Dem IT-Sicherheitsunternehmen Panda Software gelang es, ein globales Netzwerk von über 34.000 Rechnern, die vom Bot Clickbot.A infiziert und zu Zombies umfunktioniert wurden, aufzudecken. Der Schädling nistet sich im System ein und registriert automatisch Klicks auf „pay per click“ Systemen – ein lukratives Geschäft für den Programmierer. Mit „pay per click“ wird ein Online-Marketing übliches Abrechnungsmodell bezeichnet, bei dem die Leistung pro Klick abgerechnet wird.

Gesteuert werden die Bots von verschiedenen Web-Servern. Auf diese Weise kann der Hacker selber die anzuklickenden Werbeseiten bestimmen und die maximale Anzahl der Klicks einstellen, damit beim User kein Verdacht entsteht. Ebenso protokolliert er mit, wie viele Rechner zu einer bestimmten Zeit online sind. "Anstatt Spyware zu installieren, greifen Hacker mit dem „pay per click“-System zu einer neuen Methode, um Botnetze aufzubauen und sie dann an Kriminelle zu vermieten oder zu verkaufen", erklärt Luis Corrons, Director bei Panda.

Der Clickbot.A-Mechanismus besteht aus zwei Komponenten: Die erste ist eine ausführbare Datei, die eine „dynamic link library“ anlegt. Diese löscht sich später selber und hinterlässt keine Spuren. Bei dem zweiten Bestandteil von Clickbot.A handelt es sich um eine Komponente des Internet Explorers. So meldet er dem Angreifer die Infizierung des Systems und aktualisiert die Kontroll-Komponenten. Sobald der Schädling die Autorisierung vom Programmierer bekommt, fordert er die entsprechenden Adressen vom Database System an und beginnt mit dem Klicken.