Ситуация проста до не хочу. Скачанный с ThePirateBay'я plug-in для Photoshop'а. Далее по цепочке — инъекция даже не при запуске, а просто при отображении exe-файла установщика в Проводнике Windows Seven. AVG Internet Security смог только лишь промямлить: «Сударь, в системном процессе троян!» Точнее, два трояна: Win32/Virut и Win32/Heur. Сработали они оба на славу: инфицированы все exe-шники в Windows, Program Files. В том числе, taskmgr.exe и explorer.exe. При следующем запуске, система отказывается стартовать explorer, как результат — отсутствующий рабочий стол.
Дальше интереснее. Рассматриваем, что пишут интернеты про данные троянцы. Первый (Virut) удаляется с помощью замысловатых remover'ов от различных контор: той же AVG (rmvirut), Symantec, Dr.Web (с их CureIt!). Со вторым сложнее, точнее — никак. Обещают конец света и полный апокалипсис сегодня. Под защищённым режимом была сделана попытка излечиться от Virut'а, cureit нашёл порядка 600+ (sic!) объектов (в основном в системных директориях), которые попытался (и вроде даже) вылечить.
Повторная перезагрузка в обычный режим показала, что действия почти бесполезны. Сайты всех антивирусных программ заблокированными так и остались. SpywareDoctor, который, было, хотел взяться за Heur, просто не смог скачать базы. Как итог, самые важные данные были сохранены на флешке. В тот момент заражёнными были файлы только на системном диске.
Далее идёт загрузка с установочного диска Vista'ы, удаление системного раздела, его ресоздание и форматирование. Ну и установка родной для ноутбука VHP. Далее вроде бы всё успокоилось: шёл обычный процесс переустановки системы — скачивание update'ов, установка драйверов, был поставлен Norton 360, который не хотел работать под Seven (слетала онлайн-защита Sonar из-за отсутствия поддержки новой системы — этот косяк поправили в вышедшей на днях 3.5 версии Norton'а). Вроде бы ничего не предвещало беды…
Но в один момент обновления системы с Microsoft'а скачиваться просто отказались — Центр обновления сетовал на невозможность подключиться к хранилищу заплаток. Последовала попытка открыть сайт какого-нибудь из антивирусов — ноль ответа. В тоже время Norton молчит и «тупит глазки».
Как оказалось, это была не его вина. Он пытался сделать всё что мог… при отсутствии всех своих баз, которые чуть раньше просто не смог слить с официального сайта Symantec'а. В то же время ни в автозагрузке, ни в реестре, ни в процессах ничего вроде бы лишнего не наблюдалось. Троянец сидел, вернее восседал, глубоко и с кривой ухмылкой.
Причиной всех проблем свежевосставшей из пепла системы оказалась SD-шка ReadyBoost, которая торчала в card-reader'е под Windows Seven, а потом продолжила работать и творить зло уже под новой системой. Про неё просто забыли. Как следствие, в подобных ситуациях не забывайте вытаскивать все носители и передатчики информации из заражённой системы.
комментарии (143)
UAC — ваш друг, %username%!
Каждый месяц появляются статьи «что и ка делать», вы же в разрез с ними пускаете первый же файлик с пиратбея ;-) «Респект», что сказать, смелый человек :) Или вам думалось, что пиратбей это очаг честности? Дык явно же сказано же, бухта, да еще и пиратов.
Во всех книжках по освоению работы с ПК написано: чтобы активировать вирус (при условии отсутствия уязвимостей), нужно запустить программу, его содержащую. Автор программу не запускал, значит, система содержала критические уязвимости, а при таком раскладе виртуалка не спасёт.
это слегка смущает… такое правда существует?..
g-laurent.blogspot.com/2009/09/windows-vista7-smb20-negotiate-protocol.html
А есть ссылки о подтверждении этой уязвимости для Windows 7? Эта уязвимость (если она существует) уже должна была всплыть и получить статус критической.
Мне, честно говоря, с трудом верится что заражение машины произошло именно так.
