Una botnet relativamente nueva ha relevado a una importante red de botnets declarada extinta en junio, la red Grum, según la organización que combate el spam en correos llamada Spamhaus.

La botnet, llamada Festi o Spamnost, ha subido desde la desaparición de Grum. Spamhaus cuenta con al menos 250 mil direcciones IP únicas que muestran signos de infección de Festi, frente a las cerca de 20 mil direcciones IP únicas que precedieron a la desactivación de Grum por investigadores de seguridad.

"Desde principios de julio, el XBL de Spamhaus [Exploit Block List] ha visto un enorme incremento en las actividades de spam de Festi", escribió Thomas Morrison de Spamhaus, en el blog de la organización el jueves. "En el punto máximo, durante un período de 24 horas, el XBL fue detectado en cerca de 300 mil direcciones IP que fueron infectadas con Festi, de un total de un millón que estaban infectados con algún tipo de bot de envío de spam.

"El gran volumen de correo no deseado enviado por Festi sobrecarga los procesos de detección de spam de algunas organizaciones de seguridad," comentó.

Spamhaus proporciona su lista XBL para enviarla por correo electrónico a los proveedores de servicios, quienes la utilizan para bloquear las direcciones IP que se han detectado como distribuidores de malware o spam.

Festi, que fue detectado por Symantec en diciembre de 2011, ahora está compitiendo con Cutwail por ser la botnet spam más prolífica. El crecimiento de Festi sigue un patrón familiar: Mientras investigadores de seguridad, proveedores y fuerzas policiales tienen más éxito al desmantelar botnets y derribar su infraestructura, los spammers se mueven rápidamente a otras botnets.

Grum, que estuvo enviando 18 mil millones de mensajes de spam al día, fue la última botnet importante que se desactivó. Spamhaus colaboró con proveedores de seguridad de FireEye y la compañía rusa Group-IB.

Los servidores command-and-control (C&C) de Grum en Panamá y Holanda fueron desactivados. Los operadores de Grum configuraron rápidamente servidores command-and-control en Ucrania, ordenando a uno de los servidores que quedaban en Rusia que redirigiera los bots de infección.

La empresa de alojamiento para el servidor ruso no respondió a las solicitudes de desactivación, así que su ISP asestó el golpe final al detener el tráfico destinado al servidor.