Możesz sobie wyobrazić osobę stojącą za włamaniem na laptopa jako zakapturzoną postać siedzącą w piwnicy i piszącą skomplikowane exploity w czasie rzeczywistym. W rzeczywistości wszystko jest o wiele nudniejsze i w pewnym sensie bardziej niebezpieczne. Większość osób infekujących komputery nie ma umiejętności programowania pozwalających na napisanie szkodliwego kodu od zera. Są to tak zwane „dzieciaki skryptowe”. Wykorzystują gotowe, często prymitywne narzędzia do wykorzystywania luk w systemie operacyjnym. Kod jest napisany niedbale. Podejście jest szorstkie i niezdarne. Ale to działa. To zmieni Twój samochód w zombie.
Mechanizm dostarczania
Aby wstrzyknąć to oprogramowanie zombie na Twój komputer, osoba atakująca musi je dostarczyć. Nie potrzebuje bezpośredniego dostępu do jądra. Potrzebuje tylko, żebyś kliknął.
Głównym wektorem ataku pozostaje poczta elektroniczna. To samo dotyczy sieci peer-to-peer (P2P). Nawet zwykłe strony internetowe stają się łatwym celem. Główną sztuczką jest kamuflaż. Plik nie będzie wyglądał jak plik wykonywalny (.exe) lub skrypt. Będzie wyglądać jak JPEG. Lub wideo w formacie MPEG. Lub dokument PDF. Myślisz, że otwierasz zdjęcie. Klikasz. Nic się nie dzieje.
Czasami oszustwo jest jeszcze prostsze. Czy widziałeś kiedyś wyskakującą reklamę z dużym, pogrubionym przyciskiem „Nie, dziękuję”? Naciskasz, żeby pozbyć się podrażnienia. Ten przycisk to przynęta. Kliknięcie w nią nie powoduje zamknięcia reklamy. Rozpoczyna się pobieranie.
Gdy użytkownik aktywuje program, szkody zostają wyrządzone. Złośliwe oprogramowanie dołącza się do sekwencji inicjalizacji systemu operacyjnego. Trwa ponowne uruchomienie. Ukrywa się na widoku.
Dlaczego wykrywanie nie działa
Przeciętny użytkownik rzadko to zauważa. Niektórzy ludzie zaczynają podejrzewać, że coś jest nie tak, gdy plik nic nie robi. Przeprowadzają skanowanie antywirusowe. Wykrywają zagrożenie. Ale większość użytkowników widzi uszkodzony plik i kontynuuje. Myślą, że pobrali uszkodzony obraz. Usuwają to. Nigdy się nie dowiedzą, że ich maszyna została już przejęta.
Złośliwe oprogramowanie nie zawsze przedostaje się do tego samego segmentu systemu. Ta zmienność utrudnia wykrywanie. Napastnik nie musi być geniuszem. Musi po prostu pozostać niezauważony. Jeśli zauważysz, że coś jest nie tak, stracisz jednego bota. Boty są walutą botnetu.
Ekosystem botnetu
Po zainfekowaniu komputera osoba atakująca uzyskuje pełną kontrolę. Program może wykonywać określone zadania w danym czasie. Może też zapewniać bezpośrednią, rzeczywistą kontrolę nad Twoją aktywnością w Internecie. Wiele z tych operacji odbywa się za pośrednictwem protokołu IRC (Internet Relay Chat). Tak, stary, dobry protokół czatu.
Na IRC istnieją całe społeczności, w których napastnicy pomagają sobie nawzajem. Dzielą się narzędziami. Dają rady. I tak, czasami próbują ukraść botnety innych osób. To konkurencyjny, choć amatorski ekosystem. Skala jest ogromna. Niektóre sieci mogą pochwalić się setkami tysięcy zombie. Utrata jednego lub dwóch komputerów nie ma znaczenia.
Rodzaje złośliwego oprogramowania
Termin „złośliwe oprogramowanie” obejmuje szeroką gamę złośliwego kodu. Oto, co zwykle zamienia Twój komputer w zombie:
- Wirusy komputerowe: wyłączają komputery, uszkadzając pliki lub przejmując zasoby.
- Robaki: Samoreplikują się i szybko rozprzestrzeniają z maszyny na maszynę.
- Konie trojańskie: udają, że robią jedną rzecz, ale otwierają luki prawne lub powodują szkody.
- Rootkity: Zapewniają kontrolę na poziomie administratora. Zostały specjalnie zaprojektowane tak, aby uniknąć wykrycia.
- Backdoory: Metody omijające normalne procedury systemu operacyjnego, dając atakującym tajny dostęp.
- Keyloggery: Programy rejestrujące każdy naciśnięty znak, kradnące hasła i kody logowania.
Kod zombie rzadko jest samowystarczalny. Zwykle jest częścią wirusa, robaka lub trojana. Często zawiera inne rodzaje złośliwego oprogramowania w celu utrzymania kontroli nad systemem. Rezultatem jest zainfekowana maszyna, która wygląda normalnie, ale aktywnie uczestniczy w większych, skoordynowanych atakach. Kolejnym krokiem w tym łańcuchu jest często spam, ale realnym zagrożeniem jest sama infekcja. Nie używasz już tylko komputera. Dostarczasz energii do realizacji celów innych ludzi.
