Вирус стирает жесткий диск

Исследование активности кибершпионской группировки Equation, опубликованное командой GReAT «Лаборатории Касперского», описывает несколько чудес техники. Эта давно действующая и очень мощная группа создала серию крайне сложных вредоносных «имплантов», но наиболее интересная находка экспертов — это умение зловреда перепрограммировать жесткие диски жертв шпионажа, благодаря чему «импланты» становятся невидимы и практически неуязвимы.

Касперский: более 500 организаций пострадало от кибергруппы Equation https://t.co/aMYdt48JIP

— РИА Новости (@rianru) February 17, 2015

Это одна из давних страшилок компьютерной безопасности. Неизлечимый вирус, который навсегда остается в компьютерном оборудовании, считался городской легендой последние три десятилетия, но, похоже, кое-кто потратил миллионы долларов, чтобы сделать сказку былью. Некоторые газеты и сайты трактуют эту историю в довольно паническом тоне, заявляя, что хакеры могут «получать таким образом доступ к информации на большинстве компьютеров в мире«. Но нам бы хотелось снизить накал драматизма, поскольку эта возможность, скорее всего, останется такой же редкой, как панды, самостоятельно переходящие дорогу на ближайшем к вам перекрестке.

Давайте прежде всего разберемся, что такое «перепрограммирование прошивки винчестера». Жесткий диск состоит из нескольких компонентов, самыми важными из которых являются собственно носитель информации (магнитные диски для классических винчестеров HDD или чипы флеш-памяти для SSD) и микрочип, который управляет чтением и записью на диск, а также многочисленными сервисными процедурами, например обнаружением и исправлением ошибок.

Поскольку таких служебных процедур много и они сложны, чип работает по достаточно обширной программе и, технически говоря, сам по себе является маленьким компьютером. Программа этого чипа и называется прошивкой, и производители жестких дисков иногда хотят обновлять ее, чтобы исправить найденные ошибки или улучшить скорость работы диска.

Как раз этот механизм и научилась эксплуатировать группировка Equation, загружая свою собственную прошивку в жесткие диски 12 различных «категорий» (производителей/моделей). Функции модифицированной прошивки остаются загадкой, но вредоносное ПО на компьютере благодаря ей получает возможность читать и писать данные в специальный подраздел жесткого диска. Мы предполагаем, что этот подраздел становится полностью скрытым как от операционной системы, так и от специальных аналитических программ, работающих с диском на низком уровне. Данные в этой области могут пережить форматирование диска!

Более того, теоретически прошивка способна повторно заражать загрузочную область жесткого диска, делая даже свежеустановленную операционную систему инфицированной. Вопрос дополнительно усложняется тем, что за проверку состояния прошивки и обновление прошивки отвечает… сама прошивка, поэтому никакие программы на компьютере не могут надежно проверить целостность кода прошивки или обновить его с надежным результатом. Иными словами, однажды зараженная прошивка практически недетектируема и неуничтожима. Дешевле и проще выкинуть подозрительный жесткий диск и купить новый.

The only way to remove nls_933w.dll #TheSAS2015 #EquationAPT pic.twitter.com/zfVE1kKyha

— Fabio Assolini (@assolini) February 16, 2015

Впрочем, не бегите за отверткой — мы не ожидаем, что эта предельно мощная возможность инфицирования станет массовой. Даже сама группировка Equation использовала данную функцию всего несколько раз, модуль инфицирования дисков очень редко встречается на компьютерах жертв Equation.

Перепрограммировать жесткий диск гораздо сложнее, чем написать, скажем, программу для Windows. Каждая модель винчестера уникальна, и разработать для нее альтернативную прошивку — долго и дорого. Хакер должен получить внутреннюю документацию производителя (уже очень сложно), купить несколько винчестеров точно такой же модели, разработать и протестировать нужную функциональность, а также запихнуть ее в невеликое свободное место прошивки, сохранив при этом все исходные функции.

“..it would take a very skilled programmer many months or years to master” reprogramming hard drives, says @vkamluk #TheSAS2015

— Kelly JacksonHiggins (@kjhiggins) February 17, 2015

Это очень высокоуровневая и профессиональная работа, которая требует месяцев разработки и многомиллионных инвестиций. Поэтому данный тип технологий бессмысленно использовать в криминальных вредоносных программах и даже большинстве целевых атак. Кроме того, разработка прошивок — это «бутиковый» подход ко взломам, который трудно развернуть в широком масштабе. Производители дисков выпускают новые винчестеры и их прошивки чуть ли не каждый месяц, и взламывать каждую из них — трудно и бессмысленно даже группе Equation, не говоря уже обо всех остальных.

