Spamerskie.Sztuczki.pdf

Spamerskie sztuczki

John Graham-Cumming

Artykuł w formie elektronicznej specjalnie dla czytelników serwisu hacking.pl.

Wszelkie prawa zastrzeżone. Rozpowszechnianie dozwolone pod warunkiem zachowania formy i treści.

Magazyn “Hakin9”, Wydawnictwo Software, ul. Lewartowskiego 6, 00-190 Warszawa, hakin9@hakin9.org

Spamerskie sztuczki

John Graham-Cumming

Spamerzy stosują różnego

rodzaju sztuczki, których

celem jest oszukanie iltrów

antyspamowych. Zobaczmy, jak

sztuczki te wyglądają w praktyce

i jak iltry antyspamowe

pokonują spamerów ich własną

bronią.

można podzielić na trzy rodzaje. Po

pierwsze, spamerzy starają się ukryć

niepożądane słowa (na przykład Viagra ) w taki

sposób, by nie zostały one zauważone przez

iltr. Po drugie, umieszczają w wiadomościach

słowa o niewinnym brzmieniu, niewidoczne dla

czytającego, lecz wykrywane przez iltr, który

w efekcie uznaje, że wiadomość nie jest spamem.

Po trzecie, maskują podawane w wiadomościach

adresy swoich stron, ponieważ są świadomi tego,

że te adresy mogą ich zdradzić.

Pozwala to oszukać najprostsze iltry, które wy-

krywają obecność słowa Viagra ; oczywiście

bardziej wymyślny iltr potrai szukać tekstu we-

dług schematu <litera><spacja><litera><spa-

cja> ... i odtworzyć zakamulowane w ten spo-

sób słowo. Spamerzy używają więc również in-

nych znaków do rozdzielania liter, np.:

V'I'A'G'R'A, V.I.A.G.R.A, V*I*A*G*R*A

Filtry antyspamowe potraią jednak w

stosunkowo prosty sposób wykryć tego

rodzaju zabiegi i orientować się, że w

Ukrywanie

niepożądanych słów

Spamerzy najczęściej chcą ukryć słowa, na

podstawie których wiadomość można łatwo

rozpoznać jako spam. Używają rozmaitych me-

tod przetworzenia słów takich jak Viagra do po-

staci niezrozumiałej dla iltru antyspamowego,

jednak czytelnej dla człowieka.

Z artykułu nauczysz się...

• jakimi sztuczkami posługują się spamerzy w ce-

lu oszukania iltrów bayesowskich i heurystycz-

nych.

Co powinieneś wiedzieć...

• znać podstawy iltrowania bayesowskiego i heu-

rystycznego (omówione w poprzednim numerze

naszego pisma),

• ogólnie orientować się w językach HTML i Ja-

vascript.

Nieco przestrzeni

Najprostszy sposób polega na wstawieniu do

słowa, które ma zostać ukryte, znaków spacji.

V I A G R A

www.hakin9.org

Hakin9 Nr 3/2004

S ztuczki stosowane przez spamerów

Spamerskie sztuczki

wiadomości mowa jest o Viagrze.

Na tym prostym przykładzie widać

jednak, że nie warto stosować iltrów

heurystycznych wymagających

samodzielnego aktualizowania reguł

– sens ma jedynie stosowanie iltrów

aktualizowanych automatycznie.

Dostosowanie reguł nawet dla tak

prostej sztuczki, jak przedstawiona

powyżej, wymagałoby wiele pracy

ze strony użytkownika.

Można nawet spotkać wiado-

mości, w których zastosowano zgo-

ła inną technikę – z tekstu usunięto

wszystkie spacje, wstawiając w ich

miejsce losowo wybrane litery:

słowo nie zwracając uwagi na sa-

mogłoski, jednak iltr może zostać

oszukany.

Filtr może poradzić sobie z te-

go typu sztuczką przypisując każ-

dej samogłosce ze znakiem akcen-

tu jej oryginalny odpowiednik, otrzy-

mując w rezultacie rzeczywiste sło-

wo. Ze względu na łatwość wykry-

wania obu przedstawionych technik

przez stosowane dziś iltry antyspa-

mowe, spamerzy zaczęli szukać no-

wych sposobów dostawania się do

skrzynek pocztowych. Wykorzystu-

ją do tego HTML.

stu pogrubionego , natomiast

oznacza koniec tekstu pogrubione-

go . Tekst pomiędzy tymi znacznika-

mi będzie widoczny w przeglądarce

lub programie pocztowym obsługują-

cym HTML jako pogrubiony.

