Wykryto niezniszczalny botnet

Eksperci bezpieczeństwa wykryli nowy botnet TDL-4. Komunikowanie się poprzez sieci P2P z serwerami kontroli i zaawansowane szyfrowanie czynią go "bardzo trudnym do zniszczenia"

Obraz
Źródło zdjęć: © Eset

Eksperci bezpieczeństwa wykryli nowy botnet TDL-4. Komunikowanie się poprzez sieci P2P z serwerami kontroli i zaawansowane szyfrowanie czynią go "bardzo trudnym do zniszczenia" - poinformował magazyn Computerworld.

TDL-4 został wykryty w połowie czerwca br. przez kilka ekip analityków bezpieczeństwa z różnych firm antywirusowych. Jak twierdzą badający go eksperci, należy on obecnie do najbardziej zaawansowanych technicznie sieci złożonych z przejętych przez hackerów komputerów.

Botnety służą do rozsyłania spamu, phishingu, operacji typu fastflux czyli udostępniania różnego typu nielegalnego oprogramowania jak np. trojany, ataków niszczących sieci firm i instytucji przez ich zablokowanie (ataki DDOS), a także włamań i oszustw. Często są wynajmowane na godziny przez hackerów, którzy przejęli komputery i zajmują się tylko administrowaniem i utrzymywaniem botnetu.

Obraz
© (fot. Eset)

TDL-4 znacząco różni się od innych botnetów. Złośliwy kod, za pomocą którego przejmowane są komputery w tym botnecie trafia do głównego sektora rozruchowego dysku twardego (Master Boot Record - MBR) komputera ofiary. MBR to pierwszy sektor dysku twardego, gdzie znajduje się segment rozruchowy systemu operacyjnego, uruchamiany zaraz po starcie BIOS-u - stałej pamięci zawierającej podstawowe procedury pozwalające na uruchomienie komputera. Umiejscowienie tam złośliwego kodu powoduje, że jest on niewidoczny zarówno dla systemu operacyjnego jak i dla wielu rodzajów oprogramowania antywirusowego.

Według ekspertów bezpieczeństwa - Siergieja Gołowanowa z Kaspersky Lab i Joe'go Stewarta z Dell SecureWorks, botnet posiada system komunikacji bardzo utrudniający jego namierzenie i zniszczenie. Przejęte komputery we wszystkich botnetach sterowane są przez serwery C&C (Command & Control) zwane serwerami zarządzania. Komputery należące do TDL-4 używają sieci peer-to-peer (P2P) wykorzystywanych zwykle w internecie do udostępniania plików, jako jednego z kanałów komunikacji komputerów z serwerami zarządzania.

Stosują one ponadto w komunikacji bardzo silne szyfrowanie, co dodatkowo utrudnia namierzenie serwerów C&C; algorytm tego szyfrowania został opracowany przez twórców botnetu, a jeden z kluczy stanowią nazwy domen w których znajdują się serwery C&C.

TDL-4 należy do kategorii wielkich botnetów, ale nie jest jednym z największych - liczy sobie około 4,5 mln przejętych komputerów. Największy botnet, Mariposa , rozbita w marcu 200. przez policję hiszpańską i FBI liczył 13 mln komputerów.

Stewart uważa że TDL-4 jest siecią "biznesową", wynajmowaną do różnych zadań za opłatą, ma więc działać jak najdłużej. Stąd jego konstruktorzy zaimplementowali w jego złośliwym oprogramowaniu, funkcję odnajdywania koni trojańskich, ułatwiających przejęcie komputera na potrzeby innych botnetów np. trojana Zeus. Po odnalezieniu taka "konkurencja" jest kasowana z systemu przejętego komputera.

Dodatkowo TDL-4 jest w stanie zainstalować około 3. rodzajów złośliwego kodu na przejętym komputerze, służącego do różnych celów m.in. keyloggerów, wysyłających informacje o tym co pisał na klawiaturze użytkownik, oprogramowania wspomagającego ataki DDOS czy rozsyłanie spamu. Posiada przy tym możliwości odinstalowania każdego rodzaju złośliwego kodu, który sam ściągnął na przejęty komputer. Zdaniem Stewarta to następny dowód na biznesowy charakter botnetu, instalującego złośliwe oprogramowanie zależnie od wymagań wynajmującego.

Zdaniem ekspertów, fakt że siły policyjne podejmują transgraniczną współpracę w celu zniszczenia botnetów ( w taki właśnie sposób zostały wyłączone botnety Mariposa i Coreflood), stanowi dla hackerów wyzwanie, aby stworzyć rozwiązania z którymi eksperci bezpieczeństwa i siły policyjne nie dadzą sobie rady.

Źródło artykułu:

Wybrane dla Ciebie

Dziwna kometa w Układzie Słonecznym. Coś dzieje się z jej kolorami
Dziwna kometa w Układzie Słonecznym. Coś dzieje się z jej kolorami
Czy Putin może wygrać wojnę z Ukrainą? Eksperci nie mają złudzeń
Czy Putin może wygrać wojnę z Ukrainą? Eksperci nie mają złudzeń
Czołg K2PL, czyli docelowa konstrukcja dla Polski. Hyundai Rotem ujawnia szczegóły
Czołg K2PL, czyli docelowa konstrukcja dla Polski. Hyundai Rotem ujawnia szczegóły
USA biorą przykład z Ukrainy. Wydadzą na to pięć miliardów dolarów
USA biorą przykład z Ukrainy. Wydadzą na to pięć miliardów dolarów
Jeszcze lepszy niż Bayraktar. Zbudowali go z Ukraińcami
Jeszcze lepszy niż Bayraktar. Zbudowali go z Ukraińcami
Nowe odkrycie. Z materii otaczającej planetę może powstać księżyc
Nowe odkrycie. Z materii otaczającej planetę może powstać księżyc
Te gryzonie mają własny język. Naukowcy chcą go zrozumieć
Te gryzonie mają własny język. Naukowcy chcą go zrozumieć
Miejsce uwielbiane przez fotografów. Wkrótce wstęp będzie płatny
Miejsce uwielbiane przez fotografów. Wkrótce wstęp będzie płatny
Anomalia grawitacyjna. Co się właściwie stało?
Anomalia grawitacyjna. Co się właściwie stało?
Gorzki lek najlepiej leczy. A dlaczego jest gorzki?
Gorzki lek najlepiej leczy. A dlaczego jest gorzki?
"Niebezpieczna technologia". Rosja testuje nowe drony
"Niebezpieczna technologia". Rosja testuje nowe drony
Laserowa komunikacja w kosmosie. Sygnał dotarł z odległości 350 mln km
Laserowa komunikacja w kosmosie. Sygnał dotarł z odległości 350 mln km