Не стоит объяснять, что такое вирусы, какими они бывают и как с ними бороться. На эту тему написаны сотни книг, да и мы уже не раз касались этой темы на страницах "Игромании". Сейчас мы попытаемся разобраться с другим, более важным вопросом: почему люди создают такие программы?
Зачем им это нужно? Многие вирусы являются просто шедеврами "программостроения"! Написать их под силу только одаренным людям, имеющим очень глубокие знания о строении ОС и архитектуре 80х86. Что толкает таких гениев на преступную стезю? За ответами мы обратились к лучшему вирусологу страны — Евгению Касперскому.
"Игрополис" ([И]): Евгений, можно ли как-нибудь классифицировать всех вирусмейкеров?
Евгений ([Е]): Цитируя любимца детей конца прошлого века, великого Ежика-В-Тумане, эта обобщающая классификация будет звучать как "псих". С той или иной степенью отклонения люди, создающие вирусы, действительно являются ненормальными, страдающими синдромом деструктивности или геростратовой манией величия.
Я разделяю таких людей на несколько групп. Первая, наиболее многочисленная и бестолковая, состоит из школьников и студентов, пишущих вирусы просто для того, чтобы это попробовать, слиться, так сказать, с последними веяниями моды. Это сравнимо с подростковым курением, когда молодые люди желают любыми способами приобщиться к взрослой жизни. Однако, как показывает практика, это оказывается чистой воды самообманом.
Вторую группу составляют матерые кибер-хулиганы, для которых вирусописательство уже является своего рода смыслом жизни, способом самовыражения и самообозначения в мире ("вот я какой!"). Насмотревшись низкосортных голливудских блокбастеров, они кучкуются в виртуальные шайки (vx-группы), щедро метят свои вирусы символами авторской принадлежности (именно это является главным смыслом их деятельности — прославиться) и наслаждаются, когда средства массовой информации сообщают, что их вирус вызвал эпидемию. О таких Ежик сказал бы, простите за каламбур, "очень псих".
Наконец, третья группа — это циничные профессиональные кибер-преступники, для которых вирусы — способ достижения их корыстных целей. Например, взлом сети предприятия для промышленного шпионажа, опустошение банковских счетов и т.д.
Конечно, существуют и немногочисленные маргиналы, которые не попадают ни в одну из групп.
[И]: Можно ли по коду вируса понять психологию его создателя?
[Е]: В большинстве случаев — да. Точнее, по коду вируса можно установить принадлежность автора к одной из трех групп, а уже по этому установить степень психического отклонения. Например, любители чаще всего вообще сами не пишут вирусы, а пользуются вирусными конструкторами. Это специальные программы, где достаточно задать функции вируса, нажать на кнопку, и — опа! — вирус готов. Кстати, именно таким образом был создан вирус, получивший громкое имя "Анна Курникова". Если же такие люди садятся за самостоятельное написание вируса, то в 99% случаев это получаются корявые, неработающие создания, которые в принципе не имеют шансов на широкое распространение.
"Творения" рецидивистов-хулиганов по своему качеству недалеко ушли от любителей. Однако их отличительная особенность — наличие многочисленных "копирайтов" в теле вируса, указывающих на его автора. Обычно они написаны с грубыми грамматическими ошибками на "чисто хакерском" наречии, вроде "Owned by: xEnOcrAtEs" (I-Worm.Calil).
[И]: Вам встречались такие случаи, чтобы несколько вирусов были написаны одним и тем же человеком?
[Е]: Сплошь и рядом. Начиная от зари вирусописательства (например, неуловимый болгарин Dark Avenger, "блиставший" в конце 80-х) и до сегодняшних дней (чешский "самородок" Benny, аргентинец Vecna и многие другие). Вообще, как правило, у большинства вирусописателей есть период созревания. Через пару лет активной вирусной работы они вдруг внезапно пропадают с vx-сцены. Что случилось? Повзрослел... Может быть, влюбился или, наконец, нашел хорошую работу. Однако бывают и исключения. Вспомните Дэвида Смита, автора Melissa, открывшего эпоху макрочервей. Человеку за 30 лет, а психология 16-летнего подростка. Диагноз — "16 forever".
