Vers une énumération complète des nœuds dans un botnet pair-à-pair

Les botnets modernes avancés peuvent employer un réseau superposé décentralisé pair-à-pair pour initier et maintenir leurs canaux de commande et de contrôle, les rendant plus résilients face aux efforts de mitigation traditionnels tels que l'incapacitation des serveurs. Comme stratégie alternative, la communauté de défense contre les logiciels malveillants a essayé d'identifier les hôtes infectés par des bots et de numéroter les adresses IP des nœuds participants afin que la liste puisse être utilisée par les administrateurs systèmes pour identifier les infections locales, bloquer les e-mails indésirables envoyés par des bots et configurer des pare-feux pour protéger les utilisateurs locaux. Néanmoins, l'énumération des hôtes infectés a présenté des défis. On ne peut pas identifier les hôtes infectés derrière des pare-feux ou des dispositifs NAT en utilisant des crawlers, une technique d'énumération couramment utilisée où des requêtes de recherche de liste de pairs récursives sont envoyées aux adresses IP nouvellement découvertes des hôtes infectés. Comme de nombreux dispositifs infectés par des bots dans les domiciles ou bureaux sont derrière des pare-feux ou des dispositifs NAT, ces méthodes d'énumération basées sur des crawlers manqueraient une grande partie des infections de botnets. Dans cet article, nous présentons le Moniteur P2P Passif (PPM), qui peut énumérer les hôtes infectés indépendamment de leur situation derrière un pare-feu ou un NAT. Dans une étude empirique, nous avons examiné le botnet Storm et énuméré ses hôtes infectés en utilisant le PPM. Nous améliorons également notre conception de PPM en intégrant un Vérificateur de Pare-feu (FWC) pour identifier les nœuds derrière un pare-feu. Notre expérience avec le botnet Storm peer-to-peer montre que plus de 40 % des bots qui contactent le PPM se trouvent derrière des dispositifs de pare-feu ou NAT, ce qui implique que les techniques d'énumération basées sur des crawlers manqueraient une portion significative de la population de botnets. Enfin, nous montrons que la couverture du PPM est basée sur un modèle de couverture probabiliste que nous avons dérivé de l'observation empirique du botnet Storm.