क्राउन मैलवेयर चिप्स

सूचना प्रौद्योगिकी का विकास सॉफ्टवेयर (सॉफ्टवेयर) के पूरे स्पेक्ट्रम के विकास को प्रभावित करता है। यह मैलवेयर को बायपास नहीं करता है । हम "उन्नत" दुर्भावनापूर्ण सॉफ़्टवेयर (मैलवेयर) के विकास में उपयोग की जाने वाली मुख्य तकनीकों को भेद कर सकते हैं।

1. प्रभावित कंप्यूटर पर इसके छिपे हुए प्रक्षेपण या विशेषाधिकार वृद्धि के लिए स्थापित सॉफ़्टवेयर की कमजोरियों का शोषण।
   उदाहरण - ऑटोरन (autorun.inf) के माध्यम से USB ड्राइव से पारंपरिक लॉन्च के बजाय , स्टक्सनेट, MS10-046 शॉर्टकट प्रसंस्करण भेद्यता का इस्तेमाल किया, बाद में नम्रता ने उसी भेद्यता का उपयोग करना शुरू कर दिया। कन्फ़िकर ने नेटवर्क सेवा "सर्वर" MS08-067 की भेद्यता का उपयोग किया, इसने इसे बड़ी संख्या में मशीनों से गुणा करने की अनुमति दी। भेद्यता, एक नियम के रूप में, बफर अतिप्रवाह वर्ग को संदर्भित करता है, लेकिन जरूरी नहीं कि, ढेर ओवरफ्लो भी हो सकता है, आदि बफर ओवरफ्लो का संक्षिप्त बिंदु यह है कि स्टैक अक्सर प्रोग्रामिंग में उपयोग किया जाता है। स्टैक की अवधारणा आपको फ़ंक्शन के मापदंडों के हस्तांतरण को सरल बनाने और उस स्थान पर नियंत्रण वापस करने की अनुमति देती है जहां फ़ंक्शन कॉल आया था। उदाहरण: हमने अपने वांछित फ़ंक्शन को कॉल किया, जिसे कीबोर्ड से एक पंक्ति दर्ज करनी चाहिए, रिटर्न एड्रेस को स्टैक पर रखा गया, मान लीजिए 4 बाइट्स हैं, फिर हमने लाइन के लिए स्टैक पर 255 बाइट्स आरक्षित कर दिए - हमें कोई आपत्ति नहीं है। और कॉमरेड इवानोव, जब हमारे कार्यक्रम के साथ काम कर रहे थे, हाँ लिया और एक स्ट्रिंग 364 बाइट्स में प्रवेश किया। वापसी पते के 4 बाइट्स अन्य बाइट्स (स्ट्रिंग से) के साथ ओवरराइट किए गए थे। इसलिए, नियंत्रण उस स्थान पर वापस नहीं आएगा जहां से फ़ंक्शन को बुलाया गया था, लेकिन कुछ अन्य को। इसमें यह भी शामिल है कि यह ठीक है कि हमारी लाइन में बाइनरी कोड होंगे और यह पता इस लाइन के अंदर मैमोरी एरिया की ओर इशारा करते हुए होगा। इस तरह के एक ठीक-ठीक अनुक्रम (आम तौर पर डेटा, न केवल तार) को शेल कोड कहा जाता है, और एक दुर्भावनापूर्ण प्रोग्राम जो शेल कोड को लागू करता है, उसे शोषण कहा जाता है। हमारे कार्यक्रम की भेद्यता यह है कि इनपुट स्ट्रिंग की लंबाई का कोई सत्यापन नहीं है। भेद्यता को ठीक करने के लिए, एक पैच लगाया जाता है। पैच एक प्रोग्राम (या कार्यों का अनुक्रम) है जो कमजोरियों को ठीक करने के लिए विशिष्ट फ़ाइलों को संशोधित करता है।
2. बहुरूपता प्रौद्योगिकी के अनुप्रयोग।
