Комментарии 84
Предлагаю всем завтра отключить сетевой кабель от компа, а то мало ли что тайваньцы задумали.
Насколько я помню, винчих мирно жил и плодился, а срабатывал локально в определенный день, наверно 26го апреля
НЛО прилетело и опубликовало эту надпись здесь
У меня однажды сработал 26 января.
по-моему вы путаете Чих и Чернобыль, это разные вирусы.
Разве?
по-моему это вы путаете)
«26 апреля 1999 года, в годовщину Чернобыльской аварии вирус активизировался и уничтожил данные на жёстких дисках Именно совпадение даты активации вируса и даты аварии на ЧАЭС дали вирусу второе название — «Чернобыль», которое в народе даже более известно, чем «CIH».»
© wiki@CIH
© wiki@CIH
Еще его звали Чернобыль, именно из-за 26-е апреля.
Нет необходимости, достаточно кактуса у порта.
Теперь практически все материнские платы (если не просто все) имеют защиту от уничтожения биоса в виде резервной неперезаписываемой флешки. Еще были (и возможно есть) платы со специальным джампером запрещающим перезапись биоса
То что производители отреагировали на проблему действительно радует.
Но не все устройства имею защиту. На многих ноутбуках, например прошлого года, биос обновлялся без особых настроек. Судя по характеристикам резервного биоса они так же не имеют. Иногда задумывался об этом, жаль что ситуация с CIH может повториться вновь.
Но не все устройства имею защиту. На многих ноутбуках, например прошлого года, биос обновлялся без особых настроек. Судя по характеристикам резервного биоса они так же не имеют. Иногда задумывался об этом, жаль что ситуация с CIH может повториться вновь.
Не запускайте что попало с повышенными привилегиями и ситуация не повторится.
Возможно, Вы неправильно меня поняли. У меня такой ситуации не было никогда. Я говорю об обычных пользователях, не отличающихся знанием даже простейших правил безопасности. Производители могли бы обезопасить своих клиентов, но увы, делают это далеко не все.
Возможно я действительно неправильно вас понял. Расшифруйте пожалуйста «без особых настроек» в вашем посте. Какие специальные действия нужно ожидать от человека, желающего обновить биос, чтобы отличить его от malware?
Многие материнские платы имеют возможность запрета записи в BIOS прямо в программе настройки биоса, которая обычно вызывается клавшей «Del» или «F2» при загрузке. Иногда бывает специальная перемычка, которую нужно переставить перед обновлением прошивки биоса. После же обновления нужно опять запретить изменение прошивки. Это я и имел в виду, когда говорил «особые настройки».
Производители стремятся облегчить пользователю пользование продуктом. Зачем заставлять ковыряться в джамперах или в настройках BIOS (как вы думаете, сколько процентов пользователей туда вообще хоть раз заходили?), когда можно дать возможность прошивать просто так? Таким образом, вопрос защиты производитель железа переложил на производителя ОСи. Я с вами согласен, что железная защита лучше программной, но мы с вами нерепрезентативная выборка. Чем выше защищенность системы, тем сложнее ею пользоваться, а упор делают на то, чтобы пользоваться продуктом могли не только люди с высшим техническим образованием.
Моя материнская плата не имеет. Возможно в 1999 году были платы которые это позволяли. Были также настройки типа Anti-Virus Protection (да, реально так и называлась), которые не давали переписывать MBR диска и в итоге вызывали кучу вопросов у пользователей, которые хотели переустановить Windows 98 (инсталлятор зависал на черном экране)
Вы хотите сказать, на Win32 вирусы работают только из под администратора?
Я по поводу вирусов не в курсе, давно их не видел, но перепрошить биос под ограниченной учеткой они врядли смогут.
Думаю, ACL любой NT-системы в данном случае будет бессилен.
Думаю, из юзер-спейса любой вирус в данном случае будет бессилен. А установить драйвер — нужны привилегии.
Как раз таки вопрос получения привелегий для malware под win32 тривиален.
Можно ссылку на рабочий PoC?
Вы б ещё в гугл послали. Дайте ссылку на конкретный рабочий эксплоит.
НЛО прилетело и опубликовало эту надпись здесь
Пока мы не вышлем вам эксплоит (летмигуглфорю, ага), вы будете свято уверены, что win32 безопасна?
а зачем вам рабочий эксплойт… если обсуждение было про существование таковых вообще?
p.s. неужели хотели использовать аргумент 'самдобейся'? :)
p.s. неужели хотели использовать аргумент 'самдобейся'? :)
Посмотреть, подебажить. Поэкспериментировать, в каких условиях работает, в каких нет. Ну, в любом случае, я уже согласился, что слова «с повышенными привелегиями» были лишними, и их можно опустить.
