Specjalista od bezpieczeństwa sieciowego Joe Stewart opisał szczegółowo proces, w jakim maszyny dołączają do botnetu: próby połączenia z botnetem są wykonywane poprzez uruchamianie serii plików EXE znajdujących się w danym systemie. Zazwyczaj nazywane są jak ciąg od game0.exe do game5.exe lub podobnie, i wykonują następujące czynnościStewart, Joe. "Storm Worm DDoS Attack", Secure Works, 2 lutego 2007: game0.exe - Backdoor/"ściągacz" game1.exe - Przekaźnik SMTP game2.exe - Złodziej adresów e-mail game3.exe - "Rozprzestrzeniacz" zainfekowanych e-maili game4.exe - Narzędzie do ataków typu DoS game5.exe - Zaktualizowana kopia "umiejscawiacza" robaka Storm Przy każdym etapie następuje połączenie z botnetem; fast flux DNS utrudnia śledzenie tego procesu. Kod ten uruchamiany jest z %windir%\system32\wincom32.sys na systemie Windows poprzez rootkit jądra systemu, a wszystkie połączenia do botnetu wykonywane są poprzez zmodyfikowany protokół eDonkey/Overnet.
Przypisy
Kategoria:Bezpieczeństwo sieciowe