Tag Archive for 'rbn'

Über wsnpoem (aka Zbot) wird derzeit viel gesprochen, da er seit Anfang Jahr aggressiver und schneller mit neuen Spam-Wellen auftritt um ahnungslose User zu infizieren. Doch wer steckt dahinter? Aus bestimmten Ecken hört man, dass angeblich das Russian Business Network (RBN) hinter wsnpoem steckt. Bestätigt hat sich diese Vermutung bis anhin jedoch nicht. Leider kann ich die Frage, wer hinter wsnpoem steckt, genau so wenig beantworten wie allen andern. Ich habe jedoch einmal ein bisschen recherchiert und habe dabei einige interessante Entdeckungen gemacht.

Schauen wir uns als erstes doch einmal die Registrierdaten der beiden Domains an, bei welchen sich wsnpoem nach der Infizierung meldet:

Was sehen wir? Die Registrierdaten sind abgesehen von den zuständigen Nameserver gleich. Wir sehen ebenfalls, dass die beiden Domains am selben Tag registriert wurden. Dank einem Russischen Domain-Registrar ist es nun möglich heraus zu finden, welche Domains mit den selben Registrierdate registriert worden sind. Ich habe nicht schlecht geschaut, als ich sage und schreiben 44 Domains gefunden habe, welche mit der Telefon-Nummer +7 933 7898898 registriert worden waren. Eine weitere Telefon-Nummer welche für die Registrierung verwendet wurde, ist +7 933 7898890. Mit dieser Nummer wurden im letzten Jahr insgesamt 20 Domains registriert. Ich habe nun eine List zusammen gestellt, welche Domains noch aktiv sind und welche inaktiv (=keinen A Record haben):

Aktive domains

Folgende Domains sind derzeit aktiv d.h. sie haben einen A-Record:

Was bei den aktiven Domains sofort auffällt, ist, dass viele Domains auf die selbe (uns bereits bekannte) IP Adresse zeigen: 91.203.92.4. Scheinbar sind die IP Adressen auch bei Spamhaus bekannt, für die meisten IP Adresse gibt es nähmlich einen SBL Eintrag (Spamhaus Block List).

Schauen wir uns den SBL Eintrag SBL65512 doch einmal etwas genauer an. Der Eintrag wurde am 09-Jul-2008 um 22:49 Uhr GMT hinzugefügt mit dem Kommentar “Virus writers spreaders” (Virenschreiber Umschlagplatz). Der Eintrag listed das Subnet 91.203.92.0/22 worin sich auch die uns bekannten IP Adressen 91.203.92.3, 91.203.92.4 und 91.203.92.27 befinden. Das Subnet gehört einem Ukrainischen Provider Namens ISP UATelecom holding LLC.. Die uns bekannten IP Adressen sind in dem SBL Eintrag zwar nicht explizit erwähnt, da sie jedoch im genannten Subnet liegen sind sie trozdem geblacklistet.

Der zweite SBL Eintrag SBL65112 betrifft 79.135.166.132 (guns-fi-logs.ru). Hierbei wurde das Subnet 79.135.160.0/19 am 1-May-2008 um 21:36 Uhr GMT mit dem Kommentar “SBL62483 AbdAllah_Internet – Ukrainian cybercrime hosting” gelistet. Stop! AbdAllah Internet? Die kennen wir doch! Dem AbdAlah Internet Hizmetleri (AHI) wird eindeutig eine Zugehörigkeit zum Russian Business Network (RBN) zugesprochen (Siehe Shadowserver.org und joewein.net). Hierher stammen also die Vermutungen, dass möglicherweise das RBN hinter wsnpoem steckt.

Auch Interessant ist die Domain fixredirector.ru; diese wird nähmlich im Gegensatz zu allen anderen Domains auf einem Botnet gehosted (FastFlux):

Als Betreiber der FastFlux Blacklsite drone.abuse.ch überwache und Blackliste ich IP Adressen (sprich Bots), welche in solchen Botnetze tätig sind. Das Botnet welche die Domain fixredirector.ru hosted ist mir nicht unbekannt: Lookup fixredirector.ru at drone.abuse.ch. Was sehen wir denn da? Das Botnetz hosted gerade aktive auch die beiden Money Mule Domains duty-free-international.biz und duty-free-international.org. Googeld man nach den beiden Domains, wird man sehr schnell fündig:

Des Weiteren werden derzeit noch einige phishing Domains in dem FastFlux Botnet gehosted: WSNPoem FastFlux Botnet Monitor

Interessant, jetzt schauen wir doch einmal zurück, welche Domains früher in dem selben Botnet gehosted wurden:

Auf den ersten Blick sagen diese Domains nicht viel aus, googeld man jedoch nach den Domains, wird man sehr schnell bei den Kollegen von PhishTank fündig:

Beispiel neryere.com:

Auch bei den anderen Domains sieht es nicht besser aus; alle Domains sind durch Phishing Aktivitäten aufgefallen.

Ebenfalls Interessant ist die Domain cosmo7771.ru welche auf die IP Adresse 202.151.177.85 zeigt. Auf diesem Server wird nämlich nicht nur eine Domain von wsnpoem gehosted sondern auch viele weitere Domains:

Die ersten beiden Domains sehen auf den ersten Blick legitim aus, auf den zweiten jedoch findet man je ein Schreibfehler in den Domains, wobei sofort der Verdacht auf phishing aufkommt. Googeld man nach den Domains olan-complex.com und euro-invest-solutions.com, wird man erneut fündig bei bobbear.co.uk:

und

Aha… nochmals zwei Domains, welche verwendet werden um Money Mules anzuwerben. Bei den letzten drei Domains p-cons-group.com, persdev-center.com und job.vanlines.de sieht es nicht anders aus. Googeld man nach diesen Domains, findet man erneut Hinweise auf Geldwäscherei.

Inaktive Domains

Folgende Domains sind der Zeit Inaktiv d.h. sie haben keinen A-Record und teilweise auch keinen NS-Record mehr:

Fazit

Folgende Erkenntnisse ziehe ich aus meinen Recherchen:

Nun Fragt sich jedoch, ob diese Aktivitäten von der selben kriminellen Gruppe ausgehen wie wsnpoem. Es könnte nämlich auch sein, dass z.B. das Botnet, welches die Domain fixredirector.ru hosted, gemietet ist. Bis anhin sind nämlich noch nie solche Aktivitäten von einem durch wsnpoem infizierten Rechner festgestellt worden. Es ist also wahrscheinlich, dass die wsnpoem Domains Bulletproof gehosted sind und das Botnet gemietet ist.