Worms and Other Malware

a. Virus είναι ένα πρόγραμμα το οποίο αντιγράφει τον εαυτό του σε άλλα προγράμματα

b. Worm είναι ένας ιός ο οποίος χρησιμοποιεί το network για να αντιγράψει τον εαυτό του σε άλλους υπολογιστές. Τα Worms πολλαπλασιάζονται γρηγορότερα από τους Viruses

c. Ιστορία των Worms
- First Worm: Morris Worm (1988)

• Μόλυνε 6000 υπολογιστές σε λίγες ώρες.
• Απλά έκανε copy τον εαυτό του, δεν πείραξε data
• Προκάλεσε buffer overflow σε fingerd (UNIX)
• Εκτελούσε sendmail σε debug mode
• Με dictionary 432 συνήθεις κωδικούς προσπαθούσε να κάνει login και να εκτελέσει remotely εντολές μέσω rexec και rsh
• Lessons Learned: diversity is good, Large programs more vulnerable to attack, limiting feature limits holes, users should choose good passwords

 - Code Red & Nimda (2001)

• Προκάλεσε buffer overflow σε Microsoft IIS web servers
• Μόλυνε πάνω από 2000 hosts/min
• Απέφευγε τον αυτόματο εντοπισμό
• Προκαλούσε deface στην κεντρική σελίδα του μολυσμένου server

 - SQL Slammer (2003)

• Προκαλούσε buffer overflow κάνοντας χρήση 376-byte UDP πακέτων
• Μόλυνε 75.000 hosts μέσα σε 10 minutes
• Επιτέθηκε σε Microsft SQL Server Database Applications
• Απενεργοποιούσε το server, σάρωνε διευθύνσεις για επόμενη επίθεση

d. Malware Τύποι
 - Rootkits: imposter OS tools used by attacket to hide tracks

 - Botnets: network of software robots attacker uses to control many machines at once to launch attacks

 - Spyware: software that monitors activity of a system or its users without their consent

 - Keyloggers: spywares that monitors user keyboard or mouse input, used to steal usernames, passwords, credit card, e.t.c

 - Trojan Horses: software performs additional or different functions than advertised

 - Clickbots: bot that clicks on ads, leads to click fraud

e. Clickbot.A Botnet
 - Πάνω από 100.000 υπολογιστές, HTTP based botmaster
 - Διηύθυνε low-noise click fraud σε syndicated search engines
 - Μόνο 7/24 anti-virus scanners τον ανίχνευσαν στις 05/2006
 - Ο Internet Explorer βοήθησε με την ύπαρξη του αντικειμένου BHO
 - Έκανε χρήση των doorway sites
 - Fine grained control για τον botmaster

f. Fake Anti-Virus Trojan Horse

g. DroidDream: Mobile Trojan Horse

h. Distributing Malware

 - Η πιο συνηθισμένη διακίνηση Malware γίνεται με drive-by downloads
 - Search engines όπως η Google μαρκάρει σελίδες με πιθανή ύπαρξη Malware

i. Zeus Botnet

 - Spread via drive-by-downloads
 - July 2007
 - Compromised over 74.000 FTP accounts in June 2009
 - Affected: Bank of America, NASA, Monster, ABC, Oracle, Cisco, Amazon and BusinessWeek

j. Πως λειτουργεί η drive-by-download επίθεση
 - Inject legitimate web page with malicious code
 - Invoke client side vulnerability or use social engineering
 - Deliver shellcode to take control
 - Send “downloader” & deliver malware of attackers choice

k. Drive-by-download infections vectors

 - Inject Javascript
 - Invoke client-side vulnerabilities
 - Deliver Shellcode via JavaScript Heap Spray
 - Send “Downloader” and Join Botnet