- [Duke's Virus Labs #8] - [Page 40] - Virus eXchange - что это такое ? (c) by Duke/SMF Перед вами мое эссе, незаметно для меня ставшее книгой ;-)) Идею мне подки- нул FRiZER (за что ему спасибо), а дальше я сам наваял... Без хобби жить достаточно сложно и скучно... Поэтому люди находят себе за- нятия, которые развлекают их и заполняют пустоту жизни. Одним из таки занятий является коллекционирование. Кто-то собирает марочки, кто-то монетки. А кто-то - компьютерные вирусы. С чего начинал я ? С одного вируса :) Ко мне с другого конца города прибе- жал друг, недавно купивший компьютер, с дикими воплями о том, что на компьюте- ре обнаружился OneHalf, антивирусы не работают, а отцовская бухгалтерия не спасена. Пришлось брать свой "аверский джентельменский набор", ехать к нему в гости и спасать от страшного вируса ;) С тех пор я вирусами и заинтересовался. Сначала со стороны их лечения и защиты от них, потом - со стороны коллекциони- рования, а уж потом - написания. Широкое распространение компьютерные вирусы получили еще в конце 80-х го- дов. Тогда же появились и первые коллекционеры вирусов. Этими коллекционерами стали будущие аверы (типа Лозинского или Касперского - с ними сейчас сложно конкурировать, но можно ;-)). Для них хобби плавно переросло в профессию. Кстати, им-то сам бог велел иметь большие коллекции - юзеры шлют новые вирусы со всех концов света. А представьте себе - каково простым смертным... напри- мер вирмейкерам :)) Да-да, вирмейкеры тоже собирают вирусы ! Хотя, среди кол- лекционеров вирусов есть и такие, которые и не знают как вирус работает... Но обойдемся без имен ;-)) Собрать большую коллекцию без привлечения "посторонних" сил невозможно. Поэтому коллекционеры периодически меняются вирусами между собой. Это понятие по английски звучит как "trading", т.е. "обмен". Но у этого слова есть и дру- гой перевод - "торговля", что порождает немало курьезов. Например, у меня спрашивали за сколько баксов я согласен продать коллекцию ;)) А вот тоже инте- ресное письмецо: ===== Cut here ===== Newsgroups: fido7.pvt.virii X-Comment-To: All From: Kostja Litvinov Date: Sat, 03 Jul 99 10:59:29 +0400 Subject: Дожили... X-FTN-Origin: -= 2:5030/662.18 * kostja_l@yahoo.com =- (2:5030/662.18) │ HI, All! ╚══────────────── · Откуда такие люди беpутся? Увеpен, что он никогда ничего стоящего не написал, а вот пpодавать чужие виpи в котоpые вложено столько тpуда - пожалуйста. ============================================================================= * Area : RU.PICKUP * From : Roman Khomtchenko, 2:5040/57.27 * To : All * Subj : Обманули! ============================================================================= All... you'll be infected soon... ;) [skip] Rest in Peace. FRiZER [ mailto:v666x@mail.ru ── 10863 virii for trade] [skip] ============================================================================= Удачи тебе, All! ... Мы понимаем, как доpого нам что-либо, после того, как это потеpяли... ===== Cut here ===== Нда... Каждый из вирусов имеет свое имя, что позволяет коллекционеру знать, какие вирусы у него есть, а какие для него новые. Но к несчастью, каждый из антивирусов использует свою собственную классификацию :(( Самые широко извес- тные антивирусы в мире это F-Prot, AVP, DrSolomon, DrWeb, Scan, NAV. Крупней- шие коллекционеры мира используют только первые два из них (иногда - три пер- вых). В России предпочитают антивирусы отечественного изготовления и ис- пользуют AVP и DrWeb. Для всех прочих скажу, что использовать NAV - это неува- жать самого себя. Он дает такое количество ложных срабатываний, что ни один вирмейкер на него даже внимания не обращает. Scan недалеко от него ушел... Я веду классификацию по AVP, т.к. в его базе более 16000 уникальных вирусов. С каждым днем число коллекционеров растет и растет. Когда в коллекции все- го сотня вирусов, хозяин коллекции знает их все наизусть. Но когда коллекция растет, появляются проблемы с классификацией и сортировкой. Разные люди нахо- дят разные пути упорядочивания коллекции. Например, файл insert.exe содержа- щий вирус с именем HLLP.Duke.5200 можно положитьпод именем c:\virus\HLLP\Duke\5200\insert.exe , а можно c:\virus\HLLP.Duke.5200.exe Это позволяет легко найти вирус если известно его имя. И в том и в другом случае есть свои проблемы : 1) создается очень большое дерево каталогов 2) a. очень скоро размеры папки превысят разумные размеры; b. нужно наличие 32-битного менеджера файлов (типа FAR) , иначе вместо имени файла вам будут показывать мешанину; с. если