مشكلة أمنية مخادعة ، تم تجاهلها من قبل الرجال السيئين

فرانك بولدوين قد شاهد الكثير من البرامج الخبيثة في وقته ، ولكن لم يكن أي شيء مثل Rustock.C.

يستخدم لإصابة أجهزة الكمبيوتر ويندوز وتحويلها إلى خوادم غير مرغوب فيها غير مرغوب فيها ، Rustock.C هو الجذور الخفية التي تثبت نفسها على نظام التشغيل ويندوز ، ثم تستخدم مجموعة متنوعة من التقنيات المتطورة التي تجعل من المستحيل تقريبا كشفها أو حتى تحليلها.

عندما بدأ لأول مرة النظر في الكود في وقت سابق من هذا العام ، فإنه سيؤدي ببساطة إلى تعطل جهاز الكمبيوتر الخاص به. كان هناك تشفير على مستوى السائق ، والذي كان لا بد من فك تشفيره ، وكان مكتوبًا بلغة التجميع ، مستخدمًا "بنية شفرة السباغيتي" التي جعلت من الصعب جدًا على Boldewin معرفة ما تفعله البرامج بالفعل.

[قراءة أخرى: كيفية إزالة البرامج الضارة من جهاز كمبيوتر يعمل بنظام Windows لديك

تحليل الجذور الخفية عادة ما يكون عملاً مساعداً لشخص لديه مهارات تقنية في Boldewin. مع Rustock.C ، ومع ذلك ، استغرق الأمر منه أيامًا لمعرفة كيفية عمل البرنامج.

نظرًا لأنه من الصعب جدًا اكتشافه ، تعتقد Boldewin ، وهي باحث أمان في شركة GAD الألمانية لخدمات تكنولوجيا المعلومات ، أن موقع Rustock.C كان موجودًا منذ ما يقرب من عام قبل أن تبدأ منتجات مكافحة الفيروسات في اكتشافها.

هذه هي القصة مع الجذور الخفية. انهم متسترون. ولكن هل يشكلون تهديدًا كبيرًا؟

في أواخر عام 2005 ، اكتشف مارك روسينوفيتش أشهر جذر جذري. كان روسينوفيتش ، وهو خبير أمني في ويندوز ، محيرًا يومًا ما عندما اكتشف جهازًا جذريًا على جهاز الكمبيوتر الخاص به. بعد بعض التجسس ، اكتشف في النهاية أن برامج حماية النسخ المستخدمة من قبل Sony BMG Music Entertainment تستخدم تقنيات rootkit بالفعل لإخفاء نفسها على أجهزة الكمبيوتر. لم يتم تصميم برنامج سوني للقيام بأي شيء ضار ، لكنه كان غير قابل للاكتشاف وصعب للغاية إزالته.

أصبح برنامج Rootkit لشركة Sony بمثابة كارثة رئيسية للعلاقات العامة للشركة ، والتي أنفقت الملايين في التسويات القانونية مع المستخدمين الذين تأثروا بالبرنامج بعد مرور ثلاث سنوات ، لا يزال روسينوفيتش ، وهو زميل تقني بشركة مايكروسوفت ، يعتبرها هي الجذور الخفية التي تسببت في معظم المشاكل لمستخدمي الكمبيوتر.

لكن برامج Sony rootkit التي تم شرحها للمشتركين في مكافحة الفيروسات. حقيقة أن أيا منهم لم يلاحظ حتى هذا البرنامج لمدة عام تقريبا كان عين سوداء خطيرة لصناعة الأمن.

على الرغم من أنها حصلت على بدايتهم على آلات يونكس سنوات في وقت سابق ، في وقت فشل سوني ، واعتبرت الجذور الخفية التهديد الكبير التالي للبائعين مكافحة الفيروسات. استكشف باحثون أمنيون استخدام تكنولوجيا المحاكاة الافتراضية لإخفاء الجذور الخفية وناقشوا ما إذا كان يمكن في يوم من الأيام إنشاء جذر رخوة غير قابل للاكتشاف بالكامل. لكن <روسينوفيتش> يقول الآن إن الجذور الخفية فشلت في الارتقاء إلى مستوى الضجيج. وقال في مقابلة "انهم ليسوا سائدين مثلما توقع الجميع ان يكونوا." "البرامج الضارة اليوم تعمل بشكل مختلف تماما عما كان عليه الجنون في الجذور الخفية." "ثم … البرامج الضارة من شأنه أن يرمي النوافذ المنبثقة على سطح مكتبك ويسيطر على متصفحك. واليوم نرى نوعًا مختلفًا تمامًا من البرامج الضارة."

