Carna — ботнет размером 420 тысяч устройств, созданный анонимным специалистом по компьютерной безопасности с целью сбора статистики по ip-адресам всей сети ИнтернетПолное сканирование /0 чужими силами // Xakep.ru, 18.03.2013. Был активен с июня по октябрь 2012 года, состоял в основном из различных бытовых роутеров. По результатам работы ботнета был создан «Internet Census of 2012» (перепись Интернета 2012), доступная для просмотра и скачивания.
Некоторыми специалистами исследование сети с помощью ботнета считается неэтичным.Robert McMillan, Botnet-generated map of internet gathered data 'unethically' // Wired, 16 May 13Researcher hijacks insecure embedded devices en masse for Internet census // InfoWorld, 2013-03-19Carna botnet – an interesting, amoral and illegal internet census , 20 March 2013
Сбор данных Сбор данных происходил путём заражения незащищенных устройств, подключенных к Интернету и использующих пароль по умолчанию либо пустой пароль. Программа, которой заражались устройства, была названа Cardea, в честь древнеримской богини Кардеи. Более половины взломанных устройств были расположены в Китае.
В течение нескольких месяцев происходил сбор данных. Каждое устройство опрашивало порядка 10 ip-адресов в секунду, чтобы не создавать избыточной нагрузки.
Результаты сканирования были оформлены в нескольких форматах. Например, была создана gif-анимация, демонстрирующая доступность компьютеров, подключенных к сети Интернет, в зависимости от времени суток. Сканирование велось лишь по адресам IPv4, но не по адресам IPv6.
По мнению создателя ботнета Carna, 2012 год мог быть последним годом, в который удалось создать полную карту Интернета с использованием ipv4 протокола. В последующие годы все большая часть пользователей сети будет переходить на ipv6, более сложный для сканирования.
При заражении на устройство загружался README, описывающий проект и задачи, решаемые ботнетом.
Результаты
Из 4.3 млрд возможных адресов IPv4, ботнет Carna обнаружил использование 1.3 млрд, включая 141 млн за брандмауэрами и 729 млн адресов, имевшие обратную запись DNS (PTR). Оставшиеся 2.3 млрд адресов, вероятно, не использовались.Internet Census 2012: Port scanning /0 using insecure embedded devices , Carna Botnet, June — Oktober 2012Guerilla researcher created epic botnet to scan billions of IP addresses With 9TB of data, survey is one of the most exhaustive — and illicit — ever done. by Dan Goodin, arstechnica, Mar 20, 2013
Для сравнения, в сходной работе 2006 года, выполненной USDHS — LANDER — было обнаружено 187 млн интернет-хостов.Exploring Visible Internet Hosts through Census and Survey («LANDER» study) by John Heidemann, Yuri Pradkin, Ramesh Govindan, Christos Papadopoulos, Joseph Bannister. USC/ISI Technical Report ISI-TR-2007-640. see also http://www.isi.edu/ant/address/ and video Forschung mit illegalem Botnetz: Die Vermessung des Internets Christian Stöcker, Judith Horchert, Der Spiegel, 21.03.2013
Статистика по доменам
Среди других видов статистики, с помощью Carna было получено распределение ip-адресов по доменам верхнего уровня (только для адресов, имевших PTR запись в DNS). Результаты за май-октябрь 2012 года. Двадцать самых крупных TLD:
Количество адресовTop Level Domains. Internet Census 2012 TLD 374,670,873 .net 199,029,228 .com 75,612,578 .jp 28,059,515 .it 28,026,059 .br 21,415,524 .de 20,552,228 .cn 17,450,093 .fr 17,363,363 .au 17,296,801 .ru 16,910,153 .mx 14,416,783 .pl 14,409,280 .nl 13,702,339 .edu 11,915,681 .ar 9,157,824 .ca 8,937,159 .uk 7,452,888 .se 7,243,480 .tr 6,878,625 .in
См. также NMap ZMapZMap Scans the Entire Internet in Under 45 Minutes // Mashable, 2013-08-29ZMap: Fast Internet-wide Scanning and Its Security Applications // Proceedings of the 22nd USENIX Security Symposium. August 14–16, 2013
Примечания
Ссылки Internet Census 2012: Port scanning /0 using insecure embedded devices, Carna Botnet, June — Oktober 2012 Копия данных на GitHub , BitBucket, SourceForge , archive.org Учёные сомневаются, использовать ли данные с ботнета // Xakep.ru, 16.05.2013 AusCERT 2013 - Compromised Devices of the Carna Botnet // Parth Shukla ( ) Michael Mimoso, Internet Census 2012 Data: Millions of Devices Vulnerable by Default // Threat Post, 2013-09-11 Сходный проект на базе ботнета Sality - Analysis of an Internet-wide Stealth Scan from a Botnet // LISA '12
Категория:Ботнеты Категория:Компьютерные вирусы и сетевые черви