"Крошечная израильская компания Mirabilis взяла Интернет штурмом", - писала в феврале 1998 года San Francisco Chronicle. Их программа ICQ в первый же год набрала 7,5 млн подписчиков, а спустя немногим более пяти лет их стало 100 млн. Простота, доступность и открытость ICQ позволили ей невероятно быстро обрасти несметным множеством дополнений и усовершенствований, привлекающих внимание миллионов новых поклонников по всему миру. Невероятным и был успех создателей ICQ, четырех двадцатилетних парней, подаривших людям новый способ находить друзей и общаться, преодолевая расстояния и границы, и сказочно на этом разбогатевших.
Это - история ICQ со слов Джима Даттона, очевидца событий, работавшего над схожим проектом в другой компании, Activerse, проигравшей ICQ. И это часть истории мира современных технологий. Мира, где есть место энтузиазму и бескорыстию, жажде наживы и шпионажу, интригам и большой удаче, схватить которую - мечта многих и удел, увы, единиц.
Activerse не знала тогда, но скоро выяснила, что другая группа программистов носилась с подобной идеей уже несколько месяцев. Это были Арик Варди, Яйр Голдфингер, Сефи Вигисер и Амнон Амир - старшеклассники из Тель-Авива, которые создали компанию Mirabilis и еще в ноябре 1996 года выпустили небольшое приложение под названием ICQ (произносится как "I seek you" - "я тебя ищу"). И эта штуковина была лучше той, что сделала Activerse. А хуже всего было то, пишет Даттон, что эти мальчики раздавали свое программное обеспечение задаром и, кажется, вообще не собирались на нем хоть когда-нибудь зарабатывать. Число пользователей ICQ росло, и росло быстрее, чем у какого-либо другого софта в истории. К середине года в активе ICQ были миллионы человек, в основном подростков, многие из которых использовали ее каждый день. Activerse, впрочем, была счастлива уступить такой рынок мальчишкам из Mirabilis. Она решила сосредоточиться на платежах и корпоративных клиентах. Но вновь опоздала: ICQ-сервер для предприятий был выпущен Mirabilis уже в августе 1997 года.
Рынок IM быстро набирал обороты. В октябре в Activerse позвонили из Microsoft: ее представителей приглашали в Редмонт, чтобы они могли ознакомиться со стандартом протокола IM, разработанным в корпорации. Они съездили. По мнению Даттона, этот стандарт свидетельствовал лишь о том, что Microsoft пытается столкнуть с рельсов быстро набирающий скорость поезд Mirabilis.
1998 год. Как стать миллионером
Несмотря на дикую популярность и быстрый рост, в начале 1998 года ICQ обладала не самой большой базой пользователей. America Online, еще в 1997 году заметив феноменальный успех IM, переделала свою программу для мгновенного обмена сообщениями, AOL Instant Messenger (AIM), и интегрировала ее в Netscape Navigator. Поскольку каждый клиент AOL по определению был зарегистрированным пользователем AIM, у нее имелось порядка 10 млн пользователей. Однако скорость, с которой простенькая ICQ набирала новых подписчиков, AIM и не снилась. Было ясно, что по размеру и по лояльности аудитория ICQ скоро затмит "аоловскую". И это при том, что Mirabilis ни гроша не тратила на маркетинг и рекламу.
Было ясно и то, что другой гигант, Microsoft, проигрывает на этом быстро растущем рынке. Увлекшись битвой с Netscape за первенство на рынке интернет-браузеров, Microsoft пропускала то, что не лежало на поверхности, а именно - что миллионы людей, которых эти браузеры связывают с Сетью, оторваны друг от друга, раз не могут общаться напрямую. Microsoft решила исправить положение, поглотив выскочку Mirabilis.
Надо сказать, что Mirabilis к тому времени уже немного повзрослела. В ней было порядка ста служащих, главным образом в Тель-Авиве и в Нью-Йорке, где были установлены серверы, обслуживающие ICQ. Но по сути она оставалась группой тинейджеров, не имевших опыта в деловом мире. Миллионы клиентов не приносили им никаких доходов, у них не было плана, как начать зарабатывать, и они, вероятно, с легкостью согласились бы на предложение Microsoft, если бы не вмешался Йоси Варди, отец главы Mirabilis Арика Варди, жесткий и харизматичный, один из крупнейших израильских инвесторов. Йоси заявил, что Microsoft зря считает себя единственной компанией на земле, которая хочет иметь ICQ.
