книги хакеры / журнал хакер / 161_Optimized

После распаковки становится явной структура папок: «MacDefender.app Æ Contents Æ MacOS, Resources». В папке «Contents», помимо двух других папок, содержатся два конфигурационных файла, не представляющих интереса. Папка «Resources», как можно понять из названия, содержит ресурсные данные. Здесь можно обнаружить все картинки интерфейса, звуки, шрифты и строки.

"StatusInfectedText" = "Unfortunately, your computer is

infected. Clean up your system right now";

"StatusUnknownText" = "It’s highly recommended to start

scanning as quickly as possible.";

"StatusOkText" = "Don’t forget to scan your system from

time to time.";

"StatusStatusInfected" = "At Risk";

"StatusStatusUnknown" = "Unknown";

"StatusStatusOk" = "Clear";

// Scanning area

"SA_InMemoryProcesses" = "In Memory Apps: ";

"SA_DiskProcesses" = "Files System: ";

"SA_History" = "Suspicious objects: ";

// Success Register Message box

"SRM_Title" = "Your copy of MAC Defender is registered

now.";

"SRM_Message" = "Congratulations! Now you have an ability not only to find viruses, but also to make a full

Рис.2.КакговоритКапитанОчевидность,файлыизинтернетамогутбытьполезны,ноони жемогутинавредить!

system cleanup. It is highly recommended to do a cleanup as quickly as possible.";

//Warning! Cant cleanup - not registered soft "STR_Title" = "Unregistered copy";

"STR_Message" = "The copy of your antivirus is not registered. Register to have an ability to do a full cleanup of your system.";

//Register status in Control Center

"RS_Status_Reg" = "Registered"; "RS_Status_Unreg" = "Unregistered";

and the license will never expire. Don’t forget to check

updates to have an up-to-date viruses database.";

"RS_CC_Status_UnregText" = "You can’t delete viruses.

Register to be able to delete viruses."; "RS_SI_Status_UnregText" = "You have an unregistered

program with reduced functionality.";

// Cleaning up the system

"CUS_Title" = "System cleanup ..."; "CUS_Prefix" = "Treating: ";

В оставшейся папке «MacOS» содержится непосредственно файл приложения — «MacDefender». Но на самом деле это загрузчик, который в зависимости от разрядности операционной

Рис.4.Заплатиилечись!

системы запустит либо 32-, либо 64-битное приложение.

Я открыл в IDA’е 32-битную версию MacDefender’а и приступил к анализу. Сразу же было обнаружено несколько любопытных функций. Например, функция с говорящим названием «AntiVirus_ScanningProcessStarted». Ее код в Hex-Rays:

void *__cdecl _AntiVirus_ScanningProcessStarted_( void *a1,

int a2)

{

signed int i; // ebx@1

void *v4; // eax@4

int v5; // [sp+0h] [bp-28h]@1

s_VirsCount = (int)objc_msgSend(

a1, (const __seg *)"GetRndNum::", 9, 15);

s_arrDelayBetweenVirsFound[0] = (int)objc_msgSend(

a1, (const __seg *)"GetRndNum::", 10, 15);

dword_13084 = (int)objc_msgSend(

a1, (const __seg *)"GetRndNum::", 25, 35);

dword_13088 = (int)objc_msgSend(

a1, (const __seg *)"GetRndNum::", 35, 45);

dword_1308C = (int)objc_msgSend(

a1, (const __seg *)"GetRndNum::", 60, 90);

for ( i = 4; i < s_VirsCount; ++i )

s_arrDelayBetweenVirsFound[i] =

(int)objc_msgSend(a1,

(const __seg *)"GetRndNum::", 110, 160);

Рис.6.ПрочиефункцииMacDefender

*(double *)off_12F60 = CFAbsoluteTimeGetCurrent(v5);

v4 = objc_msgSend("History",

(const __seg *)"sharedHistory");

s_CurVirFinding = (int)objc_msgSend(v4,

(const __seg *)"getSuspiciousFilesCnt");

return objc_msgSend(a1, (const __seg *)

"setTimeIntervalForFirstVirAppearing");

}

По коду видно, что количество найденных вирусов (s_ VirsCount) — случайное число. Аналогично определяется время между нахождением вирусов и другие переменные. (Да, если у тебя все еще осталась вера в прекрасное и ощущение, что это не мошенническое ПО, самое время с ним — с ощущением — расстаться.) Большинство других функций не особо интересны и занимаются рисованием анимации, всплывающих окон и прочими вспомогательными вещами (рис. 6).

Среди строчек можно обнаружить адреса страниц оплаты, по которым происходит обращение. А если кому-то захочется активировать MacDefender, то в строках можно найти ключи активации (рис. 7). А что, неплохо звучит: спиратить требующее денег вредоносное ПО! На этом всё. Поделье под Mac оказалось очень простым и не содержащим интересных технических решений. Никаких средств защиты, затрудняющих анализ, здесь не было обнаружено, поэтому провести разбор, даже детальный, не составляет труда.

Рис.7.Особыйцинизм—ключирегистрациидляфейковогоавера!

Рис.8.Порождениебольнойфантазииавторов—жесткийдискнечитается,плохо вращается,аоперативнаяпамятьмощноперегревается

Рис.9.НазойливоеокошкоFakeAVдостаетпользователя

FAKEAV, НО ДЛЯ РС

Разберем FakeAV под царя царей всех платформ — РC (если что, панегирики в адрес РС добавил редактор, Вячеслав не виноват, не бейте его! — Прим. ред.). Сам зловред состоит из одного файла «LTWm4azlb5tgc.exe». Никакой россыпи ресурсов в отдельных файлах, исполняемых модулей под разные платформы и прочих вещей, присутствовавших в версии под Mac, здесь нет.

