Microsoft předběžným opatřením převzal doménu 3322.org

V Číně byly prodávány počítače s předinstalovaným zákeřným softwarem Nitol. Více studie Microsoftu "Operace b70, analýza zákeřného softwaru Nitol" (Operation b70, Nitol Malware Research and Analysis (pdf)) a oficiální blog Microsoftu. Botnet Nitol využíval doménu 3322.org. Ta má registrováno více než 70000 poddomén. Microsoft dal věc k soudu a získal předběžné opatření, které mu dovoluje stát se autoritativním jmenným serverem pro 3322.org a filtrovat tak veškerý provoz. Soudní dokumenty jsou k dispozici na serveru NoticeOfPleadings. To se samozřejmě nelíbí majiteli domény 3322.org, čínskému podnikateli jménem Peng Yong. I když například dle společnosti Kaspersky Lab bylo v roce 2008 až 40 % zákeřného softwaru nějak svázáno s doménou 3322.org, většina poddomén je prý legálních. Předběžným opatřením se řada z nich dostala do problémů. Více například článek na NPR.

13.9.2012 20:50 | Ladislav Hagara | Zajímavý článek

Komentáře

[dizz]

Moc to nechapu.. pochopil by jsem kdyby soud vydal predbezne opatreni a zaznam na tuto domenu by byl vymazan z DNS serveru, ale predat kontrolu nad douto domenou jine firme?

[j]

Videl bych to uplne stejne, neuveritelny ...

[Sten]

Taky mi přišlo divný, že tentokrát to nepřevzala FBI. Asi nějaká pro MS cenná doména. Nejsou náhodou ty Wokna s Nitolem všechny kradený?

[Jendа]

Chtělo by to lehkého osekaného Tor klienta (originální je na tohle trošku moloch, i když v době 20MB malware…), který by se dokázal připojit k .onion službě.

[AsciiWolf]

+1

[Jendа]

Vůbec situace na trhu s malware je taková neutěšená. Člověk by třeba čekal, že sežene na Linux hotový rootkit, který stačí zkompilovat, na oběti spustit nějaký skript a hotovo.

[petr_p]

Číňani prodávají spoustu nebezpečných věcí. Třeba armádní čipy s ochranou proti odposlechu vyzařování, kde úplně náhodou nechali zapnutý debuger, který se dá odemknout „tajným“ kódem.

[BostX]

No a? Myslis ze ine staty to nerobia? Alebo sa stazujes, ze aj tento napad maju Cinania okopirovany?

[rob]

jednou to pochopíš, neboj

možná budeš ale potřebovat nápovědu: kolik čipů se vyrábí v číně a kolik v jiných státech

[Peter Golis]

Raz to pochopíš, neboj sa.

Možno k tomu budeš potrebovať nápovedu: Kto si objednal debugger odomknuteľný daným kódom, a kto to potreboval zverejniť kôli diskreditácii?

We need to go deeper.

[ivdo]

Díky za zajímavé info. A co teprve čipy v routerech v sítích FBI, CIA, NSA, Boeing, Lockheed, NASA ...

[Johny]

Ale že šifrovací standardy schvaluje NSA, americký úřad na louskání šifer ti asi nevadí. Nebo jsi jen náhodou zapomněl?

[AsciiWolf]

+1

[Franta]

Zrovna tohle probíhá veřejně a navíc si klidně můžeš používat "neschválené" šifry, pokud jim věříš víc.

[Johny]

V okamžiku, kdy mi někdo je schopen vidět do komunikace mi šifrování disku nepomůže. A výběrem jiné šifry ze seznamu podporovaných si třeba u TLS nepomůžeš. Jedna je horší než druhá. A pro žádnou jinou šifru pochopitelně není podpora.

[petr_p]

V TLS je nebezpečná i komprese :(

[Johny]

Zajímavý útok.....

[pc2005]

Zatraceně zajímavý útok.

[kralyk z abclinuxu]

Wow. Tak to je drsný...

[Jendа]

Je to jeden z těch útoků, na které když se dívám, tak si říkám jaktože tohle nikoho nenapadlo dřív?

[kralyk z abclinuxu]

Jj... Ono to je trochu takový Columbovo vejce... Ale jsem rád, že to vim,... kolik asi je po světě serverů a prohlížečů, který jsou stále zranitelný? To může trvat ještě dost dlouho...

[pc2005]

Musíš ale někde odposlouchávat datový tok, aby to fungovalo.

[Ravensun]

To mi připomíná knížku Digitální pevnost od Dana Browna :), Musím si ji zase přečíst.

[ovoce]

Ale že šifrovací standardy schvaluje NSA, americký úřad na louskání šifer ti asi nevadí. Nebo jsi jen náhodou zapomněl?

