Květen/Červen 2000

Toto vydání virových novinek jsem pojal trochu jinak. Rozhodl jsem se do nich zahrnout i něco jiného, přesněji něco „z druhé strany“, tedy o antivirových novinkách.

Katastrofa se jménem ILoveYou je již za námi, ale zanechala po sobě celkem pěkné následky. Kromě škod, se totiž červ ILoveYou postaral o to, že programovací jazyk, ve kterém je naprogramován, tedy Visual Basic se stal velice populárním. Již během několika hodin od objevení červa ILoveYou se začaly objevovat nové, drobně se lišící varianty. Je to způsobeno tím, že Visual Basic Script se nachází ve zcela obyčejném textovém souboru (podobně jako dávkové BAT soubory) a osoba, která chce červa pozměnit, nemusí používat žádné kompilátory, ale vystačí si například s obyčejným „poznámkovým blokem". V této chvíli se vyskytuje několik desítek variant červa ILoveYou, antivirové programy je označují nejčastěji jako VBS/LoveLetter.B, VBS/LoveLetter.C, .D, .E až Z. Pak následujou další s písmeny VBS/LoveLetter.AA, .AB, .AC atd. Zajímavý případ vznikl, když jeden člověk na serveru www.builder.cz uveřejnil okomentovaný zdrojový kód červa VBS/LoveLetter. Ten byl nakonec na návrh antivirových firem stažen, autor komentáře totiž netušil, že díky jeho komentářům vytvořil novou variantu červa ! Pokud se červ odlišuje od svého vzoru ILoveYou více, zaslouží si nové jméno.

Příkladem může být červ VBS/NewLove, který se objevil přibližně v polovině května. NewLove se šíří prostřednictvím souborů, které připojuje k odesílané poště. Subjekt zprávy ani název připojeného souboru nemá stálou podobu. Červ totiž generuje subjekt zprávy podle názvu souborů v adresáři Windows\Recent. Pokud se tam žádný soubor nevyskytuje, červ generuje název souboru a subjekt zcela náhodně. Většinou tak vznikne směs znaků, které nedávají žádný smysl. Začátek subjektu obsahuje vždy zkratku "FW:" a na konci je připojena jedna z těchto přípon: Doc, Xls, Mdb, Bmp, Mp3, Txt, Jpg, Gif, Mov, Url, Htm, Txt. Připojený soubor má stejný název jako obsah subjektu, je však odstraněn začátek "FW:" a na konci naopak přidaná přípona ".VBS". Pro chod VBS červa je jako ve všech ostatních případech nutná podpora VBScriptů ze strany Windows - Windows Scripting Host. K dalšímu šíření pak potřebuje klienta MS Outlook z jehož „knihy adres“ získává e-mail adresy dalších obětí, ke kterým ihned odesílá svoji kopii. Pokud používáte jiného poštovního klienta, červ se nedokáže šířit, ale o jeho destruktivní akci nepřijdete. Na všech dostupných discích totiž VBS/NewLove přepisuje všechny soubory tak, že jejich obsah je nenávratně ztracen. Červ VBS/NewLove se snaží být polymorfní. Svoje tělo totiž v každé generaci postupně prokládá několika řádky nesmyslů. Díky tomu je tělo červa stále větší a každá další generace je přibližně o 60% větší než ta předchozí. Červ VBS/NewLove způsobil obrovský rozruch, i když se ve skutečnosti nejednalo o nic hrozného.