   जैसा कि आप जानते हैं, मैलवेयर का पता लगाने के लिए एंटीवायरस तरीकों में से एक हस्ताक्षर विश्लेषण है । इसका मतलब यह है कि मैलवेयर के लिए, डेटा के कुछ विशिष्ट अनुक्रम (बाइट्स) निर्धारित किए जाते हैं, जिसे एक हस्ताक्षर कहा जाता है। ऐसा हस्ताक्षर किसी अन्य कार्यक्रम में नहीं मिलना चाहिए। सामान्य तौर पर, यह एक पाठ्य विवरण में इस तरह दिख सकता है: शुरुआत से 127 बाइट्स 7 है, अंत से 145237 बाइट्स 255 है, जबकि 145235 बाइट्स 0. होना चाहिए। बहुरूपता यह सुनिश्चित करने के लिए लक्षित है कि हर बार मैलवेयर फ़ाइल अलग है, और किसी भी नियमितता (हस्ताक्षर) को बाहर करना उसके लिए असंभव था। उदाहरण के लिए, ज़ीउस ने अपनी छिपी स्थापना के दौरान, अपने मुख्य मॉड्यूल को ट्रांसकोड किया, इसलिए विभिन्न कंप्यूटरों पर एक ही संस्करण लगभग हर बाइट में भिन्न होता है। एक विशेष रूप से "उन्नत" विधि "सर्वर" (सर्वर-साइड) बहुरूपता है, जब एक दुर्भावनापूर्ण सर्वर प्रत्येक कंप्यूटर पर मैलवेयर की एक नई इकट्ठी कॉपी डाउनलोड करता है। इसके अलावा, फ़ाइल रूपांतरण एल्गोरिथ्म मैलवेयर में ही निहित नहीं है, लेकिन सर्वर पर कार्यान्वित किया जाता है। यह बहुत हद तक असंतुष्ट प्रतियां बनाने की क्षमता को बढ़ाता है, क्योंकि "म्यूटेशन" का कोड मनमाने ढंग से बड़ा और जटिल हो सकता है। इस पद्धति का उपयोग किया गया था, उदाहरण के लिए, स्टॉर्म में।
3. एक संक्रमित कंप्यूटर में मैलवेयर के संकेतों को छिपाने के उद्देश्य से रूटकिट कार्यक्षमता की उपस्थिति।
   एक नियम के रूप में, इसका मतलब है कि सिस्टम स्तर पर मैलवेयर फ़ाइलों की अदृश्यता, "टास्क मैनेजर", कुछ रजिस्ट्री कुंजियों, और इसी तरह की मैलवेयर प्रक्रियाओं की अदृश्यता।
4. आत्मरक्षा के कार्यों का बोध।
   आत्मरक्षा का तात्पर्य एंटीवायरस प्रोग्रामों का विरोध करना है, उदाहरण के लिए, उन्हें बंद करने के लिए मजबूर करना, या उपयोगकर्ता क्रियाएं, उदाहरण के लिए, रजिस्ट्री संपादक के लॉन्च को रोकना। एंटी-वायरस कंपनी पोर्टल्स या सूचना सुरक्षा साइटों तक पहुंच को भी रोका जा सकता है, जहां से आपको मैलवेयर हटाने, एंटीवायरस को अपडेट डाउनलोड करने या खुद एंटीवायरस के निर्देश मिल सकते हैं। सच है, एंटीवायरस का गलत संचालन मैलवेयर के लिए एक असामान्य कारक है। एक अलग वस्तु अपने "प्रतियोगियों" के प्रभावित कंप्यूटर से हटाने है - अन्य दुर्भावनापूर्ण प्रोग्राम। इस टकराव का एक क्लासिक मामला श्रीज़बी और स्टॉर्म बॉट परिवारों के बीच का संघर्ष है।
5. कमांड भेजने और मैलवेयर से जानकारी प्राप्त करने के लिए एक नियंत्रण प्रणाली का उपयोग करना जो बॉटनेट को रोकने के उद्देश्य से एंटीवायरस कंपनियों के कार्यों के लिए प्रतिरोधी है ।
   बॉटनेट एक बॉट्स (उसी किस्म का मालवेयर) का एक संग्रह है जो किसी एक स्रोत से एक ऑपरेटर या ऑपरेटर (हमलावर) से कमांड प्राप्त करता है।

