Вирусы, трояны, руткиты

[Vadim]

Согласно теории эволюции, одними из первых биологических организмов, появившихся на нашей планете, были вирусы. Компьютерные вирусы, получившие свое название благодаря способности самостоятельно распространяться по электронным сетям и, размножаясь, наносить вред вычислительным системам, также возникли на заре развития компьютерных технологий.

И если проследить историю зарождения белковых вирусов с большой долей достоверности сейчас уже не представляется возможным, ответить на вопрос, кто именно и зачем придумал компьютерные вирусы, относительно несложно. Как говорится, история не забывает своих героев. Вполне естественно, что многомиллионная армия пользователей персональных компьютеров должна помнить тех людей, благодаря которым появилось на свет такое известное сегодня каждому школьнику понятие, как компьютерный вирус.

Читать далее

Автором идеи, благодаря которой значительно позже возникла технология создания программных вирусов, принято считать американского программиста Боба Томаса. В 1971 году вычислительная лаборатория компании bolt, beranek and newman, в которой работал Томас, получила заказ на разработку распределенного программного комплекса для авиадиспетчерских служб, управляющих движением пассажирских самолетов. Согласно требованиям заказчиков, входящие в комплекс программы должны были автоматически передавать управление курсом самолетов с одного компьютера на другой по вычислительной сети, отображая на экранах всех подключенных к этой сети компьютеров постоянно изменяющуюся информацию о текущем положении авиалайнеров в воздухе. Экспериментируя с системами передачи данных между различными вычислительными машинами, Томас написал программу, которую назвал «Ползуном». «Ползун» самостоятельно копировал себя с одного компьютера на другой, перемещаясь таким образом по сети, и выводил на экран каждого терминала следующее сообщение: «Я - Ползун! Если сможешь, поймай меня!». Эта небольшая программа не размножалась, а просто «ползала» с одного сетевого узла на другой, развлекая пользователей и системных администраторов. Когда другие программисты узнали об изобретении Томаса, они принялись создавать аналогичные программы, демонстрировавшие на экранах коллег по лаборатории различные забавные фразы. Когда кому-то из специалистов bolt, beranek and newman надоело бороться с бесконечно отвлекающими его от работы «Ползунами», он написал другую программу, которая в точности так же самостоятельно перемещалась по сети, но с совершенно иной целью: она вылавливала и безжалостно уничтожала всех «Ползунов», которые попадались ей на пути. Задетые за живое разработчики «Ползунов» не отставали: усовершенствовав исходный код, они научили свои программы прятаться от «убийцы» в недрах операционной системы, маскируясь под ее компоненты и необходимые для нормальной работы компьютера библиотеки. Кровавая борьба между «Ползунами» и «Киллерами» продолжалась несколько месяцев, после чего это увлечение утратило свою новизну и было заброшено, так и не получив сколь либо серьезного развития.

Однако идея Боба Томаса не была забыта. В 1975 году американский писатель-фантаст Джон Браннер выпустил фантастический роман «Оседлавший Взрывную Волну», в основу которого легла несколько видоизмененная история с «Ползунами». Книга рассказывала о компьютеризированном обществе, которым управляло с помощью глобальной электронной сети правительство диктаторов и тиранов. Программист, решивший спасти мир от диктатуры, написал программу, которую автор романа назвал «глистом»; эта программа копировала себя с одного компьютера на другой, разрушая хранившуюся в них информацию. Чтобы остановить «глиста», правительство вынуждено было отключить сеть, лишившись таким образом власти. Роман быстро стал бестселлером, сделавшись поистине культовой книгой в только зарождавшейся тогда среде компьютерных хакеров. Именно благодаря этому роману в 1980 году двое сотрудников компании xerox, которая в те времена выпускала пользовавшиеся большой популярностью персональные компьютеры, имеющие возможность объединения в локальные сети, решили создать программу, которую по аналогии с упоминавшимся в романе Браннера детищем программиста-бунтаря назвали «Червем». Собственно, «Червь» Иона Хеппа и Джона Шока должен был нести положительную миссию: по замыслу разработчиков, перемещаясь между подключенными к сети компьютерами, «Червь» был призван проверять операционную систему на наличие скрытых дефектов и по возможности устранять их. Хепп и Шок задумали еще два варианта «Червя»: один из них предназначался для распространения объявлений, которые администратор мог направлять всем пользователям вычислительной сети, второй позволил бы гибко перераспределять ресурсы между различными объединенными в сеть компьютерами. Однако на практике все получилось совсем не так, как задумали разработчики. Запустив вечером экспериментальную версию «Червя», Хепп и Шок отправились домой. Когда утром программисты вернулись на работу, они увидели, что все компьютеры, установленные в многоэтажном здании исследовательского центра xerox, расположенного в городке Паоло-Альто, благополучно зависли. В исходном коде «Червя» была допущена незначительная ошибка, благодаря которой программа начала бесконтрольно распространяться между различными узлами сети и блокировать их работу. Перезагрузка машин не помогала: часть входящих в сеть компьютеров была установлена в закрытых комнатах, к которым Хепп и Шок не имели доступа, и как только на перезагружаемой машине запускалась операционная система, «Червь» тут же копировал себя в ее память с другого компьютера, после чего система мгновенно выходила из строя. Отключив одну из машин от локальной сети, программисты вынуждены были экстренно создать другую программу, которая уничтожила бы взбесившегося «Червя». На полную ликвидацию последствий их совместного творчества ушло несколько дней.

Ведущий программист компании bell labs Боб Морриссон по признаниям коллег был лучшим специалистом в своей области, к нему часто обращались за всевозможными консультациями, в частности - в сфере безопасности компьютерных систем. Морриссон был немногословен, но нередко доказывал оппонентам свою правоту на практике. Однажды сотрудники отдела, в котором трудился Боб, несколько месяцев подряд работали над совершенствованием системы безопасности эксплуатируемой ими компьютерной сети, изобретая все новые и новые программные модули. Когда работа была закончена, они похвастались Бобу, что теперь эта сеть защищена от возможных сбоев на все сто процентов. Пожав плечами, Морриссон молча выбросил горящий окурок в стоящее поблизости мусорное ведро с бумагами, содержимое ведра мгновенно загорелось, сработала противопожарная сигнализация и льющаяся из вмонтированных в потолок лаборатории труб вода за две секунды привела всю вычислительную систему в нерабочее состояние. Тогда, в конце восьмидесятых годов, среди программистов была очень популярна игра под названием core wars. Игра имела встроенный язык программирования, от игрока требовалось написать на этом языке специальную «боевую программу». Предназначение такой программы было простым: уничтожить аналогичные программы соперников, отыскивая слабые места в их коде. Побеждал тот программист, чье творение продолжало работать, когда все остальные программы были повреждены или разрушены. Виртуальные баталии «боевых программ» на несколько месяцев стали «коньком» программистов из bell labs; это продолжалось до тех пор, пока за дело не взялся Боб Морриссон. Его «боевая программа» оказалась непобедимой: код состоял всего лишь из 30 строк, однако этот крошечный файл не просто атаковал соперников: он анализировал методы их защиты и, соответствующим образом видоизменяясь, уничтожал файл противника «изнутри», выбирая стратегию атаки исходя из его логической структуры. После этого игра core wars утратила всякий смысл: изобретенный Морриссоном «полиморф» не оставлял конкурентам ни одного шанса. Вскоре Боб Морриссон оставил работу в bell и получил должность эксперта по компьютерной защите в Национальном Агентстве Безопасности США - единственной в Америке организации, занимавшейся расследованием компьютерных преступлений.

