Trojan-Proxy.Win32.Mitglieder

 

Троянский прокси-сервер Mitglieder появился сразу после новогодних праздников. Утром 4 января 2004 года тысячам пользователей ICQ было разослано сообщение с просьбой посетить некий сайт. Многие из тех, кто зашел по присланной ссылке, вскоре обратились за помощью в антивирусные компании. На сайте была размещена троянская программа, которая, используя одну из множества уязвимостей Internet Explorer, скрытно устанавливала и запускала троянский прокси-сервер, открывавший на зараженной машине порты для приема и дальнейшей отправки почтовых сообщений. Проще говоря, позволявший использовать зараженный компьютер для рассылки спама.

Тут можно отметить две черты, которые впоследствии неоднократно встречались в новых вредоносных программах и хорошо вписываются в общую картину тенденции их развития:

· рассылка сообщений по электронной почте или ICQ с целью привлечения пользователей на зараженный сайт;

· фактическое выделение троянских прокси-серверов в отдельный класс, тесно связанный с рассылкой спама.

Была еще одна черта, о которой мы уже сказали выше – «создание сети зомби-машин», но всерьез она проявилась чуть позже, когда появился червь Bagle.

 

I-Worm.Bagle

 

Bagle, по всем признакам написанный той же группой вирусописателей, что и Mitglieder, либо сразу устанавливал на зараженные машины троянский прокси-сервер, либо загружал его из интернета. Фактически это был тот же самый Mitglieder, только с функцией саморазмножения по электронной почте. И, что не менее важно, для рассылки Bagle опять-таки использовались машины, ранее зараженные троянцем Mitglieder.

 

I-Worm.Mydoom.a

 

Спустя короткое время после появления Bagle в интернете разразилась крупнейшая на сегодняшний день эпидемия за всю его историю. Почтовый червь Mydoom.a, предварительно разосланный через гигантскую сеть зомби-машин (аналогично Sobig), использовал весьма изощренный метод социального инжиниринга (подобно Swen), содержал в себе мощную бэкдор-процедуру и должен был организовать DDoS-атаку на сайт компании SCO (подобно Lovesan).

Сочетание трех основных особенностей появившихся ранее червей вызвало кумулятивный эффект – Mydoom.a легко обошел недавнего лидера Sobig.f по количеству созданного почтового трафика, заразил миллионы компьютеров, открыв на них порты для доступа извне, и смог успешно осуществить DDoS-атаку на сайт SCO, в результате чего тот был выведен из строя на месяцы вперед.

С другой стороны, он и сам привнес кое-что новое в историю вирусологии. Устанавливаемый им на зараженные компьютеры бэкдор оказался лакомым кусочком для множества других червей. Практически сразу появились вирусы, которые сканировали сеть в поисках открытых Mydoom портов и через них проникали на компьютеры, либо уничтожая Mydoom и заменяя его собой, либо одновременно с ним функционируя в системе. Таких вирусов за короткое время появилось несколько десятков, самые распространенные из них также вызывали локальные эпидемии и все они заставляли армию зомби-машин, созданных эпидемией Mydoom, работать на себя.

Здесь можно отметить еще одну черту, которая постепенно становится четко выраженной тенденцией:

Использование для распространения уязвимостей или бэкдоров, оставленных другими червями.

 

I-Worm.NetSky.b

 

Очевидно, первоначально этот червь был разослан через сеть компьютеров, зараженных Backdoor.Agobot. Он использовал практически все идеи своих предшественников с одной только разницей – он уничтожал найденные на компьютере черви, в частности Mydoom, Bagle и Mimail. Принцип «вирус-антивирус» не нов, еще в 2003 году сетевой червь Worm.Win32.Welchia, используя для размножения уязвимость DCOM RPC в Windows XP, проникал на компьютеры и не только уничтожал экземпляры Lovesan, но и пытался загрузить с сайта Microsoft соответствующие заплатки для предотвращения новых заражений.

NetSky никаких заплаток не ставил, однако пытался бороться с конкурентами не только путем их удаления с зараженных машин, но и словесно. И если автор червя Mydoom в этой кибервойне участия не принимал, то вот авторы Bagle подняли брошенную перчатку и на каждую новую версию NetSky с очередной порцией словесной брани отвечали новой версией Bagle с аналогичными по смыслу текстами. Порой за один день появлялось по три новые версии червей каждого семейства.

В ходе этой «войны» вирусописательских группировок проявилось несколько новых черт современной вирусологии:

· стремление к удалению других червей с зараженных машин, фактически – борьба за место под солнцем (NetSky);

· рассылка себя в виде архивов (Bagle, NetSky);

· рассылка себя в виде закрытых паролем архивов с указанием пароля в тексте письма либо в виде картинки (Bagle);

· отказ от пересылки своего тела по электронной почте и отправка вместо этого в письме ссылки на веб-сайт или на зараженный ранее компьютер (NetSky).

Все эти факторы оказали громадное влияние не только на вирусные технологии, но и на архитектуру и возможности современных антивирусных программ.

Отдельно остановимся на отказе от пересылки своего тела по электронной почте. Практически одновременно с появлением версии NetSky.q, которая посылала письма со ссылкой на ранее зараженный компьютер, в результате чего загрузка червя происходила оттуда, появился и первый червь, размножающийся через популярную программу ICQ, – червь Bizex. Проникая на компьютер, он рассылал по всему контакт-листу ссылку на зараженный сайт, откуда и происходила установка основного компонента вируса. Им использовались две идеи – отправка ссылки, а не файла и использование каналов ICQ для привлечения пользователей.