Gamerz Online

Las diferentes versiones de TDSS

El programa malicioso que Kaspersky Anti-Virus detecta como TDSS pertenece al grupo de los más complejos de hoy en día. TDSS usa diferentes trucos para evitar ser detectado por los métodos de firma, heurístico y proactivo; aplica métodos de cifrado durante la transmisión de datos entre el bot y el centro de administración y posee un potente componente rootkit que le permite camuflar la presencia de cualquier tipo de programas maliciosos en el sistema.
El nombre con que su autor bautizó el programa es TDL. Desde el momento de la aparición del programa malicioso en 2008, los creadores de virus lo han venido perfeccionando constantemente. En 2010 la última versión era TDL-3, cuya descripción detallada dimos en el artículo publicado en agosto de 2010.
Los autores de TDSS no pusieron el programa en venta sino hasta finales de 2010. En diciembre, al analizar uno de los especímenes, descubrimos algo extraño: el disco cifrado de TDL-3 contenía ciertos módulos de otro programa malicioso llamado SHIZ.
Entonces apareció en Internet el programa de afiliados que se dedicaba a suplantar los resultados de los sistemas de búsqueda y que pertenecía a los creadores de SHIZ, pero cuya estructura se basaba en TDL-3.
Los cambios introducidos en la configuración de TDL-3 y la aparición de un nuevo sistema de afiliados confirman que los códigos fuente de TDL-3 se vendieron a los delincuentes que antes se dedicaban al desarrollo del programa malicioso SHIZ.
Pero ¿por qué los autores de TDL decidieron vender los códigos fuente de la tercera versión? Es que para ese entonces ya había aparecido la versión TDL-4. Es probable que los cambios de esta versión les hayan parecido tan importantes a los escritores de virus que hayan dejado de temer la competencia por parte de los nuevos propietarios de TDL-3.
A finales de 2010 Viacheslav Rusakov describió el funcionamiento de la nueva versión del rootkit de TDSS desde el punto de vista de su interacción con el sistema operativo. En este artículo analizaremos TDL-4 desde el punto de vista de su funcionamiento con la red y la carga útil de la botnet que en el momento en que llevamos a cabo la investigación, contaba con más de 4,5 millones de ordenadores infectados.

De nuevo un programa de afiliados

En el funcionamiento de la nueva versión parece que quedó intacto sólo el método de propagación, por medio de los programas de afiliados. Como antes, para propagar el programa malicioso, los programas de afiliados siguen ofreciendo el descargador TDL que, después de constatar la versión del sistema operativo, descarga TDL-4 en el ordenador.
Por cada mil instalaciones, los afiliados a TDL reciben de 20 a 200 dólares americanos, dependiendo de la ubicación geográfica del equipo de la víctima. Los afiliados pueden usar cualquier método de instalación. Con más frecuencia TDL se difunde en los recursos pornográficos, los sitios piratas y los sitios de almacenamiento de vídeo y ficheros.
Los cambios en TDL-4 afectaron de alguna manera a casi todos los componentes del programa malicioso y sus actividades en la red. Los escritores de virus expandieron las funcionalidades del programa malicioso, modificaron el algoritmo de cifrado del protocolo de comunicación entre los bots y los servidores de administración de la botnet trataron de garantizarse el acceso a los equipos infectados incluso en caso de que se clausurasen los centros de administración de la botnet. Al parecer, los dueños de TDL están tratando de crear una botnet “indestructible”, protegida de las amenazas tanto de la competencia, como de las compañías antivirus.

La botnet “indestructible”

Cifrado de las conexiones de red

Uno de los cambios claves de TDL-4 en comparación con la versión anterior fue la actualización del algoritmo de cifrado del protocolo usado para la comunicación entre los equipos infectados y los servidores de administración de la botnet. Para reemplazar RC4, los delincuentes desarrollaron su propio algoritmo de cifrado, que usaba suplantaciones y operaciones XOR. Sirven de llaves de cifrado el nombre de dominio desde donde se inicia la conexión y el parámetro bsh del fichero cfg.ini.
Recordamos que la presencia de un fichero de configuración, donde se describen los principales parámetros usados por los diferentes módulos para llevar el registro de sus actividades y de la conexión con los servidores de administración es una de las peculiaridades de los programas maliciosos de la familia TDSS.
En comparación con la tercera versión, el formato del fichero de configuración ha cambiado poco. La adición clave es el parámetro “bsh”. Este parámetro es el identificador del ejemplar del programa malicioso, asignado por el servidor de administración durante la primera conexión con el bot. También sirve como una de las llaves de cifrado durante las siguientes conexiones con el servidor de administración.
Durante la inicialización del protocolo se crea una tabla de suplantación para la solicitud http inicial del bot. Esta tabla se inicia con dos llaves: el nombre del dominio del servidor de administración de la botnet y el parámetro "bsh". La solicitud inicial se cifra y se convierte al formato base64. Después, en el inicio y final del mensaje obtenido, se agregan cadenas aleatorias escogidas con anterioridad en formato base64. La solicitud completa se envía al servidor mediante el protocolo HTTPS.
El algoritmo propio de cifrado de la comunicación entre los centros de administración de la botnet y la red evita que se pueda analizar el tráfico de red y bloquea los intentos de otros delincuentes de interceptar la administración de la botnet.