Практический вывод из истории прост. Вредоносные программы, заражающие винчестеры, больше не являются легендой, но среднестатистическому пользователю ничего не угрожает. Не крушите винчестер молотком, если только вы не трудитесь над иранской ядерной программой. Больше внимания стоит уделять не столь впечатляющим, но гораздо более вероятным рискам вроде взлома из-за плохого пароля или устаревшего антивируса.

Вообще, это один из самых древних и живучих мифов в области инфобезопасности. И одновременно — один из самых небанальных. Видимо, в этом и состоит секрет его долголетия.

Еще в прошлом веке, на заре эпохи ПК, среди пользователей ходили страшные истории в духе «в одной черной-черной комнате…». В этих историях вирусы, например, подавали на компьютерный ЭЛТ-монитор неправильную развертку, выжигая электронную начинку. Или вводили в резонанс пластины жесткого диска, так что они «сыпались» от ударных перегрузок. Или разгоняли флоппи-привод вплоть до необратимого перегрева мотора.

Разработчики антивирусов эти байки время от времени опровергали. Да, мол, теоретически это все возможно. Но на практике встроенная в «железо» защита от дурака подобные шутки не дозволяет. Так что спите спокойно, дорогие товарищи, no pasaran.

Пользователи вроде как верили, но страшные истории рассказывать все равно продолжали. Мало ли чего, «наверняка ведь нам всей правды не говорят».

Правда или вымысел: может ли #вирус физически повредить #железо компьютера? #безопасность

Tweet

Опять же и жизнь время от времени подкидывала сюрпризы. Например, в 1999 году случилась громкая эпидемия вируса Win95/CIH, он же «Чернобыль». Этот зловред портил данные не только на винчестере, но и в микросхемах BIOS на материнской плате. Так что некоторые пострадавшие от него компьютеры отказывались стартовать из-за повреждения загрузочной микропрограммы. Для лечения нужно было менять микросхемы BIOS или перезаписывать содержащуюся в них информацию.

Было ли это физическим повреждением компьютера? Скорее нет. После танцев с бубнами материнские платы обычно удавалось вернуть в изначальное состояние. Но стандартными домашними средствами «скорой компьютерной помощи» эта проблема не решалась, требовалось специальное оборудование.

Сегодня все запуталось еще больше.

Во-первых, каждая отдельная компьютерная железяка содержит собственную перезаписываемую микропрограмму, а то и не одну. Разве что винтов (обычных, с резьбой) и саморезов эта тенденция еще почему-то не коснулась.

Каждая из этих микропрограмм за долгие годы эволюции стала весьма сложной и из-за этого потенциально уязвима для атак. И не всегда последствия такой атаки можно легко откатить обратно.

Исследователи “Лаборатории Касперского” нашли вирус, который невозможно удалить с жесткого диска: https://t.co/CZV9J9FO46

— Kaspersky Lab (@Kaspersky_ru) February 18, 2015

Взять, например, историю с модифицированными прошивками винчестеров. Напомним, что эксперты «Лаборатории Касперского» обнаружили в арсенале хакерской группы Equation шпионские модули, внедренные в код микропрограмм для разных моделей жестких дисков. Эти зловреды полностью перехватывают управление накопителем, да так, что никакое форматирование диска уже не помогает.

The only way to remove nls_933w.dll #TheSAS2015 #EquationAPT pic.twitter.com/zfVE1kKyha

— Fabio Assolini (@assolini) February 16, 2015

Перепрошить винчестер обратно стандартными средствами не получится — за обновление прошивки отвечает сама прошивка. А она, разумеется, сопротивляется попыткам «выкурить» себя из теплого места. Конечно, с помощью специального оборудования любую микропрограмму можно поменять принудительно. Но на практике такой жесткий диск проще и дешевле будет выкинуть на помойку.

Можно ли это считать физическим повреждением? Уже неоднозначно. И подобных историй «железных уязвимостей» становится все больше.

