| За последние несколько лет в Windows было обнаружено множество серьезных уязвимостей, включая MS03-026 [1] - уязвимость, с помощью которой в 2003 году распространялся Blaster [2], а также недавняя уязвимость MS06-040 [3], обнаруженная в августе 2006 года, которая использовалась в черве Mocbot/Wargbot [4]. В то же время быстро возросло количество злонамеренных программ, использующих эти уязвимости. К их числу следует отнести различные варианты известных червей, а также программы для организации ботнетов, такие как Agobot, Phatbot, Sdbot и т. д. Как известно, боты это множество компрометированных компьютеров "зомби", объеденных в сеть - ботнет, и используемых в незаконных целях. |
|
Jamie Riden перевод: Владимир Куксенок Введение За последние несколько лет в Windows было обнаружено множество серьезных уязвимостей, включая MS03-026 [1] - уязвимость, с помощью которой в 2003 году распространялся Blaster [2], а также недавняя уязвимость MS06-040 [3], обнаруженная в августе 2006 года, которая использовалась в черве Mocbot/Wargbot [4]. В то же время быстро возросло количество злонамеренных программ, использующих эти уязвимости. К их числу следует отнести различные варианты известных червей, а также программы для организации ботнетов, такие как Agobot, Phatbot, Sdbot и т. д. Как известно, боты это множество компрометированных компьютеров "зомби", объеденных в сеть - ботнет, и используемых в незаконных целях. В статье "The Nepenthes Platform: An Efficient Approach to Collect Malware" [5] Baecher и другие соавторы отмечают следующее: "В течение четырех месяцев мы собрали более 15500 уникальных бинарных файлов, суммарный размер которых равен приблизительно 1400 МБ. Уникальность в данном контексте подразумевает различные MD5 хэши собранных файлов." В упомянутой статье приводится процент идентифицированных перехваченных злонамеренных программ четырьмя антивирусами, который принимает значение между 73% и 84%. Ясно, что в таких условиях не каждый может полностью положиться на антивирусное ПО. В этой статье описывается как Nepenthes [6], пассивный honeypot, может использоваться для быстрого уведомления администратора о злонамеренном проникновении в сеть. Данная утилита коллекционирует злонамеренное ПО и может помочь в обнаружении и удалении инфекции. Некоторые из наиболее разрушительных червей последних лет были основаны на уязвимостях в службах Windows. В качестве примера можно привести Blaster, Sasser, Welchia и Slammer, результатом действий которых было простаивание и потеря производительности компаний по всему миру. Хочется надеяться, что Система обнаружения вторжений (Intrusion Detection System - IDS) читателя этой статьи имеет сигнатуры известных червей, таких как вышеупомянутые, а также позволяет опознавать факт сканирования портов для обнаружения новых червей. В случае с червем Blaster, каждый зараженный хост должен был бы каждую секунду отправлять на 135 TCP порт около 10 пакетов, что не ускользнуло бы от внимания Snort [7] и позволило бы обнаружить проблему еще до появления официальной сигнатуры червя. Главное различие между ботом и червем в том, что бот имеет некоторый централизованный канал управления зараженным компьютером, часто реализуемый через IRC. Боты могут в чем-то повторять поведение червя, однако обычно они контролируются через IRC и все действия, такие как сканирование и осуществление атаки, начинают по команде. В данном случае IDS проанализировала бы C&C трафик (аббревиатура C&C расшифровывается как Command and Control -- примечание) и сгенерировала сообщение об успешной атаке: :[SCAN]: Exploited yyy.yyy.123.45. Вообще бот часто ведет себя довольно тихо, до тех пор пока не получит команду просканировать заданную сеть: #(4 - 1329104) [2005-03-25 03:39:49.297] [snort/2001372] Payload: length = 128 Другой бот, обнаруженный человеком по имени Daniel Cid [8], использует Google для поиска потенциально уязвимых инсталляций Mambo, что означает, что для поиска новых целей нет необходимости производить сканирование портов. Поэтому администратор не может полагаться исключительно на наличие фактов сканирования портов при обнаружении ботов. Отчеты, сделанные опять же через IRC, будут выглядеть примерно следующим образом: "PRIVMSG #ch :[GOOGLE] Trying to exploit http://www.example.com/index.php" Ботов обнаруживать сложнее, чем червей, по том причине, что они могут длительное время бездействовать и начать вызывать подозрения у IDS только при получении команды на начало атаки других компьютеров. В случае большинства червей и ботов, основная часть их трафика будет направлена во внешнюю сеть. В этих случаях вы можете выделить некоторые закономерности крупномасштабного сканирования в логах IDS. Однако не исключено что придет время, когда бот начнет сканирование внутренней сети с целью поиска уязвимых систем, пригодных для заражения. Для решения поставленных задач мы будем использовать Nepenthes honeypot [6], названный так в честь вида плотоядных растений [9]. Более подробная информация может быть найдена в статье RAID ’06 [5]. Nepenthes запускается