Татьяна Ревяко - Компьютерные террористы

25 ноября 1996 г. на Филиппинах состоялась, встреча восемнадцати членов группы APEC (Asia-Pacific Economic Cooperation). Во время заседания один из компьютеров, обслуживавших мероприятие, стал вести себя подозрительно. По предположениям, с дискеты одного из дипломатов в него попал вирус. Атаке вируса подверглись документы Microsoft Word.

Специалисты, обслуживающие АРЕС, обратились за помощью в компьютерные компании Австралии и Океании. Быстрее всех отреагировала австралийская SAS International, довольно известная в этом регионе софтверная фирма. Специалисты SAS быстро идентифицировали вирус и уничтожили его. Как нам стало известно, для борьбы с вирусом использовалась программа, созданная в антивирусном центре Евгения Касперского — AVP MacroKiller. Дальнейшие заседания АРЕС прошли без сучка и задоринки.

Примечательно, что этому событию уделило внимание австралийское телевидение. На следующее утро национальный канал австралийского телевидения первым сюжетом показал пятиминутное интервью президента компании SAS International г-на Рода Фьюстера (Rod Fewster). Что же касается Майкла Джексона, сенсационный репортаж о его скандальном разводе шел в новостях вторым номером.

Много хлопот доставляет провайдерам Internet почтовый хлам (spam), в огромных количествах пересылаемый по Сети. Но существует проблема и посерьезнее — это вирусописатели, анонимно рассылающие вирусы в e-mail и сеющие свои ядовитые семена в телеконференциях.

Как показал опыт EarthLink, крупного провайдера Internet, бороться с вредителями очень сложно.

Участники телеконференций alt.cracks и alt.crackers предупреждали друг друга об опасности, исходящей от пользователя под псевдонимом «Slasher». Он (или она) внедрял вирусы в свои программы и рассылал их по Сети. Предполагается, что злоумышленник пользовался услугами именно EarthLink. Компания уже получила несколько жалоб с требованием отключить «Slasher». На практике, однако, все не так просто. Для отключения пользователя его нужно буквально схватить за руку в момент преступления.

Не только EarthLink боится спасовать перед возрастающей угрозой. Специалисты National Computer Security Association с уверенностью предсказывают увеличение количества вирусов в Сети, где зараженные программы могут распространяться широко и анонимно. Если бы вирус Hare не был так безграмотно написан, то принес бы намного больше вреда. Пользователи же столь охочи до бесплатного софта, что готовы скачивать и запускать что угодно.

Первый компьютерный вирус для Windows 95, получивший имя Boza, всего через неделю после обнаружения в США и Западной Европе появился и в российских компьютерах. Впрочем, против новой напасти уже создано противоядие.

Мир стал меньше. Десять лет назад эпидемия гриппа могла добраться из Америки в Советский Союз лишь за несколько месяцев. Сегодня — за неделю. В эпоху глобальных компьютерных сетей быстрее перемещаться между континентами стали не только обычные инфекции, но и компьютерные. В конце 80-х, когда информацию переносили с компьютера на компьютер на дискетах, стандартный ассортимент компьютерных вирусов в СССР достаточно сильно отличался от «джентльменского набора» на Западе. А сейчас созданные безвестными российскими умельцами вирусы быстро попадают в США и Западную Европу, а вредоносные новинки тамошних хакеров буквально через неделю обнаруживаются в России.

8 февраля «Ъ» сообщил о появлении в США первого вируса, предназначенного для новой операционной системы фирмы Microsoft — Windows 95. Несколько дней назад вирус Boza обнаружен в России и, судя по всему, уже не является редкостью в московском компьютерном мире.

По данным фирм-производителей антивирусных средств, распространению Boza в Москве активно способствовали местные авторы вирусов. Получив по международным компьютерным сетям очередной выпуск бюллетеня австралийской группы кибертеррористов VLAD — авторов Boza, московские единомышленники этой группы якобы воспользовались содержащимся в нем текстом вируса.

Впрочем, противоядие от Boza уже существует. Американская компания Symantec несколько дней назад объявила, что каждый пользователь сети Internet может бесплатно получить доступ к «лечащей» программе Norton AntiVirus Update, находящейся на Internet-cepвepe этой компании. Адрес этого сервера — www.symantec.com.

Поставщики антивирусного ПО торопятся обновить свои продукты, чтобы бороться с зашифрованным полиморфным вирусом Satan Bug, который атакует правительственные компьютерные системы в США.

Вирус Satan Bug, ставший предметом сообщения группы наблюдения за вирусами (CIAC) из Министерства энергетики (DOE), охарактеризован как «трудноизлечимый» из-за примененного алгоритма шифрования. Satan Bug способен повреждать файлы, изменять даты их создания и отключать пользователей от ЛС путем повреждения сетевых драйверов.

Консультативная служба CIAC заявила, что вирус был обнаружен во многих местах. Источники из Министерства энергетики сообщили, что несколько подразделений пытаются бороться с ним при помощи программ детектирования вирусов.

CIAC как один из членов правительственной комиссии Forum of Incident Response and Security Teams выпускает информационные бюллетени в тех случаях, когда в DOE поступают сообщения о серьезных проблемах, связанных с вирусами.

Бюллетень CIAC извещает о том, что зашифрованные вирусы, подобные вирусу Satan Bug, особенно трудно удалить из инфицированных файлов, поскольку они присоединяются к компьютерной программе, вырезая из нее небольшой кусок и замещая его собственным кодом. После этого вирус зашифровывает и себя и «откушенный» кусок программы.

«Для восстановления инфицированной программы антивирусное ПО должно уметь расшифровывать закодированный вирус, чтобы обнаружить исчезнувшую часть файла и вернуть ее на место, — констатирует бюллетень. — Satan Bug имеет до девяти уровней шифрования, причем в каждом случае этот уровень непредсказуем».

Шифрование делает вирус невидимым для антивирусных программ-сканеров, датированных ранее августа 1993 года «Эти программы должны открыть файл для сканирования, а если вирус находится в памяти, то сам акт открытия файла будет приводить к инфицированию, — предупреждает бюллетень. — Если вы запускаете инфицированный антивирусный сканер, то почти каждый исполняемый файл на диске окажется зараженным».

Как рассказал Дэвид Стэнг (David Stang), президент компании-разработчика Norman Data Defense Systems (ФоллЧерч, штат Виргиния), вирус Satan Bug был впервые выявлен в феврале прошлого года, когда его обнаружили размещенным на нескольких электронных досках объявлений пользователем по имени Hacker 4Life.