у вас несколько файлов поражено одним вирусом, то они могут претендовать на одно и тоже имя => новый файл перезапишет предшственника; d. и так далее... Я встречал много других способов хранения вирусов. Но остальные на мой взгляд еще менее удобны. Лично я пользуюсь первым способом. Имея коллекцию в несколько тысяч вирусов невозможно переименовать их все вручную. Поэтому коллекционеры пишут свои собственные утилиты - trading tools. Очень интересный класс утилит. К этому делу приложили руку очень многие кол- лекционеры. Из известных и используемых в нашей стране надо отметить RedArc Office by RedArc или Taxonomy'98 by ReCoder (которую я и использую). Все очень просто - помещаете новые вирусы в отдельную директорию, тестируете директорию любимым антивирусом, а затем натравляете на log-файл утилиту для сортировки коллекции. В результате в специально отведенной директории получаете расклас- сифицированные вирусы. Однако у Taxonomy'98 есть недостаток - она не обрабаты- вает файлы лежащие в архиве и имеющие с имени символ "пробел". А вот теперь стоит поговорить о безопасности коллекции. Сами знаете - виру- сы бывают разные, с разной степенью агрессивности. Среди них и трояны час- тенько встречаются. Да и скорость распространения у них разная - некоторые тут же приступают к сканированию диска и перезаписыванию исполнимых файлов своим телом. Представьте себе такую картину - полезли вы в папку с вирусами за ка- ким-нибудь экземпляром, и случайно нажали кнопку "Enter" на одном из вирусов 8-[ @ ] (У многих в файловых менеджерах типа FAR и DN выставлены опции "Прос- мотр файлов по вводу" и "Запуск исполнимых файлов из архива". Поэтому может случиться все что угодно даже с ZIP'ованным DOC-файлом). В голове - хаос и па- ника, в коллекции - дестрой и анархия..... Очень нехорошо. Чтобы избежать та- ких неприятных случайностей коллекционеры используют переименование исполни- мых файлов во что-нибудь неисполнимое. Несколько примеров расширений, с кото- рыми мне приходится встречаться : BOO, BOT, SEC, BIN - вместо COM для бутовых вирусов EX$, VXE, EX_, !XE, E-E - вместо EXE CO$, VOM, CO_, CO1, C-M - вместо COM VOC, D-C - вместо DOC ну и так далее. Для однообразия я меняю расширения всех файлов на ?-?, где ? - какие-то буквы от старого расширения (например, E-E, C-M, D-C, D-T, B -T и так далее). Некоторые коллекционеры переименовывают все файлы в *.VIR или вообще не используют расширения. Нельзя сказать, что это лучший выход. Если вирус способен поражать COM и EXE файлы, нужно иметь в коллекции файлы обоих типов (способы поражения могут быть достаточно оригинальными, но это уже замечание не коллекционера, а вирмейкера). При использовании одного расширения для всех файлов такой подход невозможен. К тому же, если вы впоследствии захотите изу- чить вирус, вы можете попасть в затруднение с определением первоначального ти- па файла (COM/EXE, DLL/EXE, SYS/EXE, boot/COM и так далее). Например, некото- рые EXE-вирусы переводят жертву в COM-формат ;-P Некоторые используют архивацию для того, чтобы обезопасить себя от случай- ного запуска. Но, как я уже говорил, запустить можно и в архиве, а вот на вре- мени сканирования это отразится не лучшим образом. Чем больше архивов - тем больше времени отнимает процедура сканирования коллекции. А если вы используе- те 3 разных антивируса да еще на 386 машине... 8-Q я вам не завидую ! Теперь у нас расклассифицированная и безопасная коллекция. И к вам посту- пают все новые и новые файлы. Тут пора напомнить о том, что желательно иметь несколько копии одного и того же вируса в одном и том же типе файлов : один из файлов может оказаться поврежденным (происки конкурентов, осыпавшийся диск, битый архив и другие прелести) и этот файл окажется негодным для его изучения (дизассемблирования, написания антивируса). Так что исследователям не стоит выбрасывать лишний пораженный файл, если такой вирус уже присутствует в кол- лекции. Вспомните Гобсека с его тягой к накопительству и складируйте все пос- тупающие к вам вирусы :) Теперь у вас уже есть большая коллекция, которая все пухнет и пухнет. А что если у вас есть абсолютно одинаковые по содержанию файлы, но пришедшие из раз- ных источников и имеющие разные имена ? Они только занимают место на вашем диске, не имея абсолютно никакой для вас ценности. (Уж поверьте мне на слово ! Когда я взялся за очистку своей коллекции, я уничтожил более 5000 повторяющих- ся файлов !!!) Такие файлы называются "дубликатами" (от английского "duplicates") или на жаргоне коллекционеров "dups". Симптомами наличия дубли- катов могут служить отчеты антивирусов (например, AVP), когда число обнаружен- ных разновидностей в два раза меньше, чем число обнаруженных вирусов ;-(( От дубликатов надо как-то избавляться... Но как ? Опять же не ручками - невозможно сравнить попарно десятки тысяч файлов. Трейдеры и аверы опять ока- зались на высоте и написали целый класс программ, называемых "weeder". Эти программы используют CRC32 для сравнения файлов, что позволяет с точностью 100% детектировать дубликаты и избежать ложных срабатываний. Попутно создает- ся база данных, которую можно использовать для обмена недетектируемыми вируса- ми. Первая (1994 год) и на мой взгляд лучшая утилита этого класса - TBWeeder (ThunderByte Weeder) была написана Frans Veldman для внутреннего использова- ния среди разработчиков антивируса ThunderByte Anti-Virus, но просочилась в трейдерские круги ;) Для полной уверенности утилита сравнивает CRC32 и длину файлов, а при их совпадении проводит побайтовое сравнение. Утилита может в ав- томатическом режиме удалять повторно встречающийся идентичный файл, но не мо- жет удалить файл с атрибутом Read-Only. Некоторые из коллекционеров используют специальные утилиты (например, Chk4Obj by Spooky), сканирующие коллекцию и ищущие OBJ и текстовые файлы. Де- ло в том, что среди зарубежных коллекционеров есть одно предубеждение. Они считают, что OBJ-файл не является исполнимым => не может быть объектом коллек- ционирования и должен быть удален из коллекции. С одной стороны они правы - антивирусы очень часто детектируют в OBJ-файлах другой (неверный) вирус того же семейства и тем самым вводят коллекционера в заблуждение. Но с другой сто- роны, некоторые из "вирусов" сужествуют ТОЛЬКО в виде OBJ-файлов (например, часть семейства BinaryImage по классификации AVP). Ошибкой AV пользуются не очень честные коллекционеры и норовят подсунуть под именем COM-файла OBJ-файл. Поэтому иностранцы и юзают Chk4Obj. Текстовые файлы могут называться вирусом по причине простого ложного сраба- тывания. Поэтому их тоже норовят удалить. Но не забывайте, что вы можете не- чаянно удалить настоящий вирус ! Например, скриптовые вирусы под UNIX, mIRC, BAT, VBS, HTML, CSC и прочие вирусы. Так что не перестарайтесь ! Ну вот, вроде полегчало... ;-)))) Теперь пора меняться с другими коллекцио- нерами, чтобы пополнить свой "вирусный склад". Что же нужно для полноценного обмена? Первое правило любого коллекционера (которому меня научили иностран- ные коллеги) : ни в коем случае не вносить каких-либо изменений в логи антиви- русов !!! (причины станут понятны позже) К сожалению, отечественные коллекцио- неры почти никогда не придерживаются этого правила. И во главе этого беспреде- ла стоит RedArc и его RedArc Office ;-)) Для того, чтобы сравнить коллекции, достаточно иметь лог своей коллекции, лог чужой коллекции и специальную программу "comparator" (VirSort, VS2000, VirusKeeper или еще какую). Рассмотрим работу с программой VS2000 (VirSort 2000) by Brian Burdick & VirusBuster. Запустив ее VS2000.EXE -b <ваш_лог> вы получите вашу персональную базу, в которой занесены имена вирусов и пути к файлам. Для сравнения коллекций запустите программу VS2000.EXE -c <чужой_лог> и получите файл *.log с именами вирусов, которых у вас нет и которые вам не помешали бы :) Чтобы добавить новые вирусы в базу запустите VS2000.EXE -a <ваш_новый_лог> и новые вирусы будут добавлены в базу. При создании базы все повторно встре- чающиеся имена вирусов попросту игнорируются. Чтобы узнать, сколько всего раз- личных вирусов в вашей коллекции достаточно запустить программу VS2000.EXE -h При запуске VS2000.EXE -r вы получите псевдо-лог сканирования с неповторяющимися именами вирусов. Теперь-то я могу сказать, что нетронутый лог нужен именно для применения этих самых утилит comparator'ов. Если вы попытаетесь отредактировать AVP лог в Dos Navigator'е, то все символы табуляции будут заменены на пробелы и утилита не сможет распознать формат файла. Итак, вы получили запрос от другого коллекционера на некоторые вирусы из вашей коллекции. Осталось только выбрать их из вашей обширной коллекции. Если у вас хорошая классификация, то это не проблема, но если просят нес- колько сотен вирусов... это становится проблемой. На выручку опять приходят утилиты. Если ваша коллекция хранится в архивах, то вам поможет StripLog 5.1 by VirusBuster, а если коллекция просто разбросана по папкам - юзайте Duke's Utilities 1.0 by Duke/SMF (без рекламы никак не могу :). Укажите утилитам имя