Storm botnet: II. Popis a funkcie

Toto je pokračovanie prvej časti seriálu o Strom botnete. V tejto časti sa bližšie pozrieme na špecifiká tohto botnetu.

Úvod do Storm Botnetu

Storm Botnet je práve jeden z tých "zlých" botnetov. Prvý krát bol objavený 17.1.2007. Tvoria ho počítače infikované pomocou malwaru zvaného Storm Worm. I keď pojmom malware označujeme skupinu vírusov, trojanov a rootkitov, Storm Worm nie je možné zaradiť výlučne ani do jednej z týchto rodín. Je to preto, že má vlastnosti a používa techniky všetkých z nich, a ďalšie. Storm Worm je známy pod rôznymi názvami u rôznych spoločností. V skratke u tých známejších sú to nasledovné:

• Win32/Nuwar (ESET)
• Trojan.Peacomm (Symantec)
• W32/Zhelatin (F-Secure a Kaspersky)
• Small.dam alebo Trojan-Downloader.Win32.Small.dam (F-Secure)
• W32/Nuwar@MM a Downloader-BAI (McAfee)
• Trojan.Peed, Trojan.Tibs (BitDefender)
• Win32/Nuwar.N@MM!CME-711 (Windows Live OneCare)

Firma Microsoft počas jeho existencie eviduje až 200 000 rôznych variantov tohto malwaru. Šíril sa hlavne pomocou spamu s prílohami, ktoré ho obsahovali. Na začiatku inštaloval službu wincom32, spustil payload a odosielal vlastné pakety na miesta zakódované v malwari samotnom.

Vlastnosti, funkcie a zvláštnosti

Väčšina botnetov existúcich do vzniku Stormu sa špecializovala. Boli profilované buď na zber osobných informácií, či kradnutie prihlasovacích údajov alebo na šírenie spamu. Tomu boli prispôsobené aj ich vlastnosti a funkcie. Storm botnet bol jeden z prvých, ku ktorému tvorcovia pri vytváraní pristupovali ako k "švajčiarskemu nožíku". Storm je skutočne veľmi univerzálny a jeho vývoj musel stáť nemalé peniaze.

Tento botnet má štruktúru decentralizovanej siete cez distribuovanú hash tabuľku (používa algoritmus Kademlia). Na skrývanie riadiacich centier používa techniky fast-flux DNS (známe aj ako double-flux). Na skrývanie kódu na napadnutých počítačoch používa techniky rootkitov. Kód tohto malwaru je pravidelne aktualizovaný. Zistilo sa, že zdojové kódy sú s malými úpravami kompilované a balené (pakované) asi každé dve hodiny. Tým pádom vznikajú stále nové verzie a bezpečnostné systémy s algoritmom rozpoznávania založenom na princípe signatúr tak môžu mať problémy stíhať aktualizovať svoj softvér. Toto všetko mu pomáha zostať v utajení. V prípade, že by sa niekto predsa len pokúsil stopovať tento botnet a vykonávať pre neho podozrivé akcie, tento botnet odpovie DDoS útokom na takéhoto zvedavca. Výskumníci však stále jednoznačne nepotvrdili, či sa tak deje automatizovane alebo sú tieto útoky spustené ručne.

Storm botnet vie používať svoje menšie časti na rôzne účely a deliť medzi nich prácu. To znamená, že zatiaľ čo jedna časť sa môže sústediť na rozširovanie veľkosti botnetu, iná na rozosielanie spamu a pod. Takto vie pracovať na viacerých úlohách a efektívnejšie optimalizovať zisk zo svojej činnosti.

Na svoje šírenie používa asi všetky spôsoby v súčasnosti rozšírené. Šíri sa cez spam, zraniteľnosti webov a využíva aj zraniteľnosti systémov, a aplikácií. Z tých najviac využíva chyby softvéru od firiem Microsoft a Adobe.

Čo sa týka komunikácie v rámci botnetu, najviac používa eDonkey P2P sieť (Overnet). Je založený na princípe P2P a komunikáciu (od istého času) naviac kompletne šifruje. Implementovaný eDonkey(Overnet) protokol je skoro nemožné vypnúť. To veľmi sťažuje stopovanie a aj odhadnutie jeho veľkosti. Počítače si totiž pamätajú iba IP adresu nadradeného uzla. Na druhej strane, nevýhodou pre botnet je, že v prípade používania proxy alebo NAT, infikovaný počítač zostáva odrezaný od zvyšku botnetu a je nepoužiteľný pretože nevie komunikovať. Okrem tohto spôsobu podporuje aj iné protokoly. Potvrdené sú irc, http a ďalšie. Tie sú pripravené v prípade, že by komunikácia niektorým iným spôsobom zlyhala.

