Na strßnkßch magazφnu WINDOWS 2000 se minul² t²den objevil zajφmav² Φlßnek o historii v²voje vir∙ pod WINDOWS. Proto₧e je to tΘma aktußlnφ a zajφmavΘ, je zde k dispozici voln² p°eklad tohoto Φlßnku.

Fokus / Peter Szor, Eugene Kaspersky ╚ervenec 1, 2000
V²voj 32 bitov²ch Windowsovsk²ch vir∙
Pochopenφm minulosti se p°ipravφme na budoucnost

Sv∞t poΦφtaΦovΘho antivirovΘho v²zkumu se od zavedenφ WINDOWS 95 drasticky zm∞nil. Jednφm z d∙vod∙ je, ₧e urΦitΘ viry pro DOS, kterΘ pou₧φvaly skrytΘ techniky a nedokumentovanΘ znaky, se staly nekompatibilnφ s Win95. Tv∙rci vir∙ tedy p°ijali v²zvu k prozkoumßnφ novΘho OS a zaΦali vytvß°et novΘ, s Win95 sluΦitelnΘ DOSovskΘ souborovΘ viry a boot viry.

V B°eznu 1999, existovalo p°ibli₧n∞ 100 variant Windowsovsk²ch 32-bitov²ch vir∙. Dnes, jejich poΦet vzrostl na vφce ne₧ 600. V∞tÜina t∞chto variant je znßmß jako zoo viry, proto₧e se nachßzφ pouze ve virov²ch sbφrkßch a v∞tÜinou koncov²m u₧ivatel∙m nep∙sobφ problΘmy. V∞tÜina starÜφch 32 bitov²ch Windowsovsk²ch vir∙ za·toΦila jen na Win95. P°ed rokem, bylo mΘn∞ ne₧ 20 procent vÜech 32 bitov²ch Windowsovsk²ch vir∙ funkΦnφch na WINDOWS NT. V souΦasnosti je nejmΘn∞ polovina vÜech 32 bitov²ch Windowsovsk²ch vir∙ opravdov²ch Win32 vir∙, to znamenß, ₧e mohou fungovat na NT a WIN 9x systΘmech. ╚ßst t∞chto vir∙ jsou u₧ sluΦitelnΘ s WINDOWS 2000. Jen asi 25 procent ze star²ch Win32 vir∙ ( psan²ch p°ed Win2K) je nefunkΦnφch ve Win2K kv∙li n∞kter²m nepatrn²m rozdφl∙m.

Ochran∞ p°ed viry, pomßhß poznßnφ: odkud pochßzφ, jakΘ majφ formy a jak mohou poÜkodit vaÜe systΘmy. Vyzbrojeni t∞mito informacemi, mßte v∞tÜφ nad∞ji se ochrßnit.

Rannß LΘta
Prvnφ Win95 vir, Win95/Boza, se objevil v roce 1995 a byl napsan² Φlenem australskΘ skupiny VLAD, kterß pφÜe viry. Proto₧e trvalo n∞jakou dobu, ne₧ byla pochopena vnit°nφ architektura Win95, n∞kolik nov²ch Win95 vir∙ se zaΦalo objevovat a₧ v roce1997. ╚ßst t∞chto vir∙ bylo IN THE WILD, to znamenß, ₧e se v²razn∞ rozÜφ°ily. Na konci roku 1997 Jacky, Φlen skupiny 29A p°edstavil vir Win32/Cabanas.A, prvnφ Win32 (NT-kompatibilnφ).

Win32/Cabanas.A je kompatibilnφ s Win2K, NT, Win9x, a Win32s (rozÜφ°enφ 16-ti bitov²ch WINDOWS pro provoz 32 bitov²ch aplikacφ). S p°echodem Microsoftu na systΘm Win32 se Win32/Cabanas.A stal noΦnφ m∙rou. S ·stupem DOSu, Win32 viry z°ejm∞ nakonec ·pln∞ nahradφ viry pro DOS, kterΘ pomalu zaniknou.

Prvnφ hlavnφ Üφ°enφ 32 bitovΘho viru Win95/Anxiety zaΦalo ke konci roku 1997. Jeho krßtk² k≤d infikoval VMM (Virtual Machine Manager ù k≤d v pam∞ti, ne v souborech). Ve Win9x systΘmech je pam∞¥ovß oblast, kde je systΘmovΘ jßdro a jinΘ virtußlnφ ovladaΦe (VxD) a jsou nechrßn∞nΘ proti zßpisu. Prßv∞ to d∞lß tyto systΘmy velmi bezbrannΘ v∙Φi ·toku. V²sledkem je, ₧e u₧ivatelskß aplikace, kterß se spustφ v Ring3 m∙₧e snadno modifikovat systΘmov² ·rov≥ov² k≤d, kter² otev°e Ring0. Proto₧e Win2K a NT nepodporujφ VxD, vir Win95/Anxiety se nem∙₧e Üφ°it v t∞chto operaΦnφch systΘmech. ┌tok Win95/Anxiety zp∙sobil hlavn∞ problΘmy na domßcφch poΦφtaΦφch a obchodnφch systΘmech.

