6.4. Мережні хробаки

Основною ознакою мережного хробака є його здатність самостійно, без втручан­ня користувача, розповсюджуватись у комп'ютерній мережі, забезпечуючи що­найменше дві функції; передавання свого програмного коду на інший комп'ютер і запуск свого програмного коду на віддаленому комп'ютері. Здебільшого мережні хробаки, як і комп'ютерні віруси, здатні розмножуватись, і тому їх часто розгля­дають як різновид вірусів. Однак на відміну від класичних комп'ютерних вірусів більшість хробаків не використовують як носій код іншої програми, оскільки не мають на меті примусити користувача у такий спосіб запустити їх.

Класичний мережний хробак використовує вразливості програмного забезпе­чення, яке реалізує ті чи інші мережні протоколи. Таке програмне забезпечення діє автоматично відповідно до вимог протоколу, а часом, через помилки розроб­ників або завдяки їхньому специфічному погляду на деякі вимоги специфікацій протоколів, Щ і всупереч вимогам стандартних протоколів. Слід зазначити, що в переважній більшості ситуацій такі програми не покладаються на користувача, а часто інтерфейс взаємодії з користувачем локальної системи взагалі відсутній. Особливості програмного забезпечення, що обслуговує мережну взаємодію, буде докладно розглянуто в розділі 15, оскільки воно суттєво впливає і на можливості компрометації системи через мережу, і на методи її захисту.

Іноді до хробаків відносять і ті програми, що не здатні самостійно запуститися на виконання на віддаленій системі, й відтак використовують принцип «троянсь­кого коня». Є безліч різновидів програм, які використовують різні, часто дуже непрості технології розповсюдження в мережі та доставляння себе на комп'ю­тери — потенційні жертви. Хоча такі програми є хробаками лише наполовину (тобто лише в частині доставляння, а не запуску), стисло буде розглянуто й їх, переважно в контексті технологій розповсюдження.

6.4.1. Класифікація мережних хробаків

Основною ознакою, за якою хробаків поділяють на різні типи, є спосіб їх роз­повсюдження — яким чином хробак передає свою копію на віддалені комп'юте­ри. Іншими ознаками є способи запуску копії хробака на комп'ютері, методи його впровадження в систему та характеристики, притаманні різним видам шкідливо­го програмного забезпечення (вірусам і «троянським коням») — поліморфізм, прихованість тощо. Розглянемо такі типи хробаків (із наведенням позначень, які застосовує «Лабораторія Касперського» [61]):

• поштові хробаки (Email-worm);

• хробаки, що використовують інтернет-пейджери (IM-worm);

• хробаки у IRC-каналах (IRC-worm);

• хробаки для файлообмінниХ"мереж (P2P-worm);

• інші мережні хробаки (Net-worm).

Поштові хробаки

До цієї категорії належать хробаки, які для свого розповсюдження використову­ють електронну пошту. Хробак надсилає свою копію у вигляді вкладення (при­єднаного файлу) в електронний лист або розміщує посилання (з URL-адресою) на свій файл на мережному ресурсі (наприклад, на скомпрометованому чи ха-керському сайті). Як правило, код хробака активізується після втручання кори­стувача: у першому випадку необхідно відкрити заражене вкладення, у другому б скористатися посиланням на заражений файл.

Поштові хробаки надсилають заражені повідомлення у різні способи:

• прямим підключенням до SMTP-сервера;

• використанням сервісів Microsoft Outlook;

• застосуванням функцій Windows МАРІ.

Для пошуку поштових адрес, на які розсилатимуться заражені листи, також

використовують різні методи:

+ хробак розсилає себе на всі адреси, що було знайдено в адресній книзі Micro­soft Outlook;

• адреси зчитуються з адресної бази WAB; ,-,...

• хробак сканує «придатні» файли у файловій системі та позначає в них рядки, що є адресами електронної пошти;

• хробак вибирає адреси з листів, що містяться у поштовій скриньці (при цьому деякі хробаки «відповідають» на знайдені у скриньці листи).

Деякі з хробаків використовують комбінації названих методів, зустрічаються також інші способи пошуку адрес.

Хробаки, що використовують інтернет-пейджери

Хробаки цього типу розсилають повідомлення, що містять URL-адресу файлу з ко­дом хробака, на контакти, отримані з контакт-листа інтернет-пейджера. Цей спо­сіб розсилки подібний до того, що використовують поштові хробаки.