[И]: А как вы объясните случай, когда абсолютно нормальный человек, не особо разбирающийся в компьютерах, становится преступником, после того как найдет какой-нибудь конструктор вирусов?
[Е]: Каждый преступник начинает с малого. Грабителей банков могут сподвигнуть на эту стезю мелкие карманные кражи, серийного убийцу — издевательства над животными, а вирусописатель, что логично, может начать свой путь с примитивного конструктора вирусов.
[И]: Что вы думаете о конструкторах вирусов? Просто способ распространить свои вирусы? Или игра на психологию человека?
[Е]: Да нет, я не вижу в них тени какого-то глобального заговора или аномалии, идущей из глубин сознания. Появилась у человека идея, пусть столь экзотическая, он и реализовал ее. С другой стороны, конечно, автору конструктора приятно, когда его псевдоним красуется в пользовательском интерфейсе, о нем рассказывают в новостях, пусть даже в негативном плане.
[И]: Мания величия или неутолимое желание "почувствовать свою значимость"?
[Е]: Можно и так сказать. Если копнуть глубже, то сразу можно увидеть, что таким пороком страдают люди, которые беспомощны в реальной жизни. Возможно, у них проблемы во взаимоотношениях с женщинами, может, они вообще трудно сходятся с людьми, очень зажаты и стеснительны. Однако удаль молодецкая клокочет и требует выхода — и находит его столь экстравагантным способом.
[И]: Как вы считаете, можно ли как-нибудь искоренить (или хотя бы попытаться это сделать) желание у молодежи писать деструктивные вирусы? Может, надо по-другому детей воспитывать?
[Е]: "Ну и молодежь пошла! А вот в наши годы..." — нет, так я никогда не скажу, потому что мы сами создаем мир вокруг себя, в том числе формируем и молодое поколение — и в его пороках виноваты мы. Я не могу назвать себя знатоком психологии и тонким исследователем душ, но, на мой взгляд, человек, особенно молодой, всегда ищет объект подражания. А современная массовая культура возвела в ранг культа различные хакерские увлечения, вирусописательство и прочие кибер-пороки. Чего же еще можно ждать от школьников и студентов, раз мы сами потакаем и взращиваем в них эти качества?
Можно, конечно, попробовать бороться с этой напастью с позиции силы и строго наказывать всех создателей вирусов, однако здесь возникает целый батальон всяческих "но". Как отследить хакера? Как ввести международные законы? Как наказывать преступников? И многое, многое другое...
* * *
В следующем выпуске "Антихакера" мы опубликуем вторую часть интервью с Евгением Касперским, в которой будут затронуты вопросы вроде "как и для чего хакеры используют вирусы?", "какие вирусы оказались самими опасными для мировой Сети?", "на чем обычно программируют вирусы?" и "какие способы используют для того, чтобы скрыть вредоносные программы от взгляда пользователя?".
Вирусы, которые удивили мир: Magistr
Как сказал Евгений, удивительно соотношение размера этого вируса с его функциональностью. Хотя тело паразита весит лишь 30кб, в его арсенал вошли: заражение Windows PE-файлов, распространение своих экземпляров по электронной почте, заражение файлов из локальной сети, резидентность, уничтожение информации с жесткого диска, очистка CMOS- и flash-памяти. Неудивительно, что для создания такого "гада" автор использовал ассемблер — иначе столько функций в вирус просто не запихнуть.
