Жанр: Учеба
Большой справочник по компьютерным вирусам
...каталоге таких файлов, как
MSDOS.SYS или IO.SYS. Причина заключается в том, что, как теперь
знает почти каждый пользователь MS-DOS, атрибут "невидимый файл"
(Hidden file)" предотвращает вывод этих имен в каталоге. Теперь
имеется много программ - отчасти даже сервисные программы MS-DOS,
с чьей помощью каждый пользователь может изменять атрибуты и
- 60 -
редактировать даже "невидимые файлы". Таким образом, атрибут
"невидимый" потерял защитные функции из-за распространения информации
о нем.
Очень многие изготовители до сих пор считают, что программа
защиты действительно хороша лишь в том случае, если не известен
принцип ее действия. Чаще всего при этом не понимают, что скрывать
принцип действия, а следовательно, и обеспечивать функции
защиты можно лишь временно.
Функция защиты должна быть такой, чтобы можно было без опаски
обнародовать принцип ее действия, а потенциальный злоумышленник
должен сразу понять безнадежность любой попытки ее обхода, и
потому отказаться от этой попытки.
Эта точка зрения, однако, до сих пор не признается фирмами,
производящими программное обеспечение. Защита данных и сегодня
еще во многом базируется на неосведомленности пользователя.
Лишь несколько примеров:
FIBU защищен паролем. В шестнадцатиричном дампе программы,
пароль расположен непосредственно за словом "пароль:". Кроме
того, все данные могут быть выведены на экран при помощи команды
TIPE.
Система баз данных не позволяет осуществить прерывание программы
на этапе проверки записи о защите авторских прав. При переадресации
INT 5 на собственную программу прерывание становится
возможным.
Защита от копирования предотвращает проведение отладки путем
"переадресации" указателя прерывания. После "обратной
переадресации" указателя отладка становится возможной.
4. Современное состояние исследований в области
программирования вирусов
Исследовательские организации обычно проходят либо мимо этих
проблем, либо там все так секретно, что работающие там сами не
знают, чем занимаются.
Для государственных учреждений (министерства научных исследований
и т.д.) справедливо то же, что и для исследовательских
учреждений.
Остается еще промышленность, которая, однако, тоже неохотно
открывает карты.
Поэтому обратим взгляд на хакеров, которые пока не боятся
публично касаться острых тем (иногда рискуя при этом пострадать).
4.1 Chaos Communicayion Congress. Декабрь 1986
Ежегодный конгресс гамбургского ССС (Хаос Компьютер Клаб)
состоялся в 1986 году под девизом "компьютерные вирусы". Там
собрались от двухсот до трехсот программистов и других заинтересованных
лиц, чтобы ознакомиться с новейшими результатами в области
защиты данных. Среди них находились также некоторые программисты
- по словам организаторов, около двадцати - с практическим
"вирусным опытом".
Как пришли к этому мероприятию, представляющему нечто новое
в области симпозиумов? Вот что по этому поводу говорят организаторы:
"Хотя публикации в специальных журналах должны были способствовать
пониманию потенциальной опасности вирусов разработчиками
операционных систем, системного и прикладного программного обеспечения,
на практике все не так. Фирмы по производству системного
программного обеспечения не понимают и не хотят понимать
проблемы. Осознание того, что необходима информация об опасности,
до сих пор отсутствует. Напротив, упущенная промышленностью и
торговлей по беспечности информация способствует повышению потенциальной
опасности.
Таким образом, большая часть пользователей персональных ЭВМ
в промышленности, торговле и бытовом обслуживании, а также все
частные пользователи получают незащищенные разработки.
Поэтому ССС вынужден был посвятить Chaos Communication
Congress 1986 "компьютерным вирусам". Только публичная дискуссия
может способствовать осознанию необходимости таких разработок и
обобщению сведений о последствиях, воздействии и возможностях
защиты."
C этой же целью февральский выпуск "Датеншлейдер" - центральный
орган ССС - поместил наглядные результаты своих исследований.
В этом выпуске опубликованы сведения и результаты дискуссий.