Un "antivirus” propio

TDL-4, al igual que Sinowal es un bootkit, es decir, para ejecutarse automáticamente infecta el sector MBR, lo que le permite iniciarse antes que el sistema operativo. Este método, usado por los virus de inicio clásicos, les garantiza a estos programas una gran vitalidad y los oculta de la mayoría de los programas de protección.
TDL es muy hábil para ocultarse a sí mismo y a los programas maliciosos y evitar que los antivirus los detecten. Para que los demás programas maliciosos que hayan penetrado al equipo sin la venia de los dueños de TDL no llamen la atención de los usuarios hacia el equipo infectado, TDL-4 tiene la posibilidad de eliminarlos. Por supuesto, no todos, sino los más populares.
TDSS tiene códigos para eliminar unos veinte programas maliciosos, incluyendo Gbot, ZeuS, Clishmic, Optima, etc. TDSS escanea el registro, busca nombres específicos de ficheros, pone en su lista negra las direcciones de los servidores de administración de otros botnets y bloquea el acceso a éstos desde el equipo infectado.
Por una parte, este “antivirus” ayuda a TDSS a luchar contra la competencia y por otra, a apartar de sí mismo y de su “equipo” (los programas maliciosos que instaló) los inconvenientes causados por la presencia en el ordenador infectado de otros programas maliciosos.
¿Qué programas maliciosos instala TDL-4? Desde principios de este año, en la botnet se han instalado cerca de 30 programas maliciosos adicionales, incluyendo falsos antivirus, módulos publicitarios y el spambot Pushdo.
Es curioso que después de instalar otros programas maliciosos TDL-4 no se borra y puede usarse para desinstalar en cualquier momento sus programas maliciosos con la ayuda del módulo r.dll.

Acceso de la botnet a la red p2p Kad

Una de las innovaciones más brillantes de TDL-4 es el módulo kad.dll, que posibilita el acceso de la botnet TDSS a la red P2P Kad. Pero ¿por qué les hace falta a los delincuentes una red pública de intercambio de ficheros?
Hace bastante tiempo que se tiene noticias de botnets controladas mediante el protocolo P2P, pero hasta ahora se trataba de protocolos cerrados de comunicación creados por los delincuentes. TDSS, por su parte, usa una red P2P pública para enviar las instrucciones del dueño de la botnet a todos los ordenadores de la red zombi. El principio de funcionamiento del algoritmo de TDSS con esta red es el siguiente:

1. En la red pública Kad los delincuentes abren acceso a un fichero llamado ktzerules. El fichero está cifrado y contiene una lista de instrucciones para TDSS.
2. Los ordenadores infectados con TDSS reciben la instrucción de descargar e instalar el módulo kad.dll.
3. Una vez instalado, kad.dll descarga el fichero nodes.dat que contiene la lista pública de direcciones IP de los servidores y clientes de la red Kad.
4. En la red pública Kad el módulo kad.dll solicita la búsqueda del fichero ktzerules.
5. Después de descargar e instalar el fichero ktzerules, kad.dll ejecuta las instrucciones contenidas en ktzerules.

Esta es la lista de instrucciones contenidas en el fichero cifrado ktzerules.

• SearchCfg, buscar un nuevo fichero ktzerules en la red Kad
• LoadExe, descargar y ejecutar el fichero ejecutable
• ConfigWrite, escribir la entrada en cfg.ini
• Search, buscar el fichero en la red Kad
• Publish, publicar el fichero en la red Kad
• Knock, descargar desde el centro de administración el fichero nodes.dat, que contiene la lista de direcciones IP de los servidores y clientes de la red Kad, entre ellos los ordenadores infectados por TDSS.

