A philosecurity interjút készített Matt Knox-szal, aki egy ideig a Direct Revenue szolgálatában AdWare-ek írásával kereste a kenyerét.  Az interjúban a technikai finomságok mellett olvashattok az adware ipart hajtó emberi tényezőkről, és az online reklámozás jövőjéről is. Jó szórakozást!

Szóval adware-t írtál te szemét!

[félénken] Igen, így van. A kódok felét Scheme-ben kellett megírnom, ami anzt jelenti, hogy valószínűleg én írtam a legtöbb Scheme rutint ezen a bolygón.

Álljunk meg egy szóra! Miért írtál adware-t?

Nagyon csúnyán le voltam égve egy időben. Elkezdtem dolgozni egy spam szűrő szoftveren, és a munkámra felfigyelt a Direct Revenue, akik megkértek, hogy elemezzem a terjesztési módszereiket. A hírdetéseiket futtató oldal egy ideig benne volt az Alexa top20-ban. Ez iszonyatos mértékű forgalmat jelent. Már 4-5 hónapja fogalalkoztattak, mikor megjelent egy vírus, ami lekapcsolta azokat a gépeket, amiken hírdetéseket futtattunk. Azt mondtam, hogy ismerem annyira a C-t, hogy leszedjem a vírust ezekrőla  gépekről. Erre azt mondták, hogy tyűha, ez tényleg jó volt, miért nem csinálod meg megint? Így nekiálltam más vírusokat is levadászni, mire rákérdeztek, hogy ha már a vírusokat ilyen jól le bírom zúzni, miért nem teszem meg ugyanezt a konkurenciával? 

Vicces volt, a dolog jól megmutata a fokozatosság hatalmát. Az embereket általában nehéz egy nagy ugrással rávenni, hogy valami rossz dolgot tegyenek, de ha felosztod a problémát kisebb részekre, az ember már szinte bármire hajlandó. 

Érzted, hogy ez már a pokol kapuja felé kanyargó út?

Ó persze, teljes mértékben [nevet]! Azt hiszem, ha összegezzük mindazt amit tettem, pozitívan jövök ki a dologból, már csak azért is, mert sokkal több adware-t leszedtem, mint amennyit installáltam.

Mi volt a Direct Revenue üzleti modellje?

Az volt a modell, hogy vettek valakitől egy képernyőkimélőt, vagy kifejlesztettek egyet maguknak. Ez valamilyen hülyeség volt, például egy ablakmosó srác, aki a képernyőt mossa. Azt mondták, hogy ha akarod ezt, installáltd az adware-ünket, és megkapod ingyen! Erre elképesztő mennyiségű ember hajlandó volt.

Gondolom azért ők nem adware-nek hívták a dolgot...

A jobb fajta terjesztők azt mondták, hogy ez egy "reklám által támogatott szoftver". A kevésbé jó terjesztők általában Windows exploitokon keresztül terjesztették a dolgaikat. Néhány adware disztribútor eladta a hozzáféréseket. A licenc feltételeikben, a felhasználók által elfogadandó EULA-ban benne volt, hogy "ezen kívül olyan szoftvert installálunk a gépedre, amilyet akarunk". Természetesen senki nem olvassa el az EULA-kat. Ha volt mondjuk 4 millió gépük, ami egy elég jó adware hálózatnak mondható, csak felkeresték a többi adware terjesztőt, és azt mondták, hogy 20 centtért gépenként az ő reklámaikat is megjelenítik. Abban az időben erre még nem volt törvényi szabályozás, az EULA-kat szerződésként fogadták el. Szóval valahogy így történt a terjesztés. 

Tehát a te céged nem exploitok segítségével jutott be a gépekre?

Nem. Néhány disztribútor persze így csinálta. Ha azonban rajtakaptunk valakit, hogy ilyen módszereket használt, azzal nem dolgoztunk együtt többet, és igyekeztünk eltávolítani a reklámjait a  gépekről.

