Leo's BlogOS

Oι ερευνητές ασφάλειας της Kaspersky σήμαναν συναγερμό για την ύπαρξη ενός νέου botnet το οποίο είναι σχεδόν άτρωτο, όπως χαρακτηριστικά το αποκαλεί ο Sergey Golovanov, στέλεχος της εταιρείας. Το νέο botnet με την ονομασία TDL-4 αποτελεί την τέταρτη γενιά του γνωστού από το 2008 botnet ΤDL και έχει μολύνει, σύμφωνα με τα στοιχεία του πρώτου τριμήνου του 2011, 4.5 εκατομμύρια υπολογιστές Windows.
“Δεν θα έλεγα πως είναι απολύτως άτρωτο, αλλά πως είναι αρκετά άτρωτο”, δήλωσε ο Joe Stewart από την εταιρεία Dell SecureWorks, γνωστός και ως ειδικός σε θέματα botnet.

“Είναι πολύ αποτελεσματικό στο να συντηρεί τον εαυτό του.”
Συνημμένο Αρχείο 89049Τόσο ο Sergey Golovanov όσο και ο Joe Stewart βγάζουν τα συμπεράσματα τους από την τρομακτική δυσκολία που αντιμετώπισαν προκειμένου να εντοπίσουν, να σβήσουν ή να το απενεργοποιήσουν. Το TDL-4 προσβάλει με κατάλληλο rootkit το MBR (master boot record) του υπολογιστή. To ΜΒR αποτελεί το πρώτο sector του σκληρού δίσκου (sector 0), εκεί όπου υπάρχει ο κώδικας για την αρχική εκκίνηση του λειτουργικού συστήματος μετά τους πρώτους ελέγχους του BIOS. Aκριβώς επειδή το TDL-4 εγκαθιστά το rootkit στο MBR είναι πλέον αόρατο από το λειτουργικό σύστημα ή ακόμα χειρότερα από το λογισμικό προστασίας του υπολογιστή. Όμως δεν είναι αυτό το φοβερό μυστικό του TDL-4.

Aυτό που πραγματικά το κάνει άτρωτο είναι ο συνδυασμός της κρυπτογράφησης και της χρήσης δημοσίων δικτύων P2P για τον χειρισμό του από command-and-control (C&C) servers.
“Ο τρόπος με τον οποίο η μεθοδολογία peer-to-peer χρησιμοποιείται στην περίπτωση του TDL-4, το κάνει πολύ δύσκολο να τερματιστεί η λειτουργία του”, δηλώνει ο Roel Schouwenberg, ο οποίος έχει μεγάλη πείρα σε θέματα καταστροφής botnets.

More »