Итак, фальшивый антивирус после запуска самоудаляется из исходной директории и копируется в %appdata%. После перезагрузки он начинает интенсивно «сканировать» систему и находит кучу угроз. Только в данном случае идет упор не на вирусы

итрояны, а на целостность «железа» (рис. 8). Невооруженным глазом видна абсурдность найденных

«угроз». Естественно — чтобы вылечить систему, надо купить полную версию System check. Мало того что этот зловред и так находит кучу ошибок, он еще и не оставляет жертву в покое, показывая дополнительные всплывающие окна (рис. 9).

Если попытаться купить это убожество, то откроется окно — внешне оно очень сильно напоминает окно IE, но на самом деле им не является. Грамотно прорисован «замок» и зеленый фон в адресной строке, означающий, что установлено корректное SSL-соединение (рис. 10).

Разумеется, в этом случае не может быть и речи о том, что данные о банковской карте останутся в безопасности. Сам файл, конечно же, защищен криптором. Однако по точке входа располагается стандартный рантайм Microsoft Visual Studio, если в настройках указать сборку консольного приложения. По-видимому, это сделано для того, чтобы файл выглядел более «нормально». А в коде main’а располагается несколько антиантивирусных трюков на основе API-функций:

Рис.10.НенастоящийантивирусрисуетокошкослиповымIEипытаетсяукрасть унаснастоящуюкарточку

Рис.11.Большоеколичествографическихфайлов,образующееинтерфейсэтого...

эээ...антивируса

Весь код подвергнут неслабой обфускации: применяется большое количество перебросов между регистрами и памятью и бессмысленных логических/арифметических операций:

Радует, что без проблем удалось сдампить этот зловред и посмотреть на «чистое» содержимое файла. В нем оказалось

аж 133 PNG’шки и одна GIF’ка. В этих изображениях содержится весь интерфейс зловреда (рис. 11).

Таков он, FakeAV под винду. Сразу видно, что у писишных вирмейкеров больше опыта за плечами, — в коде явно заметны попытки защититься от исследования.

ЗАКЛЮЧЕНИЕ

Разобранные нами примерчики вовсе не казуистика — такие программы очень распространены сейчас в США и Западной Европе. Все они предлагают жертвам оплату с помощью пластиковых карт. Оно и понятно: у большинства жителей этих регионов есть карты и люди умеют ими расплачиваться. К тому же многие не сочтут это за обман и не пойдут ни в банк, ни в полицию, что, конечно же, на руку мошенникам. z

МИКРОКОДВПРОЦЕССОРАХ ИТЕОРИЯЗАГОВОРА

Современные программисты, даже самого высокого уровня, плохо представляют реальную работу вычислительной системы. Да, гдето там бегают битики, байтики, какие-то триггеры и прочая «муть» переключается, но все это от них далеко. Нынче программируют информационные объекты, а не конкретные кусочки кремния.

Собственно, такое вступление было сделано только для одного — чтобы объяснить, почему техническая документация по архитектуре вычислительных систем неинтересна основной массе программистов. Каков интерес, таков и уровень изложения материала. В последнее время техническая документация на процессоры, чипсеты, периферийные контроллеры стала фрагментарна, во многих случаях она превратилась в отписки, а иногда уже встречается и прямая фальсификация (как в случае с vPro/ AMT, например).

С другой стороны, реальная техническая информация перешла в разряд конфиденциальной, а кое-где и секретной информации. Доступ к ней открыт только избранным и доверенным партнерам, а для прочих за процедурой получения доступа зачастую стоит вопрос: для чего тебе это нужно? И как только на него дается ответ, все контакты обрываются. По крайней мере, такая практика действует в отношении России.

Рис.1.СхемаобновлениямикрокодаиздокументацииIntel

Если сомневаешься, предлагаю зайти на официальный сайт компании Intel для разработчиков. Там есть списки документов, доступных для скачивания, возле многих из них изображен маленький замочек. Для доступа к этим документам нужно пройти регистрацию. Попытайся зарегистрироваться, и тогда все тебе станет ясно.

В России эту процедуру не смог пройти даже уважаемый академический Институт системного программирования РАН (ИСП РАН). А это только уровень так называемых желтых страниц, есть еще уровень красных страниц, есть и более конфиденциальные уровни…

Сразу после такого вступления появляется соблазн начать говорить о недокументированных возможностях, бэкдорах, но статья не об этом. Даже в доступной документации есть информация, которая непостижимым образом проходит мимо людей, профессионально занимающихся информационной безопасностью.

Начну издалека. У многих серьезных программистов случалось так, что внешне абсолютно корректно написанный код по непонятной причине не хочет работать. Начинают разбираться, выходят на конкретные цепочки команд и понимают, что они работают в этой последовательности неправильно. Такое

вбольшинстве случаев (у меня, по крайней мере) происходит на оборудовании Intel.

Несколько раз я сам натыкался на подобные «непрухи», но после переноса «сбойного» процессора на другую материнскую плату либо после обновления BIOS ситуация приходила

внорму, все начинало работать корректно. Многие, наткнувшись на похожие труд-

ности, наверняка на этом успокаивались, в лучшем случае переписывали сбойный участок кода и продолжали работать, более

не задумываясь о причинах такого поведения процессора.

Похоже, с подобной проблемой столкнулся и небезызвестный Крис Касперски. В 2008