rtkit (rtkit-daemon) в linux != rootkit

Только что прочитал на IT happens историю, которая меня повергла в шок... Процитирую:

Недавно поставил небезызвестного «Свободомыслящего Суриката» на компьютер. Копаясь в его внутренностях, в /usr/lib/ я обнаружил папку с довольно странным именем rtkit. Внутри лежал экзешник (простите, привык так называть) с именем rtkit-daemon. «И что же это такое? — подумал я. — Разработчики вирусов настолько обнаглели, что называют вещи своими именами, размещают в папке, которую можно легко увидеть, да ещё и в комплекте поставки дистрибутива?!»

Так в чем же дело? Вирус это? Руткит? Ответ: Нет! И сейчас мы в этом убедимся.

Троян ворующий пароли "В Контакте" и "Одноклассники" (Trojan.Win32.Sasfis.tzv / Trojan.Siggen.18292)

Пару дней назад мне на стенке в контакте один из друзей оставил граффити с сообщением, что он взломал мой аккаунт, т.ж. там была ссылка на сайта vk-****.msk.ru. Ну да... Еще бы... :) Ему я сразу отписал, чтобы полечил себя да пароль сменил. Но вот ссылка меня все же заинтересовала, хотя я точно знал, что это троян (именно он меня и заинтересовал). Решил сходить по этой ссылке. В результате мне предложили скачать программу, которая якобы юзает недавно найденную уязвимость контакта и позволяет взломать любую учетку. В общем поржал немного и скачал эту дрянь :) Уж очень захотелось вспомнить студенческие года, когда изучал вирусы. Да и почитывая блог другана порой накаляет меня - это же как охота на дичь :)
В этом посте опишу этого троя, че делает, как работает, какую деструктивную активность проявляет, как лечить, а так же дам самописную программку для вычистки этой гадости с потрохами. А в конце приведу техническую информацию для IT'шников и исходники вышеупомянутой программки.

Краткое описание
Троянская программа mvk.exe не попадает на компьютер без ведома пользователя, как это бывает с другими. Пользователь сам скачивает и запускает его т.к. думает, что это другая программа (для взлома контакта). Простенькая социальная инженерия :)

Что творит в системе или деструктивная активность
После запуска файла mvk.exe он удаляется, после чего появляется окно, в котором предложено ввести ID юзера "В Контакте". Если ввести любой ID и нажать кнопку, то появляется сообщение, что не возможно получить данные, т.к. уязвимость контакта уже закрыли.
Т.ж. троян создает 3 файла во временной папке пользователя (%TMP%), один ярлык в папке автозагрузки, который запускает файл из %WinDir% (этот файл тоже трой делает) и 1 файл в %System%. Т.е. получается 6 файлов.
В добавок трой изменяет ключ запуска проводника в реестре. И файл hosts.

А теперь конкретнее... Файлы:
%WinDir%\activate.exe
%System%\loio.jho
%TMP%\2.tmp
%TMP%\3.tmp
%TMP%\4.tmp
%StartDir%\Quick Office.lnk

И реестр:
Ветка - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\, параметр - Shell, его значение - Explorer.exe rundll32.exe loio.jho soalsv. А должно быть просто - Explorer.exe.

Как лечить
Загрузиться в безопасном режиме (жать F8 после включения компа). Открыть диспетчер задач (Ctrl+Alt+Del или Ctrl+Shift+Esc) и "убить" процесс "activate.exe", если таковой имеется. Потом удалить файлы C:\Windows\activate.exe и C:\Windows\System32\loio.jho, удалить ярлык из папки Автозагрузка (Пуск -> Программы -> Автозагрузка) и удалить все файлы из временной папки пользователя (обычно C:\Documents and Settings\ИМЯ_ПОЛЬЗОВАТЕЛЯ\Local Settings\Temp). Открыть редактор реестра (Пуск -> Выполнить..., ввести regedit и нажать ОК), перейти в ветку HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\, найти параметр Shell, дважды щелкнуть по нему мышкой и заменить его значение на "Explorer.exe" (без кавычек). Т.ж. нужно перейти в папку C:\Windows\System32\Drivers\etc\, открыть файл hosts в блокноте и удалить из него все строки за исключением "127.0.0.1 localhost".

