Самый знаменитый троян современности написан на неизвестном языке программирования

Часть трояна Duqu написана на неизвестном языке программирования, созданного специально для разработки этого вируса, утверждают в «Лаборатории Касперского». По мнению экспертов, это указывает на многомиллионные инвестиции в разработку Duqu и на государственный заказ по его созданию.

Фрагмент кода, написанный на неизвестном языке программирования, получил в «Лаборатории Касперского» название «Фреймворк Duqu». Он предназначен для обмена информацией между модулем, внедряемым в операционную систему заражаемого ПК и командными серверами Duqu.

Напомним, что о трояне Duqu стало известно 1 сентября 2011 г. По предположению экспертов, этот троян был создан для точечных атак и кражи информации из компьютеров промышленных объектов, а также правительственных и коммерческих структур Ирана.

Создание червя Duqu потребовало разработки специального языка программирования

Примечательно, что 4 марта 2012 г. бывший глава Агентства национальной безопасности США Майкл Хэйден (Michael Hayden) в интервью телеканалу CBS заметил, что Stuxnet «был хорошей идеей». При этом генерал не рассказал, какое государство стоит за созданием этого трояна, преемником которого стал Duqu.

Эксперты «Лаборатория Касперского» обратились к сообществу программистов с просьбой связаться с ними всем, кому известно о средстве разработки, языке или компиляторе, который может генерировать код Duqu.

Источник

Фреймворк Duqu поставил «Лабораторию Касперского» в тупик

Реверс малвари

Эксперты «Лаборатории Касперского» обратились к сообществу с просьбой помочь разобраться, как работает программный код, который составляет значительную часть в основном компоненте Duqu, то есть в payload DLL, и вообще — на каком языке программирования написан этот код?

На диаграмме секция с таинственным программным кодом обозначена красным цветом, специалисты «Лаборатории Касперского» назвали её «Фреймворком Duqu» (именно так, с большой буквы).

Вот что пишет Игорь Суменков, эксперт «Лаборатории Касперского»:

На первый взгляд, Payload DLL выглядит как обычная загружаемая библиотека формата Windows PE, скомпилированная Microsoft Visual Studio 2008 (версия компоновщика 9.0). Код, расположенный в точке входа, абсолютно стандартный. Единственная экспортируемая функция под номером 1 тоже написана на MSVC++. Эта функция вызывается из PNF DLL и реализует весь функционал данной библиотеки — соединение и общение с C&C серверами, получение и выполнение дополнительных модулей троянца. Интересные детали обнаруживаются при более глубоком анализе кода, который вызывается этой функцией в процессе работы.

Содержимое секции кода Payload DLL типично для исполняемого файла, скомпонованного из нескольких исходных модулей. Секцию можно условно разделить на несколько разделов, каждый из которых соответствует одному или нескольким файлам исходного кода. Большая часть разделов присутствует в любой программе, написанной на C++, — это, например, функции стандартной библиотеки шаблонов STL, функции стандартной библиотеки языка и собственно код программы. Однако самый большой раздел, реализующий всю логику общения с C&C серверами, отличается от них во всём.

Этот раздел не типичен для C++ программ, потому что его исходный код – не C++. Код внутри раздела не обращается к другим функциям программы, написанным на C++, и не использует стандартную библиотеку языка, хотя используемые парадигмы явно указывают, что исходный текст был написан на объектно-ориентированном языке программирования. Мы назвали это Фреймворком Duqu.

Далее эксперты «лаборатории Касперского» пытаются разобраться, каким образом работает объектно-ориентированный язык во фреймворке Duqu. Они отмечают, что весь функционал в коде реализуют объекты, все они являются экземплярами какого-либо класса, всего в коде обнаружено 60 различных классов. Таблица функций объекта находится непосредственно в его памяти и может быть изменена в процессе выполнения. Во фреймворке активно используется парадигма так называемого событийно-ориентированного программирования.

Специалисты «Лаборатории Касперского» с ноября 2011 года потратили много времени на анализ кода и делают вывод, что фреймворк Duqu написан не на Visual C++, а загадочный язык программирования — определённо не C++, не Objective C, не Java, не Python, не Ada, не Lua и ещё не 30 других языков программирования, которые они проверили. «Лаборатория Касперского» обратились за помощью к самым опытным профессионалам по реверс-инжинирингу, которых смогла найти, но те тоже ничем не смогли помочь.

Источник

Как и почему Касперский стал Касперским. Уникальные фото

Статьей о человеке-бренде Евгении Касперском TAdviser открывает цикл материалов под общим названием «Программист-миллионер-звезда», посвященных жизнеописанию знаменитых российских ИТ-предпринимателей. Данный текст подготовлен на основе длительного личного интервью с Евгением Касперским.