Nezapomeňte, že NSA nejde jenom o sledování těch a oněch, oni mají na starosti i bezpečnost (a utajení) dat amerických úřadů. Takže jestli do šifer nějak šťourají tak proto, aby v nich slabá místa nebyla.

[Johny]

Sice zajišťují bezpečnou komunikaci armádě, ale to se nevylučuje s tím, aby cpali oslabené šifry všem ostatním.

(Například to jejich oslabení DES.)

[ovoce]

Zeslabená šířka klíče je něco úplně jiného. Ve skutečnosti to svědčí přesně o opaku toho, co se snažíte vsugerovat - tedy že NSA v algoritmech nechává díry a backdoory.

[Johny]

Nesnažte se překrucovat co říkám. Říkám jen, že ty šifry oslabují. A zmenšení množiny klíčů je taky oslabení.

[ovoce]

Jo, ale toto oslabení je tu přesně proto, aby "nepřítel" neměl k dispozici (128bitovou) silnou šifru. Ergo to dokazuje, že v ní není backdoor, a tedy že patronát NSA *nemá* negativní vliv na vaši bezpečnost.

[Jendа]

A nebo to dokazuje, že v DESu backdoor nebyl, proto museli oslabit délku klíče, zatímco v Rjindaelu je, tak délku klíče oslabovat nemuseli .

[ovoce]

Nebylo to až později? Pokud vím, to omezování šifrování pro export (dotýkalo se to třeba IE - síla šifrování se ukazovala v dialogu "o aplikaci") se dělo v devadesátých letech. Možná jim od té doby došlo, že si to stejně opatří i bez amerických firem (třeba zásluhou FOSS, hehe), tak už ty předpisy nejsou tak přísné.

[Jendа]

Nemluvil jsem ani tak o exportu (DES se stejně nesměl exportovat, export byl snad povolený jenom do 40 bitů), jako o oslabování, aby mohli poslouchat i uvnitř USA.

[Jendа]

Jinak neříkám, že AES je nebo není oslabený - jenom říkám, že přednesená fakta ani jedno nedokazují.

[Johny]

Zmenšení množiny klíčů je taky backdoor.

[ovoce]

No to asi těžko - backdoor je "zadní vchod", a z definice ho útočník před obětí skrývá. 40bitový klíč místo 128bitového, to je jako poloviční výška hradeb.

[Johny]

Vynucení takové výšky hradeb, abych je byl schopen bez větších problémů překročit z nich ale v praxi dělá také zadní vchod...

[ovoce]

Sice se už motáme po krk ve sr... sémantice, ale i tak musím konstatovat, že ať si význam těch slov pokroutím jak chci, tak mi z toho zrádně otevřená zadní vrátka nevycházejí.

Původní Trojský kůň by taky nebyl trojským koněm v přeneseném smyslu, kdyby byl prosklený, a bylo v tom vidět ty po zuby ozbrojené krvežíznivé Achájce.

[Johny]

Jo, ale toto oslabení je tu přesně proto, aby "nepřítel" neměl k dispozici (128bitovou) silnou šifru. Ergo to dokazuje, že v ní není backdoor, a tedy že patronát NSA *nemá* negativní vliv na vaši bezpečnost.

Takže vy tvrdíte, že zmenšení množiny klíčů nemá negativní vliv na bezpečnost šifry? Nesmyslnost vašich tvrzení myslím netřeba dále rozebírat...

[ovoce]

KDE to tvrdím? I ten citát který jste právě uvedl je v kontradicki s vaším hodnocením.

Vysvětlení úvahy po lopatě:

V šifře je backdoor -> nepřátelskou depeši si snadno přečteme (i s 128b klíčem) -> lze povolit export 128bitového šifrování.

V šifře není backdoor -> nepřátelskou depeši bychom měli se 128b klíčem problém rozlousknout -> pro export povolíme jen 40bitové šifrování.

[Jura]

K jakýmu soudu? Jakej soud může někomu přiklepnout doménu někoho z druhé strany zeměkoule?

[jos]

3322.org

[D.A.Tiger]

Ale i tak. Já to taky nechápu. Jak mohl soud dát Microsoftu cizí doménu? On ji přece nevlastní, nebo ano? Navíc mě hlava nebere, už jen ten důvod: že tam směřuje svou komunikaci škodlivý software. prokázal někdo vůbec, že majitel domény o tom věděl, nebo přímo s tím měl něco společného? To je stejný jak kdyby někomu zabavily dům, jen proto, že se tam ukrýval uprchlí zločinec, přesto že nikdo jeho skutečnou identitu neznal... Já bych řek, že je něco nehezky shnilého ve státech spojených. Možná Spojené Státy Americké...

