Интернет под угрозой военных ботов!

Master-lame-master

Xakep, номер #056, стр. 056-050-4

Где же вы, пароли?

Кроме команд, организующих атаку, были и другие, причем не менее интересные. Например, !find disk mask искал файл на заданном диске. Ничего умного в голову не лезло, поэтому хакер заставил всех ботов найти *.dat в каталоге c:\program files\ICQ :). Машины, как правило, являлись рабочими станциями, поэтому поиски оказались пустыми. А вот пароли от FTP-серверов, хранящиеся в популярном менеджере Total Commander, можно было заюзать без особых проблем.

После команды !find c:\winnt wcx_ftp.ini взломщик получил порядка десяти ссылок на указанный файл. Нет, ему совсем не нужно было вытягивать каждый ini’шник через Unicode-string. Боты были поразительно умны и понимали команду !get, переданную в приват. После нее бот передавал файл по DCC соединению. Таким образом, хакер вытянул десяток ini-файлов. В парочке из них находились довольно интересные FTP-сервера с сохраненными паролями. Если есть FTP-доступ, то, возможно, есть и SSH.

Все пароли в TotalCMD шифруются по некоторому алгоритму. Расшифровывать их самому не было никакого желания, поэтому хакер поступил иначе. Он скачал программу recover (http://www.fomichev.ru/soft/crk/recover.zip). Эта чудо-прога была обычным аналогом известного Openpass - подсматривала пароль за астериксами (звездочками). Эти звездочки можно было найти, если открыть опции FTP-сессии, предварительно закинув wcx_ftp.ini в системный каталог.

Бот улетел, но обещал вернуться!

Через несколько дней нарушитель сетевого порядка знал все команды бота. Как оказалось, представители искусственного интеллекта умели бомбить ICQ через службу Pager, делать udp-флуд, а также tcp путем "бросания" больших пакетов в заданный порт жертвы. К тому же бот являлся червяком: он постоянно сканил указанные админом диапазоны адресов и искал на них уязвимые IIS. Если находил, то сразу же заливал копию себя через FTP-сервер, распаковывал и запускал эту самую копию. Процедура размножения занимала 30 Кб mIRC-кода.

Кроме того, бот слушал порт, на котором располагался самописный баунсер. Конечно, возможности его были довольно ограниченны, но держать коннект он умел. В баунсере использовалась та же автономная авторизация, что и для бота-админа, только хеш посторонних цифр был другим ;). Хакеру удалось получить доступ и на баунсер. Одним словом, он взял под полный контроль вражеских ботов и управлял ими вплоть до их переезда на другой irc-сервер. После этого переезда его приключения с irc-ботами завершились.

Этот материал приведен только в целях ознакомления и изучения основных действий хакера. Повторять трюки взломщика опасно для жизни - Старший Брат смотрит на тебя ;).

Основные принципы начинающего хакера

Что же помогло хакеру в его нелегком деле?

1. Взломщик стремится к достижению своей цели любыми способами. Это видно из статьи: в одном случае он потратил на написание дешифрующей функции 5 часов, в другом - 5 минут на узнавание пароля от FTP-сессии.