Вы хотите сказать, на Win32 вирусы работают только из под админа? =)
Защиту то имеют, но даже простейшая неудачная прошивка биоса из винды убивает эту защиту вместе со всем биосом (проверено на моей p5k)
Помню, как 25-го апреля решил первый раз в жизни проверить свой компьютер Dr.Web-ом, и был неприятно удивлён, обнаружив данную заразу. А ведь не сделай я эту проверку, через 3-4 мой компьютер можно было бы отправить на свалку истории…
* 3-4 часа
Ну почему же? Я тогда лаборантил, в те годы, BIOS мы перезаписывали «по живому» — в чистый, уже работающий комп вставляли поражённый BIOS и перепрошивали.
Вообще-то для этого используются программаторы.
Повеселили. Откуда у обычного лаборанта программатор?
оттудаже, откуда сейчас берут обычные студенты — сами спаивают)
И сейчас так делают (если программатора под рукой нет).
НЛО прилетело и опубликовало эту надпись здесь
А у нас его еще называют «Чернобыль».
>С 2006 года Чэн работает инженером в Gigabyte Technology.
Я-то думал, что у них BIOS такой корявый (на одной материнке DMA отключалось спонтанно, конфликты прерываний возникали — в 21-то веке). Ан вон в чем дело!
Я-то думал, что у них BIOS такой корявый (на одной материнке DMA отключалось спонтанно, конфликты прерываний возникали — в 21-то веке). Ан вон в чем дело!
А я в 99-м накручивая рост рыбки в каком-то тамагочи, переставлял даты вперед убил материнку на две недели раньше, но это спасло всех родственников — успели подлечиться.
У нас в группе есть один парень, который пишет свой трехмерный движок. Не знаю, совпадение или нет, но за пол года у него сгорело 2 видеокарты. Я больше его билды не тестирую :)
Сейчас malware пишут, чтобы ботнеты строить и бабло зарабатывать, деятелей, которые таким образом «доказывают принципиальную возможность», наверное, и не осталось уже.
На материнских платах от GIgabyte была (есть?) реализована функция DualBIOS.
Понятно откуда ножки растут :)
Понятно откуда ножки растут :)
а вот и не угадали — как раз в своё время гигабайт «отличился» просто повальным сдыханием биоса — до системы дуал биос они реализовали бэкап оного в последний сектор первого жесткого диска:
Биос гигабайта «откусывает» (делает операцию CUT) у жесткого диска — туда помещает свою копию и при невозможности загрузиться восстанавливает себя оттуда — то есть можно взять винт (желательно какой-нить не нужный), и самому разместить «образ» биоса в конце жесткого диска при помощи редактора диска и изменить еще какой-то ключ — и подключив к материнке теолретически можно так восстановить умерший биос
ЗЫ сам пытался таким макаром восстановить одну материнку — правда так и не получилось.
Биос гигабайта «откусывает» (делает операцию CUT) у жесткого диска — туда помещает свою копию и при невозможности загрузиться восстанавливает себя оттуда — то есть можно взять винт (желательно какой-нить не нужный), и самому разместить «образ» биоса в конце жесткого диска при помощи редактора диска и изменить еще какой-то ключ — и подключив к материнке теолретически можно так восстановить умерший биос
ЗЫ сам пытался таким макаром восстановить одну материнку — правда так и не получилось.
Я компы крутил на таких матерях в 2000 г.
Ноги за 10 лет уже выросли давно.
Ноги за 10 лет уже выросли давно.
>Завтра в истории компьютерной безопасности крайне знаменательный день. 26 апреля 1999 года.
И крайне трагичный в истории человечества. Чернобыльская катастрофа как никак.
И крайне трагичный в истории человечества. Чернобыльская катастрофа как никак.
Помню случай. Парень устроился эникейщиком в контору. Первый рабочий день, глядь на компе дата не в порядке — 25 апреля. Он трудолюбиво заменил, а компьютер возьми и как зависни. Оказался единственный комп в конторе зараженный этим вирусом и на котором была куча важных файлов.
Отсюда главный принцип сисадмина: «пока работает, ничего не трогай».
Какая-то страшилка… Трудно верится. Прям как «Идет медведь по лесу, видит — машина горит. Сел в нее… и сгорел»
А откуда он мог знать, что «машина горит»? Ведь инет был признаком статуса выше среднего. А по телеку об этом вирусе сказали или в середине 26-го или на след. день. Уже не помню.
Я сам узнал о вирусе со слов плачущего друга, который понес винт в сервис и которому заломили цену.
