Все новости от 16 ноября 2000 г.

Опасны ли технически продвинутые вирусы?

Технические навороты помогают продавать ПО, но приведут ли они к ускоренному распространению вируса?

На этой неделе несколько антивирусных фирм предупредили пользователей о появлении интернет-червя Hybris, который умеет изменять свои свойства при помощи зашифрованных плагинов, маскироваться под электронные письма на одном из четырех языков и устанавливать связь со своими сородичами через новостные группы. По словам Евгения Касперского, главы московской антивирусной фирмы «Лаборатория Касперского», Hybris представляет собой «возможно, самый изощренный и злостный код в истории компьютерных вирусов».

Однако, как утверждает директор антивирусного отделения компании Network Associates Винсент Джулотто (Vincent Gullotto), это вовсе не означает, что данный вирус опаснее других. «Мы уже видели технически совершенные вирусы, которые не добились успеха; в то же время кустарные поделки иногда производят сокрушительный эффект, — говорит он. — Одной технологии недостаточно, чтобы нанести огромные разрушения, как это было в случае Melissa; для этого нужно быть инженером человеческих душ».

И Network Associates, и «Лаборатория Касперского» ввели защиту от нового червя в последние версии своих антивирусных программ.

Чудо-программа?
Hybris, 32-битное Windows-приложение, распространяется в виде вложения в электронное письмо, поступившее от знакомого жертве адресата. Текст в поле subject и теле письма, а также имя вложенного файла могут быть на английском, французском, испанском или португальском языках и, как правило, связаны с сексом или порнографией. Отправителем обычно значится некий Hahaha. При открытии вложения Hybris заражает файл Winsock32.dll и сохраняет собственную копию в системном каталоге Windows. Затем червь наблюдает за сообщениями, выбирая подходящие адреса для дальнейшего распространения.

Наиболее выдающееся свойство червя, пожалуй, возможность загрузки из интернета до 32 зашифрованных плагинов. Они могут менять его атрибуты, в том числе способ заражения сообщений и адрес, из которого загружаются обновления кода. «Эти компоненты позволяют автору вируса модифицировать свое создание „в реальном времени” и фактически наделяет его властью над зараженными компьютерами во всем мире», — говорится в заявлении Касперского.

Злостные плагины
«Лаборатория Касперского» уже обнаружила пять плагинов, которые:

заражают архивы ZIP и RAR;

отправляют сообщения с зашифрованными плагинами в новостную группу alt.comp.virus;

обнаруживают и заражают компьютеры с неликвидированной известной лазейкой в защите SubSeven;

шифруют собственные копии, препятствуя их обнаружению;

создают произвольные тексты для поля subject, тела сообщения и поля имени на четырех языках.

В прошлый уикенд в новостную группу alt.comp.virus поступило около 3000 сообщений от червя с кажущимся бессмысленным текстом. На самом деле это новые функции, которые червь мог загрузить из веба. Это напоминает поведение биологических вирусов в естественной среде.

Вирус или технологическое достижение?
По мнению редактора интернет-издания "Мифы о вирусах” (Virus Myths) Роберта Розенбергера (Rob Rosenberger), червь действительно содержит некоторые интересные особенности, но штормовое предупреждение Касперского он относит к разряду маркетинговых акций. «Это делается не в первый и наверняка не в последний раз», — говорит Розенбергер. Автор Hybris, по его мнению, интересен, скорее, как создатель любопытной технологии, а не грозного и действительно опасного вируса.

«Не все авторы вирусов и червей ставят своей целью заразить чужие компьютеры, — утверждает веб-мастер сайта Coderz.net по кличке Evul. — Некоторые из них очень талантливы и создают поистине выдающиеся программы. Другие действуют из спортивного интереса». Многие копируют уже существующие вирусы, добавляя немного своего кода. По этой причине авторов вирусов обычно считают неудавшимися программистами.

Однако во многих случаях максимальные разрушения производят вирусы и интернет-черви, очень слабые с точки зрения искусства программирования. По мнению независимого консультанта по защите информации профессора Фреда Коэна (Fred Cohen), единственный способ остановить распространение вирусов — положить конец «мобильным кодам», таким как скрипты и макросы. «Не имея возможности помешать людям писать вирусы, мы должны установить контроль над их средой распространения», — говорит Коган.

Обсуждение и комментарии

	Некто 18 Nov 2000 1:41 PM
фигня какая-то