IZONE - http://www.izcity.com/ - бесплатный софт, вэб-сервисы, ресурсы для раскрутки, свежие номера журнала "Internet Zone".

Ловля на живца или Жупел-3

Киви Берд

Я - живец. Живцом не рождаются, если не считать один французский роман, где все такие (по-моему, он даже называется "Мы все - живцы"). Едва ли стоит рассказывать, как я дошел до жизни такой, но дни Большой Охоты заслуживают несколько слов.
Роджер Желязны, "Врата лица его..."

Похоже, настала пора еще раз вспомнить об истории про "жупел грязный, безобразный", благо накопилась масса новых фактов и наблюдений о любопытнейшем шпионе-троянце, уже не первый год живущем в моем компьютере. Живущем вопреки всем попыткам его "низведения и укрощения" вплоть до замены жесткого диска. Собственно говоря, и "троянским конем"-то называть эту конструкцию уже некорректно, поскольку сейчас она занимает чуть ли не весь компьютер. Но давайте все же по порядку.

После довольно эмоционального, но малосодержательного обмена мнениями с нашим общенациональным антивирусным гуру Евгением Касперским прошло полтора месяца, в которые вместились следующие события. Примерно недели четыре я переписывался с экспертом "Лаборатории Касперского", прогоняя их тесты и подбрасывая собственные дилетантские наблюдения о странностях в железе и необычном поведении программ. На все мои доводы ответ был, по сути дела, один: "В boot-секторе ничего нет, а странности - просто сбой системы". В конце концов мне все же удалось напроситься на непосредственный анализ машины в "Лаборатории", но увы... И сам Евгений, и его сотрудники, слов нет, общались с назойливым клиентом предельно вежливо и доброжелательно, однако в глубину (типа нарушений в геометрии жесткого диска) залезать никому явно не хотелось, да и специалистов таких там, похоже, нет... Короче говоря, ничего интересного эксперты "Kaspersky Lab" в компьютере не нашли.

Поскольку я абсолютно уверен, что в машине сидит троянец-шпион, то пришлось принести в жертву удобства работы и отказаться от конфигурации, которая обеспечивала более-менее сносное функционирование ПК без регулярных зависаний и длительных online-пауз, в процессе которых из компьютера что-то со свистом утекало в Сеть. Стабильную работу обеспечивала такая конфигурация: на одном диске - Win98 для решения всех offline-задач, на другом физическом диске - BeOS для жизни в Интернете. Ради полного разделения систем винчестер c Be в параметрах BIOS был вообще исключен из конфигурации, а загрузка шла с гибкого диска. Правда, в такой идиллии жилось нам довольно недолго, поскольку вскоре загрузка с флоппи-диска проходить перестала, так что пришлось перейти на загрузку Be с CD-ROM. Разница здесь в том, что при втором варианте в качестве "внешних накопителей" у меня автоматом стала монтироваться шина IDE (IDE bus). Для чего, в общем понятно, - для выхода на второй, непримонтированный винчестер (на начальном этапе, кстати, система Be несколько раз зависала на загрузке при попытке "автоматического монтирования внешних дисков"). Поскольку монтирование IDE-bus не приводило к сколь-нибудь заметным потерям в стабильности работы, я с этим давно примирился, как с меньшим из зол (о том, как выглядят внешние признаки залезания из Сети в непримонтированный диск, рассказ чуть позже).

Но это все дело прошлое. После посещения "Kaspersky Lab" стало ясно, что растормошить наших спецов на настоящий поиск можно лишь в том случае, если позволить хозяевам троянца довести мой зараженный агрегат до абсолютно непотребного состояния. Однажды так уже было, но тогда еще была наивная надежда, что от всего излечивает замена винчестера. Проверено, не излечивает абсолютно. Зачем это кому-то нужно - столь настырно и тупо уродовать безобидный в сущности компьютер - отвечать не берусь. Но общее впечатление такое, что имеешь дело с монстром, который по-другому жить и функционировать просто не умеет.

