Что можно ожидать от авторов червей в ближайшие месяцы

Представляется, что текущая тенденция развития вредоносных программ движется в направлении bot-червей. Bot-программы, работающие как агент пользователя или другой программы, часто называются malware и способны атаковать огромное количество ничего не подозревающих пользователей. Каковы же возможные новые добавления и модификации, которые авторы bot-червей могут включить в свои отвратительные "произведения" уже в ближайшем будущем?

В настоящее время все bot-черви строятся по модульному принципу. Это значит, что автор программы может выбирать различные методы атаки, включая использование брешей в системах защиты, массовую почтовую рассылку, непосредственное размножение, а также их различные сочетания. Результат - специализированный червь, разработанный специально для выполнения своей задачи: похищения информации и установления контроля за инфицированным ПК.

Идея модульности этих типов червей была реализована в недавно выпущеном черве Zotob. Бреши в сетевой системе защиты могут использоваться для проникновения, как только опубликован код, иллюстрирующий это слабое место. Когда написанный сегмент кода, использующий какую-то брешь в защите операционной системы, публикуется в Интернете, "создатели" этих червей сразу могут внедрить его в код уже существующего червя, перекомпилировать, и, пожалуйста - уже готов к распространению новый опасный вид червя.

Таким образом, в ближайшем будущем ожидается сокращение времени распространения сетевых червей. Ниже приведен список, в котором показано время, прошедшее с момента обнаружения бреши в системе защиты до появления червя, использующего эту брешь.

Nimda: 366 дней
Slammer:  185 дней
Blaster:  26 дней
Sasser:  18 дней
Zotob:  4 дня

Что из этого следует: в настоящее время скорость создания червей постоянно растет. Поэтому пользователи ПК во всем мире подвергаются все большей опасности.

Специалисты компании Trend Micro предполагают, что в будущем вредоносные программы будут использовать следующие технологии:

Захват потоков RSS (Real Simple Syndication). Содержание Web-страниц может обновляться, и их RSS-подписчики могут получать новый контент по мере публикации с помощью клиентов RSS, которые постоянно отслеживают обновления. Самый простой способ использования этой развивающейся технологии - захват уже сконфигурированных клиентов RSS для автоматической загрузки новых копий червей и другого вредоносного ПО на инфицированные ПК. Это достигается путем перенастройки уже сконфигурированного клиента на другой, вредоносный Web-контент. Сначала червь проверяет, настроена ли данная система на какую-либо автоматическую загрузку обновлений. Если это так, остается всего лишь добавить или изменить один из адресов для обновлений на адрес вредоносного Web-сайта.

Один из факторов, уменьшающих эту опасность: в настоящее время такие программы загрузки не стандартизованы, поэтому атакам могут подвергаться только определенные программы. Этот тип атак в настоящее время не является достаточно опасным.

Однако, ситуация может измениться с выходом окончательной новой версии обозревателя Internet Explorer7. Корпорация Microsoft уже объявила, что эта новая версия популярного Интернет-обозревателя будет содержать встроенную поддержку загрузки по технологии RSS. Поэтому авторы червей могут получить новые мощные возможности для атак.

Чтобы бороться с такими атаками, компании должны применять, если они еще не применяют, методы сканирования трафика HTTP. Судя по всему, это будет один из самых популярных методов борьбы с распространением malware в ближайшем будущем.