Вирусы?

Независимый исследователь Juari Bosnikovich juarib@m-net.arbornet.org опубликовал в списке рассылки новые подробности разрушающего действия вируса MyDoom.B, которые не были опубликованы антивирусными компаниями.

Антивирусные компании говорят, что код вируса написан на ассемблере, однако при дизассемблировании, он выглядит как написанный на c++. Оказалось, что антивирусные компании скрывают основную информацию о действии вируса, например тот факт, что в действительности 12 февраля он не остановит свое распространение. На самом деле после 12 февраля MyDoom перейдет в новую фазу и будет еще более опасным, поскольку появится новая обновленная и мутировавшая версия. Известно, что MyDoom посредством shimgapi.dll оставляет открытыми порты 3127-3189, но это используется только для скрытия реальных намерений MyDoom.B

До сих пор не было известно, что вирус заражает BIOS компьютера. По словам исследователя, вирус записывает в BIOS код длиной 624 байта, который будет управляться по TCP протоколу после 12 февраля. Также нет возможности вылечить вирус записанный в BIOS, кроме как перезаписать в флеш память BIOS заново. [ORIGINAL TEXT] When I disassembled the virus I found new information that haven't came up anywhere else to this time. Here is the information that is beleived... 1. use restricted usernames to send email to and from 2. encode strings with ROT13 method 3. create a mutex called 'SwebSipcSmtxSO' when ran 4. transform in taskmon.exe and 4.1 add [HKLMSoftwareMicrosoftWindowsCurrentVersionRun] "TaskMon" = %sysdir% askmon.exe 4.2 add [HKCUSoftwareMicrosoftWindowsCurrentVersionRun] "TaskMon" = %sysdir% askmon.exe 5. add %sysdir%shimgapi.dll open ports 3127/tcp - 3198/tcp 6. stops spreading febuary 12 7. spreads through KaZaA and Electronic Mail System 8. and more very technical fact i will not describe here What I found... Even if the virus (Mydoom) is programmed in assembler and compiled using masm it is made to look like it has been programmed in C++ when disassembling. It is a fact that many more information are hidden and undiscovered to this date such as the fact that it will stop spreading on febuary 12 which is not true. Mydoom will pass in a new phase upon febuary 12 and it will be very much more serious as it will be updated and will mutate in Mydoom.C. The backdoor (shimgapi.dll) is open a port but this is used to obscur the real intention of Mydoom.B as well as Outlook express. It was also unknown that the virus infects the BIOS of the computer it infects by injecting a 624bytes backdoor written in FORTH which will open port tcp when Mydoom will be executed AFTER febuary 12. It is a conclusion that the viral professionals that published diagnosis of the Mydoom.A virus are trying to hide something or are very incompetent. Also there are no way to fix the virus that is injected in the BIOS after it has been infected except from flashing it AFTER disinfecting the workstation that was infected. Juari Bosnikovich по материалам

Чепуха полная. Нет в нем ничего, что может "мутировать" и уж тем более писАться в BIOS. Разобрали и посмотрели. Ничего смертельного. :)

Технология распространения - классная (двойная), а так - обычная херь, ничего особенного... А массовость распространения обеспечена низким уровненем сетевой культуры большинства юзверов...

Насчет культуры эт точто, она такая ;)

По этой причине у нас допустим вся переписка идет через один адрес, все читается, корректируется и т.д. Входящий мусор убивается и у сотрудников не возникает желания заглянуть в письмо, а что там прислали.

Все-равно достаточно одного ламоса на 100 человек... и... хотя для этой шняги и 1 из 1000 хватает!

Scaramush, спасибо, опубликую опровержение. Хочеться и вправду недеяться, что это лишь очередная утка!

В большинстве случаев это так. Но не стоит быть таким категоричным. "Мутанта" сделать несложно - полиморфы известны давно, кроме того не исключены подгружаемые блоки кода. Когда вирь запускается с админ. правами, возможностей много. Насчет записи в BIOS, все не так просто. Теоретически это возможно. В 1999 году, помнится, "чернобыль" много биосов снес. Но просто запись и запись исполняемого кода - вещи разные. Слишком много производителей и версий BIOS, всех не учтешь. А без этого ее можно только свалить. Правда только, если в установках матери разрешена запись flash,

Реверсить этот вирь мне как-то недосуг, но думается антивирусные фирмы не будут особенно хитрить с описаниями. Иначе конкуренты могут обвинить в некомпетентности ;)

Кстати, есть небольшая нортоновская утилитка, проверяющая ваш комп на наличие этого паразита. Можете взять здесь

Любопытная новость о возможных авторах.

Это еще что... вот посмотрите на свои нтмл-ки - много у кого после 18 января вставили тег iframe после body - вирус такой - в данном случае через open_ssl и mod_ssl, но странно что это пропатчили, а прокатился он с 18 на 19 января, и самое интересное - заехал в нтмл странички и засел, - апач пропатчат, мод-ссл выкинут, а сайты и дальше будут с ифрамой 1х1 пикс ездить в бекап и обратно, а пользователи, подсевшие на интернет эксплорер будут соревноватся с вирусами в обновлении антивирусов, благодаря начавшимся в ноябре прошлого года публичным открытием каждые несколько дней дыр в микрософт эксплорере. ой что будет-что будет, а если это все будет происходить на фоне вшиваний вирусов в биосы как последний mydoom.a, и некоторой задержкой активности, то микрософту каюк... и все ползком поползут на мозилу а потом на линукс, а когда и его ...

да а может кто знает удобную бесплатную програмку под винду, которая хранила-бы в базе разрешенные на запуск программы и блокировала не разрешенные по контрольной сумме, весь тугугл обискал, програмки не нашел.

Хотелось бы увидеть хоть одну ссылку. Так, чтобы не считать это просто слухами.

Вы удивительным образом смешали в кучу уязвимости разных платформ.

Вирусы широко распространяются, пользуясь неосторожностью массы юзеров. Те, что лезут в дыры мелкософта, имеют меньше возможностей. И, наконец, взлом *nix серверов, это дело, лежащее совсем сбоку. И делается оно ручками. А людей, способных это сделать (и не влететь при этом) не настолько много, чтобы вызвать глобальную эпидемию.

Есть несколько сайтов, где стоит поискать. Три, на мой взгляд, лучших в рунете, привожу здесь:

http://SecurityLab.ru/

http://www.bugtraq.ru/

http://security.nnov.ru/

Посмотрите в софтовых разделах, может что и подойдет.