Смена командования

Крис Касперски ака мыщъх

Хакер, номер #079, стр. 079-054-2

Исследование внутренностей червя не обходится без отладчика и дизассемблера, в роли которых обычно выступают Soft-Ice и IDA PRO. Это коммерческие продукты, но их легко найти в eMule, Sharez'е, IRC или на любом хакерском диске.

Несмотря на то что концепция управления ботами по IRC уже немного устарела, существенная часть ботнетов по-прежнему админится через IRC, поэтому все примеры я буду приводить именно для таких червей.

Для работы нам потребуется IRC-клиент, поставляемый исходными кодами, чтобы мы могли его доработать (ISSR, к примеру).

[как мы будем действовать]

Инсталлим на компьютер VMWare, если только не сделали этого ранее, устанавливаем заплатку Кости Кортчинского (см. врезку «Доработка VMWare»), создаем новую виртуальную машину (File -> New Virtual Machine) и открываем ей доступ в интернет. Это можно сделать либо организовав мост между сетями, либо подняв полноценный NAT. В случае моста виртуальная машина просто подключается к локальной сети как обычный Ethernet-узел, имеющий свой IP и с точки зрения атакующего ничем не отличающийся от всех остальных узлов сети. Естественно, виртуальный IP должен быть предварительно выкуплен у провайдера, иначе у нас ничего не получится. Провайдеры довольно неохотно раздают IP-адреса, поэтому установка NAT намного предпочтительнее. В этом случае снаружи торчит лишь ваш собственный IP-адрес (неважно, динамический он или нет), а все поступающие на него запросы перенаправляются на виртуальный узел, и атакующий даже не подозревает, с кем он реально имеет дело.

Впрочем, все порты транслировать совершенно необязательно и можно ограничиться лишь четырьмя из них: 135/TCP (RPC), 139/TCP (NetBIOS Session Service), 445/TCP (Microsoft-DS) и 137/UDP (NetBIOS Name Service). Большинство червей ломится именно сюда. Чтобы задействовать NAT в настройках виртуальной машины, выбираем VM -> Setting -> NIC -> NAT:Used to share the host's IP address. Затем входим в Edit -> Virtual Network Setting -> NAT -> Edit -> Port Forwarding, нажимаем Add и в поле Host port вводим порт, который мы хотим транслировать, например 135. В графе Forwarded IP Address указывается IP-адрес виртуального адаптера и целевой порт, совпадающий с транслируемым портом.

Еще необходимо транслировать порты, используемые ботнетами для удаленного управления, иначе Мастер просто не сможет дотянуться до дрона. Эти порты не стандартизированы, и у каждого ботнета они свои. Чаще всего используются 6667 (IRC), 903 (NetDevil Backdoor), 2745 (Bagle Backdoor), 3127 (MyDoom Backdoor), 6129 (Dameware Remote Admin) и некоторые другие.