Windows, živná půda pro viry.
Ještě před několika lety řada lidí tvrdila, že s nástupem jmenovaného operačního systému Microsoft Windows 95 skončí éra počítačových virů. Dnes je zřejmé, že neměli vůbec pravdu… Windows je totiž živná půda pro viry !
Trocha z historie…
Zřejmě první virus pro Windows 95 dostal jméno Win95/Boza. Více než jmenovaný virus se šířily zprávy v novinách a časopisech, které na tento virus upozorňovaly. Z toho vyplývá, že Win95/Boza byl značně mentálně postižen.
Významnější skutečnou hrozbou se stal až populární virus Win95/CIH, který si vysloužil novinářské jméno Černobyl. Ten se mimo jiné dodnes celkem dobře šíří a 26. dubna způsobuje nemalé škody (mazání dat na pevném disku, pokus o poškození Flash-BIOSu na základní desce).
Slovo „červ“ (worm) bylo po dlouhých letech oprášeno
hlavně díky příchodu červa Happy99. To byl jeden z prvních, masově se
šířících červů. Bližší informace o tomto typu infiltrace uvedu později.
Neměl bych zapomenout ani na makroviry. První vzniknul
v roce 1996 a šířil se dokumenty tehdejšího textového editoru Microsoft
Word 6.0. Díky důkladné lokalizaci celého programu Microsoft Word do češtiny
(překladu snad unikl pouze název celé aplikace :) panoval v ČR ještě
několik měsíců klid. Menší nepokoje způsobil WM/CAP, který byl schopen provozu
pod českou i anglickou mutací Wordu. Daleko citelnější nepokoje způsobil až
vznik kancelářského balíku Microsoft Office 97. Tam už prakticky žádné jazykové
bariéry neplatí, a tak se může dotyčná havěť vesele šířit po celém světě.
W97M/Melissa.A@mm
je dokonalou ukázkou spojení makroviru a červa. Podobně jako Happy99 způsobil
náležitý rozruch.
Co k nám přichází ?
Na to mohou odpovědět následující věci:
obsahuje takzvané In-the-Wild
viry. Pojem In-the-Wild, což v češtině znamená "v divočině" označuje
viry, které jsou v praxi nejvíce rozšířené. Tento seznam je vlastně souhrnem
hlášení z celého světa. Českou republiku zastupuje Pavel Baudiš (Alwil) a pokud
se v seznamu vyskytuje i virus, u jehož názvu jsou uvedeny písmena
"Pb", je zřejmé, že se tento virus vyskytuje i na území ČR. Seznam
In-the-Wild vychází každý měsíc a často se stává základem pro srovnávací testy
antivirů, které provádí například časopis Virus Bulletin. Lze ho najít na
adrese www.wildlist.org. Následuje
ukázka nejrozšířenějších (přesněji nejhlášenějších virů za měsíc duben/2001.
Freq Name Type Aliases
============================================================================
38 |
W32/MTX-m............... | File |
Matrix, Apology
37 |
VBS/LoveLetter.A-mm..... | Script |
ILoveYou, LoveBug
32 |
W32/Hybris.B-mm......... | File |
Hybris.23040-mm
30 | VBS/Stages.A-mm.........
| Script | VBS/ShellScrap-mm
30 |
VBS/VBSWG.J-mm.......... | Script |
Anna K, SST, Kalamar.A,
I-Worm.Lee.o
30 |
W32/Ska.A-m............. | File |
HAPPY99
29 | W32/Navidad.A-m.........
| File | W32/Navidad-m
28 |
JS/Kak.A-m.............. | Script |
26 |
W95/CIH.1003............ | File |
Spacefiller
25 |
W32/PrettyPark.37376-mm. | File |
25 |
W97M/Ethan.A............ | Macro |
24 | W97M/Marker.C...........
| Macro | W97M/Spooky.C
23 |
W97M/Melissa.A-mm....... | Macro |
Maillissa
23 |
W97M/Thus.A............. | Macro |
W97M/Thursday.A
22 |
O97M/Tristate.C......... | Macro |
O97/Crown.B
21 |
W32/Qaz................. | File |
19 |
VBS/Freelink-mm......... | Script |
17 |
VBS/LoveLetter.AS-mm.... | Script |
VBS/Plan.A-mm
17 |
W32/Prolin.A-mm......... | File |
Creative.A-mm
17 |
WM/CAP.A................ | Macro |
15 |
W32/BleBla.B-mm......... | File |
W32/Verona.B-mm
15 |
W32/Funlove.4099........ | File |
15 |
W32/Navidad.B-m......... | File |
W32/Emanuel-m
============================================================================
Organizace, která na několika
místech ve světě kontroluje obsah elektronické pošty. Denně jejich systém
zkontroluje několik miliónu zpráv a o případném výskytu červa vede záznamy,
které jsou pak ve zjednodušené formě k vidění na adrese www.messagelabs.com/viruseye.
