微软2011年成功破获一起DNS劫持的数字犯罪案件

就在一年前，我们宣布微软数字犯罪单位（DCU），在业界和学术界的专家合作，成功地取下来僵尸网络的Waledac被称为“操作B49”的操作。今天，我很高兴基于这一努力获得的知识宣布，我们已经成功地取下来称为的Rustock一个更大，更臭名昭著的和复杂的僵尸网络。这个僵尸网络估计有大约一百万在其控制下运行受感染的计算机，并已被称为是能够每天发送数十亿的垃圾邮件，包括假冒微软彩票诈骗和假冒优惠 - 和潜在的危险 - 处方药。

这种操作称为操作B107，是微软的DCU，微软恶意软件保护中心和可信赖计算的共同努力第二高调移除 - 称为Project MARS（出于安全的Microsoft Active响应） - 破坏僵尸网络，并开始撤消破坏僵尸网络已经帮助灾民恢复其感染的计算机控制造成的。像的Waledac移除，这个动作依靠法律和技术措施，以切断僵尸网络的指挥和控制结构和恶意软件感染的计算机在其控制停止造成的Rustock僵尸网络的持续伤害下运行之间的连接。正如你可能已经读过的的Rustock僵尸网络昨日下线正式拍摄，长达几个月的调查，由DCU和我们的合作伙伴，美国地方法院华盛顿西区和命令和控制服务器的协调发作之前成功的恳求后美国法警服务护送多个主机的位置。
  
如该使我们采取了Waledac僵尸网络的法律和技术措施，微软提起诉讼反对的Rustock僵尸网络的匿名运营商，总部设在微软的商标在机器人的垃圾邮件滥用的一部分。然而，的Rustock的基础设施比的Waledac的要复杂得多，依靠硬编码的互联网协议地址，而不是域名和对同行命令和控制服务器来控制僵尸网络。要相信，机器人不能迅速地转移到新的基础设施，我们寻求并获得法庭命令允许我们与美国法警服务工作，以实际获取证据的现场，在某些情况下，从主机服务商受影响的服务器分析。具体来说，服务器从在七个城市，在美国，包括堪萨斯城，斯克兰顿，丹佛，达拉斯，芝加哥，西雅图，哥伦布和，与上游供应商帮助运营5托管服务提供商检，我们成功地切断了控制的IP地址僵尸网络，切断了通讯并禁用它。这种情况下，这种操作正在进行，现在我们的调查人员正在检查从癫痫发作齐聚一堂，学习什么，我们可以对僵尸网络的行动的证据​​。


机器人是通用的，只能由僵尸牧人的想象力的限制。这就是为什么微软和我们的合作伙伴如此积极创新工作方法，我们在清洁过的恶意软件感染的计算机的协助迅速采取了僵尸网络的整个基础设施，使之处于不活动状态。这就是我们走近的Waledac移除，并正在接近的Rustock移除。我们将在未来继续投资类似的操作，以及在我们的使命，消灭僵尸网络，使互联网更安全的地方给大家。


但是，没有一个公司或集团可以独自完成这一崇​​高目标。它要求产业，学术研究人员，执法全球机构和政府之间的协作。在这种情况下，微软与辉瑞公司，网络安全提供商FireEye的和安全专家曾在华盛顿大学。所有这三个提供报关单向法院由僵尸网络的Rustock及其对互联网社区的影响所带来的危险。微软还与荷兰警察厅距离荷兰高科技犯罪单位合作，帮助拆除的僵尸网络在美国以外的操作命令结构的一部分。此外，微软在阻断的Rustock可能用于未来的命令和控制服务器在中国域名的注册与CN-CERT的工作。


我们也现在互联网服务提供商和社区应急反应小组（CERT）在世界各地工作，帮助伸出手来帮助受影响的电脑用户清理恶意软件的Rustock关闭他们的电脑。如果没有多方的公共和私人合作的​​努力像这些，成功的下架是不可能的。我们从我们所有的努力打击僵尸网络学到的主要教训一直认为合作是成功的关键。


僵尸网络被称为是首选网络犯罪分子进行各种网上攻击，使用的数以千计的恶意软件感染的计算机电源全世界发送垃圾邮件的工具，进行对网站的拒绝服务攻击，传播恶意软件，方便点击网络广告欺诈等等。这种特殊的僵尸网络也不例外。


虽然其行为有波动随着时间的推移，已经的Rustock据报道，世界上最大的垃圾邮件机器人之一，在能够每天发送30个十亿垃圾邮件的时间。 DCU研究人员观看了单一的Rustock感染的计算机发送的45分钟7500垃圾邮件 - 每天24万的垃圾邮件的速度。此外，大部分的垃圾邮件来观察从构成的Rustock对公众健康，广告或假冒药品未经批准的山寨版本的危险。


如前面提到的，因为的Rustock传播的市场对这些假药，药物制造商辉瑞担当在这种情况下申报。辉瑞公司的声明提供的证据表明，那种通过这种垃圾广告药品往往含有错误的活性成分，不正确的剂量或更糟的是，由于不安全状况假药往往在生产。假药往往是污染物质，包括杀虫剂，铅基于公路涂料和地板蜡，仅举几个例子。


垃圾邮件是烦人的，它可以做广告潜在危险或非法产品。它也可作为更大的威胁互联网的健康症状显著。虽然的Rustock的主要用途似乎已经来发送垃圾邮件，一定要注意，大僵尸网络可以用于几乎任何网络犯罪僵尸牧人可以梦想是非常重要的。僵尸网络是强大的，并用一个简单的命令，可以从一个垃圾邮件机器人切换到密码窃贼或DDOS攻击者。


再次，DCU的研究显示，有可能接近感染的Rustock恶意软件百万台计算机，所有的人或人经营网络仿若军队，通常没有电脑的主人，甚至知道他的电脑已经被劫持的控制之下。僵尸感染牧民恶意软件的电脑在很多方面，比如当电脑的拥有者访问网站诱杀恶意软件，然后点击了恶意广告或打开受感染的电子邮件附件。僵尸牧人这样做是为了谨慎车主往往不会怀疑他们的个人电脑过着双重生活。


这就像一个黑帮建立一个毒窟在别人家，而他们是在度假归来后每主人离开家的时间这样做，未经业主曾经一无所知正在发生。首页业主可以更好地保护自己与他们的门和家园安全系统很好的锁。同样，电脑用户可以更好地保护，恶意软件，如果他们跑了最新的软件 - 包括了最新的防病毒和反恶意软件 - 在他们的计算机。


最后，我们鼓励每个电脑的拥有者，以确保他们的机器是不是做一个犯罪的脏活。如果您认为您的计算机可能通过的Rustock或其他类型的恶意软件感染，我们建议您访问support.microsoft.com/botnets免费信息和资源来清洁您的计算机。


有了您的帮助，和产业界，学术界和执法，如B107行动的持续的公共和私营部门的合作，我们可以利用僵尸网络来发泄在互联网上肆虐停止罪犯。


要按照微软数字犯罪单位的新闻和信息，工作积极主动，以打击僵尸网络和其他数字威胁，请访问www.facebook.com/MicrosoftDCU或twitter.com/MicrosoftDCU。