Память, USB, BIOS и другие места современных компьютеров, об уязвимости которых стоит знать: https://t.co/gSHxjVdWaX pic.twitter.com/wlUKGwtuez

— Kaspersky Lab (@Kaspersky_ru) March 30, 2015

Во-вторых, непонятно, что считать компьютером. К примеру, современный автомобиль в некотором смысле тоже компьютер, притом подключенный к Интернету, только на колесах. И с ним можно много чего сделать удаленными манипуляциями через сеть, что показывает недавняя нашумевшая демонстрация перехвата управления Jeep Cherokee.

Рассказали практически все подробности того, как двое экспертов хакнули тот самый Jeep: https://t.co/Il2Et4vjlJ pic.twitter.com/8CwKDve4P2

— Kaspersky Lab (@Kaspersky_ru) August 10, 2015

Да, там участвовали не вирусы, а хакеры. Да, это было весьма непросто сделать, да, исследование заняло многие годы. Однако никто не удивится, если такая атака приведет к необратимому повреждению «железа» о любой придорожный столб.

Правда или миф, что вирус может физически повредить «железо» компьютера?

Правда. Хотя ответ здорово зависит от того, что именно понимать под «повреждением», «вирусом», «компьютером» и так далее.

Они могут способствовать отказу оборудования – это лишь одно из возможных последствий. Расскажу о ряде нюансов подробнее. Статья основана на практических наблюдениях и личном видение ситуации.

Итак, почему же антивирусы могут быть опасны для компьютера? Звучит странно, ведь их основная задача совершенно иная.

Они должны заниматься защитой компьютера, но…

Их активность при определенных условиях может привести к ряду последствий.

Первая причина

Опасность заключается в присутствие вероятности, что антивирусная активность приведет к отказу или серьезным сбоям в работе программ и операционной системы.

Одновременная активность двух и более антивирусов

Такие последствия особенно часто встречаются на компьютерах, где было установлено 2 и более антивируса, которые не входят в состав Windows.

Разное антивирусное ПО может сильно конфликтовать между собой. “Камни летят во все стороны”, могут пострадать сами антивирусы, остальное программное обеспечение и пользовательские данные.

Действия с зараженными файлами

При определенных настройках антивирусы удаляют зараженные файлы и отдельные записи. А ведь они могли быть необходимы для корректной работы отдельных пользовательских программ или компонентов операционной системы.

Некоторые из данных могут быть восстановлены автоматически, но не все… Как следствие могут пойти программные сбои и дело дойти вплоть до полного отказа компьютера загружаться.

Активность “левых” антивирусов

Также велика вероятность, что “левый” антивирус, скачанный с сомнительных ресурсов, будет представлять опасность для компьютера. Но почему?

Некоторые “левые” версии антивируса могли модифицировать в благих целях, но допустили ошибки, или целенаправленно запрограммировали их на “вредительство”.

К вам небольшая просьба.

Если нравится статья, поставьте лайк (палец вверх).

Вторая причина

Присутствует вероятность преждевременной поломки элементов компьютера.

Речь о “железе”. В первую очередь, о жестких дисках HDD или SSD.

Например, на компьютере без антивируса жесткий диск мог нормально проработать 10 лет, а с ним – забарахлил через 3-4 года и еще через год вообще вышел из строя. Догадываетесь, с чем это связано?

При нормальной работе антивирус часто обращается к жесткому диску, сканирует, стирает, записывает и перезаписывает информацию. В этом плане есть определенная опасность для срока службы оборудования. Идёт дополнительная нагрузка, диск со временем изнашивается.

Также антивирус может использовать огромную часть вычислительных ресурсов процессора и оперативной памяти. В совокупности с другими неблагоприятными явлениями это может привести к перегреву и выходу из строя того же процессора.

Стоит ли отказываться от их использования?

Однозначно, нет.

Если сравнить его полезность с потенциальными рисками, то пользы намного больше.

Ведь компьютер запросто могут “уничтожить” опасные вирусы. А ведь их зачастую вовремя останавливают именно антивирусы. Главное, чтобы пользователь своевременно позаботился об его установке, грамотной настройке и своевременных обновлениях.

Приглашаю вас в сообщество в Вконтакте и Одноклассниках. Ссылки на них в описании текущего канала.

Статья была полезна? Ставьте лайки (палец вверх). Подписывайтесь на канал. Делитесь публикацией с друзьями, кнопки «поделиться» в социальных сетях в вашем распоряжении.