книги хакеры / журнал хакер / 165_Optimized

Рисунок7.СхемараспространениявирусаиегомодулейсиспользованиемР2Р-сети

программ«Калькулятор»(WindowsCalculator)или«Сапер» (Minesweeper).Файлсоздаетсяспроизвольнымименемирасширениемexe,cmdилиpif.Такжесоздаетсяилимодифицируетсяфайлautorun.infдляавтоматическогозапускасозданных зараженныхфайловпримонтированиидиска.Напрактике чащевсегозаражаютсяUSB-флешкиивнешниежесткие диски.Призапускетакогофайлавместозапускасоответствующейпрограммы(CalculatorилиMinesweeper)открываетсяокно WindowsExplorer.

•Сканируютсясетевыересурсы,обнаруженныеисполняемые файлы—кандидатынаинфицирование.

Для файлов антивирусов (из списка) вместо заражения производится попытка перезаписать код точки входа байтами «CCC3 CCC3 CCC3 CCC3» (это повторяющиеся инструкции int 3 и ret). В случае неудачи этой операции Sality пытается удалить файл. Модуль

заражения также сканирует папки и удаляет файлы с расширением vdb или avc — сигнатуры антивируса Symantec и Касперского.

Еще одна интересная особенность модуля заражения: процедуры заражения отключаются, если список пиров (peerlist) пуст. Это отражает своеобразную схему распределенной работы вируса: «нет необходимости просто локально заражать файлы, если отсутствует подключение к Р2Р-сети и невозможно скачивать дополнительные вредоносные модули».

Как уже упоминалось, Sality — вирус-полиморф, он имеет ряд особенностей:

•Адресточкивходанеменяется(entry-pointobscuring).

•Поадресуточкивходавирусразмещаетуникальную«заго- товку»(stub)—кусоккода,созданныйспомощьюгенератора полиморфногокода(«SimplePolyEnginev1.1a(c)Sector»)(его разбормыпубликовалиещев2010году—bit.ly/Oj09rR).

•«Заготовка»передаетуправлениетелувируса,размещенному, какправило,впоследнейсекциифайла.Кодвирусатакжеполиморфенисодержит«мусорные»инструкции,чтозатрудняет обнаружениеиэмуляциюантивирусами.Далеепроисходит дешифрацияследующегоблока—загрузчика.

•Загрузчикзапускаетсявотдельномпотокеинфицированного процесса.Егоосновнаязадача—загрузитьизапуститьоснов- ныевредоносныемодулиSalityилиперейтиврежиможидания вслучае,есливирусвсистемеужеактивен.

Рисунок8.КоммуникациясзараженногоSalityкомпьютера

Рисунок10. Дампсписка(пака)URL

•Одновременноссозданиемотдельногопотокадляработы вирусапроисходитвосстановлениеоригинальнойточкивхода (originalentry-point)иуправлениепередаетсякодуисходной программы.Дляфайлов,помещенныхвкорневуюпапкудиска (какописановыше),вместозапускаисходнойпрограммывирус

простооткрываетокноWindowsExplorer.

Для синхронизации активных копий вируса и предотвращения одновременной работы вредоносных модулей Sality создает мьютекс с именем «uxJLpe1m», уникальный д ля разных версий. Наличие мьютекса с таким именем в системе — показатель заражения вирусом. С другой стороны, создание этого мьютекса заранее — простой и эффективный способ, «прививка», предотвращающая первоначальное заражение системы.

МОДУЛЬ ЗАКАЧЕК

Модуль закачек отвечает, как следует из названия, за скачивание

изапуск дополнительных вредоносных модулей с URL-адресов, полученных модулем peer-to-peer.

Скачанные файлы обычно закодированы шифром RC4, ключ которого прописан в теле вируса. Хотя детали шифрования различаются в зависимости от сетевой версии, обычно для инициализации s-box используется ключ «kukutrusted!.» в старых версиях или «GdiPlus.dll» в новых.

