- [Duke's Virus Labs #3] - [Page 20] - История создания и дальнейшего существования журнала DVL#2 Written by Duke/SMF Процесс создания DVL #2 ----------------------- Идея выпуска второго номера журнала DVL пришла мне в голову спонтанно. Предыдущий (первый) выпуск был задуман и создан мной за полторы недели - оболочка, все вирусы, статьи и конструктор ANSI-бомб были написаны специально для журнала. А тут подобралось с пяток написанных вирусов, которым хотелось "повидать мир". Вот и я и решил, что пора делать второй номер журнала. При работе пришлось учесть некоторые ошибки первого выпуска, и журнал получился (на мой взгляд) поинтереснее, побольше и посодержательней (в вирусном смысле). Журнал я стал делать в HTML-формате, чтобы немного расцветить его и чтобы его прочитало больше людей. В работе над журналом (а точнее, в написании вирусов для него) принимал участие не только я, но и SMT/SMF. Я не стал включать в журнал слишком много перепечаток из других изданий или FIDO-конференций, поэтому у нас получился не дайджест, а наш СОБСТВЕННЫЙ журнал. Как я и обещал, журнал был готов раньше середины ноября и 09.11.98 OnLine-версия уже лежала на собственной Internet-страничке http://www.chat.ru/~dvl2 Ни один вирус, из числа входящих в журнал, на момент выхода журнала антивирусами не определялся. Пока я создавал HTML-версию журнала, наш кодер GorLuM вызвался накодировать и оформить DOS-версию журнала. Оболочка к DOS-версии содержит ANSI-рисунки, HSC-музыку и оригинальные шрифты, все тексты написаны в формате ANSI. В связи с тем, что работа над оболочкой началась достаточно поздно, в открытию сайта DVL-OnLine она не подоспела. Многочисленные читатели журнала безрезультатно пытались скачать DOS-версию (что не мудрено - ведь ее еще нет) и, потерпев неудачу, писали нам письма об этом. На нашем сайте http://www.chat.ru/~smf/news.htm об отсутствии DOS-версии написано черным по белому (то есть, я хотел сказать "желтым по черному"), но не все посетители прочли это сообщение. Через неделю подоспела и DOS-версия. Журнал DVL #2 и новые ошибки AVP -------------------------------- Очень скоро на журнал DVL отреагировала команда AVP. В пятницу 13-го, а именно 13.11.98, Лаборатория Касперского выпустила очередной UpDate (уже неведомый но номеру), который определял ВСЕ вирусы из DVL #2. Как это ни странно, но троянцы и конструктор господин Касперский проигнорировал. Поэтому юзеры могут спать спокойно - безвредные HLL-вирусы им не грозят, а троянцы... ну подумаешь, винт отформатируют :) ! Но надо отдать должное оперативности команды AVP - не прошла и неделя с момента выхода журнала, как осведомители уже нашли его, а антивирусники - обезвредили вирусы. Список детектируемых вирусов (по UpDate 13.11.98) выглядит следующим образом: BAT$MF31.BAT BAT.MF.351 BAT$MF32.BAT BAT.MF.282 BAT$MF33.BAT BAT.MF.249 DAMN.BAT BAT.Damn.1432 DAMN.DAT BAT.Damn.1432 FRIEND3.EXE HLLC.MF.5216 OVER.EXE HLLO.MF.2688 RAW.EXE HLLP.MF.6014 ARHIWORM.EXE HLLW.MF.6010 SAMPLE.EXE HLLO.Dpog.4368 В связи с этим напрашивается справедливый вопрос - а что такое MF ??? Меня это несколько озадачило... Похоже, сперва в AVP так назвали вирус BAT.SMF.351 (поскольку в тексте вируса присутствует идентификатор $MF), а потом, увидев что все эти вирусы принадлежат одному автору, обозвали так и BAT, и HLL-вирусы. Чего же у них рука-то не поднялась DaMn назвать BAT.MF.1432 ? Мне конечно наплевать, как они их там назвали (с меня-то не убудет; как говорится "хоть горшком назови, только в печь не суй"), но все равно коробит. С другой стороны, я стал отцом семейств BAT.MF и HLL?.MF ;) Один из founder'ов SMF, GorLuM, увидев эти названия, сказал следущее : "Это что - группы SMF больше нет, теперь появилась группа MF ?" :)) Другая версия, объясняющая откуда появилось MF, заключается в том, что доктору Касперскому не понравилась моя статья об его ошибках, и он в качестве маленькой мести прославил нас на всю страну под нелепым именем MF. Если это так, значит статья удалась на славу и задела его за живое :-) Вот в отместку за это самое MF я и заявляю - ВЫ ОПЯТЬ ЛОПУХНУЛИСЬ !!!!! Авторитетно (как автор вируса BAT.MF.351) заявляю, что AVP НЕ ловит вирус BAT.MF.351 в живой природе. В связи с этим при тестировании мной замечено несколько офигенных приколов: 1) AVP детектирует его только в исходном виде (как он был опубликован в журнале), а в пораженных файлах в упор не видит. 