При перехвате Citadel увели часть доменов исследователей

Неделю назад Microsoft совместно с ФБР, крупными финансовыми организациями и другими ИТ-компаниями представили итоги операции по перехвату ботсетей Citadel. Сообщалось, что был получен контроль над 1000 ботнетами и изъяты 4000 доменных имен. Технически, это называется перехватом управления или синкхолингом (sinkholing). Но как оказалось, часть доменных имен принадлежала исследователям ботсетей. Суть исследований проста, регистрируем домены, настраиваем свои C&C-сервера (sinkhole-серверов), зараженные боты подключаются к ним, присылают информацию, при этом исследуется состав пересылаемой информации, поведение ботнета, а владельцев зараженных сетей и компьютеров уведомляют о том, что они заражены.
Пострадал и один из самых известных специалистов по синкхолингу — швейцарский исследователь, которому принадлежит сайт Abuse.ch и известный трекер ботнетов, недосчитавшийся 7 июня более 300 доменов. Надо отметить, что подобная потеря происходит не в первый раз, ранее в результате операции против ботнетов ZeuS исследователь также потерял несколько сотен доменов. После чего, он начал вести непубличный реестр Sinkhole Registry для правоохранительных органов или компаний, которые собираются в будущем проводить операции против ботнетов. Но, похоже в него никто и не смотрел. И это пример только одного исследователя, надо полагать есть и другие. Похоже пришла пора скорректировать цифры по проведенной операции против ботнетов Citadel и научится не трогать исследовательские ботнеты.
Лес рубят, щепки летят. Исследователей жалко, хотя, если поразмыслить, тут как на любой войне — потери неизбежны. Всем удачи и пусть ваши машины и сети никогда не станут частью ботнетов (кроме исследовательских).