www.romver.ru / Полный список статей / Ботнет, или зомби-сеть

Zarajen li moy komp'uter botom?

Otvetit' na etot vopros neprosto. Delo v tom, 4to otsledit' vme6atel'stvo botov v povsednevnuu rabotu PK prakti4eski nevozmojno, poskol'ku ono nikak ne otrajaetsa na bistrodeystvii sistemi. Tem ne menee su6estvuet neskol'ko priznakov, po kotorim mojno opredelit', 4to v sisteme prisutstvuet bot:

• neizvestnie programmi pitautsa osu6estvit' soedinenie s Internetom, o 4em periodi4eski vozmu6enno dokladivaet brandmauer ili antivirusnoe PO;
• internet-trafik stanovitsa o4en' velik, xota vi pol'zuetes' Set'u ves'ma umerenno;
• v spiske zapu6ennix sistem nix processov poavlautsa novie, maskiruu6iesa pod obi4nie processi Windows (k primeru, bot mojet nosit' ima scvhost.exe – eto nazvanie o4en' poxoje na nazvanie sistemnogo processa Windows svchost.exe; zametit' raznicu dovol'no slojno, no – mojno).

Za4em sozdautsa botneti

Botneti sozdautsa, 4tobi zarabativat' den'gi. Mojno videlit' neskol'ko sfer kommer4eski vigodnogo primenenia zombi-setey: DDoS-ataki, sbor konfidencial'noy informacii, rassilka spama, fi6ing, poiskoviy spam, nakrutka klik-s4et4ikov i pr. Nado zametit', 4to pribil'nim budet luboe napravlenie, kakoe bi zloumi6lennik ni vibral, pri4em botnet pozvolaet osu6estvlat' vse pere4islennie vidi deatel'nosti odnovremenno.

Provedenie DDoS-atak

DDoS-ataka (ot angl. Distributed Denial-of-Service) – eto ataka na komp'uternuu sistemu, naprimer na veb-sayt, cel'u kotoroy avlaetsa dovedenie sistemi do «padenia», to est' sostoania, kogda ona bol'6e ne smojet prinimat' i obrabativat' zaprosi legitimnix pol'zovateley. Odin iz samix rasprostranennix metodov provedenia DDoS-ataki – otpravka mnogo4islennix zaprosov na komp'uter ili sayt-jertvu, 4to i privodit k otkazu v obslujivanii, esli resursi atakuemogo komp'utera nedostato4ni dla obrabotki vsex postupau6ix zaprosov. DDoS-ataki avlautsa groznim orujiem xakerov, a botnet – ideal'nim instrumentom dla ix provedenia.

DDoS-ataki mogut bit' kak sredstvom nedobrosovestnoy konkurentnoy bor'bi, tak i aktami kiberterrorizma. Xozain botneta mojet okazat' uslugu lubomu ne sli6kom 6epetil'nomu predprinimatelu – provesti DDoS-ataku na sayt ego konkurenta. Atakuemiy resurs posle takoy nagruzki «lajet», zakaz4ik ataki polu4it vremennoe preimu6estvo, a kiberprestupnik – skromnoe (ili ne o4en') voznagrajdenie.

Takim je obrazom sami vladel'ci botnetov mogut ispol'zovat' DDoS-ataki dla vimogania deneg u krupnix kompaniy. Pri etom kompanii predpo4itaut vipolnat' trebovania kiberprestupnikov, poskol'ku likvidacia posledstviy uda4nix DDoS-atak stoit ves'ma dorogo. Naprimer, v anvare 2009 goda odin iz krupney6ix xosterov GoDaddy.com podvergsa DDoS-atake, v rezul'tate kotoroy tisa4i saytov, razme6ennix na ego serverax, okazalis' nedostupnimi po4ti na sutki. Finansovie poteri xostera bili ogromni.

V fevrale 2007 goda bil proveden rad atak na kornevie DNS-serveri, ot raboti kotorix napramuu zavisit normal'noe funkcionirovanie vsego Interneta. Maloveroatno, 4to cel'u etix atak bilo obru6enie Vsemirnoy seti, ved' su6estvovanie zombi-setey vozmojno tol'ko pri uslovii, 4to su6estvuet i normal'no funkcioniruet Internet. Bol'6e vsego eto bilo poxoje na demonstraciu sili i vozmojnostey zombi-setey.

Reklama uslug po osu6estvleniu DDoS-atak otkrito razme6ena na mnogix forumax sootvetstvuu6ey tematiki. Ceni na ataki koleblutsa ot 50 do neskol'kix tisa4 dollarov za sutki neprerivnoy raboti DDoS-botneta. Po dannim sayta shadowserver.org, za 2008 god bilo provedeno poradka 190 tisa4 DDoS-atak, na kotorix kiberprestupniki smogli zarabotat' okolo 20 millionov dollarov. Estestvenno, v etu summu ne vklu4eni doxodi ot 6antaja, kotorie prosto nevozmojno pods4itat'.

