Что такое ловушки вирусы

Сеть одного из моих заказчиков постоянно подвергалась атакам хакеров. Достаточно было установить соединение с Internet, и корпоративные сетевые маршрутизаторы и коммутаторы начинали светиться, как рождественская елка. При отсутствии соединения с Internet коэффициент использования сети составлял обычно 2 или 3 процента. Хакеры пересылали через сеть миллионы пакетов, но мой клиент не знал, как они это делают. Пытаясь перехватить вредные пакеты, он подключил сетевой анализатор, но спустя несколько минут тот был перегружен сотнями тысяч пакетов, принадлежавших, в основном, несанкционированному трафику. Выяснить, каким способом хакеры проникают в сеть, и какие действия в ней совершают, помогла ловушка для вирусов.

Иногда недостаточно лишь воспрепятствовать атаке вирусов, "червей" и "троянских коней" - нужно захватить вредную программу и получить от нее все интересующие нас сведения. С помощью ловушки для вирусов даже не имеющие навыков диагностики сетевые администраторы смогут распознать вторжение на ранних стадиях. В данной статье рассказывается о некоторых методах ловли вредных программ и приводятся примеры их применения.

Простое определение вирусной ловушки: программа, или программа-приманка, цель которой - обнаружить, замедлить или захватить определенный образец или тип вредителя для дальнейшего изучения. Приманка - непроизводственный компьютер, созданный для слежения за его несанкционированным использованием. Антивирусная приманка - специализированная приманка для обнаружения и захвата автоматизированных вредных программ. Она в меньшей степени, чем обычная приманка, ориентирована на нападения целеустремленных взломщиков, которые организуют лишь малую часть всех атак. Чтобы обнаруживать взломщиков, действующих вручную, требуется более функциональная и сложная приманка.

Отражая нападения вредоносных программ, в первую очередь необходимо ответить на два вопроса:

Какие уязвимые места пытается отыскать вредная программа?
Какие действия будет производить разрушительная программа, получив доступ через обнаруженное уязвимое место?

Цель первого вопроса - выяснить, каким образом вредитель планирует атаковать сетевые компьютеры; ответ подскажет меры, которые должен принять администратор, чтобы остановить вредителя (или хотя бы свести ущерб к минимуму). Второй вопрос относится к истинным целям злоумышленника. Является ли попытка несанкционированного доступа самоцелью, или настоящая цель - испортить данные, украсть файлы, рассылать спам, или обнаружить свободное место на диске для хранения вредных файлов или нелицензированного цифрового контента? Вирусная ловушка поможет ответить на эти вопросы.

Вирусная ловушка может быть полезна в различных ситуациях, в том числе:

В антивирусных списках появился новый "червь". Администратор полагает, что его сетевая инфраструктура надежно защищена от атаки, но хочет получить раннее предупреждение, если вредитель проникнет внутрь периметра. Или получено сообщение о "черве", и в компьютерах сети появились симптомы инфекции.
Какой-то вредитель постоянно атакует брандмауэр на периметре, и его необходимо захватить, чтобы выяснить цель попыток проникнуть в сеть или выйти из сети.
Взломщики и вредные программы успешно проникают в сеть и серверы, и администратору необходимо выяснить, как это происходит.

Существует четыре типа ловушек для вирусов: прослушиватели порта (port listener), "смоляные ямы" (tarpit), приманки (honeypot) и виртуальные системы.

Прослушиватели порта. Прослушиватель порта - любая программа, которая может открыть IP-порт и захватить данные, поступающие в этот порт. Прослушиватели порта - самые простые программы. Им не нужно имитировать службу, выдавать себя за сервер или отвечать на какие-либо запросы. Они лишь записывают данные, поступающие к ним. Недостаток прослушивателей порта - невозможность использовать их для контроля TCP-трафика в контексте протокола, который всегда требует ответа для организации успешного сеанса связи. Однако иногда достаточно лишь прослушивания.

Ключ -vv указывает на необходимость выдачи на экран сообщений о попытках соединений, -l обеспечивает прослушивание входящих соединений через порт, заданный ключом -p, а собранные данные сохраняются в текстовом файле с именем port1434.log. Если применяется эта команда, то следует нажать клавиши Ctrl+C, чтобы завершить сеанс Netcat или ввести с клавиатуры

чтобы вывести на экран подсказку Netcat.