2) Как следствие первого прикола, вирус BAT.MF.351 способен маскировать собой присутствие в пораженном файле других BAT-вирусов (!) Если заразить уже пораженный каким-либо BAT-вирусом файл моим вирусом BAT.MF.351, то AVP не найдет в батнике ни первого вируса, ни второго. 3) AVP не детектирует его в архивах (в том числе и в том, который входит в журнал), если помимо вируса в архиве присутствует еще какой-нибудь файл. В ходе проведенного мной оперативного расследования, вяснилась причина первого (и самого главного) глюка. Ошибка AVP состоит в том, что они ищут вирус В НАЧАЛЕ ФАЙЛА, а вирус поражает файлы В КОНЕЦ ! Как следствие этой грубейшей ошибки, вирус детектируется только в чистом виде. Кто же (как не 100%-ные ламеры) работает в ЛК, что они ни черта не поняли в исходнике BAT-вируса, к которому еще и пояснительная статья прилагается ? :)) Таким образом, с моим BAT.MF вам разобраться сложнее, чем с полиморфиком 8-)) Какая ирония судьбы - этот вирус дал имя десяткам других вирусов, а сам наколол Касперского ! С вирусом BAT.Damn.1432 тоже весело - в зависимости от того, стоит в самом конце вируса (в строке "ctty con") перевод строки (байты 0Dh,0Ah) или нет, AVP соответственно не находит или находит вирус. Ненадежная сигнатура, надо сказать... Как я и обещал читателям журнала, половина копий вируса HLLP.RAW (он же HLLP.MF.6014) антивирусом AVP for DOS не ловится! Таковы были мои размышления после получения антивирусного апдейта... Выход нового кумулятива к AVP ----------------------------- Не прошло и полгода, как появилось долгожданное (3 месяца) кумулятивное обновление баз AVP. Появился новый файлик - backdoor.avc, в следствие чего часть Trojan.* сменила свои имена на более гордые Backdoor.* . Протестировав с кумулятивом содержимое DVL #2 я пришел к выводу, что ошибки апдейта исправлены от 13.11 не были. Однако, в ЛК прочитали журнал "от корки до корки", поскольку ошибка с Dropper.Boot.Lamerman, описанная в журнале, была исправлена в кумулятиве. Теперь этот "зверек" называется Lamerman.b . А из журнальных утилит теперь детектируются: SAVESET.EXE VirTools.SaveSet DPOG.EXE Constructor.DPog А чего сразу, в недельном апдейте не подключили? Слабо? Названия же ставят меня в тупик. Во-первых, при чем тут VirTools ? И почему конструктор DPog создает вирусы HLLO.Dpog - наблюдается некоторое разнообразие в именах. Небольшое лирическое отступление... Один раз отведав, Касперский уже не может остановиться. Чтобы поднять рейтинг своей программы, он набивает AV-базу всяким хламом. Теперь ловят все : что шевелится, и что "не шевелится". Первой волной (ласточкой, если хотите) были троянцы. Сперва их было очень мало. Но потом к их числу стали относить все больше и больше программ : утилиты для взлома Novell или BBS, программы приколы. Потом появились Hoax - шутки, например кракер интернета или антивирус (!) ANTITIME. Дальше повалило как из рога изобилия : Dropper.Ansibomb - конструкторы ANSI-бомб, в настоящее время утрачивающие свою актуальность (в связи с распространением OS Windows) GenDropper - тестовые файлы полиморфных генераторов. (например, программа, создающая 50 зашифрованных файлов, которые выводят на экран "Hello World!") Corrupted - (вообще не работающая муть) Constructor - конструкторы вирусов Joke - шутки. Я правда так и не понял, в чем разница между Hoax, Joke и скажем Trojan.Pricol ... Backdoor - хакерские утилиты удаленного доступа, наподобие BO. VirTools - (отпад!) утилиты, написанные вирмейкерами. (например, VirTools.NoLite - утилита, для защиты упакованных PKLITE'ом файлов от распаковки) Это мой "черный список" самозванцев, называющихся по AVP вирусами. Ни одно из перечисленных выше семейств не имеет не малейшего права называться вирусами (по определению, поскольку они не размножаются, кроме как по F5 в нортоне :). Тем не менее, AVP при обнаружении этих "вещей" (другого слова для них не нашел) упорно сообщает, что "обнаружен вирус ...". Форменное безобразие! Это вы юзерам/ламерам можете мозги пудрить (почти цитата из письма в FIDO : "Ой, у меня в любимом Nuke обнаружился вирус Trojan.Winnuke. Опасно ли это и можно ли продолжать использовать Nuke ?"), но всех-то зачем за идиотов держать? Могли бы придумать что-то вроде "обнаружена опасная/вредная программа ... Удалить?" (а то некоторые юзеры пытаются лечить троянцев, антивирус их (троянцы) стирает и юзер твердо убежден, что слово Trojan переводится как "неизлечимый вирус"). К статье прилагается архив dvl3-20a.zip, содержащий Update от 13.11.98 ;)