Wszystko wskazuje na to, że w sieci od ok. tygodnia na szeroką skalę propaguje się nowy robak wykorzystujący niedawno upublicznioną lukę w systemach operacyjnych z rodziny Windows (biuletyn bezpieczeństwa Microsoft numer MS08-067, o której pisaliśmy w newsie Krytyczna aktualizacja Microsoft Windows z dn. 24.10.2008). Zanim przedstawię szczegóły naszych obserwacji, chciałbym zaapelować do wszystkich, którzy jeszcze tego nie zrobili: jak najszybciej zaktualizujcie swoje Windowsy.

Robak propaguje się przez port 445/TCP, co oczywiście objawia się znaczącym wzrostem ruchu na tym porcie. Według obserwacji naszego system wczesnego ostrzegania o zagrożeniach w sieci ARAKIS wzrost ruchu jest znaczny (kilkakrotnie). Ilość przepływów rejestrowana w tzw. darknecie wynosi ok. trzynastu tysięcy w pięciominutowym oknie czasu. Poniżej wykres ruchu na porcie 445/TCP rejestrowany przez ARAKISowe sondy darknetowe.

Wzrosła również ilość unikalnych hostów, z których robak się propaguje. Jest to widoczne na wykresach honeynetowych przedstawiających ilość unikalnych adresów IP z których nastąpiło połączenie do honeypotów.

Oczywiście nie cały ruch na tym porcie jest generowany przez tego robaka. Port ten wykorzystuje do infekowania wiele robaków (m.in. słynny Sasser). Skąd więc wiadomo, że ten wzrost jest generowany przez nowego robaka, a nie np. przez Sassera? Dane przechwycone przez honeypoty pokazują, że różni się on od typowej komunikacji SMB wykorzystywanej przez inne robaki. Wprawdzie nasze niskointeraktywne honeypoty nie zdołały pozyskać kompletnego robaka, to jednak początkowa komunikacja (dokładanie negocjacja wersji protokołu) jest na tyle odmienna, że wygenerował się nowy klaster.

Klaster opisuje pierwszy etap połączenia SMB, który teoretycznie nie jest atakiem. Podobny payload może być widziany w całkiem legalnym ruchu np. w sieci lokalnej. Jednak z dwóch powodów został przez nas sklasyfikowany jako atak. Po pierwsze, połączenia były nawiązywane do adresów IP pod którymi działają honeypoty, po drugie korelując z obserwacjami i analizami innych specjalistów od bezpieczeństwa (linki do publicznych ciekawych stron znajdują się poniżej) jest wielce prawdopodobne, że jest to aktywność nowego robaka.

Propagację robaka, któremu nadano nazwę W32/Conficker.worm oraz W32.Downadup, opisuje wiele zagranicznych serwisów (m.in. REN-ISAC, ISC SANS, Symantec). Jego funkcjonalność jest już także zaimplementowana w co najmniej jednym zestawie narzędzi dla cyberprzestępców, więc nie dziwi wzrost jego wykorzystania. Infekcje mają na celu wcielenie atakowanego komputera do botnetu w celu późniejszego wykorzystaniu go do popełniania przestępstw w Internecie.

Warto zauważyć, że dostępny jest już od ponad miesiąca patch łatający podatność wykorzystywaną przez robaka. Obserwacje wskazują zatem, że wiele użytkowników systemu Windows nie zaktualizowało go. Dlatego jeszcze raz apelujemy, aby wszyscy użytkownicy tych systemów, którzy tego jeszcze nie zrobili, jak najszybciej je zaktualizowali.

Ciekawe linki związane z nowym robakiem:

• http://blogs.technet.com/mmpc/archive/2008/11/25/more-ms08-067-exploits.aspx
• http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.A
• https://forums.symantec.com/syment/blog/article?blog.id=vulnerabilities_exploits&thread.id=178
• http://securitylabs.websense.com/content/Blogs/3237.aspx
• http://blog.trendmicro.com/ms08-067-vulnerability-botnets-reloaded/

Doczekaliśmy chyba początku końca czasów pobłażliwości środowiska dostawców dla “kuloodpornego hostingu” i ignorowania nieetycznych lub wręcz nielegalnych zachowań klientów. Jest to radykalna zmiana, bo całkiem niedawno do powszechnie przyjmowanych postaw należało chowanie głowy w piasek z przekonaniem, że rolą dostawcy jest wyłącznie przekazywanie pakietów bez względu na ich treść.