Amivel problémám volt az a fennmaradást segítő munka volt. Ez nehezítette meg a versenytársak számára, hogy ledobjanak minket a gépekről. Egy civil számára pedig gyakorlatilag lehetetlen volt eltüntetni minket, hacsak nem csinálták végig az uninstallációs folyamatunkat.  Meg kell látogatnod egy weboldalt, letölteni az uninstallert, kitölteni egy kérdőívet azzal kacsolatban, hogy miért hagytál ott minket, majd egy Registry kulcs segítségével jeleztük, hogy ide nem szabad újratelepülnünk. Sajnos néhány rosszul informált antivírus szoftver ezt a kulcsot is leszedte, melynek hatására újrainstallálhattuk magunkat.

Tudnál mesélni a fennmaradási technikákról?

Persze. Először talán azzal kezdeném, hogy hogyan is működik egy adware. A legtöbb adware Internet Explorer felhasználókat céloz, mivel nyilvánvalóan ők teszik ki a piac legnagyobb részét. Ezen kívül ők a legkevésbé hozzáértő közönség is. Ha IE-t használsz, akkor vagy nem érdekelnek a böngésződ biztonsági problémái, vagy nem is tudsz róluk. [mindez persze változóban van - a ford.]

Az IE-nek van egy Browser Helper Object nevű mechanizmusa, ami lényegében egy adag futtatható kód, ami figyeli a webes kéréseket, mialatt azok futnak. Ez magában a böngésző folyamatában fut, és így bármit, amit a böngésző megtehet, megteheti ő is. A böngésző pedig alapvetően mindent megtehet. Vettünk egy BHO-t, ami kiszolgálja a hírdetéseket, és megcsináltuk, hogy csak akkor lehessen törölni, amikor a böngésző összes példányát bezártad. Ez már ad némi perzisztenciát.

Ha van egy installered is, egy kis futtatható állományod, csinálhatsz egy Registry kulcsot, és minden alkalommal, amikor a gép újraindul, az installer ellenőrizni fogja, hogy megvan-e még a BHO. Ha megvan az jó, ha nincs, akkor installálja. Ez mindaddig működik, amíg valaki le nem törli az állományt. 

A következő dolog amit a Direct Revenue csinált - azaz valójában én csináltam - egy poller elkészítése volt, ami nagyjából minden 10. másodpercben ellenőrizte, hogy él-e még a BHO. Ha még élt, akkor jó, ha nem, akkor a poller installálta. Hogy nehezebbé tegyüka  poller észrevételét, ezt az egyszerű algoritmust dolgoztuk ki, hogy egy véletlenszű fájlnevet kreáljunk, ami gépenként ugyanaz volt, mégis nehéz volt kialálni.  Azt hiszem a DES-sel kódolt MAC cím első 6-8 karakterét használtuk. Veszed a MAC címet, kódolod DES-sel, veszed az első 6 karaktert, és ennyi. Ez elég jó volt, leszámítva, hogy a fájl mindig ugyanaz a bináris maradt. Az MD5 összege ugyanaz volt midnen gépen, és mindig ugyanoda is került a fájlrendszerben.  

Ezután készítettünk, egy függvény-variálót, ami bemászott a futtatható állományba, és véletlenszerűen összekeverte a függvényeket. Ezután természetesen a lenyomatok teljesen összekavarodtak. Egy csomó mutatót is megkavartunk egy-egy függvényen belül. Ez teljesen megváltoztatta az állomány kinézetét.

