- [Duke's Virus Labs #6] - [Page 26] - Моя рецензия на журнал ZF #3 (c) by Duke/SMF 23.04.99 Долго авторы ZF собирались с силами и копили материал, и наконец-то разродились. Но разродились почему-то на 4 дня позже официально объявленного (см. письма Климентьева в Relcom.Comp.Virus). Журнал ну о-о-очень переодичный - этакий ежегодник 8-P~ Ну да ладно. Ближе к телу, как говорится :)) fershal.001 - fershal.008 ~~~~~~~~~~~~~~~~~~~~~~~~~ Все эти статьи являются переводами с английского языка, сделанными DrMad. Эпитет, который я подобрал к циклу этих статей, это "прошлогодний снег". Вы кормите людей материалом с душком - Black Baron был арестован и посажен в тюрьму еще в 1994 году. А теперь прикиньте, какой год стоял на дворе, когда он писал свой туториал. 8-[] Все кто хотел уже прочитали все эти статьи в оригинале (в журналах VLAD или базе данных VDAT). К тому же время идет и все меняется - теперь совершенно новые технологии поражения PE-файлов, более продвинутые (советую почитать статьи SMT о вызове функций API). fershal.011 ~~~~~~~~~~~ >>чением текстов этих макросов. Зашифрованы также некоторые мак- >>ровирусы (например, Cap). Как увидеть эти макросы? Ну-у, это >>вы должны знать, если прочитали статью "Немного криптологии". Господа ! Для того чтобы изучить зашифрованный (или еще какой) макрос вовсе не обязательно ксорить DOC-файл до посинения с 256 байтами. Уже давно придуманы автоматические декомпиляторы, которые выдают вам исходные тексты всех присутствующих в документе макросов (работают с форматами документов всех приложений Microsort Office всех версий) >> В MS Word существуют так называемые "автоматические" мак- >>росы. Это макросы, автоматически выполняющиеся при определен- >>ных условиях и предназначенные для переопределения их >>пользователем. [scipped] >> Если открываемый документ (вернее, шаблон) содержит один >>из автоматических макросов, то они запустятся, а вместе с ними >>получит управление и макровирус. Брехня ! Запустится только AutoOpen (если он есть). Сами же только что сказали - "при определенных условиях". Какое непостоянство ! >> Получив управление (при помощи одного из автоматических >>макросов) из зараженного документа, макровирус обычно предпри- >>нимает действия по "фиксированию" себя в системе. Для этого он >>переносит свои макросы в "главный" шаблон NORMAL.DOT. Макросы Не всегда. Есть macro-вирусы, которые могут быть активизированы ТОЛЬКО непосредственно командой пользователя и НЕ пишутся в normal.dot . Если не верите мне, почитайте описание вируса Macro.Word.LoneRaider из вирусной энциклопедии Касперского : ===== Cut ===== Macro.Word.LoneRaider Зашифрован, содержит единственный макрос - LoneRaider. Этот макрос не является автоматическим, поэтому вирус может быть запущен только пользователем командой Tools/Macro/Run. При запуске вирус копирует себя в текущий документ (заражает его). Основной особенностью вируса является то, что для этого он не использует ни одной стандартной команды копирования макросов, а создает и запускает новый макрос "LoneRaiderTwo", который копирует код "родителя". Для этого вирус вызывает команду Tools/Macro/Edit и редактирует новый макрос "LoneRaiderTwo": записывает в него команды WordBasic (включая MakroKopieren - MacroCopy), затем запускает и удаляет его командами Tools/Macro/Run и Tools/Macro/Delete. При запуске макрос "LoneRiderTwo" копирует родительский макрос "LoneRaider" в заражаемый документ или область общих макросов. 