2× DVD - Vitajte na stránkach www.einsty.hostujem.sk

P R O G R A M U J E M EVírusový radarJe tu zaèiatok nového roku a v tomto èase je zvykom zhrnú, èo významné sa v uplynu−lom roku stalo. Zhrniem to do jednej vety. Minulý rok bol z h¾adiska vírusových infiltráciínajbúrlivejší v doterajšej histórii. Kadý mesiac (azda s výnimkou apríla) sa objavila maso−vá epidémia internetového èerva (alebo vírusu). Som zvedavý, ako to bude tento rok.Ïalším prelomom je, e infiltrácie ako trójske kone, zadné vrátka a iné zaèali tvori avyuíva nielen „uhrovití asociálni adolescenti“ vo vyahaných svetroch, ale aj elegantnídrsní chlapíci s tmavými okuliarmi v drahých oblekoch. Ide konkrétne o agentov FBI, naktorých sa prevalila práca na projekte Magic Latern a pouitie jedného z výsledkov tohtoprojektu, trójskeho koòa Malantern. Nu teda fakt neviem, èo si mám o tom myslie. Niesom zástancom hesla, e úèel svätí prostriedky. Bude to jeden z dôsledkov nešastnéhoteroristického útoku na New York, e vláda USA si môe dovoli aj veci, ktoré by predtýmasi neprešli. Vedúce firmy amerického (teda aj svetového) antivírusového priemyslu NetworkAssociates a Symantec sa poponáh¾ali s lojálnym uistením, e ich produkty (VirusScan aNorton AntiVirus) tohto „vládneho“ trójskeho koòa nebudú zachytáva ani hlási a odstraòo−va. Predpokladám, e ich to neskôr mrzelo. Ani ten najviac narcisticky do seba zah¾adenýAmerièan nemôe dúfa, e napríklad Európan bude pokojný pri pomyslení, e sa mu v úda−joch na disku hrabe FBI (v tomto svetle je ve¾mi zaujímavá informácia, ktorú nájdete v záve−re opisu èerva Badtrans). Na internete sa zaèalo diskutova o novom nebezpeèenstve v sú−vislosti s pouívaním amerického softvéru cudzincami: o nebezpeèenstve straty súkromiapred vládou inej krajiny. Výsledkom toho boli vyhlásenia zástupcov viacerých neamerickýchantivírusových firiem, e takýto trójsky kôò a jemu podobné dielka tajných sluieb, èi uprídu z Èíny, Izraela, Nigérie, Fidi, alebo èojaviem odkia¾, budú ich produktmi zachytené aoznámené. Ach, nebude a nebude pokoj na tomto svete! Tak aspoò pripomeniem akciu,ktorá patrí k tým príjemnejším stránkam ivota poèítaèovej komunity.Pätnásteho a šestnásteho decembra sa konal ïalší roèník kultovej akcie Demobit, ktorúzorganizovala skupinka ¾udí zo Satori v spolupráci so Starým divadlom v Nitre. Okremklasického programu súaí a prezentácií demotvorby sa uskutoènili aj ve¾mi zaujímavékoncerty „hudobných projektov“ Abuse a Poo, sprevádzané vizuálnymi projekciami.Momentka pribliujúca trochu atmosféru tohto podujatia je na obr. 1. Tak a teraz poïmek najvýznamnejším infiltráciám minulého mesiaca.WIN32/BADTRANS.29020.A. (alias W32.Badtrans.B@mm, W32/Badtrans−B,I−Worm.BadtransII)Je ïalším významne prepracovaným variantom èerva WIN32/Badtrans. Šíri sa akosúbor v prílohe správ elektronickej pošty. Pouíva známy trik s dvojitou príponou, kdeprvá prípona súboru je .DOC, .ZIP alebo .MP3 a druhá, ktorá v niektorých konfiguráciáchsystému nie je vidite¾ná, je .SCR alebo .PIF. Meno súboru môe by jedno z nasledujúcich(niektoré aj vo variante so všetkými ve¾kými písmenami): Pics, images, README, New_Napster_Site, info, news_doc, HAMSTER, YOU_are_FAT!, stuff, SETUP, Card, Me_nude,Sorry_about_yesterday, docs, Humor, fun, SEARCHURL, S3MSONG.Subjekt správy je buï prázdny, alebo je ním reazec RE:, prípadne ešte nasledovanýsubjektom vybraným z nejakej správy v Inboxe. Adresa odosielate¾a môe by reálna alebofalošná a adresu prijímate¾a èerv získa buï cez MAPI z Inboxu, alebo preh¾adávaním súbo−rov *.HT* alebo *.ASP.Aby èerv neposlal e−maily dvakrát, uschováva si potrebné dáta v súborePROTOCOL.DLL a pred odosielaním e−mailov ich kontroluje.Telo vírusu je v systémovom adresári Windows (bene \windows\system) pod menomKERNEL32.EXE. V registroch zabezpeèí svoju aktiváciu pomocou k¾úèa:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceKernel32=kernel32.exe.