La instrucción más interesante es Knock. Mediante esta instrucción los delincuentes crean su propia red P2P Kad, cuyos clientes son sólo los ordenadores infectados por TDSS.
En esencia, en la administración de la botnet TDSS el módulo kad.dll cumple funciones análogas a cmd.dll. Usando el fichero nodes.dat, que contienen la lista de las direcciones IP de los participantes en la red Kad y ktzerules, que contiene la instrucción de descargar un nuevo fichero nodes.dat desde los servidores de los delincuentes, los dueños de la botnet pueden dar de alta o de baja los equipos infectados en la red pública Kad. En la red pública Kad no hay más de 10 ordenadores infectados por TDSS. Esto hace que sea muy difícil suplantar el fichero ktzerules y evita que otros delincuentes intercepten la administración de la botnet. En cambio, la cantidad general de ordenadores infectados con TDSS en la red cerrada es de varias decenas de miles.
Además, el acceso a la red Kad les da a los delincuentes la posibilidad de descargar en los ordenadores de la botnet y hacer públicos para los usuarios de la red P2P cualquier tipo de ficheros, por ejemplo pornografía o bases de datos robadas.
La peligrosidad de esta botnet consiste en que, incluso si se cierran los centros de administración, los dueños de la misma no pierden el control sobre los ordenadores infectados. Sin embargo, este sistema tiene ciertas lagunas:

1. Usando la red pública Kad, los delincuentes corren el riesgo de que aparezcan instrucciones falsas para la botnet.
2. Durante el desarrollo del módulo kad.dll, para gestionar la interacción con la red Kad usaron códigos bajo licencia GPL GPL, lo que significa que los autores están infringiendo el acuerdo de licencia.

Expansión de las funcionalidades

Además de las funcionalidades publicitarias, en TDL-4 han aparecido nuevos módulos. Ya hemos escrito sobre el “antivirus” y el módulo de trabajo con redes P2P. Aparte de ellos, los dueños de TDSS incluyeron entre las funcionalidades del programa malicioso varios módulos más y ahora pueden ofrecer a sus clientes servicios de acceso anónimo a la red mediante los equipos infectados y soporte de sistemas de 64 bits.

Módulo del servidor proxy

Socks.dll es el nombre del fichero que TDSS incrusta en el proceso svchost y que sirve para abrir un servidor proxy en el equipo infectado. La presencia de este módulo permite navegar anónimamente en Internet mediante los equipos infectados.
Como cuentan con una gran cantidad de equipos con esta funcionalidad, los delincuentes han empezado a ofrecer servicios de conexión anónima a Internet. El coste del servicio es de unos 100 dólares al mes. Para ofrecer comodidad a sus usuarios, los delincuentes desarrollaron un plugin para Firefox que permite cambiar con rapidez los servidores proxy sin salir del navegador.

Soporte de sistemas de 64 bits

La aparición del driver de 64 bits en TDSS fue una de las novedades tecnológicas introducidas por los delincuentes en 2010. Para admitir el funcionamiento de los sistemas de 64 bits en régimen de usuario, TDL-4 contiene el módulo cmd64.dll, que es la versión de cmd.dll para sistemas de 64 bits. Sin embargo, debido a las limitaciones en el funcionamiento de los programas en sistemas de 64 bits, el código cmd64.dll contiene sólo las funcionalidades de comunicación con los servidores de administración de la botnet.

Trabajo con los sistemas de búsqueda

El módulo cmd.dll casi no ha sufrido cambios. Su tarea es establecer la conexión con los servidores de administración de la botnet y suplantar los resultados en los sistemas publicitarios y de búsqueda. En la lista de instrucciones para TDSS, la principal novedad es SetName, que asigna un número a cada ordenador infectado. Durante el trabajo con los sistemas de búsqueda y las redes de banners, TDSS usa la misma tecnología que otros programas maliciosos para hacer subir el rating de los resultados. Sin embargo, TDSS tiene la lista más larga de sistemas de búsqueda en los cuales suplanta los resultados de las búsquedas.

Servidores de administración de la botnet

TDSS usa varias fuentes para obtener las listas de administración de los servidores. Por defecto, la lista se toma del cuerpo de cmd.dll, pero si los servidores estuviesen fuera de alcance, el bot la toma de cfg.ini. Si por alguna razón ninguno de los servidores de administración de la lista cfg.ini está disponible, la lista se extrae del fichero cifrado bckfg.tmp, que el bot recibe la primera vez que se conecta al servidor de administración. Desde principios de este año se han registrado 60 servidores de administración de la botnet, distribuidos por todo el mundo.


