Вирусы

Пришло письмо в техподдержку:

Здравствуйте, я абонент «*****» в сети интернет. У меня не самый дорогой тариф. Не поэтому ли ваш поставщик услуг отключил меня от возможности бесплатного скачивания музыки, фильмов и т. д.? Прошу вас, дайте мне доступ к файлам! Бинарные файлы не открываются без оплаты с телефона. Если вы не откликнетесь на мою просьбу, мне придётся искать другого поставщика услуг интернета.

Вечером пятницы собираюсь домой. День выдался неудачный. Работы навалилось много — пришлось бегать целый день. Уже предвкушаю провести этот зимний вечер с друзьями, раскатав пару партеек в бильярд.

Звонок. Взволнованный женский голос сообщает: требуют 500 рублей за просмотр видео эротического содержания. Радуюсь быстрым и лёгким деньгам. Называю стоимость работы. Спрашиваю адрес. Еду.

Приезжаю. Баннер на весь рабочий стол. Live CD, правка реестра, удаление виновника. Контрольный прогон AVZ. Чисто. Получаю расчёт и с хорошим настроением выдвигаюсь домой.

На полпути домой — звонок. Тот же женский голос сообщает, что баннер снова появился, и я что-то не доделал. Сплёвываю, разворачиваюсь и двигаю назад.

Действительно, баннер снова на месте. Повторяю ту же операцию. Вдобавок ставлю все критические обновления, обновляю Java и Flash Player. Денег не беру, решив, что сам что-то не доглядел.

В раздумьях двигая домой и думая, где же я упустил этого гада, снова получаю звонок. Уже раздражённый женский голос сообщает: «Или вы приходите и делаете всё, как надо, или возвращаете деньги!»

Возвращаюсь. Опять те же манипуляции. Контрольный прогон AVZ, UVS — чисто! Антивирус в порядке (Касперский 11).

— Что делали, когда я ушёл, что качали, что запускали?
— Ничего.

Для верности просматриваю историю браузера. Ничего подозрительного. Решаю поставить Радмин для личного успокоения, так как в потусторонние силы не верю. Отчитываюсь, что всё работает. Пять раз перезагружаю компьютер. Чисто!

Спускаюсь, сажусь в авто, запускаю Радмин на ноуте и смотрю манипуляции клиента. Запускает браузер. Заходит в какую-то онлайн-игру. Справа всплывает окошко: дескать, ваш компьютер заражён, срочно нужно лечить! И ведь окошко точно такое же, как у Касперского оповещение. На минуту мышка замирает. Видимо, девушка читает, что сообщает лжеантивирус, вспоминая меня «добрыми» словами. Нажимает на «Лечить все вирусы». Браузер переходит на другой сайт, где большими буквами написано: сейчас, дескать, будет скачан самый лучший антивирус, а ваш нужно отключить, так как он тоже заражён.

Больше звонков не было. Ну и бог с ней — главное, моей вины там нет. У меня только один вопрос: почему сразу мне было не сказать об этом лжеантивирусе и его «находках»?

В связи со сменой работы немного отошёл от подобных вызовов на дом, но тут понадобилась денежка, и я согласился.

— Милый, сегодня не задержишься с работы?
— На полчасика — попросили Винлок убрать по дороге домой.

LiveCD. Antiwinlocker, Sysinternals Autoruns, AVZ. Всё окей. Ребут.

В квартиру вернулись домашние в большом количестве.

Снова Винлок. Гхм… LiveCD (а комп старенький уже, тормозит), Antiwinlocker, AVZ — всё чисто. Поиск последних файлов — всё чисто.

Откуда-то нарисовались два адово верещащих малолетних существа, которые начали носиться по квартире.

Запуск Каспера, найденное тело в hosts, ребут. Слетевший профиль, создание нового, перенос данных. Снос нерабочего Каспера, Аваста, McAfee, чёрта лысого, установка Доктора, ребут.

От детей уши уже закладывает, пустующий восемь часов желудок выводит рулады, тормоза компа начинают напрягать.

Упавший Доктор, не стартующие службы сети, адово тормозящая очередной кулхацкер-сборки винда… Да @#$!

Идёт третий час.

Перенос данных, формат раздела, установка нормальной проверенной сборки, шлифовка, сеть, мелкомягкий антивирус, расчёт с хозяевами, дорога домой. Вечер испорчен.

