Борьба со спамом с помощью системы Honeypot: Часть 1.

2.1 Системы honeypot и сборы электронных адресов.

Один из первых этапов деятельности спаммера – сбор электронных почтовых адресов. Мы рассмотрим способ сбора через web-страницы, который легче всего разгадать для тех, кто борется со спамом. Не говоря уже о том, что honeypot может одурачить спаммеров в процессе этого этапа, существует несколько эффективных методик, не отвечающих традиционным действиям систем honeypot. Суть в следующем: если спаммеры, просматривая web-сайты, наткнутся на странички, содержащие фальшивые адреса почтовых ящиков, они пополнят свои базы данных пустыми жертвами. Оптимисты скажут, что это не является honeypot-ом, так что назовем это добавлением ложки меда на вашу web-страницу.

В процессе автоматического сбора электронных адресов в Интернете, спаммеры иногда выдают себя программами, которыми для этого пользуются, если проверить поле User-Agent, отосланного их браузером. Некоторые пользователи решили блокировать соединения с особыми User-Agent полями, которые часто используют спаммеры, или же перенаправлять эти соединения на фальшивые web-страницы, наполненные миллионами фальшивых почтовых адресов. Беда в том, что очень легко изменить поле User-Agent. Тогда те же самые люди, борющиеся со спамом, решили создать ссылки на web-страницах, невидимые для человека (например белый текст на белом фоне), но видимых программам, используемых спаммерами, которые следуют по каждой ссылке html-файла. Страницы на таких ссылках будут регулярно создавать фальшивые почтовые адреса.

Хорошей мыслью станет создание баз фальшивых адресов. Существует хороший экземпляр свободно распространяемой программы, называющейся Wpoison. Этот cgi-скрипт добавленный к вашей web-странице, будет генерировать фальшивые электронные адреса, очень похожие на настоящие. Вы можете посмотреть демонстрацию на этом сайте.

Еще одним методом может стать создание фальшивых адресов, содержащих специфическую информацию. Например, зная день, в который спаммер послал сообщение, владелец может узнать ip-адрес, использованный спаммером.

<?
// PHP example taken from the frenchhoneynet Web site
// replace by your domain, add recipients filtering on your MTA (mimedefang...)
echo '<a href="mailto:'.$REMOTE_ADDR.'_'.date('y-m-j').'-spamming@frenchhoneynet.org" 
title="There is no spoon">For stupid spambots';
?>

Этот скрипт автоматически генерирует ссылку mailto:, содержащую фальшивый почтовый адрес с ip-адресом использованного web-клиента и датой. Например:

<a href=mailto:80.13.aa.bb_03-11-17-spamming@frenchhoneynet.org>...

Если web-клиент является известной спаммерской программой (спам-бот), она добавит 80.13.aa.bb_03-11-17-spamming@frenchhoneynet.org в базу потенциальных жертв. Теперь представим, что будет, если спаммер воспользуется этой базой. Скорее всего, он пошлет сообщение на этот почтовый адрес.

Затем администратор почтового сервера отфильтрует входящие сообщения, просмотрев, кому они предназначены. Если он увидит сообщение, направленное пользователю 80.13.aa.bb_03-11-17-spamming@frenchhoneynet.org, то ему станет сразу ясно, что 80.13.aa.bb – это ip-адрес, использованный 17 ноября 2003 года. Более того, известно, что этот адрес использовался для рассылки спама.

# Example of a simple recipient filtering with Mimedefang http://www.mimedefang.org/]
# Will filter incoming email containing a recipient address in the form
# of those created by the latter PHP example.
sub filter_recipient {
	my ($recipient, $sender, $ip, $hostname, $first, $helo) = @_;
	if($recipient =~ /^<.*-spamming@frenchhoneynet\.org>?$/i)
	{ return ("REJECT", "Spamming activity"); }
	return ("CONTINUE", "ok");
}

Несмотря на то, что эти методики кажутся интересными и действенными, они сработают только против “глупых” спам-ботов, обычно не использующихся опытными спаммерами. Более продвинутые спаммеры, скорее всего, будут пользоваться открытыми прокси-серверами, и фальшивые почтовые адреса, созданные скриптами для отображения ip-адреса спаммера, помогут лишь в поиске и блокировании этих прокси-серверов.

2.2 Системы honeypot и открытые прокси.

Одним из основных путей, которыми пользуются спаммеры для доступа к почтовому серверу, состоит в подключении через открытые прокси-серверы, принимающие и свободно отсылающие любые запросы. Такие прокси играют роль экранов, за которыми прячутся спаммеры.