лог-файла и каталог для складирования файлов, и утилиты сделают свое черное дело :=) Если же вы не используете полные лог файлы, а создаете списки из од- них только имен вирусов, то на этом этапе у вас возникнут проблемы с поиском нужных файлов :-(( Необходимо утвердить собственный обменный рейтинг ("ratio") - сколько виру- сов вы дадите за новый для вас вирус. Для коллекционера средней руки 1:1 са- мое оптимальное, крепные коллекционеры могу себе позволить 2:1 или 3:1. Кстати, знаете ли вы, что разные вирусы имеют среди коллекционеров разную ценность ? Да-да, как и среди других объектов коллекционерования, среди виру- сов существуют раритеты. За некоторые из вирусов вместо 1 вируса вы можете по- лучить от 5 до 500 ! 8-[ @ ] Крупнейшие коллекционеры (имеющие более 13000 ви- русов по AVP) создают целые WANTED листы, в которых помещают имена только тех вирусов, которых у них нет, которые они очень хотят иметь и за которые они го- товы дать ОЧЕНЬ много вирусов на ваш выбор. Во все WANTED листы входят вирусы Uruguay #9, #10, #11, которые существуют только в 7-10 экземплярах у авторов крупнейших антивирусов (ну, я тоже суда втерся ;-))). А за некоторые из RDA.Fighter можно попросить 1000 вирусов... Поэтому, прежде чем кидаться с места в карьер, перед обменом изучите WANTED листы потенциальных коллег по об- мену и не принимайте поспешных решений. Не все вирусы стоит свободно обменивать. У каждого коллекционера есть своя папка NOSEND ("не для обмена"), в которой по разным причинам лежат вирусы, обмену не подлежащие (даже если эти вирусы есть у многих коллекционеров, и на то есть свои причины). Какие вирусы попадают в папку NOSEND ? - редкие(раритетные) вирусы, полученные из WANTED листов - тут и так все по- нятно; - bandmarker stuff (или brandstuff) , что дословно значит "меченые вирусы" - вирусы, тем или иным путем полученные от авторов антивирусов. В своем теле такие файлы содержат имя и адрес человека, от которого были получены или ко- торому предназначались, и выводят эти данные на экран при запуске файла. Как правило, это эффектно выглядит на опасных полиморфных вирусах, шифрующих жертву. Если вы попытаетесь обменять такой файл, у вас могут быть очень большие неприятности (в частности, с вами никто не захочет иметь дел), пото- му что этот файл предназначается ТОЛЬКО для вашей коллекции; - если вирус получен от автора (или другого коллекционера) с просьбой о дальнейшем нераспространении ("only for you"). У поставщика могут быть свои причины - он не хочет эпидемии своего вируса, не хочет быть обвиненным в на- писании вирусов (поэтому отсылает его предже всего аверам), хочет иметь кар- т-бланш при обмене этим вирусом, и тому подобное. Многие коллекционеры предла- гают повысить ставки при обмене, лишь бы выманить у вас эти вирусы. Но я сове- тую вам быть более стойкими и не зариться на минутную выгоду - вы получите уважение со стороны других (честных!) коллекционеров. Для того чтобы собрать большую коллекцию малыми силами, некоторые трейдеры объединяются в группы. Такие подпольные группы, наподобие хакерских ;) ... У каждого члена такой группы есть свои обязанности, например список контактов - трейдеры, с которыми он имеет дело. Все новые наменянные вирусы поступают в общую кучку и достаются всем членам группы. Очень продвинутая идея, но почти в каждой такой группе находится паршивая овца, которая тянет одеяло на себя. Будьте осторожны, пиплы ! До недавнего времени была только одна группа крупнейших трейдеров - Virus Trading Center, но в последнее время группы полезли как грибы после дождя. Но вот произошло эпохальное событие - теперь группы VTC больше не существует :(( Да и X-VEX 2000 на ладан дышит... Некоторые из трейдеров используют свое положение в корыстных целях. Они за- нимаются сбором новых (и не очень) вирусов для последующей передачи их аверам :(( Очень нехорошо... Ну и напоследок, несколько имен. Не думайте, что я хочу назвать героев или классных парней. Я хочу назвать тех, кто : - просят у вас ваши новые вирусы якобы для тестирования или в папку NOSEND, а на самом деле ваши вирусы идут на разделочный стол аверам; - обещают не давать никому полученный от вас файл, а через пару менут меняют его кому не попадя; - после получения большой партии вирусов прекращают какие бы то ни было кон- такты с вами (не надейтесь получить ответ на ваше мыло ;(( ). Этот подонок, порочащий гордое звание ТРЕЙДЕРА - VGrep, так же известный как IntelServ. Имейте дело только с проверенными партнерами и не доверяйте всем подряд !!!