Pokud alespoň občas používáte elektronickou poštu, jistě jsou e-mailoví červi
vaši staří dobří známí. Určitě jste se již někdy setkali s podezřele
vypadajícím e-mailem, který obsahoval přiložený soubor a text (nejspíše v
angličtině), jenž se vás snažil přesvědčit, abyste jej spustili. Pokud jste se
tímto způsobem už někdy nechali zmást a přiložený soubor spustili,
pravděpodobně se vaše PC stalo domovem minimálně jednoho škodlivého kódu a
zdrojem dalších infikovaných e-mailů předávaných všem, jejichž e-mailové adresy
byly tehdy na disku k dispozici.
Pokud chcete proniknout e-mailovým červům takříkajíc "pod kůži", určitě se vám
některé informace uvedené v tomto článku budou hodit.
Co to vlastně je?
Jako e-mailového červa označujeme škodlivý kód, který nepotřebuje hostitelskou
aplikaci a ke svému šíření zneužívá prostředky elektronické pošty. Bez čeho se
ale typický e-mailový červ neobejde, je "spolupráce" uživatele. Ten totiž
většinou musí červa z přiloženého souboru spustit nebo alespoň infikovaný
e-mail otevřít, aby se červ mohl spustit sám automaticky např. pomocí
bezpečnostní díry.
Kolik jich je?
Není tomu tak dávno, kdy byli e-mailoví červi naprosto dominantním druhem
škodlivých kódů. Statistiky z let 2001 až 2003 ukazují, že představovaly asi 80
až 90 % celkového objemu veškerých škodlivých kódů. Tato jejich naprostá
převaha kulminovala někdy v roce 2004, od té doby jsou již poněkud na ústupu.
E-mailoví červi ale svoje "místo na výsluní" neopouštějí. V porovnání s jinými
druhy škodlivých kódů je jich stále více než dost...
Co se výskytu e-mailových červů týká, zajímavé údaje najdete například na
www.messagelabs.com nebo na www.virovyradar.cz. Statistiky Messagelabs
vycházejí z velice slušného vzorku dat, který pochází od řady velkých firem a
korporací, jejichž poštovní servery tato firma chrání. Je ale třeba podotknout,
že jiné než e-mailem šířené škodlivé kódy zde nenajdete a tato statistika je
tedy do jisté míry zkreslená. Podobně je na tom Virový radar, který údaje pro
svoji statistiku bere z freemailového serveru Seznam.cz.
Cesta k dokonalosti
Schopnosti a možnosti e-mailových červů jsme na vlastní kůži poznali už někdy v
roce 1999. Jedním z prvních škodlivých kódů, který se opravdu masivně šířil
prostřednictvím elektronické pošty, byla v březnu uvedeného roku Melissa.
Jednalo se o makrovirus, který dokázal infikovat wordovské dokumenty. Šířil se
pod rouškou souboru LIST.DOC, který obsahoval přístupová hesla některých webů s
poněkud "choulostivým" obsahem. Pokud sexu chtivý uživatel neodolal a
infikovaný dokument otevřel, došlo k nakažení jeho počítače a rozeslání tohoto
dokumentu na prvních padesát kontaktů z adresáře poštovního klienta.
Daleko známější kauzou spojenou s e-mailovými červy byl notoricky známý
LoveLetter (alias ILoveYou, Lovebug...), který se na internetu poprvé objevil v
květnu roku 2000. Jednalo se o poměrně jednoduchý univerzální škodlivý kód
vytvořený ve VBS, původem z Filipín. Neměl problémy s lokalizovanými verzemi
operačních systémů, s jazykovými bariérami ani s různými verzemi operačních
systémů. Text infikovaného e-mailu byl vytvořen přesně v duchu zásad sociálního
inženýrství. Dvojité přípony přiloženého souboru (LOVE-LETTER-FOR-YOU.TXT.vbs)
si uživatel buď nevšimnul, nebo se mu díky nastavení Windows (nezobrazovat
přípony souborů známých typů) vůbec nezobrazila. Jako jeden z mála e-mailových
červů s sebou LoveLetter nesl také škodlivou rutinu mazal soubory s obrázky ve
formátu JPG a JPEG, čímž zarmoutil mnohé jejich sběratele. Jeho rozšíření po
celém světě trvalo asi tři hodiny. Inu, každý chtěl vědět, proč ho někdo, často
naprosto neznámý, tak miluje...
E-mailoví červi známí v počátcích své krátké historie ke svému šíření
zneužívali takřka výhradně prostředky e-mailového klienta, instalovaného na
infikované stanici. Kontakty shromážděné v rámci tohoto klienta byly často
jediným zdrojem adres dalších potencionálních obětí. Postupem času se e-mailoví
červi od této závislosti oprostili. Nejprve se naučili hledat e-mailové adresy
v souborech různých typů na disku infikovaného počítače, posléze do své
výzbroje přibraly i vlastní jednoduché poštovní klienty (tzv. SMTP motory),
jejichž prostřednictvím nyní infikované soubory nejčastěji rozesílají.
