Wirusy i ataki sieciowe X-XII 2005

Przeczytaj także: Panda: złośliwe oprogramowanie 2008

Ponieważ wszystkie te trzy kryteria zostały spełnione w przypadku konsol do gier, pojawienie się koni trojańskich dla tej platformy było tylko kwestią czasu. Jak dotąd nie wykryto żadnych innych złośliwych programów. Jednak drzwi zostały już uchylone i szkodliwi użytkownicy z pewnością pokuszą się pchnąć je dalej.

Innym ważnym czynnikiem jest powszechna tendencja tworzenia nowych konsol, które można połączyć z Internetem i administrować centralnie. Wcześniej dotyczyło to jedynie komputerów (łącznie z urządzeniami PDA) i telefonów. Jednak urządzenia i technologie wciąż ewoluują. Niektórzy mówią o połączeniu każdej konsoli z Siecią i umożliwieniu użytkownikowi zdalnej kontroli, o połączeniu ze sobą konsol do gier, urządzeń AGD i inteligentnych domów za pomocą technologii bezprzewodowych, takich jak WiFi, Bluetooth i IrDA. To znacznie zwiększa ryzyko związane z wykorzystywaniem takich technologii. W każdym z tych urządzeń pojawią się luki, co oznacza, że każde z nich może stać się celem ataków hakerów. Jeśli dodamy do tego odwieczny problem bezpieczeństwa sieci bezprzewodowych, nawet nieodległa przyszłość nie wygląda optymistycznie. Tradycjonalne programy antywirusowe mogą okazać się bezużyteczne.

Rootkit Sony

Duże zamieszanie w mediach wywołało oświadczenie specjalisty ds. bezpieczeństwa Marka Russinovicha o wykryciu rootkita w module DRM płyt dystrybuowanych Sony. Ukazało się wiele artykułów na ten temat, a do sądów trafiło kilka pozwów przeciwko Sony. Bez wątpienia, rootkit Sony, obok luk w systemie Windows, jest nie tylko jednym z najważniejszych incydentów, jakie miały miejsce w branży bezpieczeństwa w czwartym kwartale 2005 roku, ale jednym z najważniejszych wydarzeń w całym roku.

Ponieważ szczegóły tej historii są powszechnie dostępne, zamiast przytaczać je na nowo przyjrzymy się ogólnej sytuacji i pokusimy o wyciągnięcie wniosków.

Za sprawą firmy Sony setki tysięcy komputerów na całym świecie zawierało oprogramowanie ukrywające przed użytkownikiem pewne pliki i procesy. W rezultacie, teoretycznie każdy plik, którego nazwa zaczynała się od $sys$, stawał się niewidoczny, chyba że zastosowano specjalne narzędzia. Jest to dość ryzykowna funkcja, ponieważ może zostać wykorzystana przez złośliwe programy w celu zamaskowania swej obecności w systemie. Nic dziwnego, że po ujawnieniu rootkita Sony, szkodliwi użytkownicy postanowili ją wykorzystać. Kilka dni po tym, jak Russinovich poinformował o zidentyfikowaniu rootkita, wykryty został backdoor, który instalował się do systemu pod nazwą zaczynającą się od $sys$. Został nazwany Backdoor.Win32.Breplibot.b.

Wkrótce pojawiły się kolejne wirusy. Biorąc pod uwagę liczbę zagrożonych komputerów oraz niezdolność niektórych programów antywirusowych do wykrywania rootkitów, nie było to żadnym zaskoczeniem.

Rootkit Sony stanowi wyjątek od reguły. Do tej pory autorzy wirusów tworzyli złośliwe programy wykorzystujące luki w systemie Windows, tym razem jednak do powstania szkodników przyczyniła się firma Sony. Osobiście uważam to za punkt zwrotny. Można powiedzieć, że nastąpiła zmiana wektorów ataków, ponieważ zaczęto szukać potencjalnych luk w produktach innych firm niż Microsoft. Wykryte luki prędzej czy później zostaną wykorzystane przez hakerów. Spodziewaliśmy się takiej zmiany, sądziliśmy jednak, że wykorzystywane będą luki w programach antywirusowych lub urządzeniach sieciowych firmy Cisco (w szczególności IOS). W przypadku Sony ogromne znaczenie miało to, że luka była łatwa do wykorzystania oraz szeroko nagłośniona.

Możemy wyciągnąć następujące wnioski:
1. Wykorzystywanie przez twórców oprogramowania technologii rootkit powinno być niedopuszczalne (zarówno ze względów moralnych, jak i technicznych). Rootkity stosowane są w niektórych programach typu adware. Jest to pewien sposób zabezpieczenia programów. Ich autorzy zapominają, że podobne technologie są wątpliwe moralnie oraz mogą zostać wykorzystane do niewłaściwych celów.
2. Specjaliści w dużych firmach software'owych posiadają słabe umiejętności programistyczne. Nie chodzi tu o liczbę luk w dostępnym oprogramowaniu, ale o to, że programiści nie w pełni rozumieją możliwości stworzonych przez siebie programów. Przykładem mogą być programiści z First4Internet (firmy, która stworzyła rootkita dla Sony), którzy jeszcze rok temu sami poszukiwali informacji na temat tego, jak można ukryć pliki w systemie. Dlatego z technicznego punktu widzenia trudno jest traktować stworzonego przez nich rootkita poważnie.
3. Celem ataków wirusów nie jest już tylko firma Microsoft i system Windows. Każda firma tworząca popularne programy zawierające luki lub nieudokumentowane funkcje może potencjalnie spowodować epidemię. Każda taka luka lub funkcja może zostać wykorzystana do przeprowadzenia ataku.
4. Twórcy wirusów nie ograniczają się już do śledzenia informacji o lukach w systemie Windows, aby następnie je wykorzystać. Teraz sami wykrywają luki, zarówno w systemach, jak i w programach firm innych niż Microsoft. Świadczy o tym zarówno incydent z rootkitem Sony, jak i luka WMF.
5. Firmy antywirusowe coraz częściej będą znajdowały się w sytuacji, gdy interesy dużych producentów oprogramowania kolidują z interesami użytkowników. Oczywiście użytkownicy chcą, aby rootkity były wykrywane i usuwane z systemu; jednak niektórzy producenci mogą być zdania, że stosowanie tych technologii służy ochronie ich programów. Konieczne jest zatem osiągnięcie kompromisu w tej sprawie.

Wniosek

Ostatni kwartał 2005 roku obfitował w wydarzenia, które mogą mieć dalekosiężne skutki dla branży bezpieczeństwa oraz użytkowników. Bez wątpienia, rok 2006 przyniesie dalszą ewolucję złośliwego kodu. Luki będą wykrywane nie tylko w programach i systemach firmy Microsoft. To z kolei stworzy nowe możliwości dla twórców wirusów, hakerów i cyberprzestępców. Naturalnie branża antywirusowa będzie nadal śledziła rozwój złośliwych programów oraz rozwijała metody zwalczania nowych zagrożeń.