Virová ProblematikaVirová Problematika

Jiří Malina Jiří Malina EI-4EI-4

Osnova obhajoby práce:Osnova obhajoby práce:

Slovo úvodemSlovo úvodem „„Vxers“ scénaVxers“ scéna „„Exploit“,Exploit“, Ukázka Hrozby současnosti Ukázka Hrozby současnosti

- Santy.a- Santy.a- Win32.Bugbear-B- Win32.Bugbear-B- Mobilové viry- Mobilové viry

Ukázka trojského koně „netbus PRO“Ukázka trojského koně „netbus PRO“ Dotazy Dotazy

VxersVxers

„„Fanatici“Fanatici“ Tito lidé mají cíl uškoditTito lidé mají cíl uškodit Vytvářejí / Upravují takové viry které mají šanci uspětVytvářejí / Upravují takové viry které mají šanci uspět 9595%% nejrozšířenějších virů pochází z této skupiny nejrozšířenějších virů pochází z této skupiny Tvůrce je utajen není podepsán pod nějakou přezdívkouTvůrce je utajen není podepsán pod nějakou přezdívkou

VxersVxers

„„Umělci“Umělci“ Viry dělají pro radost(koníček)Viry dělají pro radost(koníček) Viry jsou velmi rozsáhlé, nemají reálnou šanci na úspěch z důvodu Viry jsou velmi rozsáhlé, nemají reálnou šanci na úspěch z důvodu

velikosti a s tím faktorem že udržet tak velké díla bez chyby je téměř velikosti a s tím faktorem že udržet tak velké díla bez chyby je téměř nemožnénemožné

Viry umisťují na své weby + posílají je antivirovým společnostem (v Viry umisťují na své weby + posílají je antivirovým společnostem (v řadě případů jde o „technické skvosty“řadě případů jde o „technické skvosty“

Vir vždy podepsán přezdívkouVir vždy podepsán přezdívkou

VxersVxers

„„Sběrači“Sběrači“ Stahují infikované soubory z internetu a dělají si sbírku.Stahují infikované soubory z internetu a dělají si sbírku. Z těchto infikovaných souborů dělají testy antivirových programů a Z těchto infikovaných souborů dělají testy antivirových programů a

informují o nich na webu (fórumy atd.)informují o nich na webu (fórumy atd.) Sběrači si mezi sebou mění vzácné druhy virů.Sběrači si mezi sebou mění vzácné druhy virů.

ExploitsExploits Exploit = Bezpečnostní díra softwareExploit = Bezpečnostní díra software O exploitech se dovíme na různých webech fórech ale chtěl bych jmenovat O exploitech se dovíme na různých webech fórech ale chtěl bych jmenovat

tento: tento:

http://www.insecure.org/sploits.htmlhttp://www.insecure.org/sploits.html -výborné roztřídění na druhy exploitu -výborné roztřídění na druhy exploitu podle OSpodle OS

Exploity by měl sledovat hlavně administrátor, pro „útočníka“ je sledování Exploity by měl sledovat hlavně administrátor, pro „útočníka“ je sledování samozřejmost.samozřejmost.

Pět nejčastějších slabin zabezpečených počítačových sítí:Pět nejčastějších slabin zabezpečených počítačových sítí:

IIS: WebDAV Overflow (MS03-007) IIS: WebDAV Overflow (MS03-007)

Apache 1.3.31 htpasswd local overflow Apache 1.3.31 htpasswd local overflow

IIS FrontPage ISAPI Denial of Service IIS FrontPage ISAPI Denial of Service

OpenSSH 3.7.1, php arbitrary file upload OpenSSH 3.7.1, php arbitrary file upload

Apache mod_access rule bypassApache mod_access rule bypass

HoaxHoax

Hoax = poplašná zpráva, neškodná pokud se ignoruje Hoax = poplašná zpráva, neškodná pokud se ignoruje

Informace o hoaxu: Informace o hoaxu: http://www.hoax.czhttp://www.hoax.cz

Hoax vždy obsahuje body:Hoax vždy obsahuje body:

- Důvěryhodné zdroje varují Důvěryhodné zdroje varují

- Popis nebezpečí viruPopis nebezpečí viru

- Výzva k dalšímu rozesláníVýzva k dalšímu rozeslání

Typický hoaxTypický hoax

Pošli prosím všem svým kontaktům zprávu, že Pošli prosím všem svým kontaktům zprávu, že nemají do svého Contact listu v ICQ přijímat nemají do svého Contact listu v ICQ přijímat uživatele pod nickem CHROBAK. Je to virus, uživatele pod nickem CHROBAK. Je to virus, který se šíří hlavně po ICQ. První odešle tvoje který se šíří hlavně po ICQ. První odešle tvoje osobni informace a dokumenty na internet a pak osobni informace a dokumenty na internet a pak ti zformátuje disk. Když ho má jeden z tvých ti zformátuje disk. Když ho má jeden z tvých kontaktních osob, udělá to samé i tobě. kontaktních osob, udělá to samé i tobě.

