सभी पर शासन करने के लिए एक बॉटनेट - एल्यूरन (TDL-4)

हर बार अगले बोटनेट को निजी कंपनियों और सरकारी संगठनों के संयुक्त प्रयासों से हराया जाता है , इसे अगले, अधिक उन्नत और परिष्कृत द्वारा प्रतिस्थापित किया जाता है। जैसा कि जंगली में - कंप्यूटर वायरस और अन्य मैलवेयर के बीच, सबसे मजबूत हमेशा जीतता है।

कैस्परस्की लैब ने सबसे दिलचस्प बॉटनेट्स में से एक की गतिविधियों का विश्लेषण किया जो वर्तमान में सक्रिय रूप से कार्य कर रहे हैं - तथाकथित Alureon, TDL-4 रूटकिट के आधार पर बनाया गया है (जो हाल ही में Eset ने अपने ब्लॉग पर Habré पर लिखा है )। और यहां देखने के लिए वास्तव में कुछ है - बॉटनेट की वास्तुकला और अंतर्निहित तकनीक को तुरंत विभिन्न इंटरनेट प्रकाशनों द्वारा "अविनाशी" के रूप में चित्रित किया गया था। 4.5 मिलियन संक्रमित मशीनें भी इस्तेमाल की गई वास्तुकला की ताकत पर संकेत देती हैं।

दरअसल, TDL-4 को मूल रूप से विनाश या विलोपन से बचने के लिए डिज़ाइन किया गया था - कानून द्वारा, एक एंटीवायरस प्रोग्राम या प्रतिस्पर्धी बॉटनेट। स्थापना पर, TDL-4 मेजबान कंप्यूटर से अन्य सभी दुर्भावनापूर्ण सॉफ़्टवेयर को हटा देगा ताकि मशीन उपयोगकर्ता मशीन के अजीब व्यवहार को नोटिस न करे और अपने सामान्य ऑपरेशन को पुनर्स्थापित करने का प्रयास न करे। लक्ष्य एक सफेद दिन के रूप में स्पष्ट है - रूटकिट असंगत रहने की कोशिश करता है, क्योंकि ज्यादातर स्थितियों में यह उपयोगकर्ता है, न कि कार्यक्रम, जो कंप्यूटर में परिवर्तन (डेटा पैकेट के तेज "आउटबर्स्ट", प्रदर्शन में कमी, आदि) को नोटिस करता है।

यथासंभव प्रभावी होने के लिए नकल करने के लिए, रूटकिट (या बल्कि, बूटकिट) हार्ड डिस्क (एमबीआर) के मास्टर बूट रिकॉर्ड के विभाजन को संक्रमित करता है, जो ऑपरेटिंग सिस्टम को लोड करने के लिए जिम्मेदार है। इसका मतलब यह है कि रूटकिट कोड ओएस से पहले लोड किया गया है, एंटी-वायरस का उल्लेख नहीं करने के लिए, जो इसे और भी अधिक गैर-तुच्छ कार्य खोजने और हटाने का काम करता है। TDL-4 भी अन्य कार्यक्रमों द्वारा पता लगाने से बचने के लिए SSL का उपयोग कर नेटवर्क ट्रैफ़िक को एन्क्रिप्ट करता है, दोनों उपयोगी और दुर्भावनापूर्ण।

एल्यूरन की सबसे उल्लेखनीय विशेषता है, नोड्स के बीच संवाद करने के लिए काड विकेन्द्रीकृत पी 2 पी नेटवर्क (उदाहरण के लिए, eMule द्वारा प्रयुक्त) का उपयोग। इसकी मदद से, बोटनेट संक्रमित मशीनों का अपना नेटवर्क बनाता है, जिससे उन्हें केंद्रीय सर्वर का उपयोग किए बिना ट्रैफ़िक का आदान-प्रदान करने की अनुमति मिलती है, और नेटवर्क का विस्तार करने के लिए नए कंप्यूटर भी मिलते हैं।

यह नेटवर्क की स्थिरता बढ़ाने के लिए किया जाता है। आखिरकार, बॉटनेट पर सभी पिछले हमलों को सरकारी संगठनों की मदद से किया गया था, जिन्होंने काम से कमांड और नियंत्रण केंद्रों को काट दिया, पाया, जैसा कि रस्टॉक के साथ स्थिति में हुआ था, माइक्रोसॉफ्ट की मदद से, जिसने केंद्रीय नोड्स का स्थान निर्धारित किया था। एक नियम के रूप में, आमतौर पर ऐसे कई सर्वर नहीं होते हैं - कई दर्जन, लेकिन यह उनके माध्यम से होता है कि स्पैम, डीडीओएस हमले, आदि प्रबंधित होते हैं। और वे किसी भी बोटनेट की सबसे बड़ी भेद्यता का प्रतिनिधित्व करते हैं।