Вы так же можете скачать мою программку для удаления этого вируса - anti_mvk.exe. После запуска anti_mvk.exe и нажатия кнопку "Лечить" исчезнет рабочий стол, а потом компьютер будет перезагружен, поэтому предварительно лучше закрыть все открытые программы для предотвращения утери не сохраненной информации.
ВАЖНО!!! Утила не сообщает есть ли троян или нет, а тупо пытается вычистить все, что может указывать на наличие трояна в системе, поэтому перезагрузка произдойдет не зависимо от того, есть ли троян или нет.



Краткая техническая информация для IT'шников
В этом разделе кратко опишу как я его анализировал. Может кому будет интересно. Размер файла 19456 байт. MD5-хэш - d5dbd34b12eb653d07ec17287fd3f26c. Судя по всему, написан на Delphi и упакован UPX'ом.
Как уже говорил, спам был в виде граффити на моей стенке в контакте, там была нарисована "ссылка" на vk-****.msk.ru. Если зайти на этот адрес, то происходил редирект на http://vk****-****.blogspot.com/ и уже в этом блоге предлагают скачать этот самый троян, под видом программы для взлома аккаунтов контакта и "включить защиту от взлома своей анкеты" (от последнего чуть под стол не свалился).
В анализе участвовали след. утилиты:
Autoruns - Позволяет определить, какие приложения запускаются автоматически при загрузке системы и выполнении входа в систему. Также показывает полный перечень путей в реестре и на диске, где может быть настроен автоматический запуск приложений.
Process Explorer - Отображает файлы, разделы реестра, библиотеки DLL и прочие объекты, открытые или загруженные различными процессами, а также другую информацию, включая владельца процесса.
AVZ4 - Очень хорошая утилита, помогающая исследовать систему (ВАЖНО!!! В кривых руках может загубить систему!!!).
VirtualBox - виртуальная машина, на ней я исследовал (запускал) вирус.

Для начала запустил Autoruns, подождал пока он отработает и сохранил список. Потом перешел к AVZ4. В нем задействовал функции "Исследование системы", "Резервное копирование" и "Ревизор". После чего запустил Process Explorer, чтобы можно было видеть какие дополнительные (под)процессы запускает троян. Положил на рабочий стол и запустил файл трояна, Process Explorer тут же был закрыт, поэтому я не смог увидеть то, что хотел. Файл трояна с рабочего стола исчез (удалился). Через пару секунд появилось окно трояна, о котором говорилось во втором разделе поста. Снова запустил Process Explorer и увидел от моего имени запущенные процессы svchost.exe и 4.tmp. Первый - родной процесс (файл) винды и запущен был из %System%. Зачем его запустил троян, не знаю, не разбирался. Второй это компонент трояна. Закрыл окно трояна.
Снова запустил Autoruns и AVZ4 и повторил те действия, которые делал до запуска трояна. После чего перезагрузился в безопасный режим и снова повторил эти действия. Далее скинул полученные файлы-отчеты себе на хоста машину (Linux Ubuntu 9.10 Desktop) и уже на ней произвел анализ этих логов (отчетов).
На основе анализа логов, т.е. их сравнении, выяснилось то, что было описано во втором разделе данного поста. Компоненты трояна анализировать не стал. Вот скрины с сайта VirusTotal, на которых видно, как и какие антивири идентифицируют троян и его компоненты (NOD32 меня просто убил своей реакцией на ярлык о_О ) на данный момент, если кому интересно:




Далее была написана не большая "антивирусная" утилита anti_mvk.exe, на AutoIT. Забрать можно тут - бинарники и исходники.





Информация с сайта http://angel2s2.blogspot.com/. Если Вы читаете информацию на другом сайте, пожалуйста свяжитесь с автором сайта http://angel2s2.blogspot.com/.

Флешка без вирусов 2.0

В пердыдущем посте "Флешка без вирусов" я рассказывал об одном спобобе защиты флешек от авторан-вирусов.
В этот раз речь пойдет об этой же защите, но несколько улучшенной ;)

На днях пришел новый гарант. Он уже поставляется не на двд диске, как раньше, а на 16 гагобайтной флешке. Кстати, флешка у меня в убунте не захотела определяться, не стал разбираться почему. При чем тут гарант? А при том, что открыв флешку в фаре я увидел много интересных папок и файлов, это меня и навело на мысль, как улучшить защиту флешки :)

А теперь к делу =)
Как использовать:
1. Качаем скрипт тут
2. Кладем в корень флешки (плеера, жестного и т.д. гланое чтобы ФС была FAT32), именно в корень
3. Запускаем

