Cyberprzestępcy a luki w oprogramowaniu

Przeczytaj także: Zagrożenia internetowe II kw. 2010

Tego rodzaju atak jest określany jako “Drive-by Download.” Jest on szczególnie groźny, ponieważ użytkownik jest całkowicie nieświadomy tego, co się dzieje. To nie przypadek, że ostatnio wiele zagrożeń internetowych jest rozprzestrzenianych za pośrednictwem ataków drive-by download, łącznie z niebezpiecznymi i złożonymi zagrożeniami, takimi jak Zbot/ZeuS, TDSS, Sinowal oraz Virut.ce.

Poniższy schemat pokazuje, w jaki sposób komputer użytkownika może zostać zainfekowany przez Zbota/ZeuSa.

Pierwszym krokiem w procesie jest przekierowanie użytkownika na stronę internetową zainfekowaną programem Trojan-Downloader.JS.Pegel. Następnie, Pegel przekierowuje użytkownika na stronę internetową zawierającą pakiet exploitów. W dalszej kolejności następują próby bezpośredniego pobrania i zainstalowania bota. Ostatnim krokiem jest przyłączenie zainfekowanego komputera do centrum kontroli botnetu (sieci zainfekowanych komputerów) i włączenie go do botnetu.

Do rozprzestrzeniania exploitów powszechnie wykorzystuje się również socjotechnikę. Użytkownik otrzymuje na przykład odsyłacz do nowej wiadomości, rzekomo z Facebooka, lub e-mail podszywający się pod wiadomość z banku zachęcającą do odwiedzenia określonej strony w celu odblokowania konta. Odsyłacz skieruje użytkownika do fałszywej wiadomości, poprzez którą może on nieświadomie pobrać na swój komputer exploita.

Jeżeli komputer jest już zainfekowany trojanem downloaderem, taki program może pobrać i zainstalować dowolną liczbę zagrożeń, łącznie z takimi, które wykorzystują luki w zabezpieczeniach.

Jednak exploity najskuteczniej rozprzestrzeniane są z zainfekowanego komputera do lokalnej sieci. W takim przypadku generowane jest zapytanie sieciowe, które następnie wysyłane jest do wszystkich komputerów w systemie. W rezultacie mogą zostać wykorzystane dowolne luki istniejące w systemie. W ten sposób rozprzestrzeniane są najgroźniejsze robaki, takie jak Kido i Lovesan. Za pomocą tej metody w bardzo krótkim czasie można zainfekować całą sieć lokalną. Infekcja zostanie zatrzymana dopiero po załataniu luki.