Как же вирус проявляет себя? Помимо "привычного" уничтожения данных на винчестере и очистки микросхем памяти (через месяц после заражения компьютера), автор не поленился добавить видеоэффект: иконки рабочего стола будут убегать от курсора вашей мыши. Правда, лицезреть такую картину дано не каждому — вирус случайным образом выбирает, когда активизировать "разбегание". В остальное время он дремлет и ждет... Через месяц Magistr делает свое черное дело и выводит сообщение:
"Another haughty bloodsucker... YOU THINK YOU ARE GOD, BUT YOU ARE ONLY A CHUNK OF SHIT"
Что толкнуло человека на создание такого монстра? Вариантов много, но правды мы не узнаем никогда...
Вирусы, которые удивили мир: Hybris
Первый многокомпонентный вирус... правда, звучит как фантастика? Увы, это реальность. Не имеет смысла рассматривать алгоритмы размножения этого вируса — все блекнет перед гениальной идеей автора о плагинах к собственному вирусу. Хорошо хоть шкурок еще нет...
Hybris способен подключаться к конференции USENET alt.comp.virus и скачивать свои плагины с http://pleiku.vietmedia.com/bye. При этом каждый плагин шифруется специальным ключом... Воистину, стоило ли так стараться, чтобы создать лишнюю головную боль пользователям?
Примечательно, что код вируса содержит текст: "HYBRIS (c) Vecna". Это указывает на мотивы автора — слава и известность. Что ж, тщеславие — любимый грех дьявола...
Вирусы, которые удивили мир: CIH
Уж сколько раз твердили миру... Наверное, даже "компьютерные младенцы" знают, что это за бяка. Рассказы о CIH пугают больше всего тем, что этот вирус способен уничтожать микросхему flash-памяти (корректнее будет сказать — очищать ее). Между тем сама гениальность этого паразита (вернее, его автора) остается за кадром. Хотя вирус и стал первым из умеющих портить "железо" на ПК программным путем и основателем тенденции, его красота в другом. А именно — в механизме заражения исполняемых файлов под Windows.
Структура PE-файлов такова, что между их секциями остается свободное место. Данные, как говорят профи, выравниваются по определенным границам, чтобы уменьшить время (увеличить скорость) обращения к ним. Тело вируса занимает всего 1кб. Паразит помещает его либо целиком в первую попавшуюся "дырку", либо разбивает (сегментирует) свой код на кусочки и записывает их в свободные места (при этом вносятся изменения в код так, чтобы эти кусочки при выполнении слились в дееспособный вирус). Таким образом, приложение становится зараженным, но при этом сохраняет прежний размер. Как вы можете себе представить, лечить такие файлы очень сложно... Антивирусные компании потратили немало времени, чтобы разработать "лечилку".
Величайшая вирусная эпидемия
Не так давно в Сети разыгралась одна из самых сильных — как по количеству зараженных машин, так и по последствиям — вирусных эпидемий. Виновником вирусного "торжества" стал интернет-червь Helkern (также известный как Slammer). Принцип работы вредоносной программы несложен. Helkern заражает машины, на которых установлен пакет Microsoft SQL Server 2000. Если учесть, что под управлением этой системы баз данных находится значительное число серверов во всем мире, нетрудно догадаться, к каким последствиям это могло привести. Сам Helkern — это бестелесный вирус, все вредоносные действия он производит в системной памяти компьютера. Как следствие, обнаружить и нейтрализовать вирус не так просто, как обычную вирусную программу, работающую с обращением к диску. Когда вирус обосновывается на сервере — может быть заражен только компьютер с установленным SQL Server 2000, так что простым пользователям волноваться не о чем, — он начинает рассылать по имеющимся адресам свои копии, многократно увеличивая трафик. В большинстве случаев сервер просто подвисает, оказывается отрезанным от всего интернета. Эпидемия очень похожего бестелесного вируса — CodeRed — уже имела место в 2001 году, но она не приняла такого масштаба, как эпидемия Helkern. Если бы не своевременные и слаженные действия провайдеров, Мировая Сеть могла бы оказаться разорвана на несколько несвязанных между собой частей. Но утилиты фильтрации пакетов были вовремя установлены, и целостность интернета удалось сохранить. Сейчас эпидемия остановлена, Helkern еще встречается в интернете, но о массовом заражении речь уже не идет.
| |
"Игрополис" ([И]): Евгений, можно ли как-нибудь классифицировать всех вирусмейкеров?