Jeden z řady červů zřejmě došel i do Microsoftu - tato společnost totiž začala po 1,5 letech (!!) od objevení jednoho z prvních červů (Happy99) vyvíjet ochranu proti zneužití e-mailového klienta MS Outlook. Myslím, že to přišlo hodně pozdě a navíc je vydaný upgrade pro MS Outlook terčem kritiky. Laťka byla nastavena až příliš vysoko, a některé uživatele produktu MS Outlook může upgrade až příliš omezovat. VBS červi ovlivnili i vývoj některých antivirů. Kolem 10.5.2000 se u slovenského antiviru NOD (www.eset.sk) objevila zřejmě první heuristická analýza na hledání neznámých VBScriptových červů. Pravděpodobně ve stejný den vznikl i speciální filtr AVP Script Checker (www.avp.ru), který je jakousi spojkou mezi aplikací využívající VBScripty a „motorem“, který je zpracovává. V případě Windows je tímto motorem WSH (Windows Scripting Host). Díky dostupnosti řady VBS červů mohu jen potvrdit, že oba antiviry fungují spolehlivě. Abych nezůstal jen u antivirů NOD a AVP, posunu se dopředu. O několik dnů později totiž vydala společnost Alwil - www.asw.cz (antivirus AVAST) univerzální antivirovou kontrolu elektronické pošty. Ta pracuje prakticky s libovolným e-mailovým klientem. Princip je velice jednoduchý, za to však velice účinný. AVAST tvoří v tomto případě „most“ mezi e-mailovým klientem a poskytovatelem připojení. IP adresy SMTP a POP3 serveru v nastavení klienta totiž ukazují na modul pro kontrolu elektronické pošty AVAST, který obsahuje IP adresy skutečných SMTP a POP3 serverů na straně poskytovatele připojení. Kontrolu elektronické pošty od Alwilu lze tak použít prakticky v libovolném e-mailovém klientu. Jinou a daleko obtížnější cestou se vydala brněnská společnost Grisoft, výrobce antiviru AVG. Ta ve stejnou dobu vypustila modul pro testování příchozí a odchozí pošty v produktu MS Outlook Express 5. Práce na tomto modulu probíhaly již velice dlouhou dobu a problémy (způsobené především ze strany Outlook Expressu) přetrvávají dodnes. Podporu starších / novějších OE nebude Grisoft podobným způsobem zajišťovat. Grisoft totiž plánuje univerzální modul pro kontrolu elektronické pošty. Bude to zřejmě něco podobného jako v případě AVAST.

Opět bych se vrátil k problematice virů, tentokrát mezi tzv. „psychologické viry“ - Hoaxy. Hoax je ve skutečnosti pouze e-mail, který obsahuje nesmyslný text, informující nezkušené uživatele o neexistujícím viru, který podpaluje monitor, vyráží pojistky, či dokonce zabíjí uživatele. Na jeho konci je většinou text, který nabádá uživatele, aby e-mail poslal dále. Najde se vždy hodně lidí, kteří to uposlechnou (i když jde o úplný nesmysl) a obsah tohoto e-mailu pošlou svým kamarádům a známým. Hoax se tak občas šíří rychleji než skutečný virus. V polovině května se jeden takový hoax začal šířit i na území České republiky. Informoval o neexistujícím viru OnlyForYou (zdroj inspirace je jasný - ILoveYou), který údajně provádí řadu zajímavých věcí. Nutno podotknout, že informace v tomto hoaxu vypadaly celkem reálně, popisovaný virus by mohl opravdu ve skutečnosti vzniknout.

Na konci května se pak objevil vcelku nezajímavý makrovirus O97M/Cybernet, který vyzvedla především některá tisková prohlášení antivirových firem. Ve skutečnosti nejde prakticky o nic. Pro běžného uživatele je to jen „další virus k ničemu“. Cybernet se šíří v dokumentech MS Wordu (DOC) a v tabulkách Excelu (XLS). Kromě toho, že se stále „ohání“ nějakými texty, tak ještě 17. srpna a 25. prosince formátuje disk. To je zřejmě důvod, proč z tohoto makroviru udělalo několik antivirových společností aféru typu „jen náš antivirus dokáže tenhle zákeřný makrovirus odhalit" (a peníze se hrnou...).

Něco podobného nastalo i po objevení makroviru W97M/Melissa.BG (W97M/Resume.A) o několik dní později. Jako všechny Melissy se i tahle šíří v dokumentech Wordu, ale to i cestou elektronické pošty. W97M/Melissa.BG po sobě zanechává mnoho škod, maže totiž disky od A: až po Z:.

