La botnet Kneber en los medios

^N

etWitness dice ser la empresa descubridora de esta botnet, y ha generado bastante atención de los medios (NetWitness ha puesto a disposición de todos los que le dejen sus datos de contacto, un documento técnico sobre el asunto). Lo que parece haber ocurrido es que NetWitness se ha colado en el panel de control de una de las centenas de botnets controladas por la misma familia de malware: Zeus. La empresa ha curioseado entre los datos allí robados, y ha contado 75.000 máquinas de 2.500 empresas de 196 países y 75 gigabytes de contraseñas y certificados.

La ha bautizado Kneber porque los dominios que utiliza para descargar componentes y demás comunicación con "la central" estaban registrados con el correo HilaryKneber@yahoo.com. Pero es una red creada con Zeus. Un software que se vende en el mercado negro para que cualquiera se construya su propia botnet y la personalice como desee. Se tienen constancia de redes botnets Zeus desde octubre de 2007, manejadas tanto por el crimen informático organizado, como por atacantes ocasionales con un perfil mucho más bajo que infectan solo a algunas decenas de sistemas (Windows, habitualmente).

En realidad, lo novedoso de la botnet llamada Kneber (pero creada con Zeus) no son los números que han salido a la luz. 75.000 máquinas zombi no deja de constituir una gran red, pero desde luego no es la mayor conocida. Lo destacable de esta Zeus es que su principal objetivo son las contraseñas de redes sociales (Twitter, Facebook...). Lo normal en este tipo de malware es el robo de credenciales bancarias. Aunque es habitual que un troyano no descarte ningún tipo de contraseña en la máquina que ha infectado, estar específicamente diseñado para redes sociales no es (todavía hoy) el objetivo primario de la mayoría.

De vez en cuando salen a la luz este tipo de noticias. Los medios generalistas siguen confundiendo una red zombi con una red "dispuesta a atacar" a no se sabe bien qué objetivos. Esto puede ocurrir, pero no es lo que actualmente está pasando ni lo que más debe preocupar a los infectados. La persona que controle una red zombi, efectivamente, podría ordenar a esos sistemas (puesto que suele tener total control sobre ellos) que visiten todos a la vez una página y agoten sus recursos, de forma que estarían "atacando" a esa web. Pero el uso principal de estas botnets no es ese. El usuario infectado pierde por completo el control de su máquina, de sus contraseñas y, en el peor de los casos, de su dinero si realiza transacciones bancarias.

Los medios también se dejan encandilar por las cifras, cuando en realidad, la botnet llamada Kneber puede ser una simple gota en el mar de las botnets mundiales. Existen más de 700 sistemas de control de redes Zeus conocidos, cada uno con un número indeterminado de sistemas zombis en su poder. La que NetWitness ha encontrado en una de esas 700 redes son una gran cantidad de datos robados y zombis a su cargo, pero no tiene que ser la mayor, y desde luego no es el único kit para crear botnets que se conoce. Existen decenas de ellos, cada uno funcionando con, a su vez, decenas de máquinas infectadas. En Hispasec nos enfrentamos a botnets casi a diario, compuestas a veces por algunas decenas de máquinas y, en ocasiones, por unos cuantos miles. Como ya decíamos en enero de 2008 ante una situación muy parecida a esta (ver apartado de "Más información"): "La realidad de lo que vemos día a día, al igual que cualquiera que se dedique profesionalmente al tema, es bastante más cruda e importante que lo puramente anecdótico de un troyano concreto [...] sólo se suele publicar una minúscula parte de la punta del iceberg, por lo que entre profesionales este tipo de datos ha hecho callo, nos hemos acostumbrado. Y eso, es mala señal."

Es importante que este tipo de información salga a la luz de vez en cuando, no cabe duda. Es positivo que el usuario perciba cada cierto tiempo el peligro de un uso irresponsable de su equipo. Pero el trato que se le da a este tipo de noticias, exagerado, inexacto e incluso "desenfocado", solo genera curiosidad temporal y confusión en el ciudadano medio, que acaba frustrado. Desgraciadamente, como muchas de las noticias que "pasan a portada", será rápidamente olvidada, pero los atacantes sin embargo seguirán ahí, construyendo botnets cada vez mayores.