Евгений ([Е]): Цитируя любимца детей конца прошлого века, великого Ежика-В-Тумане, эта обобщающая классификация будет звучать как "псих". С той или иной степенью отклонения люди, создающие вирусы, действительно являются ненормальными, страдающими синдромом деструктивности или геростратовой манией величия.
Я разделяю таких людей на несколько групп. Первая, наиболее многочисленная и бестолковая, состоит из школьников и студентов, пишущих вирусы просто для того, чтобы это попробовать, слиться, так сказать, с последними веяниями моды. Это сравнимо с подростковым курением, когда молодые люди желают любыми способами приобщиться к взрослой жизни. Однако, как показывает практика, это оказывается чистой воды самообманом.
Вторую группу составляют матерые кибер-хулиганы, для которых вирусописательство уже является своего рода смыслом жизни, способом самовыражения и самообозначения в мире ("вот я какой!"). Насмотревшись низкосортных голливудских блокбастеров, они кучкуются в виртуальные шайки (vx-группы), щедро метят свои вирусы символами авторской принадлежности (именно это является главным смыслом их деятельности — прославиться) и наслаждаются, когда средства массовой информации сообщают, что их вирус вызвал эпидемию. О таких Ежик сказал бы, простите за каламбур, "очень псих".
Наконец, третья группа — это циничные профессиональные кибер-преступники, для которых вирусы — способ достижения их корыстных целей. Например, взлом сети предприятия для промышленного шпионажа, опустошение банковских счетов и т.д.
Конечно, существуют и немногочисленные маргиналы, которые не попадают ни в одну из групп.
[И]: Можно ли по коду вируса понять психологию его создателя?
[Е]: В большинстве случаев — да. Точнее, по коду вируса можно установить принадлежность автора к одной из трех групп, а уже по этому установить степень психического отклонения. Например, любители чаще всего вообще сами не пишут вирусы, а пользуются вирусными конструкторами. Это специальные программы, где достаточно задать функции вируса, нажать на кнопку, и — опа! — вирус готов. Кстати, именно таким образом был создан вирус, получивший громкое имя "Анна Курникова". Если же такие люди садятся за самостоятельное написание вируса, то в 99% случаев это получаются корявые, неработающие создания, которые в принципе не имеют шансов на широкое распространение.
"Творения" рецидивистов-хулиганов по своему качеству недалеко ушли от любителей. Однако их отличительная особенность — наличие многочисленных "копирайтов" в теле вируса, указывающих на его автора. Обычно они написаны с грубыми грамматическими ошибками на "чисто хакерском" наречии, вроде "Owned by: xEnOcrAtEs" (I-Worm.Calil).
[И]: Вам встречались такие случаи, чтобы несколько вирусов были написаны одним и тем же человеком?
[Е]: Сплошь и рядом. Начиная от зари вирусописательства (например, неуловимый болгарин Dark Avenger, "блиставший" в конце 80-х) и до сегодняшних дней (чешский "самородок" Benny, аргентинец Vecna и многие другие). Вообще, как правило, у большинства вирусописателей есть период созревания. Через пару лет активной вирусной работы они вдруг внезапно пропадают с vx-сцены. Что случилось? Повзрослел... Может быть, влюбился или, наконец, нашел хорошую работу. Однако бывают и исключения. Вспомните Дэвида Смита, автора Melissa, открывшего эпоху макрочервей. Человеку за 30 лет, а психология 16-летнего подростка. Диагноз — "16 forever".