В июне 1998 года ICQ досталась-таки не Microsoft, а AOL. Гигантская корпорация выложила вчерашним школьникам, отцам-основателям ICQ, 287 млн долларов наличными, без всяких условностей типа опционов и варрантов.
Что касается Microsoft, то она прикупила небольшой стартап Flash Communications и немедленно объявила о своих планах выпустить MSN Messenger. Ну а у ICQ к концу этого года было больше подписчиков, чем даже у самой AOL. И она все еще лидировала на Download.com, крупнейшем в мире сайте, откуда пользователи Интернета могут загрузить понравившуюся им программу. ICQ загружали миллион раз в неделю.
1999 год. Битва титанов
Успех привлек к технологии IM внимание других телекоммуникационных монстров, опасавшихся остаться на обочине неожиданно появившегося и на глазах раздувавшегося рынка. Activerse в конце концов досталась бостонскому интернет-конгломерату CMGI, став одной из тридцати компаний, которые полностью или частично принадлежали ему, его филиалам и его фондам.
Новому владельцу удалось прикончить компанию в несколько приемов: Activerse объединили с тремя другими компаниями, образовав CMGI Solutions; потом CMGI купил Tribal Voice, работавшую в том же, что и Activerse, сегменте; затем придал все разработки в области IM-технологий своему новому филиалу; опять все переделал, объединив Tribal Voice с другой компанией. В общем, пишет Даттон, "у CMGI было больше желудков, чем у коровы, и они переварили нас в каждом из них".
Тем временем Microsoft наконец выпустила MSN Messenger, который, кстати, никак не учитывал тот старый, разработанный ими же самими стандарт. И AOL вступила в отчаянную борьбу за сохранение своего лидерства на рынке IM. Первый MSN Messenger обладал приятной возможностью - его пользователи могли свободно обмениваться сообщениями с клиентами AIM. Но AOL немедленно перестроила свои серверы так, чтобы это прекратить. Microsoft выпустила "заплатку", устраняющую эту проблему. И еще несколько недель два гиганта, к восхищению журналистов, лупили друг друга, не давая покоя своим пользователям. Наконец Microsoft отступила. Новая версия ее MSN Messenger, выпущенная в ноябре 1999 года, больше не пыталась установить связь с AIM. Но AOL продолжает отбиваться от других компаний, включая AT & T, Tribal Voice, Odigo и Trillian, которые все еще предпринимают попытки объединить Сеть. Очевидно, она ценит внимание только своих клиентов, хотя до сих пор так и не придумала, как превращать его в деньги, ехидничает Даттон.
На этом легенда "аськи" в его изложении заканчивается. Но жизнь продолжается. Microsoft сейчас пытается обойти AOL с другой стороны, используя метод, который позволил ей выбить Netscape в войне за рынок браузеров: она интегрировала MSN Messenger в свою новую операционную систему Windows XP и отлично расширила функциональные возможности самой программы, включив, например, возможность проводить интерактивные видеоконференции. AOL ответила тем, что предложила клиентам ICQ возможность посылать сообщения на мобильные телефоны. Microsoft парировала контрактом с Vodafone: пользователи мобильных телефонов могут не только получать сообщения, но и отвечать пользователям Messenger, а также читать свою электронную почту на серверах Hotmail, принадлежащей Microsoft. Кстати, в России, где "аська" является самым популярным IM-клиентом, это тоже работает - используя разработки компании "Новософт", "Мобильные телесистемы" начали в Новосибирске коммерческую эксплуатацию сервиса, позволяющего абонентам GSM-сети пользоваться ICQ с мобильного телефона.
Следующий ход за AOL. К 2005 году, как ожидается, порядка 500 млн клиентов IM будут посылать друг другу более 3 млрд сообщений в день. За то, чтобы дирижировать этим мощным хором, стоит побороться, не так ли?
3 февраля 2006 в протокол обмена сообщениями интернет-пейджера ICQ были внесены изменения, в результате чего пользователи альтернативных клиентов перестали получать и отправлять сообщения.
Изменения коснулись протокола OSCAR, используемого AOL как в ICQ, так и в AIM, что парализовало работу таких популярных программ как Miranda, QIP и некоторых других. Клиент ICQ полностью бесплатен для пользователей, однако приносит неплохую прибыль AOL за счёт размещения рекламы
В результате чего пользователи всех 'неофициальных' клиентов на какоето время остались без связи. Но проблема была быстро решена. Были выпушены соответствуюшие обновления.
В октябре этого года стали регитсрироватся номера начинаюшиеся на 4- что означает что количество номеров на 3- близко к окончанию.