Судя по такой «подписи», наиболее вероятно, что вирус Sality

иего вредоносные модули созданы одним и тем же автором. Однако вредоносные модули работают по традиционной схеме

исоединяются с C&C-серверами, расположенными по всему миру. Вот список вредоносных модулей, распространяемых Sality:

• Спам-генераторы и спам-шлюзы (spam relay). Наиболее популярный тип модулей. Содержание спама обычно связано

с рекламой казино или фармацевтикой.

•HTTP-прокси. Используются для маскировки сетевой активности и достижения анонимности.

•Сборщики информации. Собирают пароли, учетные записи и персональные данные, в том числе и данные веб-форм (внедрение в Internet Explorer).

•Заражение веб-сайтов. Этот вредоносный модуль перехватывает учетные записи FTP, после чего подключается к данным FTP и заражает HTML-файлы. Заражение происходит путем внедрения простого IFRAME, указывающего на сторонний ресурс, или (более сложный вариант) используются скрипты, выполняемые на стороне сервера. Цели подобных заражений могут варьироваться от drive-by download и заражения пользовательских компьютеров до спам-рассылок.

•Распределенная система взлома. В феврале 2011-го операторы вируса Sality распространили вредоносный модуль, который использовал свою распределенную сеть для взлома VoIPаккаунтов. Этот модуль может работать в нескольких режимах в зависимости от команд С&C-сервера:

• регистрация аккаунтов на целевом сервере (функционал реализован не полностью);

Рисунок11.ТемпызараженияSality.AE(количествоновыхзараженийвмесяц)

•взлом аккаунтов: С&C отправляет модулю список аккаунтов

исписок паролей для перебора. Обнаруженная корректная пара логин — пароль отправляется обратно на С&C-сервер;

•обнаружение SIP- и HTTP-серверов: С&C отправляет модулю список IP-адресов для сканирования. Результат сканирования сообщается С&C-серверу;

•взлом Asterisk FreePBX: обнаруженные в предыдущем шаге или полученные из других источников списки серверов

исписки паролей используются для обнаружения и подбора паролей к серверам Asterisk FreePBX.

Цели у подобного рода атак, как правило, финансовые. Можно зарегистрировать платный номер и совершить звонок на него

с каждого из обнаруженных SIP-аккаунтов. Взлом FreePBX может нести и более серьезные последствия, так как злоумышленник получает контроль над аутентификацией и тарификацией пользователей, а также маршрутизацией звонков.

ЭКСПЕРИМЕНТАЛЬНЫЕ ВРЕДОНОСНЫЕ МОДУЛИ

На сегодняшний день известно всего два экспериментальных модуля, запущенных, по всей видимости, для отработки технологии в качестве «пробного шара». Первый модуль — это скрипт автоматической регистрации приложения Facebook. Модуль — сборщик информации, внедренный в Internet Explorer через стандартный COM-интерфейс, собирает из веб-форм регистрационные данные, отправляет С&C-серверу и сохраняет локально в зашифрованном виде. Экспериментальный модуль выполняет скрипт со следующей очередностью действий: открыть Internet Explorer в режиме видимого (!) окна, перейти на сайт facebook.com, войти, используя перехваченные регистрационные данные, перейти на страницу приложения VIP Slots (#119084674184), разрешить доступ приложению, закрыть окно. Приложение использует доступ на уровне «Basic information» — имя, пол, фото и список друзей. На данный момент этот модуль не производит никаких вредоносных действий (потому и назван экспериментальным), однако сама возможность подобного рода активности позволяет злоумышленникам использовать взломанный аккаунт Facebook для распространения спама (постинги) или для приобретения виртуальных кредитов.

Еще один скрипт, распространенный Sality, выполнял следующие действия: запустить Internet Explorer в невидимом режиме, перейти на сайт google.com, запустить поиск строки «auto insurance bids», закрыть окно.

Скрипт служит экспериментальным целям и может позволить продвигать те или иные темы в Google Trends, где наблюдается заметный пик популярности по данному запросу.