Содержание

Компьютерный ребенок

«Машинка называлась «МИР», а язык программирования «Алмир»», вспоминает Евгений.

Такой же аппарат сейчас стоит в политехническом музее. Его размер – как два письменных стола. С одной стороны перфолентный ввод, а с другой – устройство печати. По вычислительной мощности он был слабее, чем калькулятор, но по тем временам для физматшколы это было очень даже пристойно.

«На ней решались достаточно тривиальные задачи. Первое, что я вычислял, это траекторию спуска летательного аппарата на землю (гравитация и т.д.). Мне было лет, наверное, четырнадцать, я сразу стал компьютерным ребенком».

Школа закончилась, и пришло время выбирать вуз. Касперский вспоминает себя как очень амбициозного юношу. Он хорошо учился и понимал, что может поступить в любое физико-математическое заведение столицы. Ездил в Московский университет на Мехмат, в Физтех, но увидел творившееся там «раздолбайство и студенческую вольницу».

«Я сам был очень сильным раздолбаем и понял, что это будет, наверное, нехорошо. Я решил, и совершенно правильно решил, что вольница мне будет менее полезна, чем армейская дисциплина. Сам на себя одел погоны и пошел в академию криптографии».

Неудавшийся криптограф

Обучение в академии сильно отличалось от обычного института, вспоминает Касперский. Утром построение, вечером построение, увольнительные на выходные. Студенты носят форму. Если не сдаешь экзамены, то отправляешься в обычную армию. В дипломе вместо традиционных предметов одни специальные дисциплины: СД1, СД2, СД3, СД4, история КПСС.

«Это было настолько секретно, что я уже ничего не помню».

Тем не менее, в основном от академии у Касперского остались позитивные впечатления.

«Я очень благодарен этому учебному заведению, меня там научили работать».

Но криптограф из него не получился, а получился, по собственному признанию, плохонький программист.

«Ребята, когда ковыряют мой код… его уже не осталось, конечно, но когда они его ковыряли, они иногда посмеивались».

В 1989 году Евгений Касперский поймал свой первый вирус. По тем временам это был нетривиальный вирус, он внедрялся в ядро операционной системы MS DOS и заражал файлы. Вирус был продвинутой системной программой, которая периодически проявлялась тем, что «осыпала» буквы на экране. Народ бежал с мониторами в ремонт, говорил «буковки падают». Вирус приполз к Касперскому сам, говорит он. Никакого интернета тогда не было. Сети были в зачаточном состоянии. Компьютерные вирусы тогда передавались на дискетах.

«Это было время, когда биты были большими, а компания Microsoft маленькой. Вот тогда это все и случилось».

Касперский тогда работал в Многопрофильном научно-исследовательском институте Министерства обороны СССР криптографом. Но эта специальность не прельщала Евгения, и в 1991 году он решил покинуть госучреждение. Примерно за полгода до этого он понял, что профессиональная офицерская деятельность и ловля вирусов – вещи несовместимые. К тому же его стали публиковать и приглашать на выступления с докладами. Именно тогда были написаны первые версии антивирусной программы.

«В какой-то момент я понял, что пора делать выбор – либо одно либо другое. Иногда шучу по этому поводу, говорю – вот, не написал бы тогда рапорт, был бы сейчас генералом, жил бы спокойно, ездил бы на черной Волге».

Голодный программист

Следующие несколько лет жизни Евгения Касперского были неразрывно связаны с НТЦ «КАМИ». Собственный статус в компании того времени он характеризует как самоокупаемое подразделение:

«Оно не всегда самоокупалось, конечно, но я думаю, что мы были квиты, потому что «КАМИ» использовала нас как флаг: вот у нас есть Касперский, его все знают».

«Нам хотелось как можно быстрее засветить эту утилиту пусть даже бесплатно, так как продать ее в то время еще не удавалось. Когда я заливал файл на какой-то западный FTP-сервер для тестирования, то ошибся, и вместо atp.zip написал avp.zip. Так что название AVP – это опечатка, которую мы не заметили. А оно взяло и прижилось».

Еще будучи сотрудником «КАМИ» Касперский, как признается сам, халтурил на другую российскую антивирусную компанию, которая существует до сих пор. Ее название Евгений не раскрывает. Разработчик набивал базы не только в свой антивирус, но и в один чужой. Оплата была за запись.

