Интернет-атаки 2005 года

В последние годы компании, занимающиеся информационной безопасностью, отмечают значительный рост числа осуществляемых через интернет атак на корпоративных и домашних пользователей. «Лаборатория Касперского», успев на раннем этапе заметить эту тенденцию, стала одним из пионеров в области создания и размещения особых сенсоров для мониторинга по всему пространству интернета.

Начиная с июля 2001 года с помощью технологии Smallpot, разработанной «Лабораторией Касперского», собраны буквально миллионы образцов хакерских атак. На основе этих данных не только можно получить точную статистику распространения тех или иных видов вредоносного ПО и хакерских атак в интернете. Они нужны и для того, чтобы обеспечить решениям «Лаборатории Касперского» самый высокий уровень обнаружения этих угроз и максимальную скорость реакции на новые и неизвестные угрозы.

Важно отметить, что значительная часть статистических данных, которые ежедневно выкладываются в интернете, рассчитывается на основе отчетов, создаваемых межсетевыми экранами в виде номеров заблокированных портов TCP/IP. Хотя эти данные дают неплохое представление о возможном числе машин, взломанных тем или иным вредоносным кодом или используемых хакерами для организации интернет-атак, они не позволяют точно определить, какие вредоносные программы используются для этой цели, или различить эксплойты, применяемые хакерами для взлома удаленных систем через интернет. Настолько подробную информацию можно получить только с помощью специализированных программ, предназначенных для сбора не только номеров портов, но и самих данных, пересылаемых в процессе атаки, что и позволяет делать технология Smallpot. Кроме того, многие отчеты дают информацию об интернет-атаках, не уделяя большого внимания попыткам добычи и анализа данных, или «зондирования». Например, многие атаки на корпоративных пользователей начинаются с использования набора зондов, которые собирают информацию о сервисах, предоставляемых через интернет серверами компании. Зондирование само по себе не является вторжением, но обычно за ним следует эксплойт или набор эксплойтов, направленный на конкретную цель. Таким образом, зонды можно рассматривать как сигнал, позволяющий своевременно обнаружить атаку на сервер и оперативно применить соответствующие правила для блокирования доступа злоумышленников до того, как они смогут использовать добытую информацию. В настоящей статье речь пойдет не только о самих интернет-атаках, но и том, какими бывают зонды, используемые для сбора информации непосредственно перед атакой. Это важно для понимания того, как эволюционировали приемы и программы, используемые хакерами.

Наконец, необходимо отметить, что при использовании любых статистических данных обработка ошибок играет, вероятно, наиболее важную роль. Чтобы сделать влияние ошибок на обработанные данные минимальным, и при этом получить максимально ясную картину, по всему IP-пространству интернета нужно равномерно распределить сеть датчиков. Это означает, что необходимо использовать как можно большее число узлов в как можно большем числе стран. Сеть Smallpot состоит из компьютеров, размещенных по всему миру, с большим числом узлов в Северной Америке, Европе и Азии. За годы исследований специалисты «Лаборатории Касперского» пришли к выводу, что при атаках эти машины обычно первыми принимают удар на себя. Кроме того, узлы, расположенные в менее густонаселенных областях IP-пространства, позволяют получать информацию не только о наиболее распространенных видах атак, но и о локальных эксплойтах, которые, возможно, представляют интерес для пользователей конкретного региона, но больше нигде в мире не встречались.

Далее мы обратимся к информации, полученной сетью Smallpot за 2005 год.

Двадцатка ведущих интернет-зондов и атак

Зонд «HTTP GET Generic» в 2005 году обнаруживался компьютерами, входящими в сеть Smallpot, гораздо чаще других. По результатам проведенных «Лабораторией Касперского» исследований, эта разновидность зонда в большинстве случаев используется автоматической утилитой, применяемой спамерами для поиска открытых прокси-серверов в интернете, с целью использования их для последующей рассылки спама. Другой вариант использования этого зонда — сбор общей информации об HTTP-сервере с целью найти имеющиеся уязвимости.

Radmin (версий до 2.2) — полнофункциональное программное решение для удаленного администрирования ПК. Его часто используют домашние пользователи, а также устанавливают компании, чтобы облегчить системным администраторам выполнение таких задач, как установка обновлений. Поскольку Radmin — это коммерческая программа, антивирусные решения не обнаруживают ее в качестве вредоносного кода, что делает ее отличным вариантом для хакера, желающего обеспечить себе доступ к взломанной машине. По умолчанию Radmin использует TCP порт 4899, что делает это приложение прекрасным объектом для взламывания паролей с использованием метода подбора (brute force), которое составляло более 8% всех интернет-зондов и атак в 2005 году.

