Fighting Maleware and Phishig under.ch

Transkript

1 Fighting Maleware and Phishig under.ch CentR L&R Vienna, Nicole Beranek Zanon

2 What SWITCH does 2011 SWITCH 2

3 SWITCH process against Malware On November 25th 2010 SWITCH started with a new service for domain owners SWITCH notifies domain owners about malware distributing code on their website and asks to remove the bad code Only reason to look at content - due to legal basis and urgency 2011 SWITCH 3

4 Legal Basis Art. 14f bis ORAT Art. 14f bis 1 Blockierung eines Domain-Namens bei Missbrauchsverdacht 1 Die Registerbetreiberin muss einen Domain-Namen blockieren und die diesbezügliche Zuweisung zu einem Namenserver aufheben: a.wenn der begründete Verdacht besteht, dass dieser Domain-Name benutzt wird: 1.um mit unrechtmässigen Methoden an schützenswerte Daten zu gelangen, oder2.um schädliche Software zu verbreiten, und b.wenn eine in der Bekämpfung der Cyberkriminalität vom BAKOM anerkannte Stelle die Blockierung beantragt hat. 2 Wenn die Bedingungen gemäss Absatz 1 Buchstabe a erfüllt sind, aber der Antrag auf Blockierung einer Stelle gemäss Absatz 1 Buchstabe b fehlt, kann die Registerbetreiberin für höchstens fünf Werktage einen Domain-Namen blockieren und die diesbezügliche Zuweisung zu einem Namenserver aufheben. Nach Ablauf der festgelegten Frist hebt sie jede Massnahme auf, die nicht durch einen Antrag einer Stelle gemäss Absatz 1 Buchstabe b bestätigt wird. 3 Sie teilt dem Inhaber oder der Inhaberin die Blockierung umgehend elektronisch mit. Gleichzeitig fordert sie den Inhaber oder die Inhaberin im Bedarfsfall auf, eine gültige Korrespondenzadresse in der Schweiz anzugeben und sich innert 30 Tagen zu identifizieren. Sie widerruft den Domain-Namen, wenn der Inhaber oder die Inhaberin der Aufforderung nicht innerhalb der gesetzten Frist nachkommt. 4 Das Bundesamt für Polizei (fedpol) erlässt eine Verfügung über die Blockierung, wenn der Inhaber oder die Inhaberin innert 30 Tagen nach der Blockierung: a.eine solche Verfügung verlangt;b.sich korrekt identifiziert; undc.im Bedarfsfall eine gültige Korrespondenzadresse in der Schweiz angibt oder sich verpflichtet, eine solche Adresse einzurichten. 5 Die Registerbetreiberin hebt 30 Tage nach Erledigung eines Antrags auf Blockierung im Sinne von Absatz 1 Buchstabe b die Blockierung des Domain- Namens auf und weist ihn wieder einem Namenserver zu, sofern fedpol oder eine andere Schweizer Behörde, die im Rahmen der Ausführung ihrer Aufgaben interveniert, die getroffene Massnahme nicht mittels Verfügung bestätigt hat. 6 Sie dokumentiert die Blockierungen und Aufhebungen und erstattet dem BAKOM vierteljährlich oder auf Verlangen Bericht darüber. Sie kann auch den anerkannten Stellen gemäss Absatz 1 Buchstabe b über die Blockierungen und Aufhebungen Auskunft geben SWITCH 4

5 Reported by Authority Reasonable suspicion? Block & Inactivation ID-Request and corresponde nce address Delete or activation Request for a decision Authority reports a suspicious website SWITCHCert evaluates reasonable suspicion Inactivativation and blocking of domain name Identification request with response time of 30 days If identified then reactivation If not, deletion of domain name Holder can request a decision from authority in case of identification (with the odd effect that domain name remains blocked and inactivated) 2011 SWITCH 5

6 Reported by third parties and sources Reasonable suspicion? Contact holder No response from holder: block & Inactivatio n Request to Authority ID- Request and correspon dence address No answer of Authority Delete or activation Request for a decision SWITCHCert evaluates reasonable suspicion SWITCHCert contacts holder & technical contact If no response within 24 hours -> Inactivativation and blocking of domain name Request to Authority Identification request with response time of 30 days If no response from Authority, reactivation of domain name If identified then reactivation If not, deletion of domain name Holder can request a decision from authority in case of identification (with the odd effect that domain name remains blocked and inactivated) 2011 SWITCH 6

7 580 verified Malwaredomains in 80 days 2011 SWITCH 7

8 Results 88% website owners/hoster removed the bad content after being notified 12% have been blocked 5% removed the bad code after the domain was blocked 7% didn t react at all 93% of all Websites have been cleaned (no numbers about sustainability yet) 2011 SWITCH 8

9 Malwaredomains SWITCH efforts against malware distributing domains Nicole Beranek Zanon