Windows, živná půda pro viry.

 

Ještě před několika lety řada lidí tvrdila, že s nástupem jmenovaného operačního systému Microsoft Windows 95 skončí éra počítačových virů. Dnes je zřejmé, že neměli vůbec pravdu… Windows je totiž živná půda pro viry !

 

Trocha z historie…

 

Zřejmě první virus pro Windows 95 dostal jméno Win95/Boza. Více než jmenovaný virus se šířily zprávy v novinách a časopisech, které na tento virus upozorňovaly. Z toho vyplývá, že Win95/Boza byl značně mentálně postižen.

 

Významnější skutečnou hrozbou se stal až populární virus Win95/CIH, který si vysloužil novinářské jméno Černobyl. Ten se mimo jiné dodnes celkem dobře šíří a 26. dubna způsobuje nemalé škody (mazání dat na pevném disku, pokus o poškození Flash-BIOSu na základní desce).

 

Slovo „červ“ (worm) bylo po dlouhých letech oprášeno hlavně díky příchodu červa Happy99. To byl jeden z prvních, masově se šířících červů. Bližší informace o tomto typu infiltrace uvedu později.

 

Neměl bych zapomenout ani na makroviry. První vzniknul v roce 1996 a šířil se dokumenty tehdejšího textového editoru Microsoft Word 6.0. Díky důkladné lokalizaci celého programu Microsoft Word do češtiny (překladu snad unikl pouze název celé aplikace :) panoval v ČR ještě několik měsíců klid. Menší nepokoje způsobil WM/CAP, který byl schopen provozu pod českou i anglickou mutací Wordu. Daleko citelnější nepokoje způsobil až vznik kancelářského balíku Microsoft Office 97. Tam už prakticky žádné jazykové bariéry neplatí, a tak se může dotyčná havěť vesele šířit po celém světě.

 

W97M/Melissa.A@mm je dokonalou ukázkou spojení makroviru a červa. Podobně jako Happy99 způsobil náležitý rozruch.

 

Co k nám přichází ?

 

Na to mohou odpovědět následující věci:

 

obsahuje takzvané In-the-Wild viry. Pojem In-the-Wild, což v češtině znamená "v divočině" označuje viry, které jsou v praxi nejvíce rozšířené. Tento seznam je vlastně souhrnem hlášení z celého světa. Českou republiku zastupuje Pavel Baudiš (Alwil) a pokud se v seznamu vyskytuje i virus, u jehož názvu jsou uvedeny písmena "Pb", je zřejmé, že se tento virus vyskytuje i na území ČR. Seznam In-the-Wild vychází každý měsíc a často se stává základem pro srovnávací testy antivirů, které provádí například časopis Virus Bulletin. Lze ho najít na adrese www.wildlist.org. Následuje ukázka nejrozšířenějších (přesněji nejhlášenějších virů za měsíc duben/2001.

 

  Freq  Name                       Type      Aliases

 ============================================================================

  38  | W32/MTX-m............... | File    | Matrix, Apology

  37  | VBS/LoveLetter.A-mm..... | Script  | ILoveYou, LoveBug

  32  | W32/Hybris.B-mm......... | File    | Hybris.23040-mm

  30  | VBS/Stages.A-mm......... | Script  | VBS/ShellScrap-mm

  30  | VBS/VBSWG.J-mm.......... | Script  | Anna K, SST, Kalamar.A,

                                             I-Worm.Lee.o

  30  | W32/Ska.A-m............. | File    | HAPPY99

  29  | W32/Navidad.A-m......... | File    | W32/Navidad-m

  28  | JS/Kak.A-m.............. | Script  |

  26  | W95/CIH.1003............ | File    | Spacefiller

  25  | W32/PrettyPark.37376-mm. | File    |

  25  | W97M/Ethan.A............ | Macro   |

  24  | W97M/Marker.C........... | Macro   | W97M/Spooky.C

  23  | W97M/Melissa.A-mm....... | Macro   | Maillissa

  23  | W97M/Thus.A............. | Macro   | W97M/Thursday.A

  22  | O97M/Tristate.C......... | Macro   | O97/Crown.B

  21  | W32/Qaz................. | File    |

  19  | VBS/Freelink-mm......... | Script  |

  17  | VBS/LoveLetter.AS-mm.... | Script  | VBS/Plan.A-mm

  17  | W32/Prolin.A-mm......... | File    | Creative.A-mm

  17  | WM/CAP.A................ | Macro   |

  15  | W32/BleBla.B-mm......... | File    | W32/Verona.B-mm

  15  | W32/Funlove.4099........ | File    |

  15  | W32/Navidad.B-m......... | File    | W32/Emanuel-m

 ============================================================================

 

