Материал: Гинодман От первых вирусов до целевых атак 2014

Компании Microsoft, Intel, Lockheed Martin были вынуждены временно отключить свои корпоративные службы электронной почты. По разным оценкам, совокуп-

ный ущерб от вируса оценивается в несколько десятков миллионов долларов США.

Через некоторое время был обнаружен и арестован автор вируса Melissa, Дэ-

вид Л. Смит (David L. Smith). 9 декабря он был признан виновным и осужден на 10 лет тюремного заключения и к штрафу в размере 400 000 дол.

ZippedFiles (также известный как ExploreZip, 1999) − первый упакованный ин-

тернет-червь. Тело вредоносной программы было упаковано утилитой сжатия Neolite, обращаться с которой в то время антивирусные продукты не умели, что привело к эпидемии.

Bubbleboy (1999) − первый вирус из поколения червей-невидимок, распространявшихся по электронной почте без использования вложенных файлов и проникавших на компьютеры сразу же после прочтения зараженного письма. Вирус использовал различные уязвимости в системе безопасности Internet Explorer.

Babylonia (1999) − первый вирус-червь, который имел функции удаленного самообновления: он ежеминутно пытался соединиться с сервером, находящемся в Японии и загрузить оттуда список вирусных модулей.

В 2000 году основным средством транспортировки вредоносных кодов стала

электронная почта − около 85 % всех зарегистрированных случаев заражения были

вызваны проникновением вирусов именно при помощи этого источника. Помимо прочего, этот год также был отмечен всплеском активности создателей вирусов к Linux. В целом было зарегистрировано появление 37 новых вирусов и троянских про-

грамм для этой операционной системы.

LoveLetter (2000) − знаменитый скрипт-вирус, побивший рекорд вируса Melissa по скорости распространения.

Существует несколько разновидностей почтовых червей. Одни распространяются в виде исполняемых файлов (примером может служить первый современный червь Happy99), другие − в виде скрипт-файлов (Visual Basic Script или Java Script),

вложенных в почтовые сообщения, третьи – в виде скриптов, встроенных в HTML-

сообщения. Общим для всех почтовых червей является то, что для их распростра-

нения используется электронная почта, обычно в сочетании с методами социальной

инженерии, призванными убедить наивных пользователей запустить вредоносный

код.

Червь LoveLetter стал одним из первых примеров успешного применения ме-

тодов социальной инженерии. Для распространения червя использовались сообщения с темой ILOVEYOU и текстом следующего содержания, размещенным в теле

http://www.kaspersky.ru/

http://academy.kaspersky.com/

http://www.securelist.com/

письма: «Kindly check the attached LOVELETTER coming from me» («Пожалуйста,

прочтите мое любовное письмо, прикрепленное к письму»). Всего в течение не-

скольких часов были поражены миллионы компьютеров.

Экономический ущерб, причиненный вирусом, оценивается в сумму свыше 8 млрд дол. [CE1]. LoveLetter попал в Книгу рекордов Гиннесса как самый разруши-

тельный компьютерный вирус в мире.

Pirus (октябрь 2000) − первый вирус, написанный на скрипт-языке PHP.

Fable (октябрь 2000) − первый вирус, скрывающийся в информационных фай-

лах PIF.

В целом 2001 г. характеризуется весьма масштабными эпидемиями сетевых

червей, использующих для своего проникновения в систему различные дыры в операционных системах и установленном программном обеспечении.

Ramen (2001) − вирус, за считанные дни поразивший большое количество крупных корпоративных систем на базе операционной системы Linux.

Sadmind (2001) − первый известный интернет-червь, заражающий компьюте-

ры Sun Sparc с операционной системой Solaris/SunOS. Для размножения использо-

валась брешь в службе системного администрирования /usr/sbin/sadmind. Червь также атаковал HTTP-серверы с установленным Microsoft Internet Information Server (IIS).

CodeRed (2001) − представитель нового типа вредоносных кодов, бесфайловый («бестелесный») червь. В отличие от всех предыдущих вирусов, он не пытался

инфицировать файлы на жестком диске заражаемого компьютера, существуя лишь в

его оперативной памяти и в сетевых пакетах. CodeRed использовал уязвимость сервера Microsoft IIS [MS01-033 − «Переполнение буфера в расширении ISAPI сервера

индексов допускает запуск кода на веб-сервере»] для атаки на серверы, работаю-

щие под управлением Windows 2000. CodeRed распространялся, пересылая TCP/IP-пакеты через порт 80 на удаленную машину, загружался в память, используя

переполнение буфера, а затем таким же точно способом рассылал свой код на дру-

гие уязвимые серверы. CodeRed разошелся по Интернету в считанные часы.