На Экране 1 показан образец "червя" SQL Slammer, захваченного в прослушивателе порта Netcat. Картина вряд ли будет понятной кому-то, кроме программистов, так как захваченный выполняемый код представляет собой часть переполнения буфера. Тем не менее, текст, следующий за командой

"Смоляные ямы". "Смоляные ямы" используются в большей степени для замедления распространения вредных программ, чем для захвата и отображения их программного кода. LaBrea (http://labrea.sourceforge.net), спроектированная Майклом Робинтоном, была первой и по-прежнему остается самой распространенной "смоляной ямой". Программа отвечает на все запросы, направленные к несуществующему IP-адресу. После задержки, необходимой любому рабочему компьютеру для ответа, LaBrea отвечает на попытки установить соединение таким образом, чтобы вредная программа затратила как можно больше времени (максимально увеличиваются периоды повторной передачи и ожидания TCP/IP). LaBrea замедляет работу вредных программ и действия хакеров, и определяет их исходный IP-адрес (Экран 2). Функциональность LaBrea умышленно ограничена, но программа чрезвычайно успешно выполняет свою задачу. Ее способность замедлять распространение "червей" из Internet, в соответствии с намерениями автора, подтверждена на многих реальных "червях" и лабораторных тестах.

Приманки. Приманки - превосходный метод захвата "червей" из Internet с более сложным взаимодействием. Большинство приманок располагает прослушивателями порта и более развитыми механизмами взаимодействия. Например, большинство приманок легко взаимодействует с вредными программами, требующими TCP-квитирования, и отвечает с использованием предписанных команд. Многие приманки просты для установки и располагают множеством встроенных функций протоколирования и предупреждения. В результате они становятся идеальными ловушками для вирусов.

Некоторые специалисты, в том числе Лоран Одо из группы Rstack (http://www.rstack.org), применяли Honeyd (http://www.honeyd.org), распространенную приманку с открытым кодом, для поимки "червя" MSBlaster, когда тот атаковал компьютеры по всему миру. "Червь" ищет TCP-порт 135, поэтому пользователи Honeyd ведут прослушивание по этому порту, добавляя следующую строку в файл Honeyd.config:

Обнаружив открытый порт, "червь" пытается вызвать переполнение буфера с использованием удаленного вызова процедуры (RPC) DCOM. Если переполнение буфера произошло, то в реальном компьютере "червь" устанавливает соединение с TCP-портом 4444 и загружает основное тело с помощью Trivial FTP (TFTP) через TCP-порт 69.

Чтобы поймать "червя", пользователи Honeyd создали служебный сценарий захвата msblaster.sh и добавили его к порту 4444 с помощью команды настройки Honeyd, которая выглядит примерно так:

Сценарий msblaster.sh установил соединение со взломщиком и получил выполняемый файл MSBlaster:

Сценарий использует программу tftp.exe (расположенную в папке system32 в большинстве систем Windows), чтобы загрузить msblaster.exe для исследования. Дополнительные сведения можно найти в документе "Honeyd vs Msblast.exe" (http://www.citi.umich.edu/u/provos/honeyd/msblast.html) или превосходном материале "Fighting Internet Worms With Honeypots" (http://www.securityfocus.com/infocus/1740). Аналогичные сценарии и приемы можно использовать для захвата большинства сканирующих "червей" из Internet.

Иногда недостаточно просто захватить "червя". В упомянутых выше статьях о сценариях захвата MSBlaster содержится сценарий контратаки, он используется некоторыми администраторами в попытке остановить натиск "червя" MSBlaster. Дополнительные сведения об активном подходе содержится во врезке "Иду на червя". Более подробная информация о запуске и настройке Honeyd приведена в статье "Использование приманок на базе Windows", опубликованной в четвертом номере Windows IT Pro/RE за 2004 год и в статье "Пакет Honeyd for Windows", (http://old.osp.ru/win2000/solutions/508_71.htm).

Виртуальные системы. Лучший способ собрать полную информацию о взаимодействии вредной программы с почти реальным компьютером - использовать виртуальную систему, такую как VMware Workstation (http://www.vmware.com) или Microsoft Virtual PC 2004 (http://www.microsoft.com/windows/virtualpc/default.mspx). Программные виртуальные системы могут имитировать реакцию настоящего компьютера на действия вирусов и "червей".