E-mailový červ současnosti
Dnešní typický e-mailový červ se vyznačuje řadou charakteristických vlastností.
Šíří se pomocí infikovaného e-mailu, jehož text je vytvořen v souladu se
zásadami sociálního inženýrství. Tento e-mail v podstatě vždy obsahuje falešnou
adresu odesílatele. Červ jednoduše dosadí některou z adres nalezených na disku
infikovaného počítače. Dnes už tedy nemá absolutně žádný význam odpovídat na
infikované e-maily upozorněním, že je odesílatel infikovaný. Stejně tak se
nemusíte divit, pokud vám přijde infikovaný e-mail od vás samotných. E-mailový
červ může kromě "standardní" zdvojené přípony používat i velký počet mezer mezi
"falešnou" a "skutečnou" příponou, což má podobný efekt, jako když je systém
nastaven na nezobrazování přípon souborů známých typů.
Poslední dobou se stále častěji setkáváme s tím, že soubor s červem je jaksi
navíc "zabalen" v ZIP archivu, který může být šifrován heslem. Tímto úhybným
manévrem se snaží zkomplikovat práci antivirovým programům, kontrolujícím
elektronickou poštu na serverech, a zvýšit tak svoje šance na úspěšné
proniknutí k adresátovi. Navíc mu to poskytuje další prostor pro využití
sociálního inženýrství: "...posílám ti něco tajného, tak jsem to raději
zašifroval...". Názorně je vývoj této metody vidět u jednotlivých variant červů
Bagle. Ten se nejprve šířil jako "klasický" spustitelný soubor. Pozdější
varianty už začínají využívat ZIP archiv. Od verze F už Bagle používá archiv
zajištěný heslem, uvedeným v textu e-mailu, od verze N pak archiv zajištěný
heslem, přičemž toto heslo je vloženo v e-mailu jako obrázek.
V praxi je až nevídané, v kolika procentech případů tento jednoduchý trik
funguje vzpomeňte si třeba na epidemii e-mailového červa Mydoom v lednu roku
2004. Ten v době vrcholící epidemie představoval asi 95 % všech zachycených
e-mailových infiltrací a byl zdrojem desetiny veškerého světového e-mailového
provozu. Mydoom s přehledem překonal předchozího rekordmana Sobig.F. Přitom by
ale úplně stačilo, kdyby se uživatelé zamysleli nad logikou věci: "Proč je
heslo, které je klíčem k tajným informacím, uloženo ve stejném e-mailu, kde se
nachází i šifrovaná příloha? Není to podezřelé?"
Sociální inženýrství
Jako sociální inženýrství označujeme soubor technik, kterými se např. hackeři
snaží uživatele přesvědčit, aby spustili nějaký soubor, sdělili jim informace o
konfiguraci PC, řekli jim svoje heslo apod. Je to metoda, která umožňuje
získávat informace cestou nejmenšího odporu místo pracného hledání si o ně
útočník prostě řekne. Jinak řečeno: "Amateurs hack systems, professionals hack
people" (volně přeloženo: "Amatéři se nabourávají do systémů, profesionálové se
nabourávají přímo do lidí").
Útočníci se snaží zneužívat zejména faktory, jako je stres (mám tady na drátě
zákazníka...), nebezpečí (mám podezření na útok...), změna identity (tady
náměstek ředitele...), důvěryhodná činnost (opravujeme vaši počítačovou síť
a...) atd. Tyto útoky jsou velmi nebezpečné zejména proto, že mohou přijít
prakticky odkudkoliv, útočník bývá obvykle dobře připraven a samotný útok je
velmi často přizpůsoben konkrétnímu cíli.
SMTP motor
Označení komponenty, která má na starosti odesílání e-mailu pomocí Simple Mail
Transfer Protokolu. U e-mailových červů se jedná o velice jednoduché nástroje,
které dokáží realizovat pouze nezbytné služby.
VBS
Visual Basic Skript jednoduchý skriptovací programovací jazyk. Aby škodlivý kód
vytvořený pomocí VBS fungoval, musí operační systém obsahovat komponentu
Windows Scripting Host, která je součástí operačních systémů počínaje Windows
2000 a Windows 98, nebo může být nainstalována současně s balíkem Office 2000
či prohlížečem Internet Explorer od verze 5.
Co je správně "červi" nebo "červy"?