Podobnie jak większość języ-

ków programowania, HTML umożli-

wia stosowanie w dokumentach ko-

mentarzy. Są one całkowicie pomi-

jane podczas wyświetlania doku-

mentu HTML. Komentarz rozpoczy-

na się znakami <!-- , natomiast koń-

czy --> ; tekst pomiędzy tymi znaka-

mi jest ignorowany przez przeglądar-

ki dokumentów HTML.

Spamerzy używają komentarzy

do rozdzielenia fragmentów niepo-

żądanych słów. Dla przykładu, sło-

wo Viagra może zostać podzielone

w następujący sposób:

DidAyouFknowNyouMcanBget

VprescriptionVmedications

prescribedTonlineTwith

NORPRIORRPRESCRIPTIONRREQUIRED!

Nie z nami takie numery

Kolejnym sposobem zakamulowa-

nia słowa Viagra jest zastosowa-

nie encji języka HTML, które służą

do umieszczania w tekście znaków

specjalnych lub znaków spoza alfa-

betu angielskiego. Encje zapisywane

są jako liczby poprzedzone znakami

&# , a zakończone znakiem ; . Chcąc

na przykład umieścić w tekście fran-

cuski znak é , piszemy w HTML-u

é , z kolei grecką literę ∑ otrzy-

mamy po wpisaniu Ε .

Znaki należące do podstawowe-

go alfabetu angielskiego także ma-

ją odpowiadające im encje. Przykła-

dowo, literę A można zapisać jako

A . Podstępny spamer mógłby za-

tem zapisać całe słowo Viagra przy

zastosowaniu encji: Via

gra

Także w tym przypadku odpo-

wiednio przygotowany iltr antyspa-

mowy rozpozna encje HTML i od-

kryje, jakie słowo zostało w ten spo-

sób zamaskowane. Istnieją jednak

znacznie bardziej wyrainowane me-

tody kamulowania słowa Viagra , wy-

korzystujące możliwości formatowa-

nia dostępne w języku HTML.

Nie wydaje się jednak, by technika ta

była szczególnie skuteczna, ponie-

waż taka wiadomość jest w rezulta-

cie nieczytelna dla człowieka.

Vi

agr

a

Øbcÿ ākçênt

Spamerzy, przeprowadzając te-

sty sprawdzające, jak na wysyła-

ne przez nich wiadomości reagują

darmowe i komercyjne programy il-

trujące, szybko zorientowali się, że

tak proste sposoby ukrywania słów

nie są zbyt skuteczne. Zaczęli więc

stosować metody, w których zamie-

niane są litery składające się na sło-

wo Viagra .

W tablicy znaków ASCII można

znaleźć wiele samogłosek ze znaka-

mi akcentu, które spamerzy wstawia-

ją do ukrywanego słowa w zastęp-

stwie oryginalnych samogłosek:

Ten dziwnie wyglądający fragment

tekstu w programie pocztowym od-

czytującym HTML zostanie wyświetlo-

ny jako Viagra . Wiele iltrów antyspa-

mowych da się nabrać na tę sztucz-

kę, ponieważ nie potraią one prze-

twarzać składni HTML i nie wyodręb-

nią słowa Viagra . Co gorsza, za spra-

wą słów w komentarzach iltr może zo-

stać wprowadzony w błąd i uznać, że

wiadomość nie jest spamem.

Zaprezentowana technika jest

bardzo często stosowana przez spa-

merów, dlatego też skuteczne iltry

są wyposażane w funkcje usuwają-

ce komentarze HTML-a przed ana-

lizą tekstu wiadomości. Odnalezie-

nie i usunięcie tekstu umieszczone-

go pomiędzy znakami  nie

jest trudnym zadaniem: w istocie

to właśnie robią programy poczto-

we podczas wyświetlania wiadomo-

ści HTML. W gruncie rzeczy sama

obecność komentarzy HTML może

budzić podejrzenia programu iltru-

jącego – dlaczego ktokolwiek miał-

by umieszczać je w zwyczajnej wia-

domości?

Niekiedy spamerzy wykorzy-

stują także nieprawidłowe znaczni-

• a: à á â ã ä å,

• e: è é ê ë,

• i: ì í î ï,

• o: ò ó ô õ ö,

• u: ù ú û ü.

HTML tu i tam

Polecenia formatujące języka HTML

zapisywane są w postaci tzw. znacz-

ników, czyli instrukcji umieszczanych

pomiędzy nawiasami trójkątnymi < > .