Общая информация о сети ICQ
ICQ - это популярная система обмена сообщениями. В отличие от традиционного сервиса Интернет - электронной почты (email) - сообщения в сети ICQ передаются мгновенно.
Каждому пользователю сети ICQ присваивается личный номер ICQ - ICQ UIN - уникальный идентификационный номер.
Название сети - ICQ - происходит от английской фразы "I seek you" - "Я ищу тебя". Читается "ай-сик-ю". Пользователи часто используют также названия "аська", "асечка" и т.п.
Чтобы начать пользоваться ICQ, необходимо:
выбрать подходящий для себя ICQ клиент
скачать программу ICQ клиента
установить ICQ клиент
зарегистрировать номер ICQ
ввести детали в ICQ UIN
добавить номера друзей в свой контакт лист
написать первое сообщение одному из друзей 
В следующих разделах сайта мы рассмотрим каждый из этих шагов более подробно.
Детали пользователя в ICQ
Мы только что зарегистрировали новый номер ICQ. Теперь нужно заполнить детали номера - сообщить некоторую информацию о себе, которую смогут видеть другие пользователи ICQ.
Дело это абсолютно добровольное и вписать в детали номера Вы можете всё, что душе угодно
Итак, в окне входа QIP вводим свой номер ICQ и пароль от номера, которые мы получили при регистрации. Нажимаем "Пoдключитьcя".
Мы подключаемся к сети ICQ. Как часто говорят "выходим в онлайн". Т.к. это наш первый вход в сеть ICQ, QIP сообщает нам, что наш серверный список контаков пуст.
Списком контактов мы займёмся в следующем разделе, а сейчас нам нужно ввести свои детали в номер ICQ. Немного "расширяем" окно контакт листа: отодвигаем правый край окна, чтобы увидеть дополнительные кнопки вверху:
Нас интересует самая правая кнопка с английской буквой "i" - кнопка для просмотра и изменения деталей номера ICQ.
Появляется окно данных пользователя номера ICQ:
Слева мы видим основные разделы информации, которую мы можем указать в номере ICQ.
Например, в разделе "Инфо" можно указать свой Ник, Имя и Фамилию. Здесь же располагается очень важное поле деталей номера ICQ - Основной email, который играет очень важную роль в безопасности номера ICQ.
Этот е-мейл также называется примари е-мейлом - Вы сможете его использовать, чтобы вернуть номер в случае, если забудете пароль от номера ICQ или ещё хуже если номер у Вас украдут!
Настоятельно рекомендуем указать в этом поле свой е-мейл. На е-мейле у Вас стоят сложный пароль и сложный секретный ответ, ведь да?
Важно отметить, что какой е-мейл Вы впишите первым в детали номера - такой и станет примари е-мейлом для Вашего номера ICQ. Остальные детали номера Вы сможете менять сколько угодно раз.
Другие разделы в окне деталей номера ICQ Вы можете заполнить на своё усмотрение и фантазию. Все детали (кроме е-мейла) будут видны другим пользователям ICQ. По деталям Вашего номера ICQ у них сложится первое впечатление о Вас.
Какие ICQ клиенты бывают?
В системе ICQ есть один сервер (физически это группа серверов), к которому подключаются ICQ клиенты.
ICQ клиент - это программа, которая общается с сервером ICQ через специальный протокол сети ICQ.
ICQ клиенты бывают:
официальные - выпущенные и поддерживаемые самой компанией ICQ
неофициальные - созданные различными энтузиастами, изучившими протокол ICQ
Официальный ICQ клиент имеет два варианта:
оригинальная английская версия с ICQ.com - версия непосредственно от компании ICQ
локализованная версия - созданная в сотрудничестве компании ICQ и компании в Вашей стране (Россия - icq.rambler.ru, Украина - icq.bigmir.net)
Официальные клиенты создаются людьми, работающими в больших компаниях, поэтому, очевидно, что в них вложено гораздо больше сил, нежели в неофициальные, которые создаются любителями в свободное от основной работы время.
Официальные клиенты - достаточно крупные программы, с множеством функций. Неофициальные - более лёгкие программы, заточенные, как правило, под обмен текстовыми сообщениями и файлами между пользователями.
Официальные клиенты ICQ обычно используют начинающие пользователи, но потом они пробуют различные неофициальные клиенты ICQ и часто переходят на них.
Наиболее популярные неофициальные ICQ клиенты:
QIP (выбор редакции - качественный клиент, который создаётся одним человеком.
Miranda - клиент с открытым исходным кодом, создаётся группой разработчиков. У клиента существует множество плагинов (расширений), благодаря которым можно "собрать" именно то, что нужно.
