20 - Botnets Flashcards

Question

Centralized botnet architecture: Advantages.

Answer 1

Client-server scheme is easy to implement using centralized communication channels - Typical protocols IRC or HTTP Low latency: botnets’ routing information is clear for each bot and each bot is directly connected to server - Latency is critical for highly synchronized tasks, e.g., DDoS

Answer 2

Detection: centralized communication is easier to detect than non-centralized since bots are using similar traffic patters for communication - E.g., C&C commands from the servers to the zombies Disruption: If a bot is detected, disrupting the connection of a centralized botnet is easier - E.g., disrupting the communication of central server will lead to the whole botnet network to crush

Answer 3

Botmaster, Master Servers, Structured P2P DHT. O que é um DHT? DHT = Distributed Hash Table (tabela de dispersão distribuída). É um método para guardar pares (chave → valor) de forma distribuída entre muitos nós, sem precisar de um servidor central. Cada nó armazena só uma parte da tabela. Pensa num catálogo enorme partilhado: em vez de haver um servidor, cada participante fica com alguns dos livros — e há um esquema (algoritmo) para decidir qual nó guarda que chave e como encontrá-la rapidamente. Como funciona, muito resumido (conceito) Cada nó tem um ID (um número grande, normalmente aleatório). Cada chave (p.ex. nome de domínio, comando, ficheiro) é transformada por uma função hash num número. O DHT usa uma métrica (por exemplo distância XOR em Kademlia) para determinar quais os nós responsáveis por essa chave — normalmente os nós com ID “mais próximos” da hash da chave. Quando alguém quer um valor para uma chave, faz consultas P2P que encaminham a pedido até os nós responsáveis, que devolvem o valor. Exemplo prático: Kademlia (o DHT mais usado) Cada nó tem um NodeID de 160 bits (como SHA-1). Distância entre NodeID e chave = XOR bit a bit. Cada nó mantém buckets com listas de peers ordenados por distância. Operações básicas: PING (verificar vivo), FIND_NODE, STORE, FIND_VALUE. Kademlia é eficiente: encontra a chave em O(log N) saltos. Porque os botnets P2P usam DHTs? Descentralização: não há servidor central C&C a derrubar. Resiliência: se alguns nodes caem, outros têm a informação. Anonimato/obscuridade: comandos/endereços podem ser dispersos; o botmaster não precisa de dominar um único host. Escalabilidade: suporta milhões de bots com custo relativamente baixo. Exemplo de uso por botnets: Guardar listas de peers (bootstrap). Publicar comandos ou URLs de atualização sob chaves específicas. Encontrar outros bots para propagar mensagens/actualizações. Vantagens e desvantagens para os operadores Vantagens: Muito difícil derrubar via takedown central. Atualizações/ordens podem “propagar” sem servidor centralizado. Desvantagens / desafios: Sybil attacks / poisoning: defensores podem injetar muitos nós e envenenar a DHT (armazenar falsos valores). Eclipse attacks: isolar um nó cercando-o com controlos maliciosos. Churn: nós entram/saem e a DHT tem de recuperar; isto pode atrapalhar bots. Detecção: tráfego P2P anómalo, padrões de store/find e altas taxas de requests podem ser detectadas...

Answer 4

Determining the source of a botnet-based attack is challenging: - Every zombie host is an attacker - Botnets can exist in a benign state for an arbitrary amount of time before they are used for a specific attack Traditional approach: identify C&C server and disable it. A constant cat and mouse game - Attackers evolving to decentralized C&C structures - Peer to peer model, encrypted traffic, fast flux, DGAs