Pro objevujφcφ se viry, byla podstatnß p°ekß₧ka s Win32 platformami obyΦejn² binßrnφ souborov² formßt nebo Portable Executable (PE) formßt. Ve Win2K, NT, Win9x, a WINDOWS CE je nejvφce systΘmem spustiteln²ch soubor∙ ( .exe, .src, .dll, .ocx) a odjinud pochßzejφcφ aplikace, kterΘ sdφlejφ stejn² 32 bitov² formßt souboru ù to je velmi podobnΘ UNIX COFF formßtu. Tento spoleΦn² formßt soubor∙ umo₧≥uje relativn∞ snadno vytvß°et viry, kterΘ jsou sluΦitelnΘ se vÜemi Win32 systΘmy.

Slabiny prvnφch 32 bitov²ch Win vir∙
Skupina pisatel∙ vir∙ 29A uvolnila mno₧stvφ 32 bitov²ch vir∙, ale ne vÜechny byly pln∞ funkΦnφ. Jeden z nich - Win95/Marburg zφskal celosv∞tovou pozornost, kdy₧ n∞kolik Φasopis∙ nßhodn∞ rozeslalo tento vir na jejich CD-ROM. Tento komerΦn∞ rozÜφ°en² vir byl NT-kompatibilnφ, ale nenakazil PE soubory. Vir m∞l toti₧ trhlinu, velmi podobnou chybßm, kterou m∞ly prvnφ Win95 viry nap°. Win95/Boza. HlaviΦka v PE udßvala jinou dΘlku souboru, kterß se liÜila od jeho skuteΦnΘ velikosti po nßkaze. Win2K a NT zavad∞Φe jsou opatrn∞jÜφ vzhledem k PE soubor∙m ne₧ Win9x zavad∞Φ. Oba systΘmy - Win2K a NT majφ kontrolu mo₧nΘho poÜkozenφ soubor∙. Tato kontrola podez°el² soubor nespustφ, ale zobrazφ chybovΘ hlßÜenφ, ₧e je soubor poÜkozen².

Win95/Boza m∞l i jinΘ problΘmy, kterΘ zp∙sobily jeho propad, dokonce na systΘmech, kterß provozujφ r∙znΘ verze Win9x. Tyto problΘmy vznikly, proto₧e virovφ pisatelΘ pou₧φvali pevn∞ danΘ adresy k API pro snadn∞jÜφ p°φstup k zvlßÜtnφm systΘmov²m funkcφm. NicmΘn∞, API adresy se Φasto liÜφ u jednotliv²ch verzφ OS.

Win95/Marburg, jako Win32/Cabanas.A, pou₧φval trik, kter² se stal dneÜnφm nov²m standardem ve virovΘm v²voji. Tyto viry majφ funkci, kterß lokalizuje adresu vÜech API, kterΘ pot°ebujφ volat pod ka₧d²m Win32 systΘmem. Viry, kterΘ se sami p°ipojφ k PE soubor∙m nemohou volat API jednoduÜe proto, proto₧e viry typicky nemajφ vlastnφ importnφ vlastnost pro vÜechny systΘmovΘ funkce, kterΘ DLL exportuje. Programßto°i pou₧φvajφ API statick²m propojenφm, kterΘ vytvo°φ p°φsluÜnou tabulku importnφch adres, nebo volßnφm GetProcAddress () API, aby dynamicky zφskali adresu jednotlivΘho API. Aplikace, kterß pou₧φvß GetProcAddress () API typicky pot°ebuje mφt statick² import aby mohla volat toto API. Statick² import pro GetProcAddress () API je umφst∞n v aplikaΦnφ tabulce importnφch adres tak₧e aplikace bezpeΦn∞ volß jakoukoli API, kterß je exportovßna, podle jmΘna.

Virovφ pisatelΘ museli p°idat funkci, kterß je podobnß GetProcAddress (). S touto funkcφ vir m∙₧e snadno p°ipojit sv∙j vlastnφ k≤d k hostitelsk²m program∙m. V²voj tΘto funkce zv∞tÜil Üance, ₧e novΘ viry budou mnohem vφce sluΦitelnΘ s Win2K a NT. 32 bitovΘ viry, kterΘ pou₧φvajφ standard Win32 API, jsou pln∞ funkΦnφ a vhodn∞ infikovan² PE soubor ·Φinkuje ve Win2K a NT.

