Moderna avancerade botnät kan använda en decentraliserad peer-to-peer overlay nätverk för att bootstrap och upprätthålla sina lednings- och kontrollkanaler, vilket gör dem mer motståndskraftiga mot traditionella begränsning insatser såsom server oförmåga. Som en alternativ strategi, malware försvar gemenskapen har försökt att identifiera bot-infekterade värdar och räkna upp IP-adresser för de deltagande noderna så att listan kan användas av systemadministratörer för att identifiera lokala infektioner, blockera spam e-post skickas från bots, och konfigurera brandväggar för att skydda lokala användare. Att uppta de smittade värdarna har emellertid inneburit utmaningar. Man kan inte identifiera infekterade värdar bakom brandväggar eller NAT-enheter genom att anställa krypskyttar, en vanlig uppräkningsteknik där rekursiva begäran om uppslagning via get-peerlist skickas nyligen upptäckta IP-adresser till infekterade värdar. Eftersom många bot-infekterade maskiner i hem eller kontor ligger bakom brandvägg eller NAT-enheter, dessa crawler-baserade uppräkningsmetoder skulle missa en stor del av botnet infektioner. I detta papper presenterar vi den Passiva P2P Monitor (PPM), som kan räkna upp de infekterade värdar oavsett om de är bakom en brandvägg eller NAT. Som en empirisk studie undersökte vi Storm botnet och räknade upp dess infekterade värdar med hjälp av PPM. Vi förbättrar också vår PPM-design genom att inkludera en FireWall Checker (FWC) för att identifiera noder bakom en brandvägg. Vårt experiment med peer-to-peer Storm botnet visar att mer än 40% av bots som kontaktar PPM ligger bakom brandvägg eller NAT-enheter, vilket innebär att crawler-baserade uppräkningstekniker skulle missa en betydande del av botnet befolkningen. Slutligen visar vi att PPM:s täckning baseras på en sannolikhetsbaserad täckningsmodell som vi härledde från den empiriska observationen av Stormbotnet.
Brent ByungHoon Kang m.fl. REF utvecklar Passiv P2P Monitor (PPM) för att räkna upp de infekterade värdarna i Storm botnet oavsett om de är bakom en brandvägg eller NAT.
Towards complete node enumeration in a peer-to-peer botnet
{'venue': "ASIACCS '09", 'journal': None, 'mag_field_of_study': ['Computer Science']}