и не сиди под админом
Ну и где об этом информация? Вот нашли багу в смб2 — все IT-сми завалены этой новостью, а нашли багу под Windows 7 (!) при которой запуск бинарного кода происходит без запуска самого экзешника (!) и тишина. Хотя сама бага (если она есть) нааамного страшнее, чем эксплоит для смб2.
У меня был вопрос к автору: с чего он решил, что заражение произошло именно тем путём, который он описал? Откуда он это взял? Или просто для красного словца?
Отсюда риторический вопрос-вывод автору: Если научился качать из P2P-сетей, но не научился просматривать содержимое раздачи, скачиваемой из подозрительных источников, то какого хрена выключать UAC?
А как оно смогло? Или UAC был отключен?
Да не, я это не с целью укора, а просто для понимания происходящего.
Просто рассказывают много историй про злобных вирусов, обходящих UAC и т.п., а в итоге оказывается, что юзер сам все отключил (ну или не сам, а какой-нибудь «знакомый программист»).
Давайте детский сад не будем устраивать.
Начинающие *nix юзеры обычно быстро отучаются «непечатающей» строчкой. :)
echo "test... test... test..." | perl -e '$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|`{;;y; -/:-@[-`{-};`-{/" -;;s;;$_;see'Но Microsoft-у уже давно нужно было внедрить другую фичу — возможность _включить_ автозапуск со сменных носителей, отключенный по умолчанию. Сколько людей пострадало от «вирусов на флешке», никто не знает.
И не столько, пожалуй, жаль системы, сколько впустую потраченного времени.
Ведь привыкли же — вставил диск, нажал Install и пошло-поехало. А вручную это ж надо знать ещё, какой из файлов на диске запускать.
Понятно, что без админских прав безопаснее, так и это не панацея… Снесет зловредина %HOME%, и много вам будет радости от того, что не под админом сидели?
Но это я, а вот в тех же компаниях несколько иначе, тут вы правы…
но это как бы самый простой для вирусов способо, но не самый надежный — «лучшие представители» действуют иначе.
Плюс, можно удалить руками, если знаешь как (например, нашёл hawto по удалению в интернете)
2) есть шанс заразить этот самый второй компьютер
3) конкретно по этой статье — флешка так бы и осталась непроверенной
Как говорится: у каждой сложной задачи есть масса простых неправильных решений ;-)
Знаю я эту блокировку. %WINDIR%\system32\driver\etc\hosts — туда не смотрели?
Используете експлорер, не отключаете авторан, сидите под админом? — Ну дык и не жалуйтесь что заразились, сами себе злобные буратины.
// Вот не лень систему и программы потом переустанавливать.
Хотя лучший вариант — не качать подозрительные файлы, сканировать их сразу после закачки (даже не глядя) или хотя бы проверять комменты на том же «пиратбее», там обычно пишут про вирусы в раздаче. Тем более такие, гробящие систему намертво.
PS Это я к тому, что корень проблемы — не ReadyBoost.
Быть такого не может.
Я на 90% уверен, что рядом с экзешниками лежал зараженный pdf-файл, а в системе был установлен уязвимый и не обновленный Adobe Reader.
Windows Explorer не может запустить исполняемый файл без вашего ведома. Это невозможно.
Переполнений никаких нет, ваш случай единственный, я слежу за сектором IT-безопасности и с уверенностью могу сказать, что:
а) на данный момент нет никаких Windows 7-specific уязвимостей в силу малой распространенности оной;
б) за всю историю Windows не было ни единого случая заражения системы простым листингом файлов.
Переполнения были и в ICO компонентах, и в длинных именах файлов, и в нестандартных кодировках.
И всё это ломало explorer. Сомневаетесь?
Нате:
Инфа 100%
www.us-cert.gov/cas/techalerts/TA07-089A.html
In addition, animated cursor files are automatically parsed by Windows Explorer when the containing folder is opened or the file is used as a cursor. Consequently, opening a folder that contains a specially crafted animated cursor file will also trigger this vulnerability.