[И]: А как вы объясните случай, когда абсолютно нормальный человек, не особо разбирающийся в компьютерах, становится преступником, после того как найдет какой-нибудь конструктор вирусов?
[Е]: Каждый преступник начинает с малого. Грабителей банков могут сподвигнуть на эту стезю мелкие карманные кражи, серийного убийцу — издевательства над животными, а вирусописатель, что логично, может начать свой путь с примитивного конструктора вирусов.
[И]: Что вы думаете о конструкторах вирусов? Просто способ распространить свои вирусы? Или игра на психологию человека?
[Е]: Да нет, я не вижу в них тени какого-то глобального заговора или аномалии, идущей из глубин сознания. Появилась у человека идея, пусть столь экзотическая, он и реализовал ее. С другой стороны, конечно, автору конструктора приятно, когда его псевдоним красуется в пользовательском интерфейсе, о нем рассказывают в новостях, пусть даже в негативном плане.
| |
[И]: Мания величия или неутолимое желание "почувствовать свою значимость"?
[Е]: Можно и так сказать. Если копнуть глубже, то сразу можно увидеть, что таким пороком страдают люди, которые беспомощны в реальной жизни. Возможно, у них проблемы во взаимоотношениях с женщинами, может, они вообще трудно сходятся с людьми, очень зажаты и стеснительны. Однако удаль молодецкая клокочет и требует выхода — и находит его столь экстравагантным способом.
[И]: Как вы считаете, можно ли как-нибудь искоренить (или хотя бы попытаться это сделать) желание у молодежи писать деструктивные вирусы? Может, надо по-другому детей воспитывать?
[Е]: "Ну и молодежь пошла! А вот в наши годы..." — нет, так я никогда не скажу, потому что мы сами создаем мир вокруг себя, в том числе формируем и молодое поколение — и в его пороках виноваты мы. Я не могу назвать себя знатоком психологии и тонким исследователем душ, но, на мой взгляд, человек, особенно молодой, всегда ищет объект подражания. А современная массовая культура возвела в ранг культа различные хакерские увлечения, вирусописательство и прочие кибер-пороки. Чего же еще можно ждать от школьников и студентов, раз мы сами потакаем и взращиваем в них эти качества?
Можно, конечно, попробовать бороться с этой напастью с позиции силы и строго наказывать всех создателей вирусов, однако здесь возникает целый батальон всяческих "но". Как отследить хакера? Как ввести международные законы? Как наказывать преступников? И многое, многое другое...
* * *
В следующем выпуске "Антихакера" мы опубликуем вторую часть интервью с Евгением Касперским, в которой будут затронуты вопросы вроде "как и для чего хакеры используют вирусы?", "какие вирусы оказались самими опасными для мировой Сети?", "на чем обычно программируют вирусы?" и "какие способы используют для того, чтобы скрыть вредоносные программы от взгляда пользователя?".
Вирусы, которые удивили мир: Magistr
Как сказал Евгений, удивительно соотношение размера этого вируса с его функциональностью. Хотя тело паразита весит лишь 30кб, в его арсенал вошли: заражение Windows PE-файлов, распространение своих экземпляров по электронной почте, заражение файлов из локальной сети, резидентность, уничтожение информации с жесткого диска, очистка CMOS- и flash-памяти. Неудивительно, что для создания такого "гада" автор использовал ассемблер — иначе столько функций в вирус просто не запихнуть.
Как же вирус проявляет себя? Помимо "привычного" уничтожения данных на винчестере и очистки микросхем памяти (через месяц после заражения компьютера), автор не поленился добавить видеоэффект: иконки рабочего стола будут убегать от курсора вашей мыши. Правда, лицезреть такую картину дано не каждому — вирус случайным образом выбирает, когда активизировать "разбегание". В остальное время он дремлет и ждет... Через месяц Magistr делает свое черное дело и выводит сообщение:
"Another haughty bloodsucker... YOU THINK YOU ARE GOD, BUT YOU ARE ONLY A CHUNK OF SHIT"
Что толкнуло человека на создание такого монстра? Вариантов много, но правды мы не узнаем никогда...