Také nevíte, podle jakého vzoru skloňovat "počítačového červa"? Přestože
všechny dosavadní jazykové příručky charakterizují slovo "červ" jako podstatné
jméno rodu mužského životného, je třeba přihlédnout k tomu, že tyto příručky
zatím neuvažují o "počítačovém červu". V tomto významu je skloňování slova
"červ" rozkolísané, podobně jako např. u slova "počítačový agent" (v množném
čísle "počítačoví agenti" i "počítačové agenty"). Neměli bychom tedy především
směšovat životnost a neživotnost a správně psát např. "sužují nás počítačoví
červi" (podle vzoru pán) nebo "sužují nás počítačové červy" (podle vzoru hrad).
(Podle odpovědi na dotaz položený Ústavu pro jazyk český.)Další typickou
vlastností dnešního e-mailového červa jsou pokusy o maskování instalace do
infikovaného systému. Pěkným příkladem je třeba e-mailový červ Swen, který se
maskuje za bezpečnostní aktualizaci Microsoftu. Kromě vhodně formulovaného a
graficky velmi zdařile vyvedeného e-mailu používá několik dialogových oken,
simulujících instalaci domnělé bezpečnostní záplaty. Zajímavé je, že se do
systému skrytě instaluje i tehdy, pokud uživatel "aktualizaci" v prvním
dialogovém okně červa ukončí.
Pokud je e-mailový červ spuštěn, první věc, kterou zpravidla podnikne, je
kopírování svých souborů na disk počítače (zpravidla někam do systémových
adresářů Windows). Aby byl následně spouštěn současně s operačním systémem,
vytváří si v systémovém registru klíče, které to zajistí.
Když se červ v systému zabydlí, začíná provozovat další činnosti. Jednou z nich
je sbírání adres využitelných k dalšímu šíření. Zpravidla skenuje obsah všech
lokálních disků a hledá soubory s určitými příponami, u nichž je pravděpodobné,
že mohou obsahovat e-mailové adresy (HTML, HTM, TXT, DOC, RTF, WAB apod.).
Někteří červi dokáží využít i nalezená doménová jména (třeba aec.cz) a zkoušejí
je doplňovat různými jmény do formy e-mailové adresy (georg@aec.cz). Poměrně
rozšířenou funkcí je filtrování nalezených e-mailových adres tak, aby se mezi
adresáty infikovaných e-mailů nedostaly např. antivirové firmy, administrátoři,
univerzity apod.
Jak jsem si už uvedli, červi dříve zneužívali k rozesílání infikovaných e-mailů
přímo e-mailového klienta na infikované stanici. Dnes už se tento způsob
vyskytuje jen sporadicky. Drtivá většina červů disponuje vlastním SMTP motorem,
s jehož pomocí obsah infikovaných e-mailů generuje a rozesílá.
Pokud se již e-mailovému červu podaří systém infikovat, snaží se v něm udržet
co nejdéle a zůstat utajen. Proto zpravidla podniká některé aktivní kroky
směřující proti antivirovým programům, případně proti dalším bezpečnostním
aplikacím. Snaží se ukončovat jejich spuštěné procesy, maže jejich klíče v
systémovém registru nebo přímo soubory na disku, prostě "otupuje jejich
zbraně". Případně může blokovat některé součásti systému, které by mohly jeho
existenci ohrozit (např. editor registru).
A aby toho nebylo málo, velmi často se navíc ještě snaží na infikovaný počítač
instalovat další škodlivé kódy typu zadní vrátka, trojský kůň, keylogger apod.,
případně z něj dokáže udělat tzv. zombie, tedy počítač zneužitelný na dálku pro
šíření spamu nebo jiné nelegální činnosti. E-mailový červ tedy přestává být
primárním cílem svého tvůrce a je využíván "pouze" jako prostředek pro šíření
jiných škodlivých kódů, které jsou často daleko přesněji cíleny na konkrétní
oběť.
A co dál?
Předpovídat nejbližší vývoj e-mailových červů je poměrně obtížné. Můžeme
očekávat, že s tím, jak se neustále zdokonalují antivirové nástroje pro ochranu
elektronické pošty a kontrolu jejího obsahu, bude úspěšnost této formy
škodlivých kódů postupně klesat. Jejich autoři budou zcela jistě hledat
způsoby, jak tato úskalí obejít (důkazem je např. používání šifrovaného archivu
ZIP), s určitostí ale nelze odhadnout, do jaké míry se jim to bude dařit.
E-mailoví červi již zenitem své "kariéry" pravděpodobně prošli. Jejich
technologie se nijak výrazně nevyvíjí, ani neabsorbuje žádné výrazné novinky.
Jednotlivé exempláře si jsou podobné jako vejce vejci. Možná to bude znít
poněkud troufale, ale pokud si e-mailoví červi chtějí svoji "pozici na trhu"
udržet, budou se muset inspirovat např. u síťových červů a začlenit do svého
repertoáru třeba využívání bezpečnostních děr.
Doufejme ale, že se tak nestane a my se v budoucnu budeme moci při užívání
elektronické pošty cítit relativně bezpečně...
PŘEDPLATNÉ
ČLÁNKY DO MAILU