Итак, ради отлова всех возможных признаков работы троянца был забыт на время диск с BeOS, для максимальной регистрации происходящего при работе в Интернете (и растягивания забавы, естественно) поставлен файрвол модели AtGuard и - вперед, в Сеть.

Первая же неожиданность - на едва открытый выход в Интернет тут же нахально и безо всякого спросу села программа KRNL386.EXE .

Причем не просто села, но и начала самостоятельно устанавливать какие-то соединения.

Когда AtGuard запретил внешние сношения для KRNL386, ее место тут же занял MP3-проигрыватель Winamp (которому, кстати, еще при инсталляции запретили соваться в Сеть). После нового запрета на этом же месте с ожидающими наготове процедурами nbsession, nbdatagram и nbname стали по очереди присаживаться программы Explorer.exe, Netscape.exe, RNAAPP.exe (удаленный доступ к сети) и т.п. Невзирая на запреты, при каждом установлении интернет-соединения первой непременно возникает одна из перечисленных программ с библиотекой NETBIOS.DLL и делает свое "listening", причем если разорвать соединение в какой-нибудь неподходящий момент, машина подвисает и выдает грозное предупреждение типа "Программа Kernel32 вызвала ошибку защиты памяти в модуле KRNL386.EXE по адресу ...". От заходов в Сеть то и дело виснет и AtGuard, ну а программа Kernel32 - это вообще особая песня, поскольку в памяти данного ПК всегда непременно сидят три экземпляра cистемной библиотеки KERNEL32.DLL (еще никто не сумел внятно разъяснить мне этот "сбой системы", неизменно всплывающий при каждой новой переустановке ОС).

Но вернемся в Сеть. Как и во всем прочем компьютерном хозяйстве, я ничего не понимаю в тонкостях работы сетевых протоколов, но вполне спокойно смотрю, когда при заходе на тот или иной сайт открываются десяток-полтора портов и по ним одновременно в мой ПК поступают пакеты данных. Однако, когда при заходе на вполне обычный информационный веб-сайт регулярно открывается десяток портов для того, чтобы каждый из них одновременно выдавал по полтора-три килобайта ИЗ моего компьютера - это представляется весьма необычным. Причем "залипать" открытыми такие порты могут и спустя пять-семь минут после ухода с данного сайта (на каждой из страниц я задерживаюсь обычно от 30 сек до 1,5 минут).

Анализ лог-файлов AtGuard, фиксирующего все соединения, - занятие особо любопытное для дилетанта (вообще-то, очень хочется, чтобы на все это счастье глянул, наконец, профессионал). В моем ПК разрешено выходить в Интернет только программе-браузеру (допустим, Opera) и только по протоколу HTTP, следовательно, в процессе сеанса лог-файл последовательно фиксирует все соединения, осуществленные браузером: когда и сколько байт принято-отправлено через какой порт или с помощью каких внутренних сервисов. Для этих "сервисов" номер порта не регистрируется, но выглядят они весьма любопытно (далее следует название "сервиса" и порт, через который он при каждом сеансе связи работает, что установлено анализом лог-файлов за несколько дней):

socks

1080

kpop

1109

phone

1167

Backdoor-g-1

1243

lotusnotes

1352

ms-sql-s

1433

ms-sql-m

1434

orasrv

1524

ingreslock

1525

coauthor

1527

tdisrv

1529

nsvt

1537

nsvt-stream

1570

Поскольку данные беспрепятственно качаются (внешние IP-адреса самые разные), значит, все эти "сервисы" по умолчанию подразумеваются принадлежащими браузеру Opera, работающему в протоколе HTTP. Замена браузера на Netscape нисколько не меняет картину и все эти "сервисы" успешно продолжают работать (правда, почти всегда очень скромно) каждый на своем порту.

