Легенды вирусостроения: В тисках шифратора

[jasiejames]

Как и обещал, следующая статья готова!!!

[b8c6]

На этот раз про чуму? :-)

[Storm2k]

Ждем описания про Чернобыля. В далеком 97 году он мне биос переписал. Эх, ностальгия ;)
А сейчас autorun.inf, тьфу.

[elmm]

А не в 99ом случаем?
Шумихи тогда было вокруг CIH — кажется даже по телеку показывали сюжеты про этот вирус.

[Storm2k]

Извиняюсь и правда 99-ый год. Сколько воды утекло… Fido, BBS :)

[sev]

Отличная статья, времена вспомнились, аж засосало под ложечкой :)

[Somewan]

как насчет win95.cih?

[Halt]

Это уже позже было. А вот OneHalf, Оксана и Чернобыль это да… %)

[Somewan]

меня эти вирусы обошли стороной, но поиск по гуглу утверждает, что винчих и чернобыть есть одно и то же.

[Halt]

Разве? Странно, мне почему-то запомнилась именно эта тройка. Хотя может быть я спутал с BackFormat-ом.

[Somewan]

ну как бы так оно и есть
ru.wikipedia.org/wiki/CIH

[jasiejames]

Это на самом деле так. CIH и Чернобыль одно и тоже.

[Arris]

Отлично!

Надеюсь, пройдетесь по каждой вехе в этой борьбе ;)

[INSTE]

>> HET — фu3uke u ucTopuu B pacnucaHuu uy7!

Неужто баумановцы засветились?! :)

[merc]

Да, сразу бросилось в глаза)
Видимо, и в МГТУ была собственная версия вируса

[l2k]

Вероятно просто был заменен текст в исходнике виря.

[Somewan]

БАУМАНЦЫ!
Но никак не бауманОВЦЫ

[Somewan]

Фраза:
HET — фu3uke u ucTopuu B pacnucaHuu uy7!

мне как бы намекает, что дело тут не обошлось без кафедры ИУ-7 МВТУ им. Баумана.

[andreysmind]

На 286 Линукс не запускался.

[andreysmind]

Я написал в прошедшем времени. Линукс писался с учётом защищённого режими (или как он правильно называется, забыл) для 386. На 286 его портировали уже потом.

[Storm2k]

Вспомнился анекдот:

Встречаются два хакера. Один говорит:
— А я знаю что надо сделать чтоб OSR2 ваабще не глючила!
Второй:
— Что?
— Да всего один байт поменять!
— Какой?
— Да, в названии OSR2 третий байт надо поменять на "/"!

[sas1024]

Да уж, помню как этот засранец зашифровал данные на моем 286 компьютере(( Расшифровка данных у антивируса заняла около 7 часов( И это на винте размером в 40 мегабайт!

[smartello]

Эх, знали бы они в 94-ом, что в расписании ещё и валеология с культурологией появятся :-D

[lunatik42]

Еще социология и политология =)

[smartello]

Прочитал статью с ci.ru

Оказывается ещё в 94-ом Сидоренков донимал студентов нашей кафедры! :-))))

[Somewan]

да, наслышан о нем
«ну что ты, кисонька моя, я и сам дурак, главное, чтобы умной была»

[smartello]

Эх, знали бы они в 94-ом, что в расписании ещё и валеология с культурологией появятся :-D

PS: статья отличная!

[Somewan]

> так как для полной шифровки винчестера емкостью 0.5 [ГБ]
речь идет о 94 годе. В те времена диски были намного меньше.

Чуть ранее (где-то в 93 году) у меня было 2 диска по 21 МБ (доставшиеся при апргрейде с 286 на 386) и я точно знал количество файлов на каждом из них. Изменение этого числа наводило меня на мысли «этожжжжж неспроста!»

[jasiejames]

OneHalf встречался в «дикой» природе примерно до 2001 года, я с ним в универе познакомился впервые.

[Somewan]

не удивлюсь, если он до сих пор дремлет на какой-нибудь дискетке, дожидаясь своего часа.
другой вопрос, что его сигнатуры наверняка уже есть во многих АВ-базах

[joedm]

Он полиморфный, по сигнатурам не детектится.

