Разводим червей

Ms-Rem (Ms-Rem@yandex.ru)

Хакер, номер #084, стр. 084-118-7

MIME-Version: 1.0

Content-Type: multipart/mixed; boundary="_===13023223====_"

--_===13023223====_

Content-Type: text/plain; charset="windows-1251"; format="flowed"

Content-Transfer-Encoding: 8bit

[Текст письма]

--_===13023223====_

Content-Type: application/octet-stream

Content-Disposition: attachment;

filename="trojan.exe"

Content-Transfer-Encoding: base64

[Здесь идут Base64 данные]

С тем, как добавить файл в аттач, я думаю, все понятно.

Так как все пересылаемые файлы мы будем паковать в архив, то давай разберемся, как можно его создать. Самым простым и лучшим способом будет использование внешнего архиватора, например, если на компе юзера установлен WinRar, то архив создается всего одной строкой: WinExec('rar.exe a -r data.rar trojan.exe', SW_HIDE). Подобным образом можно использовать и другие архиваторы, но, к сожалению, не у всех на компе стоит хоть какой-нибудь архиватор. В таком случае нам ничего не остается, кроме как создавать архивы вручную. Но так как париться со сжатием, я думаю, тебе не хочется, то будем использовать библиотеку MadZip, которая позволяет полноценно работать с ZIP-архивами, и при этом добавляет в исполнимый файл всего 20 Кб веса. Библиотека как всегда на диске с журналом, с ней очень легко разобраться, честное слово.

Итак, суть работы червей и некоторые моменты их реализации я постарался здес описать. Приведенной здесь информации, конечно, недостаточно для того, чтобы вызвать новую эпидемию, но все что для этого нужно ты можешь легко изучить сам (но не в коем случае не делай этого - это плохо!). Для начала советую найти в сети исходники Beagle и MyDoom и внимательно их изучить, затем прочесть и понять RFC на SMTP и MIME-протоколы. Нужно разбираться в психологии для того, чтобы заставить большое количество юзеров запустить аттач. И весьма неплохо было бы добавить к червяку какой-нибудь полиморф. Но я все равно надеюсь, что новой эпидемии не будет, так как каждый, кто разберется в этой теме до конца, не станет тратить свои знания на бесполезное уничтожение, а лучше использует их для написания общественно полезного софта. Верно? ;)

[автозапуск аттача]

Недостаток большинства мыльных червей в том, что для их запуска нужны действия пользователя. Но этого можно избежать, если использовать уязвимости в почтовом ПО. Наиболее популярный в народе почтовый клиент - Outlook Express при просмотре html-писем использует движок Internet Explorer. Всем известно, что этот движок отличается исключительной дырявостью. На IE было выпущено множество эксплойтов, запускающих код на уязвимой машине, и большинство их можно использовать для автозапуска червя при открытии письма! За такую замечательную возможность нам нужно поблагодарить Билла Гейтса, а разработчикам IE нужно памятник при жизни поставить за то, что они сделали в нем много удобных для использования дыр :).

Очень странно, что эту возможность использует очень мало червей. Как пример можно привести червя Winevar. Червяк этот очень старый (еще 2002 года), но отличается от большинства других червей тем, что использует дырку iFrame и запускается при просмотре письма в окне быстрого просмотра Outlook. Это, конечно, круто, но есть возможность лучше. Наверное, ты слышал о существовании jpeg-эксплойта. Существование этого эксплойта связано с ошибкой в обработке jpeg-файлов в системной библиотеке, что позволяет заразить комп через любую программу, показывающую jpeg-картинки! Это можно использовать не только в Outlook, но и в других почтовых клиентах, таких как TheBat или Eudora. На диске ты найдешь исходник этого эксплойта, но, к сожалению, в настоящее время он срабатывает мало у кого.