Gratis felle kunne stanset Code Red og Nimda

Hvis tusen nettsteder hadde samarbeidet om en ny felle mot Internett-ormer, hadde det vært nok til å stanse både Code Red og Nimda. Selve fellen, LaBrea, er gratis.

LaBrea er en liten Linux-applikasjon som distribueres gjennom nettstedet til Hackbusters. Stor interesse for verktøyet har ført til flere speilsteder, listet på Hackbusters, der du kan hente dokumentasjon og kildekode. Distribusjon skjer under GNU-lisens.

LaBrea overvåker hvordan den lokale ruteren fordeler henvendelser videre til lokale servere. Dersom en henvendelse ikke finner fram til den IP-adressen den ber om - et godt tegn på at en systematisk portskan er på gang - følger LaBrea med i den videre utvikling. Gjentar dette seg med korte mellomrom, oppretter LaBrea en virtuell maskin med den IP-adressen som henvendelsen utenfra søker etter. Deretter sørger det for tilstrekkelig trafikk til at forbindelsen opprettholdes.

Ormen er fanget, og den angripende maskinen får ikke frigitt tråden for å skanne andre IP-adresser. Responsene som LaBrea gir, er laget med tanke på å hindre skannere fra å oppdage at de kommuniserer med en felle i stedet for et potensielt offer. Om den angripende maskinen også er offer for en orm, gjør ikke LaBrea ytterligere skade på den, siden det teknisk sett er helt likegyldig om tråden holdes fanget av en LaBrea-kontrollert virtuell maskin, eller fortsetter å skanne etter nye IP-adresser. Etisk sett er det en fordel for slike å fanges av LaBrea, siden de da ikke kan gå videre og skade andre.

Tom Liston, mannen bak LaBrea, mener verktøyet gir et godt inntrykk av hva slags angrep brukeren er utsatt for. Det utfyller rapporter fra klassiske snokvarslere, og gir et bedre grunnlag for å vurdere omfanget av et angrep. LaBreas virtuelle maskiner har for eksempel alle porter åpne, og reagerer på virksomhet som strenge regelbaserte overvåkningssystemer kanskje går glipp av, mener Liston. Han legger til at når du har fanget en orm, gjør du en god gjerning ved å varsle det kompromitterte systemet om hva det driver med.

Liston har en visjon om at dersom tilstrekkelig mange på Internett samarbeider om å bruke LaBrea, kan det føre gi et effektivt vern mot portskannende ormer. Han begrunner dette med følgende regnestykke: Labrea krever en båndbredde på 8 bits per sekund for å holde tre Code Red-tråder. På det meste var det 300.000 Code Red-infiserte maskiner.

Hvis hver av disse opprettholder 100 skannende tråder, kreves det en båndbredde på 80 millioner bits per sekund for å holde dem fanget. Hvis man fordeler dette på 1.000 nettsteder, kreves det bare 80.000 biter per sekund fra hvert. Har nettstedet en 1,5 megabit per sekund forbindelse, svarer bidraget i kampen mot Code Red til fem prosent av den samlede båndbredden.

Visjonen om et eget nettverk av klebrige ormfeller under LaBrea møter blandede reaksjoner. Entusiastene ser på det som en ny giv i kampen mot ormer, et varsel om at Internett-fellesskapet tyr til sine beste tradisjoner i kampen mot ondskapen. Skeptikere mener at når folk ikke gidder å beskytte seg selv gjennom å laste ned Microsofts sikkerhetsfikser, kan det ikke forventes at de vil laste ned og installere LaBrea av hensyn til fellesskapet.

Det er den gamle kjensgjerningen. Ondskapen utnytter svakheter i kulturen, og det kreves mer enn bare teknologi for å endre kulturen.

Liston håper at LaBrea også vil appellere til dem som er frustrert over at det er så vanskelig å ta igjen mot de som sprer Nimda, Code Red og tilsvarende ormer. I mai i år ble det sluppet en orm kalt "Cheese" hvis virkning var å lete opp skadegjørende ofre for ormen "1i0n" (også kjent som "Lion") og installere en opprenskende patch. "Cheese" ble rammet av en advarsel fra Computer Emergency Response Team, og av en opphetet diskusjon på Slashdot.org der det ble trukket fram marerittaktige visjoner om endeløse ormekriger, der "Cheese" jager "1i0n", "Mouse" jager "Cheese", "Cat" jager "Mouse" og så videre.

I mai i år fortalte Wired historien om "Max Vision", en hacker som gjorde noe tilsvarende, men som også brukte anledningen til å utstyre sin variant av "Cheese" med en bakdør slik at han kunne bryte seg inn hos ofrene etter eget forgodtbefinnende. Vision soner nå en straff på 18 måneders fengsel.

LaBrea kan gjøre det psykologisk lettere for stressede IT-folk å forholde seg til ormer, ved å gi dem en etisk forsvarlig mulighet å ta igjen.

Lurer du på sammenhengen mellom stedsnavnet LaBrea - i dag et område i Los Angeles - og Listons dataverktøy? Det har med fossiler fra siste Istid å gjøre - sjekk LaBrea-feltet og Tarpits.org.

Til toppen