И не так это давно было.
Вы бы лучше показали эксплуатацию той мифической уязвимости, о которой говорится в посте.
Мной имелся в виду листинг .exe-файлов. Не было и нет таких уязвимостей, которые бы позволили запустить экзешник без желания на то пользователя простым «взглядом» на него через эксплорер. Ведь потерпевший заявил, что кроме экзешника в папке ничего не было.
0day для Windows 7, как я уже сказал, маловероятен в силу малой распространенности оной.
Всё-таки возможно, не так ли?
Вы понимаете, что имея переполнение в компоненте, связанном с отображением тех же самых ICO файлов, можно внедрить ICO файл в качестве иконки для исполняемого файла, и получить удар по печени в виде переполнения кучи при листинге тех самых exe файлов?
«за всю историю Windows не было ни единого случая заражения системы простым листингом файлов.» — вы хоть когда бред начинаете нести, поинтересуйтесь у гугла.
зиродеи для win7 вполне возможны хотя бы потому, что код каждой вынды не переписывается с нуля, а тянет часть кода с родиительских платформ, оттого и наличие общей, но ещё не пропатченной дырки теоретически впоолне возможно.
Суслика не видно, а он есть. Так то.
Я имел в виду данный конкретный случай и данный момент времени. Нет никаких данных об уязвимости, нет данных, чтобы такая или подобная этой уязвимость эксплуатировалась на данный момент в сети.
Делаем вывод, что простым листингом сейчас через Windows Explorer в Windows 7 запустить исполняемый файл нельзя. Повторюсь в n-ый раз — я уверен, что было что-то, что автор не заметил, когда скачивал и открывал этот плагин.
Еще раз повторяю, я имел в виду листинг .exe-файлов, что соответствует случаю, описанному в статье.
См. пункт № 1. У вас нет подтверждения, что существует баг, это лишь ваши догадки, которые вы выдаете за существующую уязвимость.
1. Скачанный с ThePirateBay'я plug-in для Photoshop'а. Далее по цепочке — инъекция даже не при запуске, а просто при отображении exe-файла установщика в Проводнике Windows Seven.
2. дело в ReadyBoost SDHC-карте, которая осталась от заражённой системы — в ней-то и остался кэш запущенных exe'шников.
Ключевые слова — кэш запущенных экзешников. Если данный плагин не запускался, то, исходя из всей предоставлнной информации, система была поражена еще ДО скачивания с пиратбэй. Вы не рассматривали такую возможность?
Сообщение направлялось к общей теме.
Смысл данного поста выше в следующем. При обнаружении вирусной атаки, относитесь с максимальным вниманием к системе и к своим действиям, взвешивайте каждое действие и оценивайте возможные последствия. И до тех пор, пока все механизмы действия вируса вам неизвестны, старайтесь осноситься к нему с особой серьезностью. Если нужно детальное подробное описание работы данного полиморфной заразы, могу описать, но, по имеющейся информации, радикального универсального средства борьбы с данной связкой Virut/Heur не существует и система остается макимально к ней уязвимой даже при включенном UAC и отсутствии прав администратора у пользователя. Описанный выше случай единичный, но не стсоит забывать о элементарных средствах безопасности в сети.
Лечится бдительностью при скачивании из P2P-сетей (клиенты позволяют просматривать содержимое раздачи), включением UAC (он бы сработал, когда человек зашел бы в папку со специально сформированными файлами desktop.ini и folder.htt), тем более, что это семерка и UAC там не такой навязчивый как в Висте.
«использовал критическую уязвимость в системе Windows Vista (Seven), заключающуюся в возможности запуска произвольного кода при обращении процеса explorer к папке, содержащей файл с вредоносным кодом», хотя кроме него эту уязвимость никто не видел. Мне как пользователю 7-ки интересно что это за уязвимость и как я могу её использовать)
Сам по себе Windows Explorer простым листингом файлов заразить систему ну никак не может.