X-News

Хакер, номер #079, стр. 079-004-3

Первый вирус под 1C

Долгое время вирусмейкеры, то ли не интересовались системами 1C, то ли не могли придумать оригинальный вирусный алгоритм под них. В общем, не было 1C вирусов. Но недавно Лаборатория Касперского объявила о первом таком представителе. Вирь с именем Virus.1C.Tanga.a, подобно Office'ным макровирусам, использует для распространения язык модулей «1С:Предприятие7.7», заражает файлы с расширением .ert, внедряясь в них под видом микромодуля, и активируется при открытии файла. Затем проверяет в системе наличие библиотеки Compound.dll, ищет на винте другие файлы .ert, в этих файлах ищет строку Tango.ERT.2622. Если такая строка имеется - значит файл уже заражен, если же нет, в файле создается новый модуль 1C Programm text, в котором прописывается код виря для дальнейшего распространения. Правда, винт он не форматирует, да и вообще никакого вреда не причиняет. Вирь был написан в экспериментальных целях, и автор сам отправил его исходники в лабораторию Касперского для изучения, снабдив их подробной документацией на русском языке.

Электронные подписи уязвимы

Хакерская пословица «Взломать можно все, вопрос только во времени» снова оправдала себя. На этот раз это относится к электронным подписям, которые до недавнего времени считались неуязвимыми для взлома. ЭП создаются на основе содержимого файла - специальный криптоалгоритм преобразует код в хэш-цепочку битов фиксированной длины, хэш вместе с электронным ключом используется для генерации подписи. Каждая ЭП уникальна, и прилепить ее из одного документа в другой не удастся. Но в ходе исследований двое ученых из разных университетов Штефан Люкс и Магнус Даум придумали способ создать два разных документа с одинаковой подписью. Основан он на подмене одного документа другим. Используя давно известную уязвимость в хэш-функциях, можно соединить два документа в формате postscript и показывать один из них, скрывая другой. Подобный способ можно использовать не только для взлома электронных подписей. Вскоре после объявления учеными о своем открытии, американская фирма Watchfire сообщила о появлении нового вида сетевых атак HTTP Request Smuggling (контрабандный HTTP-запрос). Атака основана на внедрении вредоносных пакетов в обычный сетевой трафик, причем никакой фаервол не сможет распознать отклонения. С помощью таких жучков можно получить полный контроль над системой. Security-организация CERT отнесла этот вид атаки к очень опасным. В сети уже появился документ, который подробно описывает технологию. Скачать его можно здесь: http://www.watchfire.com/resources/HTTP-Request-Smuggling.pdf

Политическая война в рунете

С мая по июнь рунет в буквальном смысле захлестнула волна политических дефейсов. Политических - не в том смысле, что их проводили политики, а в том, что сделаны они были для политической пропаганды. В числе жертв оказались: http://komsomol.ws, http://skm-rf.ru, http://jewish.ru, www.mhg.ru, www.antifa.ru и другие. Совершенно точно, что все эти взломы совершили одни и те же люди, так как после атаки взломщики оставили баннеры ультраправой национал-социалистической организации "Славянский Союз" с приглашением посетить кое-какие сайты. На рекомендованных сайтах можно было найти причину взломов: «Наше подразделение информационной войны будет и в дальнейшем закрывать сайты, пропагандирующие толерантность, коммунизм, иудаизм и прочие половые извращения на сексуальной почве...». Также взломщики пропагандировали вступить в их ряды и бороться со злом. Пожалуй, это первая в истории рунета хакерская активность на политической почве. Милиция, которая уже занялась расследованием, считает, что «Славянский союз» нанял группу хакеров для осуществления всех этих взломов, но точно пока ничего не известно. Кстати, вскоре после дефейсов, хак-тима Antishare хакнула сайты, ссылку на которые оставили политические взломщики. Парни посоветовали своим «коллегам» не лезть, куда не следует и вообще не высовываться. Хакерские разборки еще не закончились, об окончании этой истории я расскажу в следующем номере.