&RQ - изначально это был клиентом с открытым исходным кодом. Создатель проекта перестал его развивать и теперь существует несколько параллельных версий - продолжений оригинальной разработки.
Также существуют различные клиенты для использования на сотовых телефонах и карманных компьютерах. Их лучше изучить отдельно, когда Вы уже почувствуете себя опытным пользователем ICQ.
Тяжело порекомендовать какой-либо определённый ICQ клиент. Вы должны сами попробовать каждый из них. Определить, что именно Вам нужно от программы ICQ, что для Вас удобно, а что нет. Что необходимо, а что бесполезно и т.д.
Начать знакомство с ICQ мы рекомендуем с клиента QIP. Все примеры и скриншоты (картинки) на сайте будут именно для этой программы.
Какие бывают номера ICQ?
В ICQ каждый пользователь имеет свой личный номер ICQ - ICQ UIN - уникальный идентификационный номер.
При регистрации в сети ICQ даются случайные номера, состоящие на данный момент из девяти цифр.
Но в первые годы существования ICQ пользователям выдавали более "короткие" номера ICQ: шестизнаки и семизнаки. Называются они так потому что состоят соответственно из шести и семи цифр. Это было примерно в 1997-ом году, что по меркам Интернета - каменный век ;).
Потом пользователям выдавали восьмизначные номера ICQ, ну а сейчас дают девятизначные.
Проблема удобства запоминания, написания и произношения "длинного" девятизначного номера для многих пользователей достаточно серьёзна и они ищут пути как получить более "короткий" и красивый номер ICQ.
Спрос рождает предложение, и нашлись люди, готовые предложить пользователям "короткие" номера ICQ.
Но количество желающих получить красивый номер ICQ многократно превышает доступное количество этих самых красивых номеров. Поэтому логичным решением стала продажа номеров ICQ.
В поисковых системах нетрудно найти сайты, где можно купить номер ICQ, но можно легко попасть на сайты мошенников, где после оплаты Вы ничего не получите - т.е. Вас попросту обманут.
Мы рекомендуем обратится сразу в Онлайн магазин ICQ номеров Brute.Ru.
Кстати, на Brute.Ru есть даже пятизнаки - очень редкие и дорогие номерки.
Ещё на этом сайте есть уникальная возможность - купить красивый номер ICQ через SMS. Такого нет ни у кого вообще, даже у мошенников т.к. для организации SMS-оплаты на сайте требуются определённые вложения, что лишний раз доказывает высокий статус сайта.
Покупать "короткий" и красивый номер ICQ или использовать бесплатный UIN, полученный при регистрации - решать Вам и только Вам. Мы никого ни к чему не призываем. Колхоз - дело добровольное ;).
Как вписать примари е-мейл в детали номера ICQ?
Примари е-мейл (primary e-mail - первичный е-мейл) - это первый е-мейл, вписанный в детали номера.
Примари е-мейл нужен для того, чтобы вернуть пароль от номера в случае утери (кражи номера).
Все номерки в Онлайн магазине ICQ номеров Brute.Ru - невидимки. Номер-невидимка - это пустой номер, без деталей. Первый вписанный в детали номера-невидимки е-мейл - становится примари е-мейлом.
Необходимо отметить, что указав свой е-мейл в качестве примари к номеру, кроме строго соблюдения правил ICQ-безопасности, необходимо также следить за безопасностью примари е-мейла. Как минимум:
1. использовать сложный пароль и
2. сложный секретный ответ,
3. не запоминать пароль в е-мейл клиенте,
4. не проверять почту через веб-интерфейс (особенно если это mail.ru).
Можно вообще не вписывать примари е-мейл в номер ICQ - он будет работать нормально. Поэтому, если Вы уверены, что никогда не потеряете пароль от номера - можете не указывать свой примари е-мейл.
Рассмотрим, как устанавливается примари е-мейл на номере, купленном в ICQ магазине Brute.Ru. Используем, как обычно, популярный ICQ клиент QIP.
Запускаем программу, вводим номер ICQ и пароль:
Не забываем, что галочку "Сохранить пароль" ставить строжайше запрещено правилами ICQ-безопасности.
Нажимаем "Подключится".
В нижней части окна контакт листа нажимаем кнопку со значком QIP - вызываем "Главное меню"
В появившемся Главном меню выбираем пункт "Показать/изменить свои данные":
В окне деталей номера ICQ переходим на закладку "Инфо":
Здесь мы внимательно вписываем свой е-мейл в поле "Основной email" и нажимаем кнопку "Сохранить":
Галочку "Не публиковать для всех, использовать при потере пароля" можно не ставить. Ваш е-мейл в любом случае не будет виден для других номеров ICQ.
