Orosz kiberbűnözők egy zombihálózat segítségével naponta 3-5 millió dollárt lopnak el amerikai médiavállalatoktól és nagynevű hirdetőktől – áll abban a tegnap kiadott jelentésben, melynek készítői a neves biztonsági szakember, Dan Kaminsky által alapított White Ops kutatócég munkatársai.

[+]
DSP: Demand Side Platform - a hirdetési ügynökségek által használt platform; SSP: Supply Side Platform - a közzétevők, megjelenítők által használt platform

A Methbotnak elnevezett rendszer igen kifinomult, de a csalás lényege viszonylag egyszerű, a kattintás utáni fizető (pay per click) hirdetési rendszert kompromittálják. Ebben a rendszerben a hirdető akkor fizet egy meghatározott összeget a megjelenítőnek, ha egy felhasználó rákattintás után a reklámozott oldalra érkezik (illetve van egy prémium, nagy pénzeket mozgató piac is, ahol a videók megtekintéséért fizetnek). Ebben a rendszerben már eddig is rendszeresen előfordultak visszaélések, ám az oroszok módszere mind minőségében, mind méretében eltér ezektől, melyeket általában malware segítségével hajtanak végre, kártékony kódokat telepítenek gyanútlan felhasználók gépeire.

A kutatók idén szeptemberben figyeltek fel egy botnet által automatizált webes forgalomra, ekkor kezdték vizsgálni a működését, a hátterét. Kiderült, hogy ez egy olyan botnet (ezt C3-nak nevezték el) fejlettebb változata, melyet egy évvel korábban fedeztek fel, és amelyet egy „AFK14”-nek elnevezett orosz kiberbűnözői csoport üzemeltet, akik Dallasban és Amszterdamban található adatközpontokat használnak fel.

Ekkor még viszonylag kis aktivitást tapasztaltak, ám a botnet októbertől kezdve sebességet váltott: hamarosan napi több százmillió lekérést regisztráltak, majd több milliárdot.

Az alaposabb vizsgálat egy igen nagy szakértelemmel és komoly befektetéssel létrehozott rendszert tárt fel. A bűnözők a zombihálózatra építve létrehoztak egy saját hálózatot, ahol látszólag valódi szolgáltatóktól, valódi, regisztrált amerikai címekről érkeznek a lekérések, több mint 500 ezer IP-címet menedzselnek, melyek nem szerepelnek a feketelistákon. Emellett létrehoztak egy saját böngészőt is, hogy még inkább elrejtsék nyomaikat, illetve saját HTTP-könyvtárat is megalkottak. Ezen kívül több olyan módszert is kidolgoztak – pl. az egérmozgás imitálása vagy közösségi oldalak logjainak bemutatása, a földrajzi helyzet hamisítása stb. –, melyek arra utalnak, hogy egy valódi ember nézi a hirdetéseket.

[+]

Ezek segítségével beléptek a hirdetési láncba, és a napi több százmilliós videólekéréssel, melyeket látszólag a valódi megjelenítők felől küldenek a hirdetési ügynökségeknek, óriási bevételhez jutnak, a számítások szerint naponta átlagosan négymillió dollárhoz.