Червь Dipnet появился в начале января 2005 года и возглавлял рейтинги до мая, когда он начал терять свою «популярность». Но за многочисленными январскими атаками в мае последовала огромная волна зондов, задачей которых был поиск машин, зараженных этим червем, и установление над ними контроля. В состав Dipnet.a входит бэкдор-компонент, использующий порт 11768, что позволяет злоумышленнику получить полный контроль над зараженной системой, используя ее в качестве удобной площадки для распространения другого вредоносного ПО и, конечно, рассылки спама.

Червь Slammer был впервые обнаружен в интернете в январе 2003 года и вызвал одну из крупнейших эпидемий года. Пересылая копию своего кода через UDP-порт 1434, Slammer не только заразил множество компьютеров, но сумел по сей день остаться одним из самых «популярных» червей, распространяющихся через интернет, несмотря на то, что с момента его появления прошло уже почти 2 года. Распределение атак Slammer по месяцам в 2005 году выглядит следующим образом:

Судя по приведенным в таблице данным и по распределению IP-адресов источников атак Slammer в рамках 2005 года, этот червь уже не распространяется со сколько-нибудь значительной скоростью, но при этом усилия по удалению его с уже зараженных компьютеров практически не предпринимаются. Поэтому можно предположить, что он еще некоторое время останется в зоне нашего внимания.

В информационном бюллетене Microsoft по безопасности MS03-007, выпущенном в марте 2003 года, описывается переполнение буфера в ntdll.dll, которое можно использовать через WebDAV — реализацию протокола Distributed Authoring and Versioning в IIS. С тех пор в интернете появилось много хакерских утилит, позволяющих полностью автоматизировать сканирование и поиск хостов, которые могут быть взломаны таким образом. Благодаря этому данный вид атак пользовался у хакеров в 2005 году наибольшей популярностью.

Шестую позицию в Двадцатке ведущих интернет-зондов и атак за 2005 год, подготовленной «Лабораторией Касперского», занимает категория зондов для Microsoft SQL, проверяющих наличие сервера MSSQL по данному IP-адресу. Их используют для уточнения различных параметров протокола с целью выбора эксплойта, подходящего для версии MSSQL, установленной на машине, или перед атакой с целью подбора одного из паролей администратора для сервера SQL. Червь Spida.a использовал этот метод в 2002 году для организации своего распространения и вызвал крупные эпидемии по всему миру, в особенности в Корее.

Ошибка переполнения буфера в Microsoft SQL Server Resolution Service известна по большей части тем, что ее использует для своего распространения червь Slammer. В течение 2005 года появилось еще несколько вредоносных программ, использующих эту уязвимость. Кроме того, существуют автоматические хакерские утилиты, которые устанавливают бэкдоры на машины с такой уязвимостью. Благодаря этому она попадает в число «популярных» у авторов вредоносного ПО и хакеров.

Secure Shell Server (SSH) — еще один сервис, в отношении которого часто используются атаки по подбору паролей. В большинстве случаев совершается попытка зарегистрироваться в системе, используя список наиболее часто встречающихся пользовательских имен и паролей. Конечно, такой метод нельзя использовать для организации полномасштабных интернет-атак, но с его помощью можно найти небольшое число машин для дальнейшего использования в целях более или менее анонимного запуска других атак.

Первые эксплойты, рассчитанные на использование уязвимости MS ASN.1, появились в июне 2005 года, а пик числа сообщений об их обнаружении пришелся на июль. Это совпало с появлением новой серии разновидностей Rbot, использующих этот эксплойт. Позже в том же году этот эксплойт был использован и в другом вредоносном ПО, например, в Bozori.c.

Один из наиболее распространенных червей, использующих уязвимость, описанную в MS03-026, — это Lovesan, известный также под названием Blaster. В соответствии с распространенной тенденцией в написании вредоносного ПО, эксплойт, используемый этим червем, используется и многими разновидностями Rbot и бесчисленными другими червями, причем некоторые из них вызвали настоящие эпидемии в 2003 и 2004 годах.

С тех пор как в январе 2004 года червь Bagle был обнаружен впервые, редко проходит месяц без появления его новых версий. В состав большинства вариантов Bagle входит бэкдор, позволяющий злоумышленнику управлять машинами, зараженными этим вредоносным кодом, при условии, что он знает их IP-адреса. Кроме того, известны сотни других червей, сканирующих и пытающихся заражать машины с активным бэкдором Bagle. Эта стратегия уже стала тенденцией в написании вредоносного ПО.