Sbor konfidencial'noy informacii

Konfidencial'naa informacia, kotoraa xranitsa na komp'uterax pol'zovateley, vsegda budet privlekat' zloumi6lennikov. Naibol'6iy interes predstavlaut nomera kreditnix kart, finansovaa informacia i paroli k razli4nim slujbam: po4tovim a6ikam, FTP-serveram, «messendjeram» i dr. Pri etom sovremennie vredonosnie programmi pozvolaut zloumi6lennikam vibirat' imenno te dannie, kotorie im interesni, – dla etogo dostato4no zagruzit' na PK sootvetstvuu6iy modul'. Zloumi6lenniki mogut libo prodat' ukradennuu informaciu, libo ispol'zovat' ee v svoix interesax. Na mnogo4islennix forumax v Seti kajdiy den' poavlautsa sotni ob&avleniy o prodaje bankovskix u4etnix zapisey.

Stoimost' u4etnoy zapisi zavisit ot koli4estva deneg na s4etu pol'zovatela i sostavlaet ot 1 do 1500 dollarov za s4et. Nijnaa granica svidetel'stvuet o tom, 4to v xode konkurentnoy bor'bi kiberprestupniki, zanimau6iesa takogo roda biznesom, vinujdeni snijat' ceni. 4tobi zarabotat' deystvitel'no mnogo, im neobxodim stabil'niy pritok svejix dannix, a dla etogo obazatelen stabil'niy rost zombi-setey.

Osobenno interesna finansovaa informacia karderam – zloumi6lennikam, zanimau6imsa poddelkoy bankovskix kart. O tom, naskol'ko vigodni takie operacii, mojno sudit' po izvestnoy istorii s gruppoy brazil'skix kiberprestupnikov, kotorie bili arestovani dva goda nazad. Oni smogli snat' s bankovskix s4etov prostix pol'zovateley 4,74 milliona dollarov, ispol'zua ukradennuu s komp'uterov informaciu. V priobretenii personal'nix dannix, ne imeu6ix pramogo otno6enia k den'gam pol'zovatela, zainteresovani i prestupniki, kotorie zanimautsa poddelkoy dokumentov, otkritiem fal'6ivix bankovskix s4etov, sover6eniem nezakonnix sdelok i t.d.

E6e odnim vidom sobiraemoy botnetami informacii avlautsa adresa elektronnoy po4ti, pri4em, v otli4ie ot nomerov kreditok i u4etnix zapisey, iz adresnoy knigi odnogo zarajennogo PK mojno izvle4' mnojestvo elektronnix adresov. Sobrannie adresa vistavlautsa na prodaju, pri4em inogda «na razves» – pomegabaytno. Osnovnimi pokupatelami podobnogo «tovara» avlautsa spameri. Spisok iz milliona e-mail-adresov stoit ot 20 do 100 dollarov, a zakazannaa spameram rassilka na etot je million adresov – 150–200 dollarov. Vigoda o4evidna.

Prestupnikam takje interesni u4etnie zapisi razli4nix platnix servisov i internet-magazinov. Bezuslovno, oni obxodatsa de6evle bankovskix u4etnix zapisey, no ix realizacia svazana s men'6im riskom presledovania so storoni pravooxranitel'nix organov.

Rassilka spama

Ejednevno po vsemu miru kursiruut millioni spam-soob6eniy. Rassilka nezapro6ennoy po4ti avlaetsa odnoy iz osnovnix funkciy sovremennix botnetov. Po dannim «Laboratorii Kasperskogo», okolo 80% vsego spama rassilaetsa 4erez zombi-seti. S komp'uterov zakonoposlu6nix pol'zovateley otpravlautsa milliardi pisem s reklamoy «Viagri», kopiy dorogix 4asov, onlayn-kazino i t. p., zabivau6ix kanali svazi i po4tovie a6iki. Takim obrazom xakeri stavat pod udar komp'uteri ni v 4em ne povinnix pol'zovateley: adresa, s kotorix vedetsa rassilka, popadaut v 4ernie spiski antivirusnix kompaniy.