Ostatnim spektakularnym przykładem zmiany postaw jest los McColo Corp., amerykańskiej firmy specjalizującej się w usługach hostingowych. McColo od dawna uznawane było za bezpieczną przystań dla autorów złośliwego oprogramowania i innych przestępców. Po opłaceniu odpowiedniego abonamentu można było być spokojnym, że strona phishingowa, koń trojański czy kontroler botnetu unikną bliższego zainteresowania administratorów. Do wtorku. W następstwie raportu “CyberCrime USA V.2.0” opublikowanego przez Host Exploit, dostawcy wymieniający ruch z McColo zaprzestali współpracy, tym samym odcinając firmę od Internetu. Odczuwalnym efektem zniknięcia McColo był natychmiastowy spadek ilości spamu, odnotowany praktycznie wszędzie. W statystykach liczby zgłoszeń trafiających do SpamCopa jest to blisko 50% (patrz wykres). Także na naszych skrzynkach ubyło ponad 40% niechcianej korespondencji. Dlaczego? Szacuje się, że ze względu na dobre łącza i wspomnianą “kuloodporność”, około połowy kontrolerów botnetów – sieci stworzonych z przejętych komputerów na całym świecie – ulokowane było w McColo. Oznacza to, że wiele zainfekowanych komputerów-zombie straciło swoje centra zarządzania i choć nadal zarażone, nie są już funkcjonalne dla przestępców. Oczywiście, stan taki może się utrzymać tak długo, jak długo nie znajdą się nowe miejsca dla kontrolerów.

Przypadek McColo nie jest pierwszym przypadkiem skutecznej samoregulacji wśród dostawców. Pod koniec września podobny los spotkał kalifornijską firmę Intercage, znaną wcześniej jako Atrivo. Również wtedy zadecydowały przekonujące dowody, zebrane przez Security Fix, i świadczące o silnym związku Atrivo z dystrybucją fałszywego oprogramowania antywirusowego i innych koni trojańskich, które posłużyły m.in. do zbudowania Storm – jednego z najbardziej znanych botnetów w historii. W Atrivo umieszczone były także kontrolery tej sieci. Zaledwie po kilku tygodniach od publikacji raportu Security Fix, Intercage znalazł się na internetowym bruku po odcięciu przez wszystkich dostawców, z którymi wymieniał ruch.

Warto zauważyć, że takie kroki są znacznie szybsze i skuteczniejsze niż wyłącznie działania prawne – choć oczywiście tych ostatnich nie należy zaniechać aby konsekwencje dla przestępców szły dalej niż tylko chwilowe zakłócenie pracy.

W nurt samoregulacji środowiska wpisuje się także niedawna decyzja ICANN o odebraniu prawa do rejestracji domen estońskiej firmie EstDomains. Tutaj oficjalnym powodem było pozostawanie na stanowisku prezesa firmy osoby skazanej za przestępstwa finansowe. Nie było jednak tajemnicą, że EstDomains odpowiadało za masowe rejestracje wielu domen służących do nielegalnej działalności, w tym phishingu i dystrybucji złośliwego oprogramowania. Decyzja ta, wydana 28 października, po nieuznanym odwołaniu EstDomains, wejdzie w życie 24 listopada.

Co istotne, kroki takie są bardzo pozytywnie odbierane w środowisku. Nieuzasadnione są więc obawy tych, którzy podnosili argumenty, że mogą być traktowane jako uzurpowanie sobie praw. Miejmy nadzieję, że precedensy z tej jesieni będą wyznacznikiem trendu w zachowaniu dostawców a tych, którzy asekuracyjnie pochodzą do egzekwowania zapisów dotyczących naruszeń w umowach z klientami skłonią do przemyślenia stanowiska. Dodajmy na koniec, że kolejny raport Host Exploit ma dotyczyć Europy. Czekamy z niecierpliwością.

Ciekawe lektury:

Raport Host Exploit dotyczący Atrivo
Washington Post o zniknięciu Atrivo
Washingon Post po raz drugi o zniknięciu Atrivo
Raport Host Exploit na temat McColo
Channel Web o końcu kariery McColo w Internecie
Ostateczna decyzja ICANN o rozwiązaniu współpracy z EstDomains

Dwa dni temu przy okazji dwudziestej rocznicy powstania internetowego robaka opublikowaliśmy pierwszą część opracowania, w którym podsumowujemy i analizujemy rozwój jaki się dokonał w przeciągu tych dwudziestu lat wśród zagrożeń dla użytkowników Internetu. Dzisiaj kolej na drugą ostatnią część.

