книги хакеры / журнал хакер / 207_Optimized

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

Наиболее приятное впечатление в этот раз произвел Qihoo 360 Total Security

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

8.2. Легкий дистрибутив, быстрое сканирование, наглядный интерфейс, минимальное количество рекламы, несколько антивирусных движков и актуальные компоненты дополнительной защиты. При этом он поздно увидел почтового червя, проигнорировал несколько вредоносных JS- и PHP-скриптов, а на любом предупреждении о фишинге показывает ссылку PayPal.

ГлавнымдостоинствомComodoможноназватьизолированнуюсредудлязапуска потенциально опасного кода. Она реализована очень явно и используется всеми компонентами CIS. Песочница помогает предотвратить заражение даже в тех случаях, когда вредоносный объект все-таки запускается. В остальном этот антивирус почти не радует. Он навязывает техподдержку GeekBuddy при каждом случае, пропускает на уровне сигнатурного анализа многие критические угрозы, заметно тормозит работу системы и даже не препятствует посещению фишинговых сайтов.

Panda Free стала полным разочарованием. Все вредоносные скрипты из тестового набора Panda проигнорировала. Часть зловредов она увидела, только когда ее ткнули в них носом, но вряд ли пользователь будет запускать вручную проверку кеша Edge. Даже сообщения «Панды» не отличаются информативностью, хотя кому-то это может показаться плюсом. Единственная задача, с которой хорошо справляется эта программа, — рекламировать свою платную версию.

Дополнительно мы проверили, как участвовавшие в тесте бесплатные антивирусы и встроенные средства защиты в Windows 10 определяют зараженные приложения для ОС Android. Краткий ответ — никак. Протрояненные файлы APK они сканируют и обычно определяют как чистые, вводя пользователя в заблуждение.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
											MALWARE
			df-xchan
w Click				to						m
w
	w								o
	.							.c
		p					g
								e

КАКЯ ЗАРАЖАЛ

WINDOWS

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

БЕЗ АНТИВИРУСА: ИСПЫТЫВАЕМ БАЗОВУЮ УСТОЙЧИВОСТЬ WIN 7 И WIN 10 К МАЛВАРИ

Денис Колисниченко [e-mail]

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

Все мы привыкли к мнению, что без антивиру-

w

o

.

g

.c

.

g

.c

p

p

df

n

e

df

n

e

-xcha

-x cha

са, а еще лучше Internet Security безопасная жизнь на винде невозможна. Хочешь обойтись без него — добро пожаловать на Linux или OS X. А так ли это

на самом деле? Проверим на практике! Подопытных систем у нас будет две: Windows 7, потому что она крутая и вообще респект ей, и Windows 10, потому что ее агрессивно продвигает Microsoft, всегда есть шанс на нее случайно обновиться :), да и, так или иначе, все равно пользователи винды на нее рано или поздно пересядут.

НАШ ПЛАН

Мы возьмем две чистые системы — Windows 7 SP1 и Windows 10 со всеми последними обновлениями, которые только будут найдены. Стандартные средства (вроде защитника Windows) будут выключены, сторонние антивирусы — не установлены. После этого будем открывать инфицированные документы и проверять улов. Для проверки будет использоваться не требующий установки сканер от Dr.Web (CureIt) — это гарантия того, что ни один антивирус не будет запущен в реальном времени.

НАЧИНАЕМ ИЗДАЛЕКА: СТАРЫЕ ВИРУСЫ

Однажды я разбирал свои архивы и очень удивился, когда увидел бурную реакцию современного антивируса на старые вирусы и даже asm-файлы. Понятное дело, что от asm-файлов ничего хорошего ждать не приходится :), но DOS-ов- ским вирусам-то за что досталось? Простая программистская логика подсказывает, что вирусы времен DOS — Windows 98 современной винде не страшны. Но проверим!

Я достал старый архив Live Viruses 3732 for Anti-Virus Testing и начал их запускать. Ничего не вышло — старые вирусы несовместимы с семеркой. Логика победила!

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
w Click											m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

Рис. 1. Старые вирусы не запускаются

Подобный тест в десятке проводить не стану — и так понятен его результат.

Промежуточный вывод

Cтарые вирусы новым системам не страшны. В антивирусных базах современных защитничков они присутствуют исключительно как балласт и дань традициям.

ПОСЕЩАЕМ НЕБЛАГОНАДЕЖНЫЕ САЙТЫ

Подобно Семену Семеновичу Горбункову, который искал неприятности на свой гипс, посещая всевозможные места, мы займемся тем же самым, но в виртуальном мире. В этом тесте ось будет со всеми апдейтами, в качестве браузера — Chrome, а вот антивируса не будет.

Для начала я стану щелкать по всем подряд рекламным баннерам. Chrome (для большей правдоподобности использую его, а не IE) помогает в обеспечении безопасности — он то и дело закрывает различные всплывающие окна, в одном из них как раз может быть вирус. URL специально затерт, дабы не делать бесплатной рекламы сайту.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Рис. 2. Блоки-

ровка всплывающих окон

Похоже, что от перехода по рекламным баннерам никакой вирус в моей системе не поселился. Поэтому пришлось искать списки сайтов, явно распространяющих вирусы. И такой список я нашел. Далее все просто: буду заходить на сайты из списка (не на все, а выборочно) — посмотрим, что из этого выйдет.