Hrozby přítomnostiHrozby přítomnosti

nový červ nový červ Santy.aSanty.a napadá weby na nichž běží napadá weby na nichž běží phpBBphpBB (fórumy) (fórumy)

Zranitelné servery vyhledává pomocí Zranitelné servery vyhledává pomocí GoogleGoogle, s využitím slabin starších , s využitím slabin starších

verzí phpBB server napadne a procedura se opakuje. Na napadeném verzí phpBB server napadne a procedura se opakuje. Na napadeném

serveru serveru přepíše souborypřepíše soubory s řadou přípon včetně .htm a v .php. s řadou přípon včetně .htm a v .php.

Zprávou: "This site is defaced!!!Zprávou: "This site is defaced!!!

NeverEverNoSanity WebWorm generation X“NeverEverNoSanity WebWorm generation X“

Lék: upgrade na verzi 2.0.11 a vyšší upgrade na verzi 2.0.11 a vyšší

Ukázka že Santymu se daříUkázka že Santymu se daří

Hrozby přítomnostiHrozby přítomnosti

Win32:Bugbear-BWin32:Bugbear-B

Co umí: Co umí: Polymorfní v každé své kopii jiný. Šíří se pomocí emailu a sdílených Polymorfní v každé své kopii jiný. Šíří se pomocí emailu a sdílených

prvcích sítě. Využívá exploitu Iframeprvcích sítě. Využívá exploitu Iframe, , který umožňuje automatické který umožňuje automatické

spuštění v systémech. Po spuštění se hodí do systému a startupu a spuštění v systémech. Po spuštění se hodí do systému a startupu a vypustí ven keyloggera. Hned poté se snaží replikovat na další vypustí ven keyloggera. Hned poté se snaží replikovat na další komponenty v síti. Otevírá také samovolně port 1080 a čeká na příkazy komponenty v síti. Otevírá také samovolně port 1080 a čeká na příkazy páníčka zvenčí. Tělo viru obsahuje dlouhý seznam antivirových páníčka zvenčí. Tělo viru obsahuje dlouhý seznam antivirových programů a firewallů které se virus snaží každých 20 sekund ukončit. programů a firewallů které se virus snaží každých 20 sekund ukončit. Worm pak hledá další možnosti replikace, hledání emailů a Worm pak hledá další možnosti replikace, hledání emailů a prohledávání souborů s příponami : ODS, MMF, NCH, MBX, EML, TBB, prohledávání souborů s příponami : ODS, MMF, NCH, MBX, EML, TBB, a DBX. Falšuje v mailu pole FROM takže skutečný odesílatel je takřka a DBX. Falšuje v mailu pole FROM takže skutečný odesílatel je takřka nevypátratelný (asi nepomůže ani hlavička mailu)nevypátratelný (asi nepomůže ani hlavička mailu)

Mobily sou v bezpečí ?!Mobily sou v bezpečí ?!

Nesmysl !!! Nesmysl !!! Havěť na „chytré“ mobily:Havěť na „chytré“ mobily:

„„Trojan METAL Gear.a“Trojan METAL Gear.a“ symbiantovská nakažená hra metal gear solid, po spuštění symbiantovská nakažená hra metal gear solid, po spuštění

vypne spoustu možností mobilu nainstaluje také vypne spoustu možností mobilu nainstaluje také upravenou verzi Cabir.C a začne přes bluetooth upravenou verzi Cabir.C a začne přes bluetooth skenovat okolí pokud najdedalší mobil snaží se tam skenovat okolí pokud najdedalší mobil snaží se tam přenést.přenést.

Skulls.C, Cabir.F, Cabir.G a MGDropperSkulls.C, Cabir.F, Cabir.G a MGDropper

Třešnička na Dort:Třešnička na Dort:

trojský kůň trojský kůň NETBUS PRONETBUS PRO Chtěl bych vám stručně a bez podrobností představit !Chtěl bych vám stručně a bez podrobností představit !

Velmi! efektivní trojan na bázi server-klient který je Velmi! efektivní trojan na bázi server-klient který je zaručeně funkční a nabízí spoustu možností. Po dostání zaručeně funkční a nabízí spoustu možností. Po dostání tohoto programu na cizý počítač si oběť myslí že jí tohoto programu na cizý počítač si oběť myslí že jí napadl minimálně Mitnick napadl minimálně Mitnick . .

Poznámka:Poznámka: Předem chci upozornit že tento program Předem chci upozornit že tento program mám jen pro studijní účely a nebyl mou rukou nikdy mám jen pro studijní účely a nebyl mou rukou nikdy zneužit. Toto vysvětlení slouží jen pro představu jak zneužit. Toto vysvětlení slouží jen pro představu jak trojské koně vůbec vypadají a že v případě napadení si trojské koně vůbec vypadají a že v případě napadení si útočník s obětí může dělat cokolivútočník s obětí může dělat cokoliv

SERVERSERVER

Tuto část pokud se stanete obětí budete mít na Tuto část pokud se stanete obětí budete mít na PC vy. Utočník se pomocí klienta jen na vás PC vy. Utočník se pomocí klienta jen na vás připojí a dělá si co chce takto to cca vypadápřipojí a dělá si co chce takto to cca vypadá

KlientKlient

To je vše:To je vše:

Čas na dotazy a nejasnosti ;-) Čas na dotazy a nejasnosti ;-)

Snad bude v mých Snad bude v mých

silách vám povědět silách vám povědět

vše z tohoto vše z tohoto

velkého tématuvelkého tématu