एल्यूरन अपने प्रतिद्वंद्वियों से बाहर खड़ा है, सबसे पहले इस तथ्य से कि यह लगभग 60 ऐसे केंद्रों का उपयोग करता है, और दूसरी बात, इसके लिए उनके अपरिवर्तनीय अस्तित्व की आवश्यकता नहीं है - बॉटनेट मालिक पूरे नेटवर्क को नियंत्रित कर सकता है, भले ही संक्रमित मशीनों के माध्यम से नहीं मिल सकता है सर्वर के रूप में, यह सहकर्मी से सहकर्मी के सिद्धांत पर बनाया गया है। एन्क्रिप्शन आपको उन्हें छिपाने की अनुमति देता है, और एक विकेन्द्रीकृत नेटवर्क का उपयोग करके आप केंद्रीय नोड के स्थान को बदल सकते हैं।

बेशक, रूटकिट्स ने बोटनेट्स के निर्माण के लिए पी 2 पी नेटवर्क का उपयोग किया था, लेकिन बहुत ही दुर्लभ और असाधारण स्थितियों में उनका आकार उस तरह था जैसा कि एल्यूरॉन के लिए हुआ था। इससे उसे न केवल नेटवर्क के भीतर संचार में लचीलापन मिलता है, बल्कि विनाश के लिए उच्च प्रतिरोध भी होता है। इसलिए, अन्य बॉटनेट के खिलाफ इस्तेमाल की जाने वाली तकनीकों का इस व्यक्ति के खिलाफ प्रभाव नहीं हो सकता है।

दुर्भावनापूर्ण सॉफ़्टवेयर, अपने आप में, फ़ाइल-साझाकरण और अश्लील साइटों के माध्यम से मुख्य रूप से वितरित किया जाता है। हाल ही में, DHCP सर्वर बनाकर कंप्यूटरों को संक्रमित करने का एक और तरीका पाया गया जो कंप्यूटरों को दुर्भावनापूर्ण DNS सर्वर का उपयोग करने के लिए मजबूर करता है जो नेटवर्क उपयोगकर्ताओं को रूटकिट वाले पृष्ठों पर निर्देशित करता है। TDL-4 कोड की एक और उल्लेखनीय विशेषता (TDSS के रूप में जाना जाता है) कंप्यूटर को प्रोग्राम डाउनलोड करने वाले अतिरिक्त प्रॉक्सी सर्वर बनाकर खोज इंजन परिणामों का "विषाक्तता" है।

स्पैम और डीडीओएस हमलों जैसी क्लासिक सेवाओं के अलावा, इस बोटनेट के ऑपरेटर नेटवर्क पर किसी भी कंप्यूटर को प्रॉक्सी सर्वर के रूप में उपयोग करने का एक विशेष अवसर प्रदान करते हैं जो इंटरनेट ट्रैफ़िक को अज्ञात करता है। केवल $ 100 प्रति माह के लिए, आपको एक विशेष फ़ायरफ़ॉक्स प्लगइन भी प्रदान किया जाएगा ताकि इस तरह के अनाम प्रॉक्सी सिस्टम का उपयोग करना आसान हो सके।

इस तरह के एक बॉटनेट को नष्ट करना आसान काम नहीं होगा - इसके शोधकर्ता पहले से ही संक्रमित कंप्यूटरों की संख्या पर आंकड़े प्राप्त करने के लिए विशेष रूप से डिज़ाइन किए गए सर्वर अनुरोधों के बारे में बात कर रहे हैं - कास्परस्की विशेषज्ञों ने मोल्दोवा, लिथुआनिया और यूएसए में स्थित कई डेटाबेस पाए हैं, जिनमें प्रोबेटी आधारित हैं, जिस पर बॉटनेट संचालित होता है। ।

इसके अलावा, काम करने के लिए टिप्पणियों में, यह कहा जाता है कि कॉर्पोरेट नेटवर्क (HTTP \ https प्रॉक्सी) का उपयोग करके संक्रमित मशीनों को DNS सर्वर लॉग का उपयोग करके पाया जा सकता है - एक सिग्नल मशीन से एक प्रॉक्सी सर्वर (आमतौर पर DNS प्रश्न) के लिए DNS क्वेरी हो सकता है एक प्रॉक्सी सर्वर से आते हैं)।

आरएसडब्ल्यू के माध्यम से आरएसडब्ल्यूटीनिका के माध्यम से कास्पर्सकी लैब