"Ущерб и/или польза от вируса зависит от разработчика и
распространителя вируса. Хотя основной причиной "мести" являются
плохие социальные условия программистов, однако готовности злонамеренного
использования вирусов способствуют также зависть, недоброжелательность
и собственная слабость".
История показывает, как опасно исключать обсуждение проблем
безопасности из открытых дискуссий."
"... участники конгресса ожидали получить рекомендации публичной
дискуссии относительно риска, связанного с новыми технологиями."
Возможные выводы организатора. В рамках дискуссии, которую
пришлось прервать из-за грозящей опасности, прийти ко всеобщему
соглашению невозможно. Следующие далее цитаты покажут, насколько
различны были мнения участников:
"Я проклинаю тот день, когда я купил винчестер".
"Такие мероприятия, как ССС'86, ничего не изменят в работе
ЭВМ. Они скорее позволяют осознать значение своих поступков."
"Проблема заключается не в компьютерных вирусах, а в катастрофах,
возникающих из-за зависимости от технологий".
"Вирус хорош тогда, когда разработчик вируса не может создать
антивирус".
В то время как дискуссия о преимуществах и недостатках обнародования
вирусов еще продолжалась, неподалеку уже копировались
представленные там совершенно безобидные демонстрационные вирусы.
Вся дискуссия освещалась представителями прессы, которые не всегда
чувствовали себя таковыми. Создавалось впечатление, что программисты
в рекламных целях должны идти на правонарушение или
оправдание использования вирусов: "Считаете ли вы законным использование
вирусов в государственных организациях в крайнем
случае?"
Звучали также вопросы об исходных текстах "строгих" вирусов.
Однако на эти и аналогичные вопросы каждый участник должен был
ответить сам. Слишком различны были мнения. Некоторые углублялись
в технические подробности и беседовали об этом с авторами.
Эти участники предпочли бы обсуждать только теоретические проблемы,
чтобы не получили распространения детальные сведения, что,
в свою очередь, предотвратило бы распространение вирусов подражателями.
В заключение почти все сошлись на том, что "стремление из
всего делать тайну" способствует распространению вирусов, поэтому
следует сделать все, чтобы обратить внимание общественности на
эту проблему. Эту похвальную цель до сих пор и преследовал ССС.
4.2 Хакеры в 1987 году
Большой успех Chaos Communication Congres побудил ССС организовать
в апреле симпозиум по вирусам. Большие новости здесь,
конечно, не обсуждались, что не в последнюю очередь объясняется
чрезвычайно пестрым составом участников - от начинающих пользователей
С64 до профессионалов, работающих на ВАКСе. Это определило
основное направление симпозиума - передача сведений.
Краткое обобщение результатов симпозиума:
Б. Фикс представил свою защиту на основе криптографии.
Слухи о том, что GMD (Общество математической обработки
данных) - любимое детище министра Ризенхубера) на персональных
ЭВМ появились вирусы и пошли по кругу, как почти всегда, все
носители были стерты и отформатированы в надежде на то, что это
предохранит от поражения вирусами. Таким образом, здесь также
была упущена возможность выяснить, что же, собственно говоря,
произошло.
М. Валлен изготовил свой Паскаль-вирус номер один и опубликовал
его в почтовом ящике, однако ответственные (или боязливые)
системные операторы очень быстро удалили его. Читатель может
увидеть изображение этой программы в разделе 10.2.
Затем симпозиум ССС по вирусам в апреле. В узком кругу в июне
еще раз обсуждались новые работы в этой области. В обсуждении
участвовали М.Валлен, С.Вернери, Б.Фикс, Р.Бургер. Обсуждались
как подходы к полезному использованию вирусов, так и возможности
защиты.
Б. Фикс посетовал о потере права доступа к ЭВМ высшей школы
после того, как новый супервизор обнаружил источник вирусов,
который, как назло, был очень хорошо задокументирован. Профессор
Браунштайн (Гамбургский университет) хотел использовать этот
повод для продолжения своей работы на Гамбургской системе. К
сожалению, эти намерения провалились - как хорошо было сказано -
из-за проблем организации.