С помощью сетевого анализатора, такого как бесплатный Ethereal (http://www.ethereal.com), можно отслеживать исходящий и входящий трафик виртуального сеанса, и использовать бесплатные утилиты Regmon и Filemon (http://www.sysinternals.com) для обнаружения изменений в сетевом трафике, реестре и файловой системе. Более подробную информацию об использовании программных виртуальных систем в качестве приманок и вирусных ловушек можно найти в статьях "Использование приманок на базе Windows" и "Пакет Honeyd for Windows". Важно направить несанкционированный трафик только в нужный сеанс и не позволить вредной программе использовать виртуальный сеанс в качестве отправной точки для атаки на компьютеры. Захватив вредную программу с помощью простого прослушивателя портов, "смоляной ямы", приманки или виртуальной системы, можно детально исследовать вредителя или передать его для анализа поставщику антивирусных программ. Поставив капкан для вирусов, администратор получит своевременную и достоверную информацию об угрозах для сети.

MSBlaster атаковал только компьютеры Windows, на которых не были своевременно установлены соответствующие исправления. Компания Microsoft и некоторые другие организации, обеспечивающие безопасность в Internet, неоднократно призывали пользователей Windows установить исправления на своих системах. К сожалению, многие пользователи не услышали предупреждений. "Червь" MSBlaster успешно заразил сотни тысяч компьютеров. Даже если в сети предприятия были установлены все исправления, MSBlaster мог замедлить ее работу из-за большого числа атакованных компьютеров.

Некоторые администраторы подготовили служебный сценарий (Листинг A). Если с ним установлено соединение, то сценарий устанавливает обратное соединение с компьютером-источником, уничтожает процесс "червя" MSBlaster, удаляет вредную запись реестра (с помощью созданного "на ходу" файла редактирования) и перезагружает систему. Результаты несанкционированного применения активных сценариев в компьютерах и сетях могут быть противоречивыми. На первый взгляд, удаление "червя" всегда полезно, но при удалении "червей" порой возникают столь же серьезные или более тяжелые проблемы, чем первоначальное заражение.

Например, кто-то из лучших побуждений создал "червя" Welchia, функции которого были почти такими же, как у сценария в Листинге A. Welchia устанавливал соединение с уязвимыми компьютерами, удалял MSBlaster и загружал исправление Microsoft, чтобы устранить лазейку. "Червь" MSBlaster причинял неприятности в течение нескольких дней, но Welchia вызывал отказы в работе сетей еще в течение нескольких недель, так как его механизм сканирования был еще более агрессивным, чем первоначальный "червь". Welchia создал гораздо большую угрозу, чем болезнь, которую он должен был вылечить.

После того как пресс-секретарь главы государства Дмитрий Песков пришёл на совещание с необычным бейджем, этим устройством заинтересовалась вся страна.

Первым делом все вместе поплачем над тем, куда нас опустило отсутствие хотя бы среднего образования. Целым поколениям в этом смысле уже практически нечего дать своим детям. Вот вам, пожалуйста.

Единственное активное вещество, которое входит в его состав, — диоксид хлора. Однако он находится в твёрдом состоянии.

Алюминиевая перфорированная упаковка содержит твёрдый гранулированный диоксид хлора.

Твёрдый диоксид хлора? Вот если в школе химию не учили и вообще бесцельно болтались по жизни, то теперь и приходится потеть, чтобы отличить божий дар от яичницы. Итак, глубокий вдох. Диоксид хлора. В наш XXI век найти и скачать приличный справочник по химии и чтобы текст при этом открылся не в кодировке под названием "абракадабра" — мучение да и только. Ну хорошо, вот данные американского Национального института охраны труда и здоровья. Обидно немного, что зарубежный источник, но всё-таки официальная организация.

Жёлто-красный газ или красно-коричневая жидкость (ниже 52 °F) с неприятным запахом, похожим на хлор и азотную кислоту.

Итак, двуокись хлора — это газ, с чем нас всех и можно поздравить. Или вот.

Всё довольно просто: хлорид натрия, вступая в реакцию с водяным паром из воздуха, превращается в летучий диоксид хлора, действительно способный убивать хоть вирусы, хоть бактерии.

Хлорид натрия — это же обыкновенная поваренная соль, та, которая в солонке стоит. Помилуйте, если при добавлении в суп она выделяет двуокись хлора, то. это какой-то нонсенс. А с другой стороны, по крайней мере, диоксид хлора представлен как "летучий", а не "гранулированный".

Но стоит ли после всего этого удивляться: абсолютное большинство людей совершенно не могут понять, что им подсовывают, и вообще, нас легко обмануть.

Что такое блокатор вирусов

Это саше, которое продаётся в интернет-магазинах с таким успехом, что его местами прямо-таки нет в наличии. Если смотреть на тот продукт, который выбрал для себя пресс-секретарь президента Дмитрий Песков, то это продукт японский — от компании Kiyou Jochgiku, которая выпускает в том числе косметику и бытовую химию. В описании вышеозначенного товара, скажем, на OZON, говорится, что это средство защиты от "бактерий, вирусов (в том числе от вируса гриппа H1N1), плесневых грибков".