Открытая дверь, квартира в свечах, лёгкая музыка, жена в кружевном белье и короткой сорочке, ужин на столе… Аж слёзы навернулись, мужики! Завидовал сам себе, чесслово.

Любите и цените своих женщин!

Работаю сисадмином в компании на полсотни машин. В своё время от пользователей наслушался сполна. «У меня ничего не работает» — и только минут через двадцать вопросов оказывается, что тормозит 1С. «Я не могу распечатать документ» — это юзер не смог нажать на экране кнопку «Печать», так как умудрился каким-то шаманским способом выдернуть мышь из системника. «Не меняйте мне монитор на новый, у меня же в нём все мои документы» — тут и так ясно.

Но сегодня они меня убили наповал.

— Игорь Юрьевич, доброе утро! Зайдите, пожалуйста, к нам, у нас у Дениса вирус не может работать.

Было дело, работал помощником админа в энергосистеме крупного города. Сами понимаете, лес машин всей энергосистемы очень немелкий — счёт идёт на тысячи.

В один непрекрасный день с какой-то нашей машинки разлетается письмо по всему глобальному каталогу с жутко непонятными обычному юзверю латинскими буковками и хоть и английским, но таким знакомым словом VIRUS. То, что антивирь рубанул ещё на почтовике тело вируса и радостно об этом в каждом письме сообщил, похоже, прочитали только мы, а остальные стали звонить в свои саппорты. Всем полетело — и крупным начальникам в том числе. Одновременно. Говорю же: непрекрасный день.

Паники, конечно не было (не та контора), но вазелином запахло явно. Два часа я бегал, потел, выяснял и писал объяснительную начальнику начальника моего начальника. Вроде улеглось, никому не прилетело, только запах вазелина ещё воображался.

Причину нашли, конечно же: молодая, высокая и красивая, добрейшее существо, блондинка во всю голову. Диск с фотками из Крыма, который ей там же, на пляже, доброхоты и записали. Локальный Каспер авторан-злодея пропустил, не посчитав вирусом. Сил на злость уже не было — я прочитал унылую лекцию, что вирусы могут быть и на дисках с фотографиями, особенно если писать их на машинах чужих дяденек. Вроде отчитал. Но последняя фраза барышни сгладила все претензии, вернула мне настроение с избытком и уронила в истеричный (ей непонятный, конечно) смех:

— Ой! А вы знаете, я ведь этот диск ещё двум подругам давала! Одной в прокуратуру, второй в налоговую…

Препарировал сегодня нового зверька, простота и красота решения в котором просто поразила. Эх, не перевелись ещё богатыри вирмейкерства на земле!

Принесли мне флешку, заражённую троянцем, прячущим папки пользователя и заменяющим их на исполняемые файлы вредоноса с жёлтыми иконками папок. Обычное, в общем-то, дело, но не всё так просто. Прошлая версия вредоноса просто-напросто делала папки пользователя скрытыми с атрибутом «системные». Тут же оказалось всё куда интереснее: папки пользователя отсутствовали вовсе, но место на флешке явно занимали. Ни Проводник, ни любые другие файловые менеджеры никаких скрытых или же системных папок не видели в упор. Чекдиск спокойно рапортовал, что с файловой системой всё в порядке. Файлов нет — а место занято.

Взялся препарировать ФС с помощью сторонних утилит. Вирмейкер использовал гениальное в своей простоте решение: вредонос создавал в корне флешки папку с именем из двух точек и прятал в неё файлы пользователя. Папка эта благодаря своему нетривиальному имени воспринималась как Проводником, так и всеми остальными файловыми менеджерами как переход к корневой, а так как папка уже находилась в корне, её просто не было видно. Вуаля. Видишь файлы, юзер? Нет? А они есть!

Извлечь спрятанные данные оказалось довольно просто: понадобилось просто найти утилиту, которая сама строит древо ФС, а не полагается на функции ОС. Но какое красивое и простое решение! Респект писавшему, хоть он и засранец.

Наши предки брали с собой кроличью лапку, оберег или иконку, а теперь ставят лицензионный антивирус. Но защищает антивирус только от уже известных бяк. Конечно, все антивирусные компании заявляют, что их разработки самые лучшие и уж точно защитят ваш компьютер. На фоне таких победных реляций особенно эпично выглядит история о Rustock на сайте не самой последней антивирусной фирмы.

