Download.ject: Массовая атака через веб-сайты в 2004 году

Введение

Вредоносная программа Download.ject (также известная как Toofer и Scob) — это вредоносная программа для серверов Microsoft Windows. При установке на незащищенный веб-сайт, работающий на Microsoft Internet Information Services (IIS), она добавляет вредоносный JavaScript ко всем страницам, обслуживаемым этим сайтом. Download.ject был первым зафиксированным случаем, когда пользователи Internet Explorer для Windows могли заразить свои компьютеры вредоносным ПО (бэкдором и кейлоггером) одним лишь просмотром веб-страницы. Она получила широкую известность во время масштабной атаки, начавшейся 23 июня 2004 года, в результате которой было заражено множество серверов, включая несколько, размещавших финансовые сайты. После этой атаки специалисты по безопасности стали активно рекомендовать использовать Opera или Mozilla Firefox вместо IE. Download.ject не является вирусом или червем; он не распространяется самостоятельно. Предполагается, что атака 23 июня была осуществлена путем автоматического сканирования серверов, работающих на IIS.

Нападение 23 июня 2004 года

Хакеры разместили вредоносную программу Download.ject на финансовых и корпоративных сайтах, работающих на IIS 5.0 под управлением Windows 2000, используя известную уязвимость. (Исправление для этой уязвимости существовало, но многие администраторы не установили его.) Атака была впервые обнаружена 23 июня, хотя некоторые исследователи полагают, что она могла начаться еще 20 июня. Download.ject добавлял фрагмент JavaScript ко всем веб-страницам с взломанных серверов. При просмотре любой страницы с такого сервера в Internet Explorer (IE) для Windows, JavaScript запускался, загружал копию одной из различных программ-бэкдоров и кейлоггеров с сервера, расположенного в России, и устанавливал ее на компьютер пользователя, используя две уязвимости в IE — для одной из них был доступен патч, а для другой — нет. Эти уязвимости присутствовали во всех версиях IE для Windows, за исключением версии, включенной в Windows XP Service Pack 2, которая в то время находилась только на стадии бета-тестирования. Уязвимости в сервере и браузере использовались и ранее. Однако эта атака была примечательна тем, что объединяла обе уязвимости, тем, что вредоносная программа была размещена на популярных сайтах (хотя список затронутых сайтов не был опубликован), и тем, что, по сообщениям, количество скомпрометированных сайтов, использованных в атаке, исчислялось тысячами, что значительно превышало масштабы любых предыдущих подобных атак. Microsoft рекомендовала пользователям способы удаления вредоносной программы и просмотра веб-страниц с максимальными настройками безопасности. Эксперты по безопасности также рекомендовали отключить JavaScript, использовать веб-браузер, отличный от Internet Explorer, использовать операционную систему, отличную от Windows, или вовсе отказаться от использования Интернета. Атака была нейтрализована 25 июня, когда был отключен сервер, с которого Download.ject устанавливал бэкдор. 2 июля Microsoft выпустила патч для Windows 2000, 2003 и XP. Хотя эта атака не была масштабной по сравнению с электронными червями того времени, тот факт, что почти все установленные копии IE — 95% веб-браузеров, используемых в то время — были уязвимы, и что это была последняя из серии уязвимостей в IE, оставляющих базовую операционную систему без защиты, вызвала заметную волну обеспокоенности в прессе. Даже некоторые деловые издания стали рекомендовать пользователям переходить на другие браузеры, несмотря на то, что предварительная версия Windows XP SP2 была неуязвима для этой атаки.

Hackers placed Download. ject on financial and corporate websites running IIS 5.0 on Windows 2000, breaking in using a known vulnerability. (A patch existed for the vulnerability, but many administrators had not applied it.) The attack was first noticed June 23, although some researchers think it may have been in place as early as June 20. Download. ject appended a fragment of JavaScript to all web pages from the compromised servers. When any page on such a server was viewed with Internet Explorer (IE) for Windows, the JavaScript would run, retrieve a copy of one of various backdoor and key logging programs from a server located in Russia and install it on the user's machine, using two holes in IE — one with a patch available, but the other without. These vulnerabilities were present in all versions of IE for Windows except the version included in Windows XP Service Pack 2, which was only in beta testing at the time. Both the server and browser flaws had been exploited before this. This attack was notable, however, for combining the two, for having been placed upon popular mainstream websites (although a list of affected sites was not released) and for the network of compromised sites used in the attack reportedly numbering in the thousands, far more than any previous such compromised network. Microsoft advised users on how to remove an infection and to browse with security settings at maximum. Security experts also advised switching off JavaScript, using a web browser other than Internet Explorer, using an operating system other than Windows, or staying off the Internet altogether. This particular attack was neutralised on June 25 when the server from which Download. ject installed a backdoor was shut down. Microsoft issued a patch for Windows 2000, 2003 and XP on July 2. Although not a sizable attack compared to email worms of the time, the fact that almost all existing installations of IE — 95% of web browsers in use at the time — were vulnerable, and that this was the latest in a series of IE holes leaving the underlying operating system vulnerable, caused a notable wave of concern in the press. Even some business press started advising users to switch to other browsers, despite the then prerelease Windows XP SP2 being invulnerable to the attack.