क्रिप्टोग्राफी मूल बातें

इलेक्ट्रॉनिक डिजिटल हस्ताक्षर (ईडीएस) की तकनीक क्या है, इसकी सामान्य समझ के लिए, जिस पर बाद में चर्चा की जाएगी, क्रिप्टोग्राफी की मूल अवधारणाओं का खुलासा करना आवश्यक है। मौजूदा एन्क्रिप्शन विधियों को सममित - DES , 3DES , AES , RC4 , RC6 और असममित (या सार्वजनिक कुंजी एन्क्रिप्शन) - RSA , ECDSA में विभाजित किया जा सकता है। उनके बीच मुख्य अंतर:

• सममित एन्क्रिप्शन, असममित (दसियों बार) की तुलना में बहुत तेज है;
• सममित एन्क्रिप्शन में, कुंजी एक है, असममित - दो में।

सममित एन्क्रिप्शन के साथ, दो उपयोगकर्ताओं (जो बहुत असुविधाजनक है, खासकर यदि वे एक दूसरे से बहुत दूर हैं) के बीच एक प्रमुख विनिमय की आवश्यकता है, असममित एन्क्रिप्शन इस खामी से वंचित है। इसका मुख्य सार: दो कुंजियाँ हैं - एक निजी और एक सार्वजनिक, और एक निजी कुंजी को किसी स्वीकार्य समय में (उदाहरण के लिए, एक पटाखा के जीवन के दौरान) खुले में से गणना नहीं की जा सकती है या गणना नहीं की जा सकती है। स्वाभाविक रूप से, अभी 8-बिट कुंजी की गणना एक सेकंड से भी कम समय में की जा सकती है, जबकि 1024-बिट कुंजी को कई वर्षों के लिए चुनना होगा। सार्वजनिक और निजी कुंजी की एक और संपत्ति यह है कि उनमें से कोई भी संदेश को एन्क्रिप्ट कर सकता है, और दूसरे को डिक्रिप्ट कर सकता है। यानी दो ऑपरेशन संभव हैं:

1. प्रेषक - स्रोत पाठ - निजी कुंजी - एन्क्रिप्टेड पाठ - सार्वजनिक कुंजी - डिक्रिप्टेड पाठ - प्राप्तकर्ता;
2. प्रेषक - स्रोत पाठ - सार्वजनिक कुंजी - एन्क्रिप्टेड पाठ - निजी कुंजी - डिक्रिप्ट पाठ - प्राप्तकर्ता।

ऑपरेशन 1 का उपयोग हस्ताक्षर के लिए किया जाता है, ऑपरेशन 2 का उपयोग एन्क्रिप्शन के लिए किया जाता है, और दो प्रमुख जोड़े एक्सचेंज प्रतिभागियों (उपयोगकर्ता ए और बी) की संख्या के अनुसार उपयोग किए जाते हैं:

1. प्रेषक A - स्रोत पाठ - निजी कुंजी A - एन्क्रिप्टेड पाठ - सार्वजनिक कुंजी A - डिक्रिप्ट पाठ - प्राप्तकर्ता B;
2. प्रेषक A - स्रोत पाठ - सार्वजनिक कुंजी B - एन्क्रिप्टेड पाठ - निजी कुंजी B - डिक्रिप्टेड पाठ - प्राप्तकर्ता B।

