Кто-то это всё-таки сделал

[vitus_wagner]

http://www.bbc.co.uk/news/technology-21860360
Реализовали ботнет, который кликает по баннерам. Правда, криво. Оно создавало избыточную нагрузку на пользовательские компьютеры, падало и в общем оказалось замеченным.

Тоньше надо работать, тоньше.

Нужно кликать по баннерам на тех сайтах, которые посещает пользователь, и нужно лучше маскировать канал управления ботнетом.
Чтобы анализ траффика зараженного компьютера не выявлял никаких особенностей поведения, и чтобы сам пользователь не замечал увеличения нагрузки.

Comments

[poor-sysadm.livejournal.com]

Кстати, нет ли ещё вируса, который прикрывал бы какие-нибудь забытые микрософтом баги, так чтобы после лечения антивирусом компьютер начинал бы работать ХУЖЕ?

[qkowlew.livejournal.com]

В моей практике таких было минимум два.
Один - в Windows 3.11 насильно запускал smartdrv.exe, если тот не был запущен, и подменял в памяти кусок его кода на свой.

В результате антивирусы его не видели в файлах, однако получившийся код кеширования диска (заиимствованный, судя по многим признакам, из старого досовского лантастика) был эффективнее оригинального. Субъективная скорость работы возрастала существенно.

Второй попавшийся сравнительно недавно:

помимо прочего функционала, служил локальным прокси-сервером, подменяющим баннерную рекламу на сайтах и в рекламных окошках ICQ своей собственной. Так как блоки собственной рекламы он распространял среди экземпляров себя по p2p логике и "заранее", трафик на заражённой машине заметно уменьшался, а скорость работы интернета заметно возрастала

Демаскировало его то, что он принимал за баннер какие-нибудь элементы интефейса очередного сайта. :)

[oledestin.livejournal.com]

Epic win.

[ziavra.livejournal.com]

Примечательно, что, попав на машину жертвы, Conficker устанавливает патч для уязвимости MS08-067. Однако в данном случае червь заботится вовсе не о владельце компьютера — просто таким образом Conficker закрывает лазейку для других вредоносных программ, которые могут помешать его работе. (http://www.infosecurity.ru/_gazeta/content/090213/art4.shtml)

на самом деле, он там как-то хитро патчит, т.е. от остальных дыру закрывает, а свои копии узнаёт и устанавливает соединение.
http://www.symantec.com/connect/blogs/downadup-peer-peer-payload-distribution