После того, как Вы вписали свой е-мейл в детали номера, Вы можете проверить, что на него уходит код для установки вопросов-ответов в системе восстановления ICQ: www.icq.com/password.
Рекомендуем ознакомиться с описанием системы восстановления паролей ICQ на нашем сайте - в разделе Служба ретрива ICQ.
Поздравляем! Теперь Ваш номер ICQ имеет примари е-мейл.
«Мгновенные» угрозы
IM-клиенты
IM-угрозы
Угрозы в ICQ
Кража паролей
Распространение вредоносных программ
Спам в ICQ
Сценарий атаки
Методы противодействия злоумышленникам в IM
Заключение
Программы для мгновенного обмена сообщениями весьма привлекательны для различного рода злоумышленников. Знание потенциальных угроз, распространяемых через IM-клиенты, и способов защиты от них поможет пользователям избежать многих неприятностей при общении в Сети.
IM-клиенты
В наши дни виртуальное общение в Сети стало для многих неотъемлемой частью повседневной жизни. Существует множество способов связи, каждому из которых отведено определенное место в сетевом пространстве – электронная почта, чаты, различные форумы, комментарии в блогах и т.д. Среди пользователей также популярны системы мгновенного обмена сообщениями (англ. instant messengers, или IM), которые позволяют общаться с человеком, находящимся в любой точке мира, в режиме реального времени.
Чтобы общаться с помощью IM, пользователю достаточно иметь доступ в Интернет и установленную на компьютере программу (клиент) для мгновенного обмена сообщениями. Подобных программ очень много, и основные функции IM – собственно обмен сообщениями, поиск собеседников по интересам, просмотр персональной информации владельца аккаунта, различные режимы, в которых пользователь может находиться в Сети и т.д. – реализованы практически во всех IM-клиентах. Помимо этого, некоторые IM-клиенты (или, как их еще называют, интернет-пейджеры) могут иметь набор дополнительных функций.
В России самым популярным IM-клиентом, без сомнения, является ICQ. Название ICQ созвучно английской фразе «I seek you», что означает «я ищу тебя». У каждого пользователя ICQ есть уникальный номер, или UIN (unique identical number), с помощью которого он авторизуется на сервере. Каждый уникальный номер защищен паролем, который устанавливает пользователь. Сообщения передаются по протоколу TCP/IP с использованием специального формата, разработанного компанией Mirabilis. Как правило, одно сообщение умещается в одном TCP-пакете. Некоторые другие клиенты – например, QIP (Quiet Internet Pager) или Miranda – пересылают сообщения, используя различные версии этого же протокола.
Еще одна программа – ее предпочитают многие западные пользователи – MSN Messenger (или Windows Live Messenger), стандартный IM-клиент, разработанный компанией Microsoft. MSN Messenger использует Microsoft Notification Protocol (иногда его также называют Mobile Status Notification Protocol – протокол для мобильного оповещения). Протокол MSNP2 является полностью открытым, однако код остальных его версий на данный момент закрыт. В последней версии MSN Messenger используется версия MSNP16.
В Китае имеется аналог ICQ, который называется QQ. Его популярность в данном регионе очень высока.
В программе Skype помимо функции интернет-пейджера реализована возможность голосового общения. Этот клиент, получивший широкое распространение во всем мире, позволяет пользователям бесплатно обмениваться голосовыми сообщениями. Для этого каждому собеседнику необходимо иметь гарнитуру с микрофоном и компьютер с доступом в Интернет и установленным клиентом. Skype также позволяет звонить на телефонные номера, но такая услуга стоит денег.
IM-Угрозы
К сожалению, виртуальный мир в целом и система мгновенного обмена сообщениями в частности доступны для злоумышленников. Чаще всего в IM осуществляются следующие виды незаконной деятельности:
Кража паролей к аккаунтам IM-клиентов путем перебора паролей (брутфорса) или выманивание их у пользователей с помощью методов социальной инженерии.
Распространение вредоносных программ.
Рассылка сообщений со ссылками, при активации которых на компьютер пользователя пытается загрузиться вредоносная программа. Используя методы социальной инженерии, злоумышленник провоцирует пользователя открыть загружаемый файл, т.е. запустить вредоносную программу.
Рассылка сообщений со ссылками на зараженные веб-страницы.
Спам-рассылки.
