211service.com
La maggior parte dei malware legati al mercato 'Pay-Per-Install'
Una nuova ricerca suggerisce che la maggior parte dei personal computer infettati da software dannoso potrebbe essere arrivata in quello stato grazie a un vivace mercato sotterraneo che abbina bande criminali che pagano per installazioni di malware con hacker intraprendenti che cercano di vendere l'accesso a PC compromessi.
I servizi pay-per-install (PPI) sono pubblicizzati su loschi forum Web sotterranei. I clienti inviano il loro malware (uno spambot, un falso software antivirus o un Trojan che ruba password) al servizio PPI, che a sua volta addebita tariffe da $ 7 a $ 180 per mille installazioni riuscite, a seconda della posizione geografica richiesta delle vittime desiderate.
I servizi PPI attirano anche distributori di malware imprenditoriali, o affiliati, hacker che hanno il compito di capire come installare il malware sui computer delle vittime. Gli schemi di installazione tipici prevedono il caricamento di programmi contaminati su reti pubbliche di condivisione file; hacking di siti Web legittimi per scaricare automaticamente i file sui visitatori; ed eseguire silenziosamente i programmi sui PC che hanno già compromesso. Gli affiliati vengono accreditati solo per le installazioni riuscite, tramite un codice di affiliazione univoco e statico inserito nei programmi di installazione e comunicato al servizio PPI dopo ogni installazione.
In un nuovo documento ricercatori dell'Università della California, Berkeley, e del Madrid Institute for Advanced Studies in Software Development Technologies descrivono l'infiltrazione in quattro servizi PPI concorrenti nell'agosto 2010, dirottando surrettiziamente più account affiliati. Il team ha creato un sistema automatizzato per scaricare regolarmente i programmi di installazione inviati dai diversi servizi PPI.
I ricercatori hanno analizzato più di un milione di installatori offerti dai servizi PPI. Quell'analisi ha portato a una scoperta sorprendente: dei 20 principali tipi di malware al mondo, 12 hanno utilizzato servizi PPI per acquistare infezioni.
Entrando in questo studio, non ho apprezzato il fatto che il PPI sia potenzialmente il vettore numero uno per la cattiveria là fuori, ha detto Vern Paxson , professore associato di ingegneria elettrica e informatica alla UC Berkeley. Ora abbiamo la sensazione che le botnet valgano potenzialmente milioni [di dollari] all'anno, perché forniscono ai malintenzionati un mezzo per esternalizzare la diffusione globale del loro malware.
I ricercatori hanno deciso di mappare la distribuzione geografica del malware spinto da questi servizi, quindi hanno ideato un modo automatizzato per scaricare i programmi di installazione. Hanno usato servizi come la piattaforma di cloud computing EC2 di Amazon e Tor, un servizio gratuito che consente agli utenti di comunicare in modo anonimo instradando le loro connessioni attraverso più computer in tutto il mondo, per ingannare il programma pay-per-install facendogli credere che le richieste provenissero da località intorno il globo.
Il sistema ha classificato il malware raccolto in base al tipo di traffico di rete generato da ciascun campione durante l'esecuzione su un sistema di test. I ricercatori hanno affermato di aver preso precauzioni per impedire che gli account affiliati venissero accreditati con le installazioni di test.
L'analisi dei servizi PPI indica che si rivolgono più frequentemente ai PC in Europa e negli Stati Uniti. Queste regioni sono più ricche della maggior parte delle altre e offrono agli affiliati le tariffe per installazione più elevate.
Ma i ricercatori ipotizzano che ci siano fattori oltre al prezzo che possono influenzare la scelta del paese di un cliente PPI. Ad esempio, uno spambot come Rustock richiede poco più di un indirizzo Internet univoco per inviare spam, mentre il software antivirus fasullo si affida alla vittima per effettuare una carta di credito o un pagamento bancario e quindi potrebbe dover supportare più lingue o metodi di acquisto.
Il team ha anche scoperto che i programmi PPI installano quasi sempre bot che coinvolgono sistemi infetti in una varietà di schemi di frode sui clic, che comportano clic fraudolenti o automatici sugli annunci per generare falsamente entrate pubblicitarie.
Una scoperta inaspettata può aiutare a spiegare perché i PC infettati da un tipo di malware spesso si impantanano rapidamente con più infezioni: i downloader che fanno parte di uno schema spesso recuperano i downloader da un altro. In altre parole, gli stessi affiliati di un servizio PPI a volte agiscono come clienti di altri servizi. Di conseguenza, molti degli installatori spinti dagli affiliati sommergeranno i PC destinatari con molti tipi di software dannoso.
Ipotizziamo che alcuni di questi affiliati multi-PPI siano arbitraggisti, che cercano di sfruttare i differenziali di prezzo tra i tassi di installazione (più alti) pagati agli affiliati di un servizio per alcune regioni geografiche rispetto ai tassi di installazione (più bassi) addebitati ai clienti di un altro servizio PPI, hanno scritto i ricercatori.
Questa dinamica conferisce un conflitto di interessi intrinseco al mercato dei PPI che danneggia sia i clienti che gli affiliati: più installazioni fornisce un affiliato, maggiore è il pagamento ricevuto. Ma più malware è installato, maggiore è la probabilità che il proprietario di un sistema infetto noterà un problema e adotterà misure per sradicare il malware.
I servizi PPI hanno implicazioni minacciose per gli sforzi coordinati per chiudere le botnet. Negli ultimi mesi, ricercatori sulla sicurezza, fornitori di servizi Internet e forze dell'ordine hanno collaborato per smantellare alcune delle più grandi botnet del mondo. A marzo, ad esempio, Microsoft ha collaborato con società di sicurezza per paralizzare la botnet Rustock, a lungo una delle botnet di spam più attive del pianeta.
I ricercatori di Berkeley sostengono che anche se i difensori possono ripulire una botnet, dirottando i suoi server di controllo e persino disinfettando in remoto i PC, il controller di quella botnet può ricostruirla effettuando modesti pagamenti a uno o più servizi PPI.
Nel mercato di oggi, l'intero processo costa pochi centesimi per host di destinazione, abbastanza economico da consentire ai botmaster di ricostruire semplicemente i propri ranghi da zero di fronte ai difensori che lanciano sforzi di rimozione estesi ed energici, hanno scritto i ricercatori.