12:05 04.05.2010 Затейный криптор | |
На сегодняшний день на черном рынке, как известно, свои услуги
предлагают многие начинающие вирусописатели. Некоторые из них хотят
привлечь внимание к своим продуктам, предлагая новые возможности и
технологии, не встречавшиеся ранее. Не так давно на просторах интернета один, по-видимому начинающий,
вирусописатель представил темной публике свое творение на Visual
Basic’е: криптор, обладающий множеством дополнительных функций — на
любой вкус. Среди возможностей этого криптора, помимо стандартной
упаковки файла, указывалась и функция даунлоудера, и детектирование всех
виртуальных сред «новым» методом, и выбор одного из 12 процессов
Windows для внедрения своего кода, и защита файлов паролем. Список
впечатляет. Специальные «вирусные» опции также представлены клиенту:
Здесь очень много занимательных пунктов, но особенно интересны два последних: это атака на BIOS и затирание разделов дисков. Меня заинтересовало, как же реализованы эти функции. Оказалось, что атака на BIOS представляет собой запись в bat-файл на исполнение операционной системой следующего непревзойденного кода на ассемблере: К слову сказать, этот код никогда не будет исполняться на машинах предполагаемых жертв из bat-файла. По-видимому, автор просто нашел в сети примеры ассемблерного кода, позволяющего осуществить затирание данных в BIOS, и не удосужился что-либо исправить. Свидетельством этого является присутствие в bat-файле строки ENTER, являющейся в оригинальном примере комментарием к нажатию соответствующей клавиши в командной строке после ввода необходимых инструкций. Затирание разделов дисков происходит таким же оригинальным способом записи ассемблерного кода в bat-файл. Молодой ситх, однако, демонстрирует хорошее знание vbs, ведь часть своих вредоносных функций в крипторе он реализует с помощью vbs-скриптов, которые записываются на диск прямо из исходного файла. Вот пример части скрипта, заполняющего дисковое пространство путем создания множества файлов с произвольными данными, с забавными комментариями автора: Хотя данный скрипт и будет отрабатываться, весь код криптора,
безусловно, является подтверждением невысокого профессионализма данного
вирусописателя, и в очередной раз наводит на мысль, что не стоит судить о
книге по обложке… точнее, о программе по красивому графическому
интерфейсу | |
|
Всего комментариев: 0 | |