• Вероятно вы уже читали новости о бэкдоре, который нацелен на компьютеры, подключенные к сетям ViPNet. Неизвестная APT-группа задействовала его в целевых атаках на десятки организаций в России, в том числе, из госсектора, финансовой сферы и промышленности. Последние инциденты зафиксированы в этом месяце. Бэкдор распространяется, мимикрируя под обновление ViPNet Client, в архивах с расширением .lzh, имеющих структуру, характерную для обновления этого ПО.

• Так вот, rt-solar выпустили объемное исследование, в котором описали механизм запуска бэкдора и разобрали несколько кейсов заражения через обновления ПО ViPNet. Если интересно почитать, что из себя представляет бэкдор и с чем его едят, то материал доступен по этой ссылке: https://rt-solar.ru/solar-4rays/blog/5487/

#Исследование

☢️ Win.CIH.

• Ровно 26 лет назад, утром 26 апреля 1999 года, многих пользователей ПК под управлением Windows 9х/МЕ поджидал неприятный сюрприз: данные на жестких дисках их ПК оказались уничтожены, а в отдельных случаях машина отказывалась работать из-за повреждения BIOS. Эта неприятность стала следствием заражения ПК резидентным вирусом CIH, более известным под именами «Чернобыль» и «Spacefiller».

• Автором вируса, от которого пострадало по разным подсчетам от полумиллиона до нескольких десятков миллионов компьютеров по всему миру (а в те времена это было очень внушительное число), был студент университета Датун в Тайване Чэнь Инхао. Чэнь утверждал, что создал вирус с единственной целью — доказать полную неэффективность существовавших на тот момент антивирусных программ.

• Первыми жертвами CIH стали компьютеры университета, в котором учился создатель вируса, затем инфицированные программы попали в местные конференции Usenet, а уже оттуда вредонос распространился за пределы Тайваня. В июле 1998 года вирус заразил один из серверов компании Ritual Entertainment, с которого раздавалась бета-версия шутера SiN: все загруженные пользователями копии игры оказались инфицированы. В марте 1999 года компания IBM отгрузила клиентам несколько тысяч зараженных CIH компьютеров, примерно в то же время вирус проник на ряд американских игровых серверов, откуда начал свое победное шествие по компьютерам США, Европы, Великобритании и Австралии.

• После того как его детище стало бесконтрольно распространяться в интернете, Чэнь и его однокурсник Вэн Ши-Хао написали и опубликовали в свободном доступе утилиту, распознававшую и уничтожавшую вирус. Но было уже поздно: CIH быстро расползся по всему миру и по различным оценкам нанес совокупный ущерб порядка 1 миллиарда долларов США.

• Большинство существовавших на тот момент файловых вирусов дописывало свой код в конец исполняемых файлов, тем самым увеличивая их размер. Это упрощало детектирование зараженных программ антивирусами. CIH, объем которого составлял всего лишь 1 Кбайт, действовал иначе: загрузившись в память, он отслеживал запуск EXE-файлов в Windows 9x, после чего помещал полезную нагрузку в неиспользуемые секции существующего кода — в результате размер исполняемого файла не менялся. Именно из-за этой своей особенности вирус получил наименование «Spacefiller» — «заполнитель пробелов».

• Заложенный в CIH вредоносный функционал впервые сработал 26 апреля 1999 года, в 13-ю годовщину аварии на Чернобыльской АЭС, из-за чего вирус и получил свое самое известное название — «Чернобыль». На самом же деле совпадение оказалось случайным: разработчик заложил дату срабатывания вируса ровно через год после выпуска в «дикую природу» его первой версии — Чэнь впервые запустил CIH на университетских компьютерах 26 апреля 1998 года. В этот день вирус принялся стирать данные на всех жестких дисках зараженной машины, при этом он использовал непосредственный доступ к диску, что позволило обойти стандартную защиту от записи данных в загрузочные сектора.

• CIH заполнял нулями первые 1024 Кбайт диска, уничтожая загрузочный сектор и таблицу разделов, после чего переходил к следующей атаке. Если настройки BIOS Setup допускали запись во FlashBIOS, на некоторых типах материнских план CIH стирал содержимое Flash-памяти, «окирпичивая» компьютер. Оживить машину можно было заменой или перепрошивкой микросхемы BIOS, данные в ряде случаев также можно было спасти, заменив MBR и загрузочный сектор стандартными копиями, а первую копию таблицы FAT (если ее размер превышал 1 Мбайт) восстановив из второй копии, до которой CIH «не дотягивался».

• Оценив масштаб содеянного, Чэнь Инхао принес публичные извинения пострадавшим пользователям. Ему могло бы грозить строгое наказание, но в конечном итоге в полицию Тайваня не поступило ни одного заявления от жертв «чернобыльского вируса», так что его разработчик отделался лишь легким испугом.

#Разное

• Зацените винтажные часы от Casio, модель BP-300, которые имели функцию тонометра еще в далеком 1994 году. Только представьте, что данный функционал был доступен в часах уже 30 лет назад и это считалось настоящим технологическим чудом =) Вообще, часы от Casio по функционалу опережали время, чего уж там говорить. Взять даже модель Casio TM-100, которые имели телескопическую антенну для передачи сигналов на ближайшие радиоприемники в FM-диапазоне. Это вам не Apple Watch или Samsung Galaxy Watch. Вот настоящий прадедушка умных часов!

#Разное