• Знаете какой вирус был самым распространенным в 90-е годы? Он назывался OneHalf, а его активность в основном перепала на 1994 год!

• Тут нужно отметить, что этот вирус появился на компьютерах под MS-DOS. И он до сих пор может прятаться на некоторых древних машинах. Основной принцип OneHalf — не проявлять себя, пока не заразишь половину жёсткого диска. Именно отсюда и название «Одна половина». Как ему это удавалось и почему антивирусы его не замечали?

• Ну, во-первых, все заражённые файлы шифровались и становились длиннее на 3544 байта — в этом «хвосте» хранились случайно сгенерированный ключ и дешифратор. Каждый раз, когда пользователь обращался к файлу, вирус на лету декодировал его, а сам оставался незамеченным — следов его работы не было видно. Данные в файле шифровались побитовыми операциями исключающего «или» (XOR), которые затем в реальном времени расшифровывались вирусом по тому же алгоритму.

• Во-вторых, OneHalf перехватывал контроль над операционной системой, подменял MBR на поддельный и отображал зашифрованные файлы так, как будто их размер не изменился. Потому антивирусы и не могли заметить ничего необычного. Даже размер свободной оперативной памяти показывался без учёта нагрузки от вируса — как будто он вообще её не использовал.

• Как думаете, зачем OneHalf скрывал занятые собой пару килобайт ОЗУ. Дело в том, что в те времена все боролись за каждый килобайт, потому что максимальный объём оперативки был всего 640 КБ, и этого не хватало на всё. Например, перед запуском игры приходилось загружать в оперативку звуковой драйвер и драйвер мыши вместо драйверов CD-ROM и клавиатуры. Это уже потом в MS-DOS появился himem.sys внутри config.sys, который позволял использовать больше 640 КБ памяти.

• Если вы даже заметите вирус и захотите его удалить, то пропадут все зашифрованные файлы, потому что вместе с инфекцией теряется и случайно сгенерированный ключ...

• OneHalf.3544 генерировал ключи случайным образом, но дешифратор всегда оставался неизменным и запускался каждый раз при обращении к заражённому файлу. Как же инфекции удавалось остаться незамеченной?

• Уже в те годы любой нормальный вирус изначально создавался полиморфным. Иначе он не продержался бы и суток: антивирусы постоянно сканируют файлы, ищут в них известные фрагменты вирусного кода и удаляют заражённые блоки.

• OneHalf.3544 хранил в начале каждого файла специальную карту дешифратора — в ней был набор адресов, из которых дешифратор собирался по кусочкам. Эти кусочки были раскиданы по всему файлу. Поэтому ни один фрагмент кода в заражённых файлах не повторялся.

• Чаще всего OneHalf передавался на дискетах. Как только операционная система получала доступ к дисководу, вирус запускался и проверял имена и размеры файлов. Он был хитрый и не хотел тревожить антивирусы, имеющие встроенную защиту от заражения. Поэтому не трогал файлы, в названиях которых встречались слова SCAN, CLEAN, FINDVIRU, GUARD, NOD, VSAFE, MSAV, CHKDSK, СПИД, ADINF или WEB.

• Перед заражением вирус получал от операционной системы размер файлов, для того чтобы пропускать совсем маленькие. Причина в том, что дешифратор состоял из 10 фрагментов, которые требовалось скрыть внутри одного файла, а минимальное расстояние между этими кусочками кода составляло 10 байт.

• После проверки OneHalf начинал записывать себя во все файлы и блокировал на время доступ к накопителю — никто не мог извлечь дискету, пока он не закончит работу. Расчёт был прост: пользователь не захочет её портить, а потом покупать новую.

• В первую очередь OneHalf заражал EXE и COM файлы. Это стандартное поведение вирусов — ведь им надо было как-то запускаться, а именно эти файлы являются исполняемыми.

• Кстати, в те времена многие антивирусы ограничивали проверку системы только такими файлами, потому что это был единственный способ распространения вирусов. Когда в свет вышла ОС Windows 95 и более новые версии, вирус OneHalf практически вымер...

#Разное

• Когда пытаешься зайти в BIOS:

#Юмор

• Мало кто вспомнит, но в 2004 году произошла настоящая эпидемия сетевого червя Sasser. Этот вирус наделал немало шума и вреда в финансовом эквиваленте, хотя изначально не имел такой цели.

• Червь распространялся, используя уязвимость в службе LSASS Microsoft Windows, при этом не требовал никаких действий со стороны жертвы для активации.