Старший сын Боба Морриссона Роберт рос тихим и скромным мальчиком, его единственной страстью были компьютеры. Уже в четырнадцатилетнем возрасте он переписал популярную у подростков компьютерную игру the four corners, добавив в нее множество новых функциональных возможностей, в 16 лет он стал настоящим экспертом по системе безопасности unix, обнаружив в «классическом» берклиевском коде этой платформы множество ошибок, которые не замедлил исправить. Однако он и сам не брезговал пользоваться обнаруженными «дырами» в защите, время от времени подключаясь к удаленным электронным сетям в поисках интересующей его информации. Это увлечение привело к тому, что вскоре в компьютерном журнале smitsonian появился материал, в котором Роберта называли одним из наиболее известных молодых хакеров в Америке. Именно Роберт Морриссон является автором и разработчиком одной из наиболее известных реализаций протокола передачи данных uucp - unix-to-unix copy. Обучаясь на четвертом курсе Гарвардского университета, Роберт уже читал лекции в Национальном Агенстве Безопасности США и исследовательских лабораториях военно-морского флота по безопасности операционной системы unix.

Полученные Робертом в ходе его самостоятельных разработок и изучения уже существующего опыта других программистов знания требовали практического применения. В качестве эксперимента Роберт решил написать программу, которая, используя обнаруженные им недоработки в созданном для unix протоколе ftp и программе sendmail могла бы самостоятельно распространяться между объединенными в сеть компьютерами, подобно «Червю» Хеппа и Шока, но при этом умела бы эффективно «прятаться» в операционной системе и самостоятельно размножаться. Иными словами, «Червь» Морриссона должен был объединять в себе все достоинства предыдущих попыток создания аналогичных программ. Поскольку эта разработка была всего лишь научным экспериментом, тестом на безопасность объединенных в сети компьютерных систем, Роберт заложил в код «Червя» алгоритмы, сдерживающие его распространение, никаких модулей, разрушающих файловую систему атакованных компьютеров, также задумано не было. 2 ноября 1988 года в 18.30 Роберт Морриссон подключился к компьютерам лаборатории искусственного интеллекта mit и запустил свою программу на исполнение. Когда спустя полчаса он снова попытался подключиться к сети, чтобы проверить ход эксперимента, удаленный компьютер не ответил: благодаря закравшейся в исходный код ошибке «Червь» начал бесконтрольно размножаться, блокируя нормальную работу вычислительных систем, и вскоре вырвался из локальной сети mit на просторы Интернета.

Программа Морриссона-младшего стала настоящим бедствием для США, в течение нескольких дней функционирование Интернета было парализовано практически полностью. Именно тогда за способность к быстрому распространению и заражению все новых и новых узлов сети журналисты впервые окрестили творение Роберта «вирусом». По различным подсчетам эпидемия поразила порядка 6000 компьютеров - около 10% всех работавших тогда в Интернете вычислительных машин, нанесенный вирусом ущерб оценивался от скромной цифры в 150 000 до значительной суммы в 75 миллионов долларов США. Вскоре к делу подключилось ФБР, однако расследование длилось недолго: Морриссон сам признался в содеянном. Пресса раздула скандал до неимоверного масштаба, особую пикантность ситуации придавал тот факт, что отец Роберта Морриссона - Боб Морриссон был одним из ведущих экспертов отдела Агентства Национальной Безопасности, занимавшегося расследованием компьютерных преступлений.

Судебное дело Роберта Морриссона было одним из первых дел по обвинению в совершении компьютерного преступления в США, до этого по данной статье под суд попал лишь известный во всем мире хакер Кевин Митник. Морриссона признали виновным и приговорили к выплате штрафа в размере 10 000 долларов и 400 часам исправительных работ. Однако слава Роберта Морриссона, получившего широкую известность благодаря созданному им вирусу, до сих пор не дает покоя сотням и тысячам хакеров на разных континентах. Последней попыткой переплюнуть создателя первого в истории человечества вируса «массового поражения» была небезызвестная программа «Мелисса», уничтожившая в общей сложности более 30 000 компьютеров. С тех пор сотням и тысячам амбициозных молодых людей, разбирающихся в программировании, рано или поздно приходит в голову попробовать свои силы в создании программы, которая, распространяясь по сети, могла бы дестабилизировать работу различных вычислительных систем. Именно их стремление к дешевой славе приносит теперь множество бессонных ночей, проведенных пользователями за восстановлением разрушенных систем, и значительную прибыль компаниям, занимающимся разработкой антивирусных программ.

Валентин Холмогоров

http://www.holmogorov.ru/

История вредоносных программ
Кто и почему создает вредоносные программы?
Типы вредоносных программ
Что делать, если ваш компьютер заражен?
Файловые вирусы
Десять самых разрушительных вирусов в истории

[Rock]

любопытно...

[Mr. Strike]

Цитата: Vadim значительную прибыль компаниям, занимающимся разработкой антивирусных программ.

Терзают меня смутные сомнения -не сами ли они их пишут, чтоб без хлеба насущного не остаться!

[Алёша]

Цитата: RAI Терзают меня смутные сомнения -не сами ли они их пишут, чтоб без хлеба насущного не остаться!

да так и есть!!!

Цитата: Юнгианство. Программы глючат потому, что в коллективном бессознательном существует архетип глюка, которому противостоит архетип патча. Таким образом, ошибаются те, кто думает, будто патчами они смогут победить глюки; на самом деле, работая на архетип патча, они тем самым укрепляют и архетип глюка.

-замени слова глюки и патчи на вири и антивири )))))))))))))))))))))))))

"малое рождает большое, большое рождает малое" - сказал Учитель, забирая у ученика Blu-ray диск и отдавая ему дискету 1.44

[a2z]

Цитата: Vadim Автором идеи, благодаря которой значительно позже возникла технология создания программных вирусов, принято считать американского программиста Боба Томаса.

Ну где ж ты Бобик Такую гадость придумал

[Boodmazer]

а это информация достоверная ? Просто очень похоже на очередной фантастический рассказ.

[a2z]

Цитата: Boodmazer а это информация достоверная ?

Вроде как не вызывает чувства "лапша на ушах" имхо

[Frosty]

Я читал в игромании немного другой вариант: Типо студентики баловались, писали програмки которые сами размножались и устраивали бои типо запускают 2 проги в память и какая быстрее займет всю памать, а чтоб занять ВСЮ памать надо задушить прогу-оппонента. Ну баловались-баловались и забыли почистить 1 дискетку с пробой, а на утро какой то ламер ее вставил в комп, и все компы универа полетели....ну а дальше примерно так же.

