# Kelihos botnet

La botnet Kelihos o Kelihos botnet, también conocida como Hlux, es una botnet principalmente involucrada en spamming y robo de bitcoins.

## Historia

La botnet Kelihos fue descubierta cerca de diciembre del 2010. Los investigadores originalmente sospecharon que habían encontrado una nueva versión de las botnets Storm o Waledac, debido al código fuente y modus operandi similar. Sin embargo, el análisis de la botnet mostró que era una red nueva con 45000 computadoras infectadas, capaz de enviar un estimado de 4 mil millones de mensajes de spam por día. En septiembre de 2011 Microsoft apagó la botnet en una operación con nombre en código "Operation b79". Al mismo tiempo, Microsoft presentó cargos civiles contra los acusados Dominique Alexander Piatti, dotFREE Group SRO y 22 John Doe por su sospechado involuramiento en la botnet por la emisión de 3700 subdominios usados por la botnet. Estos cargos fueron retirados más tarde cuando Microsoft determinó que los acusados no habían sido controladores intencionales de la botnet.
En enero del 2012, se descubrió una nueva versión de la botnet, a veces referida como Kelihos.b o Version 2, consistente en un estimado de 110000 computadoras infectadas. Durante el mismo mes que Microsoft presentó cargos contra el ciudadano ruso Andrey Sabelnikov, un ex profesional de seguridad IT, por ser el alegado creador del código fuente de Kelihos botnet. La segunda versión de la botnet fue apagada en marzo del 2012 usando sumideros de DNS de varias empresas privadas.
Después del apagado de la segunda versión de la botnet, el 2 de abril surgió lo que parecía ser una nueva versión, aunque hay desacuerdo entre los grupos de investigación si la botnet era simplemente remanentes de la versión 2 deshabilitada o una nueva versión. Esta versión de la botnet consiste actualmente en un estimado de 70000 computadoras infectadas. La versión Kelihos.c afecta mayormente computadoras a través de Facebook al enviar enlaces de descarga maliciosos a los usuarios del sitio. Una vez clickeado el enlace, se descarga un troyano llamado Fifesoc, que convierte a la computadora en un zombi parte de la botnet.
El 24 de noviembre de 2015, ocurrió un evento en la Kelihos botnet que causó la difusión de falsos positivos de IPs que estaban en la lista negra:
   Más temprano hoy, un evento a gran escala ocurrió en la botnet Kelihos -por la escala, muchas instalaciones de email verán un incremento en un 20% de spam kelihos y algunas verán su volumen de email entrante crecer hasta en un 500%. Normalmente, esto no es inusual, el CBL/XBL ha estado manejando exitosamente con picos de spam de Kelihos como este, generalmente diarios, durante años. El email supuestamente fue de la Reserva Federal de los EEUU, diciendo algo sobre restricciones en "Pagos online de U.S. Federal Wire y ACH". Esto no solo fue en sí una noticia fraudulenta, sino que también la planilla de Excel (.xls) adjunta contenía instrucciones macro (un downloader) para descargar un virus ejecutable para Windows, más probablemente malware Dyrez o Dridex.
Una declaración jurada sin sellar del 5 de febrero del 2018, mostró el rol inesperado de Apple en llevar al rey del spam ruso ante la justicia. Peter Levashov supuestamente corría la botnet bajo el alias "Severa", alquilando el acceso a spammers y otros cibercriminales. A pesar de los grandes esfuerzos de Levashov en su anonimidad, los registros de la Corte muestran que agentes federales estaban vigilando su cuenta iCloud desde el 20 de mayo del 2016, canalizando hacia atrás información crucial que llevó a su arresto. La orden federal vigente de iCloud habría dado a las autoridades una pestaña de direcciones IP utilizadas para iniciar sesión en la cuenta, que podrían haberles avisado de sus vacaciones en Barcelona, España, donde fue arrestado a pedido de la policía estadounidense y extraditado a los Estados Unidos para su enjuiciamiento.

## Estructura, operaciones y difusión

La botnet Kelihos es lo que se conoce como una botnet peer-to-peer, donde los nodos individuales de la botnet son capaces de actuar como servidores de command-and-control para la botnet entera. En botnets tradicionales no peer-to-peer, todos los nodos reciben instrucciones y "trabajo" de un conjunto limitado de servidores - si esos servidores son eliminados o neutralizados, la botnet no recibirá más instrucciones y por lo tanto estará efectivamente apagada. Las botnets peer-to-peer busca mitigar ese risgo permitiendo que cualquier nodo pueda enviar instrucciones a la botnet entera, dificultando el apagado de la botnet.
La primera versión de la botnet estuvo involucrada principalmente en ataques de denegación de servicio y spam de correos electrónicos, mientras que la versión 2 agregó la habilidad de robar billeteras Bitcoin, así como un programa usado para minar bitcoins en sí. Su capacidad de spamming permitió a la botnet difundirse a sí misma mediante el envío de enlaces de malware a los usuarios para infectarlos con un troyano, aunque las versiones posteriores se propagaron principalmente en sitios de redes sociales, en particular a través de Facebook.