Si se analiza con atención esta lista, se puede ver que las direcciones IP de los centros de administración cambian todo el tiempo y algunos dejan de funcionar. Estos cambios están condicionados por los servidores proxy que ocultan la verdadera ubicación de los centros de administración.

Estadística de los servidores de administración

A pesar de las medidas tomadas por los delincuentes para proteger los centros de administración de la botnet, conociendo el protocolo de comunicación de TDL-4 con los servidores de administración se pueden crear solicitudes especiales y recibir estadísticas de la cantidad de equipos infectados. Al analizar los datos obtenidos, se puso al descubierto tres bases de datos MySQL independientes ubicadas en Moldavia, Lituania y EEUU que admitían el funcionamiento de la botnet desde detrás de servidores proxy.
Según la información de estas bases de datos, sólo en el primer trimestre de 2011, TDL-4 infectó 4.524.488 equipos en todo el mundo.
Casi una tercera parte de los equipos infectados se encuentra en los EE.UU. A juzgar por los precios de los programas de afiliados, infectar esta cantidad de equipos en EE.UU. cuesta 250.000 dólares, suma que al parecer gastaron los creadores de TDSS. Es curioso que en la estadística no figuran usuarios de Rusia. La explicación es que los programas de afiliados no ofrecen ningún pago por infectar usuarios rusos.

Esto todavía no es el final

El subtítulo de las últimas secciones de nuestros artículos sobre TDSS ya se está haciendo una tradición. En este caso tenemos razones para suponer que TDSS continuará desarrollándose. El activo perfeccionamiento del código de TDL-4, el rootkit para sistemas de 64 bits, el inicio antes del sistema operativo, el uso de exploits del arsenal de Stuxnet, el uso de la tecnología P2P, el antivirus propio y muchas cosas más ubican al programa malicioso TDSS entre los más desarrollados desde el punto de vista tecnológico y los más difíciles de analizar. Los delincuentes usan la botnet de más de 4.500.000 bots para manipular los sistemas publicitarios y los resultados de los sistemas de búsqueda, garantiza a los delincuentes acceso anónimo a Internet y sirve de plataforma para instalar otros programas maliciosos.
TDSS y la botnet que reúne los equipos infectados causarán muchos disgustos a los usuarios y los especialistas en seguridad IT. Una botnet descentralizada y sin servidores es prácticamente indestructible y la epidemia del gusano KIDO lo ha confirmado.

Pagina de todos Los Audition del Mundo =)

(Indonesian) Audition : AyoDance - Dance Battle Game Online Indonesia - Indonesian Audition Website

(Chinese) http://au.9you.com - Chinese Audition Website

(Chinese) «l»R¹Î*»´äª©©x¤èºô¯¸ - Hong Kong Audition Website

(Korean) http://auditon.bugs.co.kr- Korean Audition Alt. Website (Bugs)

(English) 20% more Bana Cash from GoCash cards! - Audition North America Website

(English) Audition - Home - Philippines Audition Website

(Chinese) «l»R¹Î µØ¤H²Ä¤@*µ¼Ö¥æ¤Í ¥ð¶¢½u¤W¹CÀ¸ - Taiwanese Audition Website

(Thai) Audition Online Game ?? :PlayPark - Thai Audition Website

(English) AuditionSEA - Best Online Dancing Game in Singapore & Malaysia from Korea!- AuditionSEA Website

(Vietnamese) VTC Game : Audition - Mùa yêu th??ng- Vietnamese Audition Website

(Japanese) http://danpara.nexon.co.jp/ - Japanese Audition Website

(Koreano) http://reg.bugs.com.kr/ - Koreano

(koreano) http://clubaudition.ndolfin.com/SystemChk/Default.aspx- Koreano otro link

(koreano) http://audition.hanbiton.com/Home/SiteCheck.aspx - Koreano otro link

(Portugues) http://www.audition.com.br/ - Brasil

(Europa) http://audition.es.alaplaya.net/ - Europeo

El audition koreano tiene Problemas con su Pag...!! REvisen Continuo ..!!

Espero q les Sirva.
Creditos : Alaoz & -»HãdeSturk

I will just show you how to find addies in WarRock with "IDA Pro" and an "Unpacked WarRock (Latest one)", which can be downloaded in Google. If you don't know where to get it, go to the source code section and their should be one.

Firstoff, open IDA Pro and Click File -> Open and search for the unpacked WarRock (or Dumped /).

