Odkrit nov trdovraten botnet TDL-4

Raziskovalci iz Kaspersky Lab poročajo o novem botnetu, ki ima vrsto naprednih značilnosti, s katerimi se poizkuša čim dlje časa izmuzniti detekciji in otežiti odstranitev ali uničenje, zaradi česar so ga poimenovali "praktično neuničljiv". Pojavlja se pod imeni TDL-4 (tako ga imenuje pisec), TDSS (tako ga imenujejo protivirusni programi) in Alureon.

Ker so botneti vredno veliko denarja, poizkušajo pisci in upravitelji zakriti prisotnost zlobne programske opreme na okuženih računalnikih in omejiti konkurenco. TDL-4 se zato skrije v zagonski sektor diska (MBR). To je prvi sektor diska, ki se prebere ob zagonu računalnika, in v zdravih računalnikih vsebuje le kazalce za začetek zaganjanja operacijskega sistema. Zato se TDL-4 zažene še pred operacijskim sistemom in protivirusnih programom, kar otežuje njegovo detekcijo.

TDL-4 širijo promotorji (affiliates), ki za vsakih 1000 namestitev na osebne računalnike prejmejo od 20 do 200 dolarjev. Namestitev izvedejo s podtikanjem TDL-4 na pornografske spletne strani, spletne strani z ilegalnimi vsebinami in strani z video vsebinami. Ko enkrat računalnike stakne TDL-4, se ta pritaji v zagonski sektor in pazi, da se nanj ne ugnezdi še kakšna druga zla programska oprema. S tem ubije dve muhi na en mah, sej prepreči, da bi se računalnik obnašal čudno, kar bi vzbudilo sume, in hkrati onemogoča konkurenco.

Za komunikacijo TDL-4 uporablja javno P2P-omrežje Kad, prek katerega vrši komunikacijo v šifrirani obliki. Šifrirni ključi so imena domen, do katerih so vzpostavljene povezave, in parametri bsh iz datoteke cfg.ini. Hkrati TDL-4 na okuženih računalnikih vzpostavi posredniško funkcionalnost (proxy server), tako da jih lahko skrbniki ali kupci storitev botneta uporabljajo za anonimno brskanje po internetu.

Samo letos je TDL-4 okužil več kot štiri milijone računalnikov. Največ okuženih je v ZDA, sledijo pa Indija, Indonezija, Velika Britanija, Kanada in Francija, na katere skupno odpade več kot polovica vseh instanc TDL-4.