[a2z]

История вредоносных программ

Мнений по поводу рождения первого компьютерного вируса очень много. Нам доподлинно известно только одно: на машине Чарльза Бэббиджа, считающегося изобретателем первого компьютера, вирусов не было, а на Univax 1108 и IBM 360/370 в середине 1970-х годов они уже были.

Несмотря на это, сама идея компьютерных вирусов появилась значительно раньше. Отправной точкой можно считать труды Джона фон Неймана по изучению самовоспроизводящихся математических автоматов, которые стали известны в 1940-х годах. В 1951 г. этот знаменитый ученый предложил метод, который демонстрировал возможность создания таких автоматов. Позднее, в 1959 г. журнал "Scientific American" опубликовал статью Л.С. Пенроуза, которая также была посвящена самовоспроизводящимся механическим структурам. В отличие от ранее известных работ, здесь была описана простейшая двумерная модель подобных структур, способных к активации, размножению, мутациям, захвату. Позднее, по следам этой статьи другой ученый Ф.Ж. Шталь реализовал модель на практике с помощью машинного кода на IBM 650.

Необходимо отметить, что с самого начала эти исследования были направлены отнюдь не на создание теоретической основы для будущего развития компьютерных вирусов. Наоборот, ученые стремились усовершенствовать мир, сделать его более приспособленным для жизни человека. Ведь именно эти труды легли в основу многих более поздних работ по робототехнике и искусственному интеллекту. И в том, что последующие поколения злоупотребили плодами технического прогресса, нет вины этих замечательных ученых.

В 1962 г. инженеры из американской компании Bell Telephone Laboratories - В.А. Высотский, Г.Д. Макилрой и Роберт Моррис - создали игру "Дарвин". Игра предполагала присутствие в памяти вычислительной машины так называемого супервизора, определявшего правила и порядок борьбы между собой программ-соперников, создававшихся игроками. Программы имели функции исследования пространства, размножения и уничтожения. Смысл игры заключался в удалении всех копий программы противника и захвате поля битвы.

На этом теоретические исследования ученых и безобидные упражнения инженеров ушли в тень, и совсем скоро мир узнал, что теория саморазмножающихся структур с не меньшим успехом может быть применена и в несколько иных целях.

http://www.viruslist.com

[a2z]

Кто и почему создает вредоносные программы?

Основную массу вирусов и троянских программ в прошлом создавали студенты и школьники, которые только что изучили язык программирования, хотели попробовать свои силы, но не смогли найти для них более достойного применения. Отраден тот факт, что значительная часть подобных вирусов их авторами не распространяется, и вирусы через некоторое время «умирают» сами вместе с дисками, на которых хранятся. Такие вирусы пишутся только для самоутверждения.

Вторую группу также составляют молодые люди (чаще — студенты), которые еще не полностью овладели искусством программирования, но уже решили посвятить себя написанию и распространению вирусов. Единственная причина, толкающая подобных людей на написание вирусов, это комплекс неполноценности, который проявляет себя в компьютерном хулиганстве. Из-под пера подобных «умельцев» часто выходят вирусы крайне примитивные и с большим числом ошибок («студенческие» вирусы). Жизнь подобных вирусописателей стала заметно проще с развитием интернета и появление многочисленных веб-сайтов, ориентированных на обучение написанию компьютерных вирусов. На подобных веб-ресурсах можно найти подробные рекомендации по методам проникновения в систему, приемам скрытия от антивирусных программ, способам дальнейшего распространения. Часто на таких сайтах можно найти готовые исходные тексты, в которые надо всего лишь внести минимальные «авторские» изменения и откомпилировать рекомендуемым способом.

Став старше и опытнее, многие из подобных вирусописателей попадают в третью, наиболее опасную группу, которая создает и запускает в мир «профессиональные» вирусы. Эти тщательно продуманные и отлаженные программы создаются профессиональными, часто очень талантливыми программистами. Такие вирусы нередко используют достаточно оригинальные алгоритмы проникновения в системные области данных, ошибки в системах безопасности операционных сред, социальный инжиниринг и прочие хитрости.

Отдельно стоит четвертая группа авторов вирусов — «исследователи», довольно сообразительные программисты, которые занимаются изобретением принципиально новых методов заражения, скрытия, противодействия антивирусам и т. д. Они же придумывают способы внедрения в новые операционные системы. Эти программисты пишут вирусы не ради собственно вирусов, а скорее ради «исследования» потенциалов «компьютерной фауны». Часто авторы подобных вирусов не распространяют свои творения, однако активно пропагандируют свои идеи через многочисленные интернет-ресурсы, посвященные созданию вирусов. При этом опасность от таких «исследовательских» вирусов не падает — попав в руки «профессионалов» из предыдущей группы, эти идеи очень быстро появляются в новых вирусах.

Перечисленные выше категории «хулиганских» вирусов в последние годы становятся все менее и менее актуальными (несмотря на то, что на смену повзрослевшим тинейджерам-хулиганам каждый раз приходит новое поколение новых тинейджеров) — за исключением случаев вызванных такими вредоносными программами глобальных сетевых и почтовых эпидемий. На текущий момент доля подобных вирусов и троянских программ занимает не более 10% «материала», заносимого в антивирусные базы данных. Оставшиеся 90% гораздо более опасны, чем просто вирусы.

Мелкое воровство

С появлением и популяризацией платных интернет-сервисов (почта, WWW, хостинг) компьютерный андеграунд начинает проявлять повышенный интерес к получению доступа в сеть за чужой счет, т. е. посредством кражи чьего-либо логина и пароля (или нескольких логинов/паролей с различных пораженных компьютеров) путем применения специально разработанных троянских программ.

В начале 1997 года зафиксированы первые случаи создания и распространения троянских программ, ворующих пароли доступа к системе AOL. В 1998 году, с распространением интернет-услуг в Европе и России, аналогичные троянские программы появляются и для других интернет-сервисов. До сих пор количество троянцев, ворующих пароли к dial-up, пароли к AOL, коды доступа к другим сервисам, составляет заметную часть ежедневных «поступлений» в лаборатории антивирусных компаний всего мира.

Троянские программы данного типа, как и вирусы, обычно создаются молодыми людьми, у которых нет средств для оплаты интернет-услуг. Характерен тот факт, что по мере удешевления интернет-сервисов уменьшается и удельное количество троянских программ данного типа.

«Мелкими воришками» также создаются троянские программы других типов: ворующие регистрационные данные и ключевые файлы различных программных продуктов (часто — сетевых игр), использующие ресурсы зараженных компьютеров в целях «хозяина» троянской программы-бекдора и т. п.

