Trend Micro считает наиболее опасными черви-боты

admin

🕛 24.08.2005, 23:17

Дэвид Санчо (David Sancho), главный специалист по антивирусным исследованиям компании Trend Micro, рассказал о своем видении будущего компьютерных червей-ботов.

По его мнению, текущая тенденция развития вредоносных программ движется в направлении червей-ботов (роботов). Бот-программы, работающие как агенты пользователя или другой программы, способны атаковать огромное количество ничего не подозревающих пользователей. В настоящее время все бот-черви строятся по модульному принципу. Это значит, что автор программы может выбирать различные методы атаки, включая использование брешей в системах защиты, массовую почтовую рассылку, непосредственное размножение, а также их различные сочетания. Результат - специализированный червь, разработанный специально для выполнения своей задачи: похищения информации и установления контроля за инфицированным ПК.

Идея модульности этих типов червей была реализована в Worm_rbot.cbq и Worm_zotob - двух сетевых червях, которые стали «гвоздем» информационных выпусков на прошлой неделе. Бреши в сетевой системе защиты могут использоваться для проникновения, как только опубликован код, иллюстрирующий это слабое место. Когда написанный сегмент кода, использующий какую-то брешь в защите операционной системы, публикуется в интернете, «создатели» этих червей сразу могут внедрить его в код уже существующего червя, перекомпилировать - и новый опасный вид червя уже готов к распространению.

Таким образом, в ближайшем будущем ожидается сокращение времени распространения сетевых червей. Ниже приведен список, в котором показано время, прошедшее с момента обнаружения бреши в системе защиты до появления червя, использующего эту брешь

* Worm_nimda: 366 дней

* Worm_slammer: 185 дней

* Worm_blaster: 26 дней

* Worm_sasser: 18 дней

* Worm_zotob: 4 дня

В настоящее время скорость создания червей постоянно растет. Поэтому пользователи ПК во всем мире подвергаются все большей опасности. Для того чтобы противостоять угрозе, предлагаются следующие методы:

1. устанавливать обновления безопасности на домашних ПК, как только они станут доступны на веб-сайте корпорации Microsoft. Автоматическое обновление уже стало не дополнительной возможностью, а обязательной функцией. Безопасность домашних систем можно обеспечить, только имея подключение к интернету;

2. в корпоративных системах используется программное и аппаратное обеспечение, разработанное специально с учетом защиты от таких вторжений. Определение и блокировка сетевых пакетов, которые используют черви для проникновения через слабые места, по существу, лучшая защита от такого типа вредоносного кода. Эти системы включают системы обнаружения сетевых атак, а также специализированное сетевое антивирусное ПО, например, Trend Micro Network VirusWall или Trend Micro Personal Firewall, которое может блокировать прием пакетов, посылаемых вредоносными программами, даже если в основной системе имеется брешь.

Дэвид Санчо предполагает, что в будущем вредоносные программы будут использовать технологии захвата потоков RSS, эта развивающаяся технология является методом автоматического получения обновлений. Содержание веб-страниц может обновляться, и их RSS-подписчики могут получать новый контент по мере публикации с помощью клиентов RSS, которые постоянно отслеживают обновления. Самый простой способ использования RSS - захват уже сконфигурированных клиентов RSS для автоматической загрузки новых копий червей и другого вредоносного ПО на инфицированные ПК. Это достигается путем перенастройки уже сконфигурированного клиента на другой, вредоносный веб-контент. Сначала червь проверяет, настроена ли данная система на какую-либо автоматическую загрузку обновлений. Если это так, остается всего лишь добавить или изменить один из адресов для обновлений на адрес вредоносного веб-сайта.

Такой тип атак может иметь два прямых последствия. Измененный агент может служить в качестве «пассивной» точки загрузки, т.к. соединение начинается с разрешенного адреса. Из-за того, что первое соединение уже «разрешено», он может обойти персональные межсетевые экраны и другие барьеры. Кроме того, загрузки будут все равно продолжаться, даже если червь обнаружен и удален. Для полного прекращения загрузки необходимо средство для удаления вредоносной информации из конфигурации клиента RSS.

