Смена командования

Крис Касперски ака мыщъх

Хакер, номер #079, стр. 079-054-1

О том, как можно увести чужой ботнет

Воодушевленные разрушительной силой вирусных эпидемий хакеры начали оснащать своих червей механизмами удаленного управления, превратив их в покорный инструмент с практически неограниченными возможностями. Аренда развитого ботнета стоит огромных денег, но чтобы их зарабатывать, совсем необязательно создавать армию с нуля. Можно осуществить военный переворот и подчинить себе армаду чужих червей, заставив их выполнять твои приказы. О том, как сделать это, мы и поговорим сегодня.

[введение]

Термин «бот» (bot, англ.) вышел из IRC, где он означал специального робота, висящего на канале и автоматически раздающего варез всем желающим. В чем достоинства такого подхода по сравнению с тем же FTP, например? Поднять FTP-сервер не проблема, но вот как донести его адрес до народа? Не так уж и легко. А для подключения к боту достаточно соединиться с IRC-сервером и зайти на соответствующий канал. Управлять ботами через IRC на самом деле очень удобно. Вместо того чтобы пыхтеть над системой удаленного управления, можно использовать уже готовые компоненты и IRC-серверы. Неудивительно, что создатели червей взяли эту технику на вооружение.

Проникнув на атакуемую машину, червь устанавливает на ней бота, и этот бот через определенные промежутки времени (или при каждом выходе в Сеть) стучится на один или несколько IRC-серверов и терпеливо ждет распоряжений со стороны атакующего, часто называемого Мастером. Машина с установленным ботом называется зомби (zombie), или дроном (drone). Армия дронов, управляемая Мастером, образует ботнет (botnet — сеть ботов). Некоторые из таких сетей содержат сотни тысяч узлов и представляют собой мощное оружие, способное задавить кого угодно. Пусть каждый дрон имеет канал 33К (дронами обычно становятся домашние компьютеры, за здоровьем которых никто не следит), тогда эффективная пропускная способность стотысячного поголовья дронов достигает 3 Гбит/с, чего вполне достаточно, чтобы перегрузить любой корпоративный сервер, большинство из которых висят на канале T1, ширина которого составляет 1,5 Мбит/с.

Обычно ботнеты организуются для рассылки спама, накрутки баннеров, осуществления DDoS-атак, похищения номеров кредитных карт и других подобных целей. Создать свою собственную армию дронов может далеко не каждый, и возникает естественный соблазн захватить уже раскрученную сеть. Или если не захватить, то хотя бы воспользоваться ее услугами. Естественно, это противозаконно и вообще маст дай, поэтому мы будем действовать строго в исследовательских целях, во всем придерживаясь УК.

[что нам понадобится]

Для захвата чужих ботнетов нам потребуется постоянное соединение с интернетом (например, DSL), но на худой конец сойдет и unlimited dial-up. Еще нам понадобится непатченная W2K, играющая роль приманки. Большинство червей атакует именно ее. Чтобы самому не стать жертвой атаки, приманку следует расположить либо на отдельной машине без ценной информации, либо на виртуальном узле, работающем под управлением VMWare.

Наблюдение за деятельностью атакующих и грабеж проходящего мимо трафика возьмет на себя любая система обнаружения вторжений, ну или на худой конец персональный брандмауэр типа SyGate Personal Firewall 4.х. Для некоммерческого применения он бесплатен. Более поздние версии не позволяют грабить содержимое пакетов без регистрации и для наших целей уже не подходят. Еще потребуется антивирусный сканер, нацеленный на поиск AdWare. Я рекомендую Microsoft AntiSpyware, бета-версия которого распространяется на свободной основе. Да, это Microsoft, но не надо плеваться! Да, софтина тормозит, как бегемот, и ведет себя, как слон в посудной лавке, но другие работают еще хуже :(.