Будущее Bot-червей.Чего можно ожидать от авторов червей в ближайшие месяцы

Дэвид Санчо ( David Sancho ), главный специалист по антивирусным исследованиям

Компания Trend Micro, специально для Клерк.Ру

Представляется, что текущая тенденция развития вредоносных программ движется в направлении bot -червей. Bot -программы, работающие как агент пользователя или другой программы, часто называются malware и способны атаковать огромное количество ничего не подозревающих пользователей. Каковы же возможные новые добавления и модификации, которые авторы bot -червей могут включить в свои отвратительные «произведения» уже в ближайшем будущем?

В настоящее время все bot -черви строятся по модульному принципу. Это значит, что автор программы может выбирать различные методы атаки, включая использование брешей в системах защиты, массовую почтовую рассылку, непосредственное размножение, а также их различные сочетания. Результат - специализированный червь, разработанный специально для выполнения своей задачи: похищения информации и установления контроля за инфицированным ПК.

Идея модульности этих типов червей была реализована в WORM _ RBOT . CBQ и WORM _ ZOTOB - двух сетевых червях, которые стали «гвоздем» информационных выпусков на прошлой неделе. Бреши в сетевой системе защиты могут использоваться для проникновения, как только опубликован код, иллюстрирующий это слабое место. Когда написанный сегмент кода, использующий какую-то брешь в защите операционной системы, публикуется в Интернете, «создатели» этих червей сразу могут внедрить его в код уже существующего червя, перекомпилировать, и, пожалуйста - уже готов к распространению новый опасный вид червя.

Таким образом, в ближайшем будущем ожидается сокращение времени распространения сетевых червей. Ниже приведен список, в котором показано время, прошедшее с момента обнаружения бреши в системе защиты до появления червя, использующего эту брешь.

• WORM _ NIMDA : 366 дней
• WORM _ SLAMMER : 185 дней
• WORM _ BLASTER : 26 дней
• WORM _ SASSER : 18 дней
• WORM _ ZOTOB : 4 дня

Что из этого следует: в настоящее время скорость создания червей постоянно растет. Поэтому пользователи ПК во всем мире подвергаются все большей опасности. Для того чтобы противостоять угрозе, предлагаются следующие методы:

• Устанавливать обновления безопасности на домашних ПК, как только они станут доступны на Web -сайте корпорации Microsoft . Автоматическое обновление уже стало не дополнительной возможностью, а обязательной функцией. Безопасность домашних систем можно обеспечить, только имея подключение к Интернету.
• В корпоративных системах используется программное и аппаратное обеспечение, разработанное специально с учетом защиты от таких вторжений. Определение и блокировка сетевых пакетов, которые используют черви для проникновения через слабые места, по существу, лучшая защита от такого типа malware . Эти системы включают системы обнаружения сетевых атак, а также специализированное сетевое антивирусное ПО, например, Trend Micro Network VirusWall ® или Trend Micro Personal Firewall , которое может блокировать прием пакетов, посылаемых вредоносными программами, даже если в основной системе имеется брешь.

Мы предполагаем, что в будущем вредоносные программы будут использовать следующие технологии:

Захват потоков RSS : как следует из названия, эта развивающаяся технология является методом автоматического получения обновлений, или « Real Simple Syndication ». Содержание Web -страниц может обновляться, и их RSS -подписчики могут получать новый контент по мере публикации с помощью клиентов RSS , которые постоянно отслеживают обновления. Самый простой способ использования этой развивающейся технологии - захват уже сконфигурированных клиентов RSS для автоматической загрузки новых копий червей и другого вредоносного ПО на инфицированные ПК. Это достигается путем перенастройки уже сконфигурированного клиента на другой, вредоносный Web -контент. Сначала червь проверяет, настроена ли данная система на какую-либо автоматическую загрузку обновлений. Если это так, остается всего лишь добавить или изменить один из адресов для обновлений на адрес вредоносного Web -сайта. Такой тип атак может иметь два прямых последствия:

• Измененный агент может служить в качестве «пассивной» точки загрузки, т.к. соединение начинается с разрешенного адреса. Из-за того, что первое соединение уже «разрешено», он может обойти персональные межсетевые экраны и другие барьеры.
• Загрузки будут все равно продолжаться, даже если червь обнаружен и удален. Для полного прекращения загрузки необходимо средство для удаления вредоносной информации из конфигурации клиента RSS .

Один из факторов, уменьшающих эту опасность: в настоящее время такие программы загрузки не стандартизованы, поэтому атакам могут подвергаться только определенные программы. Этот тип атак в настоящее время не является достаточно опасным.

Однако ситуация может измениться с выходом окончательной новой версии обозревателя Internet Explorer 7. Корпорация Microsoft уже объявила, что эта новая версия популярного Интернет-обозревателя будет содержать встроенную поддержку загрузки по технологии RSS . Поэтому авторы червей могут получить новые мощные возможности для атак.

Чтобы бороться с такими атаками, компании должны применять, если они еще не применяют, методы сканирования трафика HTTP . Судя по всему, это будет один из самых популярных методов борьбы с распространением malware в ближайшем будущем.