Не все сайты одинаково полезные

Streetseeker

Хакер, номер #093, стр. 093-076-1

streetseeker@mail.ru

Скрытый вред от crack-ресурсов

Все сталкивались с такой вещью, как тикающие часики жадной программы, отмеряющие ее жизнь. Когда у человека мало опыта, то он бьет в шаманский бубен и ходит кругами вокруг компьютера, вымаливая снисхождения у богов Шаровара и Триала. Но ты крут, и сразу идешь на кряк-сайты за лекарством от жадности. Позволь поведать тебе о нехороших вещах, которые могут пройзойти с тобой.

Как халявщик за лекарством ходил

Адски сверкая глазами и потирая жадные ручки, ты продираешься к заветному кряку. На своем пути ты сметаешь кучу флешевых окон и pop-up'ов с приглашениями к бесплатному просмотру порнографии, прослушке тысячи гигабайт mp3'шек и увеличению своего пениса со скидкой в 15%. Преодолевая преграды, ты осторожно стягиваешь потребный крошечный файл, проверяешь его своим свежеобновленным антивирусом, и со спокойной душой запускаешь программу. Ура, софтина излечилась от патологической жадности разработчиков, и готова верой и правдой служить на твоем личном фронте. Ликуя и бесовски усмехаясь, ты отключаешься от сети... А в это время в недрах системы началась кропотливая работа - десятки маленьких программок словно муравьи копошатся в потрохах системных dll'ок, вшиваются в твой браузер и начинают мониторить соединение с сетью, готовые выслать информацию своему ненаглядному хозяину. "Что за фигня, я же юзаю антивирус и не открывал ничего непотребного?", спросишь ты. А все потому, что добрые дяденьки вместе с лекарством всучили тебе кучку килобайт дряни в обход твоей защите.

Общий механизм заражения прост - ты заходишь на "зараженный" сайт. Из-за глюков браузера, в твою систему загружается, а далее запускается shell-код. Он обладает маленьким размером и размер троянца настолько мал, что даже сидя на диалапе ты ничего не заметишь. Shell-код запускает оболочку, а затем происходят самые интересные вещи: открывается порт, запускается спам-рассылка, либо DoS-атака на определенный ресурс.

На скриптовые вирусы ты можешь напороться где угодно, но особая концентрация наблюдается на кряк-сайтах. Немудрено, ведь как известно, бесплатный сыр бывает только в мышеловке. И ради того, чтобы обезопасить тебя, мой дорогой читатель, я и предпринял этот тяжелый для моей системы обзор. Начал с того, что установил голую винду (XP, SP1, никаких патчей) и выставил все системные значения по дефолту - Java включена, ActiveX элементы тоже. После накатил и тут же приостановил работу антивируса и фаервола (AVP и Outpost соответственно). Признаться, я немного нервничал, выплывая на этой убогой шаланде в дикие просторы Интернета. Но результат оправдал все мои ожидания.

Перво-наперво, я зарулил на astalavista.box.sk - самый раскрученный поисковик кряк-сайтов. Совместив приятное с полезным, мне захотелось найти лекарство для программы Wav Joiner. Эта утилита объединяет несколько WAV-файлов в один, но просит за свою работу 30$. Введя в поисковое окно название программы, я получил лист из 6 кряк-сайтов. Первый из них назывался cracks.am. Игнорируя попапы и флеш-окна, я пробрался к ссылке на кряк. Но во время моих странствий в системе происходили какие-то аномалии: браузер постоянно зависал, а в панели задач пару раз на секунду появлялось черное окно консоли. Это доказывало, что какая-то зараза таки успела пробраться в мою непропатченную систему. Запустив скаченное лекарство, я получил сообщение о несоответствии версии программы. Странно, но в описании к кряку был отмечен именно тот релиз, что имелся у меня на компьютере. Впоследствие стало ясно, что кряк - это простая подделка, выпускающая на волю RPC-DoS-троянчика. С момента запуска псевдокряка, каждые полчаса Инет начинал тормозить, а через пару вынужденных перезагрузок система впала в анабиоз (в это время я начинал лихорадочно шлепать скриншоты и сохранять все, что было под рукой). Спустя пару минут медитации винда упала в BSoD. Очевидно, что это была вина скриптов, сканирующих сеть и хлопающих непатченные компьютеры. А возможно, это был Net-Worm.Win32.Francette.a, или Raleca. (эту заразу впоследствии нашел мой антивирус).