Organizace, která na několika místech ve světě kontroluje obsah elektronické pošty. Denně jejich systém zkontroluje několik miliónu zpráv a o případném výskytu červa vede záznamy, které jsou pak ve zjednodušené formě k vidění na adrese www.messagelabs.com/viruseye. Údaje jsou vždy naprosto aktuální. Je zřejmé, že kontrolou elektronické pošty lze evidovat především červy, které využívají elektronickou poštu ke svému šíření.

 

VirusEye - poslední měsíc („vyfoceno“ 21.dubna 2001).

 

Při pohledu na seznam PC Viruses In The Wild je zřejmé, že běžného uživatele čeká peklo. Nejvíce se může těšit na červy, Win32 souborové viry a makroviry.

 

Kudy přicházejí ?

 

O tom, kudy k nám bude havěť přicházet, může napovědět opět seznam PC Viruses In The Wild. Zatímco šíření virů přes diskety se stává minulostí, v čele jasně dominuje šíření prostřednictvím elektronické pošty.

 

Infiltraci, která se šíří elektronickou poštou nazýváme červem (worm). V praxi se lze často setkat s označením virus, který však používá poněkud odlišný způsob replikace a proto by nemělo příliš docházet k záměně pojmů červ & virus.

 

Červi

 

Některé speciality:

 

 

Jeden způsob dělení červů:

 

První skupinu zastupuje například červ I-Worm/Haiku, který kromě skládání veršů hledá emailové adresy dalších obětí v některých souborech po celém disku. Na získané emailové adresy pak hromadně, za podpory SMTP serveru někde ve světě, odesílá svoje kopie (tj. soubor haiku.exe, který tvoří attachment - přílohu emailové zprávy). Červ I-Worm/Happy99 (alias Ska) pro změnu modifikuje soubor WSOCK32.DLL tak, aby se při volání služeb Connect a Send aktivoval kód červa, který připojí svoje tělo k odesílanému emailu.

Na rozhraní mezi obě skupiny patří kupříkladu mladý Win32/Magistr, který je kombinací červa a viru. E-mailové adresy „bere“ od některých poštovních klientů, zatímco k odesílání infikovaných zpráv je vůbec nepotřebuje.

Do druhé skupiny pak patří především všechny typy makrovirů, které jsou založeny na principech makroviru W97M/Melissa. Některé antiviry přidávají na konec takových makrovirů označení @mm. Patří sem i VBS/LoveLetter, VBS/AnnaKurnikova apod. Tyto lidské výplody jsou závislé především na klientu MS Outlook, který je součástí kancelářského balíku MS Office 97, 2000.

Červi ve Windows

Červi se nacházejí v souboru samostatně a nepotřebují žádného hostitele (až na vyjímky). Antivirové programy tak ve většině případů mažou všechny soubory, které si červ pro svůj chod v systému vytvořil. Nevracejí však do původního stavu registry Windows, popřípadě soubory, které červ zmodifikoval tak, aby si zajistil včasnou aktivaci po každém startu operačního systému Windows.

Většina červů si zajistí automatické spuštění nejčastěji:

·         pomoci modifikace registrů.

K chaosu, kterému se říká "registry", lze přistoupit například pomoci příkazu regedit. Červi mají v oblibě především klíč:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

V něm vytvářejí nové položky s údaji obsahující cestu k souboru, který se pak při každém startu Windows aktivuje. Mezi další využívané klíče patří především:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

V souboru WIN.INI je občas pod útokem červa řádek RUN= v sekci [WINDOWS].
Podobně je na tom může být i sekce [BOOT] s řádkem SHELL= v souboru SYSTEM.INI. Za sekvencí znaků RUN= se zpravidla nic nenachází. Pokud ano, může to být známka toho, že na počítači je / byl červ. Nemusí se však vždy jednat o červa, občas tyto možnosti využívají i některé užitečné programy. Za řádkem SHELL= se pak běžně vyskytuje pouze příkaz EXPLORER.EXE.

