![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
avvaВот не знаю, есть ли вирусы/трояны, которые используют такую тактику: при запуске быстренько прописать себя в нужных местах, а потом выдать dialog box, идентичный тому, который выдаёт система, когда не может запустить программу из-за отсутствия DLLя: "Cannot find DLL такой-то in path такой-то" или как там его, не помню точно.
Думаю, мою бдительность это усыпило бы, т.е. я бы поверил, что действительно DLLя какого не хватает, и программа даже не запустилась, и не стал бы это проверять. А нарисовать эту ошибку дело ведь очень простое.
Думаю, мою бдительность это усыпило бы, т.е. я бы поверил, что действительно DLLя какого не хватает, и программа даже не запустилась, и не стал бы это проверять. А нарисовать эту ошибку дело ведь очень простое.
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
no subject
Date: 2004-01-06 10:32 am (UTC)no subject
Date: 2004-01-06 10:34 am (UTC)no subject
Date: 2004-01-06 11:50 am (UTC)Дело в том, что все эти вещи рассчитаны на неопытных пользователей, и если не выдавать никакого сообщения, то меньше вероятность, что жертва позовёт кого-нибудь более опытного, чтобы выяснить, в чём дело. Я, например, если бы программе не хватало какой-нибудь незнакомой DLLки, первым делом отправился бы в гугль и посмотрел бы, что это за DLL такая. Соответственно, если там будет имя реально существующей библиотеки, то можно будет её скачать и убедиться, что дело не в ней, а в противном случае отсутствие упоминаний об этом файле в сети само по себе будет выглядеть подозрительно (либо очень быстро где-нибудь появится список таких поддельных DLL, в том случае если их имена не совсем случайным образом генерируются).
Гораздо веселее выпадать с чем-нибудь вроде "this program has performed an illegal operation and will be terminated".
no subject
Date: 2004-01-06 12:06 pm (UTC)no subject
Date: 2004-01-06 10:43 am (UTC)А формат сообщения разве не системно-зависим ? Впрочем, можно.
и не стал бы это проверять.
А я бы стал. Что такое - программа, которую я хочу запустить почему-то не запускается !? Благо под рукой и FAR есть (PEditor plugin, IMPORT section).
И вообще "в нужные места" оно бы себя прописать не смогло - "правов нету".
no subject
Date: 2004-01-06 12:07 pm (UTC)no subject
Date: 2004-01-06 02:43 pm (UTC)no subject
Date: 2004-01-06 02:44 pm (UTC)no subject
Date: 2004-01-07 05:44 am (UTC)no subject
Date: 2004-01-07 09:23 am (UTC)Кроме того, я примерно раз в месяц чищу рег от "пустых" библиотек и после этого, естессно, гоняю в разных режимах — а вдруг заругается… (Кстати, в любой "не кривой" dll прописано, для чего она и с чем взаимодействует). Так что…
Я, конечно, чайник. Но не настолько :-)
no subject
Date: 2004-01-07 11:53 am (UTC)Зачем
Date: 2004-01-06 12:17 pm (UTC)если вирусу удается запуститься, то, по логике вещей,
его инкубационный процесс должен проходить скрытно,
пиротехнические эффекты имеют смысл только после того
как вирусу удастся размножиться используя все сетевые
средства, ведь если он попал на комп не с носителя, а
с сети, то грех было бы не кинуть еще несколько копий
себя, вредоносного, в ту же сеть - благо она качает в
обе стороны...
Тем не менее, есть вирус, который уже расплодившись
начинает "стращать" ползователя сообщениями о несуществующих ошибках
и нехай он почаще перезагружается с перепугу
W32.HLLW.Pluto (http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.pluto.html)
Есть вирус, видимо, использующий API от System File Checker
W32.Miroot.Worm (http://securityresponse.symantec.com/avcenter/venc/data/w32.miroot.worm.html)
Наконец, есть просто шалость (но какой там знойный инглиш):
Macro.Word.Formater (http://www.viruslist.com/viruslist.html?id=3544)
но, повторюсь, зачем шпиону привелкать к себе внимание попусту?
no subject
Date: 2004-01-06 12:36 pm (UTC)no subject
Date: 2004-01-06 02:23 pm (UTC)Вирусы с вэб сайтов
Date: 2004-01-06 07:40 pm (UTC)WWWUser.
no subject
Date: 2004-01-07 12:48 am (UTC)Nimda virus
Date: 2004-01-07 07:06 am (UTC)Вот, удалось найти (используя GOOGLE) детали, относящиеся к инфицированию через браузер, и теперь вспомнилоь, что дейсвительно так оно и было (за исключениеи того, что на самом деле использовался JavaScript, а не JScript):
Another web server related distribution mode includes placing specially encoded copies of the Nimda executable into the directories of a web server and adding some HTML code to the end of any HTML or ASP files found in those directories. The code added to the HTML and ASP files includes a simple JavaScript snippet that causes a web browser viewing the page to open a new window and download the specially encoded copy of Nimda from the web server. This 'specially encoded' copy of Nimda is actually an EML file -- an Outlook Express 'e-mail file'. If the web browser viewing it is an older version of Internet Explorer, a bug in its handling of certain, arguably 'malformed' (or 'misleading') MIME section headers causes the encoded executable in the EML file to be automatically decoded, written to a file and run.