PoÜkozovßnφ Hardwaru pod systΘmem Windows 9x
VirovΘ ·toky ud∞laly velk² krok v roce 1998, kdy₧ slavn² Win95 vir - Win95/CIH, se stal prvnφm virem poÜkozujφcφm hardware ù konkrΘtn∞ flash BIOS.CIH, jako Win95/Anxiety, realizuje mechanismus PE nßkazy zalo₧en² na volßnφ VxD. Proto₧e vir spustφ svoji Ükodφcφ rutinu v Ring0 (systΘmovß ·rov∞≥), nem∙₧ete p°edejφt Ükod∞ zp∙sobenΘ port-p°φkazy (IN, OUT). TakovΘ nebezpeΦnΘ viry dosud neexistujφ pro Win2K a NT, ale p°esto jsou mo₧nΘ. Pro vykonßvßnφ port-p°φkaz∙, musφ b²t virem infikovßn jßdrov² re₧im pod Win2K nebo NT. Proto₧e virovφ pisatelΘ nejvφce postrßdajφ znalost vytvo°enφ nutnΘho ovladaΦe, bude jeÜt∞ n∞jakou dobu trvat, ne₧ se vytvo°φ tento druh viru. NicmΘn∞, jeden vir u₧ existuje (WNT/Infis.4608) je vytvo°en pro NT ovladaΦ a aktualizace existuje pro Win2K (W2K/Infis.4608 ).

Infikace Kernel32.dll
Virovφ pisatelΘ napsali n∞kolik Win32 vir∙, napadajφcφch kernel32.dll, kter² v∞tÜina PE aplikacφ vy₧aduje a vyu₧φvß ke zp°φstup≥ovßnφ nejd∙le₧it∞jÜφ Win32 API, jako jsou souborovΘ funkce. Tyto viry zm∞nφ exportnφ adresu jednoho API ( GetFileAttributesA), aby poukßzala na k≤d viru, kter² se p°ipojil ke konci DLL. Proto₧e 32 bitov² DLL pou₧φvß PE formßt souboru, virovφ pisatelΘ mohou snadno nakazit tento druh souboru. Vir Win95/Lorez byl prvnφm virem tohoto druhu.

Tyto viry mohou b²t snadno rezidentnφ (viry b∞₧φ aktivn∞ jako Φßst procesu nebo n∞kolika proces∙ ). V²sledkem je, ₧e ka₧d² proces, kter² pou₧φvß kernel32.dll, tedy jak²koliv proces, kter² pou₧φvß zßkladnφ souborovΘ a adresß°ovΘ funkce Win32, se napojφ na virov² k≤d. Naka₧en² DLL se vß₧e ke ka₧dΘmu programu, kter² kernel32.dll spustφ. Kdykoli aplikace volß API s dodan²m virov²m k≤dem, vir p°ebφrß kontrolu nad adresovßnφm v naka₧enΘ aplikaci.

Ka₧d² systΘmov² DLL obsahuje p°edem vypoΦφtan² kontrolnφ souΦet, kter² linker umφstφ v DLL v PE zßhlavφ. Na rozdφl od Win95, NT p°epoΦφtßvajφ tento kontrolnφ souΦet p°ed tφm, ne₧ naΦtou DLL a ovladaΦe. Jestli₧e vypoΦten² kontrolnφ souΦet neodpovφdß kontrolnφmu souΦtu v DLL zßhlavφ, systΘm se zastavφ s chybovou zprßvou v modrΘ obrazovce b∞hem systΘmovΘho startu. V ₧ßdnΘm p°φpad∞ to neznamenß, ₧e virov² pisatel nem∙₧e realizovat takov² vir pro NT.

Vir Win32/Heretic byl prvnφ svΘho druhu, kter² dokonale nakazil kernel32.dll. a fungoval na NT. Vir Win32/Kriz takΘ pou₧il tento zp∙sob pro svoje rozÜφ°enφ. Win32/Kriz obsahuje CIH Ükodφcφ rutinu, ale ta Ükody nezp∙sobφ v NT proto₧e vir pracuje v Ring3 (u₧ivatelsk² re₧im ).

Naka₧en² DLL m∙₧e mφt problΘmy s vyΦiÜt∞nφm, proto₧e aplikace mapujφ tyto soubory od disku k pam∞ti, a nenφ mo₧nΘ modifikovat tyto soubory jakmile je naΦtou. Zatφmco m∙₧ete odstranit nßkazu z Win9x pomocφ systΘmovΘ diskety, toto je mnohem vφce komplikovanΘ, kdy₧ pou₧φvßte Win2K a NT s NTFS. V t∞chto situacφch, pot°ebujete pou₧φvat pom∙cky jako je NTFSDOS, kterou m∙₧ete zavΘst systΘm s p°φstupov²m prßvem psßt. (Win2K Recovery Console mß podobnou funkci, ale jen NTFSDOS podporuje NT. Navφc, NTFSDOS software vßm m∙₧e pomoci obnovit data v d∙le₧itΘ systΘmovΘ oblasti nebo soubory zniΦenΘ nßsledkem virovΘ nßkazy). NaÜt∞stφ, Windowsovsk² SFC (System File Checker ) p°ipojφ automaticky upravenΘ Φßsti systΘmu, pou₧itφm SFC, povelem

sfc.exe

z p°φkazovΘ °ßdky. SFC nenφ virov² bezpeΦnostnφ prost°edek, ale pom∙₧e snφ₧it riziko rozÜφ°enφ vir∙ pod Win2K.

