«Мгновенные» угрозы

Денис Масленников, Борис Ямпольский

  Программы для мгновенного обмена сообщениями весьма привлекательны для различного рода злоумышленников. Знание потенциальных угроз, распространяемых через IM-клиенты, и способов защиты от них поможет пользователям избежать многих неприятностей при общении в Сети.

IM-клиенты

  В наши дни виртуальное общение в Сети стало для многих неотъемлемой частью повседневной жизни. Существует множество способов связи, каждому из которых отведено определенное место в сетевом пространстве – электронная почта, чаты, различные форумы, комментарии в блогах и т.д. Среди пользователей также популярны системы мгновенного обмена сообщениями (англ. instant messengers, или IM), которые позволяют общаться с человеком, находящимся в любой точке мира, в режиме реального времени.

  Чтобы общаться с помощью IM, пользователю достаточно иметь доступ в Интернет и установленную на компьютере программу (клиент) для мгновенного обмена сообщениями. Подобных программ очень много, и основные функции IM – собственно обмен сообщениями, поиск собеседников по интересам, просмотр персональной информации владельца аккаунта, различные режимы, в которых пользователь может находиться в Сети и т.д. – реализованы практически во всех IM-клиентах. Помимо этого, некоторые IM-клиенты (или, как их еще называют, интернет-пейджеры) могут иметь набор дополнительных функций.

  В России самым популярным IM-клиентом, без сомнения, является ICQ. Название ICQ созвучно английской фразе «I seek you», что означает «я ищу тебя». У каждого пользователя ICQ есть уникальный номер, или UIN (unique identical number), с помощью которого он авторизуется на сервере. Каждый уникальный номер защищен паролем, который устанавливает пользователь. Сообщения передаются по протоколу TCP/IP с использованием специального формата, разработанного компанией Mirabilis. Как правило, одно сообщение умещается в одном TCP-пакете. Некоторые другие клиенты – например, QIP (Quiet Internet Pager) или Miranda – пересылают сообщения, используя различные версии этого же протокола.

  Еще одна программа – ее предпочитают многие западные пользователи – MSN Messenger (или Windows Live Messenger), стандартный IM-клиент, разработанный компанией Microsoft. MSN Messenger использует Microsoft Notification Protocol (иногда его также называют Mobile Status Notification Protocol – протокол для мобильного оповещения). Протокол MSNP2 является полностью открытым, однако код остальных его версий на данный момент закрыт. В последней версии MSN Messenger используется версия MSNP16.

  В программе Skype помимо функции интернет-пейджера реализована возможность голосового общения. Этот клиент, получивший широкое распространение во всем мире, позволяет пользователям бесплатно обмениваться голосовыми сообщениями. Для этого каждому собеседнику необходимо иметь гарнитуру с микрофоном и компьютер с доступом в Интернет и установленным клиентом. Skype также позволяет звонить на телефонные номера, но такая услуга стоит денег.

IM-Угрозы

  К сожалению, виртуальный мир в целом и система мгновенного обмена сообщениями в частности доступны для злоумышленников. Чаще всего в IM осуществляются следующие виды незаконной деятельности:

1. Кража паролей к аккаунтам IM-клиентов путем перебора паролей (брутфорса) или выманивание их у пользователей с помощью методов социальной инженерии.

2. Распространение вредоносных программ.

• Рассылка сообщений со ссылками, при активации которых на компьютер пользователя пытается загрузиться вредоносная программа. Используя методы социальной инженерии, злоумышленник провоцирует пользователя открыть загружаемый файл, т.е. запустить вредоносную программу.

• Рассылка сообщений со ссылками на зараженные веб-страницы.

3. Спам-рассылки.

