jasiejames Nov 5 2009 at 14:49

Легенды вирусостроения: В тисках шифратора

5 min

8.5K

Biography of geeks

+109

Comments 63

jasiejames Nov 5 2009 at 14:54

Как и обещал, следующая статья готова!!!

+14

b8c6 Nov 5 2009 at 15:26

На этот раз про чуму? :-)

Storm2k Nov 5 2009 at 17:22

Ждем описания про Чернобыля. В далеком 97 году он мне биос переписал. Эх, ностальгия ;)
А сейчас autorun.inf, тьфу.

elmm Nov 5 2009 at 23:35

А не в 99ом случаем?
Шумихи тогда было вокруг CIH — кажется даже по телеку показывали сюжеты про этот вирус.

Storm2k Nov 7 2009 at 13:45

Извиняюсь и правда 99-ый год. Сколько воды утекло… Fido, BBS :)

sev Nov 5 2009 at 15:27

Отличная статья, времена вспомнились, аж засосало под ложечкой :)

UFO just landed and posted this here

Somewan Nov 5 2009 at 22:50

как насчет win95.cih?

Halt Nov 7 2009 at 15:13

Это уже позже было. А вот OneHalf, Оксана и Чернобыль это да… %)

Somewan Nov 8 2009 at 01:02

меня эти вирусы обошли стороной, но поиск по гуглу утверждает, что винчих и чернобыть есть одно и то же.

Halt Nov 8 2009 at 10:15

Разве? Странно, мне почему-то запомнилась именно эта тройка. Хотя может быть я спутал с BackFormat-ом.

Somewan Nov 9 2009 at 10:13

ну как бы так оно и есть
ru.wikipedia.org/wiki/CIH

jasiejames Nov 8 2009 at 20:58

Это на самом деле так. CIH и Чернобыль одно и тоже.

Arris Nov 6 2009 at 06:25

Отлично!

Надеюсь, пройдетесь по каждой вехе в этой борьбе ;)

INSTE Nov 5 2009 at 15:25

>> HET — фu3uke u ucTopuu B pacnucaHuu uy7!

Неужто баумановцы засветились?! :)

merc Nov 5 2009 at 15:26

Да, сразу бросилось в глаза)
Видимо, и в МГТУ была собственная версия вируса

-1

l2k Nov 5 2009 at 15:39

Вероятно просто был заменен текст в исходнике виря.

Somewan Nov 5 2009 at 15:46

БАУМАНЦЫ!
Но никак не бауманОВЦЫ

-1

Somewan Nov 5 2009 at 15:34

Фраза:
HET — фu3uke u ucTopuu B pacnucaHuu uy7!

мне как бы намекает, что дело тут не обошлось без кафедры ИУ-7 МВТУ им. Баумана.

UFO just landed and posted this here

andreysmind Nov 5 2009 at 16:40

На 286 Линукс не запускался.

UFO just landed and posted this here

andreysmind Nov 6 2009 at 08:30

Я написал в прошедшем времени. Линукс писался с учётом защищённого режими (или как он правильно называется, забыл) для 386. На 286 его портировали уже потом.

UFO just landed and posted this here

Storm2k Nov 5 2009 at 17:34

Вспомнился анекдот:

Встречаются два хакера. Один говорит:
— А я знаю что надо сделать чтоб OSR2 ваабще не глючила!
Второй:
— Что?
— Да всего один байт поменять!
— Какой?
— Да, в названии OSR2 третий байт надо поменять на "/"!

sas1024 Nov 5 2009 at 15:35

Да уж, помню как этот засранец зашифровал данные на моем 286 компьютере(( Расшифровка данных у антивируса заняла около 7 часов( И это на винте размером в 40 мегабайт!

smartello Nov 5 2009 at 15:39

Эх, знали бы они в 94-ом, что в расписании ещё и валеология с культурологией появятся :-D

lunatik42 Nov 5 2009 at 22:40

Еще социология и политология =)

smartello Nov 6 2009 at 20:47

Прочитал статью с ci.ru

Оказывается ещё в 94-ом Сидоренков донимал студентов нашей кафедры! :-))))

Somewan Nov 6 2009 at 23:43

да, наслышан о нем
«ну что ты, кисонька моя, я и сам дурак, главное, чтобы умной была»

smartello Nov 5 2009 at 15:40

Эх, знали бы они в 94-ом, что в расписании ещё и валеология с культурологией появятся :-D

PS: статья отличная!

Somewan Nov 5 2009 at 15:40

> так как для полной шифровки винчестера емкостью 0.5 [ГБ]
речь идет о 94 годе. В те времена диски были намного меньше.

Чуть ранее (где-то в 93 году) у меня было 2 диска по 21 МБ (доставшиеся при апргрейде с 286 на 386) и я точно знал количество файлов на каждом из них. Изменение этого числа наводило меня на мысли «этожжжжж неспроста!»

jasiejames Nov 5 2009 at 15:43

OneHalf встречался в «дикой» природе примерно до 2001 года, я с ним в универе познакомился впервые.

Somewan Nov 5 2009 at 15:51

не удивлюсь, если он до сих пор дремлет на какой-нибудь дискетке, дожидаясь своего часа.
другой вопрос, что его сигнатуры наверняка уже есть во многих АВ-базах

joedm Nov 5 2009 at 21:48

Он полиморфный, по сигнатурам не детектится.

