Analisi delle Botnet di nuova generazione basate su peer to peer e implementazione in ambiente emulato

L’obiettivo di questo lavoro di tesi è consistito da un lato nell’analisi delle caratteristiche delle Botnet esistenti, con particolare riferimento ad una di esse, denominata Storm (o Trojan.Peacomm), dall’altro nell’implementazione di un emulatore di una rete di tipo Botnet, basata su un protocollo P2P che utilizza Kademlia come algoritmo DHT per la gestione delle tabelle di routing e delle ricerche dei contenuti. Il Botnet Emulator che è stato realizzato è configurabile sia per quanto riguarda i tempi di interarrivo dei peer (che possono ad esempio avere una distribuzione uniforme o esponenziale negativa o anche altre), sia per quelli che riguardano le operazioni da essi eseguite, come “get”, “put” e “leave”.
Per quanto riguarda l’organizzazione del lavoro svolto, nella prima parte della tesi sono stati studiati i sistemi Peer-To-Peer, e particolarmente le caratteristiche di routing e le vulnerabilità dei sistemi basati su DHT (Distributed Hash Table): una attenta analisi di esse ha permesso infatti di esplorare quali possano essere, tra le modalità di attacco ad una rete P2P, quelle più adatte a contrastare l’attività di una Botnet.
Sono stati poi analizzati i malware di nuova generazione, classificandoli per campioni o cluster, per giungere alla descrizione della struttura di una Botnet e delle operazioni che avvengono all’interno e all’esterno del singolo host, con particolare riferimento allo Storm Worm.
Successivamente sono state esaminate le caratteristiche di OceanStore, un’infrastruttura di rete distribuita a livello globale che offre un accesso controllato a generici dati persistenti.
Infine è stato sviluppato, in linguaggio Java, il Botnet Emulator, utilizzando l’ambiente di sviluppo Eclipse e basandosi sul framework DLS (Distributed Location Service) che permette ad un insieme di nodi cooperanti di mantenere al loro interno determinate associazioni tra diverse URI (che identificano le risorse) e le liste di contatti da cui è possibile ottenere tali risorse.
E’ possibile conoscere la dinamica della rete grazie all’aggiornamento real-time della console, che mostra le operazioni eseguite ad ogni istante, e grazie ai file di Log generati che, a fine emulazione, permettono di conoscere il numero di join/leave/get/put totali e quelle eseguite con successo, le operazioni eseguite da ogni singolo peer, il numero di peer attivi e totali ad ogni istante. Inoltre, suddivisi per singola risorsa e per tipo di operazione, vengono memorizzati anche i tempi in cui ogni singolo peer completa con successo un’operazione sulla risorsa.