3.6.3 Скрипт-хробаки

Як виявилося, могутня і розгалужена система команд IRC-клієнтів дозволяє на основі їх скриптів створювати комп'ютерні віруси, що пере­дають свій код на комп'ютери користувачів мереж IRC, так називані IRC-хробаки.

Перший ін­ци­дент із IRC-хробаком зафіксований наприкінці 1997 року: користувачами mIRC-клієнта був виявлений скрипт (файл SCRIPT.INI), що переносив свій код через канали IRC і заражав mIRC-клієнтів на комп'ютерах користувачів, що підклю­чалися до заражених каналів. Як виявилося, скрипт-хробаки є досить простими програмами, і через досить короткий час на основі першого mIRC-хробака були створені і "випущені" у мережі декілька десятків різних скрипт-хробаків.

Принцип дії таких IRC-хробаків приблизно однаковий. За допо­мо­гою IRC-команд файл сценарію роботи (скрипт) чи реакції на IRC-події автоматично посилається з зараженого комп'ютера кожному користувачу, що під’єднується до каналу. Надісланий файл-сценарій заміщає стан­дарт­ний і при наступному сеансі роботи вже знову заражений клієнт буде роз­си­лати хробака. Хробаки при цьому використовують особливості кон­фі­гу­рації клієнта, завдяки якій прийняті файли всіх типів розміщуються в коре­не­вий каталог клієнта. Цей каталог також містить і основні скрипти клієн­та, вклю­­чаючи завантажувальні mIRC-скрипти SCRIPT.INI, MIRC.INI і PIRCH-скрипт EVENTS.INI. Ці скрипти автоматично виконуються клі­єн­том при старті і далі використовуються як основний сценарій його роботи.

Деякі IRC-хробаки також містять троянський компонент – по заданих клю­чо­вих словах здійснюють руйнівні дії на уражених комп'ютерах. Наприклад, хробак "pIRCH.Events" по визначеній команді стирає усі файли на диску користувача.

У скрипт-мовах клієнтів mIRC і PIRCH також існують оператори для запуску звичайних команд ОС і модулів, що вико­ну­ють­ся, програм DOS і Windows. Ця можливість IRC-скриптів послужила осно­вою для появи скрипт-хробакв нового покоління, що крім скриптів заража­ли комп'ютери користувачів EXE-вірусами, установлювали "троянських коней", і т.п.

Скрипт-хробаки працездатні тільки в тому випадку, якщо користувач до­зво­ляє копіювання файлів з мережі на свій комп'ютер. Дана опція IRC-клієнтів на­зи­ва­ється “DCC autoget” – одержання файлів по протоколу DCC автоматично і без по­пе­реджуючого повідомлення. При відключеній опції заражений файл прий­ма­ється, розміщується в каталозі клієнта і в наступному сеансі роботи продовжує своє поширення. При цьому користувач не одержує ніяких попереджуючих повідомлень.

Слід зазначити, що фірма-виготовлювач клієнта mIRC відреагувала до­сить оперативно і буквально через кілька днів після появи першого хро­ба­ка випустила нову версію свого клієнта, у якій були закриті пробіли в захисті.

3.6.4 Приклади мережевих вірусів

mIRC.Acoragil і mIRC.Simpsalapim

Перші відомі mIRC-хробаки вияв­ле­­ні наприкінці 1997 року. Назви одер­­жа­ли по кодових словах, що викорис­то­ву­ються хробаками: якщо в тексті, пере­да­но­му в канал будь-яким корис­тувачем, присутній рядок "Acoragil", то всі корис­ту­вачі, заражені хробаком mIRC.Acoragil авто­ма­тич­­но відключаються від каналу. Те саме відбу­ва­ється з хробаком mIRC. Simpsalapim – він аналогічно реагує на рядок "Simpsalapim". При роз­мно­женні хробаки командами mIRC пересилають свій код у файлі SCRIPT. INI кожному новому користувачу, що підклю­чається до каналу.Містять троянську частину. Хробак mIRC.Simpsalapim міс­тить код захоплення каналу IRC – якщо mIRC власника каналу заражений, то по введенню кодового сло­ва "ananas", зловмисник перехоплює керування каналом. Хробак mIRC. Aco­ra­gil по кодових словах пересилає системні файли OC. Деякі кодові слова обрані так чином, що не привертають уваги жертви – hi, cya чи the. Одна з модифікацій цього хробака пересилає зловмиснику файл паролів UNIX.

Win95.Fono

Небезпечний резидентный файлово-завантажувальний полі­мор­фік-вірус. Використовує mIRC як один із способів свого поширення: перехоплює системні події Windows і при запуску файлу MIRC32.EXE активізує свою mIRC-процедуру. При цьому відкриває файл MIRC.INI і записує в його кінець команду, що знімає захист:

[fileserver]

Warning=Off .

Потім створює файли SCRIPT.INI і INCA.EXE. Файл INCA.EXE містить дроппер вірусу, скрипт файлу SCRIPT.INI пересилає себе і цей дроппер у канал IRC кожному, хто приєднується до каналу або виходить з нього.

pIRCH.Events

Перший відомий PIRCH-хробак. Розсилає себе кожному корис­ту­ва­чу, що приєднався. По ключових словах виконує різні дії, наприклад:

• по команді ".query" відбувається свого роду переклик, по якомузаражені системи відповідають <Так, я вже заражена>;

• по команді ".exit" завершує роботу клієнта;

По інших командах хробак видаляєвсі файли з дискаС, надає доступ до файлів на зараженому комп'ютері, і т.д.

IRC-Worm.Pron

Мережевий вірус-черв'як, зашифрований. Розмножується в IRC-кана­лах і використовує для свого розмноження mIRC-клієнта. Має дуже невели­ку довжину–всього 582 байти. Передається з мережі на комп'ютер у вигляді файлу PR0N.BAT. При його запуску вірус копіює себе у файл PR0N. COM і запускає його на виконання. Заголовок вірусу влаштований таким чином, що він можевиконуватися як BAT-, так і COM-програма, і в ре­зультаті управління передається на основну процедуру зараження системи. При зараженні системи вірус використовує дуже простий прийом:він копі­ює свій BAT-файл в поточний каталог і в каталог C\WINDOWS\SYSTEM (якщо такий відсутній, то вірус незаражаєсистему). Потім вірус записує свій код у файл WINSTART.BAT. Для розповсюдження свого коду через mIRC вірус створює новий файл SCRIPT.INI в каталозі mIRC-клієнта. Цей каталог вірус шукаєзачотирмаваріантами:

C\MIRC; C\MIRC32; C\PROGRA~1\MIRC; C\PROGRA~1\MIRC32 .

Скрипт вірусу містить всього одну команду –кожному користувачу, що підключається до зараженого каналу, передається вірусний файл PR0N.BAT. Вірус міститьрядок-"копірайт".