CodeRed начал действовать 12 июля 2001 года и вызвал эпидемию, заразив

по разным данным до 200 000 серверов по всему миру, и провел крупномасштабную

DDoS-атаку на веб-сервер Белого дома, вызвав нарушение его нормальной работы.

Через неделю, 19 июля, появилась новая модификация CodeRed, показавшая

чудеса распространения – более 350 000 машин за 14 часов (до 2000 компьютеров в минуту). Однако, по замыслу автора, 20 июля вирус прекратил свое распространение.

http://www.kaspersky.ru/

http://academy.kaspersky.com/

http://www.securelist.com/

Следующая версия, CodeRed.c (CodeRed II), была обнаружена 4 августа 2001 года. После заражения (использовалась всё та же брешь в системе безопасно-

сти IIS) вирус ничем не выдавал свое присутствие один-два дня, после чего перезагружал компьютер и начинал активные попытки распространения, продолжавшиеся 24 часа (или 48, в случае использования китайской раскладки). Червь также уста-

навливал троянскую программу explorer.exe и использовал встроенную бэкдорпроцедуру.

Sircam (2001) − почтовый червь, отличавшийся необычной процедурой выбора имени зараженного вложения. Для этого случайным образом на диске выбирался

документ, к имени которого добавлялось расширение .pif, .lnk, .bat или .com. Полученная конструкция вида mydiary.doc.com служила темой рассылаемых писем и именем новой копии программы. К отобранному файлу дописывался код червя. Таким образом, Sircam мог привести к утечке конфиденциальной информации. При

рассылке использовался собственный SMTP-клиент, в поле «От» указывался один

из адресов, найденных на зараженном компьютере, а сообщение содержало текст

вида «Hi! How are you? I send you this file in order to have your advice. See you later.

Thanks». Кроме того, в определенный момент времени (в зависимости от системного времени и модификации вируса) на зараженном компьютере удалялись все файлы на системном диске.

Nimda (2001). Успех CodeRed означал, что одним эпизодом дело не ограничится. И действительно, двумя месяцами позже, в сентябре 2001 года, вирус Nimda, использующий уязвимость в Internet Explorer [MS01-020: «Неправильный заголовок

MIME может привести к запуску вложения электронной почты обозревателем Internet

Explorer»], стал причиной еще одной глобальной эпидемии.

В отличие от ранее известных угроз, связанных с массовыми почтовыми рассылками, Nimda не требовал запуска пользователем зараженного ЕХЕ-файла, вложенного в почтовое сообщение. Вместо этого он использовал уязвимость браузера для автоматического запуска своего кода на исполнение. К тому времени уязвимость

MS01-020 уже полгода как была обнаружена, но на многие компьютеры закрываю-

щие ее обновления еще не были установлены5. Поэтому Nimda сумел заразить ком-

пьютеры по всему миру − вирус-червь в течение 12 часов поразил до 450 000 ком-

пьютеров.

В годы, последовавшие за эпидемиями, вызванными CodeRed и Nimda, созда-

ние эксплойтов для системных уязвимостей стало обычным делом, поскольку авто-

ры вредоносных программ нашли уязвимости во многих популярных программах и

5 Хорошая иллюстрация для одного из базовых правил техники компьютерной безопасности: «Регулярно устанавливать обновления операционной системы и используемого ПО».

http://www.kaspersky.ru/

http://academy.kaspersky.com/

http://www.securelist.com/

операционных системах. Ранее такие методы ассоциировались с деятельностью хакеров, а не вирусописателей. Сочетание «традиционных» технологий создания ви-

русов с хакерскими атаками стало очередным этапом развития вредоносных программ.

Klez (2001) − почтовый червь, модификации которого на протяжении следующих нескольких лет занимали первые строки в рейтингах популярности. Программа

проникала в компьютер по сети или через электронную почту. Также вредонос имел встроенную функцию поиска и подавления антивирусного программного обеспечения. Klez дописывал свой код к одному из документов на зараженной машине и начинал массовую рассылку. В поле «От» подставлялся любой адрес, найденный в

компьютере или же случайно сгенерированный. При этом список всех обнаруженных в зараженном компьютере адресов электронной почты также присоединялся к вложению. Кроме рассылки своих копий, червь обнаруживал себя по 13-м числам четных месяцев или шестым нечетных, в зависимости от модификации: в такой день все файлы на зараженных компьютерах заполнялись случайным содержимым.