  Все программы для мгновенного обмена сообщениями подвержены различного рода угрозам. Возьмем, к примеру, популярный в Китае IM-клиент QQ. Широко распространенные в данном регионе Trojan-PSW.Win32.QQPass и Worm.Win32.QQPass специально созданы для воровства паролей к QQ-клиенту. WormWin32.QQPass размножается, копируя себя на сменные носители вместе с файлом autorun.inf, обеспечивающим автозапуск червя на неинфицированном компьютере (в том случае, если функция автозапуска на последнем не отключена).

  Вирусописатели не обошли стороной и Skype. Worm.Win32.Skipi распространяется через Skype-клиент, рассылая по контакт-листу пользователя зараженной машины ссылку на свой исполняемый файл. Помимо этого, червь копирует себя на сменные носители вместе с файлом autorun.inf, правит файл hosts, делая невозможным обновление антивирусных продуктов и Windows, а также пытается завершить работу защитных программ в системе. Не обошлось и без троянца, ворующего пароли к Skype. «Лабораторией Касперского» он детектируется как Trojan-PSW.Win32.Skyper.

  MSN Messenger, разработанный компанией Microsoft, активно используется злоумышленниками для распространения различных IRC-ботов. Многие из них способны размножаться через этот клиент по команде, полученной из центра управления бэкдором. Происходит это следующим образом. Предположим, у злоумышленника есть небольшой ботнет, который он хочет расширить. Для этого через центр управления всем бэкдорам посылается команда разослать по адресам из контакт-листов MSN Messenger’а зараженных пользователей сообщения со ссылкой следующего вида: http://www.***.com/www.funnypics.com. Дальнейшее зависит от действий пользователя, получившего данную ссылку. Если он решит взглянуть на «забавные картинки», то в зомби-сети станет одним компьютером больше: при клике на ссылку на компьютер пользователя загружается бэкдор.

Угрозы в ICQ

  На примере ICQ мы рассмотрим наиболее распространенные способы атак, которые злоумышленники могут предпринимать и в отношении пользователей других IM-клиентов.

Кража паролей

  Как уже было сказано, у каждого пользователя ICQ есть свой уникальный идентификационный номер, или UIN. В настоящее время наиболее распространены девятизначные номера, однако многие пользователи хотят, чтобы их UIN совпадал с номером мобильного телефона, был симметричным или содержал одинаковые цифры. Такие UIN’ы удобны для запоминания, а для кого-то подобный номер – вопрос престижа. Особенно ценятся так называемые «красивые» ICQ-номера – пяти-, шести- или семизначные UIN’ы, содержащие, например, только две цифры.

  «Красивые» номера продаются, и их цена, как правило, достаточно высока. На многих сайтах существует услуга «заказ номера»: за установленную плату владельцы сайта обещают с некоторой долей вероятности «достать» приглянувшийся заказчику UIN. Кроме того, покупателям предлагают оптовые партии ничем не примечательных девятизначных номеров, которые представляют интерес для любителей массовых рассылок. Использование большого количества номеров при проведении спам-рассылок позволяет спамерам обойти «черные списки», куда разгневанные пользователи заносят номера, с которых приходят спам-сообщения.

  Продавцы «престижных» номеров редко рассказывают о методах их получения. В электронных магазинах покупателей уверяют, что «красивые» UIN’ы продаются на законных основаниях. Но на самом деле в большинстве случаев такие ICQ-номера добываются нелегальным путем.

  Для кражи UIN’ов злоумышленники используют несколько способов. Многочисленные интернет-магазины, торгующие «красивыми» номерами, зачастую занимаются «промышленным» перебором паролей и кражей аккаунтов. Еще один способ – подбор пароля к primary email и изменение исходного пароля к UIN’у пользователя без ведома последнего. Рассмотрим этот способ подробнее.

