¿Cuál es la configuración típica de la computadora y la disposición de alojamiento de los robots malintencionados?

1

Es bien sabido que si un atacante quisiera, podría falsificar su dirección IP mediante el uso de un servidor proxy o algún otro medio.

Aunque eso es posible, cada vez que realizo una búsqueda de ubicación geográfica en las direcciones IP que realizan ataques automáticos de fuerza bruta, sondaje, escaneo de puertos, etc. en mis servidores, casi siempre las direcciones IP se resuelven en países asociados con el ciberdelito, como:

  • China
  • EE. UU.
  • Rusia
  • Turquía
  • Italia
  • etc.

Sabiendo que Internet es muy independiente de la geografía, por ejemplo, es posible registrarse con servidores de servidores en cualquier parte del mundo y, de hecho, sería deseable, desde el punto de vista de los atacantes, que su IP no estuviera asociada con una País con mala reputación.

Además, como los servidores a veces se agregan a una botnet cuando están comprometidos, siempre asumí que los servidores remotos eran la "arma preferida" para los atacantes.
Sin embargo, ahora me pregunto: ¿están las personas que realizan esta actividad obligadas a utilizar ISP locales en países con leyes más laxas y que no reprimen las actividades maliciosas (supongo que no pueden acceder a todas las grandes nombre proveedores de buena reputación, porque sus cuentas se cerrarían bastante rápido)?

¿Y esto también significa que, en general, tienen que suministrar sus propias máquinas? Sé que hay muchas formas de configurar una computadora y conectarse a Internet, pero ¿cuál es la configuración típica de estos bots automáticos con respecto a si son servidores de alquiler remoto o máquinas físicas locales y cómo obtienen acceso a Internet?

    
pregunta the_velour_fog 18.11.2015 - 09:04
fuente

2 respuestas

3

Hay algunos documentos académicos que describen las botnets de Windows desde un punto de vista arquitectónico:

Parece que la mayoría de las botnets tienen al menos 3 capas:

  1. Las computadoras Ejecutando el código de trabajo. Parece que estos son casi siempre computadoras comprometidas.

  2. Una capa intermedia, a veces comprometida, a veces en realidad pagado por.

  3. La máquina real de comando y control. Casi siempre compraron y pagaron, no los servidores de otra persona que han pirateado.

Los servidores no hackeados, comprados y pagados parecen estar en lugares como Kazakstan o alojados en ISPs "a prueba de balas". Algunos de esos ISP a prueba de balas han cerrado o han sido eliminados legalmente. Busque "McColo" en Google para obtener detalles de uno de estos.

    
respondido por el Bruce Ediger 19.11.2015 - 00:10
fuente
2

El robot automatizado ideal es la máquina de otra persona que usted ha comprometido porque su seguridad no era lo suficientemente buena. Luego, puede controlar esa máquina de forma remota, preferiblemente a través de algún canal que no sea fácil de localizar (el IRC solía ser popular).

    
respondido por el Simon B 18.11.2015 - 13:00
fuente

Lea otras preguntas en las etiquetas