Криминальный бизнес

Наиболее опасную категорию вирусописателей составляют хакеры-одиночки или группы хакеров, которые осознанно или неосознанно создают вредоносные программы с единственной целью: получить чужие деньги (рекламируя что-либо или просто воруя их), ресурсы зараженного компьютера (опять таки, ради денег — обслуживания спам-бизнеса или организации DoS-атак с целью дальнейшего шантажа).

Обслуживание рекламного и спам-бизнеса является одним из основных видов деятельности данных хакеров. Для рассылки спама ими создаются специализированные троянские proxy-сервера, которые затем внедряются в десятки тысяч компьютеров. Затем данная сеть «зомби-машин» поступает на «черный» интернет-рынок, где приобретается спамерами. Для внедрения в операционную систему и дальнейшего обновления принудительной рекламы создаются утилиты, использующие откровенно «хакерские» методы: незаметную инсталляцию в систему, разнообразные маскировки (чтобы затруднить удаление рекламного софта), противодействие антивирусным программам.

Вторым основным видом деятельности подобных вирусописателей является создание, распространение и обслуживание троянских программ-шпионов, направленных на воровство денежных средств с персональных (а если повезет — то и с корпоративных) «электронных кошельков» или с обслуживаемых через интернет банковских счетов. Троянские программы данного типа собирают информацию о кодах доступа к счетам и пересылают ее своему «хозяину».

Третьим типом криминальной деятельности данной группы является интернет-рэкет, т. е. организация массированной DoS-атаки на один или несколько интернет-ресурсов с последующим требованием денежного вознаграждения за прекращение атаки. Обычно под удар попадают интернет-магазины, букмекерские конторы — т. е. компании, бизнес которых напрямую зависит от работоспособности веб-сайта компании.

Данная категория вирусописателей является причиной многочисленных вирусных эпидемий, инициированных для массового распространения и установки описанных выше троянских компонент.

Нежелательное программное обеспечение

Системы навязывания электронной рекламы, различные «звонилки» на платные телефонные номера, утилиты, периодически предлагающие пользователю посетить те или иные платные веб-ресурсы, прочие типы нежелательного программного обеспечения — они также требуют технической поддержки со стороны программистов-хакеров. Данная поддержка требуется для реализации механизмов скрытного внедрения в систему, периодического обновления своих компонент и противодействия антивирусным программам.

Очевидно, что для решения данных задач в большинстве случаев также используется труд хакеров, поскольку перечисленные задачи практически совпадают с функционалом троянских программ различных типов.

http://www.viruslist.com

[a2z]

Типы вредоносных программ

К вредоносному программному обеспечению относятся сетевые черви, классические файловые вирусы, троянские программы, хакерские утилиты и прочие программы, наносящие заведомый вред компьютеру, на котором они запускаются на выполнение, или другим компьютерам в сети.

Сетевые черви

К данной категории относятся программы, распространяющие свои копии по локальным и/или глобальным сетям с целью:

* проникновения на удаленные компьютеры;
* запуска своей копии на удаленном компьютере;
* дальнейшего распространения на другие компьютеры в сети.

Для своего распространения сетевые черви используют разнообразные компьютерные и мобильные сети: электронную почту, системы обмена мгновенными сообщениями, файлообменные (P2P) и IRC-сети, LAN, сети обмена данными между мобильными устройствами (телефонами, карманными компьютерами) и т. д.

Большинство известных червей распространяется в виде файлов: вложение в электронное письмо, ссылка на зараженный файл на каком-либо веб- или FTP-ресурсе в ICQ- и IRC-сообщениях, файл в каталоге обмена P2P и т. д.

Некоторые черви (так называемые «безфайловые» или «пакетные» черви) распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код.

Для проникновения на удаленные компьютеры и запуска своей копии черви используют различные методы: социальный инжиниринг (например, текст электронного письма, призывающий открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый на полный доступ), ошибки в службах безопасности операционных систем и приложений.

Некоторые черви обладают также свойствами других разновидностей вредоносного программного обеспечения. Например, некоторые черви содержат троянские функции или способны заражать выполняемые файлы на локальном диске, т. е. имеют свойство троянской программы и/или компьютерного вируса.

Классические компьютерные вирусы

К данной категории относятся программы, распространяющие свои копии по ресурсам локального компьютера с целью:

* последующего запуска своего кода при каких-либо действиях пользователя;
* дальнейшего внедрения в другие ресурсы компьютера.

В отличие от червей, вирусы не используют сетевых сервисов для проникновения на другие компьютеры. Копия вируса попадает на удалённые компьютеры только в том случае, если зараженный объект по каким-либо не зависящим от функционала вируса причинам оказывается активизированным на другом компьютере, например:

* при заражении доступных дисков вирус проник в файлы, расположенные на сетевом ресурсе;
* вирус скопировал себя на съёмный носитель или заразил файлы на нем;
* пользователь отослал электронное письмо с зараженным вложением.

Некоторые вирусы содержат в себе свойства других разновидностей вредоносного программного обеспечения, например бэкдор-процедуру или троянскую компоненту уничтожения информации на диске.

Троянские программы

В данную категорию входят программы, осуществляющий различные несанкционированные пользователем действия: сбор информации и передача ее злоумышленнику, ее разрушение или злонамеренная модификация, нарушение работоспособности компьютера, использование ресурсов компьютера в злоумышленных целях.

Отдельные категории троянских программ наносят ущерб удаленным компьютерам и сетям, не нарушая работоспособность зараженного компьютера (например, троянские программы, разработанные для массированных DoS-атак на удалённые ресурсы сети).

Хакерские утилиты и прочие вредоносные программы

К данной категории относятся:

* утилиты автоматизации создания вирусов, червей и троянских программ (конструкторы);
* программные библиотеки, разработанные для создания вредоносного ПО;
* хакерские утилиты скрытия кода зараженных файлов от антивирусной проверки (шифровальщики файлов);
* «злые шутки», затрудняющие работу с компьютером;
* программы, сообщающие пользователю заведомо ложную информацию о своих действиях в системе;
* прочие программы, тем или иным способам намеренно наносящие прямой или косвенный ущерб данному или удалённым компьютерам.

http://www.viruslist.com

[Vadim]

"Доктор Веб": в сентябре вирусы активизировались

Сентябрь 2006 года оказался достаточно богатым в плане вирусной активности по сравнению с предыдущими двумя месяцами, утверждают эксперты компании «Доктор Веб».

Наиболее заметными событиями стало появление новой модификации почтового червя Win32.HLLM.Perf, распространяющегося в виде прикреплённого файла с расширением *.hta. Подобная технология позаимствована у представителей другого семейства почтовых червей – Win32.HLLM.Graz. По сравнению с предыдущими своими модификациями, новый вариант Win32.HLLM.Perf дополнился функцией распространения по файлообменным сетям. Распространение этой модификации практически сразу же приняло эпидемический характер.