Przykładowo, chcąc zapisać sło-

wo Witaj tekstem pogrubionym, pi-

szemy w HTML-u Witaj .

Znacznik oznacza początek tek-

Przy zastosowaniu różnych warian-

tów samogłosek a oraz i spamer

może zapisać słowo Viagra na 144

różne sposoby, jak choćby Víagra ,

Viågra , Vîãgrä . Anglojęzyczny od-

biorca wiadomości przeczyta takie

Hakin9 Nr 3/2004

www.hakin9.org

Stosując tę technikę, słowo Viagra

może zostać podzielone w następu-

jący sposób:

V i

a

g

r

a

Rysunek 1. Mikrokropka

Skuteczny iltr antyspamowy musi za-

tem być w stanie rozpoznać nie tyl-

ko komentarze HTML (jak w sztucz-

ce omówionej wcześniej), lecz rów-

nież rozmiary czcionek. Spamerzy

wymyślają jednak coraz to nowe me-

tody oszukiwania iltrów: skoro iltry

wychwytują czcionkę o rozmiarze 0, to

czemu by nie zastosować rozmiaru 1?

Listing 1. Układanka

< table border=0 cellpadding=0 cellspacing=0 >

< tr valign=top >

< td > V s F < /td >

< td > i a R < /td >

< td > a m E < /td >

< td > g p E < /td >

< td > r l < /td >

< td > a e < /td >

< td >   s < /td >

< /tr >

< /table >

Mikrokropka

Jeden z najnowszych pomysłów spa-

merów polega na wstawianiu w środ-

ku słowa przypadkowych liter (co po-

woduje, że po usunięciu znaczników

HTML iltr odczyta słowo Viagra na

przykład jako Vziagra ) i pomniejszeniu

tych liter do takiego rozmiaru, by by-

ły prawie niewidoczne dla człowieka.

Oto sztuczka zwana mikrokropką , wy-

korzystująca czcionkę o rozmiarze 1.

ki HTML o przypadkowo wybranych

nazwach, ponieważ podobnie jak ko-

mentarze zostaną one zignorowane

przez przeglądarkę. Wstawienie do-

wolnych słów pomiędzy znakami

ma podobny efekt, jak zastosowanie

komentarzy:

sać słowo Witaj najmniejszą czcion-

ką, piszemy:

Witaj

Programy takie jak Microsoft Inter-

net Explorer oraz narzędzia pocztowe

Outlook i Outlook Express dopuszcza-

ją również stosowanie rozmiaru 0, czy-

li tekstu o zerowym rozmiarze. Spame-

rzy mogą więc wykorzystać czcionkę

o rozmiarze 0 wraz z encją   od-

powiadającą twardej (nieprzełamywa-

nej) spacji, otrzymując w efekcie znak

spacji o zerowej szerokości:

Vziagra

V<anon>i</dinosaur>a<hexagon>g

<two>r</mouse>a

W programie pocztowym odczytują-

cym HTML efekt będzie zbliżony do

pokazanego na Rysunku 1. Jak wi-

dać, litera z jest tak mała, że wygląda

jak prawie niewidoczna kropka.

Czarna dziura

Duża popularność powyższej sztucz-

ki wśród spamerów stała się dla niej

zgubna, ponieważ doprowadziła do

tego, iż większość iltrów antyspamo-

wych usuwa komentarze HTML. Roz-

dzielanie słów znacznikami HTML

pozostaje jednak jedną z ulubionych

technik stosowanych przez spame-

rów. W metodzie zwanej czarną dziu-

rą niepożądane słowo rozdzielane

jest spacjami o zerowej szerokości.

Chcąc określić rozmiar czcion-

ki fragmentu tekstu, wpisujemy

w HTML-u polecenie ,

w miejsce X wstawiając wartość od

1 do 7 (7 to największy rozmiar, 1 to

najmniejszy). Przykładowo, aby zapi-

Układanka

W jednej z najbardziej przebiegłych

metod rozdzielania wyrazów spa-

merzy wykorzystują czcionkę o sta-

Rysunek 2. Układanka

www.hakin9.org

Hakin9 Nr 3/2004

Spamerskie sztuczki

Listing 2. Atrament

sympatyczny

ści słowa, które w ich opinii są uwa-

żane za niewinne. Ponieważ nie-

które iltry antyspamowe korzysta-

ją z listy słów, których obecność ma

świadczyć o niespamowej naturze

wiadomości, spamerzy liczą na to,

że umieszczenie w treści tego rodza-

ju słów spowoduje, że iltr zaakcep-

tuje wiadomość. Ponieważ jednak

słowa te mają być niewidoczne dla

odbiorcy wiadomości (który ma się

skoncentrować na ofercie kupna Via-

gry), spamerzy stosują różne sposo-

by ukrywania tych słów przed czyta-

jącym wiadomość, jednocześnie po-

zostawiając je czytelnymi dla iltrów.

