Usuários dos Border Gateway Protocol (BGP) Feeds da Spamhaus — obtenham maior proteção contra malwares

O que essa nova comunidade BGP tem de diferente?

Se você está lendo isso e se perguntando como os BGP Feeds podem lhe oferecer proteção, consulte o Guia para iniciantes do BGP. Do contrário, prossiga com a leitura.

Atualmente, os assinantes do BGP Feed da Spamhaus têm acesso a estas três comunidades:

• Lista Don’t Route Or Peer da Spamhaus (DROP)
• Lista Extended DROP da Spamhaus (EDROP)
• Lista de controladores de botnet (BCL) — Dedicados. Endereços IP de servidores dedicados a hospedar comando e controladores (CCs) de botnet.

A nova comunidade, Lista de controladores de botnet — Comprometidos, lista os endereços IP de dispositivos legítimos que os agentes de ameaças usam ativamente e de modo abusivo para hospedar botnet CCs.

Por que é essencial bloquear o acesso a esses endereços IP?

Cada família de malware tem seu jeito próprio de trabalhar. Operadores de malware, como do famigerado Emotet, preferem hospedar botnet CCs em dispositivos comprometidos a usar um servidor dedicado. Existem vários motivos para isso:

Ao se comunicar diretamente com dispositivos comprometidos (endereços IP), os agentes de ameaças têm a conveniência de poder evitar as defesas existentes, como os DNS Firewalls.

Normalmente, os usuários finais têm dificuldade de localizar e limpar seus equipamentos infectados. Na verdade, a maioria não tem nem ideia de que: 1) estão comprometidos e 2) um de seus dispositivos está atuando como servidor de botnet CC.

Portanto, se você está bloqueando apenas as conexões a endereços IP de botnet CC dedicado, sua rede continua aberta a algumas das ameaças mais perigosas que existem, como o Emotet e o Qakbot.

Preocupado com o aumento no número de falsos positivos?

Primeiramente, vamos esclarecer um ponto: listar um endereço IP conectado a um dispositivo legítimo NÃO é um falso positivo. Os encarregados da segurança deveriam interromper o tráfego a endereços IP que foram observados hospedando um botnet CC, independentemente de o responsável pelo host estar ou não ciente do fato. Lembre-se: os operadores de redes hospedando o dispositivo comprometido são informados de imediato por nossos pesquisadores assim que um endereço IP é listado. Portanto, o pessoal dedicado a lidar com o uso abusivo dessas redes pode rapidamente trabalhar nelas para resolver a situação. Assim que o problema for remediado e o botnet CC ficar inativo, a listagem em nossos BGP Feeds será removida automaticamente em algumas horas.

Historicamente, a BCL tradicional (que lista apenas endereços IP dedicados a hospedar um botnet CC) segue uma política de zero falsos positivos. Faz sentido que os usuários desses novos datasets BCL fiquem preocupados que algumas conexões legítimas sejam interrompidas.

É verdade que pode haver alguns pequenos danos colaterais, mas vamos analisar esses “danos colaterais”. Você precisa ponderar os seus interesses, os interesses da segurança dos seus clientes e a resiliência da sua rede em comparação com a inconveniência de um pequeno dano.

Você vai quer aceitar o tráfego proveniente de um endereço IP que está sabidamente hospedando um botnet CC, permitindo que agentes de ameaças comprometam os dados de seus usuários e tentem extorqui-los com um ransomware? O que é mais destrutivo: a rede de uma grande corporação ser criptografada com um ransomware ou bloquear, na pior das hipóteses, uma quantidade mínima de conexões potencialmente legítimas a um único assinante DSL localizado em uma rede de terceiros?

Além disso, esse novo dataset tem um tempo de vida (TTL) bem mais curto: nossos pesquisadores listam os IPs por um período significativamente mais curto nesse dataset e continuam revalidando essas entradas para verificar se o botnet CC está ativo.

Se você for um ISP e estiver lendo isso, tenha certeza de que não será o primeiro a bloquear IPs comprometidos hospedando botnet CCs na borda da rede. Nem será o último.

Onde se origina esse dataset?

A nova parceria da Spamhaus com o abuse.ch expandiu ainda mais o nosso acesso a dados. A nova BCL — Comprometidos hospeda um dataset que inclui dados do Feodo Tracker do abuse.ch, uma plataforma que rastreia e valida infraestruturas de botnet CC conectadas às principais ameaças de malware, incluindo Emotet, Qakbot, Dridex e Bumblebee. Consequentemente, todas essas famílias de malware estão presentes na relação dos Top 20 em nossa “Atualização sobre ameaças de botnet, T3 2022” (em inglês).

A utilização desses dados via Spamhaus dá a você acesso a suporte técnico, um serviço robusto e uma rápida resolução de falsos positivos que possam surgir.

Eu sou um assinante do BGP, como acesso esses dados?

Como já mencionamos, não há custos adicionais para os usuários do BGP acessarem essa comunidade extra.

Para acessar os dados, faça login no Portal do Cliente e “Entre em contato” para solicitar o acesso ao nosso novo perfil BGPf, incluindo a Lista de controladores de botnet — Hosts comprometidos.