Агобот

Agobot , также часто известный как Gaobot , представляет собой семейство компьютерных червей . Аксель «Аго» Гембе, немецкий программист, также известный тем, что опубликовал Half-Life 2 за год до выпуска, был ответственным за написание первой версии. Исходный код Agobot описывает его как: «модульный IRC-бот для Win32/Linux». Agobot был выпущен под лицензией GNU General Public License версии 2 . Agobot — многопоточная и в основном объектно-ориентированная программа, написанная на C++ с небольшим количеством ассемблера . Agobot — это пример ботнета , для использования которого практически не требуется знаний в области программирования.

Технические детали

Новые версии или варианты червя появлялись так быстро, что семейство Agobot быстро выросло в размерах по сравнению с другими семействами ботов. Другие боты семейства Agobot включают Phatbot и Forbot. Сейчас у Agobot есть несколько тысяч известных вариантов. Большинство из них ориентированы на платформу Microsoft Windows ; в результате подавляющее большинство вариантов несовместимо с Linux . Современные разновидности Agobot, скорее всего, были созданы с помощью Visual Studio, поскольку они полагались на Visual Studio SDK и Processor Pack. Размер заразного Agobot может варьироваться, но обычно он составляет от 12 до 500 килобайт в зависимости от функций, оптимизации компилятора и двоичных модификаций.

Модуль, написанный для одного члена семейства Agobot, обычно можно легко перенести на другого бота. Такое сочетание модулей в соответствии с потребностями владельца послужило источником вдохновения для создания многих вариантов червя.

Большинство Agobots имеют следующие функции:

• Защищенный паролем интерфейс управления клиентом IRC
• Удаленно обновить и удалить установленного бота
• Выполнение программ и команд
• Сканер портов, используемый для поиска и заражения других хостов
• DDoS- атаки, используемые для отключения сетей

Agobot может содержать и другие функции, такие как:

• Сниффер пакетов
• Кейлоггер
• Полиморфный код
• руткитов Установщик
• Сбор информации
  • Адреса электронной почты
  • Ключи программного обеспечения
  • Пароли
• SMTP- клиент
  • Спам
  • Распространение копий самого себя
• HTTP- клиент
  • Нажмите Мошенничество
  • DDoS-атаки

Распространение

Следующие методы распространения являются подмодулями механизма сканирования портов:

• MS03-026 RPC DCOM Переполнение удаленного буфера
• MS04-011 LSASS Переполнение удаленного буфера
• MS05-039 Plug and Play Переполнение удаленного буфера
• Попытки перехватить распространенные трояны , которые принимают входящие соединения через открытый порт.
• Возможность распространения на системы путем перебора логина. Хорошим примером является Telnet или блок сообщений сервера Microsoft.

Как правило, было замечено, что каждый модифицированный вариант Agobot включает в себя набор вышеуказанных методов, а также некоторые «доморощенные» модули, которые по сути представляют собой выпущенные эксплойты, портированные на его код.

Имена и тому подобное можно добавлять через XML-файлы для импорта переменных в случайном порядке.

Варианты

Gaobot.ee

Gaobot.ee — это вариант Agobot. Он также известен как W32.HLLW.Gaobot.EE. Это вредоносный компьютерный червь , который обычно приходит из P2P -сети Ares и устанавливается из своей вирусной формы Ares.exe . Он имеет довольно странные характеристики для вируса, с уникальной способностью загружать и устанавливать случайные файлы (возможно, для увеличения числа участников) от своих участников, такие как музыка , порнография и даже полные игры . Gaobot.ee — это червь, который рассылает большое количество нежелательных электронных писем, используя собственный механизм SMTP . Этот червь также открывает бэкдор на случайном TCP- порту, уведомляет злоумышленников через заранее определенный канал IRC и пытается отключить различные продукты безопасности и инструменты мониторинга системы.

Уровень безопасности у него низкий, он практически не причиняет вреда компьютеру. Однако сообщалось о загрузке и установке шпионского ПО, других вирусов, троянов и червей, хотя официально это еще не доказано.

Внешние ссылки

• W32.Gaobot.DX Symantec Получено 20070618
• W32.Gaobot.CEZ Symantec Получено 20070618