निजी कुंजी को केवल उपयोगकर्ता द्वारा संग्रहीत किया जाना चाहिए और कहीं नहीं, उपयोगकर्ता-कुंजी बंडल के रूप में सार्वजनिक कुंजी को कहीं भी स्वतंत्र रूप से रखा जा सकता है। पहले मामले में (पहचान पत्र या हस्ताक्षर), उपयोगकर्ता बी सुनिश्चित करता है कि उपयोगकर्ता ने संदेश भेजा है, क्योंकि ए को छोड़कर कोई भी संदेश को एन्क्रिप्ट नहीं कर सकता है ताकि इसे सार्वजनिक कुंजी ए के साथ डिक्रिप्ट किया जा सके (निजी कुंजी की गणना सार्वजनिक कुंजी का उपयोग करके नहीं की जा सकती)। दूसरे मामले में (एन्क्रिप्शन), केवल उपयोगकर्ता बी अपनी निजी कुंजी बी के साथ डिक्रिप्ट कर सकता है किसी भी उपयोगकर्ता द्वारा उसकी सार्वजनिक कुंजी बी के साथ एन्क्रिप्ट किए गए संदेश (निजी कुंजी को सार्वजनिक कुंजी का उपयोग करके गणना नहीं की जा सकती)।
व्यवहार में, योजना कुछ अधिक जटिल है, क्योंकि यह पहले ही उल्लेख किया गया था कि असममित एन्क्रिप्शन सममित से दस गुना धीमा है। इसलिए, हस्ताक्षर करते समय, एन्क्रिप्शन का उपयोग संपूर्ण डेटा के लिए नहीं किया जाता है, लेकिन इस डेटा के कुछ फ़ंक्शन के लिए, हैश फ़ंक्शन कहा जाता है। सबसे सरल हैश फ़ंक्शन के रूप में, हम अक्सर ज्योतिष में उपयोग की जाने वाली तकनीक पर विचार कर सकते हैं, उदाहरण के लिए, वर्ष 1998 की संख्या 1 + 9 + 9 + 8 = 27 = 2 + 7 = 9 है। पहले सन्निकटन में, यह हैश फ़ंक्शन कैसे काम करता है, लेकिन जोड़ने के बजाय, कई अन्य कार्यों का उपयोग किया जाता है। उपरोक्त उदाहरण में, यह देखा जा सकता है कि, उदाहरण के लिए, वर्ष 1899 में भी 9 नंबर होगा, इस स्थिति को टकराव कहा जाता है, जिसका अर्थ है कि विभिन्न डेटा सेट एक हैश फ़ंक्शन मान (या सिर्फ एक हैश) के अनुरूप हैं। हैश के सबसे आम प्रकार MD5 , MD6 , SHA-1 , SHA-2 हैं । इस प्रकार, तकनीकी रूप से ईडीएस एक अतिरिक्त डेटा ब्लॉक है जिसमें उपयोगकर्ता की निजी कुंजी के साथ एन्क्रिप्टेड संचारित डेटा का एक हैश होता है। Collision नकली ईडीएस के लिए इस्तेमाल किया जा सकता है। यदि हम किसी भी फ़ाइल से डिजिटल हस्ताक्षर लेते हैं और उसी जाली के साथ हमारी जाली फ़ाइल बनाते हैं, तो अंतिम उपयोगकर्ता सभी गणनाओं पर सहमत होगा, और वह सोचेगा कि फ़ाइल उस व्यक्ति से भेजी गई थी जिसे वह (और हमसे नहीं) जानता था। समस्या यह है कि एक एल्गोरिथ्म बनाना असंभव है, जो हमारी फ़ाइल में जोड़ने के लिए बाइट करता है, ताकि निर्दिष्ट हैश मान प्राप्त हो। बेशक, आप कह सकते हैं, हमारी फ़ाइल में 0 के मान के साथ एक बाइट जोड़ें, फिर 1, 2 और इसी तरह 255 तक, फिर उसी तरह से एक दूसरा, तीसरा, आदि जोड़ें, लेकिन इसमें बहुत समय लगेगा।
एन्क्रिप्शन के लिए, कुछ संशोधनों को भी वहां लागू किया जाता है। तो, असममित एल्गोरिथ्म के साथ, फिर से, पूरे डेटा सेट को एन्क्रिप्ट नहीं किया जाता है, लेकिन तथाकथित सत्र कुंजी यादृच्छिक रूप से उत्पन्न होती है। यह सत्र कुंजी सममित एल्गोरिथ्म का उपयोग करके सेट किए गए डेटा को एन्क्रिप्ट करता है, जो बहुत तेज़ है। सत्र कुंजी स्वयं प्राप्तकर्ता की सार्वजनिक कुंजी के साथ एन्क्रिप्ट की जाती है और स्रोत डेटा में जोड़ दी जाती है। प्राप्तकर्ता अपनी निजी कुंजी के साथ सत्र कुंजी को डिक्रिप्ट करता है, और इसके साथ, मूल संदेश को डिक्रिप्ट करता है।

मैलवेयर में क्रिप्टोग्राफी का उपयोग करना

क्रिप्टोग्राफ़िक विधियों का उपयोग करते हुए, हमलावर निम्नलिखित समस्याओं का समाधान करते हैं:

• ईडीएस का उपयोग करके, वे पुष्टि करते हैं कि मालवेयर का अद्यतन संस्करण ऑपरेटरों से प्राप्त किया जाता है, न कि प्रतिस्पर्धी हमलावरों या एंटीवायरस कंपनियों के कर्मचारियों से। ऐसा करने के लिए, सार्वजनिक कुंजी को बॉट में "वायर्ड" किया जाता है, और निजी कुंजी को एक सुरक्षित स्थान पर संग्रहीत किया जाता है (बेशक, सर्वर पर नहीं)। यह कोई रहस्य नहीं है कि कई कार्यक्रमों में भेद्यताएं हैं; बॉटनेट कमांड सर्वर इस अर्थ में कोई अपवाद नहीं हैं। कुछ मामलों में, ऐसे सर्वरों को हैक करना संभव था, फिर बॉट के आत्म-विनाश के लिए एक कमांड जारी करना, बॉट के नए संस्करण की आड़ में एक एंटी-वायरस उपयोगिता वितरित करना या नियंत्रण केंद्र के पते को बदलना संभव हो गया। ईडीएस का उपयोग एक बोटनेट पर नियंत्रण की अवरोधन की समस्या को दूर करता है;
• संक्रमित कंप्यूटर से चोरी की गई जानकारी को एन्क्रिप्ट करें। इस प्रकार, केवल इसके ऑपरेटर (जिनके पास निजी कुंजी है) बॉटनेट के परिणामों का उपयोग कर सकते हैं, अर्थात, प्रबंधन सर्वर को हैक करने से काम नहीं चलेगा;
• कई एंटी-वायरस टूल कार्यक्रमों की क्रियाओं का विश्लेषण नहीं करते हैं (उदाहरण के लिए संदिग्ध कार्यों की निगरानी, ​​उनके कोड को किसी अन्य प्रक्रिया में पेश करना) यदि वे बड़ी सॉफ्टवेयर कंपनियों और चालक डेवलपर्स के डिजिटल हस्ताक्षर द्वारा हस्ताक्षरित हैं। इस सुविधा का उपयोग साइबर अपराधियों द्वारा एंटी-वायरस सुरक्षा प्रणालियों को बायपास करने के लिए सफलतापूर्वक किया जाता है। हस्ताक्षर चोरी की गई निजी कुंजी (रियलटेक चोरी की कुंजी के साथ हस्ताक्षर किए गए स्टक्सनेट), एक टक्कर विधि (माइक्रोसॉफ्ट द्वारा कथित तौर पर हस्ताक्षर किए गए फ्लेम) का उपयोग करके उत्पन्न किया जाता है, कुछ मामलों में यह एक काल्पनिक सॉफ्टवेयर विकास कंपनी को पंजीकृत करना और कानूनी रूप से अपनी महत्वपूर्ण कुंजी प्राप्त करना संभव था;
• एंटी-वायरस विशेषज्ञों का कहना है कि हाल ही में रैंसमवेयर , रैंसमवेयर अधिक आम हो गए हैं। रैंसमवेयर के क्लासिक उदाहरण के रूप में, आप GPCode का उपयोग कर सकते हैं। यह दुर्भावनापूर्ण प्रोग्राम उपयोगकर्ता फ़ाइलों को एक यादृच्छिक सत्र कुंजी के साथ एन्क्रिप्ट करता है, जिसे वह सार्वजनिक कुंजी (GPCode में स्थित) का उपयोग करके एन्क्रिप्टेड रूप में संग्रहीत करता है। स्रोत डेटा स्वाभाविक रूप से मिटा दिया जाता है। रिवर्स ऑपरेशन करने के लिए, हमलावर द्वारा छोड़े गए विवरण के अनुसार एक निश्चित राशि का हस्तांतरण करना आवश्यक है और उसे यह एन्क्रिप्टेड सत्र कुंजी भेजें। इसे निजी कुंजी (हमलावर पर स्थित) का उपयोग करके डिक्रिप्ट किया जाता है और उपयोगकर्ता को वापस भेज दिया जाता है, जिसके बाद फ़ाइलों को सफलतापूर्वक स्थानांतरित किया जाएगा। ऐसे कार्यक्रमों के प्रभाव के खिलाफ एकमात्र विश्वसनीय सुरक्षा बैकअप है।