Далее участники обсуждения смогли рассмотреть резидентную в
памяти версию криптографической программы Б. Фикса, которая предотвращает
распространение вируса путем преднамеренного образования
несовместимости. Дискуссия завершилась темой, достаточно
далекой от исходной, - теоретическим обоснованием концепции биологической
ЭВМ для учебных целях.
На Chaos Communication Congress 1987 проблемам компьютерных
вирусов было уделено существенно меньше внимания, чем в предыду-
щем году. Хотя и были представлены некоторые новые вирусы (в том
числе, так называемый пластичный вирус и программа-вирус для
Атари), однако основное внимание было направлено не на продолжение
программирования вирусов, а на анализ конкретных случаев.
4.3 Попытки установления контактов: официальный собеседник
Что делает сознательный программист, который узнает, что
программы-вирусы распространяются не только на больших, но и на
персональных ЭВМ? Он предоставит свои сведения всем тем, кто
может или должен этим заинтересоваться. То же сделал и автор. Так
как он предполагал, что кроме промышленности, в информации на
тему вирусов нуждаются также и государственные учреждения, Федеральное
министерство исследований и Федеральный уполномоченный по
защите данных получили в августе 1986 года письмо следующего
содержания:
Дата: 24.8.86
Многоуважаемые дамы и господа,
в последнее время в прессе часто упоминаются так называемые
компьютерные вирусы, причем ни один конкретный вирус не был описан.
Поэтому я рад Вам сообщить, что мне удалось создать работающий
под операционной системой MS-DOS вирус (т.е. на ЭВМ IBM PS,
XT, AT и совместимых), и по моим сведениям это единственная существующая
в Германии программа-вирус. Таким образом, доказывается
правильность "теории вирусов" и возможность использования "вирусов"
в малых и средних вычислительных системах.
Так как мой "вирус" наверняка не останется единственным, так
как я знаю аналогичные разработки в других Федеральных Землях, не
следует недооценивать опасность для всех систем обработки данных,
начиная с бытовых ЭВМ. Если не будут своевременно приняты соответствующие
защитные меры, последствия для внутренней и внешней
безопасности, а также для исследований и разработок в ФРГ могут
быть непредсказуемыми.
Разумеется, я готов помочь Вам при разработке защитных мероприятий.
Я надеюсь, что смогу быть Вам полезным. Подробности
можно будет обсудить в личной беседе, к которой я готов в любое
время.
С наилучшими пожеланиями
(Ральф Бургер)
Это письмо привело получателей в состояние шока. BMFT потребовалось
около шести месяцев, чтобы составить ответ. Федеральный
уполномоченный, видимо, до сих пор не оправился от шока, так как
ответа до сих пор нет.
Столь долго ожидаемое письмо BMFT имеет следующее содержание:
Многоуважаемый господин Бургер,
Большое спасибо за Ваше письмо. Прошу извинить за задержку с
ответом.
Вопреки Вашим предположениям мы уже давно располагаем подробной
информацией о вирусах любого типа, о технике их создания и
помещения в вычислительные системы любой мощности.
В соответствующих исследовательских организациях ФРГ и в
промышленности предпринимаются усилия по разработке мер защиты и
согласованию их с конкретными условиями.
С наилучшими пожеланиями.
По поручению
Др. Нидерау
Такое письмо, естественно вызвало у автора встречные вопросы,
которые инициировали многомесячную бессодержательную переписку,
приводить которую не имеет смысла. Обобщая, можно прийти к
выводу, что уже много лет - в тайне от общественности - разрабатываются
исследовательские проекты, посвященные вирусам. Об этом
говорит тот факт, что, несмотря на многомесячную переписку, у
представителей министерства не появилось желания ознакомить автора
с содержанием работ.
Совершенно иначе повел себя Баварский Земельный уголовный
розыск, представитель которого - господин Пауль, известный своими
публикациями в различных специальных журналах, благодаря своим
тесным контактам с Баварскими хакерами очень быстро понял, что
ситуация в области компьютерных вирусов может привести к большим
потерям и при использовании персональных ЭВМ. Там с
благодарность восприняли информацию автора, доложенную на семинаре.
