Деструктивные потоки

A.M.D.F. (amdf@mera.net.ru)

Xakep, номер #069, стр. 069-076-5

Другие потоковые вирусы

Кроме W2K.Stream, потоки нашли применение и в других вирусах и червях. Первым червем, использовавшим файловые потоки, являлся I-Worm.Potok. Эта зверушка прикрепляет несколько потоков к файлу odbc.ini в каталоге Windows и хранит там скрипты для рассылки себя по почте. Еще одним «stream companion» вирусом является W2k.Team. Описание этих и других подобных вирусов ты можешь найти на сайте http://www.viruslist.com/

Популярный софт для работы с потоками

Задачу по обнаружению потоков успешно решают две удобные утилиты. Это Streams 1.5 (http://www.sysinternals.com/files/streams.zip) и LADS 4.00 (http://www.heysoft.de/nt/lads.zip). Также хочу отметить классную утилиту для работы с потоками NTFS, написанную на C#, - Alternate Data Stream (http://chadich.mysite4now.com/AlternateDataStream.zip). А чтобы отловить все вражеские трояны, хранящие вредоносный код в файловых потоках, тебе просто необходима программа под названием TDS-3 (http://tds.diamondcs.com.au/index.php?page=download). Как обычно, все указанные программы ты найдешь на нашем диске.

INFO

Существует легенда о том, что поток можно удалить только вместе с файлом, к которому он прикреплен. Это не так. Если ты знаешь название потока, то всегда сможешь удалить его стандартной функцией DeleteFile.

WWW

Получить дополнительную информацию о вирусах, использующих альтернативные потоки, можно на сайте www.viruslist.com.

CD

Как обычно, все описанные исходники, а также все упомянутые в статье программы ты найдешь на нашем диске.

WARNING

Дружище, помни, что в Уголовном кодексе РФ есть статья с легко запоминающимся номером два-семь-три. Она карает несколькими годами тюремного заключения за «создание и распространение вредоносных программ для ЭВМ». Так вот, мы тебя ни к чему такому не призываем.