Все программы для мгновенного обмена сообщениями подвержены различного рода угрозам. Возьмем, к примеру, популярный в Китае IM-клиент QQ. Широко распространенные в данном регионе Trojan-PSW.Win32.QQPass и Worm.Win32.QQPass специально созданы для воровства паролей к QQ-клиенту. WormWin32.QQPass размножается, копируя себя на сменные носители вместе с файлом autorun.inf, обеспечивающим автозапуск червя на неинфицированном компьютере (в том случае, если функция автозапуска на последнем не отключена).
Вирусописатели не обошли стороной и Skype. Worm.Win32.Skipi распространяется через Skype-клиент, рассылая по контакт-листу пользователя зараженной машины ссылку на свой исполняемый файл. Помимо этого, червь копирует себя на сменные носители вместе с файлом autorun.inf, правит файл hosts, делая невозможным обновление антивирусных продуктов и Windows, а также пытается завершить работу защитных программ в системе. Не обошлось и без троянца, ворующего пароли к Skype. «Лабораторией Касперского» он детектируется как Trojan-PSW.Win32.Skyper.
MSN Messenger, разработанный компанией Microsoft, активно используется злоумышленниками для распространения различных IRC-ботов. Многие из них способны размножаться через этот клиент по команде, полученной из центра управления бэкдором. Происходит это следующим образом. Предположим, у злоумышленника есть небольшой ботнет, который он хочет расширить. Для этого через центр управления всем бэкдорам посылается команда разослать по адресам из контакт-листов MSN Messenger’а зараженных пользователей сообщения со ссылкой следующего вида: http://www.***.com/www.funnypics.com. Дальнейшее зависит от действий пользователя, получившего данную ссылку. Если он решит взглянуть на «забавные картинки», то в зомби-сети станет одним компьютером больше: при клике на ссылку на компьютер пользователя загружается бэкдор.
Интернет-мошенники используют MSN Messenger потому, что этот клиент входит в установочный пакет Windows, а значит, по умолчанию он есть у всех пользователей данной ОС. Популярность MSN за рубежом делает данный IM-клиент весьма привлекательным для злоумышленников, желающих увеличить число зараженных компьютеров в своих зомби-сетях.
Угрозы в ICQ
На примере ICQ мы рассмотрим наиболее распространенные способы атак, которые злоумышленники могут предпринимать и в отношении пользователей других IM-клиентов.
Кража паролей
Как уже было сказано, у каждого пользователя ICQ есть свой уникальный идентификационный номер, или UIN. В настоящее время наиболее распространены девятизначные номера, однако многие пользователи хотят, чтобы их UIN совпадал с номером мобильного телефона, был симметричным или содержал одинаковые цифры. Такие UIN’ы удобны для запоминания, а для кого-то подобный номер – вопрос престижа. Особенно ценятся так называемые «красивые» ICQ-номера – пяти-, шести- или семизначные UIN’ы, содержащие, например, только две цифры.
«Красивые» номера продаются, и их цена, как правило, достаточно высока. На многих сайтах существует услуга «заказ номера»: за установленную плату владельцы сайта обещают с некоторой долей вероятности «достать» приглянувшийся заказчику UIN. Кроме того, покупателям предлагают оптовые партии ничем не примечательных девятизначных номеров, которые представляют интерес для любителей массовых рассылок. Использование большого количества номеров при проведении спам-рассылок позволяет спамерам обойти «черные списки», куда разгневанные пользователи заносят номера, с которых приходят спам-сообщения.
Продавцы «престижных» номеров редко рассказывают о методах их получения. В электронных магазинах покупателей уверяют, что «красивые» UIN’ы продаются на законных основаниях. Но на самом деле в большинстве случаев такие ICQ-номера добываются нелегальным путем.
Для кражи UIN’ов злоумышленники используют несколько способов. Многочисленные интернет-магазины, торгующие «красивыми» номерами, зачастую занимаются «промышленным» перебором паролей и кражей аккаунтов. Еще один способ – подбор пароля к primary email и изменение исходного пароля к UIN’у пользователя без ведома последнего. Рассмотрим этот способ подробнее.
Если пользователь забыл пароль к своему UIN’у, служба поддержки ICQ предлагает определенную схему его восстановления. Она неоднократно усложнялась, дорабатывалась и в настоящее время представляет собой систему, более или менее надежно защищающую пароль от кражи. Пользователю предлагается ввести ответы на установленные им самим вопросы. Если же он забыл ответы, то вопросы можно сменить при помощи primary email – почтового адреса, введенного в контактную информацию при регистрации. Схема достаточно надежна, но если злоумышленник каким-либо образом получил доступ к primary email, то UIN, можно сказать, у него в кармане. Подобрав пароль к primary email, можно связаться со службой поддержки ICQ и от имени владельца аккаунта попросить выслать новый пароль, поскольку старый якобы забыт. После получения нового пароля злоумышленник может лишить владельца доступа и к ICQ, и к primary email, сменив старые пароли. Следует отметить, что такой способ кражи достаточно непрост: для перебора паролей к почтовому ящику, с которым связан номер ICQ, необходим мощный компьютер или даже сеть.
