Śmierć robaków komunikatorów internetowych?

Przeczytaj także: Inteligentny robak

Ewolucja techniczna

Na początku tego artykułu podjętych zostało kilka kwestii dotyczących ewolucji technicznej robaków komunikatorów internetowych. Jednak zagadnienie to ma jeszcze inne interesujące aspekty.

W maju 2005 roku do robaków komunikatorów internetowych dodawane zostają pewne funkcje. Bropia.ad posiadał możliwość rozprzestrzeniania się za pośrednictwem P2P, podczas gdy IM-Worm.Win32.Kelvir.bm zawierał również rootkita.

Pakiety: robaki komunikatorów internetowych/backdoor, takie jak Kelvir i Bropia nie są już tak popularne. Wygląda na to, że twórcy złośliwych programów mieli kilka powodów, aby je rozdzielić.

Obecnie dość powszechny jest następujący scenariusz:

Użytkownik otrzymuje odnośnik za pośrednictwem komunikatora internetowego. Po kliknięciu go albo zostaje przeniesiony na stronę internetową, która zawiera exploita, a wtedy na jego komputerze zostaje automatycznie zainstalowany złośliwy program, albo proszony jest o pobranie i/lub uruchomienie pliku wykonywalnego, tj. IRCBota. Po tym jak Backdoor zostanie wykonany, pobierze automatycznie robaka komunikatorów internetowych, albo za pośrednictwem kanału IRC otrzyma polecenie, aby pobrać ten plik. Tego typu robaki są wciąż bardzo podobne do Kelvira, jest jednak jedna duża różnica: rozprzestrzeniają się tylko na polecenie.

Robak zacznie się rozprzestrzeniać dopiero po tym, jak operator IRC wyda określone polecenie w kanale, lub na jedną konkretną maszynę. Należy zwrócić uwagę na to, że w takich przypadkach robak rozprzestrzenia się jako odnośnik do Backdoora, a nie do samego siebie.

Podejście to posiada kilka zalet:
• Jeżeli polecenie pobrania wydawane jest poprzez kanał IRC, otrzymanie plików przez specjalistów od zabezpieczeń jest tylko kwestią czasu. Często kontaktują się oni z dostawcami usług hostingowych obsługującymi stronę WWW, która zawiera zainfekowane pliki, i proszą ich o zdjęcie strony. Jak tylko osoba obsługująca bota zorientuje się, że strona internetowa została zdjęta, może wrzucić zainfekowany plik na inny serwer i zmodyfikować odsyłacz, który jest wysyłany do IRCBotów. W ten sposób botnet wciąż się rozrasta.

• Utrudni to producentom antywirusowym uzyskanie próbki robaków komunikatorów internetowych, co przeciągnie w czasie stworzenie i opublikowanie sygnatury.