Думаю, что руткит TDSS (TDL, Alureon, Tidserv.....) не нуждается в специальном представлении. По статистике антивирусной лаборатории Microsoft, TDSS (в их нотации - Alureon) на третьем месте по числу вылеченных машин в апреле. Ботнет на основе TDSS входит в TOP10 крупнейших ботнетов в мире. По нашим данным, цифра "1,5 млн" зараженных машин только в US сильно занижена. 

Как же удалось этому ботнету быстро (всего за год-полтора) и бесшумно разрастись до такого масштаба? Секрет прост: ставка на обход антивирусов и новые технологии. Еще один фактор успеха этого ботнета - продуманная партнерская схема распространения ботов, но это тема для отдельного обсуждения.

Для начала - небольшая иллюстрация к вышеупомянутому секрету.

На этой диаграмме отображена статистика по антивирусам, установленных на машинах пользователей одновременно с заражением TDSS. Статистика собрана утилитой TDSS Remover. Подробности об исходных данных для этой диаграммы - в моем блоге (на англ.)

Теперь о технологиях. Обход защиты - более простая задача, чем кажется на первый взгляд. С момента создания TDSS его разработчики успешно и с неизменной оригинальностью решают эту задачу: по мере того, как антивирусы обновляются - обновляются и технологии бота.

Первые экземпляры TDSS использовали системный механизм пред-загрузки часто используемых системных библиотек (KnownDLLs) не только для обхода активной антивирусной защиты на этапе инсталляции, но и для обхода фаервола, что обеспечивалось выполнением кода в контексте доверенного процесса.

С тех же времен и по сей день использовалась другая техника обхода - загрузка вредоносной библиотеки под видом модуля диспетчера печати. Возможно ли предусмотреть подобные ходы при разработке защиты?  

В конце прошлого года руткит радикально обновился: теперь его инсталляция, автозагрузка и, отчасти, защита от антивирусов обеспечивается заражением системных драйверов. При этом основное тело бота не существует в виде отдельного файла, а хранится в последних секторах диска, в собственной файловой системе. 

Недавно (апрель 2010) вышла новая версия бота (3.273). После чего антивирусы и специализированные утилиты-лечилки, как всегда, оказались в ауте. Перечислю основные нововведения в этой версии.

1. Для обхода антивирусов теперь используется функция AddPrintProvidor - вместо AddPrintProcessor, которую HIPS и проактивные антивирусы научились блокировать.

2. Руткит начал фильтровать IRP коммуникации с устройствами SCSI, используемые некоторыми утилитами-лечилками и, таким образом, обошел последние.

3. Изменился механизм заражения системных драйверов. В частности, теперь заражается случайный драйвер - вместо целенаправленного заражения atapi.sys/iastor.sys, как было в предыдущей версии руткита. Тело инфектора теперь зашифровано.

Внесены некоторые другие изменения, что более детально описано в нашем блоге. 

Такова реальность на сегодняшний день. А каков ваш опыт? Доводилось ли сталкиваться с заражением системы в обход антивирусов? С использованием новых технологий для обеспечения эффективной атаки?