Èerv nainštaluje na infikovaný systém trójskeho koòa, ktorý zaznamenáva stláèané klá−vesy do súboru KDLL.DLL a ten potom odošle na jednu z adries z interného zoznamu. Logo akciách sa zaznamenáva do súboru s názvom CP_25389.NLS.Pozastavme sa pri zmienke o zasielaní súborov so záznamom o stláèaných klávesochna isté adresy. Pre menej znalých veci podotýkam, e tento záznam môe by vyuitý nazistenie prístupových hesiel a podobných utajovaných informácií. To, e trójsky kôònaozaj fungoval, dokazuje štatistika emailového konta suck_my_prick@ijustgotfired.com,ktoré bolo pravdepodobne autorom èerva vytvorené na serveri sanfranciského poskyto−vate¾a internetových sluieb MonkeyBrains. Prvé e−maily s údajmi od èerva zaèali prichá−dza sedem minút pred pol štvrtou popoludní 24. novembra a ich tempo sa zvyšovalo ana stovku za minútu. Vzápätí, samozrejme, server stopol konto pre prekroèenie limitu, aleprichádzajúce e−maily zálohoval. V prvý deò sa tam ocitlo vyše stotisíc súborov s údajmia celkový poèet sa odhaduje na dva milióny. Ešte raz, aby ste si to vychutnali: PrivátneObr. 1údaje o èinnosti dvoch miliónov ¾udí èerv odoslal na zmienený server. Najzaujímavejšie je,e o tieto súbory prejavila eminentný záujem FBI. Tieto súbory toti neobsahujú iadnuinformáciu o pisate¾ovi èerva, ale výluène privátne údaje jeho obetí. Naèo to potrebova−li? Netrúfam si háda. Ak sa vám èerv v poèítaèi aktivoval a bojíte sa, e ste medzi tými,o ktorých sú údaje teraz v San Franciscu, skúste sa vyh¾ada vo verejnej databáze obetí,ktorú ¾udia z MonkeyBrains vytvorili a dali k dispozícii verejnosti. Vïaka im za to.Nachádza sa na adrese https://badtrans.monkeybrains.net/. Pozor, opíšte presne „https“.WIN32/GONER.A. Šíri sa e−mailom so subjektom Hi a v tele správy je text:How are you ?When I saw this screen saver, I immediately thought about youI am in a harry, I promise you will love it!Vlastný èerv je ukrytý v prílohe Gone.scr.Pri spustení zobrazí okno s nápisom Pentagone a textom o autorovi a testeroch, napozadí ktorého je zobrazovaný efekt ohòostroja. Aktiváciu si zabezpeèí pomocou re−gistrácie súboru Gone.scr nachádzajúceho sa v systémovom adresári Windows do k¾úèaHKLM\Software\Microsoft\Windows\CurrentVersion\Run v registroch. Nakoniec vypíše fa−lošné chybové hlásenie: „ErrorWhile Analyze DirectX!“Èerv vypína a mae niektoré programy, ako napríklad osobný firewall Zone Alarm, asnaí sa šíri aj ako skript ICQ. Na odstránenie èerva zmate záznam o súbore Gone.scrv uvedenom k¾úèi registrov a následne aj samotný súbor v systémovom adresári Windows.Na tomto víruse je zaujímavé aj to, e IRC vyuíval na pokus o útok na špecifický ser−ver. Práve skúmanie vzniku kanála #pentagonex priviedlo vyšetrovate¾ov k skupine pät−nás− a šestnásroèných mladíkov z Izraela. Týmto štyrom hackerom hrozí teraz za vytvo−renie a pouitie èerva trest odòatia slobody v trvaní troch a piatich rokov. Zaujímavé je,preèo vlastne chceli zaútoèi na zmienený server. Vraj ho pouíva konkurenèná hackerskáskupina. Tak vidíte, ak ste mali (alebo máte) èerv Goner na svojom poèítaèi, tak ste savlastne náhodou priplietli do prestrelky elektronických gangov. Prajem vám, aby sa vámv novom roku takéto nešastné náhody vyhýbali, a do vírenia nabudúce.Miroslav Trnka96 PC REVUE 1/2002