Заметным событием стало появление и распространение почтового червя массовой рассылки Win32.HLLM.Limar. Темы инфицированных писем не блещут новизной: наиболее часто встречающиеся - Mail server report, Server report, Error, Mail Delivery System – т.е. имитируется ошибка доставки корреспонденции. Подобный метод введения пользователя в заблуждение уже встречался раньше – в многочисленных модификациях почтового червя Win32.HLLM.MyDoom. Win32.HLLM.Limar обладает функциями обновления своих программных модулей, закачки дополнительных вредоносных программ, а также противодействия некоторым программам сетевой безопасности. В базу Dr.Web была внесена запись, позволяющая детектировать широкий спектр модификаций данного червя – Win32.HLLM.Limar.based.

Службой вирусного мониторинга компании «Доктор Веб» в течение месяца наблюдались различного рода фишинговые атаки. Наиболее массовой была атака от имени Fifth Third Bank – в письмах сообщалось об обновлении применяемого программного обеспечения, и пользователю предлагалось подтвердить свои личные данные. Переход по ссылкам, указанным в письмах, приводил к потере денежных средств неосторожного пользователя. Другими примерами фишинга были письма от имени банковской системы PayPal, а также платёжной системы Visa. Подобные письма детектируются антивирусов Dr.Web как Trojan.Bankfraud.380 – Trojan.Bankfraud.388.

Определённым, но несильным «возмутителем спокойствия» стал Trojan.Encoder.9 – попытка возрождения нашумевших в своё время модификаций семейства Trojan.Encoder. Но в отличие от своих ранних модификаций, Trojan.Encoder.9 является лишь слабой попыткой вирусописателя сыграть на «славе» предыдущих модификаций этого семейства - шифрует файлы при помощи алгоритма XOR, длина ключа составляет 8 байт. Шифруемые файлы переименовывает с префиксом "_CRYPTED_". При шифровании округляет размер файла, чтобы он был кратен 8 - дописывает от 1 до 8 нулевых байт. Напомним, что более ранние представители семейства Trojan.Encoder шифровали файлы, применяя криптоалгоритм RSA.

Популярность тенденции распространения вирусов посредством спам-писем подтвердило появление червя Win32.HLLW.Cicar, маскирующегося под пикантный клип некой Daniela Cicarelli. Будучи запущенным неосторожным пользователем, червь закачивал на компьютер жертвы другую вредоносную программу для похищения паролей к банковским системам, получившую наименование по классификации Dr.Web - Trojan.PWS.Banker.5094.

Большой шум вызвало «появление» троянской программы для мобильных телефонов Trojan.Webser, аналог Trojan.RedBrowser. Данный троян представляет собой Java-приложение (J2ME), что позволяет удалить его штатными средствами мобильного телефона без применения антивирусных средств. Еще в мае этого года вирусной лабораторией компании «Доктор Веб» было обнаружено приложение, получившие по классификации Dr.Web название Adware.Freesms, которое послужило основой для Trojan.Webser, и было, очевидно, «пробой пера» автора. – троянские программы данного типа не могут самостоятельно распространяться и выполнять свои функции на мобильном устройстве. Для того, чтобы троянская программа начала функционировать, пользователю необходимо самому установить данное приложение и дать разрешение на запуск и доступ к сети.

Другим заметным представителем вредоносных программ является Trojan.Popuper, распространяющийся, в основном, под видом кодека для различных мультимедийных файлов. Для затруднения детектирования своего «детища» антивирусными средствами, авторы троянской программы часто модифицируют её на уровне исходных текстов.

В сентябре 2006 года возросло количество вредоносных программ, направленных на похищение паролей с целевого компьютера – главный акцент делается пароли к банковским системам. Наиболее популярным установки вредоносных программ на компьютер пользователя по-прежнему остаётся применение различного рода загрузчиков.

Топ-двадцатка наиболее распространённых вирусов за сентябрь 2006 года по версии "Доктора Веб" выглядит так (наименование и % от общего количества):
Win32.HLLM.Beagle 17.09
Win32.HLLM.Netsky.35328 13.57
Win32.HLLM.Perf 10.63
Win32.HLLM.Netsky.based 9.31
Win32.HLLM.MyDoom.based 8.41
Trojan.Bankfraud.272 6.00
Win32.HLLM.Beagle.pswzip 4.24
Win32.HLLM.Graz 3.83
Win32.HLLM.MyDoom 3.15
Win32.HLLM.MyDoom.33808 2.47
Win32.HLLM.MyDoom.49 1.87
Win32.HLLM.Beagle.19802 1.31
Win32.HLLM.Netsky 1.22
Exploit.IframeBO 1.16
Win32.HLLM.Limar.based 1.15
Program.RemoteAdmin 1.05
Win32.HLLM.Bagz 0.96
Win32.HLLM.Perf.based 0.75
Win32.HLLM.Lovgate.9 0.74
Win32.HLLM.Beagle.27136 0.66

Прочие вредоносные программы 10.39

Источник: CNews

[a2z]

Цитата: Vadim Trojan.Encoder.9 является лишь слабой попыткой вирусописателя сыграть на «славе» предыдущих модификаций этого семейства - шифрует файлы при помощи алгоритма XOR, длина ключа составляет 8 байт. Шифруемые файлы переименовывает с префиксом "_CRYPTED_".

Насчет предыдущей "славы"... Помню, был вирус который шифровал файлы пользователя с помошью какого то стойкого алгоритма, потом писал информацию "аля ваши файлы зашифрованы таким то таким вирусом" и требовал! у владельца зараженного ПК выслать деньги на счет по такому адресу, чтобы позже автор вируса прислал программу для их декодировки. Естественно несколько из особо умных отправили таки кровно заработанные деньги на ветер (вроде в америку). После этого, речи о восстановлении потеряной информации никто конечно и не слышал...
Вывод: Всем антирусы!

[NOboDy]

Десять самых разрушительных вирусов в истории
(по мнению TechWeb)

CIH aka Чернобыль (1998)

Приблизительный ущерб: $20-80 млн, не считая огромного количества уничтоженных данных. Этот вирус пришел с Тайваня в июне 1998 г. и стал одним из самых опасных и разрушительных вирусов в человеческой истории. Работает только под Windows95/98 и заражает PE-файлы (Portable Executable). Имеет довольно небольшую длину - около 1Кб. Был обнаружен "в живом виде" на Тайване в июне 1998. Код вируса исполнялся как приложение Ring0 и перехватывал фунцию открытия файлов. Из-за чего расползался по компу с головокружительной скоротью. 26 апреля 1999 года (примерно через год после появления вируса) сработала "логическая бомба", заложенная в его код. По различным оценкам, в этот день по всему миру пострадало около полумиллиона компьютеров - у них оказались уничтожены данные на жестких дисках, а на некоторых плюс к тому испорчено содержимое микросхем BIOS на материнских платах. Данный инцидент стал настоящей компьютерной катастрофой - вирусные эпидемии и их последствия никогда до того не были столь масштабными и не приносили таких убытков.
В апреле 1999 автор вируса был найден, им оказался студент Тайваньского технологического института Чень Ин-Хао (CIH — его инициалы). Однако, из-за отсутствия жалоб на действия вируса со стороны местных компаний, у полиции не было оснований для его ареста.
Парадокс!



