Базовый вирус за 20 минут или почему стоит пользоваться антивирусом

[alexesDev]

Вирус за 1 секунду
rm -rf /*
Осталось только добавить возможность «заразить» им компьютер без ведома пользователя, добавить некоторе условие срабатывания, ну и научить отправлять украденную информацию на некоторый удаленный сервер.

[p07a1330]

А как же sudo?)
А если серьезно — не претендую на звание автора самого простого вируса. Тут посыл чуть-чуть в другом…

[kranid]

Посыл в том, что вирус написать очень легко, вот вам пример, а антивирус от него защитит, поэтому желательно использовать антивирусы, но тут есть одно но. Вирус то тут не написан, т.к. самая главная фича вируса отсутствует, которую реализовать как раз таки действительно сложно, соответственно, антивирус против такого вируса вообще не нужен, что совершенно нивелирует главный посыл статьи.

[p07a1330]

главная фича вируса отсутвует

Вы имеете ввиду способность к саморазмножению?
Она реализована в функции Registr, при первом запуске программа создает свою копию в Program Files (x86).
Более того, если придерживаться классической классификации, которую я урезанно привел выше, то даже без воровства паролей это уже можно назвать вирусом, в частности — червем.
Другой вопрос, насколько определение Коэна совпадает с реальностью…
Уточните, как можно поймать происходящее без антивиря и регулярного мониторинга реестра/системных папок?

[kranid]

главной фичей я считаю заражение без участия пользователя, т.е. использование каких-нибудь не залатанных уязвимостей приложений или ОС, ну или хотя бы какое-нибудь несанкционированное повышение прав. В итоге, нет смысла осуществлять мониторинг реестра и пр, если на компьютер все-равно ничего не попадет.

[p07a1330]

Ничто не мешает встроить вирусный код в инсталлер любой пиратской программы, осознанного участия пользователя не потребуется.
Не стоит забывать, что тут, в частности на Хабре, сидит народ в массе своей просвещенный в IT кругах. За его пределами же немало пользователей Амиго и Яндекс.Бара.

А если по сабжу — классически простейшим вирусом Коэн вообще охарактеризовал вот эту строчку

V:=[F=RANDOM-FILE-NAME; COPY V TO F;]

Все, чъе поведение попадает под этот алгоритм формально считается вирусом.

[vdem]

Какой же это вирус? Это обыкновенная подлянка. Вирус должен размножаться, причем без посторонней помощи. А подлянку делать не обязан.

[alexesDev]

• шифрование файлов тоже "подлянка"
• размножатся скрыт в "Осталось только", ирония же. у автора тоже

[vdem]

По-вашему, вирусы обязательно должны шифровать файлы или вообще делать что-то вредное?

[andreymal]

Со звёздочкой ни ключ не нужен, ни система не спросит, лично проверял

[andreymal]

Ну тогда давайте прям щас и проверим

Я, правда, затупил и перед началом забыл ls сделать, но, думаю, и так понятно, что там изначально была нормальная убунта)

[AndreyYu]

Я ещё помню в журнале Хакер в начале 2000х была статья с кодом программы Hard drive killer, которая секунд за 5-7 чистила жесткий диск. Мы все её тогда перепечатали и запустили :-) Потом друзьям давали на дискетах и в сети шарили =) Никакой антивирус не поможет запустить из любопытства.

[mistergrim]

Можно за 0,1 секунды установить рандомный ATA-пароль, ещё веселее будет.
Много чего придумать можно.

[mistergrim]

сейчас, когда базовый вирус умеет написать каждый старшеклассник

Вообще-то старшеклассники в основном этим всегда и занимались.

[sinc]

дожили… вирусу требуется дотнет… еще небось потребует нужную поставить.
и весит под сотню килобайт.

[awoland]

Следующим номером на арене вирус на джава…

[RouR]

На джаве будет уже фабрика вирусов!))

[fougasse]

с ServiceLocator и Бинами

[justhabrauser]

Уже не модно.
На электроне он будет.