Nakonec bych se mohl zmínit i o klíči HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open

Jeho modifikací si někteří červi zajistí to, že se aktivují přesně v okamžiku, kdy uživatel spustí nějaký ten EXE soubor. Při léčení je nutné nejprve vrátit jmenovaný klíč do původního stavu "%1" %* a až potom odstranit soubory patřící červu. V opačném případě nebude možné spustit žádný EXE soubor (Windows se budou odkazovat na neexistující soubor červa). Problém je v tom, že i program na úpravu registrů je s příponou EXE (regedit.exe). Není tedy nic jednoduššího, než jeho příponu změnit na COM a červa tak oklamat :-) Příkladem z praxe může být červ I-Worm/PrettyPark, který původní hodnotu "%1" %* jmenovaného klíče upraví na FILES32.VXD "%1" %*

Odstraňování červů

Ještě před tím, než se antivirem odmažou infikované soubory, doporučuji odstranit škody v registrech, popřípadě ve WIN.INI či SYSTEM.INI. Tento postup je někdy nutné dodržet. V případě červa PrettyPark se totiž může stát, že díky špatnému postupu, nebude spuštění programu regedit, který je východiskem ze situace, možné. Taky je nutné zjistit, co že to máme z registrů vůbec odstranit. Posloužit můžou některé "Virové encyklopedie", kterých je ve světě Internetu hned několik desítek ( www.viruslist.com, www.sarc.com ). Detailní popisy, i když ne v takovém množství lze najít i v češtině - www.viry.cz, www.asw.cz, www.grisoft.cz.
Dalším krokem je záloha stávajících registrů. Je dobré zálohovat soubory C:\WINDOWS\SYSTEM.DAT a C:\WINDOWS\USER.DAT, které se pak budou hodit v případě nezdaru.

Nyní jeden „učebnicový“ případ (VBS/LoveLetter.A):

 

Podobný postup je nutné zopakovat i v klíči:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\

Zde je nutné odstranit řádek s názvem Win32DLL, který ukazuje (sloupec "údaj") na soubor Win32DLL.VBS.

Po modifikaci registrů, popř. souborů WIN.INI, SYSTEM.INI (platí i pro drtivou většinu červů) je vhodné celý systém Windows restartovat a pak již antivirem odstranit všechny soubory, které si s sebou červ přinesl.

Makroviry

 

Od poslední konference Security 2000 se toho příliš nezměnilo, takže:

Většina produktů kancelářského balíku Microsoft Office obsahují takzvanou "antivirovou ochranu maker" (verze 97), či "zabezpečení" (verze 2000). I když se názvy odlišují, v obou případech jde o stejnou věc. Tato vymoženost umožňuje zablokovat aktivaci případných maker v otevíraném dokumentu a zabránit tak i případné aktivaci makroviru (makrovirus je jak známo složen právě z takových maker).

V MS Office 97 má ochrana pouze dvě polohy:

V MS Office 2000 má zabezpečení tři stupně:

V MS Office 97 i 2000 je ochrana standardně nastavena na maximum a tak není makrovirus prakticky vůbec schopen se v tomto prostředí šířit. Až po zásahu uživatele do nastavení, má makrovirus větší šance. Pokud je ochrana MS Office 2000 nastavena v poloze Střední, stačí již jedno zaváhání uživatele a makrovirus se v systému pohodlně "usadí". Většina makrovirů navíc tuto ochranu vypíná, např. vhodnou modifikací registrů Windows, či přímo zásahem do nastavení programu.

 

Makroviry pro Word 97 toho můžou například dosáhnout následujícími příkazy:

Kromě toho se makrovirus většinou po aktivaci snaží trvale usídlit v systému. K tomu mu poslouží globální šablona NORMAL.DOT, která se automaticky spouští po startu Wordu. V případě Excelu stačí infikovaný list uložit do adresáře XLStart, který se nejčastěji vyskytuje v C:\Program Files\Microsoft Office\Office\.

Příznaky napadení makrovirem

Jaké jsou příznaky napadení makrovirem ? Třeba právě vypnutá ochrana maker (pokud ji nevypnul uživatel záměrně). Pokud tomu tak je, doporučuji:

 

Většina dnešních makrovirů využívá techniku "Class", díky níž ukládají svoje tělo do modulu ThisDocument (Word 97/2000) či ThisWorkBook (Excel 97/2000). To má za následek, že makra viru nejsou vidět v menu Nástroje/Makro. Tělo takového makroviru lze snadno odhalit přes menu Nástroje/Makro/Editor jazyka Visual Basic, kde stačí "poklepat" myší na objekt ThisDocument popřípadě ThisWorkBook.