Problemy stwarzane przez ogólnie pojęte szkodliwe oprogramowanie spowodowały powstanie aplikacji i urządzeń, których celem była ochrona całych sieci bądź pojedynczych komputerów. Powstawało wiele firm, które specjalizowały się tylko w tej dziedzinie i opracowywały wiele autorskich rozwiązań. W 2004 roku po raz pierwszy narzędzia, które zostały stworzone do ochrony, same stały się celem robaka Witty. Co ciekawe atakował on produkty tylko jednej firmy: ISS (Internet Security Systems), m.in. firewalle i systemy typu IDS. Wykorzystując ich podatność był w stanie bardzo szybko się rozprzestrzeniać. Początkowa prędkość propagacji była tak duża (w ciągu pierwszych 10 sekund działalności zostało zainfekowanych 110 hostów, w kolejnych 20 sekundach “tylko” 50 nowych), że wzbudziło to podejrzenia, iż robak posiadał wcześniej zdefiniowaną listę docelowych adresów IP pod którymi działało podatne oprogramowanie. Z czasem prędkość rozprzestrzeniania się spadła, choć i tak była imponująca (ok. 12 000 komputerów w przeciągu 45 minut). Cały kod robaka mieścił się w pojedynczym pakiecie UDP. Witty był silnie złośliwy. Oprócz autopropagacji, konsekwencją której było wygenerowanie dużego ruchu w sieci, nadpisywał lub kasował losowe bloki na dyskach doprowadzając z czasem do uszkodzenia całego systemu plików. Robak miał jeszcze jedną charakterystyczną cechę: zaatakował w niecałe 48 godzin od opublikowania przez ISS informacji o luce, co było na owe czasy wynikiem rekordowym. Uwydatniło to słabość systemów w postaci opieszałym aktualizowaniu oprogramowania przez administratorów, bowiem jak się okazało wielu z nich nie zainstalowało na poprawek czas (zob. wiadomość Witty nie dał szans administratorom).

Aktywność takich robaków, jak Slammer, Blaster czy Sasser nie słabnie od lat (co potwierdzają m.in. wspomniane wcześniej obserwacje systemu ARAKIS). Nie oznacza to jednak, że cyberprzestępcy nie wymyślają nowych rodzajów ataków. Obecnie obserwowany trend w propagacji malware’u przez Internet wskazuje na to, że coraz częściej do infekowania internautów używane są luki w tzw. programach klienckich (czyli takich, które pozwalają użytkownikowi łączyć się z serwerem), w szczególności w przeglądarkach internetowych i dodatkach do nich. Aby wykorzystać je w tym ostatnim przypadku wystarczy odpowiednio zmodyfikować kod strony www (najczęściej poprzez wstrzyknięcie złośliwego JavaScripta lub odnośnika do zewnętrznej złośliwej strony www). Odwiedzający ją nieświadomy użytkownik jest zarażany bez jakiejkolwiek dodatkowej interakcji (tzw. atak drive-by-download). Ewentualnie można go odpowiednio “zachęcić”, by sam uruchomił jakiś kod nie mając oczywiście świadomości, że jest szkodliwy. Zatem nie ma potrzeby atakować w sposób bezpośredni (aktywny) zwykłego użytkownika – wystarczy umieścić malware na stronie i czekać, aż internauci sami na nią wejdą i się zainfekują. Dzięki temu można być mniej “widocznym” w sieci, bo zamiast aktywnie poszukiwać ofiary generując podejrzany ruch, malware czeka, aż ofiara “znajdzie” jego. Głównym celem robaków w takim przypadku stały się więc serwery www. Wraz z rozwojem Web 2.0 znacznie łatwiej działać robakom atakującym i modyfikującym treść (wstrzykującym złośliwy kod) stron www – nie trzeba polegać tylko na podatnościach serwerów www, wystarczy błędnie napisany skrypt php, asp itp. Robaki PHP, które wykorzystując błędy w skryptach różnych znanych aplikacji nie skupiając się na jednej były wielokrotnie widziane przez system ARAKIS (zob. wiadomość Robak wykorzystujący luki w skryptach PHP). Niejeden profesjonalny serwis www padł też ich ofiarą – chociażby ostatnio miała miejsce infekcja stron internetowych Serious Magic należącej do firmy Adobe Systems (zob wiadomość Infekcja na stronach internetowych Serious Magic – internauci zgrożeni)

