home
***
CD-ROM
|
disk
|
FTP
|
other
***
search
/
Chip 1996 April
/
CHIP 1996 aprilis (CD06).zip
/
CHIP_CD06.ISO
/
hypertxt.arj
/
H9409
/
OLIMPIA.CD
< prev
next >
Wrap
Text File
|
1994-11-28
|
5KB
|
82 lines
@VVírusolimpia@N
Mielôtt megkezdôdtek Lillehammerben az 1994. évi téli
olimpiai játékok, természetes, a számítógép-hálózatot
vírusok szempontjából is ellenôrizték a szakemberek.
Eredmény: Olympic lapult a gépeken, kifejezetten február
12-ére idôzítve. Szerencsére sikerült kiirtaniuk, és a
játékok közvetítése rendszerhiba nélkül lefutott. A tettes?
Egy svéd bacillusgyártó társaság, az Immortal Riot Group,
amely a nemzetközi ranglistán egyre elôkelôbb helyet foglal
el. Igazi veszélyük abban rejlik, hogy küldeményeiket el is
tudják juttatni a kívánt címre, a megfertôzni szánt
számítógéprendszerbe. Pedig még azt a fáradságot sem
veszik, hogy ôk maguk programozzanak! Termékeiket Nuke VCL
fejlesztôkészletének apróbb módosításával hozzák létre.
Olympic a .COM állományokat támadja meg, ám az a mód,
ahogyan a leendô bacillusgazdát keresi, túl hosszú idôt
vesz igénybe, ha túlburjánzott a merevlemezen. Akár
percekig is eltarthat, míg újabb áldozatát megleli -- ezen
bukott meg a rendszerpróbák idején. Az ilyen fokú lassulás
mindenképpen gyanút ébreszt és alapos vizsgálatot
eredményez. Felderítéséhez hatalmas segítség volt a
vírusírók lustasága, hiszen egyszerûen átvették Nuke
fertôzési algoritmusát, amelyet a szakemberek immár több
helyrôl is jól ismerhetnek.
Aktivizálja 1994. február 12., az olimpiai játékok
kezdetének dátuma. Kirajzolja az ötkarikát a képernyôre,
majd csípôs megjegyzéseket fûz a játékokhoz. Amikor mindezt
megunta, felülírja a merevlemez elsô 256 szektorát, s a
rombolás idejére letiltja a Ctrl-C és Ctrl-Break gombokat.
Végül kimerevíti a rendszert. Fertôzött program
végrehajtásakor elôször is dekódolja magát, amihez persze
idô kell, majd kezdôdik az áldozatkeresés: elôbb a
fôkönyvtár, utána a merevlemez strukturális vizsgálata,
mind mélyebben a katalógusszinteken. îgy a vírusos
állományok és az összes adatmennyiség függvényében
gyakorlatilag exponenciálisan lassul a mûködés.
Nem rezidens, közvetlenül támad. A fertôzött program
indításakor elôször ô maga fut le, elvégzi feladatát,
szaporodik vagy rombol, utána kilép és -- ha tudja --
átadja a vezérlést a gazdaprogramnak. Amúgy roppant
elôvigyázatos. Beköltözés elôtt mindig ellenôrzi, nem
haladja-e majd meg a .COM hossza a 64 kilobájtos határt.
Megnézi az elsô bájtot, s ha ott nem talál fertôzésre utaló
jelet, egy sima ugróutasítással ""betelepszik" az állomány
elejére, itt lesz az inicializálás, a víruskódot pedig a
programkód mögé illeszti. Ellenkezô esetben más áldozat
után néz. De mivel nem ellenôrzi az .EXE program fejének MZ
vagy ZM azonosítóját, egy rossz .EXE állományból futóképes
COM típusú vírust produkálhat. S ha ezután rákerül a
vezérlés, .COM-ként indul el, így a rendszer kiakad.
Megfertôzi egyébként a DOS csak olvasható állományait is.
Sem a dátum, sem az idôbejegyzés nem módosul, viszont az
1440 bájt hossznövekedést a katalógus kimutatja.
Sovány vigasz: a sérült állományok viszonylag könnyen
helyreállíthatók. Ugyanis fertôzéskor 3 bájtot átköltöztet
az állomány legvégére, hogy a helyébe beírja a JMP
utasítást. A visszakódoló rutin az eredeti programkód után
következik, ehhez fûzi a vírust. Titkosításához a fertôzés
pillanatának idôértékébôl képzett kulcsot használ fel. A
kód ismeretében egyszerû a takarítás.
1994. február 12-tôl kezdve folyamatosan aktív, jelenlegi
ismereteink szerint nincs kikapcsolási idôpontja. Korábbi
dátum esetén a kód lefutásakor visszaadja a vezerlést a
gazdaprogramnak. Bármely szövegszerkesztôvel megnézve a
lemeztartalmat, magunk is felfedezhetjük a vírus szöveges
részét:
@VOlympic Aid(s) `94 (c) The Penetrate@N
Persze nem szükséges barkácsolni, az Fprot olimpiai
kiadása, a 2.11 már ismeri és irtja. A többi víruskeresôvel
vigyázni kell, mert átsiklanak felette, néhányan pedig
tévesen VCL-nek vélik.
@KKis János@N