Коллектив Авторов - Цифровой журнал «Компьютерра» № 203

«Красный код» действовал предельно просто: подключаясь к машине с запущенным IIS, он вызывал переполнение буфера и делал её неработоспособной. Кроме того, если в качестве языка такого сервера был установлен американский английский, то на главную страницу сайта выводилось сообщение, что он якобы взломан китайцами — которые на самом деле вряд ли имели отношение к Code Red.

Если системный администратор не принимал мер по удалению вируса в течение 10 часов, то это сообщение исчезало, но за истёкшее время вирус в поисках потенциальных жертв успевал отправить море запросов по случайным IP-адресам, замусоривая каналы бессмысленным трафиком и блокируя сетевую активность. Более того, если системная дата была больше 20-го числа месяца, то Code Red начинал «стучаться» в серверы, расположенные по адресу www.whitehouse.gov, организуя массированную DDoS-атаку на сайт президента США. 

Однако, как и во многих вирусах, в самом Code Red скрывалась ошибка: на самом деле сканируемые IP-адреса не были случайными, и в результате некоторые машины, только что очищенные от вируса, в следующую же секунду могли быть вновь заражены.

Достойный преемник Code Red — вирус Slammer, который также вошёл в число самых быстрораспространяемых в мире. Этому зловреду удалось заразить 75 тысяч компьютеров всего за десять минут, при этом он использовал аналогичную технологию переполнения буфера, но уже в среде Microsoft SQL Server 2000. Самое примечательное заключается в том, что Microsoft чуть ли не за шесть месяцев до появления Slammer выпустила патч, устраняющий уязвимость, которую эксплуатировал этот вирус. Тем не менее его не установило не только большинство сторонних компаний, но и даже и целые подразделения самой Microsoft!

Одна из крупнейших сетевых атак в результате деятельности Slammer произошла в начале 2003 года, когда вирус за считанные минуты так перегрузил каналы, что почти полностью заблокировал доступ в интернет в Южной Корее и некоторых других азиатских странах. В США и Европе ситуация была не столь катастрофической, хотя замедление скорости передачи данных ощущалось почти в любой точке света. 

В дальнейшем эпидемия быстро пошла на спад, поскольку после установки патча было достаточно перезагрузить сервер.

Созданный группой китайских хакеров Xfocus червь Blaster (он же Lovesan или MSBlast) использовал ту же схему заражения со сканированием случайных IP-адресов, что и Slammer. И снова использовалась технология переполнения буфера, но уже множества клиентских машин. Целью китайских хакеров были серверы Microsoft: широкомасштабная DDoS-атака с заражённых компьютеров должна была начаться 16 августа 2003 года, но в Редмонде приняли меры — и ущерб от Blaster оказался сведён к минимуму.

Однако модифицированная версия Blaster B, в изготовлении которой уличили американского школьника Джеффри Ли Парсона, оказалась намного опасней и живучей: практически каждый пользователь Windows, не установивший антивирусного ПО, рано или поздно получал на экране окно, в котором говорилось о выключении системы, и запускался обратный отсчёт: 

«Система завершает работу. Сохраните данные и выйдите из системы.
 Все несохранённые изменения будут потеряны.

Отключение системы вызвано NT AUTHORITY\SYSTEM».

После перезагрузки начинался подбор случайных IP-адресов и попытки заразить другие доступные машины. Через произвольные отрезки времени перезагрузки происходили снова и снова — до тех пор пока вирус не удаляли с компьютера.

Впоследствии появилось ещё несколько модификаций Blaster, но они уже не нанесли такого ущерба, как первые две.

Несмотря на то что периодически появляются сообщения о тех или иных компьютерных вирусах, вот уже несколько лет нет никаких громких эпидемий с катастрофическими последствиями. Сегодня главная угроза для домашних пользователей — это прежде всего «трояны», превращающие компьютер в «боевую единицу» бот-сетей и похищающие разного рода личные данные. Для веб-серверов — это всё те же DDoS-атаки, но организованные уже на принципиально ином уровне, с помощью управляемых сетей ботов.