Aztán készítettünk egy betöltőt, ami egy ici-pici assembly kód volt, ami meg tudta fejteni a titkosított állományokat és lefuttatta őket a memóriában. Ezzel egy időben létrehoztunk egy futtatható virtuális processzt. Nem tudok róla, hogy bárki is csinált volna hasonlót ezelőtt. A Windowsban van ez a Create Remote Thread nevű dolog. Ennek az alapvető működése nagyjából így néz ki: te vagy egy folyamat, én pedig egy másik. Meghívlak, és azt modnom: - Hé, van nálam némi kód, amit szeretnék ha lefuttatnál! Erre te azt mondod, hogy "Persze!", mivel te egy Windows folyamat vagy, olyan mint egy mindenkit szerető hippi. A windowsos folyamatok egyébként hihetetlenül kuszák. Szóval veszünk egy halom folyamatot, odaadunk nekik egy csomó kódot, ők pedig mind lefuttatják. Minden folyamat ismer két másikat, így létrehozható egy gyűrű. Kölcsönös támogatás ugyebár. 

Így eljutottunk egy Registry kulcstól egy futtatható állományig, melynek a neve véletlenszerű, ráadásul mászkál kicsit minden gépen, titkosítva van, és valójában nem is egy valódi állomány, inkább csak szálak sorozata. Ezek a szálak pedig kommunikálnak egymással és ellenőrzik, hogy a BHO vagy bármely másik általunk telepített szoftver megvan-e még.

Volt még egy lépés, amit meg akartunk tenni, de végül nem valósítottunk meg. Ennek lényege az volt, hogy a szálaktól is meg akartunk szabadulni, helyettük pedig csak megszakításkezelőket akartunk használni. Kiderült, hogy Windowson nagyon egyszerűen hozzá leheet férni a megszakításkezelőkhöz. Csak fel kell készülnöd a megszakítás érkezésére, és minden alkalommal, mikor a megfelelő esemény bekövetkezik felébredsz, elvégzed a dolgot, majd lelépsz. Ezt soha nem csináltuk meg, de gondolkodtunk rajta.

Készítettünk nem-írható Registry kulcsokat egy Win32 és NT API közti "impedancia különbséget" kihasználva. Az XP óta a Windowsok az NT kernelre épülnek. Az NT alapvetően egy unicode rendszer, tehát belül minden karaktersorozat 16-bites Unicodeként jelenik meg. A Win32 API alapvetően ASCII-t használ. Vannak olyan stringek, melyeket ki tudsz fejezni Unicodeban, de ASCII-ban már nem. Ezek közül a legfontosabb, hogy null byte-ot tehetsz a dolgok közepébe. 

Tehát beírhattunk egy kulcsot, melynek egy NULL byte volt a közepén. Mivel a felhasználói felület a Win32 API-ra épült, az emebr láthatta a kulcsot, de nem tudott hozzányúlni, mivel a névszerinti lekérdezéskor feltételezték, hogy a NULL-nél végződik a név. Így a Win32 API-t használók számára elérhetetlen kulcsokat hozhattunk létre. Az az érdekes, hogy ez nem csak az összes civilt és majdnem az összes versenytársunkat érintette érzékenyen, de a legtöbb antivírusos csókát is. 

Írtunk egy eszközmeghajtót és egy nyomtatómeghajtót is. Amikor ilyeneket csinálsz, egy csomó olyan dologba belefutsz, ami még az egyéb Windowsos bűvészkedések mellett is őrültségnek tűnik. Ez abban az időben volt, amikor a Direct Revenue-t beperelte Eliot Spitzer, majd a cég elkezdtett összezsugorodni. Hoztak néhány rossz üzleti döntést, miközben egyre inkább a figyelem középpontjába kerültek, a hírdetéseket a saját márkájukkal fémjelezték, miközben nekem az volt a dolgom hogy lezúzzam a konkurenciát meg csináljam ezt a perzisztencia dolgot. 

Aztán persze ott volt a Scheme. Elegünk volt, hogy mindig egy újabb C programot kellett írnunk ha le kellett rugdosni valakit egy gépről. Mindenki szerint valami "konfigurálhatóra volt szükségünk." Azt javasoltam, hogy használjunk egy Turing-teljes nyelvet. A tinyScheme-et választottam, ami egy BSD licenszű, nagyon kicsi, nagyon gyors implementációja a Scheme-nek, amiből egy nagyjából 20K-s futtatható állományt lehet fordítani, ha az ember tudja, mit csinál.