Oczywiście to nie oznacza zupełnego zarzucenia starszych metod infekcji: dalej popularne jest wykorzystanie e-maili. Coraz częściej malware propagowany jest także przez sieci P2P (sieci te wykorzystywane są także coraz chętniej, zamiast IRC, do zarządzania botnetami). Cały czas bardzo popularna i nadzwyczaj skuteczna jest socjotechnika, czyli namówienie internauty, by sam z własnej woli uruchomił (złośliwy) program. W dalszym ciągu po Internecie grasują Sassery, Blastery itp. Ostatnio wykryto w systemach z rodziny Windows groźną lukę, która może być wykorzystywana przez nowego robaka (pisaliśmy o niej w wiadomości Krytyczna aktualizacja Microsoft Windows). Specjaliści od bezpieczeństwa IT potwierdzają, że taki robak już jest wypuszczony do Internetu, lecz nie są to jakieś masowe ilości (przynajmniej na razie nie może być mowy o epidemii). System ARAKIS nie zaobserwował do tej pory aktywności nowego robaka. Być może ze względu na pewne podobieństwa wykorzystywanej luki do tych używanych przez inne robaki (m.in. Sassera) nie jest opłacalne dla cyberprzestęcpców rozwijanie nowego kodu – można go (i jemu podobne) zablokować dosyć łatwo chociażby poprzez filtrowanie na firewallu pakietów kierowanych na porty 445 i 139 TCP (nie wspominając o zwykłej aktualizacji systemu). Warto także zauważyć, że coraz rzadziej wykrywane są tak poważne luki, że mogą być wykorzystane w podobny sposób przez robaki. Obecnie rozwijane metody infekcji (głównie omówione wcześniej wykorzystujące przeglądarkę internetową) oraz te już sprawdzone są najprawdopodobniej bardziej opłacalne i przynoszą lepsze rezultaty.

Jaki jest obecny cel infekowania użytkowników Internetu? Z historii wynika, że najpierw robaki miały pokazać niedoskonałości aplikacji bądź systemów, przynosić sławę twórcom, czy złośliwie usuwać z systemu różne pliki, wyświetlać zabawne lub obraźliwe komunikaty, itp. W chwili obecnej prawdziwym celem twórców malware’u są pieniądze a motywacją zwyczajna chęć zysku. Zdobywają je na różne sposoby. Mogą instalować w systemach ofiar programy szpiegujące i wykradające hasła do kont bankowych czy różnych płatnych gier on-line. Mogą używać szantażu, jak np. twórcy wirusa Gpcode/PGPcoder, który szyfruje pliki multimedialne i dokumenty i odszyfrowuje dopiero wtedy, gdy ofiara wpłaci na konto cyberprzestępcy określoną sumę pieniędzy. Wreszcie (najpowszechniejsza metoda) tworzą z zainfekowanego komputera członka botnetu (tzw. komputer-zombie). Ofiary najczęściej nie zdają sobie sprawy, że ich komputer jest jednym z tysięcy, a nawet być może milionów komputerów kontrolowanych przez właścicieli botnetu (tzw. botmasterów). Co najwyżej zauważą spowolnienie jego pracy lub połączenia internetowego, ponieważ wykorzystywane są zasoby systemowe oraz sieciowe – cyberprzestępcy używają ich do świadczenia swoim “klientom” odpłatnie takich usług, jak rozsyłanie spamu reklamowego, atak DDoS na serwery konkurencji, itp.

Co zatem zrobić, by nie paść ofiarą cyberprzestępców? Nie ma, niestety, niezawodnego rozwiązania. Nie ma także co liczyć na całkowite wyeliminowanie malware’u. W praktyce jesteśmy świadkami swoistego „wyścigu zbrojeń” pomiędzy cyberprzestępcami a osobami walczącymi z nimi. Powinniśmy zatem pilnować, by używane przez nas oprogramowanie i system operacyjny były zawsze zaktualizowane. Mocno zalecane jest używanie systemu antywirusowego oraz firewalla (najlepiej, gdyby także używał ich nasz dostawca Internetu). Przede wszystkim jednak musimy być ostrożni w trakcie surfowania po Internecie i mieć ograniczone zaufanie do wszystkich stron www, e-maili czy wiadomości w komunikatorach internetowych. Zdrowego rozsądku nic nie zastąpi, tak jak edukacji na ten temat (w myśl zasady, że przeciwnik lepiej poznany jest mniej groźny).