La botnet Rustock fue una botnet que operó desde aproximadamente 2006 [1] hasta marzo de 2011.
Consistía en computadoras que ejecutaban Microsoft Windows, y era capaz de enviar hasta 25.000 mensajes de spam por hora desde una PC infectada. [2] [3] En el apogeo de sus actividades, enviaba un promedio de 192 mensajes de spam por máquina comprometida por minuto. [4] Las estimaciones reportadas sobre su tamaño varían mucho entre diferentes fuentes, con afirmaciones de que la botnet puede haber comprendido entre 150.000 y 2.400.000 máquinas. [5] [6] [7] El tamaño de la botnet se incrementó y se mantuvo principalmente a través de la autopropagación, donde la botnet enviaba muchos correos electrónicos maliciosos destinados a infectar máquinas abriéndolos con un troyano que incorporaría la máquina a la botnet. [8]
La botnet sufrió un duro golpe tras el derribo en 2008 de McColo , un ISP que era responsable de alojar la mayoría de los servidores de comando y control de la botnet. McColo recuperó la conectividad a Internet durante varias horas, y en esas horas se observó un tráfico de hasta 15 Mbit por segundo, lo que probablemente indica una transferencia de comando y control a Rusia . [9] Si bien estas acciones redujeron temporalmente los niveles globales de spam en alrededor del 75%, el efecto no duró mucho: los niveles de spam aumentaron en un 60% entre enero y junio de 2009, el 40% del cual se atribuyó a la botnet Rustock. [10] [11]
El 16 de marzo de 2011, la botnet fue desmantelada a través de lo que inicialmente se informó como un esfuerzo coordinado por parte de proveedores de servicios de Internet y vendedores de software. [12] Al día siguiente se reveló que la desmantelación, llamada Operación b107, [13] [14] fue una acción de Microsoft , agentes de la ley federal de EE. UU., FireEye y la Universidad de Washington . [15] [16]
Para capturar a los individuos involucrados en la botnet Rustock, el 18 de julio de 2011, Microsoft ofrece "una recompensa monetaria de 250.000 dólares estadounidenses por nueva información que resulte en la identificación, arresto y condena penal de dichos individuos". [17]
Las botnets están compuestas por computadoras infectadas utilizadas por usuarios de Internet involuntarios. Para ocultar su presencia al usuario y al software antivirus , la botnet Rustock empleó tecnología rootkit . Una vez que una computadora estaba infectada, buscaba contacto con servidores de comando y control en una serie de direcciones IP y cualquiera de los 2.500 dominios y dominios de respaldo [18] que pueden dirigir a los zombis en la botnet para realizar varias tareas, como enviar spam o ejecutar ataques distribuidos de denegación de servicio (DDoS). [19] Noventa y seis servidores estaban en funcionamiento en el momento del desmantelamiento. [20] Al enviar spam, la botnet utiliza el cifrado TLS en alrededor del 35 por ciento de los casos como una capa adicional de protección para ocultar su presencia. Ya sea detectado o no, esto crea una sobrecarga adicional para los servidores de correo que manejan el spam. Algunos expertos señalaron que esta carga adicional podría afectar negativamente a la infraestructura de correo de Internet, ya que la mayoría de los correos electrónicos enviados en estos días [ ¿cuándo? ] son spam. [21]