Melissa (1999)

Приблизительный ущерб: $300-600 млн. В пятницу, 26 марта 1999 г., макро-вирус W97M/Melissa попал на первые страницы газет в разных странах. Оказалось, что за очень короткое время вирус поразил от 15 до 20% деловых компьютеров в мире. Вредоносная программа распространялась по электронной почте настолько быстро, что многие крупные корпорации, включая Intel и Microsoft, были вынуждены блокировать почтовый трафик во внутренней сети.
Правоохранительные органы США нашли и арестовали автора Melissa. Им оказался 31-летний программист из Нью Джерси, Дэвид Л. Смит. Вскоре после ареста Смит начал плодотворное сотрудничество с ФБР и, учтя это, федеральный суд приговорил его к 20 месяцам тюремного заключения и штрафу в размере 5 000 $ США.

ILOVEYOU (2000)

Приблизительный ущерб: $10-15 млрд. Также известный как Loveletter и The Love Bug. 3 мая 2000 г. вирус впервые был обнаружен в Гонконге. Программа распространялась по электронной почте с темой сообщения «Я тебя люблю» и вложением в виде файла с «двойным» расширением .txt.vbs. Вирус размножался точно так же, как и Melissa: он рассылал свои копии по адресам из адресной книги Microsoft Outlook. На зараженном компьютере осуществлялся поиск логинов и паролей, которые высылались автору вируса. Автора нашли – им оказался гражданин Филиппин. Он не понес никакого наказания, потому что на Филиппинах не было законов против этого вида преступлений.

Code Red (2001)

Приблизительный ущерб: $2,6 млрд. Сетевой червь Code Red начал стремительно распространяться в интернете 13 июля 2001 г., эксплуатируя дыру в веб-сервере Microsoft IIS. Патч, закрывающий эту дыру, был выпущен MS за месяц до этого, но это не смогло предотвратить эпидемию.
Дефейс в исполнении Code Red:
115230910221-codered.jpg
Созданный в Китае червь был запрограммирован на максимальный ущерб: он активно искал другие уязвимые системы, чтобы заразить максимальное количество серверов. В заданный день должна была начаться распределенная DoS-атака по списку IP-адресов, включая серверы американского правительства. Менее чем за неделю вирус заразил почти 400 тыс. серверов.

SQL Slammer (2003)

Поскольку вирус начал распространяться в субботу, то ущерб от потери рабочего времени оказался минимальным. Однако червь заразил полмиллиона серверов по всему миру и на 12 часов отключил Южную Корею от интернета. Вирус начал свое распространение 25 января 2003 г., что сразу же негативно отразилось на глобальном интернет-трафике. Его мишенью были серверы. Червь присутствовал только в памяти зараженных компьютеров и не создавал своих копий в дисковых файлах. Более того, никак не проявлял себя (помимо сетевой активности зараженного компьютера). Вирус представлял собой 376-байтный пакет данных, который попав на благодатную почву (MSDE), генерировал случайный IP-адрес и копировал себя туда. Если по этому адресу находился сервер с непропатченной версией Microsoft SQL Server Desktop Engine, то этот компьютер тоже немедленно начинал демонстрировать такое же поведение: массовая рассылка по случайным адресам. Червь инфицировал первые 75.000 компьютеров всего за 10 минут, а огромные массивы мусорного трафика быстро перегрузили каналы связи по всему миру.

Blaster (2003)

Приблизительный ущерб: $2-10 млрд. Лето 2003 г. было очень благоприятным для распространения разнообразных вирусов. Тогда были зарегистрированы сразу несколько эпидемий. Практически одновременно начали распространяться вирусы Blaster и Sobig. Первый из них, известный также под именами Lovsan и MSBlast, был обнаружен 11 августа, и всего за два дня эпидемия достигла пика. Вирус поражал персональные компьютеры под управлением Windows 2000 и Windows XP.Распространялся по глобальным сетям, используя для своего размножения уязвимость в службе DCOM RPC Microsoft Windows.
Содержит в себе обращение к Биллу Г. :
115231092521-blaster_s.jpg

Sobig.F (2003)

Приблизительный ущерб: $5-10 млрд, более 1 млн инфицированных ПК. Эпидемия Sobig началась сразу же после эпидемии Blaster, превратив август 2003 г. в самый тяжелый месяц для антивирусных фирм и пользователей по всему миру. Модификация Sobig.F была самой разрушительной. Она появилась в интернете 19 августа и поставила новый мировой рекорд (вскоре побитый MyDoom), заразив более 1 млн компьютеров за 24 часа. Вирус размножался традиционным способом — по электронной почте через файловые вложения. На этот раз они имели расширение .pif. Интересно, что 10 сентября 2003 г. вирус самостоятельно дезактивировался и больше не представлял собой угрозы. Несмотря на это, корпорация Microsoft объявила награду в $250 тыс. за голову автора, но его до сих пор не нашли.

Bagle (2004)

Приблизительный ущерб: десятки миллионов долларов, и с каждым днем все больше. Классический почтовый червь Bagle (Beagle) появился в Сети 18 января 2004 г. Он заражал компьютеры через хорошо опробованный до этого механизм — файловые вложения по электронной почте. После заражения вирус открывал бэкдор в систему, так что злоумышленник получал в нее полный доступ. К настоящему моменту известно от 60 до 100 модификаций Bagle, некоторые из которых до сих пор активны.

MyDoom (2004)

На пике эпидемии среднее время отклика в интернете увеличилось на 10%, а скорость загрузки сайтов замедлилась на 50%. Всего за несколько часов 26 января 2004 г. эпидемия MyDoom (Norvarg) распространилась по всему интернету. Такой скорости распространения раньше не демонстрировал ни один вирус. Червь распространялся по электронной почте через вложения с темой сообщения «Mail Transaction Failed». Он также пытался размножаться через пиринговую сеть Kazaa. По мнению экспертов, в какой-то момент зараженным оказалось каждое десятое почтовое сообщение в мировом почтовом трафике. Оригинальный штамм самостоятельно прекратил активность 12 февраля 2004 г.

Sasser (2004)

Приблизительный ущерб: десятки миллионов долларов. Sasser начал распространяться 30 апреля 2004 г., что привело к блокированию спутниковой связи некоторых французских новостных агентств, отмене нескольких авиарейсов компании Delta и блокированию многих компьютерных систем по всему миру. В отличие от предыдущих вирусов, Sasser распространялся не по электронной почте, а использовал дыру в безопасности систем Windows 2000 и Windows XP. Поражая компьютер, он сканировал порты в поисках новых жертв. Вирус был написан 17-летним немецким школьником. Он выпустил свое творение в день рождения, когда ему исполнилось восемнадцать. К настоящему моменту Sasser остается последним из вирусов, которые нанесли человечеству значительный ущерб. С тех пор уже более двух лет сохраняется относительно стабильная ситуация.
Это, я думаю, многие видели:
115231435221-sasser.jpg

Источники:
http://www.techweb.com,
http://viruslist.com,
и др.