Údaje jsou vždy naprosto aktuální. Je zřejmé, že kontrolou elektronické pošty
lze evidovat především červy, které využívají elektronickou poštu ke svému
šíření.
VirusEye - poslední měsíc
(„vyfoceno“ 21.dubna 2001).
Při pohledu na seznam PC Viruses In The Wild je zřejmé, že
běžného uživatele čeká peklo. Nejvíce se může těšit na červy, Win32 souborové
viry a makroviry.
Kudy přicházejí ?
O tom, kudy k nám bude havěť přicházet, může
napovědět opět seznam PC Viruses In The Wild. Zatímco šíření virů přes diskety
se stává minulostí, v čele jasně dominuje šíření prostřednictvím
elektronické pošty.
Infiltraci, která se šíří elektronickou poštou nazýváme červem
(worm). V praxi se lze často setkat s označením virus, který však
používá poněkud odlišný způsob replikace a proto by nemělo příliš docházet
k záměně pojmů červ & virus.
Některé speciality:
Jeden způsob dělení červů:
První
skupinu zastupuje například červ I-Worm/Haiku, který kromě skládání
veršů hledá emailové adresy dalších obětí v některých souborech po celém disku.
Na získané emailové adresy pak hromadně, za podpory SMTP serveru někde ve
světě, odesílá svoje kopie (tj. soubor haiku.exe, který tvoří attachment -
přílohu emailové zprávy). Červ I-Worm/Happy99 (alias Ska) pro změnu
modifikuje soubor WSOCK32.DLL tak, aby se při volání služeb Connect a Send
aktivoval kód červa, který připojí svoje tělo k odesílanému emailu.
Na
rozhraní mezi obě skupiny patří kupříkladu mladý Win32/Magistr, který je
kombinací červa a viru. E-mailové adresy „bere“ od některých poštovních
klientů, zatímco k odesílání infikovaných zpráv je vůbec nepotřebuje.
Do
druhé skupiny pak patří především všechny typy makrovirů, které jsou založeny
na principech makroviru W97M/Melissa. Některé antiviry přidávají na
konec takových makrovirů označení @mm. Patří sem i VBS/LoveLetter,
VBS/AnnaKurnikova apod. Tyto lidské výplody jsou závislé především na
klientu MS Outlook, který je součástí kancelářského balíku MS Office 97, 2000.
Červi ve Windows
Červi
se nacházejí v souboru samostatně a nepotřebují žádného hostitele (až na
vyjímky). Antivirové programy tak ve většině případů mažou všechny soubory,
které si červ pro svůj chod v systému vytvořil. Nevracejí však do původního
stavu registry Windows, popřípadě soubory, které červ zmodifikoval tak, aby si
zajistil včasnou aktivaci po každém startu operačního systému Windows.
Většina červů si zajistí automatické spuštění
nejčastěji:
·
pomoci modifikace registrů.
K
chaosu, kterému se říká "registry", lze přistoupit například pomoci
příkazu regedit. Červi mají v oblibě především klíč:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
V
něm vytvářejí nové položky s údaji obsahující cestu k souboru, který se pak při
každém startu Windows aktivuje. Mezi další využívané klíče patří především:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
V
souboru WIN.INI je občas pod útokem červa řádek RUN= v sekci [WINDOWS].
Podobně je na tom může být i sekce [BOOT] s řádkem SHELL= v
souboru SYSTEM.INI. Za sekvencí znaků RUN= se zpravidla nic
nenachází. Pokud ano, může to být známka toho, že na počítači je / byl červ.
Nemusí se však vždy jednat o červa, občas tyto možnosti využívají i některé
užitečné programy. Za řádkem SHELL= se pak běžně vyskytuje pouze příkaz EXPLORER.EXE.
