En estos días hemos leído en los medios todo tipo información sobre una botnet indestructible que supuestamente ha dejado a todos los expertos del mundo «con la boca abierta» (frase que han empleado en muchos artículos). En este caso concreto, ¿qué significa eso de indestructible?, porque puede llegar a confundir y asustar al usuario: ¿significa que no podré eliminarlo nunca de mi sistema? ¿Significa que nadie podrá eliminar nunca la botnet? Vamos a intentar aclarar por qué se ha llegado a esta conclusión, y si es cierta o no.
Kaspersky ha hecho sonar la alarma. TDL4 era la evolución de TDL (nacida en 2007). Esta nueva versión contaba con 4.5 millones de sistemas infectados, y dispone de recursos muy avanzados para permanecer en el sistema infectado. Cabe destacar que se trata de una botnet destinada a crear fraudes por «click» en publicidad. Sus principales características que destacaba el artículo son:
Nueva con … ¡4.5 millones de víctimas!
Parece que ya se sabía que la versión 4 estaba activa desde mediados de 2010. ¿4.5 millones de zombis es mucho? Desde el artículo de abuse.ch, llamado How big is big? Se especula sobre la dimensión de ciertas botnets. La verdad es que TDL es de las más grandes, llegando a captar 90.000 direcciones IPs únicas infectadas en 24 horas. Realmente, hoy en día lo complicado no es infectar sistemas o conseguir un gran número de víctimas, sino capitalizar esa legión y sacar buen partido de ella. Conficker, un gusano de finales de 2009 del que realmente no se sabía muy bien qué objetivo perseguía, consiguió 15 millones de sistemas infectados. La botnet Mariposa, destapada por Panda a mediados de 2010 (y operada desde España), consiguió 13 millones.
Comunicación cifrada entre servidor de control de la botnet y el cliente infectado
Con este método, el troyano consigue eludir los IDS y otros métodos para bloquear el tráfico de red que genera el malware. Estas características ya las usaba Zbot desde 2007. El atacante, a la hora de configurar la botnet, elige una contraseña con la que se cifra el tráfico de red. Es como establecer conexiones SSL entre víctima y sistema de control del atacante. Realmente, no es novedad.
Explotar al máximo el beneficio: Vender la versión previa
Los creadores vendieron a finales del año pasado el código fuente de la versión 3 de la botnet TDL a otros atacantes. ¿Por qué? Porque la versión 4 ya la tenían desarrollada, y era lo suficientemente diferente a su versión previa para no tener que preocuparse. Esto ya ocurrió también con Zeus. Se puso a la venta al mejor postor a principios de año el código fuente de la versión 2, y se abandonó el proyecto. Esto ocurría justo cuando se rumoreaba que los creadores de Zeus se unían a los de Spyeye.
Infectar a nivel de MBR
Esta es una de las características por las que se le ha apodado como «indestructible». Este dato es bastante inexacto. Master Boot Record es el primer sector del disco duro. Ahí es donde acude el ordenador a conocer la tabla de particiones y saber con qué sistema operativo arrancar. El MBR está compuesto por la Master Partition Table y el Master Boot Code. La primera contiene la descripción de las hasta cuatro particiones primarias que puede contener un disco y cuál está activa. El segundo (440 bytes) es el código al que acude la BIOS cuando ya sabe en qué disco físico buscar el sistema operativo. Este código localizará la partición de arranque en su tabla de particiones, y si la encuentra, su sector se cargará en la conocida dirección de memoria 0000:7C00 para lanzar por fin el «kernel loader» (en el caso de Windows, el NTLDR). Modificando estos valores, el malware toma el control, y el sistema operativo arrancará bajo las condiciones que imponga el malware. O sea, le ataca desde el nivel más bajo y efectivo.
Malware a nivel de MBR se conoce desde hace tiempo. Si nos centramos en botnets, la familia Sinowal de 2007, ya usaba infección por MBR para sobrevivir al formateo del ordenador.
¿Indestructible por esto? Lo hace mucho más complicado, es cierto, pero no tanto. Sin ir más lejos, Kasperksy ofrece herramientas gratuitas para limpiar este malware totalmente. O cualquier herramienta que permita crear particiones podría eliminar la referencia en el MBR.
Seguiremos en la siguiente entrega estudiando las características de esta botnet.
ssantos@hispasec.com
Twitter: @ssantosv
Más información:
TDL4 ? Top Bot
http://www.securelist.com/en/analysis/204792180/TDL4_Top_Bot
Deja un comentario