Un mode original de centre de commande : Google groups

Les botnets, ces réseaux chevaux de Troie installés sur les ordinateurs de tout un chacun pour organiser des attaques coordonnées, ont besoin d’un mécanisme pour en permettre le contrôle par leur maître. Ainsi, des canaux de discussion IRC, des sites Web ou des réseaux Pair à Pair sont utilisés pour transmettre les commandes de façon quasi instantanée à l’ensemble des machines “zombie” connectées à un botnet particulier.

Des chercheurs de Symantec décrivent dans un article publié le 11 septembre 2009 un mode de commande original: l’utilisation d’un groupe de discussion hébergé chez Google.

Dans l’exemple cité, il s’agit d’une connexion sur un groupe privé “escape2sun”, où le maître du botnet publie ses commandes. Ce mode de diffusion des commandes a permis aux auteurs de l’étude de faire un examen approfondi des commandes publiées. L’analyse du cheval de Troie a permis aux auteurs de l’article de déchiffrer les commandes et les réponses des bots.

Dans ce cas précis, il semble qu’il ne s’agisse que d’un essai ou d’un prototype étant donné le faible nombre de machines zombies repérées (de l’ordre de 3000) et les commandes de débogage retrouvées. En tous cas, nous avons ici un nouveau mode de canal caché de contrôle de botnets à ajouter à la liste !