Как и Radmin, Dameware — это пакет утилит, который можно использовать для удаленного управления компьютером по протоколу TCP/IP. В Dameware Mini Remote Control Server (версии до 3.73), имеется уязвимость, которую можно использовать для непосредственного выполнения произвольного кода в содержащей ее системе. Эта уязвимость впервые обнаружена в декабре 2003 года, и теперь ее использование уже сходит на нет по мере того, как на все большем числе хостов обновляется ПО и устанавливаются его последние версии.

Червь Dabber — интересный пример вредоносного кода, заражающего только машины, уже взломанные с помощью другого червя — в данном случае, Sasser. Еще один интересный пример действующей таким образом вредоносной программы — червь Doomjuice, заражавший компьютеры, уже взломанные с помощью популярных червей Mydoom.a и Mydoom.b. По мере вымирания Sasser, постепенно исчезает и Dabber, идя за ним следом.

Последний из достойных внимания видов атак, вошедших в двадцатку за 2005 год, представляет собой эксплойты для WINS, используемые по большей части разновидностями Rbot и Agobot через порт 42. Наибольшее число эксплойтов для WINS обнаружено в январе 2005 года, и с тех пор их волна пошла на убыль.

Десятка ведущих уязвимостей, ставших целью интернет-атак

Как видно из рассмотренной выше двадцатки, большинство использованных в интернет-атаках уязвимостей обнаружены в продуктах Microsoft. В целом, это старые уязвимости, исправленные достаточно давно. Это показывает, что на большинстве подключенных к интернету компьютеров ПО не обновляется, а их владельцы не заинтересованы в том, чтобы своевременно устанавливать последние исправления и пакеты обновлений от Microsoft.

Такое отсутствие заинтересованности у пользователей создает из уязвимых систем надежную базу для атак как со стороны вредоносного ПО, так и со стороны хакеров. В результате постоянно пополняются ряды машин, которые можно взломать и превратить в зомби для рассылки спама или дальнейшего распространения вредоносного кода.

Из всех уязвимостей, вошедших в десятку, лишь одна была обнаружена в 2005 году. Это уязвимость UPnP (MS05-039).

Уязвимость MS05-039 была обнаружена в августе 2005 года и впервые была использована в качестве способа распространения червя Bozori.a. Позднее она была использована и в других червях, в частности Mytob.cf и Lebreat.m.

Таким образом, можно заключить, что в 2005 году, в то время как в разных версиях Windows было найдено весьма незначительное количество (по сравнению с предыдущими годами) новых критических уязвимостей, еще осталось большое число подключенных к интернету машин, уязвимых для старых видов атак. Такие машины представляют собой находящийся «в боевой готовности» объект для приложения сил вирусописателей, который в дальнейшем может быть использован для быстрого распространения нового вредоносного ПО и троянских программ.

Двадцатка портов, наиболее часто использовавшихся в интернет-атаках

По нашим наблюдениям, многие атаки на компьютер или группу компьютеров через интернет начинаются со сканирования портов: все открытые порты при этом регистрируются в журнале и помечаются для дальнейшего изучения. Кроме того, многие черви ищут потенциально уязвимые машины, сканируя адресное пространство подсетей класса B или C в попытке открыть соединения с различными портами прежде, чем начать использовать конкретную уязвимость.

В 2005 году наиболее активно сканировался порт 445/TCP, используемый в Windows 2000 и ее разновидностях протоколом SMB (совместное использование файлов и принтеров) поверх TCP. В предыдущих версиях Windows для этой же цели использовались порты 135 и 139, но начиная с Windows 2000 Microsoft перешел к использованию порта 445, когда он свободен. По соображениям обеспечения совместимости, если сервер SMB не найден на порте 445, вместо этого порта используются более старые порты 135 и 139. Из уязвимостей, входящих в десятку наиболее активно используемых в интернет-атаках, следующие могут быть использованы через порт 445: MS03-026, MS04-007 (ASN.1) и недавно обнаруженная MS05-039 (UPnP).

Порт 80, используемый для передачи данных по протоколу HTTP, стоит на втором месте. Его высокое положение в рейтинге объясняется большим количеством попыток сканирования в поисках открытых прокси-серверов, а также существованием большого числа эксплойтов, реализуемых через HTTP. Из десятки ведущих уязвимостей, используемых в интернет-атаках, эксплойт уязвимости AWStats Rawlog Plugin Logfile Parameter Input Validation Vulnerability может использовать порт 80.

Port 135, который используется Microsoft в DCOM Service Control Manager, — это еще одна популярная мишень для хакеров и червей. Чаще всего он используется эксплойтами для уязвимости MS03-026. Многие последние варианты (если не большинство) Rbot и Agobot используют для своего распространения порт 135. То же можно сказать и про все еще популярный червь Lovesan / Blaster.