на UNIX сервере и эмулирует основные службы Windows с целью обнаружения автоматизированных атак. Nepenthes пытается загрузить злонамеренный код и имеет опциональную возможность автоматический отправки его в Norman sandbox [10]. Отчет о характеристиках злонамеренного кода вы получите на ваш e-mail адрес. Если вы запустите Nepenthes на публично доступной машине, вы быстро поймете какое большое число злонамеренного ПО функционирует в сети. Большинство из этих программ это различные варианты нескольких основных семейств ботов: SpyBot, Agobot и других. Какое-то число из них может не обнаруживаться антивирусом. Для большинства людей это не представляет интереса, однако имеет смысл запустить Nepenthes внутри вашей организации для обнаружения червей, живущих внутри корпоративной сети. Читатели, использующие Debian Linux, могут найти собранный пакет в репозитории unstable и просто выполнить команду apt-get install nepenthes. Пользователи других систем должны прочитать документацию [11], в которой детально описан процесс сборки пакета. Если у вас нет желания собирать пакет самостоятельно, вы можете скачать образы Debian для запуска в VMware [12], которые потребуют выполнить минимальную работу для установки Nepenthes. (Пожалуйста, если вы решите загрузить образ с этого сайта, постарается использовать ссылки BitTorrent, если это возможно). После установки Nepenthes следует отредактировать файл /etc/nepenthes/nepenthes.conf и раскомментировать строку "submitnorman.so", "submit-norman.conf", "" для использования Norman sandbox. Файл submit-norman.conf должен выглядеть примерно следующим образом: submit-norman Это включит автоматическую отправку перехваченного кода на онлайновый Norman sandbox, который выполнит анализ полученного кода и отправит копию отчета о результатах на ваш e-mail. Это даст вам информацию о злонамеренном коде без необходимости его запуска и трассировки или осуществления его дизассемблирования и анализа. Когда вы настроите и запустите Nepenthes, это приложение должно начать прослушивать большое количество часто используемых TCP/IP портов, как показано ниже: #lsof -i Использование Nepenthes При попытке заражения сенсора Nepenthes, утилита пытается получить копию злонамеренного кода и отправить ее на Norman sandbox. Ниже приведена часть отчета о IRC боте: [ Network services ] Как видите, это гораздо проще, чем самостоятельное дизассемблирование и анализ кода. Некоторые злонамеренные программы, такие как Agobot, имеют встроенные анти-отладочные средства, которые препятствует анализу их кода sandbox-ом. В таких случаях вы можете попробовать воспользоваться антивирусом или, если он ничего не обнаружит, попробовать отослать бинарный файл на Virus Total [13], который предоставит вам отчеты о проверке этого файла более двадцати различными антивирусами. Полученные бинарные файлы имеют имя, состоящее из их MD5 хэша, и в дистрибутиве Debian находятся в директории /var/lib/nepenthes/binaries: # ls /var/lib/nepenthes/binaries/ Лог файлы также содержат информацию, откуда был получен данный бинарный файл: # tail -1 /var/log/nepenthes/logged_submissions Если ваш антивирус на данный момент не видит угрозы в полученном файле, вам следует отправить этот файл разработчикам антивируса, которые могут достаточно быстро обновить базу сигнатур. Это позволит вам упростить работу по очистке системы и предотвратить эпидемию. Новозеландский проект Honeynet установил Nepenthes версии 0.17 на Debian unstable. Данная машина прослушивала 255 IP адресов (префикс сети - /24). В течение пяти дней было собрано 78 различных образцов кода. На момент окончания этих пяти дней только 48 из них были идентифицированы антивирусными продуктами как злонамеренный код. Из идентифицированных образцов некоторые были червями Korgo, Doomjuice, Sasser и Mytob. Остальные были IRC ботами того или иного типа, подобного SDBot, Spybot, Mybot и Gobot. Большинство бинарных файлов были классифицированы как черви или боты, имеющие возможности обратной связи и управления. Дальнейший анализ этих образцов может быть выполнен читателем самостоятельно. Для Windows были выпущено большое количество патчей, устраняющих отдельные уязвимости. Даже с хорошей системой управления патчами некоторые из ваших хостов могут остаться непропатченными из-за неверного конфигурирования или человеческого фактора. Большое количество различного злонамеренного ПО может быть использовано для атаки на систему с незакрытыми уязвимостями. Так как исходные коды некоторых злонамеренных программ часто доступны опытным атакующим, может существовать большое количество разновидностей одного злонамеренного кода, не обнаруживаемых антивирусами. Пассивные honeypot-ы подобные Nepenthes легки в установке и требуют минимальной поддержки. Они могут предоставить полезную информацию при инфицировании компьютеров вашей организации. При использовании таких средств совместно с Системой обнаружения вторжений, может быть получена ценная информация о поведении злонамеренной программы, перехваченные пакеты и сам бинарный код программы. |