Botnetwebs không chỉ cho phép kẻ lừa đảo gửi spam hoặc phần mềm độc hại tới hàng triệu PC cùng một lúc. Họ cũng đại diện cho một nhiễm trùng rất đàn hồi sử dụng nhiều tập tin. Một nỗ lực khử trùng có thể loại bỏ một số tập tin, nhưng những người bị bỏ lại phía sau sẽ thường xuyên tải xuống các tập tin được dọn dẹp.

botnetweb

. "Đây là những người được tổ chức hoạt động dưới hình thức một doanh nghiệp tinh vi."

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows của bạn] Bạn cào lưng của tôi… Trong quá khứ, cạnh tranh giữa phần mềm độc hại các nhà văn đôi khi có nghĩa là một nhiễm trùng có thể săn lùng nhiễm trùng của đối thủ trên một máy và sau đó loại bỏ nó. Gần đây, sâu Conficker chú ý đã vá lỗ hổng Windows mà nó khai thác để lây nhiễm các máy, đóng cửa một cách hiệu quả để ngăn ngừa nhiễm trùng bởi các phần mềm độc hại khác.

FireEye tìm thấy bằng chứng không cạnh tranh, nhưng hợp tác và phối hợp giữa spam botnet, đại diện cho một sự thay đổi lớn về cách thức hoạt động của phần mềm độc hại. Công ty đã điều tra các máy chủ điều khiển và lệnh (C & C) được sử dụng để gửi các đơn đặt hàng đến các bot, có thể bao gồm việc chuyển tiếp spam hoặc tải xuống các tệp độc hại bổ sung. Trong trường hợp của các botnet Pushdo, Rustock và Srizbi, nó phát hiện ra rằng các máy chủ C & C ở phần đầu của mỗi botnet đều nằm trong cùng một cơ sở lưu trữ; địa chỉ IP được sử dụng cho các máy chủ cũng nằm trong cùng phạm vi.

Một Botnetweb Đó là hàng triệu PC mạnh

Nhiều bằng chứng về botnetwebs đến từ Finjan, một công ty thiết bị an ninh mạng ở California. Finjan báo cáo việc tìm kiếm một máy chủ C & C có khả năng gửi thư rác, phần mềm độc hại hoặc các lệnh điều khiển từ xa đến 1,9 triệu chương trình.

Máy chủ C & C có sáu tài khoản quản trị viên, cộng với một bộ nhớ cache của các chương trình bẩn. Ophir Shalitin, giám đốc tiếp thị của Finjan, cho biết Finjan không biết chương trình nào có thể đã lây nhiễm cho PC nào - hoặc quan trọng hơn, phần mềm độc hại nào gây nhiễm trùng ban đầu. Công ty đã truy tìm địa chỉ IP của máy chủ C & C đến Ukraina và tìm thấy bằng chứng cho thấy tài nguyên botnet đã được thuê với giá 100 USD / 1000 bot mỗi ngày.

Theo Alex Lanstein, một nhà nghiên cứu bảo mật cao cấp của FireEye. botnet cung cấp cho kẻ xấu nhiều lợi thế. Nếu thực thi pháp luật hoặc một công ty bảo mật đã tắt máy chủ C & C cho bất kỳ botnet nào, kẻ lừa đảo vẫn có thể kiếm được lợi nhuận từ các botnet còn sống.

Việc tạo ra các botnet này thường bắt đầu bằng phần mềm độc hại "dropper". "plain-Jane, kỹ thuật vani" và không có mã hóa lạ hoặc hành động nào có thể làm tăng cờ đỏ cho các ứng dụng diệt vi-rút. Khi một dropper vào PC (thường là thông qua một ổ đĩa tải về hoặc một tập tin đính kèm e-mail), nó có thể kéo vào một con ngựa Trojan, chẳng hạn như phần mềm độc hại Hexzone được gửi bởi máy chủ Finjan tìm thấy. Biến thể Hexzone ban đầu được phát hiện bởi chỉ có 4 trong số 39 công cụ diệt virus tại VirusTotal.

Whack-a-Mole Disinfection

Và những ngày này, nhiều tệp phần mềm độc hại thường có liên quan, khiến người xâm nhập trở nên kiên cường hơn nhiều Trong một nỗ lực quan sát để làm sạch con ngựa Trojan Zeus bởi RogueRemover của Malwarebyte, mà Lanstein nói là một disinfector thường có khả năng, RogueRemover tìm thấy một số nhưng không phải tất cả các tập tin. Sau một vài phút, Lanstein nói, một trong những tệp còn sót lại được liên lạc với máy chủ C & C của nó và tải xuống nhanh chóng các tệp đã xóa.

Randy Abrams, giám đốc giáo dục kỹ thuật với nhà sản xuất phần mềm chống virus Eset cho biết: “Tỷ lệ làm sạch tất cả chỉ bằng cách chạy một công cụ chống vi-rút đã được kiểm duyệt. Abrams, Lanstein và các chuyên gia bảo mật khác nhấn mạnh rằng nếu phần mềm chống vi-rút của bạn "loại bỏ" sự lây nhiễm, bạn không nên giả định phần mềm độc hại đã biến mất. Bạn có thể thử tải xuống và chạy các công cụ bổ sung, như RogueRemover. Những người khác, như HijackThis hoặc SysInspector của Eset, sẽ phân tích máy tính của bạn và tạo nhật ký để bạn đăng tại các trang web như Bleeping Computer, nơi những người tình nguyện có kinh nghiệm đưa ra lời khuyên phù hợp. ngay từ đầu. Cài đặt bản cập nhật để đóng các lỗ mà các trang web theo từng trang tải xuống có thể khai thác - không chỉ trong Windows, mà còn trong các ứng dụng như Adobe Reader. Và để bảo vệ chống lại các tệp đính kèm e-mail bị nhiễm độc hoặc các tệp khác, không mở bất kỳ tệp đính kèm hoặc tải xuống không mong muốn nào; chạy bất cứ thứ gì bạn không chắc chắn thông qua VirusTotal, cùng một trang quét miễn phí mà nhiều chuyên gia sử dụng.