नियंत्रण प्रणाली की विविधताएं

इसके विकास में, प्रबंधन प्रणाली निम्नलिखित चरणों से गुजरी:

• हार्ड-सेट ई-मेल पते;
• आईआरसी चैट का उपयोग, बॉट दिए गए सर्वर पर कुछ चैनलों से जुड़ा था, जबकि सर्वर कानूनी और हैक दोनों हो सकते हैं, इसके साथ आईआरसी सर्वर सॉफ्टवेयर की बाद की स्थापना;
• हार्डकोड डोमेन नाम या आईपी पते;
• डीजीए (डोमेन जनरेशन एल्गोरिथम) का उपयोग;
• पी 2 पी प्रौद्योगिकियों का उपयोग।

जाहिर है, सब कुछ जो सांख्यिकीय रूप से सेट किया गया था, एंटीवायरस कंपनियों द्वारा जल्द या बाद में अवरुद्ध कर दिया गया था। इन समस्याओं को हल करने के लिए, डीजीए और पी 2 पी प्रौद्योगिकियों का उपयोग किया जाता है।
डीजीए का सार यह है कि नियंत्रण के लिए कमांड केंद्रों के नाम हार्ड-कोडेड नहीं हैं, लेकिन वर्तमान तिथि और समय का उपयोग करते हुए एक छद्म यादृच्छिक एल्गोरिदम के अनुसार उत्पन्न होते हैं, और ऐसे डोमेन की संख्या काफी बड़ी होनी चाहिए, उदाहरण के लिए, प्रति दिन 1000। यह इस तथ्य की ओर जाता है कि ऐसे सभी नामों को पंजीकृत या अवरुद्ध करना एक बहुत ही कठिन और व्यावहारिक रूप से असंभव कार्य है। हालांकि, मैलवेयर में डीजीए का उपयोग एंटीवायरस कंपनियों को तथाकथित सिंकहोल राउटर का उपयोग करने की अनुमति देता है, एक नकली नियंत्रण केंद्र जो बॉट्स अपने स्वयं के रूप में अनुभव करना शुरू कर रहे हैं। इस प्रकार, आने वाले कनेक्शनों के आईपी पतों का विश्लेषण करके संक्रमण की मात्रा और उनके भौगोलिक वितरण का आकलन करना संभव हो जाता है। कुछ मामलों में, यह आपको नियंत्रण लेने और आत्म-विनाश के लिए एक आदेश देने की अनुमति देता है, जो हालांकि, दुर्लभ है, क्योंकि टीमों और नई फाइलों को आमतौर पर साइबर अपराधियों द्वारा डिजिटल हस्ताक्षर द्वारा हस्ताक्षरित किया जाता है।
पी 2 पी का उपयोग करना आपको नियंत्रण केंद्र की अवधारणा को पूरी तरह से त्यागने की अनुमति देता है, किसी भी संक्रमित कंप्यूटर से बॉट के नए संस्करणों का प्रबंधन या वितरण किया जा सकता है।
पी 2 पी (पीयर-टू-पीयर, पीयर-टू-पीयर नेटवर्क) में बड़ी संख्या में कंप्यूटर शामिल हैं, जिनमें से प्रत्येक में ऐसे अन्य कंप्यूटरों के बारे में कुछ जानकारी शामिल है, उदाहरण के लिए, आईपी एड्रेस। ऐसे कंप्यूटरों (पीयर, पीयर) की सूची को बूटस्ट्रैप सूची (प्रारंभिक आरंभीकरण सूची) कहा जाता है। इस सूची के आधार पर, आंशिक रूप से विकेंद्रीकृत और पूरी तरह से विकेन्द्रीकृत पी 2 पी नेटवर्क प्रतिष्ठित हैं।