Однако наиболее популярна кража ICQ-номеров при помощи различных вредоносных программ, среди которых лидирует Trojan-PSW.Win32.LdPinch. Данное семейство угрожает пользователям на протяжении последних нескольких лет. LdPinch ворует пароли не только к ICQ и другим IM-клиентам (например, Miranda), но также к почтовым клиентам, различным FTP-программам, онлайн-играм и т.д. Существуют специальные программы-конструкторы для создания необходимого злоумышленнику троянца – они позволяют задавать параметры установки вредоносного ПО на зараженный компьютер, определять, какие именно пароли вредоносная программа будет воровать у пользователя, и т.д. После конфигурирования преступнику остается лишь указать электронный адрес, на который будет отправляться конфиденциальная информация. Именно простота создания таких вредоносных программ приводит к тому, что они часто встречаются не только в почтовом, но и в IM-трафике.
Распространение вредоносных программ
Если в почтовом трафике вредоносные программы, распространяющиеся самопроизвольно или благодаря спаму, являются представителями самых разных семейств, то через ICQ распространяются в основном три группы подобных программ:
IM-черви – вредоносные программы, использующие клиент как плацдарм для саморазмножения.
Троянские программы, нацеленные на воровство паролей, в том числе и к номерам ICQ (в подавляющем большинстве случаев это Trojan-PSW.Win32.LdPinch).
Вредоносные программы, классифицируемые «Лабораторией Касперского» как Hoax.Win32.*.* (сюда относится вредоносное ПО, предназначенное для получения от пользователя денежных средств обманным путем).
Каким же образом распространяются вредоносные программы через ICQ?
Распространение IM-червей происходит без участия (или почти без участия) пользователя. Многие IM-черви после попадания на компьютер пользователя распространяют ссылку на себя по номерам, содержащимся в контакт-листе IM-клиента зараженной машины. Функционал IM-червей достаточно разнообразен: это и упомянутое выше воровство паролей, и создание ботнетов, а иногда – обычная деструктивная деятельность (например, удаление всех файлов формата .mp3 на компьютере пользователя). Через ICQ активно распространялись такие зловреды, как Email-Worm.Win32.Warezov и Email-Worm.Win32.Zhelatin (Storm Worm).
Однако в большинстве случаев для успешного проведения атаки злоумышленникам необходимо участие пользователя. Тем или иным способом они пытаются спровоцировать потенциальную жертву перейти по ссылке, размещенной в полученном сообщении, а если по ссылке загружается вредоносная программа – открыть загружаемый файл. Для достижения желаемого результата мошенники часто применяют методы социальной инженерии.
Вот пример атаки, конечной целью которой является загрузка на компьютер жертвы вредоносного ПО. Для начала злоумышленник регистрирует некоторое количество пользователей с привлекательной для знакомства информацией (например, «симпатичная девушка 22 лет ищет парня»). Затем он «привязывает» к этим номерам боты (небольшие программы с примитивным интеллектом, способные поддержать простой разговор). В самом начале беседы заинтересованные пользователи обычно хотят увидеть фотографию «симпатичной девушки», для чего бот предлагает им перейти по ссылке. Стоит ли говорить, что по указанному адресу любопытного пользователя ожидает не фотография, а вредоносная программа?
Еще один вариант – внесение ссылки на вредоносную программу в личные данные «симпатичной девушки». Этот вариант атаки требует от злоумышленника дополнительных усилий: ему необходимо не только заполнить хотя бы несколько основных полей в личных данных и выбрать потенциальных жертв атаки, но и самому общаться с ними, пытаясь заинтересовать их «красивыми фотографиями с побережья Тихого океана», ссылка на которые размещена в личных данных «собеседницы».
Распространение вредоносных программ с помощью ICQ-спама также не обходится без методов социальной инженерии. При этом рассылается не сама вредоносная программа, а ссылка на зловреда.
Ссылки в спаме могут вести и на сайты (легальные, но взломанные, либо специально созданные злоумышленниками), страницы которых заражены кодом троянцев-даунлоадеров. В задачу даунлоадеров входит загрузка другого вредоносного ПО на компьютер жертвы. Ниже приведено более подробное описание такой атаки.
