Распространение ISTbar через подложные уpлы Gnutella2
Нашествие недобросовестных дельцов в P2P. ISTbar must die.
Как в сказке ”Терем - теремок”, в P2P сети пришла беда в виде медведя - ISTbar. В открытых сетях появились узлы, которые на любой поступивший запрос возвращают ссылку на архив, содержащий AdWare, или зараженный файл wma, который, используя уязвимость Windows Media Player, выкачивает ISTbar из Интернет. Причем результаты поиска неизменно представлены rar, zip, ace архивами с названием файла, полностью соответствующим строке запроса. Для увеличения привлекательности для конечного пользователя результату присваивается максимальный рейтинг.
Мир свободных сетей оказался не готов к такой подлости, количество зараженных файлов растет в сети как снежный ком, особенно для популярных запросов. Количество зараженных машин так же возрастает с катастрофической скоростью.
Что бы не быть голословным, предлагаю всем желающим повторить следующий эксперимент:
1.) Вводим в строку поиска произвольные цифры и буквы, в моем случае это были ”14554215 srvzh kdkjf”.
2.) Через некоторое время оказывается, что файлы с таким именем существуют, их даже довольно много и все имеют рейтинг *****.
3.) Скачиваем один из файлов и смотрим, что внутри архива. А там оказывается либо файл setup.exe c ISTbar, либо файл 1.wma, при попытке прослушать который опять же происходит заражение компьютера IST bar.
Но как говорится, чем дальше в лес, тем толще партизаны. Через некоторое время оказывается, что файлы ”14554215 srvzh kdkjf” очень популярны у народа ;) и их начинают качать чуть ли не каждые три - четыре минуты. Этот парадокс вызван тем, что практически во всех P2P сетях поиск источников для известных файлов ведется не по именам, а по содержанию (вернее, по контрольным суммам). «Вражеский» узел возвращает в ответ на запрос ссылку на зараженный файл у себя и контрольную сумму этого файла, а ваш p2p клиент находит такие же файлы на других узлах сети (которые уже скачивали подобные файлы, но по другим запросам). В результате ваш компьютер включается в сеть распространения этого вируса.
В опыте использовалась Shareaza 2.2.1.0. Описанный способ распространения ISTbar проявлялся в основном при работе с сетями Gnutella2 и eDonkey 2000. Причем узлы, подменяющие запрос, скорее всего расположены именно в Gnutella2. Однако описанная уязвимость присуща всем пиринговым сетям.
//====================================================================================================
Итоги обсуждения:
1. Подложные ссылки распространяются с узлов с IP адресами в диапазоне 85.88.9.1-85.88.9.63, имена файлов в точности соответствуют строке поиска.
2. Отличить подложные результаты можно по высокому приоритету (5 звезд), размеру файла 1-85 Кб, имени файла, которое точно соответствует запросу, расширению фала (rar, zip реже ace) и неправдоподобно широкому каналу передачи (минимум 120 Мбит/с).
4. Архивы могут содержать файлы 1.wma, 1wmv или setup.exe
5. Для обхода фильтрации по контрольной сумме в крнец архива дописываются пустые строки.
Методы борьбы:
1. Настроить фильтры p2p клиента на блокирование подсети 85.88.9.0 с маской 255.255.255.192 (подробнее ниже).
2. Критично подходить к результатам поиска и не скачивать файлы, которые соответствуют описанным критериям.
3. Что-бы не стать вторичным источником указанной заразы надо обновить/установить хороший антивирус и удалить с его помощью все зараженные файлы из общих папок.
P.S. Мост и Alexey P. огромное спасибо за помощь.
