Черви в компе и тараканы в голове

Xakep, номер #039, стр. 039-024-3

IRC-черви

IRC-черви распространяются не в теле зараженного файла, а в виде скрипта - файла сценария IRC-клиентов. Размножение происходит довольно просто: при реакции на определенные события (например, кодовое слово) червь пытается разослать себя всем, кто находится на канале. Старые версии IRC клиентов помещали принятые файлы в свой корневой каталог. Таким образом принятый скрипт заменял собой рабочий, тем самым заражая компьютер. Первые виды атак подобного рода были обнаружены в 1997 году. Например, Acoragil реагировал на кодовое слово "Acoragil", и, в случае появления его на канале, все инфицированные пользователи моментально отключались. Данный червь мог так же пересылать системные файлы некоторых ОС. На сегодняшний день многие IRC черви содержат в себе особо опасные деструктивные свойства. Например, Claw способен "перепрошить" BIOS (примечательно, что делает он это 1 сентября, видимо, чтобы испортить день окончательно), а червь pIRCH.Events при появлении на канале команды атакующего удаляет все данные на зараженной машине. Если не хочешь заразиться этим червем, обнови, наконец, свой IRC клиент ;). Обязательно поставь «выдавать запрос на получение файла по DCC», никогда не принимай запросы от кого попало, а также не скачивай всякие файлы, которые тебе рекомендуют как «100%-ная порнуха, мужик!» или «запусти, абсолютно новая версия проги!» и т.д. И так всегда: проверяй все скачанное на наличие вирусов. В IRC-клиенте пропиши специальную папку для полученных файлов, чтобы закачиваемые файлы не размещались в корне клиента.

Code Red

Code Red использует дыру в IIS, обнаруженную в октябре прошлого года. Она заключается в том, что позволяет запускать код на удаленных серверах. Ежемесячно с 22 по 27 число червь осуществляет DoS-атаку (Denial of Service - отказ в обслуживании) на сайт Белого дома США (www.whitehouse.gov). Если учитывать, что, по оценкам Zdnet, по всему миру было заражено около 12000 серверов, можно представить масштабы этой атаки. Стоит отметить, что червь не создает каких-либо файлов на дисках, он содержится лишь в оперативной памяти и в виде TCP-пакетов. Еще одной отличительной особенностью данного червя является то, что он дефейсит сайт, расположенный на инфицированном сервере, и в случае запроса выдает страницу, которая изображена на скриншоте.

Через 10 часов активности червь замещает дефейс на подлинное содержание страницы. В настоящее время существует несколько модификаций данного вируса. Например, CodeRedII является модификацией CodeRed с исправленными ошибками и добавленными новыми деструктивными функциями; к примеру, устанавливает программы удаленного администрирования инфицированной машиной.

Заключение

Если ты думаешь, что это все, ты глубоко ошибаешься. Червей тысячи, и каждый год создаются еще тысячи, некоторые из них становятся всемирно известны (что и требуется вирмейкерам), а некоторые тихо и мирно живут в твоей машине, распространяя себя всем твоим друзьям. Но я надеюсь, что теперь ты понял основы работы разных типов червей и будешь более бдителен. В 100-й раз повторяю: не запускай разные «аппетитные» файлы, пришедшие тебе по Инету, как бы сильно их ни рекламировал отправитель.