Мала Академія наук школярів Криму «Шукач»
Секція інформатики
КОМП'ЮТЕРНИЙ Файлово-завантажувальні
поліморфних СТЕЛС-ВІРУС ONEHALF 3544, < p> ОСОБЛИВОСТІ Алгоритми та методи БОРОТЬБИ З НИМ.
Дійсний член МАН «Шукач»
Учень 10 - го класу
Фороської загальноосвітньої школи I - III ступеня
КОРАБЛЬОВ Андрій
Керівник: КОРАБЛЬОВ А. Б. - системотехнік
ВСТУП
Ми живемо на межі двох тисячоліть, коли людство вступило в епохунової науково-технічної революції.
До кінця двадцятого століття люди оволоділи багатьма таємницями перетворенняречовини та енергії і зуміли використати ці знання для покращення свогожиття. Але крім речовини і енергії в житті людини величезну роль граєще одна складова - інформація. Це найрізноманітніші відомості,повідомлення, звістки, знання, вміння.
У середині нашого століття з'явилися спеціальні пристрої - комп'ютери,орієнтовані на зберігання та перетворення інформації і сталасякомп'ютерна революція.
Сьогодні масове застосування персональних комп'ютерів, на жаль,був пов'язаний із появою самовідтворюються програм-вірусів,перешкоджають нормальній роботі комп'ютера, руйнують файлову структурудисків і завдають шкоди що зберігається в комп'ютері інформації.
Незважаючи на прийняті в багатьох країнах закони про боротьбу з комп'ютернимизлочинами і розробку спеціальних програмних засобів захисту відвірусів, кількість нових програмних вірусів постійно росте. Це вимагаєвід користувача персонального комп'ютера знань про природу вірусів, способахзараження вірусами і захисту від них. Це і послужило стимулом для виборутеми моєї роботи.
Я хочу показати на основі вірусу Onehalf 3544, яка наробила багато шуму в
1994-95 роках, можливі шляхи зараження, розповсюдження, руйнівніздатності вірусів і рекомендувати способи виявлення та захисту від них.
Робота виконана на основі аналізу лістингу коду тіла вірусу, отриманогоза допомогою дизассемблер Sourcer версії 7.0 та експериментального зараження
- Лікування декількох комп'ютерів з різними типами жорстких дисків, івикористанні різних антивірусних і прикладних програм. Особливуподяку за надання матеріалів для підготовки моєї роботи хочувисловити системному програмісту Олександру Крижанівському з Ялти і моємукерівнику системотехнік Олексію Корабльова.
КЛАСИФІКАЦІЯ ВІРУСІВ.
В даний час відомо більше 35000 програмних вірусів, їх можнакласифікувати за такими ознаками:середовищі існуванняспособом зараження середовища проживаннявпливуособливостями алгоритму
Залежно від середовища перебування віруси можна розділити на мережеві,файлові, завантажувальні, файлово-завантажувальні та макро-віруси,що розповсюджуються разом з документами і електронними таблицями. Файловівіруси впроваджуються головним чином у виконувані модулі, тобто У файли,мають розширення COM та EXE. Завантажувальні віруси впроваджуються взавантажувальний сектор диска (Boot-сектор) або в сектор, що містить програмузавантаження системного диска (Master Boot Record). Файлово-завантажувальні вірусизаражають як файли, так і завантажувальні сектори дисків.
За способом зараження віруси поділяються на резидентні і нерезидентні.
Резидентний вірус при зараженні (інфікуванні) комп'ютера залишає воперативної пам'яті свою резидентну частина, яка потім перехоплюєзвертання операційної системи до об'єктів зараження (файлів, завантажувальнимсекторів дисків і т. п.) і впроваджується в них. Резидентні віруси знаходяться впам'яті і є активними аж до вимикання або перезавантаженнякомп'ютера. Нерезидентні віруси не заражають пам'ять комп'ютера і єактивними обмежений час.
За ступенем впливу віруси можна розділити на наступні види:
5. безпечні, не заважають роботі комп'ютера, але зменшують обсяг вільної оперативної пам'яті і пам'яті на дисках, дії таких вірусів проявляються в будь-яких графічних або звукових ефектах
6. небезпечні віруси, які можуть привести до різних порушень в роботі комп'ютера
7. дуже небезпечні, вплив яких може призвести до втрати програм, знищення даних, стирання інформації в системних областях диска.
За особливостями алгоритму віруси важко класифікувати через великурізноманітності. Відомі віруси-невидимки, звані стелс-вірусами, якідуже важко виявити та знешкодити, так як вони перехоплюють зверненняопераційної системи до уражених файлів і секторів дисків та підставляютьзамість свого тіла незаражені ділянки диска. Найбільш важко виявитивіруси-мутанти (поліморфні), що містять алгоритми шифрування-розшифровки,завдяки яким копії одного і того ж вірусу не мають жодноїповторюється ланцюжка байтів.
Розглянутий мною вірус Onehalf 3544 примітний не лише тим, щойого поява викликала великий резонанс у комп'ютерному світі, але й тим, щовін одночасно поєднує в собі безліч властивостей будучи дуже небезпечнимрезидентним файлово-завантажувальним поліморфним стелс-вірусом. У моїй роботі япокажу кожне з його властивостей, його сильні і слабкі сторони.
АНАЛІЗ алгоритмі вірусу.
Розміщення вірусу в зараженому файлі.
Зашифроване тіло вірусу довжиною 3544 байти в зараженому файлі знаходитьсяпісля кінця файлу, при цьому заражений файл містить в собі 10 «плям» --фрагментів коду розшифровувача і таблицю розміщення «плям», що розміщуються впочатку файлу і містить також інформацію про зміщення початку тіла вірусу відпочатку файлу.
Заражений файл (збільшення довжини 3544 байт).
- Таблиця розміщення «плям» коду розшифровувача
- «Плями», в яких міститься розшифровувача тіла вірусу
- Тіло зараженого файлу
- Зашифроване тіло вірусу
Розміщення вірусу в зараженому MBR.
Після зараження MBR вірус записує на місце в оригінальному MBR свійобробник завантаження тіла вірусу в пам'ять, потім пише 7 секторів кодусвого тіла на 7 секторів від кінця 0 доріжки диска в прихованих секторах, апотім пише оригінальний MBR у восьмий від кінця 0 доріжки диска. Розглянемона прикладі диска з 17 секторами на доріжку.
-Оброблювач завантаження тіла ви-руса в пам'ять.
- Оригінальний MBR.
7 секторів, що містять тіло вірусу .
Алгоритм інсталяції вірусу.
При запуску зараженого файлу на виконання або завантаженні з зараженого
MBR вірус за допомогою власного обробника переривання Int12h - видачаоб'єму пам'яті - оцінює кількість вільної оперативної пам'яті інаявність своєї копії в пам'яті і якщо її менше 4 кілобайт або пам'ять вжемістить тіло вірусу - віддає управління файлу або оригінальногозавантажувачу. Для пошуку своєї копії в пам'яті вірус викликає неіснуючу
DOS - функцію (переривання Int 21h, функція 54h). Якщо вірусу немає в пам'яті,то в регістр АХ повертається код помилки виконання функції. Якщо вірус вжезавантажений в пам'ять, то він перехоплює цю функцію і повертає в регістр
АХ якесь число, відмінне від коду помилки. За наявності цього числа вірусвизначає наявність своєї копії в пам'яті і не заражає її повторно. Принаявності 4 і більше кілобайт вільного ОЗУ і відсутності тіла вірусу в пам'ятівірус спочатку аналізує геометрію диска за допомогою власногообробника переривання Int13h (дискові операції), шукає останній DOS дискабо Extended Partition в системі, шукає ознака зараження MBR (03Dh в MBR).
Якщо MBR не заражений, то пише 7 секторів коду свого тіла на 7 секторів відкінця 0 доріжки диска в прихованих секторах, а потім пише оригінальний MBR ввосьмий від кінця 0 доріжки диска. Після запису свого тіла на диск абоотримавши ознака зараженості MBR, вірус аналізує наявність свого тіла впам'яті і при відсутності переписує 7 секторів свого тіла з диска. Принаявності тіла в пам'яті вірус віддає йому управління.
Далі вірус використовує свої обробники переривань:
Int1h - переривання налагодження і трасування - для «завешіванія» системи приспробі трассіровать код вірусу в пам'ять;
Int 1Ch - таймер - для перехоплення DOS (переривання Int 21h) при його завантаженні;
Int13h - дискові операції - для обслуговування читання - записи дисків таоперації шифрування-розшифровки доріжок диска. При цьому вірусу припадаєвикористовувати для цього метод трасування (покрокового виконання)оригінальному обробника для визначення точки входу даного переривання.
Це потрібно для коректного повернення переривання назад. Вірус змушенийвикликати оригінальне переривання налагодження і виконувати перехоплення в покроковомурежимі;
Int24h - критична помилка - для перехоплення повідомлення про критичну помилкупри невдалих спробах запису на диск.
У випадку старту з зараженого файлу вірус лікує його в пам'яті і записуєна диск вже не зараженим.
Далі вірус зчитує з MBR нижню межу зашифрованою доріжки іаналізує, не дійшла чи межа до сьомої доріжки від початку диска. Якщошифрування дійшло до цього значення, то шифрация забороняється для того, щобне пошкодити системні області диска. Якщо не дійшло, то вірус шифрує двадоріжки вгору від нижньої межі шифрованих доріжок використовуючи ключ,що зберігається в MBR. Слід враховувати, що ключ генерується з випадковогочисла при зараженні диска і на кожному диску є унікальним. Цеє одним з ознак поліморфізму. При вдалій шифровці в MBRзаписується нове значення нижньої межі зашифрованою доріжки.
Наступним кроком вірусу є аналіз збігу трьох параметрів:зашифрована чи половина доріжок диска, кратний чи день в системній датоючотирьох і чи є парних лічильник зараження комп'ютерів, що зберігається втілі вірусу. При збігу трьох цих параметрів вірус виводить на дисплейповідомлення "Dis is OneHalf! Press any key to continue ... »і чекає натисканнябудь-яку клавішу для продовження роботи. Однак збіг всіх параметрівє надзвичайно рідкісним і не варто розраховувати на те, що вірус такимчином видасть свою присутність в системі.
Далі вірус читає оригінальний MBR і передає йому керування подальшоїзавантаженням при цьому зберігаючи свої обробники переривань Int13h (дляобслуговування шифрованих доріжок) і Int1Ch (для перехоплення DOS і контролючерез перехоплений переривання Int21h запису файлу на дискету). Вірускоректно розшифровує дані з зашифрованих доріжок і не загальмовуєроботу комп'ютера.
За допомогою власного обробника переривання Int12h вірус приховуєзменшення розміру вільної пам'яті на 4 кілобайти для всіх програм, крімпрограми CHKDSK (інструмент перевірки диска з комплекту DOS) і програми
Norton Commander. За допомогою власного обробника перериванняобслуговування DOS Int21h приховує збільшення довжини зараженого файлу. Однакслід пам'ятати, що в зараженій системі можуть бути відсутні зараженіфайлу, тому що в алгоритмі вірусу передбачено їх лікування при успішномузараженні. При спробі трасування вірусу в пам'яті за допомогою дзвінкапереривання Int1h він за допомогою власного обробника «завішують»систему організацією циклу без виходу. Ці дії вірусу дозволяютьговорити про те, що він є стелс-вірусом, а можливість зараженняфайлів і MBR диска про те, що він є файлово-завантажувальним.
Алгоритм зараження файлів для розмноження.
Вірус OneHalf 3544 для свого розмноження використовує зараження файлівякі записуються на гнучкі магнітні носії (дискети). Привиявленні звернення DOS до дискеті для запису файлу вірус визначає, нечи перевищує довжина заражає. СОМ файлу + довжина тіла вірусу (3544 байт)величини 64 кілобайт. Ця величина є межею довжини файлів такоготипу. Якщо перевищує, то зараження не проводиться, а якщо не перевищує, топроводиться перевірка імені файлу. Якщо назва файлу міститься в списку непідлягають зараження (SCAN, CLEAN, FINDVIRU, GUARD, NOD, VSAFE,
MSAV, CHKDSK), то зараження також не здійснюється. Далі вірус виробляєпошук ознаки зараженості файлу. Якщо файл уже заражений, то число секундв часі створення файлу буде дорівнює залишку поділу числа дати в часістворення файлу на 30. За наявності ознаки зараження файл повторно незаражається.
Якщо файл не заражений, то в тілі файлу створюється 10 порожніх «плям» длярозміщення в них розшифровувача тіла вірусу. Вибирається випадкове число дляїх розміщення в тілі файлу, перевіряючи при цьому, щоб відстань між двоманайближчими було не менш 10 байт. Тут ми можемо побачити, що розміщення
«Плям» коду розшифровувача є випадковим, що також ми можемо віднести допроявам поліморфних вірусів. Код розшифровувача записується в «плями».
Таблиця розміщення «плям» записується на початку файлу. При невдалоюзапису «плями» видаляються і файл не заражається.
Генерується випадкове число, що стає ключем шифрування тілавірусу. Тіло вірусу шифрується, ключ записується в таблиці розміщення
«Плям» розшифровувача. Зашифроване тіло вірусу записується в кінецьзаражає файли. При невдалою запису зараження скасовується і «плями»розшифровувача видаляються. Якщо запис пройшло успішно, то вже зараженийфайл записується на дискету. Через те, що для вибору ключа шифруваннятіла вірусу використовується випадкове число, що виключає повторення байт взашифрованому тілі вірусу, можна класифікувати вірус OneHalf 3544 яквірус-мутант або поліморфний вірус.
ВИСНОВКИ.
Вірус OneHalf 3544 є ретельно розробленим файлово-завантажувальниммутують стелс-вірусом, що використовує оригінальний механізм зараження ірозмноження;
Однак за наявності відмінного механізму поліморфно недостатньорозвинутий механізм стелсірованія дозволяє виявляти вірус при переглядікількості пам'яті в Norton Commander і перегляді MBR диска програмою
Diskedit з комплекту Norton Utilities (версія не нижче 6.0) т з ключем/M
(заборона використання переривань DOS).
При всій ретельності прописування процедур зараження та шифрування --розшифровки диска при практичних заражених дисків виявлено, якмінімум, дві помилки. Одна з них полягає в тому, що деякі дискиємністю 420 мегабайт заражаються некоректно (при зараженні невірновизначається кількість секторів MBR і останній сектор тіла вірусу
«Відбивається» на сектор, який займає Partition Table, що призводить диск внеробочий стан). Слід врахувати, що в цьому випадку вірус встигаєкоректно перенести оригінальний MBR в один із прихованих секторів і можнавідновити працездатність диска за допомогою перенесення MBR на своє місцевручну Diskedit'ором. При цьому не слід забувати, що вірус не встигаєповністю відпрацювати свій механізм інсталяції (вилікувати файл-переносник) ізараження може повторитися знову при його запуску. Другою помилкою єте, що для шифрування деяких дисків вірус «помиляється» і шифруєостанні 2 доріжки з ключем, відмінним від записаного в MBR. При наступномузапуску і роботі з зашифрованими доріжками він коректно виправляє цюпомилку. Однак, якщо цей момент збігається з розшифровкою доріжокантивірусами, то останні 2 доріжки можна вважати втраченими.
Наявність шифрування даних на диску і перерахованих вище помилок такожпідставу віднести вірус до категорії дуже небезпечних. Ні в якому разі не можнавидалити вірус з MBR і пам'яті не зробивши попередню розшифровкудоріжок диска - разом з тілом вірусу з MBR буде вилучений ключ до шифру.
Вірус має кілька слабких місць, які можна використовувати для боротьбиз ним.
1) Запис в MBR нового значення нижньої межі заші-фрованнихнних доріжок дає можливість виявити вірус по зміні MBR вбудованими можливостями
BIOS (перевірка на віруси) і ревізором Adinf.
2) Перевірка заражає файли на зараженість, що виконують-няемая порівнянням кількості секунд часу созда - ня файлу з залишком поділу дати часу створення файлу на 30, дає можливість застосувати метод вакці - вання файлів з метою запобігти поширеною-ня вірусу з комп'ютера навіть за наявності заражений - ня. При зміні кількості секунд в часі ство-данія файлу вірус буде вважати такий файл вже зара - женним, а тому що він виліковує файл-носій при першій
зараженні ми не будемо мати в системі і файлах, пе-репісиваемих на дискету, тіла вірусу.
3) Зберігання в MBR ключа шифрування доріжок диска і останнього значення межі доріжок уможли - ність, в більшості випадків коректно розшифрувати доріжки. Зберігання у файлі таблиці розміщення «п'ятого - тен» розшифровувача дозволяє коректно видалити «п'ят-на» і саме тіло вірусу з файлу.
4) Перевірку наявності свого тіла в пам'яті вірус вироб-дит викликом неіснуючої функції DOS і аналізом коду повернення. Це дає можливість написати резидент-ву вакцину, яка б перехоплювала виклик цієї функції, виводила аварійне повідомлення і забороняла подальше виконання операцій. Цей спосіб пРимі Ніл Олександр Крижанівський у своїй вакцині
VS_ONE_H.
5) Заборона зараження файлів з певними іменами та ет можливість «обдурити» вірус для отримання істин ного значення обсягу ОЗУ. Досить назвати нашу про граму із запитом розміру пам'ять як CHKDSK, і ми отримаємо справжнє значення кількості пам'яті. За раз-ниці ми можемо судити про зараження нашої системи.
6) Багато вірусів трасують int13h до BIOS, щоб обійти антивірусні ревізори. Так само надходить і
OneHalf, якщо побачить, що машина не заражена, і її нуж-но заразити - тоді він прописує себе в MBR, але де гавкає це після того, як оттрассірует int13h.
Вакцина А. Крижанівського також перехоплює int13h,
і використовує антітрассіровочний алгоритм, називаю-щійся в программістком світі "поплавок". Як тільки хто-небудь в системі робив спробу оттрассіровать переривання 13h, вакцина видає попередження і зупиняє систему.
Метод «поплавка» заснований на тому, що трасування робиться крок за кроком - процесор перемикається в режим налагодження, і після виконання кожної команди викликає debug-переривання, що використовується, зазвичай відладчиком для покрокової налагодження програми, щоб проаналізую вати результати виконання команди. Виклик налагоджувальному го переривання на увазі, що використовується стек процесора, в якому зберігається адреса повернення. Це і використовується для того, щоб визначити трасування:
Ми забороняємо переривання, потім поміщаємо в першу вільну комірку стека код 0000 або FFFF (обидві адреси не можуть бути адресою повернення), потім зчитуємо з першої вільної комірки стека значення , дозволяємо пре риванія і порівнюємо лічену значення з тим, що ми
туди поміщали.
Сенс методу в тому, що коли програма виконується нормально, після заборони переривань, ніхто не зможе
перервати виконання нашої програми, і тому помістивши в першу вільну комірку стека будь-яке значення, ми потім зможемо його ж звідти і прочитати, бо стек використати нікому. Якщо ж програм
ма виконується крок за кроком, то незважаючи на заборону прерій-ваний, процесор все одно викличе debug-переривання після команди, якою ми поміщали в стек число. Це debug-переривання помістить в спожиту нами ячей-ку стека адреса повернення, після чого цей адресу ми і про-
читаємо наступною командою читання з стека. Отримавши розбіжність записаного і вважалося чисел ми смо-жем переконатися в тому, що режим покрокового виконання команд процесора і ми можемо стверджувати, що піддалися зараженню вірусом.
Для запобігання зараження комп'ютера вірусом OneHalf 3544рекомендую використовувати резидентну вакцину VS_ONE_H, написану ялтинськимпрограмістом Олександром Крижанівським. Так само можна використовувати AVPмонітор Євгенія Касперського. Можна використовувати для виявлення зараженняревізор ADINF Дмитра Мостового, але необхідно пам'ятати, що його лікуючийблок не вміє розшифровувати доріжки, а просте відновлення MBR приведедо втрати зашифрованих даних!
Для виявлення і лікування вірусу та усунення його наслідківрекомендую використовувати поліфаг DoctorWeb Ігоря Данилова (версія не нижче
1.7, версія 1.6 просто видаляє тіло вірусу із системи, а це неприпустимо),
AVP 3.0 Pro Євгена Касперського, а так само можна використовувати словацька фаг
ONEHALF (спеціально написаний для даного вірусу), поліфаг TBAV, F-PROT,
Norton Antivirus.
Джерела інформації.
1. Інформатика: Підручник/під ред. Проф. Н.В. Макарової. - М.:
Фінанси і статистика, 1997.
2. П. Абель. Мова асемблера для IBM PC і програмування.
Москва, 1992.
3. Лістинг вірусу Onehalf 3544, отриманий за допомогою диз-асемблера Sourcer v. 7.0
4. Вакцина проти вірусу OneHalf 3544 (VS_ONE_H.COM), напи-санна Олександром Крижановським, 1995.
5. Антивірусні програми DrWeb 1.6; 1.7; 4.15; 4.16; AVP 3.0
Pro build 1.32, Adinf 12.0, TBAV, F-PROT, NAV.
6. Хижняк П.Л. Пишемо вірус і антивірус для IBM - сумісних комп'ютерів. Інто. Москва 1991
7. Касперский Е. Комп'ютерні віруси в MS-DOS. Едель. Моск - ва. 1992
8. Інтернет: сайти www.avp.ru; www.virus.com; www.virus.perm.ru
8. Електронний журнал «Infected voice» № 5/1995.
Зміст.
1. Ведення ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... 2
2. Класифікація вірусів ... ... ... ... ... ... ... ... ... ... ... ... ... ... 3
3. Аналіз алгоритму вірусу ... ... ... ... ... ... ... ... ... ... ... ... ... .5
4. Розміщення вірусу в зараженому фото ... ... ... ... ... ... ... .5
5. Розміщення вірусу в зараженому MBR ... ... ... ... ... ... ... .. 6
6. Алгоритм інсталяції вірусу ... ... ... ... ... ... ... ... ... ... ... .7
7. Алгоритм зараження файлів для розмноження ... ... ... ... ... 9
8. Висновки ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... ... 11
9. Джерела інформації ... ... ... ... ... ... ... ... ... ... ... ... ... ... .17
-----------------------< br >0 доріжка 0 сектор 1 сторона
0 доріжка 1 сектор 1 сторона
0 доріжка 2 сектор 1 сторона
0 доріжка 3 сектор 1 сторона < p> 0 доріжка 4 сектор 1 сторона
0 доріжка 5 сектор 1 сторона
0 доріжка 6 сектор 1 сторона
0 доріжка 7 сектор 1 сторона
0 доріжка 8 сектор 1 сторона
0 доріжка 9 сектор 1 сторона
0 доріжка 10 сектор 1 сторона
0 доріжка 11 сектор 1 сторона
0 доріжка 12 сектор 1 сторона
0 доріжка 13 сектор 1 сторона
0 доріжка 14 сектор 1 сторона
0 доріжка 15 сектор 1 сторона
0 доріжка 16 сектор 1 сторона