Р. Дирштайн констатировал в сентябре:
"Разумеется, в любой момент можно создать вирусы для любой
операционной системы. Особенный интерес представляет возможный
системный уровень их использования и полномочий, с которыми вирусы
могут быть помещены в систему. Исключительный интерес представляют
все постановки задач, позволяющие обнаруживать вирусы в
системах. Вероятно, было бы полезно побеседовать об этом."
К сожалению, эта беседа до сих пор не состоялась.
Плодотворное сотрудничество развивается между автором и технологическим
отделом университета в Брауншвейге, руководитель
которого, господин доктор-инженер Венцель, хотя и не предоставил
автору доступа к университетским ЭВМ (что не следует воспринимать
как обиду), использовал информацию, доложенную автором на небольшом
семинаре, для разработки защиты на системах оптической памяти.
Здесь следует упомянуть также, что часть участников семинара
заявила достаточно резко, что публикации о вирусах являются общественно
опасными и преступными.
В заключение автор - после нескольких тщетных попыток - установил
контакт с ССС. (Некоторые читатели интересуются, почему ССС
упоминается как общественный компаньон. Так как ССС пока не является
коммерческим компаньоном, он классифицируется таким
образом). Свою компетентность в области "концентрации информации"
клуб доказал при организации Chaos Communication Congress , так
как все, кто к этому времени имел какое-либо отношение к вирусам,
контактировали с ССС (хотя они работали при закрытых дверях).
Выводы: по крайней мере BMFT, задача которого, собственно и
заключалась в защите информационных потоков, своей цели не достигло.
Тот, кто видит, в каких условиях работают молодые полные сил
ученые и, напротив, на какие преждевременно устаревшие проекты
(например, изучение земного излучения) тратятся финансовые средства
BMFT, не желая больше терпеть отставания своей страны в
технической области.
4.4 Секретные исследования?
Не только приведенные выше письма BMFT позволяют сделать
вывод о том, что в области исследования компьютерных вирусов
делается больше, чем об этом сообщается. Достаточно немного подумать,
чтобы понять, что ни государство, ни крупное промышленное
предприятие не может исключить возможность "поражения вирусом".
Поэтому результаты исследовательских работ, которые до сих пор
засекречиваются, должны быть использованы для создания надежной
системы защиты и для ее проверки.
Автор располагает информацией из хорошо осведомленных источников,
что такие секретные исследования существуют. Из соображений
безопасности лиц, предоставивших информацию, следующие высказывания
приведены без указания имен.
Что Вы думаете о деятельности хакеров в области компьютерных
вирусов?
"Проблемой компьютерных вирусов занимаются не только так
называемые хакеры. К тому же эти люди определенно не представляют
большой опасности."
Как Вы думаете, насколько велика "опасность вирусов" в действительности?
"Только подозрение о наличии "вируса" в вычислительной системе
может сделать ее бесполезной, так как соображения техники
безопасности запрещают работать с такой системой. Подозрение, что
кто-то мог получить секретную информацию, может привести к невозможности
дальнейшей работы с этой информацией, так как последствия
могут быть непредсказуемыми".
Считаете ли Вы возможным восстановление пораженной системы?
"При исследовании пораженной системы, вероятно, будет найден
вирус. Но был ли он единственным? Сохранилась ли опасность? Что
теперь делать с Вашими резервными копиями? Что Вы хотите исследовать?"
Видите ли Вы возможность защиты вычислительных систем от
вирусов?
"Уже имеется предложение удалить из системы все устройства
внешней памяти, на которые возможна запись".
Что Вы думаете о публикациях на тему компьютерных вирусов?
"Мне кажется, что больше всего об этом говорят те, кто меньше
всего в этом понимает. От людей, которые действительно что-то
понимают в компьютерных вирусах , Вы мало что услышите, так как
эти люди задумываются, стоит ли вообще все это обнародовать. Не
обязательно ведь писать инструкцию по использованию".
Последнее высказывание является, пожалуй, основным во всем
тексте, так как здесь подтверждается то, о чем мы лишь догадывались.