[Somewan]

а что, АВ, способных детектить полиморфов, уже не осталось?

[joedm]

Я к тому, что для детектирования полиморфных вирусов в те времена (может и сейчас тоже) использовались другие методы, а не поиск по сигнатурам.

[Somewan]

хорошо, признаю, что неправильно выразил свою мысль.

[icCE]

onehalf у меня лежит в личном сборнике вирусов, один из любимых =)

[Ikari]

Спасибо за интересные статьи! Продолжение будет?=)

[jasiejames]

Раз уж я взялся за эту тему, то еще несколько статей обязательно напишу.

[Ikari]

Жду с нетерпением=)

[adnull]

Вы забыли упомянуть, что первый антивирус, убивающий OneHalf (aidstest?), забывал расшифровать диск. В результате чего данные были гарантированно утеряны.

[Inskin]

Не гарантировано. Можно было заразиться ещё раз, и данные становились снова доступны :)

У меня получалось так, что я убивал вирус аидстестом, после чего данные становились недоступны. Видимо, аидстест убивал только из памяти, потому что после перезагрузки опять дис из ванхалф, и опять всё доступно. В итоге притащил дрвеб и всё полечил.

[adnull]

Крд шифрации был рандомным, так что при следующем заражении даные нельзя уже было расшифровать.

[adnull]

Эээх, да… были времена.

[Storm2k]

Помню мой ужас… Еще страху добавило, то что он в справочнике Веба был помечен, как «крайне опасный». Слава Богу, к тому моменту, что я схватил его, Веб уже умел его лечить и расшифровывать диск.

[Inskin]

Может быть, я за давностью лет реально не помню уже. Помню только, что аидстест вируса убивал, после чего диск переставал читаться, но после перезагрузки дис из ван халф опять, и данные становились доступны :)

[jasiejames]

Не хотелось очернять AV-компании, к тому же я упомянул об опасности простой перезаписи MBR, потому что в основном так и боролись с onehalf'ом сначала.

[joedm]

aidstest не умел лечить полиморфные вирусы.

[Inskin]

«Лицезреющие эти строки» в большинстве своём жали эни кей и работали дальше :)

[andreysmind]

Помню всю систему перебирал по файлу удаляя заражённые. Они примерно одинаково выглядели, можно было отличить от незаражённых файлов. Думал я так от вируса избавлюсь.

[Acanthis]

Помню его — пришел с зараженной дискетой с игрой pacman в 1996м

[FTM]

И все-таки раньше трава была зеленее, девушки красивее и пиво вкуснее.

Статья супер! Давайте-ка еще ;).

[vvvvvv]

Да, да, и вирусы серьезнее )

[Arris]

Маленькое замечание:

DrWeb тогда только только появился, а в основном использовался Aidstest.

Даже помню диалог:
— А у меня есть DrWeb, который лечит 34 вируса.
— А мой — 48!
— Дай переписать!!!

Ну как-то так, точные цифры уже не помню, все таки 15 лет прошло, но порядок такой. =)

Как раз тот самый дрвеб о 48 вирях и ловил ванхальф.

P.S. Эх, где бы найти самую самую первую версию

[Tibidoh]

Спасибо автору за ссылку на Компьютер-информ. С удовольствием почитал сайт, который не менялся с 96го.
Даж на слезу пробивает. И самое интересное, что страницы без css, тегами вроде [HR WIDTH=«100%»][B][FONT COLOR="#FF0000"][FONT SIZE=+3]OneHalf [/FONT][/FONT][/B] и расширениями .htm в заголовке не смотрятся убого!

[andrew72ru]

Эх блин. Для меня ваше описание работы вируса — это как Deep Purple в 7 классе — нихрена не понятно, но очень круто!
А я ведь тоже помню его. Только по тем временам мне компьютер Очень Умные Дядечки лечили, а наблюдал. Сейчас-то наоборот обычно — я ремонтирую, а за мной наблюдают. И ведь наверное, считают меня Очень Умным…
Спасибо, отличная статья!

[jasiejames]

Очень лестный комментарий для меня (даже не думал, что можно сравниться по крутости с Deep Purple :)

[Theo_from_Sed]

Да, славный был вирусец. Мы даже с другом долго думали как его портировать на Спектрум :-D