Как это работает:
Скрипт удаляет файлы и папки с флешки (см. ниже, то что обозначено папками - это файлы и наборот). После чего, создает след. папки:

Autoexec.bat
autorun.bat
autorun.bin
Autorun.exe
AUTORUN.INF
comment.htt
copy.exe
DA.exe
desktop.ini
folder.htt
fun.xls.exe
host.exe
svhost.exe
toy.exe
winfile.exe
autorun.cmd
autorun.wsh
autorun.vb
autorun.js
autorun.vba
autorun.com
autorun.pif
autorun.ws
autorun.hta
autorun.htt

В этих папках создеется специальный файл с имененм "..", т.е. ссылка на каталог уровнем выше, поэтому эту папку просто так не удалить. К тому же файл и папка с одним и тем же именем в одном и том же каталоге существовать вместе не могут, что не дает фирусу создать файл.

А после папок создаются файлы:

Recycled
RECYCLER
System Volume Information
temp

Но файлы эти можно уже удалить через обычный Delete, как сделать их неудаляемыми я не нашел. Но они не только от вирусов помогают, но и от винды :) Думаю назначение папок с таким имененем в винде понятно и так. И естественно винда не может создать такие папки, что очень даже хорошо, особенно на внешнем жестком диске.

Далее всем файлам и папкам (естественно, которые скрипт создает) присваиваются атрибуты скрытый, системный, только для чтения. Чтобы не мозолили глаза юзерам в проводнике.


Ссылка на скрипт

Флешка без вирусов

Очень часто бывает такая ситуация:
Пришел к другу фильм/прогу/музон/etc перекачать, воткнул в USB порт флешку/жесткий, слил... Пришел домой втыкаешь в свой комп эту же флешку/жесткий и... А там вирусяга сидит...
Не порядок...

Значит шастался я не давно по хабру... А там как раз тема была такая: Защита флэшки от Autorun-вирусов...
В общем аффтар предлагал создать флешку отформатированную под NTFS и запретить доступ на запись в корень флешки, а в корне предварительно создать папку, в которую и будут писаться все файлы.
Способ хорош, но он не лишен недостатков, а именно:
1. Нельзя закинуть файл/папку на флешку через контекстное меню "Отправить";
2. Нельзя выдергивать флешку, предварительно не размонтировав ее, т.к. файлы могут стать битыми (на NTFS данные пишутся не сразу, в отличии от FAT);
3. Нам, линуксоидам, не очень то и удобно будет :) (ntfs-3g при монтировании хорошо нагружает проц, что не есть гуд);
4. А если флешка еще и бутовой является (читай, загрузочной)?


Многие уже знают, что на FAT32 можно просто создать папку autorun.inf и вирусы пойдут лесом, точнее они не будут запускаться, но их тело попадать на флешку все равно будет, что уже не так критично, т.к. они все равно не запустятся, к тому же зачастую они имеют аттрибут "скрытый". Но время не месте не стоит. Вирусописатели умнеют (эх... жаль, что не тупеют). Уже сейчас есть вирусы, которые сносят эту папку в пух и прах и создают файл с таким же именем и нужным содежранием.
Встает вопрос: А как можно защитить флешку на FAT32? О чем я и хочу рассказать =)

На том же хабре, в комментах той же темы один добрый человек с ником bNN предложил такой способ:
1. Cоздать *.bat (*.cmd) файл, со следующим содержанием (также его можно скачать тут):

attrib -s -h -r autorun.*
del autorun.*
mkdir %~d0\AUTORUN.INF
mkdir "\\?\%~d0\AUTORUN.INF\.."
attrib +s +h %~d0\AUTORUN.INF

2. Скопировать этот батник на флешку и запустить (ЗАПУСКАТЬ ИМЕННО С ФЛЕШКИ).
3. Все =)

Теперь в корне флешки будет скрытая системная папка AUTORUN.INF. Если теперь в консоле выполнить команду

dir X:\AUTORUN.INF

то увидим, что в папке AUTORUN.INF есть 2 подпапки (спецфайла) с именем "..", поэтому эту папку (AUTORUN.INF) удалить нельзя :)
Теперь все вирусы со своими autorun.inf идут лесом :) (правда тело вируса попадет на флешку, но как правило этот файл скрытый и обычный юзер его не знапустит)

Я уже обработал всем коллегам флешки этим скриптом и вам советую :)