Это же подтверждает и моя практика: как ни настраивай Windows, при всех последних обновлениях и ПО, и Windows, и антивируса раз в месяц хотя бы кто-нибудь да и схватит заразу. А запретить «контактики» и «одноглазники» мешает специфика нашей работы. Поэтому пришлось продавливать линуксизацию хотя бы части компьютеров.

Хотя, конечно, есть и анекдотичные случаи. Как-то вызывают меня для лечения страшного вируса-вымогателя. «WTF?! — думаю я. — Там же Деба стоит!» Оказалось, нарвался на вымогатель, сделанный в виде всплывающего окна на JavaScript. Естественно, закрыв браузер, мы убили «страшный вирус», но с тех пор на всех компьютерах стоит NoScript, чтоб люди не пугались.

До сих пор не можете понять, как юзвери ловят заразу при наличии лицензионного антивируса? Всё очень просто.

— Привет, помощь нужна. У меня на весь экран МПХ, что делать?
— Откуда? Как?

На днях я ставил антивирус, базы свежие.

— Понятия не имею. Ничего не делал, всё по инструкции.

Тут у меня закрались первые сомнения. Прихожу к нему, изгоняю нечисть, прошу продемонстрировать, что предшествовало мужскому половому. Юзер открывает сайт, нажимает ссылку «Видео забавных котят» и переходит на страницу «Обновление проигрывателя» с инструкцией по установке:

1. Выбрать ваш антивирус из списка. (Выбирает «К».)
2. Вызвать контекстное меню антивируса. (Вызывает.)
3. Выбрать «Остановка защиты». (Выбирает.)
4. Скачать программу и установить согласно инструкции. (Скачивает и приступает к установке.)

На моменте нажатия клавиши «Согласен с лицензионным соглашением» я попросил юзера сказать, с чем именно он согласен. Пожав плечами, ответа он не дал. Нажимаю ссылку «Лицензионное соглашение» — о чудо, длинный текст о том, что компьютер будет заблокирован, и потребуются платные SMS для разблокировки.

Соболезную тем, у кого антивирус мешает нормальной работе своими сообщениями, но ведь даже в них есть смысл.

Звонок на сотовый в три часа ночи: один юзер, которому я устанавливал на днях лицензионный антивирус, скачал и поставил себе винлокер. Опущу реплики по поводу содомии, которую юзер увидел на экране, о том, что увиденное он хочет повторить со мной, с разработчиками антивируса и зачем-то с Биллом Гейтсом. Ладно, его сексуальная ориентация меня не касается — вежливо отказываюсь.

Спустя полчаса пошаговых инструкций всё-таки удалось откатить систему и запустить проверку файлов антивирусом. Вроде бы проблема решена, но стало мне любопытно, где же и как он раздобыл этот троян, а также почему антивирус (которым, кстати, пользуюсь и я) допустил такое непотребство. Прошу скинуть мне ссылку на сайт и дать название программы, которую он качал.

В виртуальной машине иду на сайт. Вижу предупреждение о том, что опасно заходить на плохие сайты. Пропускаю предупреждение мимо ушей, лезу дальше и начинаю скачивание, но не тут-то было! Антивирус спрашивает меня: зачем я качаю эту бяку? Она же нехорошая, может сделать гадости на моём компьютере. Что? Он смеет мне перечить? Хочу и качаю!

Запускаю экзешник, но установка блокируется, а антивирус орёт благим матом: «Хозяина-а-а! Не надо, не позволяй этой гадости устанавливаться, это нехорошо!» — и, как неразумного ребёнку, добавляет: «А чтобы ты не пытался больше сотворить зло над системой, заблокирую-ка я доступ».

Вытаскиваю троян из карантина, добавляю в исключения, всё-таки устанавливаю. И… ничего. Вспоминаю, что некоторые винлокеры срабатывают только после перезагрузки. Ну, это уже мелочи, минутное дело. Вот он, момент «X», уже приветствие Windows вылезло на экран. И снова ничего. Только антивирус моргнул окошком, что зараза не пролезла, что он её остановил при перезагрузке.

Так и не смог я установить дрянь. Как у юзеров-то выходит?