В2002 году наблюдается стремительный рост вредоносных программ, которые преследуют конкретные коммерческие цели – похищают конфиденциальные данные, финансовые средства, пароли доступа в Интернет или производят другие действия, наносящие какой-либо материальный ущерб пользователям зараженных компьютеров. Этот год положил начало стремительной криминализации интернета в годы последующие.

В2003 году начинает набирать обороты новый вид электронного мошенничества − так называемый фишинг. На первых порах он проявился в форме рассылки поддельных писем с просьбой подтвердить персональные коды доступа к банковскому счету.

Но прежде всего этот год запомнился эпидемией компьютерного червя Slammer, которая впервые со всей очевидностью продемонстрировала человечеству всю масштабность и серьезность угроз, которые несет в себе вредоносное ПО. Впервые в результате деятельности вредоносной программы от интернета на 12 часов было

отключено (экономически и технологически развитое) государство − Южная Корея.

В начале 2003 года грянула эпидемия интернет-червя Slammer, заражающего

сервера под управлением Microsoft SQL Server 2000. Вредонос использовал брешь в

системе безопасности SQL Server. После проникновения на SQL-сервер червь в бес-

конечном цикле начинал посылать свой код на случайно выбранные адреса в сети.

Поскольку SQL-сервера часто используются в качестве стандартной базы данных на

Web-серверах, то данный червь был в состоянии замедлить работу Интернета в

глобальных масштабах.

http://www.kaspersky.ru/

http://academy.kaspersky.com/

http://www.securelist.com/

Slammer имел крайне небольшой размер − всего 376 байт (CodeRed − 4 КБ,

Nimda − 60 КБ) и присутствовал только в памяти зараженных компьютеров. Более

того, при работе червя никакие файлы не создавались, и червь никак не проявлял себя (помимо сетевой активности зараженного компьютера).

Действие компьютерного червя Slammer привело к очень значительному

ущербу. В частности, этому вредоносному ПО удалось на 12 часов отключить от Интернета Южную Корею.

В августе 2003 года около 8 миллионов компьютеров во всем мире оказались

заражены интернет-червем Lovesan/Blaster. Для размножения использовалась оче-

редная брешь − на этот раз в службе DCOM RPC Microsoft Windows. Кроме того, вредонос включал в себя функцию DDoS-атаки на сервер с обновлениями для

Windows.

Sobig.f (2003). Вредоносная программа Sobig.f установила новый рекорд по

скорости − доля зараженных ею писем доходила до 10 % всей корреспонденции. Это достигалось использованием спамерских технологий. Sobig.f также инициировала цепную реакцию: каждый новый вариант этого компьютерного червя создавал сеть

инфицированных компьютеров, которая позднее использовалась в качестве плат-

формы для новой эпидемии. Однако конец эпидемии запрограммировал сам автор −

10 сентября 2003 года Sobig.f прекратил размножение.

Swen (также известный как Gibe, 2003) − яркий пример использования методов социальной инженерии. Этот компьютерный червь распространялся по элек-

тронной почте в виде письма якобы от Microsoft Corporation Security Center и с темой

«Internet Security Update». Во вложении находился файл с именем q216309.exe, а в самом сообщении говорилось о необходимости срочной установки вложенной заплатки.

В настоящее время активность вирусописателей всё больше смещается в сторону создания вредоносного ПО для мобильных платформ. В этой связи знаковым событием можно считать появление в 2004 году первого червя для смартфонов под управлением операционной системы Symbian и первой вредоносной программы для Windows Mobile. Кроме того, этот год запомнился сильнейшей эпидемией сетевого червя Sasser.

Sasser (2004). Этот сетевой червь парализовал работу более 8 млн компью-

теров по всему миру, от него пострадали тысячи крупных и мелких компаний, уни-

верситеты, государственные учреждения. Некоторые авиакомпании отложили или даже отменили рейсы (British Airways, Delta Air Lines), прекратили работу несколько банков (Goldman Sachs и Westpac Bank), а финский банк Samp закрыл все 130 своих

отделений в качестве профилактической меры. На Тайване сетевой червь парали-

http://www.kaspersky.ru/

http://academy.kaspersky.com/

http://www.securelist.com/