[a2z]

Что делать, если ваш компьютер заражен?

Непрофессионалу сложно обнаружить присутствие вирусов на компьютере, поскольку они умело маскируются среди обычных файлов. В данной главе мы постараемся наиболее подробно описать признаки заражения компьютера, а также способы восстановления данных после вирусной атаки и меры по предотвращению их поражения вредоносными программами.

Признаки заражения

Есть ряд признаков, свидетельствующих о заражении компьютера:

* вывод на экран непредусмотренных сообщений или изображений;
* подача непредусмотренных звуковых сигналов;
* неожиданное открытие и закрытие лотка CD-ROM-устройства;
* произвольный, без вашего участия, запуск на компьютере каких-либо программ;
* при наличии на вашем компьютере межсетевого экрана, появление предупреждений о попытке какой-либо из программ вашего компьютера выйти в интернет, хотя вы это никак не инициировали.

Если вы замечаете, что с компьютером происходит подобное, то с большой степенью вероятности можно предположить, что ваш компьютер поражен вирусом.

Кроме того, есть некоторые характерные признаки поражения вирусом через электронную почту:

* друзья или знакомые говорят вам о сообщениях от вас, которые вы не отправляли;
* в вашем почтовом ящике находится большое количество сообщений без обратного адреса и заголовка.

Следует отметить, что не всегда такие признаки вызываются присутствием вирусов. Иногда они могут быть следствием других причин. Например, в случае с почтой зараженные сообщения могут рассылаться с вашим обратным адресом, но не с вашего компьютера.

Есть также косвенные признаки заражения вашего компьютера:

* частые зависания и сбои в работе компьютера;
* медленная работа компьютера при запуске программ;
* невозможность загрузки операционной системы;
* исчезновение файлов и каталогов или искажение их содержимого;
* частое обращение к жесткому диску (часто мигает лампочка на системном блоке);
* интернет-браузер «зависает» или ведет себя неожиданным образом (например, окно программы невозможно закрыть).

В 90% случаев наличие косвенных симптомов вызвано сбоем в аппаратном или программном обеспечении. Несмотря на то, что подобные симптомы с малой вероятностью свидетельствуют о заражении, при их появлении рекомендуется провести полную проверку вашего компьютера установленной на нем антивирусной программой. В случае отсутствия таковой, мы предлагаем скачать и установить пробную версию Антивируса Касперского Personal, которая будет полностью работоспособна две недели с момента установки.

Что делать при наличии признаков заражения

Если вы заметили, что ваш компьютер ведет себя «подозрительно»:

1. Не паникуйте! Не поддаваться панике — золотое правило, которое может избавить вас от потери важных данных и лишних переживаний.
2. Отключите компьютер от интернета.
3. Отключите компьютер от локальной сети, если он к ней был подключен.
4. Если симптом заражения состоит в том, что вы не можете загрузиться с жесткого диска компьютера (компьютер выдает ошибку, когда вы его включаете), попробуйте загрузиться в режиме защиты от сбоев или с диска аварийной загрузки Windows, который вы создавали при установке операционной системы на компьютер.
5. Прежде чем предпринимать какие-либо действия, сохраните результаты вашей работы на внешний носитель (дискету, CD-диск, флэш-карту и пр.).
6. Скачайте и установите пробную или же купите полную версию Антивируса Касперского Personal, если вы этого еще не сделали и на вашем компьютере не установлено других антивирусных программ.
7. Получите последние обновления антивирусных баз. Если это возможно, для их получения выходите в интернет не со своего компьютера, а с незараженного компьютера друзей, из интернет-кафе, с работы. Лучше воспользоваться другим компьютером, поскольку при подключении к интернету с зараженного компьютера есть вероятность отправки вирусом важной информации злоумышленникам или распространения вируса по адресам вашей адресной книги. Именно поэтому при подозрении на заражение лучше всего сразу отключиться от интернета. (Если вы используете Антивирус Касперского, вы можете получить обновления антивирусных баз на дискете или диске у «Лаборатории Касперского» или ее дистрибьюторов и обновить свои базы из этого источника).
8. Установите рекомендуемый уровень настроек антивирусной программы.
9. Запустите полную проверку компьютера.

http://www.viruslist.com

[a2z]

Файловые вирусы

Вирус может внедриться в файлы трех типов: командные файлы (BAT), загружаемые драйверы (SYS) в том числе IO.SYS и MSDOS.SYS, и выполняемые двоичные файлы (EXE, COM) включая новые типы EXE-файлов (NEW EXE) и NLM-файлы, выполняемые в операционных системах типа MS-Windows, OS/2, Novell Netware и т.д.
Возможно внедрение вируса в файлы данных, но эти случаи возникают либо в результате ошибки вируса, либо при проявлении вирусом своих агрессивных свойств. Конечно, возможно существование вирусов, заражающих файлы, которые содержат исходные тексты программ, библиотечные или объектные модули, но подобные способы распространения вируса слишком экзотичны и поэтому в дальнейшем не рассматриваются.
На сегодняшний день известны всего несколько видов BAT-вируса. Они не представляют интереса, так как достаточно примитивны и очень просто обнаруживаются а после чего удаляются.

Внедрение вируса в SYS-файл
Вирусы, внедряющиеся в SYS-файл, приписывают свои коды к телу файла и модифицируют адреса программ стратегии (Strategy) и прерывания (Interrupt) заражаемого драйвера (встречаются вирусы, изменяющие адрес только одной из программ). При инициализации зараженного драйвера вирус перехватывает соответствующий запрос операционной системы, передает его драйверу, ждет ответа на этот запрос, корректирует его и остается в оперативной памяти вместе с драйвером в одном блоке памяти. Такой вирус может быть чрезвычайно опасным и живучим, так как внедряется в оперативную память при загрузке DOS раньше любой антивирусной программы, если она, конечно, тоже не является драйвером.

Внедрение вируса в COM- и EXE-файлы
Выполняемые двоичные файлы имеют форматы COM или EXE, отличающиеся заголовком и способом запуска программ на выполнение. Расширение имени файла (".COM" или ".EXE") не всегда соответствует действительному формату файла, что, правда, никак не влияет на работу программы. Файлы COM и EXE заражаются по-разному, следовательно вирус должен отличать файлы одного формата от другого. Вирусы решают эту задачу двумя способами: одни анализируют расширение имени файла (".COM", ".EXE"), другие - заголовок файла. Первый способ далее будет называться заражением .COM- (или .EXE-) файлов, второй - заражением COM- (или EXE-) файлов. В большинстве случаев вирус инфицирует файл корректно, т.е. по информации, содержащейся в теле вируса, можно полностью восстановить зараженный файл. Но вирусы, как и большинство программ, часто содержат незаметные с первого взгляда ошибки. Из-за этого даже вполне корректно написанный вирус может необратимо испортить файл при его заражении. Например, вирусы, различающие типы файлов по расширению имени (.COM, .EXE), очень опасны, так как портят файлы, у которых расширение имени не соответствует внутреннему формату.

