Da li ste sigurni da vaš računar sluša samo vaše komande?

Teorije zavere uvek su najbolje uspevale na ovom podneblju. Pojava Interneta samo je dodala začin postojećim skepticima, pa su glasine da novi svetski poredak, masonska zavera ili jevrejski lobi želi da nas podjarmi koristeći Internet postale normalna pojava.

Ovakva količina paranoje kod običnog korisnika izazivala je sumnju u sigurnost korišćenja novog načina za prenos informacija. Korisnici su se često pitali da li je sigurno poslati išta preko Interneta, a najčešće su kolale lude priče o kontroli vašeg računara od strane drugih preko Interneta. Stručnjaci i svi ostali iole obrazaovani odmahivali su glavom na ovakve sumnje, kritikovali ljude zbog nezanja i dokazivali da je takav scenario nemoguć. Da li je baš tako?

Oprez!

Back Orifice je ugledao svetlo dana pre nekoliko meseci (avgust 1998) i sada je hit na Internetu. Do ovoga trenutka, tvrde njegovi kreatori „Cult Of Dead CoW”, skinuto je preko 100 000 kopija ovog programa. U osnovi Back Orifice je klijent-server program. Problem je u sledećoj sitnici: vi ste klijent, a haker (ili bilo koja druga zlonamerna osoba) je server, i to na vašem rođenom računaru! Kao server, ta osoba ima potpunu kontrolu nad vašim računarom, znači može slobodno pokretati procese (startovati i gasiti programe), gledati vaš e-mail, pa čak i pokupiti vaše rođene lozinke i naravno iskoristiti ih posle za svoje podle ciljeve.

Trojanski konj

Back Orifice (u prevodu zadnji ulaz) koristi sistem trojanaca, rezidentnih virusa koji se prikače uz neki program, da bi se pokretanjem programa instalirali. Ovo je vrlo važno, jer to u praksi znači da samo vi sami možete instalirati Back Orifice ako skinete i pokrenete neki program iz relativno sumnjivih izvora. Treba napomenuti da samim čitanjem e-mail poruke ne možete zaraziti računar, ali treba obratiti pažnju na izvršne fajlove prikačene uz poruku.

Virus poput ovoga moguć je zbog mrežne orijentacije WIN95/98, gde se postavlja kao sistem administrator, tj. osoba sa najširim mogućim ovlašćenjima. Poseban problem kod ovakvog načina infiltracije jeste što korisnik ne primećuje nikakvu promenu na svojoj mašini. Back Orifice (BO u daljem tekstu) je mali i rezidentan, a praktično ne zauzima nikakve resurse, tako da ga je gotovo nemoguće detektovati. Pored toga, posle instalcije BO automatski briše fajl iz kog se instalirao, tako da ne ostavlja nikakve tragove za sobom.

Već vas hvata panika? Iz cele ove priče shvatate da je Internet najmanje kriv, zar ne? Nažalost, Mreža se koristi na najperfidniji mogući način, jer će baš preko nje upad i doći. U suštini, Internet je jedna ogromna mreža povezanih kompjutera koji razmenjuju informacije. Ukoliko haker sazna IP broj zaraženog računara, bez problema će mu pristupiti i uzeti ili pogledati šta mu treba.

Zapanjujuće je koliku kontrolu BO daje provalniku. Ta osoba može da pokrene ili ugasi aplikaciju, restartuje računar, ugasi ga, kopira, obriše ili promeni podatke na disku, u stvari bukvalno sve akcije koje može izvesti normalan korisnik. Jedan od problema je i taj što se BO ne vidi u listi aktivnih aplikacija (ctrl-alt-del).

BO je dizajniran modularno i dopušta kreiranje pomoćnih aplikacija, tzv. plug-inova, koji olakšavaju neke akcije. Trenutno su aktuelni razni pakeri (maskiraju instalacioni fajl ili ga kače na instalcioni fajl nekog drugog programa) i dodaci koji automatski pošalju IP broj mašine na kojoj su instalirani. Back Orifice šalje podatke preko UDP porta (obično 31337, ali ne i obavezno) udaljenom korisniku. Ali ukoliko se nalazite iza firewalla onda ste prilično sigurni, jer je hakeru tada ekstremno teško da kontroliše BO.

Jedini način da instalirate sami sebi BO je da pokrenete neku instalaciju koja je zaražena ovim virusom. Back Orifice mora da bude aktiviran svaki put kada upalite kompjuter, te zato pri instalaciji upisuje određene podatke u registry Windowsa i to u polje

HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ RunServices. Takođe program kopira sebe u direktorijum Windows\system, a ime programa se obično završava ekstenzijom *.exe, mada korisnik (haker) može da konfiguriše i promeni te parametre. Ukoliko posumnjate da imate nezvanog gosta, startujte program regedit, potražite dati niz, pogledajte ime programa. Ukoliko nađete program dužine 120 KB (124 928 bajta) ili za 30 bajtova veći ili manji postoji velika verovatnoća da ste inficirani. Pogledajte c:\windows\system i ako nađete taj program u direktorijumu, ukebali ste nezvanog gosta. Najlakši način da ga se otarasite jeste da obrišete i EXE fajl i njegov upis u Windows registry. Čačkanje po registry bazi može biti opasno po vaš operativni sistem i zato savetujemo da prvo sačuvate vaš registry u slučaju neke „nezgode”.

Šta kažu „veliki”

Nekoliko nedelja po izlasku programa, ubrzo pošto je njegov potencijal počeo da se iskazuje u punoj meri, antivirus kompanije su izbacile „zakrpe” koje su omogućavale virus-skenerima da prepoznaju BO, ukoliko se nalazi na vašoj mašini. Trenutno Norton (www.symantec.com/avcenter/download.html) i Tunderbyte (www.tynderbyte.nl) nude najnovije verzije svojih virus-skenera koji garantovano pronalaze Back Orifice na vašem računaru. Ukoliko mislite da je ovaj tekst prazno naklapanje (ili fin način da se zarade pare), pogledajte Symantecovu analizu na www.symantec.com/avcenter/warn/backorifice.html.

Pored ovih, prisutan je i jedan freeware program (ukoliko se koristi na jednom računaru) koji nudi detekciju i deinstaliranje BO-a. Mesto na kojem možete dobiti podrobnije informacije o programu ili skinuti najnoviju verziju je www.spiritone.com/~cbenson/current_projects/backorifice/backorifice.htm. Namerno navodimo samo ova tri linka jer se ispostavilo da su mnogi takozvani lekovi u stvari prikriveni otrovi: mnogi programi koji garantuju skidanje BO-a s vašeg računara u stvari su samo maskirani Back Orifice! Ukoliko ste zaintersovani za podrobnije objašnjenje o ovom fenomenu, morate posetiti www.nwi.net/~pchelp/bo/bo.html. Temeljno organizovana strana, sa linkovima ka relevantnim stranicama, a opet, objašnjenja će biti jasna i običnim korisnicima. Za one tehnički potkovanije predlažemo www.iss.net/xforce/alerts/advise5.html ili www.iss.net/xforce/alerts/advise8.html.

Sa’će komšija da vidi koga je on...

Svesni smo da će neki od vas posle čitanja ovoga teksta poželeti da i sami startuju BO i da naprave neslanu šalu na račun nekog drugog. Takve upozoravamo da većina instalacija koja kruži po Mreži ima u sebi skrivenu instalaciju trojanca. Zato dobro razmislite kada budete instalirali Back Orifice da biste „prešli” nekog drugog – mogla bi šala ispasti na vaš račun.

Aleksandar AŠKOVIĆ