Просмотр полной версии : Размышления на тему "удаление вируса"
Попрошу модераторов не умничать и не переносить в "Разное". Потому как интересует мнение и мысли именно людей-программистов и имеющих дело с подобными вещами.
Эта тема - модифицирующаяся задача. Я буду представлять собой программу-вирус в некой операционной системе. Вы предлагаете действия, которые следует произвести, чтобы удалить меня из системы с наименьшим уроном для неё.
Потом я вам скажу, что это за вирус и что имелась в виду за операционная система.
Наверное ещё буду писать реакцию операционной системы.
Немного обо мне.
Я появился в системе в процессе общения с другими компьютерами. Неизвестно достоверно, с одним или многими. Я фильтрую весь ввод и вывод. Работаю скрыто от системы и скрываю своё присутствие.
Господа, предлагайте ваши действия, пишите, что вы делаете.
Я знаю, как этот вирус назывется Windows XP. :D
Что бы все скрывать, ты должен заполучить управление на уровне ядра. Сначала объясни, каким макаром, ты это сделал. =)
Был установлен системой как обновление системы безопасности. Запущен в фоновом режиме.
Спрашивайте, уточняйте. Вроде верно меня поняли. Продолжаем.
Называется не ВиндовсИксПи, куда благозвучнее ;)
Если ты заполучил управление на уровне ядра, то системным файлам уже хана. Ты можешь их модифицировать, поэтом считай, что операционной системе хана так же. Остались данные.
Что нужно сделать, чтобы не дать тебя запустить? Не дать запуститься зараженной операционной системе. Следовательно, цепляем раздел с другой системы (не зараженной), спасаем данные, которые не могут быть заражены. Ну а дальше и так понятно. =)
Можно попытаться восстановить системные файлы их оригиналами, но это долго и нудно... но возможно. =)
Нет этот вирус называется Дууух. :D
Если ты и попадёшь в так называемое ядро винды, то тебя сразу сольют, т.к. эти файлы под наблюдением всегда.
Контролировать ввод-вывод да ещё и весь это бред, тогда твоё "тело" будет таких размеров, что можно будет тапком пришлёпнуть.
И естественно скрыть такое присутствие будет невозможно.
Единственное что можешь сделать, так сделать это оригинальным путём о существовании которого никто не знал до сих пор и то не на долго.
Вирус должен быть компактен и мобилен, при этом возможно только узконаправленые вирусы, а не контроль над всем и вся. А то что ты описал это действительно вынь хр и виста, которые следят за всем и пытаются "стучать" об этом куда надо.
системным файлам уже хана
Нет, они на месте и выполняют свои функции.
Ты можешь их модифицировать, поэтом считай, что операционной системе хана так же.
Возможно, но по факту система работает, словно ничего не произошло. Правда, временами подвисает слегка.
Остались данные. А вот они-то как раз страдают больше всего! Постепенно искажаясь. В них ищется и удаляется или редактируется любое упоминание о вирусе. Если контрольная сумма не нарушается, то данные о вирусе уничтожаются. Если нарушается, то редактируются так, что вирус был не вирусом, а заплаткой, загрженной с официального сайта обновлений.
Что нужно сделать, чтобы не дать тебя запустить?
Поздняк, уже запущен. Но ... можно было объявить все заплатки как вредоносные, можно запретить любое общение системы со внешним миром.
Не дать запуститься зараженной операционной системе. Есть проблема: система запускается единожды и останавливается навсегда.
Следовательно, цепляем раздел с другой системы (не зараженной)
Вот это уже пошли дельные советы :)
Можно попытаться восстановить системные файлы их оригиналами, но это долго и нудноОригиналов больше нету. Система написана буквально на коленках, резервной копии не существует. На других компах есть похожие системы. Файлы с них нельзя просто скопировать - общая контрольная сумма всех файлов не совпадёт.
Раскручиваем идею с подключением к незаражённой системе. Невозможно переставить винчестер - машина неразборная. Есть ещё проблемка: нет традиционных устройств ввода клавиатуры и мыши. Есть сетевой интерфейс. Есть двусторонний звуковой канал. Т.е. сделать с системой можно что-то наверное только представившись полезным обновлением. Или ещё как придумаете ...