Nakonec
bych se mohl zmínit i o klíči HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open
Jeho
modifikací si někteří červi zajistí to, že se aktivují přesně v okamžiku,
kdy uživatel spustí nějaký ten EXE soubor. Při léčení je nutné nejprve vrátit
jmenovaný klíč do původního stavu "%1" %* a až
potom odstranit soubory patřící červu. V opačném případě nebude možné
spustit žádný EXE soubor (Windows se budou odkazovat na neexistující soubor
červa). Problém je v tom, že i program na úpravu registrů je
s příponou EXE (regedit.exe). Není tedy nic jednoduššího, než jeho příponu
změnit na COM a červa tak oklamat :-) Příkladem z praxe může být červ I-Worm/PrettyPark,
který původní hodnotu "%1" %* jmenovaného
klíče upraví na FILES32.VXD
"%1" %*
Odstraňování červů
Ještě
před tím, než se antivirem odmažou infikované soubory, doporučuji odstranit
škody v registrech, popřípadě ve WIN.INI či SYSTEM.INI. Tento
postup je někdy nutné dodržet. V případě červa PrettyPark se totiž může stát,
že díky špatnému postupu, nebude spuštění programu regedit, který je
východiskem ze situace, možné. Taky je nutné zjistit, co že to máme z registrů
vůbec odstranit. Posloužit můžou některé "Virové encyklopedie",
kterých je ve světě Internetu hned několik desítek ( www.viruslist.com, www.sarc.com ). Detailní popisy,
i když ne v takovém množství lze najít i v češtině - www.viry.cz, www.asw.cz, www.grisoft.cz.
Dalším krokem je záloha stávajících registrů. Je dobré zálohovat soubory C:\WINDOWS\SYSTEM.DAT
a C:\WINDOWS\USER.DAT, které se pak budou hodit v případě nezdaru.
Nyní
jeden „učebnicový“ případ (VBS/LoveLetter.A):
Podobný
postup je nutné zopakovat i v klíči:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
Zde
je nutné odstranit řádek s názvem Win32DLL, který ukazuje (sloupec
"údaj") na soubor Win32DLL.VBS.
Po
modifikaci registrů, popř. souborů WIN.INI, SYSTEM.INI (platí i
pro drtivou většinu červů) je vhodné celý systém Windows restartovat a pak již
antivirem odstranit všechny soubory, které si s sebou červ přinesl.
Od poslední konference Security 2000 se toho příliš nezměnilo, takže:
Většina
produktů kancelářského balíku Microsoft Office obsahují takzvanou "antivirovou
ochranu maker" (verze 97), či "zabezpečení" (verze 2000). I když
se názvy odlišují, v obou případech jde o stejnou věc. Tato vymoženost umožňuje
zablokovat aktivaci případných maker v otevíraném dokumentu a zabránit tak i
případné aktivaci makroviru (makrovirus je jak známo složen právě z takových
maker).
V MS Office 97 má ochrana pouze dvě polohy:
V MS Office 2000 má zabezpečení tři stupně:
V
MS Office 97 i 2000 je ochrana standardně nastavena na maximum a tak není
makrovirus prakticky vůbec schopen se v tomto prostředí šířit. Až po zásahu
uživatele do nastavení, má makrovirus větší šance. Pokud je ochrana MS Office 2000
nastavena v poloze Střední, stačí již jedno zaváhání uživatele a makrovirus se
v systému pohodlně "usadí". Většina makrovirů navíc tuto ochranu
vypíná, např. vhodnou modifikací registrů Windows, či přímo zásahem do
nastavení programu.
Makroviry pro Word 97 toho můžou například
dosáhnout následujícími příkazy:
Kromě
toho se makrovirus většinou po aktivaci snaží trvale usídlit v systému. K tomu
mu poslouží globální šablona NORMAL.DOT, která se automaticky spouští po
startu Wordu. V případě Excelu stačí infikovaný list uložit do adresáře XLStart,
který se nejčastěji vyskytuje v C:\Program Files\Microsoft Office\Office\.
Jaké jsou příznaky napadení makrovirem ? Třeba právě vypnutá ochrana
maker (pokud ji nevypnul uživatel záměrně). Pokud tomu tak je, doporučuji:
Většina dnešních makrovirů
využívá techniku "Class", díky níž ukládají svoje tělo do modulu ThisDocument
(Word 97/2000) či ThisWorkBook (Excel 97/2000). To má za následek, že
makra viru nejsou vidět v menu Nástroje/Makro. Tělo takového makroviru
lze snadno odhalit přes menu Nástroje/Makro/Editor jazyka Visual Basic,
kde stačí "poklepat" myší na objekt ThisDocument popřípadě ThisWorkBook.