Исследование большого промышленного предприятия, на котором
заботились о максимально возможной защите, привело к следующим
результатам. Они относятся к большим ЭВМ:
- для предотвращения обработки программных библиотек следует
использовать защиту от записи;
- следует постоянно проводить сравнение между исходным и
текущим состоянием программного обеспечения;
- любое вновь устанавливаемое программное обеспечение следует
заносить в архив для целей сравнения;
- информацию о программном обеспечении и о мерах защиты сле-
дует держать под замком;
- регулярно следует беседовать с ответственным за систему для
целей мотивации;
- проверять доступ к ЭВМ всего персонала, не относящегося к
данному предприятию;
-программное обеспечение, разработанное не на данном предпри-
ятии, следует проверять перед использованием.
Как видно, за закрытыми дверями задумываются о вирусах, в то
время как публично заявляют о безобидности этих программ.
5. Смириться с опасностью?
От специалиста по безопасности автор получил на этот вопрос
такой ответ: "Законы нарушаются повсюду. Унесет ли служащий шоколадной
фабрики плитку шоколада, производится ли
нелегельно плутоний
или внедряется в ЭВМ вирус - со всем этим нам жить. И у нас
получается это, собственно говоря, неплохо".
Так как до сих пор не существует стопроцентно-надежной и
практически признанной защиты от компьютерных вирусов, нам остается
лишь всегда быть готовыми к тому, что наша работа с устройствами
электронно обработки информации может закончиться каким-нибудь
неприятным сюрпризом. Однако промышленность у нас
терпеливая, она, очевидно, ожидает, пока что-нибудь случится,
чтобы сказать затем, что все равно ничего не изменилось бы. К
счастью, постепенно отношение к этой проблеме изменяется. Насколько
медленно это происходит, показано ниже.
5.1 Высказывания на тему вирусов
Чтобы помочь читателю составить впечатление от дискуссии на
тему компьютерной преступности, мы представим слово специалистам,
которые хорошо знакомы с предметом. Одно из высказываний, несомненно
принадлежит уголовному розыску, который уже в течение длительного
времени обобщает компьютерную преступность, основываясь на
большом числе применеий ЭВМ и учитывая многочисленные потенциальные
возможности несанкционированной обработки. Здесь опередил
всех административный аппарат южных Федеральных Земель
Республики. Господин Пауль, первый комиссар уголовной полиции и
руководитель специального отдела 41 Баварского Земельного уголовного
розыска, был настолько любезен, что ответил на несколько
вопросов:
1. В настоящее время обсуждать проблемы "компьютерных виру-
сов" можно лишь с так называемыми хакерами. Поэтому в разли-
чных специальных журналах "хакеры" многократно упоминаются
в связи с программами-вирусами и с преступной обработкой
данных. Считаете ли Вы, что "хакеры" потенциально опасны?
"Для меня хакеры - это любители, занимающиеся в свое свободное
время вычислительной техникой, ничем принципиально не отличаются
от радиолюбителей. При этом они должны соблюдать действующие
законы.
У меня нет оснований считать, что эта группа лиц более криминогенная,
чем об этом говорят средние статистические данные.
Напротив, я считаю их более умелыми и прилежными, они обеспечивают
внедрение ЭВМ в наше хозяйство и общество.
Опасность возникает в том случае, если их специфическими
знаниями воспользуется преступник или группа преступников".
2. По роду своей профессиональной деятельности Вы ежедневно
сталкиваетесь с компьютерной преступностью. Известны ли Вам
случаи несанкционированной обработки данных в вычислительных
системах, в которых использовались так называемые компьюте-
рные вирусы или в которых можно подозревать их
использование?
"Нет".
3. Обычно бывает трудно привести конкретные доказательства
несанкционированной обработки данных. Как Вы думаете, высоки
ли показатели в этой области?
"Да".
4. Для того, чтобы прибегнуть к страховой защите в случае
ущерба из-за вредительского программного обеспечения, обычно
необходимо назвать виновника ущерба. Что Вы посоветуете
пользователю, который заподозрил, что его вычислительная
система поражена вирусом?
"В этом случае следует заявить органам власти о готовящемся
преступлении".