4. června se ukázalo, že ani čeští autoři virů nespí na vavřínech. Prizzy, Čech ve službách španělské virové skupiny 29A totiž zveřejnil svůj nový virus Win32/Dream. Jednalo se o jeho třetí virus v pořadí a jako obvykle šlo o technickou „lahůdku“ - tzv. High-Tech virus. Virus Win32/Dream napadá PE EXE soubory, ale vkládá se i do souborů s nápovědou Windows (HLP). Části viru „běhají“ v několika procesech (celkem 7) a využívá se tzv. „Interprocess Communication (IPC)“. V praxi se s ním zřejmě nesetkáte, osoba, která si říká Prizzy totiž není typ, který by viry nějak úmyslně šířil. Tuto „špinavou práci“ totiž za něj udělá vždy někdo jiný, většinou ten, kdo narazí na Prizzyho web stránku a na jeho sekci „Download“.

Nějaký Španěl se zřejmě nechal inspirovat populárním červem VBS/LoveLetter, díky kterému vznikl zajímavý červ Timofonica:
Je opět napsán ve VBScriptu. Způsob šíření je jasný, červ k nám příjde v e-mail zprávě se subjektem: "TIMOFONICA". Tělo zprávy obsahuje nějaké texty ve španělštině a v příloze se nachází soubor TIMOFONICA.TXT.vbs. Po spuštění jmenovaného souboru se červ snaží odeslat svoji kopii na další e-mail adresy v „knize adres“ aplikace MS Outlook. Kromě toho odesílá červ Timofonica další zprávy na adresu {náhodné_číslo}@correo.movistar.net, což má za následek, že někteří majitelé mobilních telefonů od společnosti MoviStar obdrží zřejmě SMS zprávu s tímto obsahem: "informa que: Telefónica te est! engaáando". Doufejme, že se nedočkáme české mutace, která by SMS zprávy posílala na xxx@sms.paegas.cz či xxx@sms.eurotel.cz. Do jednoho populárního klíče v registrech ještě ukládá odkaz na soubor CMOS.COM, který se po následujícím restartu počítače postará o přemazání paměti CMOS.
U nás se s ním pravděpodobně nesetkáte.

V úterý 13.6. se stala velice zajímavá událost. Na slovenské televizi Markíza se dokonce objevil příspěvek (v hlavní zpravodajské relaci !), že se přes slovenské hranice někdo pokoušel pašovat cédéčka s antivirovým programem AVG za 11 000 000 Sk !!! Jak se později ukázalo, uvedené čislo je nesmyslné. Tomáš Hofer, pracovník společnosti Grisoft, která antivirus AVG vyrábí, mimo jiné uvedl: "Pracovnice slovenské pobočky našich dodavatelů měla CD-ROM vyložit v Brně, což neučinila a pokračovala v cestě na Slovensko. Na slovenskych hranicich vsak byla CD AVG samozrejme odhalena a zabavena.". Dále pak: "Tato CD-ROM neobsahují samozřejmě žádné sériové číslo, takže spustit z nich lze jen tak maximálně TRIAL verzi nebo aktualizovat stávající instalaci, takže škoda by mohla být jen v řádu několika desítek tisíc, ale to není v tuto chvíli důležité".

Jako by těch červů nebylo dost ! Ke konci června se totiž objevil další: VBS/Stages. Tentokrát jen stručně:
Infikovaná e-mail zpráva vypadá následovně:

  • Subjekt složen ze tří sekcí:
  • Tělo neobsahuje nic, nebo:
  • Příloha, soubor: LIFE_STAGES.TXT.SHS

    Jisté úspěchy zaznamenal i na území České republiky, což je taky jediný důvod, proč o něm píši.

    To je pro toto vydání vše, nashledanou příště !


    Připravil Igor Hák (igi@wo.cz), Igiho stránka o virech: www.viry.cz.