Кстати, в те времена владельцы прямых рук и нужного софта могли классно нажиться.
Я сам узнал о вирусе со слов плачущего друга, который понес винт в сервис и которому заломили цену.
Кстати, в те времена владельцы прямых рук и нужного софта могли классно нажиться.
Спасибо за скриншот! Снова почувствовал ёканье в области печени от этих букв.
Отлично помню CIH панику :) Прекрасные времена были.
Еще раз спасибо :)
Отлично помню CIH панику :) Прекрасные времена были.
Еще раз спасибо :)
Статья звучит как «первое убийство показало несовершенность правоохранительной системы»
Этот вирус не сработает в НТ системах, только в 9х. В НТ дыр таких нету чтобы ему на 0-е кольцо привилегий выйти…
У меня есть исходник этого вируса… когда на него смотрю то понимаю что ассемблер почти не знаю, а эще там коментарии прикольные…
Вирус компилится 5-м турбо ассемблером и его сразу удаляет антивирь :)
Он красиво сделан, там формат РЕ в заголовке программы собран вручную из масива байтов, сам код компилируется как 32-х разрядный сом файл но так как формат РЕ сделан вручную получается win32 прога.
У меня есть исходник этого вируса… когда на него смотрю то понимаю что ассемблер почти не знаю, а эще там коментарии прикольные…
Вирус компилится 5-м турбо ассемблером и его сразу удаляет антивирь :)
Он красиво сделан, там формат РЕ в заголовке программы собран вручную из масива байтов, сам код компилируется как 32-х разрядный сом файл но так как формат РЕ сделан вручную получается win32 прога.
Один из немногих вирусов, на которые я попался.
Еще одним был OneHalf.3544, но это более ранняя история…
Еще одним был OneHalf.3544, но это более ранняя история…
Я долгое время хранил образец вируса у себя в архивах раза три архивированный разными способами с шифрованием и чем-то там еще (чтобы антивирусники не матерились) и пугал им своего младшего брата :) Эх… ностальгия.
С чихом сталкивался единственный раз, когда в ночь с субботы на воскресенье в ночном клубе, в котором я работал, отказали все компы торговой системы- несмотря на антивирус, кто-то умудрился протащить эту заразу. Тогда мне пришлось двое суток провести на работе, сначала руками сводя смену, а затем восстанавливая дюжину компов с нуля.
Но справедливости ради стоит отметить, что лидерство в убивании железа не у чиха.
На вирь, который умел стирать биос, я впервые наткнулся еще в 1996 году. Тогда у меня умер винт (уронили перемычками на ребро корпуса), новый был размером больше гига, комп старый, поэтому пришлось воспользоваться программой эмуляции LBA, которая шла в комплекте с жестким диском. После установки/запуска этой программы все и началось.
После первой же перезагрузки комп отказался загружаться. Не помню точных симптомов, но в биос зайти не получилось. Не долго думая, сбросил перемычкой cmos- чтобы убедиться, что в настройки биос по прежнему зайти нельзя, и загрузиться можно только с флопа. После ревизии биоса турбодебаггером выяснилось, что часть биоса была стерта и забита откровенным мусором. Через пару дней удалось найти уцелевший кусок биоса, который управлял настройкой, прописать параметры харда и запуститься. Но увы, после того, как жесткий диск начал работать, стирание биоса продолжилось, и еще через пару дней материнку пришлось выкидывать- биос был впаян в плату, и выпаивать/перепрошивать его было дороже, чем заменить плату.
Но справедливости ради стоит отметить, что лидерство в убивании железа не у чиха.
На вирь, который умел стирать биос, я впервые наткнулся еще в 1996 году. Тогда у меня умер винт (уронили перемычками на ребро корпуса), новый был размером больше гига, комп старый, поэтому пришлось воспользоваться программой эмуляции LBA, которая шла в комплекте с жестким диском. После установки/запуска этой программы все и началось.
После первой же перезагрузки комп отказался загружаться. Не помню точных симптомов, но в биос зайти не получилось. Не долго думая, сбросил перемычкой cmos- чтобы убедиться, что в настройки биос по прежнему зайти нельзя, и загрузиться можно только с флопа. После ревизии биоса турбодебаггером выяснилось, что часть биоса была стерта и забита откровенным мусором. Через пару дней удалось найти уцелевший кусок биоса, который управлял настройкой, прописать параметры харда и запуститься. Но увы, после того, как жесткий диск начал работать, стирание биоса продолжилось, и еще через пару дней материнку пришлось выкидывать- биос был впаян в плату, и выпаивать/перепрошивать его было дороже, чем заменить плату.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
День CIH.win9x