5. Из-за повышения уровня образования в области ЭВМ посте-
пенно перестают работать имеющиеся средства защиты от несан-
кционированной обработки данных, основанные на незнании
пользователя. Как оцениваете Вы дальнейшее развитие событий
в области компьютерной преступности вообще и в области прог-
раммирования в частности?
"Все увеличивающееся проникновение ЭВМ в хозяйство и управление,
а также растущее число пользователей делает неизбежным
рост случаев злоупотреблений.
Эта ситуация требует проведения квалифицированных защитных
мероприятий. Так как они не могут быть сплошными, в качестве
предупредительных мер защиты необходимы уголовно-правовые и гражданско-правовые
санкции. Согласно предписаниям 2. WIKG (Закон
против хозяйственных преступлений, прим. редактора) законодатель
определяет необходимые штрафные санкции. Реализация этих законоположений
является задачей органов дознания. Решение этой задачи
требует проведения серьезных организационных и кадровых мероприятий.
Для пользователей ЭВМ необходимо, чтобы осознание безопасности
переросло в осознание зависимости от ЭВМ".
Те же и аналогичные вопросы были поставлены представителям
области защиты данных. Например, владельцам большого страхового
общества, которое, в том числе, страховало и от компьютерных
злоупотреблений (см. 8.5):
Что Вы думаете о так называемых хакерах?
"С "хакерами" мы всегда связываем нечто негативное, так как
они получают доступ к данным, к которым они не вправе его иметь.
Для нас это означает, что техническими средствами от хакеров
защищаться нельзя. Следует учитывать также возможность подсаживания
хакерами вирусов. Эта опасность со стороны хакеров оценивается
нами как растущая. Рост этой опасности обусловлен возможностью
внедрения в вычислительную систему по сети".
Что Вы думаете о появившихся публикациях на эту тему?
"Имеющиеся публикации о компьютерных вирусах достаточно
тревожны. Не потому, что они исходят от хакеров, а потому, что
они вызывают страх, так как пользователь ничего конкретного из
этих публикаций не узнает. В этих публикациях отсутствуют или
недостаточно ясны ответы на вопросы, касающиеся конкретной системы
пользователя".
К вопросу 2.
"Нет".
К вопросу 3.
"Да. Имущественный ущерб, наносимый при помощи ЭВМ, нам известен,
если при этом речь идет о страхователе. Однако, до сих пор
об этом редко заявляли в полицию. Поэтому, хотя полиция и может
исходить из того, что сообщенные цифры верны, реальное число
случаев существенно больше.
Что случилось бы с банком, о котором стало известно, что там
осуществлена несанкционированная обработка данных при помощи ЭВМ,
или, если бы заподозрили хакеров в том, что кто-то посторонний
имеет доступ к ЭВМ? Кто бы принес туда свои деньги? Понятно, что
такого типа ущерб не афишируется".
Имеется ущерб, который распознается, но не заявляется, бывают
также случаи, когда ущерб имется, но не распознается. Как Вы
думаете, каких случаев больше?
"Чисто субъективно я сказал бы так: больше случаев, когда
ущерб распознается, но не заявляется; это делается вполне осознанно.
Точно так же, например, редко заявляют о сотруднике,
который, уходя из мастерской, прихватил с собою дрель."
К вопросу 4.
"Так как до сих пор мы такого ущерба не понесли, определенного
мнения на этот счет у нас нет. В принципе можно сказать, что
защитные мероприятия необходимо контролировать.
Сам я пришел к выводу, что, собственно говоря, следовало бы
заменить новой всю систему.
С точки зрения техники можно сказать следующее: как только
появилось подозрение, следует сообщить об этом в страховое агентство,
так как страхуются лишь те убытки, которые появились не
ранее, чем за два года до заявления."
К вопросу 5.
"Компьютерная преступность, несомненно, растет. Это связано
со все большим распространением ЭВМ.
Так как до сих пор мы не сталкивались непосредственно с
компьютерными вирусами, мы хотим подождать до первого их проявления.
Потенциальная опасность вирусов, н
...Закладка в соц.сетях