1-го января вирус создает новый template и записывает в него строки: Enjoy the first F/WIN Killer! LoneRaider! Nightmare Joker 1996 ===== Cut ===== Дата создания - 1996 год. Как видите, ничего нового. >> Термин "сигнатура макровируса" имеет в точности такое же >>значение, что и в случае с COM- и EXE-вирусами. Более того, >>пока не существует полностью полиморфных макровирусов ( "поли- >>морфность" часто заключается в вариации порядком размещения и >>числом макросов), а значит - макровирус всегда может быть оп- >>ределен и однозначно детектирован при помощи аппарата сигна- >>тур. Фи... Не журнал антивирусников, а детсад какой-то *(:-) В предверие моей отповеди еще одна цитата все из той же энциклопедии : ===== Cut ===== Macro.Word.Slow Безобидный полиморфик-макро-вирус. Содержит единственный макрос AutoClose и заражает файлы и область глобальных макросов только при закрытии документов. При каждом заражении вирус запускает свою полиморфик-процедуру, которая переименовывает все имена локальных переменных вируса в другие имена, длина и символы которых выбираются случайным образом. В результате вирус невозможно детектировать по какому-либо постоянному набору кода (маске). ===== Cut ===== А теперь моя очередь... Реализовать полиморфизм в макро вирусах так же легко, как отнять конфету у младенца. Для примера, могу сказать о полиморфном генераторе VENGENCE для Word97. А могу написать демонстрационный макро вирус, не содержащий сигнатуры длинее одной строки (которая может быть строкой абсолютно безвредного макроса). Не знать о macro-полиморфизме и писать статьи на эту тему - пример крайнего непрофессионализма. Или опять старье читателям сплавляете ? >> Хотелось бы еще разобраться с Excel-вирусами и VBA-вируса- >>ми. Кроме того, есть заинтересованность в информации по >>декодированию двоичного кода WordBasic- и VBA-программ. Если >>кто в курсе, welcome to you, мы с радостью опубликуем Ваши >>разработки в "Земском Фершале". Я в курсе и будем считать, что я забил себе место в ZF #4 ;-)) А что, нельзя было сразу пригласить ? 8-))))) fershal.015 ~~~~~~~~~~~ Теперь перейдем к информации о вирусе Melissa. Информация, представленная в журнале, крайне краткая, устаревшая и без автора ;-) >> К тому моменту, когда вы будете читать эту статью, история эта уже >>покроется легким налетом плесени, ажиотаж спадет и все новые-новые ва- >>рианты Мелиссы будут атаковать ваш компьютер и почтовые службы мира. Уже атакуют. Но ни слова ни сказано об этих самых вариантах. А зря - одна Polissa (полиморфная версия Melissa'ы) могла бы стать темой большой статьи. >>Антивирусы будут с легкостью детектировать все клоны Мелиссы, в том >>числе и русские версии, но конфы и эхи еще долго будут завалены истош- Ага, как же, будут... ;-)) На мой взгляд, одна только Polissa задаст антивирусникам жару... >>ными письмами юзеров с просьбами о помощи. А все случившееся в послед- >>нюю неделю марта 1999 года несомненно войдет в историю, как и появлен- >>ие первого макровируса. Ой, батюшки, чего я вижу ! Появился первый макровирус !!! Караул ! А я то, наивный, думал что они появились сразу же после выхода Microsoft Word 6.0 - как же я жестоко ошибался :~( Или в журнале ZF отсутствует редактор, который бы ловил подобные баги да ляпы ? Могу предложить свои услуги ;=) fershal.024 - fershal.025 ~~~~~~~~~~~~~~~~~~~~~~~~~ Ну а это конкретный плагиат !!! Пол-номера забили гневными письмами о плагиате Гульева (статьи 014, 022, 023, 026), а сами стащили с сайта группы MISDIRECTED YOUTH (http://www.redline.ru/~alexbor). Интервью LG журналу TI#1 перевел на русский язык Yanush Milovski, и он же перепечатал из журнала ХАКЕР#3 интервью LG. Но о том, кто сделал перевод и откуда взят материал, НЕТ НИ СЛОВА. Тогда нечего было на Гульева наезжать - "в чужом глазу соринка чешет, в чужом не видно и бревна" aka "неча на зеркало пенять, коли рожа крива". apiary/article.txt ~~~~~~~~~~~~~~~~~~ Даааа... В вирусе 3apa3a.pas прослеживаются дикшевские мотивы... (см. Moon Bug #9) Советую прочитать dvl6-07.txt - там все намного проще, компактнее, понятнее. И, на загладочку, авторы журнала припасли в оболочке сюрпризец : при выходе из просмотрщика нам сообщают что мы читали ZF #2. Не правда ли, оригинально ?...