Радиус действия этого аппарата — 1 куб. метр. За основу данного изобретения взята безопасная технология производства CLO2 (диоксида хлора), действие которого направлено на окисление белков вирусов.

из описания продукта на OZON

Конкретно блокаторов вируса у компании два вида — взрослые и детские. Чем отличаются? Сайт производителя не отвечает. По картинкам же сделаем вывод, что только дизайном. На детских портативных очистителях воздуха нарисованы милые зверушки.

Некоторые продавцы картриджей вроде того, что носит Песков, утверждают, что Air Doctor Portable Novopin присутствует на рынке аж с 1 ноября 2018 года. Встречались ещё с утверждениями о том, что приборчики используются в 30 больницах Японии. Но к обоим фактам рекомендуем относиться с большой настороженностью, поскольку подтверждения им мы не нашли.

Состав: цеолит натуральный, хлорит натрия, гидроксид натрия

из описания японского блокатора вирусов

Цеолиты — это такие силикатные минералы, которые обладают замечательной способностью впитывать жидкости и отдавать их обратно в зависимости от обстоятельств. Хлорит натрия — это NaClO2. Хлористокислый натрий. Это тоже соль, только несъедобная. Наконец, гидроксид натрия — это едкая щёлочь, которая может вызвать сильные химические ожоги и которую используют при производстве шампуней, бумаги и многого другого.

В самой Японии подобных средств — целый ассортимент, что не могло не обратить на себя внимание учёных. В 2017 году они взялись исследовать блокаторы вирусов от четырёх разных брендов. Novopin, правда, в их научной работе не упоминается, зато есть аналоги от Taiko Pharmaceutical Co., Chukyo Pharmaceutical и ещё двух других компаний. Так вот, в тексте говорится, что микробиологи протестировали действие всех четырёх продуктов на вирус гриппа А. Эксперимент проводили при температуре +23 градуса по Цельсию и влажности 30% Kiyou — примерно как бывает в отапливаемом помещении зимой. Брали на анализ пробы воздуха с расстояния в 20 сантиметров от устройств. Результаты указаны следующие:

Было обнаружено, что вирусные нагрузки одинаковы в пробах воздуха, взятых из мест, близких к устройству, для всех устройств, и в контролируемом воздухе (то есть в воздухе с таким же вирусом, но без блокаторов. — Прим. Лайфа), что указывает на то, что вирулицидная активность в отношении вирусов воздушного гриппа с выбранными устройствами в этих условиях не была обнаружена.

из текста опубликованной научной статьи

Мораль напрашивается такая: даже если в этих штуках и есть что-нибудь хорошее, то шарлатанских изобретений в продаже всегда будет больше.

И тут мы подходим к одной весьма любопытной детали. В России, где, как известно, приветствуется импортозамещение, имеется собственный вариант блокатора вирусов. И разработал его Университет ИТМО — Санкт-Петербургский национальный исследовательский университет информационных технологий, механики и оптики. Точнее, основанное его сотрудниками малое инновационное предприятие "Инноколлоид". И отечественный "блокатор вирусов и бактерий" продаётся, стоит в районе 1000 рублей.

По поводу его состава и принципа действия нам дали подробные разъяснения сами создатели устройства. По их словам, внутри саше от ИТМО находится тоже цеолит, но синтетический. Проще говоря, речь идёт о гранулах адсорбента. И их задача в данном случае — впитывать раствор хлористокислого натрия и соляную кислоту. А потом опять хлорит натрия. В результате в искусственных цеолитах происходит химическая реакция, в процессе которой и выделяется газ под названием "диоксид хлора". А чтобы его было ещё больше, искусственные цеолиты им дополнительно насыщают — уже готовым. Таков многоэтапный процесс производства. А в процессе использования гранулы благополучно отдают накопленное в течение примерно 30 дней, объясняют в ИТМО. Вообще-то двуокись хлора — газ ядовитый, однако, по заверениям учёных, его из блокатора выделяется слишком мало, чтобы причинить вред кому-либо, кроме вирусов и бактерий.

Выделяемая в единицу времени концентрация диоксида хлора не превышает установленных норм в количестве 0.1 ppm, что не превышает допустимый уровень ПДК, а соответственно, делает его безопасным для человека.

из сообщения Университета ИТМО

Разработчики также ссылаются на то, что Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США официально разрешило использовать диоксид хлора для антисептической обработки фруктов и овощей.

