Смотри же и глазам своим не верь.
На небе затаился чёрный зверь.
В глазах его я чувствую беду...
Криво начавшийся день так же криво и продолжался. Я законнектил фотоаппарат с компом, чтобы скинуть фотографии (до этого он был непродолжительное время у одногруппника в связи с возникшей производственной необходимостью).
И тут началось! Внешний накопитель определялся достаточно долго, когда же, наконец я зашёл на карточку, увидел там вновь созданные папки (на фотоаппарате одна системная директория, в которую помещаются снимки). Кроме того, в корне валялся скрытый системный файл
autorun.inf, следующего содержания:
[autorun]
UseAutoPlay=1
shellExecute=Recycled\KESHA.EXE
Файл автозапуска указывал выполнение какого-то палёного ехе-шника во вновь созданной папке на карточке фотоаппарата.
В папке
Recycled я нашёл два файла (напоминаю – все эти файлы стоят с набором флагов упрятать_от_пользователя):
KESHA.EXE
Nosferatu.txt
Последний (текстовик) содержал, стихотворение, выбранное в качестве эпиграфа этой статьи. И тут как-то очень не кстати мне вспомнились мои «шалости» и песня «Der Meister» группы Rammstein. «Почуяв беду» я вызвал менеджер процессов. О ужас! На вершине сидел процесс
KESHA.EXE. Недолго думая, выгружаю процесс и переключаюсь обратно на фотоаппарат. Блин! Папка исчезла! Пока я пялился в монитор с выражением на лице «шо эт было?», фаерволл (OutPost) сообщил о том, что процесс еxplorer.exe пытается получить доступ к сайту в зоне
jino-net.ru . Блокирую.
Ситуация стала пугающе проясняться. Под звуки неожиданно проснувшегося флопа, я начал антивирусное сканирование (NOD, свежайшая на тот момент антивирусная база).
Как я и ожидал (если есть на что – то сработает сразу) – перетряхивание файлов на винтах и карточке ничего не дало. Тем временем флоп хрюкал с периодичностью в 5 секунд.
Всё! Приплыли! Вспоминаю про неподготовленный доклад по схемотехнике и недокачанное видео.
Пофилософствовав вслух про хакеров, занимающихся подобным безобразием и тем самам дискредитирующих настоящих приверженцев 31337-культуры, я постарался сосредоточиться на решении проблемы.
Открываю менеджер процессов, листаю, комментирую в ICQ, и тут:
impersonalis © (18:22:15 23/10/2007)
так нах
impersonalis © (18:22:19 23/10/2007)
2 эксплорера?
impersonalis © (18:22:23 23/10/2007)
тыыык
Для анализа решаю упорядочить процессы по имени – и сравнить характеристики обоих «эксплореров». И что я вижу?! Сортировка не просто разнесла два одноимённых (как какжется) процесса по разным частям списка, но и запихнула один из них совсем в неожиданное место:
Простейшие умозаключения о расположении кодов символов латиницы и кириллицы в таблице ASCII, позволяют прийти к неожиданному выводу: первая буква имени процесса не латинская, а кириллическая! Ну и какому порядочному человеку это надо? Выгружаю процесс. Опа – флоп затыкается. Блаженные моменты квази-тишины.
Вызываю поиск файлов и ищу explorer (первый байт = 197). Нахожу ехе-к. Далее – не знаю, может кто и выпендрился, а у меня IE стоит в дефолтной директории, а именно:
Program Files\Internet Explorer\
Поиск же нашёл мне близнеца в директории
system32. Памятуя о не всегда понятной простым смертным логике организации системных файлов, сравниваю оба ехе при помощи
Depends (утилита из набора
Microsoft Visual C++ 6.0 Tools) – результат на скриншоте:
Что называется – почувствуйте разницу!
Не совпадают: имена исполняемых файлов, кол-во подключаемых DLL.
Удаляю.
Спамлю своей радостью контакты в ICQ.
Трофеи. Куда без них? Пока я пытался загнать Трояна в резервацию, заразился ещё раз. В ходе устранения последствий выяснил ещё одну интересную фичу данного комплекса.
Внимание на скриншот:
Обратите внимание на выделенные рамками параметры – зло-программа самовольно изменяла их так, чтобы скрыть факт своего наличия на носителе.
Далее – в ходе работы программа создаёт свои копии не только в
system32, но и в других произвольных директориях, предварительно разместив там папку
Recycled.
Вот так, можно сказать, «голыми руками» я боролся с «чёрным зверем».