Ako sme spomenuli, kód je pravidelne updatovaný. Kým sa dostal do dnešnej podoby, prešiel dlhším vývojom. Je na ňom vidieť, že mu bola venovaná patričná pozornosť, je pravidelne testovaný a debugovaný. Spočiatku sa šíril ako nešifrovaný driver wincom32.sys. Neskôr pridali pakovanie a obfuskáciu kódu. Nasledovala P2P komunikácia v nešifrovanej podobe. Po nej pridali anti-virtualizačné a anti-debugovacie techniky, a "patchovanie" tcpip.sys. Nasledovalo pridanie šifrovania na P2P vrstve. Čo sa týka pridávania schopností, tak isto sa postupne vyvíjalo. Niektoré nepoužívané a nepotrebné schopnosti boli odoberané. Tento malware dokonca kontroluje svoje vlastné verzie. Na zabránenie používania starého kódu, ktorý by mohol obsahovať predchádzajúce chyby, používa blacklisting starších verzií. Ďalšou ochranou bolo aj rušenie procesov, ktoré používali anti-vírusové programy. Táto bola neskôr zdokonalená do novej podoby. Namiesto vypínania procesov programov, ktoré by mohli viesť k odhaleniu malwaru, Storm ich necháva bežať. Namiesto toho "patchuje" miesta spúšťania týchto procesov a tak všetky bežia bez podozrivého vypínania pre neho nežiadúcich procesov. Takto ale anti-vírusové programy nie sú schopné zachytiť jeho podozrivú aktivitu, teda bežia, ale nič nerobia.

Veľkosť tohto botnetu sa výskumníci snažili zisťovať už od jeho začiatkov. Vyskytli sa viaceré odhady a dohady. Vzhľadom na použitý typ komunikácie a architektúru jeho štruktúry je veľmi zložité povedať akú veľkosť daný botnet má. Keďže tieto odhady boli veľmi nepresné a nepodložené, spomenieme si len, že jeho veľkosť bola odhadovaná v čase svojho vrcholu (september 2007) niekde medzi 1 až 10 miliónov počítačov. Tento odhad bol neskôr korigovaný medzi hodnoty 0,5 až 1 milión infikovaných počítačov. Pre zaujímavosť, vyskytol sa aj odhad na 50 miliónov počítačov, neskôr upravený na 6 až 15 miliónov. Treba to však brať s dostatočnou rezervou, pretože len malé percento uzlov tejto siete bolo naraz v jednom momente online. Toto číslo znižovala neskôr aj detekcia a včasné odstraňovanie malwaru tohto botnetu z napadnutých počítačov. Odhadovalo sa, že životnosť infikovaného počítača bola v priemere 4 dni, čo svedčí aj o rýchlosti odpovede na hrozbu tohto botnetu zo strany bezpečnostných expertov a spoločností.

Storm botnet má vo svojom arzenáli viacero funkcií. Rozosiela spam na objednávku a kvôli šíreniu botnetu. Používa metódu vzorov (angl. templates). V novších verziách používa aj proxy pre niektoré služby a vie hostovať web-obsah. Vie vytvoriť ICMP a TCP SYN flood. Sťahuje a spúšťa súbory, čo používa aj pri funkcii updatovania.

Storm bol počas svojej existencie využitý na viacero činností. Hlavným bolo rozosielanie spamu. Rozosielal viacero typov spamu:

• pdf súbory s vloženými obrázkami
• excel súbory s vloženými obrázkami
• mp3 súbory
• plain-textové maily

Okrem toho odosielal phishinogé e-maily. Viedol DDoS útoky proti iným skupinám a organizáciám, a aj voči výskumníkom snažiacim sa stopovať a odhaliť činnosti tohto botnetu. Takto vlastne pokryl všetky funkcie botnetov, ktoré sme si spomenuli pri všeobecnej charakteristike botnetov. Bot vlastne prvý, ktorému sa podarilo všetky tieto techniky využiť v masovom meradle.

V ďalšej časti si zhrnieme históriu tohto botnetu až do súčasnosti.

Zdoje k tejto časti:

• http://en.wikipedia.org/wiki/Storm_Worm
• https://forums.symantec.com/t5/blogs/blogarticlepage/blog-id/emerging/ar...
• http://www.vnunet.com/vnunet/news/2215700/storm-botnet-blows-out
• http://www.darkreading.com/security/showArticle.jhtml?articleID=21120126...
• http://securitywatch.eweek.com/virus_and_spyware/the_storm_worm_is_not_c...
• http://securitylabs.websense.com/content/Blogs/3225.aspx
• https://forums.symantec.com/t5/blogs/blogarticlepage/blog-id/malicious_c...
• http://www.theregister.co.uk/2008/11/10/storm_botnet_spam_economics/