V poslednie godi sama sfera spam-uslug ras6irilas': poavilsa ICQ-spam, spam v social'nix setax, forumax, blogax. I eto toje «zasluga» vladel'cev botnetov: ved' sovsem neslojno dopisat' k bot-klientu dopolnitel'niy modul', otkrivau6iy gorizonti dla novogo biznesa so sloganami tipa «Spam v Facebook. Nedorogo». Ceni na spam var'iruutsa v zavisimosti ot celevoy auditorii i koli4estva adresov, na kotorie vedetsa rassilka. Razbros cen na celevie rassilki – ot 70 dollarov za sotni tisa4 adresov do 1000 dollarov za neskol'ko desatkov millionov adresov. Za pro6ed6iy god spameri zarabotali na rassilke pisem poradka 780 millionov dollarov.

Sozdanie poiskovogo spama

E6e odin variant ispol'zovania botnetov – povi6enie popularnosti saytov v poiskovix sistemax. Rabotaa nad poiskovoy optimizaciey, administratori resursov starautsa povisit' poziciu sayta v rezul'tatax poiska, poskol'ku 4em ona vi6e, tem bol'6e posetiteley zaydet na sayt 4erez poiskovie sistemi i, sledovatel'no, tem bol'6e budet viru4ka vladel'ca sobstvennogo sayta, naprimer ot prodaji reklamnix plo6adey na veb-stranicax. Mnogie kompanii platat veb-masteram nemalie den'gi, 4tobi oni viveli sayt na pervie pozicii v «poiskovikax». Vladel'ci botnetov podsmotreli nekotorie ix priemi i avtomatizirovali process poiskovoy optimizacii.

Kogda vi vidite v kommentariax k svoey zapisi v «Jivom Jurnale» ili uda4noy fotografii, vilojennoy na fotoxostinge, mnojestvo ssilok, sozdannix neizvestnim vam 4elovekom, a inogda i va6im «frendom», – ne udivlaytes': prosto kto-to zakazal raskrutku svoego resursa xozaevam botneta. Special'no sozdannaa programma zagrujaetsa na zombi-komp'uter i ot imeni ego vladel'ca ostavlaet na popularnix resursax kommentarii so ssilkami na raskru4ivaemiy sayt. Srednaa cena na nelegal'nie uslugi poiskovogo spama – poradka 300 dollarov v mesac.

Kak sozdautsa botneti

K sojaleniu, tomu, kto re6il «s nula» organizovat' botnet, ne sostavit osobogo truda nayti v Internete instrukciu po sozdaniu zombi-seti. Perviy 6ag: sozdat' novuu zombi-set'. Dla etogo nujno zarazit' komp'uteri pol'zovateley special'noy programmoy – botom. Dla zarajenia ispol'zuutsa spam-rassilki, posting soob6eniy na forumax i v social'nix setax i drugie priemi; 4asto bot nadelaetsa funkciey samorasprostranenia, kak virusi ili 4ervi.

4tobi zastavit' potencial'nuu jertvu ustanovit' bot, ispol'zuut priemi social'noy injenerii. Naprimer, predlagaut posmotret' interesnoe video, dla 4ego trebuetsa ska4at' special'niy kodek. Posle zagruzki i zapuska takogo fayla pol'zovatel', kone4no, ne smojet posmotret' nikakogo video i skoree vsego ne zametit voob6e nikakix izmeneniy, a ego PK okajetsa zarajen i stanet pokornim slugoy, vipolnau6im vse komandi xozaina botneta.

Vtorim 6iroko ispol'zuemim metodom zarajenia botami avlaetsa drive-by-zagruzka. Pri pose6enii pol'zovatelem zarajennoy veb-stranici na ego komp'uter 4erez razli4nie «diri» v prilojeniax – prejde vsego v popularnix brauzerax – zagrujaetsa vredonosniy kod. Dla ekspluatacii slabix mest ispol'zuutsa special'nie programmi – eksployti. Oni pozvolaut ne tol'ko nezametno zagruzit', no i nezametno zapustit' virus ili bot. Takoy vid rasprostranenia vredonosnogoPO naibolee opasen, ved', esli vzloman popularniy resurs, zarazatsa desatki tisa4 pol'zovateley!

Bot mojno nadelit' funkciey samorasprostranenia po komp'uternim setam. Naprimer, on mojet rasprostranat'sa putem zarajenia vsex dostupnix ispolnaemix faylov ili putem poiska i zarajenia uazvimix komp'uterov seti.

Zarajennie komp'uteri ni4ego ne podozrevau6ix pol'zovateley sozdatel' botneta mojet kontrolirovat' s pomo6'u komandnogo centra botneta, svazivaas' s botami 4erez IRC-kanal, veb-soedinenie ili s pomo6'u lubix drugix dostupnix sredstv. Dostato4no ob&edinit' v set' neskol'ko desatkov ma6in, 4tobi botnet na4al prinosit' svoemu xozainu doxod. Pri4em etot doxod naxoditsa v lineynoy zavisimosti ot ustoy4ivosti zombi-seti i tempov ee rosta.