  Если пользователь забыл пароль к своему UIN’у, служба поддержки ICQ предлагает определенную схему его восстановления. Она неоднократно усложнялась, дорабатывалась и в настоящее время представляет собой систему, более или менее надежно защищающую пароль от кражи. Пользователю предлагается ввести ответы на установленные им самим вопросы. Если же он забыл ответы, то вопросы можно сменить при помощи primary email – почтового адреса, введенного в контактную информацию при регистрации. Схема достаточно надежна, но если злоумышленник каким-либо образом получил доступ к primary email, то UIN, можно сказать, у него в кармане. Подобрав пароль к primary email, можно связаться со службой поддержки ICQ и от имени владельца аккаунта попросить выслать новый пароль, поскольку старый якобы забыт. После получения нового пароля злоумышленник может лишить владельца доступа и к ICQ, и к primary email, сменив старые пароли. Следует отметить, что такой способ кражи достаточно непрост: для перебора паролей к почтовому ящику, с которым связан номер ICQ, необходим мощный компьютер или даже сеть.

  Однако наиболее популярна кража ICQ-номеров при помощи различных вредоносных программ, среди которых лидирует Trojan-PSW.Win32.LdPinch. Данное семейство угрожает пользователям на протяжении последних нескольких лет. LdPinch ворует пароли не только к ICQ и другим IM-клиентам (например, Miranda), но также к почтовым клиентам, различным FTP-программам, онлайн-играм и т.д. Существуют специальные программы-конструкторы для создания необходимого злоумышленнику троянца – они позволяют задавать параметры установки вредоносного ПО на зараженный компьютер, определять, какие именно пароли вредоносная программа будет воровать у пользователя, и т.д. После конфигурирования преступнику остается лишь указать электронный адрес, на который будет отправляться конфиденциальная информация. Именно простота создания таких вредоносных программ приводит к тому, что они часто встречаются не только в почтовом, но и в IM-трафике.

Распространение вредоносных программ

  Если в почтовом трафике вредоносные программы, распространяющиеся самопроизвольно или благодаря спаму, являются представителями самых разных семейств, то через ICQ распространяются в основном три группы подобных программ:

1. IM-черви – вредоносные программы, использующие клиент как плацдарм для саморазмножения.

2. Троянские программы, нацеленные на воровство паролей, в том числе и к номерам ICQ (в подавляющем большинстве случаев это Trojan-PSW.Win32.LdPinch).

3. Вредоносные программы, классифицируемые «Лабораторией Касперского» как Hoax.Win32.*.* (сюда относится вредоносное ПО, предназначенное для получения от пользователя денежных средств обманным путем).

  Каким же образом распространяются вредоносные программы через ICQ?

  Распространение IM-червей происходит без участия (или почти без участия) пользователя. Многие IM-черви после попадания на компьютер пользователя распространяют ссылку на себя по номерам, содержащимся в контакт-листе IM-клиента зараженной машины. Функционал IM-червей достаточно разнообразен: это и упомянутое выше воровство паролей, и создание ботнетов, а иногда – обычная деструктивная деятельность (например, удаление всех файлов формата .mp3 на компьютере пользователя). Через ICQ активно распространялись такие зловреды, как Email-Worm.Win32.Warezov и Email-Worm.Win32.Zhelatin (Storm Worm).

  Однако в большинстве случаев для успешного проведения атаки злоумышленникам необходимо участие пользователя. Тем или иным способом они пытаются спровоцировать потенциальную жертву перейти по ссылке, размещенной в полученном сообщении, а если по ссылке загружается вредоносная программа – открыть загружаемый файл. Для достижения желаемого результата мошенники часто применяют методы социальной инженерии.

Спам в ICQ

  В отличие от электронной почты, в ICQ реализована возможность поиска собеседников по интересам, внесенным в контактную информацию пользователей. Это позволяет злоумышленникам производить спам-рассылки, рассчитанные на целевую аудиторию. Спамер может достаточно легко получить необходимые ему данные (в большинстве случаев это возраст и список интересов пользователей) и использовать их для привлечения внимания к рассылаемым спам-сообщениям.