Вирусы, которые удивили мир: Hybris
Первый многокомпонентный вирус... правда, звучит как фантастика? Увы, это реальность. Не имеет смысла рассматривать алгоритмы размножения этого вируса — все блекнет перед гениальной идеей автора о плагинах к собственному вирусу. Хорошо хоть шкурок еще нет...
Hybris способен подключаться к конференции USENET alt.comp.virus и скачивать свои плагины с http://pleiku.vietmedia.com/bye. При этом каждый плагин шифруется специальным ключом... Воистину, стоило ли так стараться, чтобы создать лишнюю головную боль пользователям?
Примечательно, что код вируса содержит текст: "HYBRIS (c) Vecna". Это указывает на мотивы автора — слава и известность. Что ж, тщеславие — любимый грех дьявола...
Вирусы, которые удивили мир: CIH
Уж сколько раз твердили миру... Наверное, даже "компьютерные младенцы" знают, что это за бяка. Рассказы о CIH пугают больше всего тем, что этот вирус способен уничтожать микросхему flash-памяти (корректнее будет сказать — очищать ее). Между тем сама гениальность этого паразита (вернее, его автора) остается за кадром. Хотя вирус и стал первым из умеющих портить "железо" на ПК программным путем и основателем тенденции, его красота в другом. А именно — в механизме заражения исполняемых файлов под Windows.
Структура PE-файлов такова, что между их секциями остается свободное место. Данные, как говорят профи, выравниваются по определенным границам, чтобы уменьшить время (увеличить скорость) обращения к ним. Тело вируса занимает всего 1кб. Паразит помещает его либо целиком в первую попавшуюся "дырку", либо разбивает (сегментирует) свой код на кусочки и записывает их в свободные места (при этом вносятся изменения в код так, чтобы эти кусочки при выполнении слились в дееспособный вирус). Таким образом, приложение становится зараженным, но при этом сохраняет прежний размер. Как вы можете себе представить, лечить такие файлы очень сложно... Антивирусные компании потратили немало времени, чтобы разработать "лечилку".
Величайшая вирусная эпидемия
Не так давно в Сети разыгралась одна из самых сильных — как по количеству зараженных машин, так и по последствиям — вирусных эпидемий. Виновником вирусного "торжества" стал интернет-червь Helkern (также известный как Slammer). Принцип работы вредоносной программы несложен. Helkern заражает машины, на которых установлен пакет Microsoft SQL Server 2000. Если учесть, что под управлением этой системы баз данных находится значительное число серверов во всем мире, нетрудно догадаться, к каким последствиям это могло привести. Сам Helkern — это бестелесный вирус, все вредоносные действия он производит в системной памяти компьютера. Как следствие, обнаружить и нейтрализовать вирус не так просто, как обычную вирусную программу, работающую с обращением к диску. Когда вирус обосновывается на сервере — может быть заражен только компьютер с установленным SQL Server 2000, так что простым пользователям волноваться не о чем, — он начинает рассылать по имеющимся адресам свои копии, многократно увеличивая трафик. В большинстве случаев сервер просто подвисает, оказывается отрезанным от всего интернета. Эпидемия очень похожего бестелесного вируса — CodeRed — уже имела место в 2001 году, но она не приняла такого масштаба, как эпидемия Helkern. Если бы не своевременные и слаженные действия провайдеров, Мировая Сеть могла бы оказаться разорвана на несколько несвязанных между собой частей. Но утилиты фильтрации пакетов были вовремя установлены, и целостность интернета удалось сохранить. Сейчас эпидемия остановлена, Helkern еще встречается в интернете, но о массовом заражении речь уже не идет.