Ну, разве так сложно установить фальшивый прокси-сервер в системе honeypot? Конечно, нет, и именно это мы сейчас рассмотрим.

Просматривая логи вашего брандмауэра, вы наверняка заметили попытки подключения к следующим портам TCP:

Множество бравых подростков, используя программы, которые не они создавали, и принцип работы которых они не понимают, сканируют сеть на наличие “интересных” сервисов. Многие из них делятся найденной информацией с общедоступными базами данных об открытых прокси-серверах (для примера введите в любом поисковике “список бесплатных прокси”). Соединяясь со слушающими TCP-портами и отправляя несколько пакетов, можно понять - открыт ли прокси или нет.

Что будет, если мы установим несколько honeypot-ов, которые будут положительно отвечать на входящие запросы? Мы сможем одурачить множество спаммеров.

Мой любимый honeypot, созданный Нильсом Провосом (Niels Provos), называется Honeyd. Для того чтобы создать фальшивый релейный сервер, симулирующий открытые прокси и открытый релейный сервис, вы можете воспользоваться следующим конфигурационным файлом:

	create relay 
set relay personality "OpenBSD 2.9-stable"
add relay tcp port 25 "sh /usr/local/share/honeyd/scripts/sendmail.sh $ipsrc $sport
$ipdst $dport"

add relay tcp port 3128 "sh /usr/local/share/honeyd/scripts/squid.sh $ipsrc $sport
 $ipdst $dport"

add relay tcp port 8080 "sh /usr/local/share/honeyd/scripts/proxy.sh $ipsrc $sport
 $ipdst $dport"

set relay default tcp action block
set relay default udp action block
bind 192.168.1.66 relay
	

Он попросит Honeyd симулировать компьютер с системой OpenBSD 2.9, с ip-адресом 192.168.1.66 и с тремя открытыми ТСР-портами: 25, 3128 и 8080. Для каждого входящего запроса на эти порты, Honeyd запустит соответствующее фальшивое приложение (sendmail.sh, squid.sh, proxy.sh). Если эти сервисы захотят посмотреть, что было послано спаммерами, им просто следует прочитать информацию из STDIN. Для того, чтобы ответить спаммерам, им следует написать нужную информацию в STDOUT (как в обычном Inetd процессе).

Чтобы одурачить удаленного злоумышленника, нам придется симулировать часть или весь процесс передачи данных.

В качестве интересного доказательства, мы рассмотрим Bubblegum Proxypot, очень действенную маленькую программу. Единственной целью этой программы является обман чересчур назойливых спаммеров, симулируя открытый прокси. В отличие от Honeyd, она не может симулировать ничего другого ( Honeyd может симулировать все что угодно); она не может менять поведение ip-стека и т.д. Несмотря на то, что это простейшая программа, с ее помощью мы быстро узнаем много интересного о спаммерах.

В зависимости от навыков спаммера, он может просто проверить открыт ли прокси, или же посмотреть - правильно ли он работает. Помните, что главная цель спаммера – заработать много денег. Они не могут позволить себе терять драгоценное время, рассылая тысячи сообщений впустую. На своих временных honeypot-ах я заметил оба типа поведения.

С помощью Proxypot, вы сможете выбрать один из трех способов одурачить спаммеров:

smtp1: соединение полностью фальшивое.

Плюс: не требуется исходящего SMTP-трафика, что сохранит производительность сети.

Минус: это может обмануть только новичков, и вам придется выбирать тип SMTP сервера для симуляции. Если спаммер соединяется с прокси и просит отправить его на Sendmail сервер, в то время как вы изображаете Qmail, он может заподозрить honeypot.

smtp2: соединение с настоящим почтовым сервером, чтение его 220 баннера и, может быть, выполнение HELP команды, чтобы узнать версию сервера, затем отключиться и использовать эту информацию в более правдоподобном обмане.

Плюс: если спаммер знает версию используемого сервера, он может поверить, что это истинный сервер.

Минус: это требует исходящего трафика. Вы должны быть уверены в версии сервера, чтобы не стать плацдармом настоящей спам-рассылки или хакерской атаки. Если SMTP-сервер принадлежит спаммеру, то он заметит, что сессия через прокси не соответствует той, что идет к SMTP-серверу.

smtp3: соединение с настоящим SMTP-сервером и пропустить все команды, кроме DATA и EXPN. Также ограничение RCPT и VRFY.

Плюс: это самая экстремальная симуляция и вряд ли можно достичь лучших результатов, потому что правильное использование команды DATA может реально доставить почту (чего вы хотите избежать).

Минус: как и все симуляторы, он может быть определен спаммером, а возможность поиска отпечатков (fingerprinting) остается.