Хробаки в IRC-каналах

Ці хробаки, як і поштові, розсилають URL-посилання на копію хробака або без­посередньо заражений файл, причому розсилання здійснюється по IRC-каналах. У другому варіанті користувач, якого атакують, має підтвердити отримання фай­лу, зберегти його на диску і відкрити.

Хробаки для файлообмінних мереж

Більшість із розглянутих типів мережних хробаків реалізують лише доставляння коду хробака на комп'ютер жертви. При цьому імітується отримання файлу з до­стовірних джерел (від відомих користувачу контактів), що й провокує користува­ча на запуск файлу.

Файлообмінні мережі беруть на себе левову частку роботи з доставляння фай­лу, тому хробаку достатньо скопіювати себе в каталог обміну файлами, що розта­шований на локальній машині. Р2Р-мережа здійснює інформування віддалених користувачів про цей файл і надає весь необхідний сервіс для завантаження фай­лу із зараженого комп'ютера. Таким чином, сам хробак може бути влаштований дуже просто.

Але є й складні Р2Р-хробаки, які самостійно імітують протокол конкретної файлообмінної системи і відповідають на пошукові запити, пропонуючи свою копію для завантаження.

Інші мережні хробаки

Це хробаки, які використовують інші способи зараження віддалених комп'юте­рів. Серед них такі:

• копіювання хробака на мережні ресурси;

• проникнення в мережні ресурси публічного використання;

• проникнення на комп'ютер через уразливості в операційних системах і засто­суваннях;

• паразитування на інших шкідливих програмах.

Перший спосіб передбачає використання хробаком відкритих для читання і за­писування ресурсів на віддалених комп'ютерах. Такі ресурси завжди можна знай­ти всередині корпоративних мереж, але в Інтернеті їх наявність можна вважати помилкою адміністрування або помилкою розроблення політики безпеки. Часто вразливими стають домашні комп'ютери через недостатньо професійне адміні­стрування. Як наслідок, у хробаків з'являється можливість скопіювати себе у доступні каталоги (щоправда, після цього необхідно, щоб користувач запустив на виконання відповідний файл).

Другий спосіб дещо схожий на перший, але у цьому випадку хробак копіює се­бе не на комп'ютер користувача, а на загальнодоступний веб- або FTP-сервер. Тоді можна просто зачекати, доки користувач не завантажить файл із кодом хробака. Але частіше застосовують складнішу та ефективнішу схему: спочатку хробак потрапляє на сервер, де модифікує службові файли (наприклад, веб-сторінки), а потім чекає на відвідувачів, які запитують інформацію із зараженого сервера (відкривають за­ражену веб-сторінку), і таким чином потрапляє на інші комп'ютери.

Тепер розглянемо класичні «безкомпромісні» мережні хробаки, здатні не ли­ше завантажитися на віддалений комп'ютер, але й запустити себе на виконання.

Перший із таких способів — використання критичних уразливостей у системно­му або прикладному програмному забезпеченні. Далі ми наведемо приклади та­ких хробаків.

Другий спосіб, який останнім часом набув значного поширення, — цедарази-тування на інших хробаках або «троянських конях», а точніше — на програмних закладках-люках, упроваджених на скомпрометованому комп'ютері. Люки дають змогу виконувати на віддалених комп'ютерах команди, іноді з правами адміні­стратора або системи. Деякі люки мають вбудовану команду для завантаження з мережі вказаного файлу і запуску його на виконання. У такий спосіб хробак може шукати вже скомпрометовані комп'ютери і без проблем проникати в них. Остан­нім часом відбуваються справжні війни між різними розробниками хробаків - їх витвори не лише використовують люки, впроваджені «конкурентами», але й ви­даляють «ворожого» хробака і всі пов'язані з ним програмні закладки, впровад­жуючи замість них свої.

Слід зазначити, що багато хробаків використовують два і більше методів по­шуку цілей і поширення своїх копій у мережі.

Найнебезпечніші ті хробаки, що здатні розповсюджуватися і активізуватися без втручання користувача. А позаяк у мережі є величезна кількість користу­вачів, які несвідомо активно сприяють розповсюдженню хробаків, завантажуючи та відкриваючи різні файли з Інтернету, найпростіший «троянський кінь» може спричинити рекордні суми витрат. Обмеження прав користувачів і підвищення їхньої відповідальності у корпоративному середовищі можуть суттєво покращити ситуацію. Але коли хробак використовує нову технологію або невідому дотепер уразливість розповсюджених систем, захиститися від цього хробака дуже склад­но. Саме про таких хробаків ітиметься в наступних підрозділах.