МОДУЛЬ PEER-TO-PEER

Модуль и субмодули peer-to-peer отвечают за распространение URL-ссылок на вредоносные модули.

Исполняемые зараженные Sality файлы присоединяются к сети peer-to-peer, состоящей из таких же зараженных компьютеров.

В отличие от других ботсетей Р2Р-сеть не имеет фиксированных C&C-серверов. В случае Sality попытка положить или заблокировать сеть ботнета будет означать необходимость заблокировать все суперпиры, что теоретически возможно, но трудно реализуемо. Следует помнить, что Sality не троян, это вирус, а излечение ВСЕХ файлов, на ВСЕХ зараженных компьютерах — одна из труднейших задач индустрии IT-безопасности.

Первичное соединение с сетью происходит с помощью начального списка (bootstrap list) пиров, содержащегося в зараженных файлах и включающего координаты (публичный IP, порт) ряда уже существующих пиров. Во всех вариациях вируса, с которыми мы имели дело, размер списка ограничивается 1000 записями.

В момент первого запуска Sality в реестре Windows создается локальная копия начального списка (в ветке HKEY_CURRENT_USER под псевдослучайным именем), и в дальнейшем этот локальный список обновляется путем добавления новых активных и удаления «мертвых» пиров.

На одном зараженном компьютере могут присутствовать несколько версий вируса Sality (хотя активной может быть только одна) и, как следствие, присоединяться к разным сетям.

Существует по меньшей мере четыре версии протоколов:

•экземпляры реализации версии протокола V1 не обнаружены;

•версия V2 впервые была обнаружена в начале 2008 года, но на данный момент уже «мертва»;

•версия протокола V3 и сеть на ее основе на сегодняшний день является наиболее распространенной и разветвленной. Первые упоминания об этом протоколе встречаются начиная с 2009 года;

•сеть на основе протокола V4 заметно меньше сети V3. Впервые была обнаружена в конце 2010 года.

Различия между протоколами версий V2 и V3 минимальны, однако появление нового протокола не обязательно коррелирует с новыми возможностями самого вируса. Поскольку каждый зараженный файл содержит открытый ключ, используемый для проверки списка URL-ссылок, то каждая новая версия протокола требует использования нового ключа. Можно предположить, что переход от версии V2 к V3 был продиктован фактом компрометации закрытого ключа, используемого для подписи списка URL.

В протоколе 3-й версии после скачивания и проверки списка URL-адресов (см. ниже) не производится никаких прочих проверок ни самих адресов, ни файлов, скачиваемых с них. То есть можно изменить записи DNS и/или подменить файлы-вредоносы на свои, что позволит контролировать как саму ботсеть, так и вредоносную активность. С целью устранения указанных слабых сторон 3-й версии автор разработал 4-ю версию.

КАКБОРОЛИСЬСSALITY

«Мы познакомились с вирусом Sality в корпоративной сети одного из крупных российских заказчиков в рамках противодействия уже начавшейся эпидемии. Было очень непросто обнаружить все его экземпляры — он заражал исполняемые файлы, каждый раз заново шифруя свое тело. Обычные сигнатуры тут не помогут — потребовалось создание специальных утилит, постоянно обновлявшихся на основе информации о все новых его разновидностях. Да и с лечением было непросто — внедрившись в систему на уровне ядра, он скрывал свои файлы, останавливал антивирусные процессы и препятствовал их запуску. Наши эксперты работали почти круглосуточно довольно долго — время простоя в финансовой организации очень дорого. Sality — очень

интересная и серьезная разработка отечественных специалистов». Один из первых экспертов, столкнувшихся с Sality

РАСПРОСТРАНЕННОСТЬВИРУСА

На текущий момент существует около двух десятков различных модификаций Sality, для которых созданы отдельные сигнатуры. Самой активной и обнаруживаемой наиболее часто является модификация Sality.AE.