-1

Somewan Nov 5 2009 at 22:44

а что, АВ, способных детектить полиморфов, уже не осталось?

joedm Nov 5 2009 at 22:46

Я к тому, что для детектирования полиморфных вирусов в те времена (может и сейчас тоже) использовались другие методы, а не поиск по сигнатурам.

Somewan Nov 5 2009 at 22:56

хорошо, признаю, что неправильно выразил свою мысль.

icCE Nov 5 2009 at 15:59

onehalf у меня лежит в личном сборнике вирусов, один из любимых =)

Ikari Nov 5 2009 at 16:01

Спасибо за интересные статьи! Продолжение будет?=)

jasiejames Nov 5 2009 at 16:28

Раз уж я взялся за эту тему, то еще несколько статей обязательно напишу.

Ikari Nov 5 2009 at 16:41

Жду с нетерпением=)

adnull Nov 5 2009 at 16:07

Вы забыли упомянуть, что первый антивирус, убивающий OneHalf (aidstest?), забывал расшифровать диск. В результате чего данные были гарантированно утеряны.

Inskin Nov 5 2009 at 16:13

Не гарантировано. Можно было заразиться ещё раз, и данные становились снова доступны :)

У меня получалось так, что я убивал вирус аидстестом, после чего данные становились недоступны. Видимо, аидстест убивал только из памяти, потому что после перезагрузки опять дис из ванхалф, и опять всё доступно. В итоге притащил дрвеб и всё полечил.

-3

adnull Nov 5 2009 at 16:24

Крд шифрации был рандомным, так что при следующем заражении даные нельзя уже было расшифровать.

UFO just landed and posted this here

adnull Nov 5 2009 at 17:10

Эээх, да… были времена.

Storm2k Nov 5 2009 at 17:26

Помню мой ужас… Еще страху добавило, то что он в справочнике Веба был помечен, как «крайне опасный». Слава Богу, к тому моменту, что я схватил его, Веб уже умел его лечить и расшифровывать диск.

Inskin Nov 9 2009 at 16:11

Может быть, я за давностью лет реально не помню уже. Помню только, что аидстест вируса убивал, после чего диск переставал читаться, но после перезагрузки дис из ван халф опять, и данные становились доступны :)

jasiejames Nov 5 2009 at 16:26

Не хотелось очернять AV-компании, к тому же я упомянул об опасности простой перезаписи MBR, потому что в основном так и боролись с onehalf'ом сначала.

joedm Nov 5 2009 at 21:58

aidstest не умел лечить полиморфные вирусы.

Inskin Nov 5 2009 at 16:13

«Лицезреющие эти строки» в большинстве своём жали эни кей и работали дальше :)

andreysmind Nov 5 2009 at 16:42

Помню всю систему перебирал по файлу удаляя заражённые. Они примерно одинаково выглядели, можно было отличить от незаражённых файлов. Думал я так от вируса избавлюсь.

Acanthis Nov 5 2009 at 17:31

Помню его — пришел с зараженной дискетой с игрой pacman в 1996м

FTM Nov 5 2009 at 18:23

И все-таки раньше трава была зеленее, девушки красивее и пиво вкуснее.

Статья супер! Давайте-ка еще ;).

vvvvvv Nov 5 2009 at 19:43

Да, да, и вирусы серьезнее )

UFO just landed and posted this here

Arris Nov 6 2009 at 06:16

Маленькое замечание:

DrWeb тогда только только появился, а в основном использовался Aidstest.

Даже помню диалог:
— А у меня есть DrWeb, который лечит 34 вируса.
— А мой — 48!
— Дай переписать!!!

Ну как-то так, точные цифры уже не помню, все таки 15 лет прошло, но порядок такой. =)

Как раз тот самый дрвеб о 48 вирях и ловил ванхальф.

P.S. Эх, где бы найти самую самую первую версию

Tibidoh Nov 6 2009 at 11:10

Спасибо автору за ссылку на Компьютер-информ. С удовольствием почитал сайт, который не менялся с 96го.
Даж на слезу пробивает. И самое интересное, что страницы без css, тегами вроде [HR WIDTH=«100%»][B][FONT COLOR="#FF0000"][FONT SIZE=+3]OneHalf [/FONT][/FONT][/B] и расширениями .htm в заголовке не смотрятся убого!

andrew72ru Nov 6 2009 at 21:17

Эх блин. Для меня ваше описание работы вируса — это как Deep Purple в 7 классе — нихрена не понятно, но очень круто!
А я ведь тоже помню его. Только по тем временам мне компьютер Очень Умные Дядечки лечили, а наблюдал. Сейчас-то наоборот обычно — я ремонтирую, а за мной наблюдают. И ведь наверное, считают меня Очень Умным…
Спасибо, отличная статья!

jasiejames Nov 8 2009 at 21:04

Очень лестный комментарий для меня (даже не думал, что можно сравниться по крутости с Deep Purple :)

Theo_from_Sed Nov 9 2009 at 12:15

Да, славный был вирусец. Мы даже с другом долго думали как его портировать на Спектрум :-D

Show the best of all time