Trend Micro ha identificato l'autore della botnet Tequila

28/mar/2011 13.03.28 M&CM Contatta l'autore

Questo comunicato è stato pubblicato più di 1 anno fa. Le informazioni su questa pagina potrebbero non essere attendibili.

 

Media alert

 

 

 

Identificato da Trend Micro l'autore della botnet Tequila

I ricercatori Trend Micro hanno scoperto un centro di comando e controllo dove hanno recuperato informazioni utili

per svelare l’identità del cybercriminale messicano dietro a una serie di botnet

 

 

Milano, 28 marzo 2011 - Dallo scorso anno Trend Micro tiene sotto controllo le attività del cybercriminale responsabile di una serie di botnet messe a punto per colpire gli utenti residenti in Cile e Messico. Sebbene le due botnet Tequila e Mariachi siano state entrambe smantellate nel giugno 2010, la scorsa settimana sono riapparse in rete attività illecite provenienti dallo stesso autore. Trend Micro ha scoperto un server di comando e controllo attivo oltre a diversi altri strumenti incluso uno basato su una versione “customizzata” di “CrimePack Exploit Pack”, metodo già usato in passato da questo personaggio all'interno di botnet precedenti.

 

La prima botnet ad essere stata identificata da Trend Micro era stata Tequila Botnet. Sono poi seguite Mariachi Botnet e le botnet Twitter Alebrije e Mehika, queste ultime note come famiglia “Botnet PHP”.

 

Gli attacchi sono iniziati nel maggio 2010 quando gli utenti messicani hanno ricevuto una email contenente false “notizie” di presunte foto di nudo della madre di una bimba di quattro anni scomparsa da casa, un'esca che aveva come obiettivo fare in modo che gli utenti scaricassero e installassero un'applicazione pericolosa tramite un URL maligno.

 

Analizzando il caso, Trend Micro ha identificato alcune parole o termini che venivano ripetuti nel contenuto dello script usato per installare il client della botnet. All'epoca non erano indizi poi così significativi, ma di certo rappresentavano un punto di partenza per le ricerche.

 

Proseguendo nel loro lavoro i ricercatori Trend Micro sono andati alla caccia di un centro di comando e controllo scoprendone uno all'indirizzo http://www.botnet.BLOCKED.tk/Admin/. A questo URL hanno recuperato altre informazioni sull'autore: sulla sua pagina di login aveva infatti deciso di promuovere i suoi servizi indicando nome, indirizzo e-mail e numero del telefono cellulare!

 

Dal momento che avevano un nome, due indirizzi di posta elettronica e un contatto telefonico nella regione metropolitana di Guadalajara in Messico, erano in grado di risalire al cybercriminale in questione.

 

Naturalmente, Trend Micro ha già provveduto a segnalare il tutto alle autorità competenti, rendendosi disponibile a collaborare in caso di necessità.

 

 

Cosa sappiamo del cyber criminale messicano? Il messaggio di Trend Micro

 

Sembra sia nato nel 1987 e che sia uno studente del Netec abitante a Zapopan, in Messico. Trend Micro ha raccolto dettagli relativi ai suoi account Gmail e Hotmail e ha inoltre recuperato informazioni di social networking, foto, nickname e altri dati pertinenti.

 

Trend Micro ha deciso di non svelare completamente le informazioni relative alla sua identità, ma intende lanciare un messaggio forte ai cybercrimanali: Non siete invisibili e non siete al di sopra della legge! Così come ricorda a tutti gli utenti di Internet che chiunque agisca online, per fini buoni o cattivi che siano, lascia una traccia.  

 

 

Di seguito i dettagli del blog Trend Micro sull’argomento.

 

 

A Stark Message to Cybercriminals: You Are Not Invisible, You Are Not Beyond the Law

8:00 am (UTC-7)   |    by Ranieri Romera (Senior Threat Researcher)

Around the world, every day, security researchers study the activities, behaviors, forum communications, and networks of cybercriminals in an effort to make the world safe for the exchange of digital information.

In addition to preventing attacks, we gather and share intelligence with the appropriate industry anti-cybercrime groups and law enforcement authorities.

mrlphoto1We’ve been tracking for one particular criminal who we’ll call Mr. L for some time now. He’s been preying on innocent users, primarily from Chile and Mexico, and according to our latest findings, he is still up to his old tricks of data and monetary theft. Just last week, we discovered an active command-and-control (C&C) server plus other criminal tools, including one based on a customized version of the CrimePack Exploit Pack, a practice that this criminal has carried out with his previous botnets.

We’ve already shared our findings with our law enforcement contacts but wanted you to also be aware, on your toes, and on the lookout for suspect email messages and other events.

So what do we know so far?

In September 2010, we published an in-depth research paper that discussed the technical aspect of this particular criminals’ botnets and toolkits.

The first botnet Trend Micro identified was the Tequila botnet. Then came the Mariachi botnet and the Alebrije and Mehika Twitter botnets. These botnets are collectively known as the Botnet PHP family.

The attacks began in May 2010, when some users in Mexico received an email containing fake news about “nude pictures” of a missing four-year-old girl’s mother. This was used as bait to lure users into downloading and installing a malicious application via a malicious URL.

Interestingly, through our analysis, we found that certain words or terms were repeated in the content of the script used to install the bot client. They didn’t mean much to us at that point but gave us something to work with.

During our research, we went looking for an active C&C center and subsequently discovered one hosted at http://www.botnet.{BLOCKED}.tk/Admin. At this URL, we found some more information about the author… On the login page, the author chose to promote his services—and included his name, email addresses, and mobile phone number!

Now armed with a name, two email addresses, and a phone number registered to the Guadalajara Metropolitan Region in Mexico, we tracked down Mr. L.

As already indicated, it’s Trend Micro’s policy to hand over any relevant information related to criminal activities to law enforcement authorities.

As a message to anyone even considering criminal misdeeds—don’t do it!

We know the following about Mr. L:

·        He was apparently born in 1987 and is a student at Netec. He resides in Zapopan, Mexico.

·        Trend Micro has collected Gmail and Hotmail account details, etc.

·        We also have social networking details, photos, nicknames, and other pertinent information.

While we have many very specific personally identifiable details, we have chosen not to publish them here.

Remember, anyone acting online, for good or bad, will leave a trace.

To our customers, we work to secure you. We want you to know that we won’t stop working to protect you, we won’t stop scrutinizing criminal activities and we will continue to work with law enforcement authorities in order to stop these criminals from defrauding you, your family, and your friends

Link al malware blog Trend Micro:

http://blog.trendmicro.com/?__utma=183441465.341596760.1296473968.1297347824.1297775361.6&__utmb=183441465.3.10.1297775361&__utmc=183441465&__utmx=-&__utmz=183441465.1296473968.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none)&__utmv=-&__utmk=60781229

 

Per ulteriori informazioni:

Carla Targa                                                       Federica Beretta

Trend Micro                                                       M&CM

Tel 02 925931                                                   Tel 02 68821.619

carla_targa@trendmicro.it                                 f.beretta@mecm.it

 

blog comments powered by Disqus
Comunicati.net è un servizio offerto da Factotum Srl