UDP-порты 1025, 1026 и 1027 используются спамерами для рассылки рекламы на службу Windows Messenger Service, которая «слушает» эти порты. Служба Messenger может работать и через порт 135, но многие интернет-провайдеры стали блокировать его после эпидемии червя Blaster, в то время как другие порты остались открытыми для атак.

UDP-порты 1433 и 1434 используются Microsoft SQL Server. Как черви, так и хакеры пользуются этими портами для доставки разнообразных эксплойтов, предназначенных для этого продукта. Порт UDP 1434 используется для атак на MS02-039, наиболее активно используемую в 2005 году уязвимость — прежде всего червем Slammer.

Порт Radmin 4899 — еще одна популярная мишень для хакеров, как это видно из таблицы «Двадцатка ведущих интернет-зондов и атак», где Radmin занимает четвертую позицию. Этот порт используют в качестве мишени и другие черви, такие как Rahak.a и некоторые разновидности Agobot.

Большое число зондов, ориентированных на порт 15118, можно объяснить тем, что червь DipNet.e и его разновидности используют его при поиске уже зараженных хостов. Поскольку DipNet открывает на этом порте бэкдор, этот порт является также мишенью для сканеров, используемых спамерами при поиске машин, которые можно использовать для распространения другого вредоносного ПО и/или рекламных рассылок. (Интересно, что порт 11768, используемый предыдущими вариантами Dipnet, не попал в двадцатку этого года.) Аналогично, порт 2745 используется бэкдором Bagle, а порт 3127 бэкдором Mydoom.

Традиционно считалось, что порт 5554 используется веб-серверами SGI Embedded Support Partner, но значительный объем трафика, перехваченного на этом порте в 2005 году, связан с использованием его червем Sasser для организации FTP-сервера. Червь Dabber, появившийся в мае 2004 года, использует эксплойт для FTP-сервера, организованного червем Sasser на порте 5554, чем в основном и объясняется трафик, наблюдаемый на этом порте.

Порт 4444 — не что иное, как оболочка командной строки Blaster, используемая при репликации этого червя, но он же является и мишенью/целью для сканеров портов, ищущих системы с готовыми к употреблению бэкдорами.

Порт 3128 традиционно используется прокси-серверами, из-за чего он стал мишенью для спамеров, ищущих машины, могущие быть использованными в качестве шлюзов для распространения рекламы. Несколько из известных червей также запрограммированы на использование прокси-сервера на этом порте.

Последние места в двадцатке заняты портами 6129 (Dameware), 42 (WINS), 21 (FTP) — в соответствии с объемом трафика, вызываемого причинами, описанными выше в разделе о двадцатке ведущих интернет-зондов и атак за 2005 год.

Географическое распределение интернет-атак и зондов

В этом году Китай стал ведущим источником интернет-атак и зондов, обойдя США, которым раньше принадлежала эта сомнительная честь. Это связано с ростом доступности интернета, которым, в соответствии с всемирным справочником ЦРУ, на конец 2004 года в Китае было охвачено 94 миллиона пользователей, а также с ростом популярности решений информационной безопасности в Соединенных Штатах и ужесточением законодательства, относящегося к киберпреступлениям. Стоит также заметить, что на долю первых трех позиций этого рейтинга приходится более 50% атак и зондов по всему миру.

Интересно, что на долю Китая приходится 57% компьютеров, зараженных Slammer, в то время как доля Кореи, ранее лидировавшей на этом направлении, снизилась менее чем до 1%. Это показывает разницу в уровне интереса к вопросам безопасности в двух странах.

Также имеет смысл рассмотреть удельное число атак на душу населения во всех перечисленных странах. В результате в рейтинге произойдут существенные изменения:

Гонконг и Южная Корея, страны с относительно небольшим населением и очень высоким охватом населения интернетом, возглавляют рейтинг; следом за ними идут Канада, Нидерланды и США. Китай оказался на 10-м месте, но лишь благодаря своему огромному населению.

Возможно, еще больше имеет смысл рассмотреть число атак в пропорции к общему числу абонентов, подключенных к интернету в странах первой двадцатки:

Приведенный выше рейтинг показывает распределение атак исходя из охвата каждой из стран интернетом. Здесь Гонконг также на первом месте, а Корея недалеко от верхней строки — она на шестом месте в мире по уровню заражения. Россия в этом рейтинге занимает четвертую позицию.