 


Ukázka jednoho z makrovirů řady Class - O97M/Triplicate v objektu ThisDocument.

 

Souborové a další viry

Viry pro DOS pod Windows

Výskyt virů, které jsou napsány pro operační systém MS DOS již není v této době příliš běžný. Prsty v tom má především operační systém MS Windows 9x/NT/2000. Viry, které jsou napsány pro operační systém MS-DOS, se mohou pod MS Windows 9x/NT/2000 chovat následovně:

 

K první jmenované skupině není prakticky co dodávat. Všechny DOS rezidentní viry pod Windows samozřejmě mají svá omezení. Dokáží se šířit jen v "DOSovském okně", ve kterém běží nějaká aplikace pro DOS. Typickým příkladem může být souborový manažer M602. Společně s uzavřením okna končí i život viru. Důležité je poznamenat, že souborový virus pro MS DOS se šíří pouze v rámci jednoho DOS okna, ve kterém byl aktivován. Pokud je souborový virus spuštěn přes nějakou aplikaci typu "Průzkumník" (Explorer), nemá šanci. O něco větší šance má souborový virus, který se stačí zavést dříve, než samotný operační systém Windows. To si může zajistit například napadením souboru WIN.COM. Pokud se tak stane, dokáže se takový virus šířit v jakémkoliv "DOSovském okně". Má to však i jednu nevýhodu. Monstrum, jakým je Windows, totiž kvůli tomuto "drobečku" - viru, musí naběhnout v daleko pomalejším režimu, který vyhovuje viru. Windows 95 na tento fakt dokonce vůbec neupozorní. Windows 98 už ano:

Po stisknutí tlačítka ANO se zobrazí trošku detailnější informace:

K zmiňovanému problému samozřejmě dochází pouze v případě, že se jedná o paměťově rezidentní souborový virus pro DOS, či boot virus, který je vždy paměťově rezidentní.

Další skupinou jsou viry, které pracují "na půl". Do této skupiny patří například klasický virus OneHalf.3544, který pod operačním systémem MS DOS napadá soubory pouze na disketách. Na pevném disku se zajímá pouze o jeho zaváděcí sektor. V případě, že je nedostupný, napadá soubory i na disku. To je i případ Windows. OneHalf tedy pod Windows napadá pouze soubory - zaváděcí sektor pevného disku je nepřístupný.

Poslední jmenovaná skupina virů to řeší s Windows rychle a rázně. Po spuštění takového viru obdržíme ihned zprávu o chybě v chodu programu.

DOS viry doporučuji odstraňovat pomocí "bootovací" diskety, která by měla kromě základních nástrojů (FORMAT, FDISK atd.) obsahovat i antivirový program.

Win32 viry aneb viry přímo pro Windows

První Win32 viry se začaly objevovat až s příchodem Windows 95. Za těch několik let posbíraly řadu věcí od svých starších "bratříčků" pro operační systém MS DOS. Dodnes však platí, že drtivou většinu Win32 virů lze odstraňovat v režimu MS-DOS (menu Start/Vypnout/Restartovat v režimu MS-DOS). Nejlepší je samozřejmě použít "bootovací" disketu, či dokonce "bootovací" cédéčko.

Velkou kapitolu tvoří souborový systém NTFS (Windows 2000/NT) a viry. Na pevný disk, opatřený souborovým systémem NTFS se nelze z bootovací diskety běžně dostat (maximálně tak do zaváděcího sektoru). Je tedy nutné využít nějaký ten ovladač, který nám NTFS z diskety zpřístupní. Takovou vymoženost lze získat třeba na adrese http://www.sysinternals.com, volně šiřitelná verze ovšem dokáže pouze z NTFS číst, nikoliv na NTFS zapisovat (což je nutné pro případné odstraňování viru). Postižený pevný disk lze samozřejmě přenést na jiný počítač s Windows NT/2000, popřípadě na něj přistoupit s Linuxu. Tyto metody jsou však méně pohodlné.

 

 

„Igiho stránka o virech“ – www.viry.cz

 

Tak zní název Internetové stránky Igora Háka, která tu je již 3 roky a informuje o všem, co na virové / antivirové scéně děje.