[Jendа]

To je stejný jak kdyby někomu zabavily dům, jen proto, že se tam ukrýval uprchlí zločinec, přesto že nikdo jeho skutečnou identitu neznal...

Ne jen zabavili, ale též dali jiné soukromé osobě.

[pavlix]

Já to taky nechápu. Jak mohl soud dát Microsoftu cizí doménu?

To zavání mafiánskými praktikami.

[D.A.Tiger]

A nebo taky tím, ze prachy nesmrdí jen v CR....

[ovoce]

A navrhujete místo toho co... ? Poslat císaři ostrou prosbu? :)

[D.A.Tiger]

V prvni viniky, vinu jim prokázat a ty potom trestat. Pokud je potreba, klidne na mezinarodni urovni. Takhle byl potrestan podnikatel, ktery s celou veci nemusel mit nic spolecneho. Ale to je preci ten americky sen - ten o rovnosti, spravedlnosti atpd...

[ovoce]

S doménou 3322.org, hmm? A teď tu o kůzlátkách.

[D.A.Tiger]

je naprosto jedno s čím.

[ovoce]

Computers in the Nitol botnet would communicate with a command server whose DNS was provided by Chinese-run 3322.org, which has been linked to malicious activity since 2008. Microsoft investigators also discovered that other servers using 3322.org, which offers its services for free, harboured more than 500 different strains of malware across more than 70,000 sub-domains. These nasties included key-stroke loggers and banking Trojans.

Microsoft obtained a US court order to seize control of 3322.org - a site Google's Safe Browsing system warned was home to "malicious software including 1609 exploits, 481 trojans and 6 scripting exploits". The order instructs the US-based Public Interest Registry, which operates the DNS for all .org domains, to redirect internet traffic for 3322.org to the Redmond giant's servers.

Sub-domains associated with the malware have been blocked while legitimate domains have been allowed to stay online, as a statement from Microsoft on the takedown explains:

On Sept 10, the court granted Microsoft’s request for an ex parte temporary restraining order against Peng Yong, his company and other John Does. The order allows Microsoft to host the 3322.org domain, which hosted the Nitol botnet, through Microsoft’s newly created domain name system (DNS). This system enables Microsoft to block operation of the Nitol botnet and nearly 70,000 other malicious subdomains hosted on the 3322.org domain, while allowing all other traffic for the legitimate subdomains to operate without disruption.

cizace z: http://www.theregister.co.uk/2012/09/13/botnet_takedown/

[taidko]

toto malo byt napisane v tom clanku hore a bol by klud

[D.A.Tiger]

Asi mi budeš muset vysvětlit polopatě jak to odpovídá na otázky které byly položeny už na začátku:

Jakým právem předává americký soud cizí doménu jinému subjektu? A proč zrovna MS? A z nich vyplývající: zda a jak soud tvrzení MS prověřil

Ten tvůj odkaz mě jen utvrzuje v tom, že mu stačí přijít k soudu a tvrdit, že doména, kterou zpravuje jistý pan ovoce, obsahuje škodlivý software a botnety a soud mu hned tvou doménu přiklepne.

[ovoce]

Bez důkazů ti asi žádné tvrzení nepomůže.

Pokud si vzpomínám, tak MS už v minulosti něco takového dělal (už si nevzpomínám, o jaké botnety tehdy šlo). Možná, že americká legislativa takové iniciativy připouští (a v takovém případě nad tím určitě mají dohled policajti)? Ono také se asi přihlíží k tomu, že se to celé týká Windows, čili produktu MS...

[pavlix]

Neměly by náhodou v tomto případě konat státní orgány? Nemám problém s tím, že státní orgán vyžije software vyvinutý microsoftem, pokud to dává smysl. Ale nevidím jediný důvod k tomu, aby soud předával případ k řešení soukromé firmě. Pochopil bych, kdyby řešení za pomoci Microsoftu koordinoval správce TLD.

[D.A.Tiger]

Bez důkazů ti asi žádné tvrzení nepomůže.

No, zrovna my - občané ČR - o tom asi víme své.

(jinak souhlasím s kolegou Pavlixem)

[Libor Chocholaty]

Možná, kdybyste si přečetl jakými pravidly se TLD spadající pod americkou jurisdikci řídí, tak byste nevyskakoval jako čertík z krabičky. Ten číňan to jistě věděl, ale bylo mu asi jasné i to, že připojování na doménu 3322.org vypada lépe než na 3322.cn...

[D.A.Tiger]

Ten číňan to jistě věděl, ...

Víte odkud?