Файловые вирусы при распространении внедряются в тело заражаемого файла: в его начало, конец или середину. Существует несколько возможностей внедрения вируса в середину файла: он может быть скопирован в таблицу настройки адресов EXE-файла ("BootExe"), в область стека файла COMMAND.COM ("Lehigh"), может "раздвинуть" файл или переписать часть файла в его конец, а свои коды в освободившееся место ("April1st.Exe", "Phoenix"), и т. д. Кроме того, копирование вируса в середину файла может произойти в результате ошибки вируса - в этом случае файл может быть необратимо испорчен. Встречаются и другие способы внедрения вируса в середину файла, например, вирус "Mutant" применяет метод компрессирования некоторых участков файла.

Внедрение вируса в начало файла
Известны три способа внедрения вируса в начало файла. Первый способ заключается в том, что вирус переписывает начало заражаемого файла в его конец, а сам копируется в освободившееся место. При заражении файла вторым способом вирус создает в оперативной памяти свою копию, дописывает к ней заражаемый файл и сохраняет полученную конкатенацию на диск. При заражении третьим способом вирус записывает свои коды в начало файла, не сохраняя старого содержимого начала файла. Естественно, что при этом файл перестает работать и не восстанавливается. Некоторые вирусы, поражающие файлы первым и вторым способом, дописывают блок информации и в конец файла (например, вирус "Jerusalem" по этому блоку отличает зараженные файлы от незараженных).

Внедрение вируса в конец файла
Наиболее распространенным способом внедрения вируса в файл является дописывание вируса в конец этого файла. При этом вирус изменяет начало файла таким образом, что первыми выполняемыми командами программы, содержащейся в файле, являются команды вируса. В COM-файле в большинстве случаев это достигается изменением его первых трех (или более) байтов на коды инструкции JMP Loc_Virus (или в более общем случае - на коды программы, передающей управление на тело вируса). EXE-файл либо переводится в формат COM-файла и затем заражается как COM-файл, либо модифицируется заголовок файла. В заголовке EXE-файла изменяются значение стартового адреса (CS:IP) и значение длины выполняемого модуля (файла), реже - регистры-указатели на стек (SS:SP), контрольная сумма файла и т.д. Дополнительно к этому длины файлов перед заражением могут увеличиваться до значения, кратного параграфу (16 байт).

Алгоритм работы файлового вируса
Вирус, после передачи ему управления, совершает следующие действия (приведен список наиболее общих действий вируса при его выполнении; для конкретного вируса список может быть дополнен, пункты могут поменяться местами и значительно расшириться) :
- восстанавливает программу (но не файл) в исходном виде (например, у COM-программы восстанавливаются первые несколько байт, у EXE-программы вычисляется истинный стартовый адрес, у драйвера восстанавливаются значения адресов программ стратегии и прерывания);
- если вирус резидентный, то он проверяет оперативную память на наличие своей копии и инфицирует память компьютера, если копия вируса не найдена; если вирус нерезидентный, то он ищет незараженные файлы в текущем и (или) корневом оглавлении, в оглавлениях, отмеченных командой PATH, сканирует дерево каталогов логических дисков, а затем заражает обнаруженные файлы;
- выполняет, если они есть, дополнительные функции: деструктивные действия, графические или звуковые эффекты и т.д. (дополнительные функции резидентного вируса могут вызываться спустя некоторое время после активизации в зависимости от текущего времени, конфигурации системы, внутренних счетчиков вируса или других условий; в этом случае вирус при активизации обрабатывает состояние системных часов, устанавливает свои счетчики и т.д.);
- возвращает управление основной программе.

Метод восстановления программы в первоначальном виде зависит от способа заражения файла. Если вирус внедряется в начало файла, то он либо сдвигает коды зараженной программы на число байт, равное длине вируса, либо перемещает часть кода программы из ее конца в начало, либо восстанавливает файл на диске, а затем запускает его (см. Внедрение вируса в начало файла). Если вирус записался в конец файла, то при восстановлении программы он использует информацию, сохраненную в своем теле при заражении файла. Это может быть длина файла, несколько байт начала файла в случае COM-файла или несколько байтов заголовка в случае EXE-файла. Если же вирус записывается в середину файла специальным образом, то при восстановлении файла он использует также специальные алгоритмы.

http://mycomp.com.ua

[Dead Krolik]

Оффтоп

Оффтоп

arhipet2z старье-то какое. Это же DOS-only

[a2z]

Оффтоп

Оффтоп

Dead Krolik, для общего развития

[a2z]

Зараженные вирусом плееры iPod атаковали Windows

Компания Apple обнаружила в собственных плеерах iPod вирус, представляющий опасность для компьютеров, которые работают под операционной системой Windows.

Примечательно, что пользователям Macintosh вирус навредить не сможет. Партия плееров iPod Video, выпущенных после 12 сентября 2006 года, оказалась зараженной вирусом RavMonE.exe. Общее количество опасных устройств не называется.

В официальном заявлении компания выразила сожаление, что Windows не может справиться с этим вирусом и отметила, что число опасных плееров не превышает 1% от устройств, выпущенных за этот период. В Apple выразили уверенность в том, что большинство ПК, оснащенные современными антивирусными программами, смогут без труда найти и обезвредить вирус.
Однако для полной уверенности компания опубликовала на своем сайте список антивирусов, способных справиться с угрозой заражения. Обнаружить вредоносную программу специалистам Apple удалось благодаря своим ответственным поклонникам. В адрес компании было направлено свыше 20 сообщений о вирусе, попавшем на их ПК из плеера iPod.

О том, как программа оказалась в устройстве, говорится лишь вскользь – «источником распространения вируса стал компьютер на заводе по изготовлению iPod».

http://www.cnews.ru

[a2z]

Уязвимостей уже больше, чем за весь прошлый год

Согласно статистике, собранной компанией Internet Security Systems, количество новых узявимостей, обнаруженных в программном обеспечении за первые девять месяцев года, уже превысило на 105 общее число брешей, зарегистрированных за весь 2005 год, и составило 5300.

Из них 871 были найдены в операционных системах Microsoft, 701 - в Unix, а 3219 затрагивают несколько платформ, включая Linux. Доля критических уязвимостей (позволяющих написать червь, способный создать эпидемию) составила 0,4% от общего числа, 16,6% признаны высокоопасными (позволяющими взять под контроль хост-систему), 63% - средней степени опасности (позволяющими получить доступ к файлам или повысить привилегии), 20% - малоопасными (позволяющими получить закрытую информацию или организовать DoS-атаку).

По классам уязвимостей распределение следующее: допускающие межсайтовый скриптинг - 14,5%, допускающие SQL-инъекции - 10,9%, вызывающие переполнение буфера - 10,8%, позволяющие выполнить обход дерева каталогов сайта - 3%. По сравнению с 2005 годом количество критических и высокоопасных уязвимостей снизилось на 8%.

http://www.osp.ru