Answer 5

Classically: End host – Anti Virus Scanner. Requires installation on every machine. Complementary approach: Network based: - Vertical correlation (single end host) - Horizontal correlation (multiple end hosts): Two or more hosts do the same malicious stuff 🌐 Deteção baseada na rede (Network-based detection) A ideia é: Mesmo que não saibas o que há dentro das máquinas, consegues ver o comportamento delas na rede. Se várias máquinas se comportarem de forma suspeita ou parecida, pode ser sinal de botnet. 1. Vertical correlation (correlação vertical) Observa o comportamento de um único host ao longo do tempo. Exemplo: ferramentas como Rishi, BotHunter, Wurzinger et al. O sistema analisa o tráfego de uma máquina: Padrões típicos de bots (ex: comunicação com C&C servers, envio massivo de SPAM, DDOS) Estrutura de HTTP requests, payloads e assinaturas conhecidas 🧩 É como investigar profundamente um só computador, olhando para o tráfego dele. 2. Horizontal correlation (correlação horizontal) Observa o comportamento entre várias máquinas. Exemplo: BotSniffer, BotMiner, TAMD A ideia: se duas ou mais máquinas fazem a mesma coisa suspeita (por exemplo, enviam pacotes idênticos para o mesmo servidor ao mesmo tempo), é provável que sejam bots do mesmo grupo. 🧩 Aqui o foco é o padrão coletivo — os bots agem de forma sincronizada.

Answer 6

O conceito (em 1 frase) Detetar que um único host está infectado sem ler o conteúdo dos pacotes — ou seja, sem Deep Packet Inspection — usando propriedades estatísticas do tráfego (principalmente padrões temporais e agregados de flows) e modelos aprendidos por machine learning. Por que isto funciona Bots contactam o servidor de C&C com padrões regulares (por ex. sondagens periódicas, heartbeats, pull de comandos). Mesmo que o payload esteja encriptado, o padrão temporal e as características de flow (quando, quanto, por quanto tempo) frequentemente revelam comportamento anómalo/repetitivo. Pipeline geral (training → detection) 1) Fase de Treino Objetivo: criar modelos que representem o tráfego típico de um bot (ou de várias famílias). Passos: Ambiente controlado: correr amostras do malware num sandbox (máquinas controladas). Capturar flows: não capturar payloads; extrair dados de fluxo (NetFlow/IPFIX/sFlow) ou registros de sessão. Construir traces: para cada execução/host, gerar uma sequência temporal de eventos (timestamps de conexões, bytes, durações, portas, IPs). Extrair features estatísticas (ver lista abaixo). Modelagem: treinar modelos (HMM, modelos de séries temporais, Random Forest, SVM, LSTM, One-Class SVM, clustering) que capturem o comportamento típico do C&C (ex.: periodicidade, distribuições inter-arrival). 2) Fase de Deteção Objetivo: monitorizar hosts em produção e comparar o seu tráfego com o(s) modelo(s). Passos: Capturar flows em tempo real (NetFlow/IPFIX, sFlow) — sem inspeção de payload. Extrair as mesmas features usadas no treino, em janelas deslizantes. Classificar/score: aplicar o modelo e obter um score de “similaridade a bot”. Alertar / correlacionar: se o score > limiar, marcar host como suspeito e acionar medidas (investigar, isolar, recolher mais dados). Basic machine learning approach: Learn about bot behavior: - Training phase (a) Use learned behavior: - Detection phase (b) Training: - Observe malware in controlled environment - Extract flows and build traces - Perform statistical analysis to obtain “features” - Create models to describe malware

Answer 7

Detection: - Obtain traffic - Perform analysis analog to training - Compare statistical features of the traffic with models During the whole process: - No deep packet inspection

Answer 8

In the training phase.

Answer 9

In the dectetion phase. Some more math involved (quality of matching trace, clustering algorithm, minimal trace length, etc.).

Answer 10

Botnet traffic tends to be more regular than benign traffic.

Answer 11

Honeypot: environment where vulnerabilities have been deliberately introduced to observe attacks and intrusions.

Answer 12

Team reverse engineered domain generation algorithm Goal of the botnet: theft and phishing - Steals credit card numbers, bank accounts, etc. - Researchers gathered all this data - Accurate estimation of botnet size

20 - Botnets Flashcards

(36 cards)