211service.com
Det meste af malware er knyttet til 'Pay-Per-Install'-markedet
Ny forskning tyder på, at størstedelen af personlige computere, der er inficeret med ondsindet software, kan være ankommet til denne tilstand takket være et travlt underjordisk marked, der matcher kriminelle bander, der betaler for malware-installationer, med driftige hackere, der ønsker at sælge adgang til kompromitterede pc'er.
Pay-per-install (PPI)-tjenester annonceres på skyggefulde underjordiske webfora. Klienter sender deres malware – en spambot, falsk antivirussoftware eller adgangskodestjælende trojaner – til PPI-tjenesten, som igen opkræver satser fra $7 til $180 pr. tusinde vellykkede installationer, afhængigt af den ønskede geografiske placering af de ønskede ofre.
PPI-tjenesterne tiltrækker også iværksætter-malware-distributører eller tilknyttede selskaber, hackere, der har til opgave at finde ud af, hvordan man installerer malwaren på ofrenes maskiner. Typiske installationsordninger involverer upload af plettede programmer til offentlige fildelingsnetværk; hacking af legitime websteder for automatisk at downloade filerne til besøgende; og stille og roligt køre programmerne på pc'er, de allerede har kompromitteret. Tilknyttede selskaber krediteres kun for vellykkede installationer via en unik og statisk affiliate-kode, der er sat ind i installationsprogrammerne og kommunikeret tilbage til PPI-tjenesten efter hver installation.
I en nyt papir forskere fra University of California, Berkeley og Madrid Institute for Advanced Studies in Software Development Technologies beskriver infiltration af fire konkurrerende PPI-tjenester i august 2010 ved i det skjulte at kapre flere tilknyttede konti. Holdet byggede et automatiseret system til regelmæssigt at downloade de installatører, der bliver presset af de forskellige PPI-tjenester.
Forskerne analyserede mere end en million installatører, der tilbydes af PPI-tjenester. Denne analyse førte til en opsigtsvækkende opdagelse: Af verdens 20 mest populære typer af malware brugte 12 PPI-tjenester til at købe infektioner.
Når jeg gik ind i denne undersøgelse, satte jeg ikke pris på, at PPI potentielt er den bedste vektor for dårligdom derude, sagde Vern Paxson , lektor i elektroteknik og datalogi ved UC Berkeley. Nu har vi en fornemmelse af, at botnets potentielt er millioner [af dollars] værd om året, fordi de giver ondsindede mulighed for at outsource den globale udbredelse af deres malware.
Forskerne satte sig for at kortlægge den geografiske fordeling af malware, der presses af disse tjenester, så de udtænkte en automatiseret måde at downloade installatører på. De brugte tjenester som Amazons EC2 cloud computing-platform og Tor, en gratis tjeneste, der lader brugere kommunikere anonymt ved at dirigere deres forbindelser gennem flere computere rundt om i verden, for at narre programmet, der betaler pr. installation, til at tro, at anmodninger kom fra steder omkring jordkloden.
Systemet klassificerede den indsamlede malware efter type netværkstrafik, hver prøve genereret, når den blev kørt på et testsystem. Forskerne sagde, at de tog forholdsregler for at forhindre tilknyttede konti i at blive krediteret med testinstallationerne.
Analysen af PPI-tjenesterne indikerer, at de oftest er målrettet mod pc'er i Europa og USA. Disse regioner er rigere end de fleste andre og tilbyder affilierede de højeste priser pr. installation.
Men forskerne antager, at der er faktorer ud over prisen, der kan påvirke en PPI-kundes valg af land. For eksempel kræver en spambot som Rustock lidt mere end en unik internetadresse for at sende spam, hvorimod falsk antivirussoftware er afhængig af ofret til at foretage en kreditkort- eller bankbetaling og derfor muligvis skal understøtte flere sprog eller købsmetoder.
Holdet fandt også ud af, at PPI-programmer næsten altid installerede bots, der engagerer inficerede systemer i en række forskellige kliksvindelordninger, der involverer svigagtige eller automatiserede klik på annoncer for falsk at generere annonceindtægter.
Et uventet fund kan være med til at forklare, hvorfor pc'er, der er inficeret med én type malware, ofte hurtigt hænger sammen med flere infektioner: Downloadere, der er en del af én ordning, henter ofte downloadere fra en anden. Med andre ord optræder tilknyttede selskaber fra én PPI-tjeneste nogle gange selv som kunder af andre tjenester. Som følge heraf vil mange af de installatører, der presses af tilknyttede selskaber, overvælde modtager-pc'er med mange typer ondsindet software.
Vi spekulerer i, at nogle af disse multi-PPI-service associerede selskaber er arbitragører, der forsøger at drage fordel af prisforskelle mellem de (højere) installationsrater, der betales til associerede selskaber for en tjeneste for en geografisk region versus de (lavere) installationssatser, der opkræves til kunder af en anden PPI-tjeneste, skrev forskerne.
Denne dynamik giver PPI-markedet en iboende interessekonflikt, der skader både kunder og tilknyttede selskaber: Jo flere installationer en affiliate leverer, jo større er betalingen modtaget. Men jo mere malware er installeret, jo større er sandsynligheden for, at ejeren af et inficeret system vil bemærke et problem og tage skridt til at udrydde malwaren.
PPI-tjenester har ildevarslende konsekvenser for en koordineret indsats for at lukke botnets. I de seneste måneder har sikkerhedsforskere, internetudbydere og retshåndhævende myndigheder arbejdet sammen om at afmontere nogle af verdens største botnets. I marts gik Microsoft for eksempel sammen med sikkerhedsfirmaer for at lamme Rustock-botnettet, længe et af de mest aktive spam-botnet på planeten.
Berkeley-forskerne hævder, at selvom forsvarere kan rydde op i et botnet - ved at kapre dets kontrolservere og endda fjerndesinficere pc'er - kan controlleren på det botnet genopbygge det ved at foretage beskedne betalinger til en eller flere PPI-tjenester.
På dagens marked koster hele processen øre pr. målvært - billigt nok til, at botmastere simpelthen kan genopbygge deres rækker fra bunden over for forsvarere, der lancerer omfattende, energiske nedtagningsbestræbelser, skrev forskerne.