou ik iets meer info verwachten.
Gokken wat'r is gebeurd kunnen we allemaal, meer details hierin verwacht ik eigenlijk wel. Was het IP adres gelinkt aan een domeinnaam en is daar via Whois informatie meer gehaald. Of is er wellicht een provider geweest die gebruikersgegevens heeft afgestaan?
Zoals het nu in het nieuwsbericht staat is het in ieder geval onzin.

[kibje]

Waarschijnlijk via MSN Messenger, rechtstreeks naar ip-adres.

[jimbo123]

PRECIES! dat vroeg ik mij dus ook af!
Dat lukt op vandaag echt niet meer.

Typisch weer een nieuwsartikel geschreven zonder technische kennis.

[Beroemdheid]

Scheelt dit nog op de totale hoeveelheid spam? Het zou me niet verbazen als dit maar een promille is van de rest van de spam die wordt verstuurd door 1000 andere botnets.

[wildhagen]

Het botnet in kwestie betrof een net dat verantwoordelijk was voor 47.5 procent van de wereldwijde spam. Dus ja, dat lijkt me idd aardig schelen als dat grotendeels opgedoekt word.

Een deel zal natuurlijk overstappen op andere botnets, maar een deel zal dan ook wel structureel wegvallen.

Je kan wel zeggen dat het maar een klein deel is, maar je moet ergens beginnen. Als je niks doet, word het aandeel spam zeker niet minder, eerder meer.

[defixje]

Al 30 Miljard mailtjes per dag bijna 50% is dan blijven er dus nog 30 Miljard mailtjes over per dag van anderen. Denk zelf niet dat je er wat van merkt dan.

Ligt er natuurlijk ook aan of jou mailadres bij de andere (zoals jij zegt) 1000 botnets ook in hun lijst staat. Maar totaal gezien denk ik niet echt dat er een groot verschil gemerkt wordt.

[thegve]

Een 50% afname, hoe kan je dat nou niet als een groot verschil zien? Het lijkt mij logisch dat als je gespammed word door een van de collega's van deze spammer, en niet door hem, dat je geen verschil merkt. Maar de 'gemiddelde internetter' zal dus 50% minder spam ontvangen.
Al zou het kunnen dat door toeval/zijn bron van mailadressen hij meer spammed binnen een bepaald continent waardoor je er in Europa bijvoorbeeld meer/minder van merkt dan in Azië/Amerika.

[Verwijderd]

Qua spam wat jij als prive-persoon binnenkrijgt zal het niet veel uitmaken.

[MN03]

Waaruit denk jij dat zo'n botnet bestaat? Meerendeels Windows kan ik nu al zeggen. Dit is dus zeker een "misdaad" tegen MS (een $ teken gebruiken is buitengewoon kinderachtig en verlaagd onnodig het niveau van je bericht) aangezien MS voor de kosten mag opdraaien voor het opruimen van alles (of dacht jij dat MSE geen kosten heeft?).

[Verwijderd]

offtopic: Ok, je hebt gelijk, het $ is misschien wat kinderachtig
Maar wilde alleen aangeven dat ik het een vreemde gang van zaken vind dat Microsoft beslag kan laten leggen.
Ja een slechte naam bezorgen is niet fijn MAAR daarvoor heb je andere middelen, misbruik maken van merknaam. Dat is heel wat anders dan het moedwillig uit de lucht halen van servers die waarschijnlijk helemaal niet van de "slechterik" zijn maar die gewoon misbruikt werden door hem.

Daarbij blijf ik er bij dat het niet iets was wat TEGEN Microsoft was gericht maar alleen gebruik maakte van hun merknaam, geleden "naamsschade" is te verhalen uiteraard. Maar toon maar eens aan dat je hier onder te leiden hebt gehad en hoeveel dat dan waard is.

Maar het blijft America. Daar kun je voor het sharen van 1 mp3 al een paar miljoen schadeclaim aan je broek krijgen dus dat was Microsoft vast ook wel gelukt zonder de inbeslagname.

_{scharen gebruik je om te knippen sharen is wat anders ...}

[Reactie gewijzigd door Verwijderd op 25 juli 2024 13:12]

[Game_overrr]

1mp3 1 miljoen? Die student van laatst had toch veel
Minder?

[Verwijderd]

ff een linkje ivm het sharen en boetes in de VS. Er kan per nummer een maximale boete van 4 miljoen $ opgelegd worden.

Milde boete voor mp3-filesharer

[Verwijderd]

Als je de bron leest die ook in het artikel wordt aangehaald dan kan je het volgende lezen:

Microsoft kreeg toestemming voor de inbeslagname na een aanklacht tegen de onbekende beheerder voor onder andere misbruik van het merkrecht van de fabrikant in de berichten.

bron: nieuws: Microsoft ontmantelt spambotnetwerk met hulp Nederlandse politie

Bovendien staat hier gewoon in het artikel het volgende:

De spam bestond onder andere uit nepprijsvragen namens Microsoft en aanbiedingen voor medicijnen.

.
En als je de volgende zin dan ook nog even meeneemt:

Het softwarebedrijf zocht een halfjaar naar de geestelijke vader van het spamnetwerk, dat ooit bijna 30 miljard mailtjes per dag verstuurde.

Als er per dag 30 miljard(!) spammails worden verstuurd, waarvan een gedeelte afkomstig van zogenaamd Microsoft dan kan ik het me voorstellen dat Microsoft hierdoor wordt benadeeld en een slechte naam zou kunnen krijgen.

Het inbeslagnemen van de servers is dus met toestemming gebeurd omdat de beheerder van de servers misbruik heeft gemaakt van het merkrecht. De misdaad is misschien inderdaad niet direct tegen Microsoft geweest, maar Microsoft is er wel 'slachtoffer' van geworden, of voor gebruikt/misbruikt.

edit: bron toegevoegd

[Reactie gewijzigd door Verwijderd op 25 juli 2024 13:12]

[Verwijderd]

Zie ook m'n bovenstaande comment, dat hadden ze via het merkenrecht moeten regelen, het uit de lucht halen van een Server die wss helemaal niet van de "misbruiker" was vind ik gewoon een erg grof middel. De "kleine" eigenaar zal nooit kunnen opboksen tegen een Microsoft als die gedorven inkomsten wil vorderen, daarvoor hebben ze de adem helemaal niet (lees: het geld).