Эксперты из Click Forensics обнаружили и всесторонне изучили ботнет, помогающий своим "пастухам" зарабатывать деньги за счёт файльшивых рекламных кликов. Специалисты считают, что этот ботнет напрямую связан с недавней серией атак с рекламой лже-антивирусов, которая, в частности, задела пользователей сайта The New York Times (NYT). Считается, что клик-ботнет контролируется некими гарными украинскими хлопцами.

В Click Forensics отмечают, что деятельность этого ботнета и раньше попадала в поле зрения экспертов по безопасности, однако настаивают, что полная картина стала известна лишь недавно благодаря усилиям антикликинговой компании. Картина эта выглядит следующим образом.

Хакеры проталкивают троянскую программу на компьютеры пользователей через рекламу на легитимных сайтах. В случае с NYT они честно разместили вполне порядочную рекламу на сайте издания, представившись VoIP-провайдером Vonage, однако на прошлых выходных сменили её на агрессивный popup.

Выскакивающие окна запугивали пользователей сообщениями о том, что их компьютер заражен, и предлагали закачать "антивирусную" программу. С лже-антивирусом на компьютеры наивных юзеров попадал вредоносный код, делавший их частью ботнета.

Зараженные машины накручивают клики двумя различными способами. Первый из них состоит в том, что троянец умеет перехватывать реальные поисковые запросы пользователей (на видео, подготовленном в Click Forensics, демонстрируется перехват запросов к Google и Yahoo!). Реальный клик мышкой по ссылке из результатов поиска прогоняется через серию рекламных сервисов, при этом в качестве рекламных партнёров используется большая база паркованных доменов.

Этот подход позволяет генерировать "естественные" клики по рекламе. При этом злоумышленники формируют базу пользовательских поисковых запросов, которая используется ими для накрутки кликов без участия человека.

Учитывая, что фальшивые клики производятся с помощью большого количества зомби-компьютеров, обнаружить подделку также довольно непросто. Однако специалистам Click Forensics это всё-таки удалось, благодаря разработанным ими "алгоритмам обнаружения аномалий" и тесному сотрудничеству с рекламщиками.

"Это одна из наиболее сложных схем, какие мы когда-либо видели, — говорит глава Click Forensics Пол Пелман (Paul Pellman). — Ботнет эффективно маскирует свои мошеннические действия под "хороший трафик", изменяя интервал и широту атак при помощи легиона зараженных машин".

Связь между атакой на читателей NYT и украинскими хакерами отметил независимый эксперт Данчо Данчев. Он уже довольно давно наблюдает за действиями этих злоумышленников и называет их "своим украинским фан-клубом" (с некоторых пор хакеры, зная об интересе Данчева, стали использовать в своих схемах доменные имена и названия скриптов с его фамилией).

Несмотря на связь с Украиной, в Click Forensics назвали этот ботнет "Багамским". Причина довольно прозаична: изначально большинство паркованных доменов, участвовавших в накрутке кликов, вели на компьютеры, расположенные на Багамах. Можно предположить, что Багамские острова являются голубой мечтой детства украинских хакеров.

В Click Forensics утверждают, что из 20 популярных антивирусов только один сумел распознать клик-трояна как вредонос, но не уточняют какой именно. Компания связалась с ведущими разработчиками антивирусного ПО, с тем чтобы помочь им вычистить заразу с пользовательских машин, а также с рекламными компаниями, чтобы те могли эффективнее фильтровать фальшивые клики.