Количествозараженных Salityкомпьютеровпостранам (впроцентахотобщегочислазараженных)

Внейвводятсяследующиеизменения:

•цифровая подпись скачиваемых с C&C-серверов файлов, с использованием того же ключа, что и для списка URL-адресов;

•список URL становится не единственным путем получения вредоносных модулей. Каждый суперпир запускает у себя TCP-сервер и позволяет осуществлять прямой обмен файлами (EXE packs) между пирами. Эти файлы также имеют цифровую подпись;

•для лучшей защищенности RSA-ключ стал 2048-битным (в 3-й версии 1024 бит).

Основная роль сети Р2Р, то, для чего Р2Р была введена в кон-

цепцию Sality, — это возможность распространения URL-ссылок на C&C-серверы, откуда зараженные компьютеры скачивают вредоносные модули. Как раз для обмена ссылками и служит команда Pack Exchange. Защита целостности сети обеспечивается тем что, все URL-списки имеют порядковый номер и цифровую подпись.

Пиры установят и задействуют распространяемый список URL только в том случае, если проверка цифровой подписи пройдет успешно, а порядковый номер окажется больше, чем номер, который пир имеет в данный момент.

ЗАКЛЮЧЕНИЕ

Если говорить про файловые вирусы, то Sality определенно выбивается из ряда других своих «коллег». Его механизмы противодействия антивирусному ПО в комбинации с оригинальными схемами распространения делают этот вредонос эффективным и живучим. Большая и разветвленная сеть Sality версии 3 позволяет угрозам быстро распространяться, а появление следующей, четвертой версии следует воспринимать как еще более серьезную проблему.

На данный момент им инфицированы сотни тысяч компьютеров. Вредоносные модули, внедряемые на эти компьютеры, могут быть относительно безобидными (рассылка спама), а могут и представлять высокий риск (сборщики паролей). Помимо этого, появились механизмы сбора данных веб-форм с акцентом на аккаунты Facebook и Google Blogger, даже позволяющие осуществлять активные действия с использованием этих данных. Возможно, завтра операторы ботсети Sality внедрят модуль сбора банковских данных, кто знает... z

Технология Kernel Patch Protection, более известная широкой публике под названием PatchGuard, предназначена для защиты ОС Windows. Создание и реализацию этой технологии можно смело приписывать к несомненным заслугам Microsoft в области обеспечения защиты ОС от руткитов. Но если набрать

вГугле «PatchGuard», то всемогущий поисковик выдаст нам мало чего вразумительного. Не знает Гугл ничего об этой таинственной технологии Microsoft. Яндекс тоже, кстати,

впоиске по PatchGuard находится в пролете, аки фанера над Парижем. Но не будем судить строго. Вины поисковиков в этом нет: практически вся информация об особенностях этой технологии — результат трудов независимых исследователей-кодокопателей. Сегодня мы не только в деталях рассмотрим, что такое PatchGuard и с чем ее едят, но и поговорим

о способах ее обхода — тематика журнала того требует ;).

ЛЕЗЕМВНЕДРА ТАИНСТВЕННОЙ ТЕХНОЛОГИИMS— KERNELPATCH PROTECTION

ЧТО ИМЕЕМ?

Суть технологии PatchGuard проста — система защищает адресное пространство ядра от попыток модификации, тем самым не допуская попыток захвата жизненно важных системных позиций. Защите подлежат объекты, наиболее критические с точки зрения безопасности системы, — это SSDT, GDT, IDT, специфические регистры процессора MSR (через которые проходят так называемые syscalls), а также само ядро — ntos.exe, библиотека абстракции от оборудования hal.dll и драйвер сетевых операций ndis.sys.

После успешного старта PatchGuard в случайные промежутки времени проверяет целостность виртуальных адресов ядерного пространства и, если обнаруживает подозрительные модификации, тут же поднимает тревогу с вызовом полиции, скорой, пожарных и МЧС в придачу. А если серьезно, то эта технология