Для загрузки вредоносного ПО с помощью зловредного кода, внедренного на веб-сайт, чаще всего используются ошибки, или уязвимости, браузеров (в основном, Internet Explorer). Для начала злоумышленник атакует легальный и, как правило, достаточно популярный веб-сайт, на страницы которого он внедряет код (например, iframe или зашифрованный Java-script), устанавливающий вредоносную программу на компьютеры посетителей данного сайта. Другой вариант – на дешевом или бесплатном хостинге создается простой сайт с подобным загрузочным кодом. Затем производится массовая IM-рассылка с рекламой данной веб-страницы. Если пользователь переходит по предложенной ему ссылке, происходит незаметная загрузка вредоносного ПО на его компьютер. При этом пользователь может даже не подозревать о том, что сайт, на который он зашел, был атакован или является поддельным. А на его компьютере тем временем уже вовсю орудует LdPinch или IRCBot.
Программы для мгновенного обмена сообщениями также имеют уязвимости, которые могут быть использованы для атаки. С помощью уязвимости можно, например, вызвать переполнение буфера и исполнение произвольного кода в системе или получить доступ к удаленному компьютеру без ведома и согласия его владельца.
Если преступник встроит в код вредоносной программы, которая будет запускаться в системе после переполнения буфера, функцию самораспространения с использованием той же уязвимости на других машинах, то такая программа может в короткие сроки проникнуть на компьютеры значительной части пользователей, использующих уязвимое приложение, и вызвать настоящую эпидемию. Однако использование уязвимостей IM-клиентов для атаки требует от злоумышленников высокого уровня технической подготовки, что несколько ограничивает их возможности.
В последнее время при помощи ICQ-спама активно распространяются программы-обманки, якобы генерирующие пин-коды карт оплаты услуг связи различных мобильных операторов. Такие программы детектируются «Лабораторией Касперского» как not-virus.Hoax.Win32.GSMgen. На самом деле данное ПО неограниченное число раз генерирует случайную комбинацию цифр, которую и предлагается использовать в качестве пин-кода для пополнения телефонного счета. Программа выдает результаты в зашифрованном виде, а чтобы их расшифровать, нужно получить от автора ключ (разумеется, за него нужно заплатить). Сумма обычно небольшая – примерно 10-15 долларов, что служит дополнительным соблазном для пользователя. Он думает примерно так: «Заплачу один раз 300 рублей, а потом всю жизнь буду говорить по мобильному телефону бесплатно»! Поскольку полученный таким образом набор цифр не позволяет пополнить счет, в данном случае мы имеем дело с обыкновенным мошенничеством. (Отметим, что если бы данная программа действительно генерировала пин-коды карт оплаты услуг связи, то, во-первых, она стоила бы намного дороже, а во-вторых, создатели программы соблюдали бы строжайшую секретность, опасаясь привлечь к себе внимание операторов мобильной связи и спецслужб.)
Спам в ICQ
В отличие от email-спама, спам в ICQ на данный момент исследован недостаточно хорошо. Ниже приведены результаты небольшого исследования, которое было проведено нами в период с 23 февраля по 23 марта 2008 года. Мы исследовали тематику нежелательных сообщений, рассылаемых пользователям ICQ, а также провели сравнительный анализ спама в ICQ и спама, рассылаемого по электронной почте.
Популярные тематики в ICQ-спаме
Тематика спам-сообщений в ICQ весьма разнообразна: это может быть реклама нового сайта или игрового сервера, просьба проголосовать за кого-то в каком-нибудь конкурсе, предложение купить дорогой мобильный телефон по сниженной цене и т.д. Однако, перейдя по рекламной ссылке, можно попасть на сайт с эксплойтом, использующим уязвимости Internet Explorer или другого популярного браузера. Спам-сообщение также может содержать URL вредоносной программы (сообщения, содержащие вредоносные ссылки, в данном исследовании в отдельную категорию не выделялись).
Первое место в нашем рейтинге занимает реклама сайтов развлекательного содержания (18,47%). С высокой долей вероятности можно утверждать, что рассылки подобного рода будут и впредь занимать лидирующие позиции в спам-статистике ICQ, что объясняется высокой эффективностью подобного спама. Вот типичная ситуация: человек в течение длительного времени работает за компьютером, и тут ему по ICQ приходит сообщение об открытии нового сайта со множеством смешных картинок/историй/видео и т.п. Скорее всего, уставший пользователь захочет отвлечься от работы и перейдет по предложенной ссылке.