Смена командования

Крис Касперски ака мыщъх

Хакер, номер #079, стр. 079-054-5

Внутри червя обнаруживается целый букет антиотладочных приемов. Agobot распознает большинство отладчиков (SoftICE, OllyDbg) и виртуальных машин (VMWare, Virtual PC), отказываясь работать в их присутствии. Кроме того, он может прятаться в NTFS-потоках, скрывая факт своего существования от многих примитивных ревизоров.

Agobot был написан конкретным немецким пареньком по кличке Ago, также известным под именем Wonk, арестованным в мае 2004 года за компьютерные преступления. Так хакерское сообщество потеряло одного из самых талантливых своих представителей. Сейчас он сидит в тюрьме, а его творение гуляет на свободе, распространяясь в исходных текстах по лицензии GPL (отсюда и огромное количество модификаций).

Доработка VMWare

Известно по меньшей мере три пути обнаружения VMWare. Во-первых, по оборудованию. Виртуальные машины несут на своем борту довольно специфический набор железа, практически не встречающийся в живой природе: а) видеокарта VMware Inc [VMware SVGA II] PCI Display Adapter; б) сетевая карта Advanced Micro Devices [AMD] 79c970 [PCnet 32 LANCE] (rev 10); в) жесткие диски VMware Virtual IDE Hard Drive и VMware SCSI Controller. Запросив конфигурацию оборудования, червь сразу поймет, где он.

Во-вторых, виртуальные сетевые карты имеют довольно предсказуемый диапазон MAC-адресов, а именно: 00-05-69-xx-xx-xx, 00-0C-29-xx-xx-xx и 00-50-56-xx-xx-xx. Червю достаточно выполнить команду arp -a, чтобы распознать наш план.

В-третьих, VMWare имеет коварный backdoor, оставленный разработчиками в служебных целях и управляемый через порт 5658h, при этом в регистре EAX должно содержаться магическое число 564D5868h. Ниже приведен фрагмент кода червя Agobot, определяющий версию VMWare:

mov eax, 564D5868h ; VMWARE_MAGIC

mov ecx, 0Ah ; Get VMware version

mov edx, 5658h ; VMWARE_PORT

in eax, dx

Для маскировки виртуальной машины Костей Кортчинским (Kostya Kortchinsky) был написан специальный патч, изменяющий идентификационные строки оборудования, MAC-адреса и магический номер backdoor'а.

Где брать IP-адреса в P2P-сетях?

Слепое сканирование IP-адресов, которым занималось первое поколение червей, сейчас уже непопулярно. Это слишком заметно и катастрофически непроизводительно. Вот почему некоторые черви предпочитают черпать IP-адреса из файлообменных сетей - из того же eDonkey. Достаточно установить P2P-клиент, выложить несколько файлов с заманчивыми названиями («Голая Анжелика Монс», например), и юзеры потянутся за ними изо всех уголков Сети. Сколько из них будет дырявыми, можно даже не говорить! Поэтому, прежде чем качать порно из Осла, обязательно сходи на Windows Update и установи все заплатки, которые там только есть.

Полезные ссылки

* www.honeynet.org - официальный сайт некоммерческой исследовательской группы The Honeynet Project, специализирующейся на червях. Это лучший источник информации по ботнетам на сегодняшний день!