Смена командования

Крис Касперски ака мыщъх

Хакер, номер #079, стр. 079-054-3

Устанавливаем на виртуальную машину девственно чистую W2K, водружаем поверх нее SyGate Personal Firewall, приказывая ему грабить весь трафик: Tools -> Options -> Log -> Capture Full Packet, Maximum log file size is 1 048 576 KB — конкретный размер лога выбирается по вкусу. Здесь действует принцип: лучше перебрать, чем недобрать, иначе критически важные пакеты будут безвозвратно утеряны. Чтобы брандмауэр не надоедал постоянными запросами, в меню Security выбираем Allow All, что означает «дозволено все». Затем устанавливаем Microsoft AntiSpyware и дезактивируем защиту реального времени (Options -> Setting -> RealTime Protection). Нам он будет нужен только как сканер. Противодействие червям не входит в наши планы.

Вот и все. Открываем пиво, входим в интернет и терпеливо ждем, пока какой-нибудь червь не заползет на наш компьютер. Долго ждать не придется. Каждый день на мой компьютер залезает по меньшей мере пара-тройка червей, многие из которых являются ботами. Известные черви опознаются сканером, неизвестные выявляются просмотром логов брандмауэра (естественно, нужно знать основы TCP/IP, чтобы их дешифровать).

[как побороть червя]

Просматривая трафик, награбленный брандмауэром (Logs -> Traffic/Packet Logs), ищем соединения, установленные с IRC-сервером, по умолчанию расположенном на 6667 порту. Среди прочей фигни в них должны находится строки PASS, NICK, USER и JOIN, посредством которых червь подключается к своему каналу. Приблизительно это выглядит так:

[протокол обмена червя с IRC-сервером]

<- :mozilla.se.eu.dal.net NOTICE AUTH :*** Looking up your hostname...

<- :mozilla.se.eu.dal.net NOTICE AUTH :*** Checking Ident

<- :mozilla.se.eu.dal.net NOTICE AUTH :*** Found your hostname

<- :mozilla.se.eu.dal.net NOTICE AUTH :*** No Ident response

-> PASS drone_pass

-> NICK [urX]-3011331

-> USER drone 0 0 :drone

<- : mozilla.se.eu.dal.net NOTICE [urX]-3011331

<-:*** If you are having problems connecting due to ping timeouts, please type

<-/quote pong ED322722 or /raw pong ED322722 now

<- PING :ED322722

-> PONG :ED322722

<- : mozilla.se.eu.dal.net 001 [urX]- 3011331 :Welcome to

<- the mozilla.se.eu.dal.net IRC Network [urX]- 3011331!drone @nicetry

<- : mozilla.se.eu.dal.net 002 [urX]- 3011331 :Your host is mozilla.se.eu.dal.net,

<- running version Unreal3.2-beta19

<- : mozilla.se.eu.dal.net [urX]- 3011331

<- :This server was created Sun Feb 8 18:58:31 2004

<- mozilla.se.eu.dal.net 004 [urX]- 3011331 mozilla.se.eu.dal.net

<- Unreal3.2-beta19 iowghraAsORTVSxNCWqBzvdHtGp lvhopsmntikrRcaqOALQbSeKVfMGCuzN

Чтобы подчинить червя, Мастер должен выполнить команду аутентификации (обычно auth) и передать секретный пароль, который немедленно становится достоянием нашего брандмауэра. Остается зайти на канал и призвать всех червей к себе. Некоторые ботнеты допускают смену пароля, что позволяет сместить прежнего Мастера с трона, некоторые носят жестко прошитый (hardcoded) пароль внутри себя - единолично завладеть таким ботнетом уже не удастся. С одной стороны это плохо, с другой — хорошо.