يعمل البرنامج الضار حاليًا بهدوء في الخلفية أو إرسال رسائل غير مرغوب فيها أو استضافة مواقع الويب السيئة بدون ضحية على الاطلاق ما يحدث. ومن المفارقات ، أنه على الرغم من أنها بنيت لتفادي اكتشافها ، فإن الجذور الخفية الأكثر تطوراً على مستوى النواة غالباً ما تكون متطفلة بشكل لا يصدق لدرجة أنها تلفت الانتباه إلى نفسها ، كما يقول الخبراء الأمنيين.

"من الصعب للغاية كتابة رمز لنواة الخاص بك وقال الفريد هوجر ، نائب رئيس فريق الاستجابة الأمنية في سيمانتك: "إن هذا الأمر سيؤدي إلى تعطل جهاز الكمبيوتر الخاص بك". "يمكن للبرنامج الخاص بك أن يخطو بسهولة على شخص آخر."

يوافق Huger على أنه في حين لا تزال الجذور الخفية مشكلة بالنسبة لمستخدمي Unix ، إلا أنها ليست منتشرة على أجهزة الكمبيوتر التي تعمل بنظام Windows.

يمثل Rootkits أقل بكثير من 1 بالمائة من جميع محاولة العدوى التي تتتبعها سيمانتيك هذه الأيام. أما بالنسبة لـ Rustock.C ، على الرغم من كل تعقيداتها التقنية ، فقد رصدتها سيمانتك في البرية حوالي 300 مرة.

وقال هوغر: "على النطاق الكامل للبرامج الخبيثة ، إنها قطعة صغيرة للغاية وهي محدودة المخاطر اليوم."

ولكن لا يتفق الجميع مع نتائج سيمانتك. يقول تييري زولير ، مدير أمن المنتجات مع n.runs ، أن شركة Rustock.C تم توزيعها على نطاق واسع عبر شبكة الأعمال الروسية سيئة السمعة ، وأن حالات العدوى هي على الأرجح بعشرات الآلاف.

تم استخدام "الجذور الخفية" للاحتفاظ بحق الوصول إلى وقال في مقابلة أجريت عبر رسالة فورية.

في النهاية ، قد يتجنب المجرمون الجذور الخفية لسبب بسيط للغاية: إنهم لا يفعلون ذلك.

بدلاً من استخدام تقنيات rootkit الخداعية ، طوّر المتسللون بدلاً من ذلك تقنيات جديدة تجعل من الصعب على باعة مكافحة الفيروسات معرفة الفرق بين برامجهم والبرامج الشرعية. على سبيل المثال ، يقومون بصنع الآلاف من الإصدارات المختلفة من برنامج خبيث واحد ، مما يؤدي إلى تعتيم الشفرة في كل مرة بحيث تواجه منتجات مكافحة الفيروسات أوقاتًا صعبة في تحديدها.

في النصف الثاني من عام 2007 ، على سبيل المثال ، تتبعت سيمانتك ما يقرب من نصف مليون شخص. أنواع جديدة من الشفرات الضارة ، بزيادة 136٪ عن النصف الأول من العام. يقول خبراء الأمن إن هذا الوضع أسوأ في عام 2008.

"إن الأشياء التي نجريها ليست معقدة" ، قال جريج هوغلاند ، الرئيس التنفيذي لشركة HBGary ، وهي شركة تبيع البرامج لمساعدة العملاء على الاستجابة لتطفل الكمبيوتر. "معظم البرامج الضارة الموجودة في الوقت الحاضر … لا تحاول حتى إخفاءها."

على سبيل المثال ، تعرض أحد عملاء HB Gary مؤخرًا لهجوم مستهدف. وقال هوجلوند إن الأشرار يعرفون بالضبط ما الذي أرادوه ، وبعد أن اقتحموا الشبكة ، قاموا بتمرير المعلومات قبل أن يتمكن فريق الاستجابة للحوادث التابع للشركة من الوصول إلى هناك. "كان من الواضح جداً أن المهاجمين كانوا يعلمون أنهم سوف يفلتوا من البيانات بسرعة لدرجة أنهم لم يضطروا حتى للاختباء."