  Практически все спам-сообщения приходят с номеров, не внесенных в контакт-лист пользователя. Количество нежелательных сообщений, получаемых пользователем в единицу времени, зависит от его ICQ-номера. На шестизначный номер в среднем приходит 15-20 нежелательных сообщений в час, причем многие их них содержат ссылки на Trojan-PSW.Win32.LdPinch. Ничем не примечательные девятизначные номера получают 10-14 таких сообщений в сутки, а «красивые» – в 2-2,5 раза больше.

  Тематический состав ICQ-спама значительно отличается от тематики спама в электронной почте. Если в e-mail около 90% спам-сообщений рекламируют различные товары и услуги, то в ICQ на долю таких предложений приходится менее 13% (суммарный процент рубрик «Нелегальные услуги», «Компьютерные услуги», «Мобильный спам», «Медицинский спам»), причем чаще всего (5,45%) предлагаются нелегальные сервисы.

  В целом для спама в ICQ характерна развлекательная направленность, что вполне логично: этот канал связи, как правило, не используется для бизнес-коммуникаций, а львиную долю его пользователей составляют молодые люди. Спамеры учитывают специфику аудитории: в ICQ доминируют предложения посетить развлекательные сайты и сообщения с рекламой «для взрослых». На молодежную аудиторию ориентирован и спам из рубрик «Компьютерные игры», «Голосования», «Мобильный спам». В целом на долю «молодежных» тематик в ICQ приходится около 50% всех спамовых сообщений.

  Спецификой целевой аудитории ICQ-спама обусловлена и малая доля сообщений «медицинской» тематики. Напомним, что в почтовом спаме они традиционно лидируют, а в нашем списке занимают последнее место с долевым показателем менее 1%. Вероятно, реклама медицинских товаров и услуг не получает необходимого отклика со стороны пользователей ICQ.

  Специфические черты ICQ-спама:

1. Ориентация на молодежную аудиторию.

2. Общая развлекательная направленность.

3. Практически полное отсутствие рекламы потребительских товаров. Исключение составляют предложения о покупке мобильных телефонов и медицинских препаратов, а также небольшое количество сообщений, попавших в рубрику «Остальной спам».

4. Достаточно высокий процент (8,17%) сообщений, тематика которых связана собственно с ICQ.

5. Значимая доля (5,45%) сообщений от лиц, предлагающих криминальные услуги. Наиболее популярные предложения: взлом почты и ICQ, изготовление поддельных документов, кардинг.

Сценарий атаки

  Пользователь запустил файл по ссылке, полученной по ICQ, а долгожданная фотография на его мониторе так и не появилась. Он ждет минуту, две, а в это время троянец уже прошелся по папкам его компьютера в поисках паролей. Кое-где они хранились в зашифрованном виде, что никоим образом не мешает злоумышленнику в дальнейшем их расшифровать. Затем троянец, собрав список паролей, создает письмо, в котором размещает добытую им конфиденциальную информацию, и отправляет его на адрес злоумышленника, который тот зарегистрировал за пару дней до атаки. Чтобы встроенный в операционную систему файервол не предупредил пользователя об опасности, троянец выводит его из игры, изменив соответствующий ключ в реестре. Точно так же вредоносный код поступает с другими программами, способными помешать ему воровать у пользователя пароли и прочую важную информацию. В конце концов, вредоносная программа создает bat-файл, который стирает троянца и самого себя, уничтожая таким образом следы содеянного.

  Хакер обрабатывает десятки или сотни (в зависимости от масштабов рассылки) писем с паролями, которые прислал ему троянец, в то время как пользователь только начинает догадываться о том, что его обманули. Кстати, он с тем же успехом может остаться в полном неведении о произошедшем. В любом случае, на руках у пользователя остается всего одна зацепка – ссылка на «фотографию», поэтому шансы вычислить злоумышленника весьма невелики.

  «У меня на компьютере все равно ничего важного не было», – успокаивает себя обманутый пользователь. Хакер, между тем, придерживается совершенно иного мнения. У него теперь есть внушительный список паролей: почтовый пароль, пароль к FTP-клиенту и онлайн-играм, банковские аккаунты пользователя и, кстати, его пароль к самой ICQ.

