Mstream, inca o arma in arsenalul hackerilor

Doua echipe de experti specializati in securitatea sistemelor informatice au descoperit si au analizat un nou program de blocare a paginilor web care ar putea produce pagube mult mai mari decat sistemele similare utilizate pana in prezent.

Programul, numit “Mstream”, a fost gasit pe una dintre paginile gazduite de serverele Universitatii Washington si Universitatii Indiana, ambele din Statele Unite. Cu toate ca este foarte asemanator cu celelalte programe de acest gen, precum Trinoo si Tribal Flood Network, Mstream s-a dovedit mult mai periculos decat predecesoarele sale. Desi Mstream se afla inca intr-o faza incipienta de dezvoltare, “inima” software-ului este mult mai puternica decat programele existente, folosite de hackeri.

Mstream utilizeaza un tip relativ nou de asalt informatic, cunoscut sub denumirea de atac “stream”. Pana in prezent, doar un singur program, Stream c, ataca site-urile in acest mod. El a fost descoperit in urma cu aproximativ sase luni si nu este utilizat la scara larga.

Codul sursa al programului Mstream a fost transmis prin e-mail la sfarsitul saptamanii trecute catre un numar necunoscut de adrese. Faptul a determinat un cercetator din cadrul Universitatii Washington sa inceapa imediat activitatea de studiere a programului, mai devreme decat isi planificase initial. Echipa X-Force, filiala a Internet Security Systems din Atlanta, a obtinut o parte din codul sursa joia trecuta, dupa care a “fabricat” si trimis un antidot catre toate adresele de e-mail utilizate de expeditor. Analiza separata asupra programului Mstream a fost publicata marti. Aceasta arata ca versiunea “primitiva” a programului este inca plina de deficiente. Verificarea programului a aratat insa ca Mstream are nevoie de mult mai putine computere intermediare pentru a reusi sa intrerupa functionarea unui site tinta.

Atacul efectuat prin transmiterea unor fluxuri uriase de date catre serverul tinta plaseaza mai intai programele-client pe o multitudine de computere conectate la Internet, transformandu-le pe acestea in “calculatoare-zombie”. Tot procesul poate avea loc cu cateva zile sau chiar luni inainte de declasarea propriu-zisa a atacului. Apoi atacatorul poate activa de la distanta programele-client, ghidandu-le catre o tinta. Acele programe forteaza computerele-gazda sa trimita fluxuri de date catre serverul tinta, provocand astfel inundarea cu informatii si blocarea acestuia. Pentru un utilizator al Internetului, rezultatul se traduce in imposibilitatea acestuia de a accesa pagina web dorita.

Astfel de atacuri au avut ca tinta, in luna februarie, unele dintre cele mai populare site-uri, printre care Yahoo!, ZDNet, Buy.com, Amazon sau CNN.com. In cazul unui atac “stream”, computerele-client consuma timpul de procesare a serverului-tinta cat si latimea de banda. Atacul este mult mai eficient, hackerul avand nevoie totodata de mult mai putine computere intermediare. Majoritatea celorlalte programe au nevoie de cateva sute sau mii de “calculatoare-zombie” pentru a reusi blocarea serverului-tinta.

“Eficacitatea acestui Mstream consta in faptul ca pagubele pot fi uriase chiar si daca sunt utilizate doar cateva computere intermediare”, apreciaza David Dittrich, unul dintre specialistii care au studiat programul. Mstream poate lansa insa un singur tip de atac prin fluxuri de date. Alte programe utilizeaza un arsenal mult mai sofisticat pentru blocarea site-urilor. Ca si celelalte programe de acest gen, Mstream nu este dificil de utilizat. “Oricine dispune de cunostinte minime de Unix poate sa-l instaleze”, comenteaza Chris Rouland, director al X-Force. “Versiunea nu poate fi instalata pe Windows”.

Echipa X-Force califica in prezent Mstream-ul la nivelul al 3-lea de risc, pe o scala de la 1 la 5. Cotarea medie s-a datorat in principal convingerii cercetatorilor ca programul nu este utilizat efectiv, fiind inca in stadiul incipient de dezvoltare.

Autorul codului este inca necunoscut, distribuirea facandu-se de la o sursa anonima catre toate adresele prezente pe Bugtraq si VULN-DEV, doua liste de mesagerie specializate in sisteme de securitate.