Один из факторов, уменьшающих эту опасность: в настоящее время такие программы загрузки не стандартизованы, поэтому атакам могут подвергаться только определенные программы. Этот тип атак в настоящее время не является очень опасным. Однако ситуация может измениться с выходом окончательной новой версии Internet Explorer 7. Корпорация Microsoft уже объявила, что эта новая версия популярного браузера будет содержать встроенную поддержку загрузки по технологии RSS. Поэтому авторы червей могут получить новые мощные возможности для атак.

Чтобы бороться с такими атаками, компании должны применять методы сканирования трафика HTTP. Судя по всему, это будет один из самых популярных методов борьбы с распространением malware в ближайшем будущем.

Еще одна возможная технология проникновения в полиморфных атаках с использованием изменяемого кода. Некоторые исследователи считают, что авторы подобных бот-червей могут создавать модули с изменяемым исполнимым кодом, который будет меняться при каждом запуске, но приносить такой же результат. Из-за того, что большинство систем обнаружения сетевых атак и систем обнаружения брешей в системе защиты определяют вредоносный код по его определенным участкам, если код будет меняться каждый раз, вредоносные программы смогут обойти все сканеры и выполнить свою вредоносную задачу. Хотя это теоретически возможно, в случае, если такой модуль будет создан, его авторы должны иметь возможность понять, как работает код для проникновения и как его можно изменить. Эти концепции конфликтуют с вышеупомянутой тенденцией включения во вредоносные программы новых способов проникновения как можно раньше, и могут замедлить создание новых червей. Авторам червей придется выбирать между быстрой атакой и невидимой атакой. Дэвид Санчо надеется, что такая технология останется возможной лишь теоретически, но эту опасность необходимо принимать во внимание.

Борясь с такими бот-червями, эксперты антивирусных компаний уже давно поняли, что различия между многими вариантами одного и того же червя заключаются только в использовании разных методов сжатия. Авторы червей перекомпилируют их и по-другому сжимают новую программу. После того как производители антивирусов научатся определять эту вредоносную программу, авторы червя просто используют другой алгоритм сжатия, и процесс продолжается снова. Существуют сотни различных алгоритмов сжатия, поэтому задача обнаружения бот-червей становится очень сложной.

Необходимо научиться сначала определять, каким методом сжат файл, а уже потом применять различные шаблоны для поиска червей. Дэвид Санчо ожидает, что в ближайшие месяцы в этом направлении будет достигнут определенный прогресс. Компания Trend Micro уже работает над созданием системы сканирования, которая сможет определять способ сжатия. Выпуск системы сканирования Trend Micro 7.7 планируется на начало будущего года, и благодаря новой технологии обнаружения бот-червей они будут определяться сразу после появления.

По мнению аналитиков Trend Micro, бот-черви - самый опасный вид вредоносного кода, существующий в настоящее время. Пользователи должны осознавать их опасность, а также знать методы, которые они используют для заражения других компьютеров, чтобы иметь возможность защититься от них.

Авторы вредоносных программ активно используют брешь в системе защиты MS05-039. С тех пор как корпорация Microsoft две недели назад объявила о слабом месте в системе защиты, названном Plug-and-Play (MS05-039), авторы вредоносных программ «трудились» дни и ночи, чтобы успеть воспользоваться этой брешью, пока пользователи не получили возможность защитить свои системы.

На сегодняшний день специалисты Trend Micro обнаружили уже шесть новых «паразитов» - червей, которые имеют возможность размножаться, распространяясь через сеть «зомбированных» компьютеров, зараженных без ведома своих хозяев: Worm_zobot.c, Worm_zobot.d, Worm_rbot.cbq, Worm_rbot.cbr, Worm_sdbot.bzh и Worm_drudgebot.a. По словам Джо Хартмана (Joe Hartmann), директора группы антивирусных исследований Trend Micro, это несколько разных вариантов, написанных разными авторами. «Мы уже обнаружили несколько новых вариантов Zotob, а также других вредоносных программ. Все они используют один и тот же обнародованный код, - заявил Хартман. - Они используют одну и ту же брешь в системе защиты, но имеют также дополнительные функции, например, возможности массовой почтовой рассылки, которые мы несколько дней назад обнаружили у Zotob.c».