Tdss: самый мощный руткит современности - в деталях

Компания «Лаборатория Касперского» исследовала TDSS - это руткит, являющийся на сегодняшний день самым мощным и сложным представителем данного класса вредоносных программ. Этот зловред может скрывать присутствие в системе любых других вредоносных программ и предоставлять им расширенные возможности в зараженной системе.

Количество ежедневно детектируемых вариантов руткита TDSS и его компонентов (по данным Kaspersky Security Network)
«Лаборатория Касперского» уделяет повышенное внимание проблемам, связанным с детектированием и лечением активного TDSS. В свежей статье экспертов компании Вячеслава Русакова и Сергея Голованова рассказывается о руткит-технологиях, реализованных в TDSS, методах его распространения и о том, как злоумышленники наживаются с помощью этого руткита.

TDSS взял на вооружение функцию заражения драйверов, которые обеспечивают его загрузку и работу на самых ранних этапах старта ОС. Как следствие, идентификация руткита TDSS в системе является серьезной проблемой, а его лечение - нелегкой задачей.

Распространяется TDSS через партнерскую программу с привлечением любых возможных средств доставки вредоносного кода на компьютеры пользователей и атакует ПК по всему миру. Общее количество зараженных руткитом машин оценивается в 3 миллиона. Деньги пособники авторов TDSS получают в зависимости от числа заражений и локализации инфицированных машин. Дороже всего киберпреступники оценивают зараженные компьютеры на территории США, так что не удивительно, что около половины зомби-компьютеров под управлением TDSS находится в этой стране.

Сегодня на черном рынке можно найти ботнеты под управлением TDSS - как правило, это зомби-сети, состоящие примерно из 20 тыс. зараженных компьютеров. Административные панели ботнетов расположены в Китае, Люксембурге, Гонконге, Голландии и России. Руткит обладает широкими возможностями, и его использование зависит только от пожеланий авторов, задач арендаторов или покупателей ботнета, построенного на этой вредоносной программе.

За время наблюдений экспертов за одним из ботнетов, созданных на основе TDSS, на него загружались и спам-боты, и фальшивые антивирусы, и троянцы для кражи персональных данных. На начало июня TDSS, инфицировавший компьютеры в исследуемых ботнетах, распространяли около 2000 «партнеров». Для заражения злоумышленники использовали фальшивые кодеки, которые требовалось установить якобы для просмотра видео на неком сайте, генераторы ключей для популярных программ вместе с которыми загружался руткит, различные наборы эксплойтов и т.д.

Как отмечает «Лаборатория Касперского», TDSS - крайне опасная и технологически сложная вредоносная программа. Анализ TDSS позволил предположить, что его создатели русские или, по крайней мере, русскоговорящие. Авторы зловреда следят за разработками антивирусных компаний и мгновенно реагируют, выпуская новую исправленную версию руткита. Поэтому в ближайшее время следует ожидать изменения руткит-функционала в сторону большего противодействия анти-руткит технологиям.

С полной версией статьи о TDSS можно ознакомиться на сайте компании.

Ранее редакция THG отметила, что сложно противостоять огромной армии сетевых злоумышленников, вирусописателей и кибер-мошенников. Но компании «Лаборатория Касперского» это с успехом удаётся. Её антивирусы и комплексные продукты для организации защиты домашних и корпоративных сетей уже получили признание огромного количества пользователей по всему миру. В нашей лаборатории оказался продукт Kaspersky CRYSTAL, предназначенный для домашних пользователей и в то же время обладающий мощным функционалом, который придётся по вкусу продвинутым пользователям.