Смена командования

Крис Касперски ака мыщъх

Хакер, номер #079, стр. 079-054-4

Как узнать, какие команды поддерживает червь? Полный ответ дает только дизассемблирование, однако на первых порах можно ограничиться просмотром HEX-дампа. Команды управления представляют собой обычные ASII-строки, записанные прямым текстом, но увидеть их не так-то легко! Большинство червей упакованы хитроумными полиморфными генераторами, автоматических распаковщиков для которых не существует. Ну не существует, и не надо! Берем любой дампер (ProcDump, Lord PE) и дампим червя вживую. Конечно, полученный PE-файл с вероятностью, близкой к единице, окажется неработоспособен (как минимум, необходимо восстановить таблицу импорта и сделать кучу других мелких дел). Фактически это труп червя, но для наших целей он вполне подойдет.

Набор команд разнится от червя к червю, в частности Agobot может следующее: сменить свой ник, сообщить конфигурацию системы, сделать себе харакири, запустить любой исполняемый файл, определить IP-адрес и доменное имя заданного узла, подключиться/отключиться от IRC-сервера, зайти на канал и т.д.

Почти все черви используют слегка модифицированный протокол IRC, и потому обычные IRC-клиенты для управления ботнетом непригодны, но ведь не писать же своей собственный, верно? Возьмем готовый клиент, распространяемый в исходных текстах, например IRSSI, и, вооружившись хорошим напильником, слегка доработаем его. В первую очередь, необходимо вырезать текстовую строку «irssi 0.89 running on openbsd i368» и вырубить все команды автоматичесокго ответа (Auto Response Triggering Commands), иначе хозяин ботнета легко обнаружит наше присутствие на канале и либо поставит бан, либо просто заставит армию дронов запинговать наш узел до смерти.

[заключение]

Что можно сделать с захваченным ботнетом? Самое благородное — отдать дронам команду на самоуничтожение, если, конечно, нам не жаль расставаться с властью и кучей денег :). Ботнет — это выносливая лошадка, готовая распространять варез, видеоклипы и mp3. Ботнеты, насчитывающие десятки и сотни тысяч машин, здорово помогают при вскрытии паролей методом тупого перебора и легко могут завалить даже крупный сетевой проект. Дронов, снабженных микрофоном, сотовым телефоном или, на худой конец, обыкновенным модемом, можно превратить в подслушивающие устройства. А если захватить тысячу машин с web-камерами, то можно и вовсе почувствовать себя Большим Братом :).

Самый популярный ботнет

Первое место по популярности занимает Agobot, насчитывающий свыше пятисот (!) модификаций. Это довольно продвинутый червь, написанный на приплюснутом Си с четко выраженной модульной структурой, что значительно упрощает наращивание его функциональности. Agobot использует кроссплатформенную библиотеку libpcap для перехвата трафика и PCRE (Perl Compatible Regular Expressions — Perl-совместимые регулярные выражения) для обработки перехваченного контента (например, поиска паролей, номеров кредиток и т.д.).