Microsoft провела исследование кода Nitol

Корпорация Microsoft провела анализ исходного кода ботнета Nitol, работа которого была недавно прекращена в рамках операции Operation b70. Напомним, что в ходе этой операции сотрудники компании раскрыли схему, при которой злоумышленники распространяют вирус еще на стадии производства компьютеров, и некоторые покупатели в Китае приобретали технику с предустановленным клиентом ботнета.

Анализ экспертов указал, что семейство вирусов Nitol, скорее всего, является частью общего класса инструментов DDoS. Многие варианты этого вируса содержат элементы, скопированные из других вредоносных программ, используемых для организации распределенных атак отказа в обслуживании.

Большая часть обнаруженных в ходе исследования модификаций Nitol содержит два основных компонента: исполняемый загрузчик и компонент библиотеки. При выполнении на системе загрузчик устанавливает DLL, в большинстве случаев извлекая его из собственных ресурсов, и устанавливает его в виде службы или драйвера. Некоторые модули библиотек запускаются сразу после установки путем вызова основной функции DLL из выполняемого компонента, а некоторые запускаются только после перезагрузки.

После запуска компонент библиотеки создает поток и действует как сервер, связываясь с командным (C&C) сервером. Адрес этого сервера обычно записан в файле загрузчика, и в 50% случаев вирусы семейства Nitol подключаются к поддомену 3322.org, который был отключен Microsoft в рамках Operation b70. C&C обычно получают от нового участника ботсети такую информацию, как версия операционной системы, мощность процессора, объем оперативной памяти, а также географическое расположение зараженной машины.

Оператор ботнета может атаковать определенный web-ресурс, используя такие методы DDoS, как SYN-, UDP-, TCP-, HTTP- и ICMP-флуд. Для синхронизации нескольких ботнетов оператор использует простой токен. Также злоумышленник может перевести весь ботнет в «спящий режим», при котором проведение DDoS-атак невозможно.

Помимо проведения DDoS атак Nitol позволяет владельцам ботнета также загружать и выполнять дополнительное программное обеспечение и открывать web-страницы с помощью Internet Explorer. Вирусописатели также позаботились о механизме самоуничтожения, при котором по команде C&C сервера клиент Nitol удаляется с системы.

С исследованием Microsoft можно ознакомиться здесь.