Теперь 2TSV NV:
Вирусы, которые ловят ввод клавиатуры, мыши есть, сетевых фильтров на уровне IP пакетов тоже достаточно. Дальше, подменять буфер клавиатуры не сложно, фильтровать исходящие пакеты тоже можно. Редактировать видеопамять - пожалуйста. Где сложности-то? :) Моя проблема представляется в том, что вся эта хрень в одной упаковке. И имея имя, допустим, love.exe скрывает процесс с таким именем.
Дополнение
Процесс-вирус открывает полный доступ к системе при подключении к заразившему компьютеру, который определяет по неизвестному признаку (сертификаты доверия?). По этому же признаку полностью запрещает обмен данными с некоторыми другими компьютерами, возможно, тоже заражёнными подобным вирусом.
Пока всё.
Дух, ты слишком идеализируешь. Это все хорошо для теории, но не практики... У тебя вирус все может, запускаясь как love.exe? Так его быстренько похерили. А помешать этому может только кривые руки пользователя. =)
Ядро это не отдельный процесс, это много различных процессов, которые, в том числе, могут контролировать друг-друга и если что кричать караул. Тебе придется позаражать все.
В твоем случае вирус должен быть уже частью системы. А если он ее часть, то спасать систему уже нет смысла.
Как я уже писал, спасаем данные в сматываем удочки. ОС уже не жилец (тем более исходников нет).
Вот твоя хрень в одной упаковке сразу сама себя и сдаст.
У любой операционки написаной на коленке есть исходники которые никогда сети не нюхали.
Кому ты будешь какие сертификаты посылать получать ? Любой фаервол сразу это просекёт, а если фаер вдруг случайно сдох, то это 1й сигнал что есть вирь.
Для лечения очень помогает иметь лайв образ операционки на сд, там файлы не изменишь и уже с него ковырять твою "хитрость", данные под подозрение которые необходимо сохранить загоняются в парольный архив и копируются как резервная копия и уже потом этих файлы ковыряются на предмет выкуривания лишних жильцов.
В общем действий много, долго всё описывать.
Эта тема - модифицирующаяся задача. Я буду представлять собой программу-вирус в некой операционной системе. Вы предлагаете действия, которые следует произвести, чтобы удалить меня из системы с наименьшим уроном для неё.
Потом я вам скажу, что это за вирус и что имелась в виду за операционная система.
Наверное ещё буду писать реакцию операционной системы.
Немного обо мне.
Я появился в системе в процессе общения с другими компьютерами. Неизвестно достоверно, с одним или многими. Я фильтрую весь ввод и вывод. Работаю скрыто от системы и скрываю своё присутствие.
Кароче, не буду писать вышим языком, но скажу так:
Возможна Дух предоставил вам некую загаду и предсравил как вирус, который вы приняли как подобает вам(програмистам)
А теперь я сказу как это расшифрует "обычный" человек:
Вирус - Любовь. Операционная система - человек "Дух".
Я появился в системе в процессе общения с другими компьютерами.
Это и так понятно, обшение с девушкой (другой компьютер)
Я фильтрую весь ввод и вывод.
Когда человек влюблён, то любовь движет им.
Работаю скрыто от системы и скрываю своё присутствие.
Иногда человек сразу не замечает, что он вльюблён. Это приходит позже.
Вы предлагаете действия, которые следует произвести, чтобы удалить меня из системы с наименьшим уроном для неё.
Тебя не надо удалять. А если попытаешься - это может привести к серьёзным нарушениям работы системы.
И имея имя, допустим, love.exe скрывает процесс с таким именем.
Эта фраза сразу помогла разобраться
(ИМХО)
Программист - это диагноз.
(ИМХО)
Во Doooh даёт...
я бы сказал "во Strateg даёт"...
Дух, ты слишком идеализируешь. Это все хорошо для теории, но не практики...
К сожалению, ситуация из практики. Мало того, актуальная. Это не выдумка. Я просто говорю, что происходит если делать предложенное, потому как проверял. Приоткрую завесу лишь тем, что компьютер как бы не совсем компьютер. Остального знать вам не надо.
У тебя вирус все может, запускаясь как love.exe?
Нет, далеко не всё. Он оберегает систему от разрушения.
Тебе придется позаражать все.Похоже, что именно так и получилось.