Наталья убедила, что время пришло

Решение об открытии собственной компании группе Евгения Касперского пришло не вдруг. Этому предшествовало как минимум несколько лет размышлений, обсуждений и подготовительной работы.

«Задолго до открытия фирмы я задавал вопрос своим наставникам о том, нужно ли создавать отдельную компанию. Алексей Борисович Ремизов, руководитель компьютерного подразделения «КАМИ», говорил мне: «Женя, не стоит, разоришься». И, наверное, где-то в первой половине 90-х это была правда. Но в итоге мы просто поняли, что нам необходимо открывать свою компанию».

Софтверный и хардверный бизнес, по мнению Касперского, с трудом уживаются друг с другом. Подтверждением этому тезису служит не только пример «КАМИ». В аналогичной ситуации в свое время находились и Аркадий Волож, который выделил «Яндекс» из дистрибуторской компании CompTek (КомпТек), и Сергей Белоусов, разделивший софтверные проекты и продажу компьютеров.

«Наверное, единственный пример, когда компания успешно разрабатывает программы и компьютеры – это Apple. Более или менее успешный пример. IBM – делает «железо», и все ее попытки сделать какой-то софт были неуспешны».

Начиная с 1995-го года «КАМИ» избавлялась от своих софтверных проектов. Антивирусное подразделение оставалось последним. Инициатором решения о выделении в самостоятельный бизнес была Наталья Касперская – на тот момент супруга Евгения: «Она убедила нас в том, что пора, время пришло. В тот момент это действительно было уже очевидно». В итоге из «КАМИ» выделилась антивирусная команда в составе 15 человек.

Проблемы с авторскими правами на антивирус, разработанный внутри «КАМИ», не возникло. Ведь это были 90-е годы. Отношения, по воспоминаниям Евгения, были оформлены «не стройно» и никак на практике не регулировались. Впервые регистрировать интеллектуальную собственность разработчики начали только в 1996 году.

Выходить на рынок с нуля, не имея маркетинговых бюджетов, команды продавцов, опыта самостоятельной работы – практически бесполезно. «Лаборатория Касперского» это понимала. Коробку со своим продуктом на полке в магазине разместить компания не могла, т.к. никто ее не знал. Серьезные партнеры представлять ее продукты в европейских розничных сетях не собирались.

Это как «Боинг», который летает на двигателях «Роллс-ройса»

«Это как «Боинг», который летает на двигателях «Роллс-ройса». Именно от этих технологических контрактов мы и получали основные доходы в последующие годы. На этом и жили».

На протяжении нескольких лет F-Secure и G Data оставались единственными партнерами компании, но вскоре заинтересованность в лицензировании антивирусных решений Касперского стали проявлять и другие фирмы. В начале нового столетия число таких партнеров стало неуклонно расти. Ежегодно контракты заключались с несколькими компаниями, и в 2003 году их было уже порядка десяти, а к 2007 году – около 90.

Лицензии поставляются в виде SDK (software development kit). По сути, это набор библиотек, без какого-либо интерфейса, но с необходимой документацией, уточнили TAdviser в «Лаборатории». Другими словами, SDK — это комплект средств разработки, который позволяет специалистам создавать законченные приложения.

В 2007 году «Лаборатория Касперского» изменила подходы к политике лицензирования. Бизнес компании к этому моменту значительно возрос, более того, «Лаборатория» начала осваивать рынки других стран в качестве независимого поставщика, и кое-кто из вчерашних партнеров по программам лицензирования превратился в прямых конкурентов. Поэтому контракты с такими компаниями были прекращены: всего за 2007 – 2008 годы лицензионных контрактов лишились примерно 10 фирм.

В «Лаборатории Касперского» появилась простая и четкая стратегия: заключать контракты с теми фирмами, с которыми не будет прямой конкуренции. Кроме того, была назначена минимальная годовая сумма контракта.

Для ряда компаний такие условия выгодны. Ведь заплатить за лицензию проще, чем самому тратить силы и средства на создание программного продукта. По состоянию на середину 2015 года лицензии на использование решений «Лаборатории Касперского» получили около 1820 партнеров, сообщили TAdviser представители компании. Среди них Juniper, Check Point, Microsoft, Parallels (Параллелз Софтвер), Cisco, WatchGuard, Blue Coat, LANDesk и др.

Три поворотных момента

Затем кризис грянул вновь. У компании появился совет директоров и обновилась структура. Но родилась она не сразу.

«Мы довольно много времени провели в жарких спорах, гуляя по парку перед офисом. Думая, как правильно реорганизовать компанию, для того, чтобы она работала более эффективно. Далеко не все были довольны, пару менеджеров мы потеряли с конфликтами. Зато остальные 90 остались».