Другими словам, потихоньку AtGuard явно "протекает". Но в течение часа работы он доблестно отражает по 20-25 в среднем (внешних и внутренних) попыток установления сношений с бессменно дежурящими на канале процедурами nbsession, nbdatagram и nbname. Вчера вот, к примеру, едва зашел мой задрипаный ПК в Сеть, как в его порты чуть не валом стали ломиться с Дальнего Востока (судя по DNS-адресам): Компьютерный центр Министерства образования Тайваня (140.118.197.71), Сеульский Сетевой информационный центр Кореи (211.172.202.173), китайский региональный провайдер CHINANET Shanxi (202.100.63.150) и далее в таком же духе. Во всех этих местах я сроду не бывал, а об их существовании узнал лишь по логам файрвола. В другие дни или часы это могут быть, к примеру, крупные европейские центры, но и без того очевидно, что "засвечиваются" лишь захваченные для атак платформы. А может и просто IP-адреса поддельные.

Еще одна интересная особенность. Ранее, уже рассказывалось, как однажды троянец вдруг совсем заглючил и в виде присоединений стал прилеплять копии исходящих писем к ним же самим, но в виде файлов с расширениями ZIP, MP3, DOC, JPG и т.д. Сейчас все такие копии практически в том же самом формате (добавился подсчет знаков сообщения да идентификатор стал полностью случайным) почему-то аккуратно укладываются в папку Windows/Temp/. Видимо, ожидают почтальона.

Все чудеса этого ПК не перечислишь, но еще об одном напоследок не рассказать просто невозможно. Как упоминалось в самом начале, винчестер с операционной системой Be не прописан в параметрах установок BIOS. Естественно, ни Windows, ни DOS этот диск видеть не должны (и не видели). Однако, поскольку по косвенным признакам было понятно, что и через Be из Интернета каким-то образом добирались до Windows-диска, то где-то должен был быть "буфер обмена". И вот недавно запустил я старинную досовскую утилиту PartInfo и она, к моему удивлению, вдруг увидела из DOS второй жесткий диск объемом 2,5 гигабайта. Как обычно для этого ПК, диск имеет нарушенную геометрию цилиндров и вообще выглядит довольно странно: общий объем 487 Мб, объем логических разделов - 967Мб и 1,5 Гб (что соответствует действительности).

Windows ничего по-прежнему не замечает, но нортоновская dos-утилита DiskEdit тоже вполне уверенно разглядела второй диск с двумя разделами под BeOS. Но более ничего. А вот наша небольшая программка PTS DiskEditor, сработанная в МФТИ-шной компании "Физтех-софт", увидела деталей поболее, хотя тоже не без странностей:

Что означает фраза "свободно 1,9T" я предполагать не берусь (хотя, экстраполируя общепринятые буквенные обозначения, можно предполагать "терабайты" :-), но зато щелкнув мышкой по этой надписи, можно попасть сразу в HEX-карту данного "свободного" раздела. А там пред нами предстает совершенно восхитительное зрелище:

Другими словами, качественный низкоуровневый дисковый редактор ни в какую не может считать здесь ни единого байта информации, что попутно подтверждается и долгим бесплодным урчанием механики, тормозящим все остальные функции. И данное поле бесконечных знаков вопроса уходит далеко-далеко во глубину таблицы...

Некоторые вопросы пришла пора, однако, задать и здесь.

Неужели никому из наших высококлассных спецов неинтересно, что за чудище живет в данной конкретной машине (и далеко не в ней одной, кстати говоря)?

Неужели все это похоже на "сбой системы"?

Неужели единственное, на что способны "знающие" читатели "Компьютерры" - это импотентная брань в дискуссионных форумах? (Сам я туда, честно говоря, не заглядываю по причине слишком унылого соотношения сигнал/шум, но, естественно, в курсе от корреспондентов по переписке.)

Итак, "кто смогет укротить"?

(А не то самому придется изучить материальную часть и, вопреки даосскому пути "у-вей", разнести всю эту халабуду вдребезги пополам... Вот сраму-то будет :-)

Источник: http://www.computerra.ru/

 


Copyright © "Internet Zone", http://www.izcity.com/, info@izcity.com