Как диоксид хлора убивает вирусы

По данным исследования опять же японских учёных, этот газ разрушает белковые структуры, из которых состоят вирусные частицы. Впрочем, в данной работе говорится о расправе конкретно над вирусом гриппа А. Но в ИТМО и не утверждают, что их продукт защищает от нового коронавируса. Более того, российские учёные посетовали, что на фоне эпидемии блокаторы стали рекламировать и продавать под видом чудесного "купола" защиты от всех смертей, включая CoViD-19.

В связи с тем что подобные сценарии не исключены и с российским БЛОКАТОРОМ (позиционирование перекупщиком как средство от CoViD-19), то ООО "Инноколлоид" приостанавливает производство и выпуск продукции до момента окончания пандемии начиная с 8 апреля. Официальный дистрибьютор имеет право реализовать только находящиеся на его балансе остатки согласно договорным обязательствам с ООО "Инноколлоид".

из сообщения Университета ИТМО

Российский блокатор протестировали в Санкт-Петербургском НИИ эпидемиологии и микробиологии имени Пастера. Правда, провели пока лишь один эксперимент: в замкнутую камеру запустили вирус гриппа А и аденовирус, а потом поместили туда блокатор. Результаты, вообще, обнадёживающие: через 30 минут "активность вирусов снизилась на 90–97%". Но в НИИ подчёркивают, что это, по большому счёту, ещё ни о чём не говорит.

Такая противовирусная активность не является значимой с точки зрения перспектив применения данного средства в качестве надёжного средства индивидуальной защиты. Полученные данные не позволяют также делать заключение об эффективности изделия в отношении 99% вирусов и бактерий, как указывает разработчик.

из официального заявления НИИ эпидемиологии и микробиологии имени Пастера

Во всяком случае, достоверно можно сказать, что в закрытой консервной банке от вируса гриппа А полчаса защищает. И отечественный. А многоуважаемый Дмитрий Сергеевич приобрёл японский.

Блокаторы продаются только в России?

Отнюдь. Весь мир с ними уже знаком. Но мы готовы поспорить, что скоро блокаторы вируса в России объявят вне закона. Либо власти ограничат их продажу в Интернете. Потому что в ряде других стран это уже сделали. И касается это не только Air Doctor, с которым показался Песков, но и гаджета Virus Shut Out. Последнее — это то же самое, что и Air Doctor, только носится по-другому: на шее, как медальон, а не на одежде, как бейджик. Virus Shut Out тоже продвигается в Сети как чудодейственное достижение японских учёных.

Первой страной, которая объявила войну подобным средствам защиты, как ни странно, стал Вьетнам. Там регулярно конфискуют большие партии картриджей с диоксидом хлора. А местное Министерство здравоохранения предупреждает, что нет никаких научных подтверждений, что средства вроде Virus Shut Out и Air Doctor защищают от коронавируса. Чего, впрочем, производители опальных бейджиков не утверждают тоже.

В Таиланде и вовсе за продажу сомнительных антивирусов грозит тюремный срок до двух лет или штраф в размере 200 000 бат (около 450 000 руб.). Местные власти приравнивают оные картриджи к "опасным веществам", для продажи которых требуется специальная лицензия.

Китай тоже по горло завален предложениями по покупке средств вроде Virus Shut Out и Air Doctor. Как минимум Гонконг недоказанная эффективность портативных антивирусов сильно смущает. Местный Таможенно-акцизный департамент на сегодня занят изучением продукта. По результату проверки не исключается применение ограничительных мер.

Про запрет на ввоз обсуждаемых гаджетов в США и Европу пока ничего не слышно. Однако Facebook уже запрещает рекламу подобных продуктов в своей ленте. А eBay ограничивает их продажу в Европе. Впрочем, на маркетплейсе по-прежнему полно предложений из Японии, Китая и США.

После того как пресс-секретарь главы государства Дмитрий Песков пришёл на совещание с необычным бейджем, этим устройством заинтересовалась вся страна.

Алюминиевая перфорированная упаковка содержит твёрдый гранулированный диоксид хлора.

Итак, двуокись хлора — это газ, с чем нас всех и можно поздравить. Или вот.

Что такое блокатор вирусов

из описания продукта на OZON

Состав: цеолит натуральный, хлорит натрия, гидроксид натрия

из описания японского блокатора вирусов

из текста опубликованной научной статьи

из сообщения Университета ИТМО

Как диоксид хлора убивает вирусы

из сообщения Университета ИТМО

из официального заявления НИИ эпидемиологии и микробиологии имени Пастера

Блокаторы продаются только в России?

Читайте также: