Всем привет. Сегодня 4 мая 2012 г.
Самое время выпустить обзор, посвящённый годовщинам вирусов.
Мы обозреем печально известный червь Love Letter
2000-го года. Это было 12 лет назад.
12 лет назад в эту дату вирус начал сеять хаос,
в конце концов разошёлся по миру,
в итоге нанеся ущерба на более, чем $5,5 млрд
из-за своего довольно разрушительного поведения
и высокой настраиваемости.
Как видите, он попадает на систему в виде файла ЛЮБОВНОЕ-ПИСЬМО-ДЛЯ-ВАС.txt
Обычно файл приходил от друзей,
ведь вирус использует адресную книгу Outlook чтобы разослать себя.
Так что файл внушал доверие.
Вам стало бы любопытно, почему ваш друг/подруга захотели выразить вам свою любовь.
Но если посмотреть в редакторе, это сам вирус.
Он написан простым текстом, без шифрования и прочего.
И если изменить опцию в Windows по умолчанию «Не показывать тип файлов после их имён»,
то на конце будет .VBS, а не .TXT. То есть, это скрипт.
У нас есть несколько тестовых файлов, которые будут перезаписаны
первоначальным вариантом файла червя.
Здесь снимок экрана из игры FreeSpace2 в формате JPEG,
здесь MP3-файл из Descent 1
Прикольно.
Вот HTA-файл — «Привет, мир»,
VBS-скрипт — «Привет, мир».
Пустой файл VBE.
Удалим расширение .TXT. Но он всё равно ничего не исполняет.
И пустой JS-файл, который ничего не исполняет.
Запустим червь и увидим, что произойдёт.
Как видите, он рассылает копию себя вашим контактам.
Посмотрим. Тема «ЯТЕБЯЛЮБЛЮ»,
«Будьте добры, проверьте прикреплённое ЛЮБОВНОЕПИСЬМО, сделанное мной для вас».
Шаблон письма везде один и тот же.
Вирус разошлёт себя всем вашим контактам,
тем самым ускоряя своё распространение.
И пока это происходит… знаете ли,
давайте на секунду отключим Общие папки виртуальной машины
чтобы файлы в моих Общих папках не были перезаписаны.
Неплохая идея.
Итак,
Как видите, много чего было перезаписано.
Кроме, почему-то, файла VBE.
Наш MP3-файл теперь вирус.
.MP3.VBS, .JPG.VBS
JS-файл был просто перезаписан без маскировки под старый тип файла.
тестовый .vbs
теперь тоже вирус.
Вирус должен был сбросить несколько своих файлов.
Я думаю, что если файл с именем «ЛЮБОВНОЕ-ПИСЬМО-ДЛЯ-ВАС.txt.vbs»…
…обнаружился в папке Windows,
то это не любовное письмо.
Или я ошибаюсь?
Обновим папку Windows
и увидим, что и сюда вирус сбросил себя.
Если прокрутим пониже…
Где? Вот он.
WIN32.DLL.VBS , тоже червь.
Вирус разбрасывает свои копии по вашему компьютеру.
Что интересно, MP3 не были перезаписаны.
В отличие от других файлов.
Отключаем скрытие. MP3-файл был спрятан,
и его можно включить. Все MP3-файлы в безопасности.
Только файлы с их именем были перезаписаны,
а оригиналы скрыты.
Полезная информация, если нужно было восстановить MP3-файлы.
А всё остальное было перезаписано безвозвратно.
Не знаю, почему застрял курсор, но ладно.
Так вот, из-за простого…
…способа модификации…
можно осмотреть и полностью изменить поведение вируса.
И было много случаев, когда люди делали именно это.
Можно усилить разрушительный эффект, если включить в перезапись не JS, а EXE.
Или не JSE, а COM.
Теперь файлы с этими типами будут перезаписаны.
Здесь код для распространения по mIRC.
Если прокрутить…
…увидим код для рассылки.
Текст можно сменить на любой… «Это червь.»
Запустив файл снова,
вирус перезапишет все ЭТИ файлы.
Обновимся… и увидим, что началось…
да, как видим, в системе теперь стало больше VBS-файлов.
Теперь перезагрузка — плохая идея.
Но в этом видео мы повеселимся
и перезагрузим компьютер.
Загрузка будет неудачной.
И… нет.
Файлы перезаписаны и загрузки не будет.
Так что после столкновения с таким вариантом вируса понадобится переустановка Windows.
Ведь разрушительность доходит и до такого.
На этом всё с вирусом LOVELETTER в его двенадцатую годовщину.