В твоем случае вирус должен быть уже частью системы.Так и есть. Неотъемлемая часть. Иногда этот процесс завершается, когда долго нету связи с заразившим компьютером. Тогда система некоторое время ведёт себя как вполне здоровая, но через некоторое время начинает тормозить, рвать коннекты с другими компьютерами и пытаться подключиться к заразившему компу. После подключения система вновь выглядит здоровой, но работает своеобразно, как и раньше.
спасать систему уже нет смысла.
Всегда успееется повесить руки.
спасаем данные
Без системы данные бесполезны и кроме как через систему их никак не достать. Я ж говорю, неразборное.
ОС уже не жилецДа не, вполне жилец. Только работает с непонятными сбоями. Напоминаю, что если наблюдать за системой по прошествии некоторого времени после коннекта с заразившим компом, но до следующего коннекта, то система выглядит как абсолютно здоровая. Работает без странностей, а данные выглядят как исходные, неискажённые. Похоже на то, что сами данные как раз никогда и не искажались. Просто они временами считываются криво.
2TSV NV: Ну лажанулись, не сделали резервных копий. А может и в целях секретности сразу запустили на рабочей машине. А может, резервная копия 25-тилетней давности и возвращаться на неё всё равно, что делать всё заново.
Уважаемый Strateg, :) не стоит сбивать уважаемых программистов с хорошего хода решения задачи :) Скажу лишь, что к сожалению ОС не я, иначе было бы куда проще описывать процессы.
ОС не я, иначе было бы куда проще описывать процессы.
Doooh не ОС. Он просто разместил объяву. =)
Харе колоться, государственное дело :)
Дух, неужели ты только что зачавшаяся новая жизнь?
Можно так сказать. А что, заметны резкие изменения? :)
Дык енто, какие ещё мысли в связи с дополнениями?
Из множества решений самое надёжное - самое простое. Когда будет что-то реальное, тогда будем думать, а так из пустого в порожнее переливать, да пытаться обьять необьятное смыла нет.
На самом деле выдумывать всякую ботву как вирём можно насолить юзверю это всё фигня, все варианты уже давно придуманы, но не все реализованы.
з.ы. Кстати есть такая фича как управление питанием, на самом деле очень опасная, вирём программно переключаешь нулевое питание на противоволожное и останавливаешь кулер и дас ист хана процу "пфф...", т.е. допустим идёт питалово +12в, вместо минуса подаём -12в и почуствуйте разницу, при удвоении напряжения многие вещи просто скажут "пшшш...".
вместо минуса подаём -12в
Программное управление блоком питания - это для раздела "Юмор" ;)
PS:никаких вирей я делать не осбираюсь. Всё уже сделано. Я хочу разобраться, как работает.
программное управление не блоком питания, а системой питания процессора. не путай
Если сказанное возможно, то я могу только у виска покрутить разработчикам :rolleyes:
А вобще от перегрева проца есть зависящая только от железа защита, насколько я знаю.
защита от перегрева реализована программным образом. управление питанием процессора реализовано тоже программным образом.
просто потому, что в основе ЭВМ лежит "Принцип программного управления"
А вобще от перегрева проца есть зависящая только от железа защита, насколько я знаю.
Есть и такая, токо пока этот тормоз сообразит что, что-то не то, всё уже сдохнет.
gosha283
19.01.2007, 23:41
Короче поймла трояна Вебом все удалили все вылечил, но не помогает все ровно че то находит , потом вытащил кабель инета и все опять отработал Вебом,встваил кабель и вроде помогло:)
Ниче не находит :)
Итак вопрос для знатоков )))
Ето надолго!!! если нет то подскажите че делать:D
Теперь того же самого вируса не словишь, если мониторинг включен.
А отрубить кабель мысль интересная =)
.
А отрубить кабель мысль интересная =)
да! да! давайте отрубим кабель
ПО САМЫЕ УШИ :) :) :)
Кстати, удалил вирус из себя :)
Кстати, удалил вирус из себя :)
Ма-ла-дец! :D
Но, надо сказать, вирусом был заражён системный файл и после его удаления немного грустно :)
Но, надо сказать, вирусом был заражён системный файл и после его удаления немного грустно :)
Несцать. Незаменимых системных файлов у нас нет. =)
vBulletin® v3.8.12 by vBS, Copyright ©2000-2024, vBulletin Solutions, Inc. Перевод: zCarot