• Вирус создавал FTP сервер на порту 5554 для своего распространения. На диске С червь создавал файл под рутом с именем win.log, который содержал IP адрес компьютера, который червь пытался заразить в последнее время. Также червь использовал Windows API для проверки IP адреса системы, чтобы в дальнейшем на его основе сгенерировать новый адрес. в 25% случаев первые 2 цифры сгенерированного адреса совпадают с хостом, когда последние 2 случайны. Есть вероятность в 23%, что только первая цифра будет совпадать, и вероятность в 52%, что сгенерированный IP будет абсолютно случаен. Процесс выбора случайного адреса использует 128 потоков, что может значительно ухудшить производительность зараженной машины.

• Также малварь создает скрипт (cmd.ftp) в системе машины-жертвы, который «заставляет» ее скачивать червя из инфицированного ftp-сервера. После того, как скачивание завершено, скрипт удаляется.

• В результате своего распространения Sasser парализовал работу миллионов компьютеров по всему миру, от него пострадали тысячи крупных и мелких компаний, университеты, государственные учреждения. Некоторые авиакомпании отложили или даже отменили рейсы (British Airways, Delta Air Lines), прекратили работу несколько банков (Goldman Sachs и Westpac Bank), а финский банк Samp закрыл все 130 своих отделений в качестве профилактической меры. На Тайване червь парализовал работу технической выставки Computex и трети почтовых отделений, в Гонконге оставил без компьютеров государственные больницы, остановил железную дорогу Австралии.

• Исходом работы червя была постоянная перезагрузка компьютера с выводом на экран ошибок процесса lsass.exe. Однако этого хватило, чтобы многие компании понесли огромные потери. В общей сложности ущерб от вируса составил примерно 18 миллиардов долларов. Всего заражено было около 250 000 машин.

• Автором этого червя оказался 17-летний немецкий хакер Свен Яшан. Он был вычислен и задержан в мае 2004 года с помощью информаторов. За его поимку компания Microsoft объявила материальное вознаграждение в размере 250 тысяч долларов. В июле 2005 года суд города Фердена признал Яшана виновным в манипулировании данными, компьютерном саботаже и проникновении в корпоративные сети. Хакера приговорили к 1 году и 9 месяцам лишения свободы условно с испытательным сроком 3 года, включая 30 часов общественных работ на время испытательного срока. Несмотря на огромный экономический ущерб от распространения червя, факт корыстной заинтересованности Свена доказан не был; судьи посчитали, что он действовал лишь в целях самовыражения.

#Разное

• Зацените какая красота (смотреть со звуком). Если честно, то я не совсем понимаю, для чего сделали Reset всей стойки с задержкой включения каждой из ячеек. Могу только предположить, что это сделано для того, чтобы избежать резкой нагрузки на электрику (но это не точно).

• P.S. Если кому интересно "что это", то вот ответ: эта система называется "FUYL Tower Smart Locker" и она представляет из себя целую стойку умных ячеек для автоматизации управления, выдачи и возврата устройств, таких как ноутбуки, планшеты и т.д. Там есть доступ через метки RFID, пин-код, система логирования (кто вернул устройство, а кто нет) и еще куча разных фишек. Подробнее вот тут: https://www.lockncharge.com

#Оффтоп #Разное

• Ну, во-первых, это красиво.... а во-вторых, надежно и безопасно!!!

#Юмор

• Помните публикацию, где я рассказывал про скрытые промты для ИИ в научных публикациях, чтобы нейросеть хвалила такой материал? Так вот, в твиттере пишут, что таким образом можно получить доступ ко всей информации из почтового ящика Gmail, достаточно только знать ваш адрес электронной почты.

• Всё дело в MCP (Model Context Protocol) благодаря которому можно подключать ChatGPT к различным программам или бизнес-инструментам. Таким образом AI-помощник будет выполнять ваши задачи в определенных приложениях и выводить результат в чате. В общем и целом, ChatGPT будет вам лучше помогать в различных вопросах. Однако не все так круто, как хотелось бы...

1. Злоумышленник, который знает ваш адрес электронной почты, отправляет вам приглашение на встречу. Приглашение содержит скрытый промт для ИИ. Пользователь даже может не принимать это приглашение.
2. Если ChatGPT получает любую команду от пользователя, которая спровоцирует обращение ИИ к календарю, то можно прощаться с информацией.
3. ChatGPT считывает приглашение в календаре и действует так, как указана в промте (просматривает ваши личные письма и отправляет данные на адрес электронной почты злоумышленника).

• На самом деле в этом методе нет ничего нового. Скрытые промты уже давно используются подобным образом и являются достаточно эффективным методом скама при правильной реализации. Так что будьте осторожны. Демонстрация всего вышеописанного есть на видео к этому посту.

#AI

• А потом я взял и поменял строчку в конфиге...

#Юмор