आंशिक रूप से विकेन्द्रीकृत पी 2 पी नेटवर्क में पूर्व-ज्ञात सर्वर से बूटस्ट्रैप सूची लोड करना शामिल है। विशेष रूप से, यह कैसे uTorrrent काम करता है। ऐसी प्रणाली में एक कमजोर बिंदु है - यह बूटस्ट्रैप सूची वाले सर्वर तक पहुंच को अवरुद्ध करने के लिए पर्याप्त है। इसलिए, मैलवेयर में, एक पूरी तरह से विकेंद्रीकृत योजना का उपयोग किया जाता है। यह ध्यान दिया जाना चाहिए कि मैलवेयर के संबंध में एक पूरी तरह से विकेन्द्रीकृत पी 2 पी नेटवर्क की अवधारणा का अर्थ है कि वितरण दो चरणों में होगा। पहले चरण में, एक बॉट को एक खाली बूटस्ट्रैप सूची के साथ वितरित किया जाता है, यह समय-समय पर कमांड सेंटर तक पहुंचता है, जो बदले में बॉट के आईपी पते को ठीक करता है। आईपी ​​पते के अलावा, बॉटनेट ऑपरेटर्स यह जानकारी रखने में रुचि रखते हैं कि क्या बॉट एक गेटवे या फ़ायरवॉल के पीछे स्थित है। यदि यह ऐसा नहीं है, तो बॉट एक सुपर पीयर (सुपर पीयर, सुपर नोड) के रूप में कार्य कर सकता है, अर्थात, अन्य पीयर सीधे इससे जुड़े हो सकते हैं। जैसे ही सुपर-पीयर की आवश्यक संख्या एकत्र की जाती है, उनकी सूची को बूटस्ट्रैप सूची में दर्ज किया जाता है, और इसके साथ बॉट का एक नया संस्करण हमलावरों द्वारा फैलाना शुरू कर देता है। वितरण के बाद, सभी बॉट अपने पड़ोसियों के बारे में जानकारी का आदान-प्रदान करते हैं और अपनी खुद की बूटस्ट्रैप सूची बनाते हैं। परिणाम एक पी 2 पी नेटवर्क है। यह निश्चित संख्या में बॉट के लापता होने के लिए प्रतिरोधी है, क्योंकि पड़ोसियों की सूची लगातार बदल रही है। एक्सचेंज के दौरान, बॉट अपने संस्करण के बारे में जानकारी का भी आदान-प्रदान करते हैं। यदि बॉट यह पता लगाता है कि यह "आउट ऑफ डेट" है, तो पड़ोसियों में से एक से एक नया संस्करण डाउनलोड किया जाता है। डाउनलोड करते समय, एक नियम के रूप में, "आपके नहीं" फ़ाइलों के वितरण की संभावना को बाहर करने के लिए फ़ाइल के डिजिटल हस्ताक्षर की जांच की जाती है। इस प्रकार, पी 2 पी में सभी बॉट खुद को अद्यतित रखते हैं। यह उपर्युक्त टू-स्टेज स्कीम के अनुसार है कि स्टॉर्म, सालिटी और ज़ीउस के नवीनतम संस्करण काम करते हैं । पी 2 पी कार्यान्वयन जो वे उपयोग करते हैं, वे Kademlia प्रोटोकॉल पर आधारित हैं। कन्फ़िकर अपने स्वयं के कार्यान्वयन का उपयोग करता है, इसके बारे में सबसे दिलचस्प बात यह है कि इसकी बूटस्ट्रैप सूची शुरू में खाली है, यह अपने पड़ोसियों को अन्य पते स्कैन करके पता लगाता है। अपनी विशेषताओं के संबंध में, कन्फ़िकर मालवेयर लिखने में नवीनतम तकनीकों को विकसित करने के एक साधन की याद दिलाता है, केवल दूसरे बॉट की तुलना में।

सारांशित करते हुए, हम यह निष्कर्ष निकाल सकते हैं कि आधुनिक मैलवेयर के निर्माता अपने मैलवेयर की उत्तरजीविता सुनिश्चित करने के बारे में काफी गंभीर हैं। इसके अलावा, एक प्रवृत्ति है कि एंटीवायरस कंपनियां वास्तव में इस दौड़ में हार जाती हैं। पी 2 पी और ईडीएस का उपयोग व्यावहारिक रूप से बॉटनेट के साथ "सौदा" करने का मौका नहीं देता है।