Жизнь и смерть беспозвоночных в системе

Крис Касперски

Хакер, номер #089, стр. 089-050-3

Что это за эффекты такие? Давайте посмотрим! Создаем каталог "D:\1\2\3\", кладем в него notepad.exe (или любую другую программу по вкусу) и запускаем ее. Теперь переименовываем "1" в "a". Угадайте, что мы получим? Наперекор всяким переименованиям каталог "D:\1\2\3\" как был, так и остался, но теперь он совсем пустой! Зато образовался каталог "D:\A\2\3\" с notepad'ом внутри. Здорово! Переименуем notepad.exe в xxx.exe. Как видим, он совсем не сопротивляется и успешно переименовывается. Аналогичным путем могут быть переименованы каталоги "2" и "3". Единственное, что мы не можем делать, — это менять диск, но нам этого и не нужно! Главное, что запущенный из "D:\1\2\3\notepad.exe" файл переместился в "D:\a\2\3\xxx.exe", то есть поменял не только имя, но и место жительства. А что на счет списка процессов? Так вот, знайте, что NT создает его лишь однажды — в момент запуска - процесса и никогда не обновляет.

То есть в нашем случае FAR (равно как и любая другая программа) "честно" показывает исходный путь, которого уже нет.

Module: NOTEPAD.EXE

Full path: D:\1\2\3\NOTEPAD.EXE

PID: 664

Parent PID: 716 (Far.exe)

Priority: 8

Threads: 1

Антивирус просто не сможет открыть файл "D:\1\2\3\NOTEPAD.EXE". Как говорится, кто не успел, тот опоздал. Теоретически (и практически) антивирус может "подключиться" к процессу через его PID, но этому легко противостоять. Достаточно распотрошить любой хороший упаковщик типа Armadillo или eXtreme Protector — они сопротивляются этому вовсю! (Как вариант, можно положить на прежний путь безобидный файл с тем же самым именем — вот тогда доверчивый антивирус обломается по полной программе, даже не подозревая, как круто мы его провели).