Prvnφ ·sp∞Ün² Win32 Φerv
V lednu 1999 pisatelΘ vir∙ vypustily takΘ prvnφho znßmΘho Win32 Φerva (druh vir∙, kter² se Üφ°φ v sφti) znßmΘho jako Win32/SKA.A neboli Happy99. ╚erv vznikl na Win95 platform∞, ale takΘ byl funkΦnφ za zvlßÜtnφch okolnostφ na starÜφ verzi NT, kdy mohl infikovat wsock32.dll.

Tisφce Win32/SKA.A e-mail∙, kterΘ obchßzely okolo planety upozornilo na sφlu tΘto hrozby. ╚erv se p°estrojφ za e-mail s p°φlohou nazvanou happy99.exe. Tato p°φloha je vlastn∞ samotn² Φervφ k≤d, a Üφ°φ se na platnΘ e-mailovΘ adresy. Francouzsk² pisatel vir∙ znßm² jako Spanska p°iÜel s jednoduch²m °eÜenφm. ╚erv zmodifikuje wsock32.dll a infikuje tento soubor tak, ₧e dva API ùConnect() and Send()ùzapojφ do Φervφho k≤du. Tφmto zp∙sobem Win32/SKA.A m∙₧e sledovat vÜechny sφ¥ovΘ aktivity na aktußlnφm stroji. Kdy₧ je poslßna e-mailovß zprßva dalÜφmu u₧ivateli nebo k zpravodajskΘmu serveru, Φerv poÜle kopii e-mailovΘ zprßvy s p°ilo₧en²m virov²m k≤dem.

AΦkoli se tento Φerv zaΦal Üφ°it p°ed vφce ne₧ rokem, stßle pokraΦuje v Üφ°enφ. Tyto druhy °et∞zovΘho Φervφho dopisu jsou velmi ·sp∞ÜnΘ, proto₧e lidΘ obvykle d∙v∞°ujφ zprßvßm, kterΘ obdr₧φ od sv²ch p°ßtel a koleg∙. P°esto₧e Win32/SKA.A vzniknul mnohem d°φv ne₧ W97M/Melissa, mnoho firem si vΦas neuv∞domilo nebezpeΦφ, kterΘ hrozφ se strany Φervφch zprßv a nezavedlo p°φsn² re₧im, kter² by mohl minimalizovat mo₧nost Üφ°enφ jin²ch podobn²ch Φerv∙, vznikl²ch pozd∞ji.

M∞jte na pam∞ti, ₧e 32 bitovφ Φervi jsou mnohem vφce ·sp∞Ün∞jÜφ ne₧ viry, kterΘ se rozÜφ°ily relativn∞ pomalu. ╚erv m∙₧e nakazit tisφce stroj∙ kolem planety v jednom dni. Win32 / SKA.A se rozÜφ°il pomaleji ne₧ nedßvn∞jÜφ Melissa nebo LoveLetter, proto₧e se odeslal, jen kdy₧ u₧ivatel poslal e-mailovou zprßvu z naka₧enΘho systΘmu. Nov∞jÜφ viry zφskajφ z adresß°e mailovacφho programu tisφce e-mailov²ch adres a sami se rozeÜlou jako nevy₧ßdan² e-mail na mnoho jin²ch mφst.

╚ervi s nebezpeΦn²mi ·Φinky
PisatelΘ vir∙ p°evzali nßpad z Win32/SKA.A a vytvo°ili mnoho Win32 Φerv∙. Win32/PrettyPark.A, kter² se nejprve objevil ve Francii a Win32/ExploreZip.A, kter² p°iÜel z Izraele, byli dva nejvφce rozÜφ°enφ.

Win32/ExploreZip.A, kter² zasßhl americkΘ a japonskΘ spoleΦnosti, provßd∞l velice nebezpeΦn² ·kon - zkrßtil dokumenty .doc a .xls soubory na nulovou dΘlku. SpoleΦnost, kterΘ neprovßd∞ly °ßdn∞ zßlohy, ztratily tisφce soubor∙. PrettyPark umo₧nφ tv∙rci viru vzdßlen² p°φstup k naka₧enΘmu systΘmu.