Die polnische Domain-Registrierstelle NASK, die die Top-Level-Domain „.pl“ betreibt, hat in einer Aktion alle Domains, die für das Botnet „Virut“ registriert sind, auf eine Domain des Computer-Emercency-Response-Teams (CERT) umgeleitet. Die 23 Domains werden nun auf sinkhole.cert.pl umgeleitet, das vom polnischen Notfallteam des Registrars NASK betrieben wird.

Über die zwei Domains ircgalaxy.pl und zief.pl wurde das Botnet, eine Armada von infizierten Computern, die von dem Bot-Master ferngesteuert werden, seit 2006 kontrolliert. Insgesamt wurden alleine in Polen 890.000 einzelne IP-Adressen von infizierten Computern durch das Phonemen-Institut identifiziert. Kaspersky ließ im Security-Bulletin für 2012 verlautbaren, dass 7% der infizierten Computer von Virut befallen sind.

Mit der Umleitung der DNS-Abfragen ist der Bot-Master für die verseuchten Computer nicht mehr erreichbar. Virut ist weiterhin auf den Computern installiert, jedoch kann das Botnet keine Befehle mehr erhalten.

Das Virut-Botnet bedient sich eines ausgeklügelten Mechanismus, wonach es bei Unerreichbarkeit einer der Bot-Master-Domains weitere 10.000 Domains über einen Algorithmus abfragt. Der Bot-Master muss nach der teilweisen Ausschaltung der Kommandoserver nur eine der neuen Domains registrieren und kann sich damit wieder die Hoheit über die verseuchten PCs sichern.

Wer hinter dem Botnet steht, konnte bisher noch nicht belegt werden. Ein Pole aus Warschau gilt als möglicher Drahtzieher.

Siehe auch Kaspersky Security Bulletin 2012. The overall statistics for 2012
Siehe auch W32.Virut: Using Cryptography to Prevent Domain Hijacking

Artikel von krebsonsecurity.com, 18.01.2013: Polish Takedown Targets ‘Virut’ Botnet