Now we are ready to find the addies.

PlayerPointer:
-Search for "DX01" and go up twice or three times.



So it's dword_A547A0. Just take out "dword_" and add 0x00 to it [Prefix].
It should be like this in C++: #define Addr_PlayerPointer 0x00A547A0

ServerPointer:
-Same processus, but you got to search for "CF01" now and go up three times.


It's dword_94F7C0.

So, it's gonna be this in C++: #define Addr_ServerPointer 0x0094F7C0

FastAmmo:

Search for "ammo_base".
[php]___:0042B2A6 mov eax, [esi+8]
___:0042B2A9 cmp dword ptr [eax+18h], 0
___:0042B2AD jnz loc_42B368
___:0042B2B3 mov eax, [eax+1Ch]
___:0042B2B6 mov eax, [eax+0E8h]
___:0042B2BC add eax, 8
___:0042B2BF push offset aAmmo_base ; "ammo_base"
___:0042B2C4 push eax
___:0042B2C5 call sub_68DAED
___:0042B2CA test eax, eax
___:0042B2CC pop ecx
___:0042B2CD pop ecx
___:0042B2CE jnz short loc_42B316
___:0042B2D0 fld [ebp+var_4]
___:0042B2D3 fcomp flt_76BE84
___:0042B2D9 fnstsw ax
___:0042B2DB test ah, 5
___:0042B2DE jp loc_42B368
___:0042B2E4 cmp dword_7BFE10, 1Bh
___:0042B2EB jz short loc_42B30A
___:0042B2ED fld flt_89B048
___:0042B2F3 lea eax, [ebp+var_10]
___:0042B2F6 fmul flt_7615C0
___:0042B2FC push eax
___:0042B2FD mov ecx, offset dword_89E53C <--- FastAmmo
___:0042B302 fstp [ebp+var_10]
___:0042B305 call sub_42A28A[/php]

So, it's 89E53C. In C++: #define Addr_FastAmmo 0x0089E53C


FastRepair:
Search for "repair_base".
[php]___:0042B316 mov eax, [esi+8]
___:0042B319 mov eax, [eax+1Ch]
___:0042B31C mov eax, [eax+0E8h]
___:0042B322 add eax, 8
___:0042B325 push offset aRepair_base ; "repair_base"
___:0042B32A push eax
___:0042B32B call sub_68DAED
___:0042B330 test eax, eax
___:0042B332 pop ecx
___:0042B333 pop ecx
___:0042B334 jnz short loc_42B368
___:0042B336 fld [ebp+var_14]
___:0042B339 fcomp flt_76BE84
___:0042B33F fnstsw ax
___:0042B341 test ah, 5
___:0042B344 jp short loc_42B368
___:0042B346 cmp dword_7BFE14, 1Bh
___:0042B34D jz short loc_42B35E
___:0042B34F push offset flt_89B048
___:0042B354 mov ecx, offset dword_89E540
___:0042B359 call sub_42A28A[/php]
So, it's 89E540. In C++: #define Addr_FastRepair 0x0089E540



More to be add...

Creditz: 100% MINE so don't leech you nub

Bye Bye!

Hello,
pagn released some tuts of this in the past:
Sticky: How to find addies in WarRock

Im going to give a tutorial of in depth of addys finding, TheCamels8 probably can do a better job in this case.


By reading this you accept the rules of mpgh, you do not spam this thread, no outside links etc.

You will need:1. Dumped 'WarRock.exe' -> Tutorial here
2. Ida Pro

First we are going to look for 'MapCollor1,MapCollor2,MapCollor3'Open Ida pro -> Search -> Text -> "Light.Ambient"



Once you have found it, go up untill you see "Light.GlobalAmbient"
Then we have to find our addies, look for the "push"
Then we will get this addies: (Those are from the current update)


FullBright

Scroll down until you see: "Light.Ambient"
Look again for the "push"
You will get the following code:


GlassWalls

Scroll down until you see "Frustum.FarDistance"
Look again for the "Push"
This line is our adress:


Near Fog
Scroll down untill you see "Fog.NearDistance"
Look again for the "Push"
You will get this line:
Far Fog

Scrol down untill you see "Fog.FarDistance"
You will need to look again for the "Push"
This will be our addy:


Fog Collor
Scroll down until you see "Fog.Color"
Look for the 3 "Push"
This will be our addy:


I know it is not so much, it is done before & all that
But its just to help some of you out, if you need help,feel free to ask me

Credits:
TheCamels8
AeroMan