Управленческих кризисов Касперский больше не ожидает: «Мне не известны другие, более взрослые модели организации компаний, поэтому может быть, это был наш последний кризис». Но в столь динамично меняющейся и молодой индустрии полностью избежать сложностей нельзя. Например, компания решила провести реорганизацию подразделения разработки. Ее Касперский называет очень болезненной, объясняя это врожденной консервативностью людей.

«Мы недостаточно быстро внедряли новые методы разработки. А мне хочется всегда попробовать что-нибудь новенькое, по-другому сделать, сделать лучше. В результате мы пришли к выводу, что нужно реорганизовать разработку таким образом, чтобы использовались новейшие методы разработки антивирусного софта, созданные и запатентованные нами».

Транснациональный монстр

Евгений Касперский стал одним из тех людей, чье имя больше ассоциируется с созданным им продуктом, нежели с ним самим. Из россиян в этот ряд можно поставить разве что некоторых создателей самолетов. Именно за это Касперского прозвали человек-бренд. Обыватели порой даже не знают о его существовании, удивляясь схожести фамилии в паспорте с названием антивируса, которым сами пользуются дома.

Характеризуя развитие своей компании, Касперский говорит: «Мы везде прем, везде фигачим как трактор». Штат «Лаборатории» по состоянию на середину 2015 года составляет более 3000 специалистов, ее представительства открыты в 31 стране на 5 континентах.

Наша встреча с Евгением Касперским переносилась несколько раз. Его оказалось не так-то просто поймать в России. За год Касперский может совершить до 100 перелетов и сотни часов провести в воздухе. На интервью он опоздал минут на тридцать.

Покрыв своими офисами и партнерами более 200 стран и территорий, Касперский стремительно перемещается между ними круглый год. За масштабы деятельности коллеги из России прозвали его транснациональным монстром.

Источник

Касперский

Кроме антивирусной программы лабораторией Касперского выпускается бесплатная утилита для лечения компьютера Kaspersky Virus Removal Tool.

Возникновение и развитие

Евгений Касперский, российский программист, начал первые разработки в направлении антивирусных программ еще в 1989 году. Толчком к определению сферы деятельность послужил зловред на личном компьютере Касперского, с которым программист справился буквально аз несколько часов.

Касперский собрал вокруг себя группу единомышленников для борьбы с кибер-угрозами. В 1991 году команда присоединилась к компании «Ками», а еще через несколько лет был выпущен родоначальник современного антивируса Касперского – программа AVP. Не долго думая, разработчики отправили программы в Габсбург для участия в международном тестировании. Программа оказалась лучшей среди всех антивирусов, представленных в габсбургском центре – AVP успешно обнаружила и нейтрализовала все существующие на тот момент вирусные угрозы. Программу вскоре выкупила фирма DataFellows (Финляндия) – на основе AVP был создан антивирус F-Secure.

В 2000 году главный продукт Лаборатории Касперского официально стал называться Антивирусом Касперского. На тот момент антивирус предоставлял защиту ПК и рабочим станциям на любой ОС.

В 2001 году появились разнообразные программные продукты: пакет для домашних компьютеров, пакет для малого и среднего бизнеса и отдельно для корпораций. В этом же году антивирусная программа Касперского плотно завоевала российский рынок – ее доля составила 50%. Причем, еще два года назад доля антивируса Касперского на российском рынке антивирусного ПО не превышала 5%.

Сегодня Лаборатория Касперского предоставляет покупателям целый ряд продуктов для борьбы с вирусами и вредоносными программами. Один из наиболее популярных на сегодняшний день – это Kaspercky internet security 2010. Данное ПО, кроме собственно антивирусного модуля, оснащено компонентом сетевого экрана, предназначенным для защиты пользовательского компьютера от хакерских атак.

Функции антивируса

Антивирус Касперского предоставляет несколько видов защиты компьютеров от вредоносных программ и вирусов: базовую защиту, проактивную защиту (превентивные меры для предотвращения угрозы), услуги по восстановлению системы и утраченных данных, а также защиту конфиденциальных данных.

В базовую защиту входит:

— защита от вирусов, червей и троянов;
— защита от рекламных и шпионских программ;
— проверка файлов (как в автоматическом режиме, так и по требованию);
— проверка входящих писем в почтовой программе (подходит для любых почтовых клиентов);
— проверка трафика;
— защита мессенджеров типа MSN или ICQ;
— проактивная защита от новых потенциально вредоносных программ;
— проверка Java-скриптов и Visual Basic-скриптов;
— защита от неявных «битых» ссылок;
— регулярная проверка файлов в автономном режиме;
— защита от фишинговых сайтов.