Когда речь заходит о вредоносном ПО, репликация которого происходит на уровне сети, ситуация в абсолютном выражении выглядит следующим образом:

Снова на долю Китая и США приходится самое большое в мире число заражений, а Япония здесь оказывается на третьем месте. Еще один интересный пример — Индия, занявшая 7-е место. По сравнению с прошлым годом, число зараженных машин выросло как в Японии, так и в Индии.

Важные обновления

В этом году обнаружено несколько критических уязвимостей в продуктах Microsoft, из которых только одна (MS05-039) в некоторой степени оказалась использована киберпреступниками. В число других уязвимостей, пока не использованных в сколько-нибудь больших масштабах червями и хакерами, входят MS05-051 (ее эксплуатирует Dasher.b, не нанося при этом значительного вреда), MS05-043 (уязвимость в сервисе Print Spooler), MS05-021 (уязвимость Exchange Server), MS05-019 (уязвимость в реализации TCP/IP в Windows), MS05-011 (уязвимость в SMB) и MS05-010 (уязвимость в сервисе License Logging). «Лаборатория Касперского» рекомендует всем пользователям установить обновления, доступные через Windows Update по адресу http://windowsupdate.microsoft.com/.

В то же время, из новых критических уязвимостей, затрагивающих системы Unix, XML-RPC for PHP PHP Code Execution Vulnerability, возможно, самая важная. Поскольку компонент XML-RPC используется во многих популярных веб-приложениях, например, b2evolution, WordPress и TikiWiki, такие черви, как Lupper, пытающиеся пользоваться этой уязвимостью, стали преобладать в своей категории. Уязвимость AWStats «configdir» Parameter Arbitrary Command Execution Vulnerability также оказалась популярной мишенью для атак на Unix-машины.

Из более старых уязвимостей, эксплуатируемых на Unix-системах, упомянем AWStats Rawlog Plugin Logfile Parameter Input Validation Vulnerability, которую использует червь Lupper и его вариации.

Исправления этих уязвимостей можно загрузить со следующих сайтов:

• sourceforge.net/project/showfiles.php?group_id=34455 (для уязвимости «XML-RPC», в настоящее время выпущена версия 1.2.1)
• awstats.sourceforge.net/#DOWNLOAD (для уязвимостей AWStats, в настоящее время выпущена версия 6.5)

Кроме упомянутых выше уязвимостей, злоумышленники использовали для получения доступа к Unix-машинам прежде всего ошибки конфигурации и более старые эксплойты.

Выводы и тенденции

Изучение статистических данных за 2005 год позволяет проследить несколько тенденций. Прежде всего, мы отметили появление в интернете двух важных видов мишеней. Первая — машины с давно не обновлявшимся ПО, уязвимые не только для новых, но и для многих старых эксплойтов. Очевидно, что владельцы этих машин не устанавливают «заплаты» и пакеты обновлений, создавая всегда «готовую к заражению» массу серверов в интернете.

Во вторую категорию входят компьютеры, владельцы которых быстро обновляют уязвимое ПО, благодаря чему число успешных атак, использующих совсем новые уязвимости, было существенно меньше, чем в предыдущие годы. Это показывает, что недавняя кампания по освещению вопросов безопасности приносит заметные плоды, прежде всего в США. При этом в таких странах, как Китай, где соображения безопасности практически полностью игнорируются, сосредоточено большинство машин с более старыми и уязвимыми версиями операционных систем и программ.

Еще одно важное наблюдение состоит в огромном росте числа атак, связанных с деятельностью спамеров, или атак, используемых злоумышленниками для распространения вредоносного ПО, предназначенного для рассылки спама или получения финансовой выгоды. Кроме того, большинство новых сетевых червей, распространяющихся через интернет, содержат бэкдор-компоненты, которые спамеры начинают использовать, как только соответствующие черви становятся популярными. Число зондов, предназначенных для поиска открытых прокси-серверов, также весьма значительно увеличилось по аналогичным причинам.

Флэш-черви, представлявшие серьезную проблему два года назад, больше не попадают в верхние строки рейтингов. Их место заняло вредоносное ПО, написанное с целью получения финансовой выгоды, что отражает появление нового феномена, о котором мы уже сообщали общественности, — так называемых «бизнес-червей».

Наконец, мы ожидаем дальнейший рост числа атак, связанных со спамерской деятельностью, а также рост числа червей и ботов, каждый из которых эксплуатирует не одну или две, а большое число уязвимостей, причем как новых, так и старых. В то же время, «Лаборатория Касперского» будет внимательно следить за ситуацией в Китае, где наличие большого числа уязвимых машин оказывает большое влияние на ситуацию во всем мире.