Ukázka jednoho z makrovirů řady Class -
O97M/Triplicate v objektu ThisDocument.
Výskyt virů, které jsou napsány pro operační systém MS DOS již není v
této době příliš běžný. Prsty v tom má především operační systém MS Windows
9x/NT/2000. Viry, které jsou napsány pro operační systém MS-DOS, se mohou pod
MS Windows 9x/NT/2000 chovat následovně:
K první jmenované skupině není
prakticky co dodávat. Všechny DOS rezidentní viry pod Windows samozřejmě mají
svá omezení. Dokáží se šířit jen v "DOSovském okně", ve kterém běží
nějaká aplikace pro DOS. Typickým příkladem může být souborový manažer M602.
Společně s uzavřením okna končí i život viru. Důležité je poznamenat, že
souborový virus pro MS DOS se šíří pouze v rámci jednoho DOS okna, ve kterém
byl aktivován. Pokud je souborový virus spuštěn přes nějakou aplikaci typu
"Průzkumník" (Explorer), nemá šanci. O něco větší šance má souborový
virus, který se stačí zavést dříve, než samotný operační systém Windows. To si
může zajistit například napadením souboru WIN.COM. Pokud se tak stane, dokáže
se takový virus šířit v jakémkoliv "DOSovském okně". Má to však i
jednu nevýhodu. Monstrum, jakým je Windows, totiž kvůli tomuto
"drobečku" - viru, musí naběhnout v daleko pomalejším režimu, který
vyhovuje viru. Windows 95 na tento fakt dokonce vůbec neupozorní. Windows 98 už
ano:
Po stisknutí tlačítka ANO se
zobrazí trošku detailnější informace:
K zmiňovanému problému
samozřejmě dochází pouze v případě, že se jedná o paměťově rezidentní souborový
virus pro DOS, či boot virus, který je vždy paměťově rezidentní.
Další skupinou jsou viry, které
pracují "na půl". Do této skupiny patří například klasický virus OneHalf.3544,
který pod operačním systémem MS DOS napadá soubory pouze na disketách. Na
pevném disku se zajímá pouze o jeho zaváděcí sektor. V případě, že je
nedostupný, napadá soubory i na disku. To je i případ Windows. OneHalf tedy pod
Windows napadá pouze soubory - zaváděcí sektor pevného disku je nepřístupný.
Poslední jmenovaná skupina virů
to řeší s Windows rychle a rázně. Po spuštění takového viru obdržíme ihned
zprávu o chybě v chodu programu.
DOS viry doporučuji odstraňovat
pomocí "bootovací" diskety, která by měla kromě základních nástrojů (FORMAT,
FDISK atd.) obsahovat i antivirový program.
První Win32 viry se začaly
objevovat až s příchodem Windows 95. Za těch několik let posbíraly řadu věcí od
svých starších "bratříčků" pro operační systém MS DOS. Dodnes však
platí, že drtivou většinu Win32 virů lze odstraňovat v režimu MS-DOS (menu Start/Vypnout/Restartovat
v režimu MS-DOS). Nejlepší je samozřejmě použít "bootovací"
disketu, či dokonce "bootovací" cédéčko.
Velkou kapitolu tvoří souborový
systém NTFS (Windows 2000/NT) a viry. Na pevný disk, opatřený souborovým
systémem NTFS se nelze z bootovací diskety běžně dostat (maximálně tak do
zaváděcího sektoru). Je tedy nutné využít nějaký ten ovladač, který nám NTFS
z diskety zpřístupní. Takovou vymoženost lze získat třeba na adrese http://www.sysinternals.com, volně
šiřitelná verze ovšem dokáže pouze z NTFS číst, nikoliv na NTFS zapisovat
(což je nutné pro případné odstraňování viru). Postižený pevný disk lze
samozřejmě přenést na jiný počítač s Windows NT/2000, popřípadě na něj
přistoupit s Linuxu. Tyto metody jsou však méně pohodlné.
„Igiho
stránka o virech“ – www.viry.cz
Tak zní název
Internetové stránky Igora Háka, která tu je již 3 roky a informuje o všem, co
na virové / antivirové scéně děje.