Badacze przejmują kontrolę nad botnetem Drive-By

Infiltrując przestępczą sieć komputerową w celu infekowania odwiedzających legalne strony internetowe, badacze uniwersyteccy uzyskali z pierwszej ręki wgląd w skalę i zakres tak zwanego drive-by download. Znaleźli ponad 6500 stron internetowych zawierających złośliwy kod, który przekierowywał prawie 340 000 odwiedzających na złośliwe strony.

Drive-by download polega na włamaniu się do legalnej witryny w celu potajemnego zainstalowania złośliwego oprogramowania na komputerach odwiedzających lub przekierowania ich na inną witrynę.

W nieopublikowanym artykule naukowcy z Uniwersytetu Kalifornijskiego w Santa Barbara opisują czteromiesięczne badanie, w którym połączyli swoje serwery z kolekcją zainfekowanych komputerów, znaną jako botnet Mebroot. Wśród swoich ustaleń badacze odkryli, że podczas gdy bardziej podejrzane witryny w Internecie – te zawierające pornografię i nielegalne pliki do pobrania – były najskuteczniejsze w przekierowywaniu użytkowników na złośliwą witrynę pobierania, strony biznesowe były bardziej popularne wśród zhakowanych stron odsyłających.

Kiedyś myślałeś, że jeśli nie przeglądasz porno, będziesz bezpieczny, mówi Giovanni Vigna , profesor informatyki UCSB i jeden z autorów artykułu. Ale trzymanie się z dala od obskurnych miejsc w Internecie nie jest już gwarancją bezpieczeństwa.

Po raz pierwszy odkryta przez badaczy pod koniec 2007 roku, sieć Mebroot wykorzystuje zainfekowane strony internetowe do przekierowywania odwiedzających na scentralizowane serwery pobierania, które próbują zainfekować komputer ofiary. Naukowcy twierdzą, że złośliwe oprogramowanie, nazwane tak ze względu na swoją taktykę infekowania głównego rekordu rozruchowego (MBR) komputera z systemem Windows, wykazuje oznaki profesjonalnego programowania, w tym szybkiego cyklu debugowania.

Jest to zdecydowanie jeden z najbardziej zaawansowanych i profesjonalnych botnetów, mówi Kimmo Kasslin, dyrektor ds. bezpieczeństwa w firmie antywirusowej F-Secure z siedzibą w Helsinkach w Finlandii.

Korzystając z różnych metod, przestępcy stojący za Mebrootem infekują legalne serwery WWW kodem JavaScript. Kod przekierowuje odwiedzających do innej domeny internetowej, która zmienia się każdego dnia i gdzie złośliwy serwer próbuje włamać się na ich komputer za pomocą programu, który zapewnia właścicielom botnetu zdalną kontrolę nad tą maszyną.

Naukowcy twierdzą, że technika niestandardowego generowania domen jest stosunkowo wyrafinowanym sposobem udaremnienia prób trwałego wyłączenia sieci. Starsze systemy pobierania drive-by przekierowywały ofiary na zakodowany na stałe adres internetowy. Zamiast statycznego adresu, Javascript używany przez Mebroot generuje codziennie nowy adres, podobny do algorytmu domeny używanego przez innego szkodnika komputerowego o nazwie Conficker. Ponieważ jednak algorytm opiera się na znanych danych wejściowych – mianowicie dacie – domeny mogą być wstępnie obliczone, co pomaga obrońcom. Na przykład grupa robocza Conficker próbowała zarezerwować przyszłe domeny z co najmniej miesięcznym wyprzedzeniem.

W ciągu czterech miesięcy naukowcy badali Mebroota, sieć infekcji wykorzystywała trzy różne algorytmy generowania domen, z których dwa wykorzystywały tylko datę dnia jako dane wejściowe. Ostatni wariant dodaje jednak zmienną, której nie można łatwo odgadnąć z dużym wyprzedzeniem: drugie znaki najpopularniejszego hasła tego dnia na Twitterze.

Oni (twórcy Mebroota) użyli zmiennej, która nie kontrolowała złych ani dobrych, mówi Marco Cova, student UCSB i współautor artykułu.

Po przeprowadzeniu inżynierii wstecznej algorytmu generowania domen naukowcy tymczasowo przejęli kontrolę nad Mebroot, odzwierciedlając kroki podejmowane przez zhakowane witryny w celu obliczenia bieżącej domeny i samodzielnej rejestracji tych domen. Jednak badacze zauważyli, że gdy rejestrowali domenę dla swoich serwerów typu sinkhole, gang Mebroot zareagowałby, rejestrując przyszłe domeny szybciej.

Badaczom udało się również sprofilować typową ofiarę sieci. Prawie 64 procent odwiedzających przekierowanych na serwery badaczy korzystało z systemu Windows XP, a 23 procent z systemu Windows Vista. Kolejne dwa najpopularniejsze systemy operacyjne to Mac OS X 10.4 Tiger i Mac OS X 10.5 Leopard, które stanowiły 6,4 procent wszystkich odwiedzających.

Badacze nigdy nie narażali systemów odwiedzających. Udało im się jednak znaleźć dowody na to, że zostali zainfekowani, analizując dwa rodzaje informacji przesyłanych przez sieć. Jeden z nich sugerował, że 6,5 procent odwiedzających zostało zainfekowanych złośliwym oprogramowaniem. Drugi wskazał, że 13.3. procent systemów zostało zmodyfikowanych przez złośliwe lub niechciane pliki. Co więcej, ponad połowa — około 54 procent — korzystała z jakiegoś oprogramowania antywirusowego. Naukowcy odkryli, że około 12% osób korzystających z oprogramowania zabezpieczającego było również zainfekowanych złośliwym oprogramowaniem.

Naukowcy odkryli również, że prawie 70 procent przekierowywanych przez Mebroota – sklasyfikowanych według adresu internetowego – było podatnych na jedną z prawie 40 luk regularnie wykorzystywanych przez najpopularniejsze zestawy narzędzi do infekcji zaprojektowane w celu złamania zabezpieczeń systemów komputerowych. Około połowa tej liczby była podatna na sześć konkretnych luk wykorzystywanych przez zestaw narzędzi Mebroot.

Badania sugerują, że użytkownicy muszą częściej aktualizować, mówi Vigna z UCSB.

Poprawki są bardzo dobre w zmniejszaniu narażenia użytkowników końcowych, ale użytkownicy nie są zbyt dobrzy w aktualizowaniu swojego systemu, mówi.

ukryć