Botnet Grum

La botnet Grum , también conocida por sus alias Tedroo y Reddyb , era una botnet dedicada principalmente al envío de correos electrónicos no deseados de la industria farmacéutica . ^{[ 1 ]} Grum, que llegó a ser la botnet más grande del mundo, se remonta a 2008. ^{[ 2 ]} En el momento de su cierre en julio de 2012, Grum era, según se informó, la tercera botnet más grande del mundo, ^{[ 3 ]} responsable del 18 % del tráfico mundial de spam. ^{[ 4 ] [ 5 ]}

Grum se basa en dos tipos de servidores de control para su funcionamiento. Un tipo se utiliza para enviar actualizaciones de configuración a los ordenadores infectados, y el otro se utiliza para indicar a la botnet qué correos electrónicos no deseados debe enviar. ^{[ 6 ]}

En julio de 2010, la botnet Grum constaba de un estimado de 560.000 a 840.000 computadoras infectadas con el rootkit Grum . ^{[ 7 ] [ 8 ]} La botnet por sí sola entregó alrededor de 39.900 millones ^{[ 9 ]} de mensajes de spam en marzo de 2010, lo que equivalía a aproximadamente el 26% del volumen total de spam global, convirtiéndola temporalmente en la botnet más grande del mundo en ese momento. ^{[ 10 ] [ 11 ]} A finales de 2010, la botnet parecía estar creciendo, ya que su producción aumentó aproximadamente un 51% en comparación con su producción en 2009 y principios de 2010. ^{[ 12 ] [ 13 ]}

Utilizaba un panel escrito en PHP para controlar la botnet. ^{[ 14 ]}

En julio de 2012, una empresa de inteligencia sobre malware publicó un análisis de los servidores de comando y control de la botnet ubicados en los Países Bajos, Panamá y Rusia. Posteriormente se informó que el proveedor de servicios de Internet (ISP) neerlandés, poco después, confiscó dos servidores secundarios responsables del envío de instrucciones de spam tras hacerse pública su existencia. ^{[ 15 ]} En un día, el ISP panameño que alojaba uno de los servidores principales de Grum hizo lo mismo y cerró su servidor. ^{[ 16 ]} Los ciberdelincuentes detrás de Grum respondieron rápidamente enviando instrucciones a través de seis servidores recién establecidos en Ucrania. ^{[ 17 ]} FireEye se conectó con Spamhaus , CERT-GIB y un investigador anónimo para cerrar los seis servidores C&C restantes, desmantelando oficialmente la botnet. ^{[ 17 ] [ 4 ]}

Se estaba ejecutando un sumidero en algunas de las antiguas direcciones IP de los servidores C&C de Grumbot. Una señal del sumidero se procesaba a través de Shadowserver y Abusix para informar al punto de contacto de un ISP con direcciones IP infectadas. Se solicita a los ISP que contacten a sus clientes para informarles sobre las infecciones y eliminar el malware. Shadowserver.org informa a los usuarios de su servicio una vez al día y Abusix envía un informe X-ARF ( formato de informe de abuso de versión extendida ) cada hora. ^{[ 18 ] [ 19 ] [ 20 ]}

• Botnet
• malware
• Correo basura
• Delitos informáticos
• Seguridad en Internet