[fougasse]

сотню мегабайт

[Yuriy_krd]

И попросит пользователя перенести его на другой компьютер, чтобы дальше размножаться :)

[ggJa]

У меня завёлся страшный вирус: когда нажимаю shift+del. удаляет файлы так, что и в корзине не найти. Ни один антивирус не спасает.

[shapovalex]

Я бы на вашем месте с осторожностью относился к публикации подобный статей. Такой материал может квалифицироваться правоохранительными органами как распространение вредоносного программного обеспечения. И ваши мотивы их волновать не будут.

[maxzh83]

Добавьте вашему «вирусу» инсталлятор что ли…

[Chronicler]

В большинстве случаев в долгосрочной перспективе антивирус вредит хуже любого вируса. Тормозит систему, иногда блокирует нужные файлы (например результаты сборки), отправляет все что вздумается себе якобы на проверку (привет Касперский). Чем не вирус?
Ни разу не видел у коллег (а это в большинстве очень грамотные специалисты с большим стажем) антивируса.
Сам ими перестал пользоваться лет эдак 10 назад когда понял что если у тебя файрволл, адблок и ты не открываешь что попало из интернета и не ставишь непроверенного ПО, то шансы подцепить что либо сводятся к нулю.
А если вы все таки горите желанием запустите сомнительный экзешник, то всегда есть замечательный веб сервис VirusTotal который срабатывает лучше одного отдельно взятого антивируса (там их около 60 по моему). И даже загружать файл часто не потребуется, если его проверил кто-то раньше, ибо хеш и результаты проверки сохраняются.

[osmanpasha]

А как пользоваться этой песочницей? Не надо ещё с десяток гигабайт на виртуальную машину на hyperv для тестирования блокнота?

[Chronicler]

Нет, не надо. Включил в компонентах, места на диске осталось сколько и было. При самом первом запуске немного пришлось подождать, после уже шустрее. Единственный минус, при каждом перезапуске окружение и все настройки обнуляются. Так и не нашел способа сохранять промежуточное состояние.

[osmanpasha]

Спасибо, надо будет потыкать

[x-stiler]

Ну, на VT только статический детект. Хочешь динамику — будь добр покупай биточек и иди на всякие динчеки.
Хотя конечно согласен с Вами, АВ в наше время это прерогатива людей средней или низкой квалификации, но никак не технических специалистов по ИБ =)

[alex-khv]

У автора проблема с классификацией. Все вредоносные программы называет вирусами.
И привёл «индусский вирус» в пример.

P.S.
Если кому-то понадобится работать с DPAPI, рекомендую использовать класс ProtectedData.
Вместо тысячи слов, простой вызов одной функции ProtectedData.Unprotect.

[p07a1330]

Автор в начале привел сноску на классическую классификацию. И в дальнейшей статье опирался на нее.
По факту — не всякое вредоносное ПО — вирус. И не всякий вирус вредоносен. Но если отойти от формальных определений, эти понятия почти взаимозаменяемы

[av_in]

[fmj]

Куда оно сохраняется для автозапуска? Если в Program files, то кто вам даст права? А если в пользовательский каталог, то с чего оно должно вообще запуститься? (То, что по-дефолту там проходной двор, не значит, что все оставляют дефолт)

Не, если использовать разные уязвимости для удаленного выполнения кода и повышения прав, то и это будет работать, только такие уязвимости найти совсем не просто и требует навыков, и знаний.

[alex-khv]

Судя по многочисленным высказываниям, Microsoft проделала отличную работу. Начиная с XP планомерно скупала и внедряла в ОС системные инструменты.
Дефрагметатор, memtest, бэкап разделов, антивирус, фаерволл, шифрование диска, портабельность, цифровая подпись исполняемых файлов.

Иногда люди считают что безопасное поведение спасёт их от сетевого червя. Вы просто забыли что, раньше этого всё не было встроено в систему. Многие уязвимости типа EternalBlue, показывают что ваши методы (не запускать подозрительные письма, не ходить на разные сайты, не скачивать и не запускать разные приложения) не работают в случае сетевых червей. Только фаерволл, smart screen, встроенный антивирус, защищают вас.