Почему почти сошли на нет «обычные» вирусы? Во-первых, в Microsoft всерьёз озаботились безопасностью на уровне как серверного, так пользовательского ПО, так что даже Windows XP с Service Pack 3 можно считать довольно безопасной по сегодняшним меркам операционной системой. 

Во-вторых, как ни странно, за последние годы выросла «сознательность пользователей», которые понимают, что для работы в интернете обязательно нужно установить антивирусный софт. Забавно, что этим начали пользоваться и сами вирусописатели, пытающиеся распространять своё творчество под видом антивирусов.

Наконец, есть и чисто техническая разница: если до самого начала двухтысячных большинство пользователей выходило в интернет напрямую через модемы, то сегодня практически все домашние и корпоративные машины подключаются к Сети через маршрутизаторы и коммутаторы, которые выступают в качестве брандмауэров и предотвращают в том числе и случайное заражение.

Тем не менее пользователи Windows, как и раньше, остаются самой атакуемой группой — просто потому, что эта операционная система занимает львиную долю рынка. Между тем участились атаки и на машины под управлением OS X, хотя их доля выросла несущественно. И ещё один объект пристального внимания вирусописателей — это мобильные ОС, которых просто не существовало десять лет назад. Речь прежде всего об Android и iOS, которые по числу активных пользователей уже легко поспорят с традиционными «настольными» операционками. И если пока число вирусов для Android не слишком велико, то в обозримом будущем их может оказаться намного больше, чем для той же Windows.

К оглавлению

Опубликовано 11 декабря 2013

Кража учётных записей к веб-сайтам — миллионами и десятками миллионов штук за подход — преступление настолько распространённое, что даже популярная пресса зачастую ленится писать об очередном инциденте. Однако вскрывшееся на днях хищение, жертвами которого стали 2×10^6 сетян, заставило взглянуть на ситуацию под новым углом. Знаете, как страдающий от аллергии на кошачью шерсть хозяин однажды устаёт нагружать пылесос и задумывается завести менее опасного для здоровья домашнего питомца, так и кое-кто из айтишной братии задумался о том, что мир, в котором мы живём, — мир компьютерный, конечно, цифро-электронный — может и, наверное, должен бы быть устроен более совершенно.

Суть новости, которую вы наверняка слышали, проста и до боли знакома. Очередные спецы по безопасности (на сей раз из компании Trustwave) получили доступ к очередной бот-сети, незаметно контролирующей миллионы персоналок в доброй сотне стран (на сей раз это PONY), и наткнулись в её виртуальных закромах на собранную ею же самой коллекцию из примерно двух миллионов паролей-логинов к десяткам тысяч сайтов (в основном, конечно, популярных: Facebook, сервисы Google, Twitter, Yahoo!, даже «Одноклассники» и «В Контакте»). Судя по настройкам, управлял бот-сетью русский, а первоочерёдной задачей на ближайшее будущее для авторов открытия станет осторожная публикация добытых сведений. Facebook и иже с ними уже уведомлены; возможно, будет открыт и сайт, на котором интересующиеся сетяне смогут узнать, нет ли среди скомпрометированных аккаунтов принадлежащих им. В общем, всё как обычно, всё так, как было уже десятки раз за последние годы.

И заканчивать рассказы о компьютерных неприятностях тоже принято стандартно — советами по поводу цифровой гигиены, если позволите так выразиться. Ещё десять лет назад свод рецептов для юзера был прост: не запускать программ из «левых» источников, по возможности пользовать альтернативный почтовый клиент, ну и придумывать надёжные пароли — длинные, с перемежающимся регистром, знаками препинания. В Trustwave, кстати, любопытства ради провели анализ попавшей в их руки парольной базы и выяснили, что в смысле стойкости паролей с середины нулевых ничего принципиально не изменилось. Больше трети из них откровенно слабые, половине стоило бы быть сильней. Короче, попытка втолковать обывателю необходимость генерировать хороший пароль провалилась. Но пора уже перестать насиловать мозг пользователя и обратить внимание на технику!