  Спрашивается, зачем хакеру может понадобиться еще один никому не известный девятизначный номер? А вот зачем: хакер введет полученный пароль в свой клиент, получит доступ к контакт-листу обманутого пользователя и разошлет его знакомым сообщение следующего содержания: «Привет! Слушай, Петя (Ваня, Саня и т.д.), не одолжишь ли мне срочно до завтра 50 электронных баксов?!?!» Дальнейшее зависит от щедрости Пети и от того, каковы его отношения с обманутым пользователем. Зачастую уговорить колеблющегося Петю оказывается совсем несложно. Параллельно хакер будет упрашивать Ваню и Саню. Время играет против него, поэтому злоумышленник постарается не пускаться в длинные разговоры. Даже если только один человек из контакт-листа каждого зараженного пользователя согласится перевести хакеру виртуальные доллары, то за какой-то час общения он получит приличную сумму денег, сравнимую с дневным окладом хорошего программиста.

  А FTP-аккаунт? Что будет, если на FTP-сервере, к которому злоумышленник получил доступ с помощью украденного пароля, хранятся web-страницы какого-нибудь достаточно популярного сайта? У преступника появится возможность дописать в конец каждой web-страницы простой iframe или зашифрованный JavaScript, который будет скрытно загружать и запускать на выполнение ту или иную вредоносную программу на компьютерах всех пользователей, посетивших данный web-сайт.

  Все перечисленные выше действия хакера легко ставятся на поток. Злоумышленник может почерпнуть адреса ICQ для спам-рассылки на многочисленных сайтах знакомств и форумах. Вернее, это сделает не сам злоумышленник, а специальная программа, которая выполнит за него всю черную работу, в том числе отсеет дубликаты номеров и проверит спам-лист на активность. Затем хакер разместит на бесплатном хостинге троянца и разошлет ссылку на него по созданному спам-листу. После этого предварительно написанная программа отсортирует ворох писем, присланных запущенными троянцами, и разложит украденные пароли по категориям. Список новых ICQ-номеров, полученных от троянца, превратится в еще один спам-лист. Если номер ICQ зараженного пользователя окажется «красивым», его можно будет продать за немалые деньги. И конечный этап – рассылка сообщений с максимально убедительными просьбами одолжить немного денег. Если ответ на такую просьбу получен, в игру вступает сам хакер, используя свои познания в психологии и методах социальной инженерии. После всего этого оптовую партию «угнанных» номеров можно продать спамерам. На первый взгляд все описанное выше может показаться вымыслом, но, как показывает практика, подобные махинации осуществляются постоянно.

  Резюмируя все вышесказанное, перечислим цели, которые преследуют злоумышленники, атакуя IM-клиенты:

1. Продажа краденых ICQ-номеров (оптовых партий девятизначных номеров и штучных «красивых» номеров).

2. Создание спам-листов для продажи их спамерам или для осуществления массовых рассылок вредоносных программ.

3. Использование контакт-листов украденных номеров в качестве доверенных источников для «заема» денег.

4. Загрузка вредоносного программного обеспечения через уязвимости.

5. Кража паролей к FTP-серверам с целью изменения web-страниц легальных сайтов для дальнейшей загрузки вредоносного программного обеспечения на компьютеры посетителей.

6. Создание ботнетов или расширение уже существующих зомби-сетей.

7. Прочая вредоносная деятельность.

Методы противодействия злоумышленникам в IM

  Что же делать пользователю, против которого действует столь умная и беспощадная система? Конечно же, защищаться! Вот несколько полезных советов, которые помогут противостоять угрозам, распространяемым через IM-клиенты.

  Прежде всего, пользователю необходимо быть внимательным и не кликать бездумно по ссылке в полученом сообщении. Ниже приведены несколько типов сообщений, которые должны вызывать у получателя опасения:

1. Сообщение, пришедшее от неизвестного пользователя со странным ником (например, SbawpathzsoipbuO).