Listing 3. Kamulaż

< body bgcolor=#113333 >

Viagra

jakieś niewinne słowa

< /body >

< body bgcolor=white >

Viagra

Hi, Johnny! It was

really nice to have

dinner with you

last night. See

you soon, love Mom.

< /body >

Kamulaż

Zamiast zapisywania białego tekstu

na białym tle, spamerzy mogą wyko-

rzystać kolory niewiele się od siebie

różniące (np. tekst w kolorze jasno-

szarym na białym tle) – patrz Listing 3

i Rysunek 3. Tekst, który ma pozostać

widoczny, zapisywany jest kolorem

wyraźnie odróżniającym go od tła.

Niewinne słowa są w efekcie pra-

wie niewidoczne, w przeciwieństwie

do informacji o oferowanym produkcie.

Ta sztuczka jest skuteczna w przypad-

ku iltrów rozpoznających atrament

sympatyczny , ponieważ tym razem

kolory nie są identyczne, a odbiorca

wiadomości zauważy jedynie czytel-

ny tekst.

Dobre iltry antyspamowe po-

traią odkryć podstęp rozpoznając

podobieństwo kolorów na podsta-

wie odległości Euklidesa, wykrywa-

jąc w ten sposób tekst prawie niewi-

doczny dla człowieka.

łej szerokości oraz tabele. Kamulo-

wany tekst jest najpierw zapisywany

czcionką o stałej szerokości, by moż-

na było podzielić go na kolumny:

Atrament sympatyczny

Jedną z podstawowych metod ukry-

wania niewinnych słów w treści wia-

domości jest zapisywanie ich białym

tekstem na białym tle (bądź też in-

nym kolorem, byleby tylko był on ta-

ki sam dla tekstu i tła) – patrz Listing

2. Spamerzy stosują ten sposób, po-

nieważ taki tekst będzie niewidoczny

dla człowieka, jednak program iltru-

jący ignorujący kolory tekstu odczyta

go. Niektóre iltry antyspamowe dają

się na to nabrać i przy odpowiednim

doborze słów wiadomość nie zostaje

zidentyikowana jako spam.

Skuteczne iltry antyspamowe

rozpoznają wykorzystanie kolorów

HTML-a i wykrywają tę sztuczkę. Jej

obecność świadczy o tym, że wiado-

mość to najprawdopodobniej spam.

Popularność tej metody szybko do-

prowadziła do tego, że iltry zosta-

ły wyposażone w mechanizmy jej

rozpoznawania, spamerzy wymyślili

więc inny sposób ukrywania tekstu,

za pomocą kolorów bardzo do siebie

zbliżonych, lecz nie identyczych.

Viagra

samples

FREE

Następnie budowana jest tabela,

w której w każdej z kolumn zapisy-

wana jest jedna kolumna liter tekstu

(patrz Listing 1 i Rysunek 2).

Ta technika jest nader skuteczna

w przypadku iltrów antyspamowych,

które usuwają znaczniki HTML-a.

Filtr otrzymuje tekst wyglądający jak

ciąg przypadkowych liter, ponieważ

tekst jest odczytywany z góry na dół,

zamiast od lewej do prawej.

Vsf iaR ame gpe rl ae s

Wyodrębnienie treści wiadomości

wymagałoby, by iltr był wyposażo-

ny w mechanizm rozpoznawania roz-

mieszczenia elementów HTML-a.

W praktyce jednak nie jest to ko-

nieczne, ponieważ wiadomość jest

łatwo identyikowana jako spam za

sprawą zastosowania złożonej tabe-

li i czcionek o stałej szerokości. Wy-

krywane są więc nie same słowa,

lecz metody wykorzystane do ich za-

maskowania.

MIME wszystko

Większość programów pocztowych

odczytuje MIME, umożliwiające wy-

syłanie wiadomości złożonych z wie-

lu części, z których każda jest okre-

ślonego typu (np. tekst, HTML, do-

kument Worda). Najczęściej pro-

gramy otwierają automatycznie po-

Dodawanie

niewidocznych

niewinnych słów

Po zamaskowaniu niepożądanych

słów, spamerzy dodają do wiadomo-

Rysunek 3. Kamulaż

Hakin9 Nr 3/2004

www.hakin9.org

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: