Злоумышленники начинают привлекать в ряды своих ботнетов новый тип устройств – смартфоны. Специалисты по кибербезопасности остановили работу ботнета WireX, главными пешками в котором были гаджеты на базе Android. Интереса добавляет то, что эта сеть зараженных мобильников была пока что самой большой и использовалась для атак типа DDoS.
Тысячи устройств на базе ОС Google стали элементами ботнета тогда, когда их владельцы скачали из Google Play одно из 300 зараженных приложений. Сразу после этого гаджеты начали отправлять мусорный трафик на указанные злоумышленниками сайты. Когда такого трафика оказывалось слишком много – сайт-жертва переставал работать. Именно это является сутью атаки DDoS, которая в последние годы набирает популярность, а в 2016 году специалисты фиксировали рекордные по своим масштабам DDoS-атаки.
В свои лучшие времена ботнет WireX контролировал более 120 тысяч устройств в 100 странах мира. Организаторы этой сети требовали от владельцев сайтов-жертв выкуп за прекращение DDoS-атаки.
Из-за того, что DDoS на основе смартфонов был распределен по всему миру, владельцам веб-сайтов было трудно защититься от нападения. В пиковые моменты ботнет бомбардировал серверы сайтов 20 тысяч HTTP-запросов в секунду, что истощало вычислительные ресурсы. Это может показаться небольшим количеством, но если эти запросы направить на поисковую страницу веб-сайта, один такой запрос может потребовать много работы от сервера.
Чтобы одолеть ботнет понадобились усилия многих интернет-организаций. Среди них – Akamai, Flashpoint, Google, Oracle Dyn, RiskIQ, Team Cymru.
Сложностей в идентификации WireX от обычных пользователей добавляло то, что запросы ботнета выглядели обычно. Выделить зараженные устройства удалось, когда анализ показал, что такие девайсы подписаны случайными 26 буквами английского алфавита. Именно это натолкнуло исследователей на догадку, что атака идет от Android-устройств.
Впоследствии исследователи определили 300 программ, которые содержали код ботнета, и передали их Google, чтобы та удалила приложения со своего Google Play. Одна из таких программ, например, называется twdlphqg_v1.3.5_apkpure.com.apk. В большинстве случаев зараженные приложения маскировались под медиаплееры, файловые менеджеры, рингтоны.
Вредоносные приложения были настроены таким образом, чтобы девайсы продолжали отправлять HTTP-запросы на сайт-жертву, даже когда приложение свернули. Как говорят эксперты по кибербезопасности, WireX является одним из первых и одним из крупнейших ботнетов на Android для DDoS.
