Vazene publikum,

Igi me pozadal, abych napsal neco (cesky) o mym novym viru Win32.HIV. Binarni verzi tohoto dilka si muzete stahnout z me stranky, jejichz adresu tu nebudu jmenovat; neni ale velky problem ji na inetu najit.

Nuze, Win32.HIV jsem programoval relativne dlouhou dobu, uz od zimy 2000, a kvuli me velke lenosti jsem ho dokoncil az ted v listopadu. Zacinal jako nasledovnik Win2k.Installeru, ktery mel prinest dalsi "podobne" novinky. Opet jsem mel spolupracovat s Darkmanem, mel to byt de-facto nas druhej "co-op project". On nasel zpusob, jak totalne vyradit SFC z provozu, tzn. ze ochrana systemovych souboru pod Win2k/98/ME nebude fungovat a virus bude schopen infikovat opravdu VSECHNY soubory. Mel infikovat soubory nezavisle na jejich priponach, vcetne MSI fajlu, sirit se pres postu, vyuzivat EPO a nejakou tu enkrypci. Vlastne to mel byt jen dalsi maly virus s nejakyma tema novinkama, podobne jako Win2k.Installer.

V hlave se mi uz dlouho honila predstava Win32-kompatibilni multi-process residence. Podarilo se mi naprogramovat rutinu, ktera prohleda vsechny procesy v pameti a napoji se na souborove API funkce ulozene v Kernel32.dll. Tim ovladne souborove operace ve vsech procesech, nejenom v tom aktualnim, ale ve vsech prave spustenych procesech (narozdil od per-process).

Virus jsme s Darkmanem nazvali Win32.HIV - nasim cilem bylo naprogramovat virus, ktery jakymsi zpusobem ochromi "imunitni system" operacniho systemu - a to prave disablovanim SFC.

Napadu zacalo pribyvat, bohuzel Darkman byl dost vytizenej v praci, tudiz se programovani nemohl zucastnit. Pomohl mi tedy alespon naprogramovat SFC rutiny, ktere vymyslel prave on. Taky jsem objevil zpusob, jak to udelat aby se virus mohl sirit pres FTP. Staci jen odchytit si internetova volani, a pokazdy gdyz se negdo konektne na eFTyPko zkopirovat dropper viru do korenoveho adresare.

Projekt se zacal zvetsovat vic a vic. Po ceste za Ratterem (nasledujici dny jsem s nim napsal virus Win2k.Stream) jsem se rozhodl implementovat sireni emailem a infikaci HTML dokumentu pres XML dokumenty. Napad infikovat XML dokumenty patri Rajaatovi, ktery tuto metodu celkem hezky popsal v magazinu 29A#4. Ja jsem se pokusil jeho myslenku zrealizovat prave v tomto viru. Pozdeji pribyly streamy, NTFS komprese a v neposledni rade updatovani pres internet. Virus se zdal byt hotov.

Prvni debug/beta-verzi jsem dal k testovani mnoha lidem, kteri si o ni pozadali. Potreboval jsem vedet, zda virus funguje jak ma a pokud ne, gde presne je chyba. Bohuzel, nejaky nadsenec, pravdepodobne nejaky AV informator odemne taky dostal vzorek a poslal jej do KasperskyLab. Zjistil jsem, ze tato verze mela par much. Virus jsem vylepsil, odstranil jsem chyby co jsem nasel, neco sem pridal a neco odebral a poslal to do KasperskyLab, F-Secure a do Grisoftu. Pred nedavnem byl zverejnen popis Win32.HIV na strankach KasperskyLab. Bohuzel, byl to popis prave one zminene beta-verze.