Ahelyett, hogy külön kódokat írtunk volna minden alkalommal, mikor egy féreg megjelent, csak írtam valamennyi Scheme kódot, feltöltöttem egy szerverre, és hirtelen minden elsötétült. Ez egy 4-10 millió végpontot érintő kódháborút eredményezett.

A Te szakmai álláspontod szerint hogyan védekezhetnek az emberek az adware ellen?

Használjanak UNIX-ot.

Ha-ha

Bár tulajdonképpen sikerült a hírdető klienst működésre bírni Linux alatt WINE-nal.

Ez egy kicsit erőltetetten hangzik

Én azt mondanám, hogy erősen limitált piacról volt szó.

Mi az adware jövője?

Az alapján, hogy milyen szépen célozzák manapság a hírdetéseket úgy tűnik, hogy a reklámozás információ alapúvá fog válni. A legjobb példa a Gmail. Kizárólag Ruby on Rails és Scheme fejlesztői állásokat látok a Gmail-en.

Nem tartod furcsának, hogy egy automata szkript megszűri minden leveledet?

Néha kétségbe ejt, ha erre gondolok. A jó hír, hogy én ott voltam ezeknek az automata-szkript dolgoknak a másik oldalán. Veszélyes dolgokra lehetne őket használni, de úgy tűnik, hogy valójában nincs erről szó.

Pofonegyszerű lett volna elkezdenem kutakodni az emberek hitelkártyaszámai után vagy ilyesmi. Volt négy millió végpontom. Megtehettem vola anélkül, hogy a cég bármit is észrevett volna. Én voltam a Scheme programozó srác, és simán le tudtam volna tenni valahova egy szövegfájlt, amit aztán el is tüntethettem volna, nem lett volna szükség még egy futtatható állományra sem.

De nem tettem. Hogy ilyet csinálj, definíció szerint törekedned kell arr, hogy bűnözővé válj, és ez egy picit ritka. Szóval nem aggódom emiatt. Azt gondolom, hogy a reklámipar egy nagy halom algoritmussá fog válni, ahol valaki végül azt mondja, hogy "ezt a srácot valószínűleg érdekelni fogja ez az új programnyelv".

Mennyire maradhattak privátok az emberek információi manapság?

Semennyire.

Úgy gondolod, hogy a társadalmunk bemeséli magának, hogy nagyobb privát szférával rendelkezik, mint valójában?

Teljes mértékben! Gondolj bele, hogy a hitelkártyás fizetés olyan, mintha azt mondanád valakinek: - Itt a pénztárcám, használj belőle annyi pénzt amennyit szeretnél, csak aztán add vissza.

.. de mégis úgy tűnik, hogy működik a dolog

A legtöbb dolognak nem muszáj tökéletesnek lennie. A gyakorlatban a humán-interakciót tartalmazó dolgoknak nem kell tökéletesnek lenniük, mert az embercsoportok beépítetten tartalmazzák a megfelelő szabályozásokat. Ha van egy megállapodásom veled, amivel te csúnyán átversz, állandóan az fog motoszkálni az agyadban, hogy egyszercsak megjelenek az ajtódban és megöllek. Ezért az emberek nem szeretik nagyon átverni egymást, igaz? Legalábbis megpróbálnak nem így tenni. Az algoritmusok által vezérelt társadalom egyik veszélye, hogy az algoritmusok nem félnek, hogy megverjük őket.  Az algoritmusok azt fogják csinálni, amire tervezték őket. De ettől nem félek túlzottan.

Van még valami, amit el szeretnél mondani?

Az ember azt tudja elérni, amiért hajlandó megdolgozni. Ha szeretnél egy rendszert veszélyes programok nélkül, meg tudod csinálni. Ha meg szeretnéd védeni a magánszférádat, az is lehetséges - nagyon nehéz, de lehetséges. De azt hiszem, megéri.