С целью предотвращения угрозы заражения Антивирус Касперского предлагает следующие услуги:

• Поиск уязвимых мест в конкретной операционной системе и установленном программном обеспечении
• Обнаружение, анализ и устранение уязвимостей в браузере Internet Explorer
• Блокировка ссылок на зараженные и подозрительные сайты
• Распознавание вирусов по способу их упаковки
• Глобальный мониторинг угроз (Kaspersky Security Network)

В случае, если система уже была поражена и требуется восстановление данных, антивирус Касперского предполагает возможность установки программ непосредственно на уже зараженный компьютер. Кроме того, работающая антивирусная программа защищена от остановки или выключения. После того, как вредоносные программы буду удалены, включается функция восстановления корректных настроек в системе. Также антивирусник располагает инструментам для того, чтобы возможно было создавать диск аварийного восстановления.

Антивирусные программы Касперского также применяются для защиты конфиденциальных данных. Конкретно – для блокировки ссылок на фишинговые сайты, а также для защиты от кейлоггеров.

Программы-антивирусники от Лаборатории Касперского достаточно удобны и просты в использовании. Антивирус предоставляет:

1. Автоматизированную настройку в процессе установки программы.
2. Шаблоны решений для часто повторяющихся проблем.
3. Визуальное отображение результатов работы.
4. Диалоговые окна с достаточно информацией для принятия пользователем решений.
5. Два режима работы – автоматический и интерактивный (с непосредственным участием пользователя).
6. Техническая поддержка 24/7.
7. Регулярное автоматическое обновление баз данных.

Требования, предъявляемые к операционным системам

Для адекватной работы антивирусных программ Касперского необходимо соответствие ОС следующим требованиям:

— не менее 480 Мб свободной памяти на жестком диске (зависит от выбранного пакета)
— CD-ROM для установки программы с установочного диска
— наличие мыши
— активное и постоянное подключение к Интернету для активации продукта и регулярного обновления базы
— Internet Explorer версии 6.0 и выше
— Windows Installer 2.0 как минимум.

Требования для нетбуков

Антивирус Касперского может быть установлен на нетбук в случае, если он соответствует следующим требованиям:

— процессор Intell Atom 1.6 ГГц
— видеокарта Intell GMA950
— ОС Microsoft Windows XP Home Edition
— экран 10.1

За всю свою историю существования Антивирус Касперского был не единожды награжден самыми различными организациями:

1. 51 награда VB 100 от специализированного британского журнала Virus Bulletin

2. Награды от российского портала AntiMalware:

август 2006, Gold Packers Support
сентябрь 2007, Silver Malware Treatment Award Gold
декабрь 2007, Anti-Rootkit Protection Award и Silver Proactive Protection Award
февраль 2008, Gold Anti-Polymorphic Protection Award
август 2008, Silver Performance Award: System Startup, Silver Performance Award On-Access Scanning, Bronze Performance Award On-Demand Scanning, Bronze Performance Award Office Software
октябрь 2008, Gold Malware Treatment Award
август 2007, Gold Self-Protection Award
январь 2009, Gold Self-Protection Award
март 2009, Gold Proactive Protection Award
ноябрь 2009, Gold Zero-day Protection Award

3. В марте 2009 года Антивирус Касперского получил специализированную отраслевую премию Choice of Channel 2008 как «Лучшая новинка года».

4. В мае 2009 года Антивирус Касперского был оценен по максимуму тестовой лабораторией AV-Comparatives

Как ни странно, но об Антивирусе Касперского больше положительных отзывов, нежели отрицательных. Тем не менее, существуют у данной программы и признанные недостатки. Главный из них – это ресурсоемкость. Программа хорошо работает только при наличии серьезных ресурсов, иначе она просто мешает работе пользователя, а иногда может и вовсе полностью нагрузить процессор, в результате чего компьютер попросту «зависнет». Правда, Евгений Касперский заверяет, что такой «эффект» давно остался в прошлом, и последние программы работают вполне корректно.

Еще одно обвинение, выдвигаемое Касперскому, связано с чрезмерной саморекламой – везде, где только можно и нельзя, появляется его логотип, а звук, который издавали первые версии программы при обнаружении вируса, не забудется еще долго. Впрочем, это уже чисто эстетические вопросы.

Чтобы увидеть «превед» от Евгения Касперского, достаточно щелкнуть по его имени в титрах в окне «О программе».

Евгений Касперский

Источник