Как отметили в Click Forensics, деятельность этого ботнета и раньше попадала в поле зрения экспертов по безопасности, однако настаивают, что полная картина стала известна лишь недавно благодаря усилиям антикликинговой компании. Как удалось выяснить, хакеры проталкивали троянскую программу на компьютеры пользователей через рекламу на легитимных сайтах.

Всплывающие окна оповещали пользователей о том, что их компьютер заражен, и предлагали закачать «антивирусную» программу. Со лже-антивирусом на компьютеры юзеров попадал вредоносный код, который делал их частью ботнета и перехватывал реальные поисковые запросы. Реальный клик мышкой по ссылке из результатов поиска прогоняется через серию рекламных сервисов, при этом в качестве рекламных партнёров используется большая база паркованных доменов.

Такой подход позволяет генерировать «естественные» клики по рекламе. При этом злоумышленники формируют базу пользовательских поисковых запросов, которая используется ими для накрутки кликов без участия человека.

Учитывая, что фальшивые клики производятся с помощью большого количества зомби-компьютеров, обнаружить подделку также довольно непросто. Однако специалистам Click Forensics это всё-таки удалось, благодаря разработанным ими «алгоритмам обнаружения аномалий» и тесному сотрудничеству с рекламщиками.

«Это одна из наиболее сложных схем, какие мы когда-либо видели. Ботнет эффективно маскирует свои мошеннические действия под «хороший трафик», изменяя интервал и широту атак при помощи легиона зараженных машин», — отметил глава Click Forensics Пол Пелман.

Связь между атакой на читателей и украинскими хакерами отметил независимый эксперт Данчо Данчев. Он уже довольно давно наблюдает за действиями этих злоумышленников и называет их «своим украинским фан-клубом» (с некоторых пор хакеры, зная об интересе Данчева, стали использовать в своих схемах доменные имена и названия скриптов с его фамилией).

Несмотря на связь с Украиной, в Click Forensics назвали этот ботнет «Багамским». Причина довольно прозаична: изначально большинство паркованных доменов, участвовавших в накрутке кликов, вели на компьютеры, расположенные на Багамах.