2. Сообщение от пользователя, включенного в ваш контакт-лист, с подозрительным предложением просмотреть новые фотографии с расширением .exe.

3. Сообщение, якобы содержащее сенсационную новость о связи двух знаменитостей, с репортажем «прямо с места событий». «Репортажем» в данном случае чаще всего является ссылка на файл http://www.******.com/movie.avi.exe. А по ссылке, скорее всего, находится Trojan-PSW.Win32.LdPinch.

4. Сообщение с предложением скачать программу, открывающую перед пользователем невиданные горизонты, например: «НОВЫЙ БАГ в ICQ, с помощью которого можно регистрировать любой несуществующий номер». По ссылке, которая приведена в таком сообщении, будет находиться какая-нибудь программа, ворующая пароли от UIN’ов незадачливых пользователей.

  Такие сообщения лучше всего игнорировать.

  Если сообщение пришло от знакомого пользователя, следует уточнить, посылал ли он это сообщение на самом деле. И, разумеется, не стоит загружать на свой компьютер файл с расширением .exe по присланной вам ссылке и запускать его. Даже если расширение файла не указано, по ссылке вы можете попасть на сайт, который перенаправит вас на другую ссылку, содержащую вредоносное ПО.

  Разумеется, всем пользователям надо соблюдать элементарные правила «компьютерной гигиены»: на компьютере должен быть установлен антивирус с обновленными базами и файервол, блокирующий несанкционированный доступ в Сеть. Желательно, чтобы в антивирусе были реализованы такие технологии, как эвристический анализатор и/или проактивная защита, которая позволяет определять неизвестные вредоносные программы, анализируя их поведение.

  Зачастую пользователь может даже и не знать, что на его компьютере отработала вредоносная программа. Указать на то, что ПК был заражен, могут странные вопросы знакомых, например: «Зачем ты вчера просил у меня 50 WMZ, когда мы говорили по ICQ?», хотя подобного разговора между настоящим владельцем номера и его знакомым не было. Еще более явно на заражение указывают безуспешные попытки воспользоваться своим логином и паролем от того или иного сервиса. Это свидетельствует о том, что пароль был изменен – либо официальным поставщиком тех или иных услуг, либо злоумышленником. В первом случае пользователь гарантировано получит новый пароль или уведомление о его замене по почте или иным способом. Во втором случае ничего подобного, разумеется, не произойдет.

  Что делать, если троянец уже сделал свое черное дело и успел себя удалить? Для начала стоит удостовериться, что компьютер действительно чист, проверив его антивирусом. Далее рекомендуется по возможности сменить все пароли, которые троянец мог украсть. Для этого необходимо вспомнить, в каких программах использовались пароли, и попробовать их ввести. Если попытка увенчалась успехом, пароль нужно сразу же сменить. Имеет смысл разослать всем пользователям из контакт-листа IM-клиента сообщение с соответствующим предупреждением и призывом не откликаться на возможную просьбу дать деньги взаймы, разосланную от вашего имени по IM, и уж тем более не пытаться посмотреть фотографии по присланной якобы вами ссылке.

Заключение

  Как уже было сказано, программы для мгновенного обмена сообщениями весьма привлекательны для различного рода злоумышленников, в связи с чем проблема распространения вредоносного ПО через IM-клиенты стоит достаточно остро. Новые версии клиентов содержат неизвестные до поры до времени уязвимости, которые могут быть обнаружены сначала хакерами, и только потом – создателями программы. Такие ситуации чреваты массовыми эпидемиями. Кроме того, многих пользователей беспокоят нежелательные сообщения (IM-спам).

  Специфических средств защиты IM-клиентов на данный момент не существует, однако соблюдение элементарных правил «компьютерной гигиены», правильно настроенный антиспам-бот, а также внимательность и благоразумие позволяют пользователям успешно противостоять интернет-мошенникам и спокойно наслаждаться общением в Сети.