Вот что будет, если браузер направить на сайт, находящийся в «черном списке». Конечно, я проигнорирую предупреждение и зайду на этот сайт (а как же, ведь на нем есть интересующий меня контент — вирус). Обычного юзера, понятное дело, заинтересует другой контент, например серийник для какой-то программы.

Рис. 3. Совсем уж неблагонадежный сайт

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

После перехода на сайт всплывающие окна размножаются быстрее, чем кро-

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

лики (рис. 4). Браузер их блокировал, а я, в свою очередь, снимал блокировку :). Не знаю, инфицирован компьютер или нет, но Chrome повис намертво. Пришлось убить процесс. Ура! Троян HTML:Popupper-B оказался сильнее моего Chrome.

Рис. 4. Размножение всплывающих окон

Интересно, что Chrome ругается не на все вирусы из списка — то ли с определенных сайтов был удален вредоносный код, то ли их просто нет в базе Chrome. Был бы установлен антивирус, можно было бы сказать конкретнее.

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

Промежуточный вывод

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

После нескольких часов странствий в интернете я решил оценить улов и запустил сканер CureIt. Увы, все мои старания тщетны (рис. 5). Вирусов не найдено.

Рис. 5. Вирусов нет

ПРИЗЫВАЕМ НА ПОМОЩЬ РОДСТВЕННИКОВ

Родственники! Вот по-настоящему надежный источник! Несколько часов я серфил самые подозрительные сайты, пока не вспомнил про компьютер, который в основном используют жена с дочкой и на котором уже год как не установлен какой-либо антивирус.

Загружаю CureIt на него и жду, пока он просканирует все диски. Увы, результат такой же. Вирусов нет.

Промежуточный вывод

Родственники не помогли. Малварь пока не поймана.

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

ПРИЗЫВАЕМ НА ПОМОЩЬ КОЛЛЕГ:

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

КОЛЛЕКЦИЯ СВЕЖИХ ВИРУСОВ

Я кинул клич — и спустя несколько дней получил отличную подборку современной малвари (от 0 до 10 лет выдержки): 139 файлов, из них 118 инфицированных документов (doc и PDF), остальное — EXE.

В качестве офисного пакета будет использоваться Microsoft Office 2013 SP1 — не самая новая, но и не самая старая версия MS Office. Думаю, что далеко не все перешли на 2016, поэтому и рассматривать ее пока нет смысла. Обрати внимание, что Microsoft Office все-таки отягощен сервис-паком.

Методика следующая: сначала я буду открывать инфицированные документы Word, потом — PDF, а уже потом — EXE. После каждой группы файлов система будет проверяться с помощью CureIt (если, конечно, выживет).

Защитник Windows в Windows 10

Прежде чем начну, скажу пару слов о защитнике Windows в десятке. Фича не новая — она есть и в семерке. Но вот в десятке это, похоже, полноценный антивирус. Сначала я забыл отключить в Windows 10 встроенный антивирус — защитник Windows. На удивление он отлично отработал (как выяснилось, в семерке он тоже был включен, но никаких уведомлений от него я не получал), см. рис. 6 и 7.

Рис. 6. Защит-

ник Windows

обнаружил

вирус

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Рис. 7. Параметры защитника Windows

Потом для чистоты эксперимента пришлось отключить штатный антивирус и заново распаковать архив с вирусами — некоторые антивирус уже успел уничтожить. Самое интересное, что после перезагрузки защита снова включается, хочешь ты этого или нет. Поэтому при написании статьи (когда дело дошло до EXE-файлов) случился небольшой конфуз. После успешного инфицирования десятки я запустил CureIt, но он работал настолько медленно (ведь параллельно оставались запущенными десятки вирусов), что мне пришлось перезагрузить комп. А после перезагрузки обнаружилось, что вирусов нет. Куда они подевались? Штатный антивирус успел их обезвредить, пока я отлучился от компа.

После повторного инфицирования пришлось действовать очень быстро и сразу после загрузки винды выключить антивирус, который включается «до- бровольно-принудительно». Для тех, кто хочет отключить его полностью, — нужно отключить его службу.

hang

e

hang

e

C

E

C

E

X

X

-

d

-

d

F

t

F

t

D

i

D

i

r

r

P

NOW!

o

P

NOW!

o

BUY

BUY

to

to

w Click

m

w Click

m

w

w

w

o

w

o

.

.c

ДОКУМЕНТЫ MICROSOFT WORD

.

.c

p

g

p

g

df

n

e

df

n

e

-xcha

-x cha

Инфицировать систему документами Microsoft Word не выйдет, если не включать макросы. На рис. 8 показано типичное содержимое такого документа — мол, контент не виден, пока не включите макросы. По умолчанию выполнение макросов отключено.

Рис. 8. Открыт инфицированный документ

Что произойдет, если пользователь нажмет кнопку «Включить содержимое»? На его компьютере поселится вирус. На поверхностный взгляд, конечно, ничего заметно не будет. На рис. 9 еще один пример инфицированного документа. На этот раз документ предлагает включить редактирование документа и даже «заботливо» предоставляет необходимые инструкции.