Löytyykö mistään ns virtuaalikonetutkia eli kunnollisia ohjelmia, jotka toimivat kuin örkki-, virus- ja rootkittitutkat, mutta pystyvät löytämään ja identifioimaan (mieluimmin kaikki) eri virtuaalikoneet? Sellaiselle alkaisi olla merkittävää tarvetta.
Erillisiä pieniä ohjelmia kyllä löytyy, joilla voi osoittaa 1-3 eri virtuaalikonetta, mutta laajempaan tutkailuun pystyvä ohjelma olisi paljon käytännöllisempi.
Erillisiä pieniä ohjelmia kyllä löytyy, joilla voi osoittaa 1-3 eri virtuaalikonetta, mutta laajempaan tutkailuun pystyvä ohjelma olisi paljon käytännöllisempi.
Vastaukset 7
Vanhimmat
> Löytyykö mistään ns virtuaalikonetutkia eli kunnollisia ohjelmia, jotka toimivat kuin örkki-, virus- ja rootkittitutkat, mutta pystyvät löytämään ja identifioimaan (mieluimmin kaikki) eri virtuaalikoneet? Sellaiselle alkaisi olla merkittävää tarvetta.
Eikö kellään ole havaintoja tällaisista ohjelmista? Koneeseen salaa asennetut virtuaalikoneet takaportteineen ovat paljon vaarallisempia kuin virukset, koska niitä ei pysty lainkaan havaitsemaan millään nykyisellä virus- tai rootkittitutkalla. Käytännössä virtuaalikoneen voi havaita vain siten, että ohjelmien toiminnassa on jatkuvia pienempiä tai suurempia häiriöitä ja omituisuuksia, mutta kaikki testaukset örkki-, virus- ja rootkittitutkilla kertovat puhtaasta koneesta.
Olen hiljattain itse löytänyt koneestani siihen asennetun virtuaalikoneen. Se käynnistyi aina ennen käyttöjärjestelmää, koska sen käynnisti bios itse. Vasta kun virtuaalikone oli käynnissä, sen päälle ladattiin XP, joka löysi virtuaalikoneen esittämän 'virtuaalihardwaren' ja uskoi sen aidoksi. Virtuaalikone suojasi sitten itsensä piilottamalla XPltä omat tiedostonsa kovalevyllä ja prosessinsa muistissa.
Koneeni bios siis oli puukotettu versio ja se oli flashattu luultavasti aivan normaalilla menettelyllä eli ajamalla korppuasemassa bioksen päivitysohjelma. Tämä merkitsee samalla, että kotiini on murtauduttu flashausta varten tiirikalla tai yleisavaimella.
Bioksen tyyppitunnus ei sisältänyt mitään tietoa siitä, että se oli puukotettu versio. Tunnus oli standardibioksen tunnus. Bioksen käynnistämän virtuaalikoneen oli siis tarkoitus pysyä salassa.
Jotta tästä virtuaalikoneesta olisi mitään iloa virittäjälleen, siinä mitä todennäköisimmin oli internettiin aukeava takaportti, josta tietävä pääsi koneeseen sisälle aina kun kone oli käynnissä ja fyysisesti verkossa. Takaportin kautta pääsi sitten reaaliajassa näkemään mitä koneella tehtiin. Veikkaankin, että koneeseen oli virtuaalikoneen alaisuuteen asennettu ohjelma, joka kopioi reaaliajassa koneen koko toiminnan ja tietosisällön jollekin toiselle (orja)koneelle internetin läpi. Reaaliajassa kopioituivat siis sekä kovalevyjen että näyttöruudun sisältö. Elikkä täydellinen valvonta päällä 24 tuntia vuorokaudessa. Valvonnan sai poikki vain irrottamalla verkkopiuhan tai sammuttamalla koneen. Silloin vain ei itsekään pääsyt internettiin.
Yritin kuukausien ajan löytää Googlella internetistä koneeni biospäivityksiä, mutta niitä ei löytynyt. Sitten kokeilin sattumalta Lycos-nimistä hakukonetta ja heti löytyi päivitysohjelma Kiinasta kiinankieliseltä sivulta. Kun sain bioksen päivitettyä, niin koneeni toiminta vauhdittui heti selvästi. XPn bootti ja shutdown tapahtuvat nyt 2-3 sekunnissa ja koko XP vauhdittui reippaasti. XPn laitehistoriatietoihin päivittyi samalla suuri määrä laiteosoitteiden muuttuneita arvoja ikäänkuin koko emolevy olisi vaihtunut täysin toisentyyppiseen. Tämä ilmiö johtuu ilmeisesti siitä, että virtuaalikone ei enää käynnisty kun bios on vaihdettu ja XP löytää nyt aidot hardwareosoitteet. Virtuaalikoneen tiedostot tietenkin majailevat vielä kovalevyllä, mutta niiden etsimiseen pitää varata aikaa. Tavaraa kun on paljon.
Kuten kertomuksesta voi päätellä, virtuaalikonetutkia tarvittaisiin. Tavoitteena tulisi olla sama tilanne kuin virusten torjunnassa. Tarjolla tulisi olla jatkuvasti päivittyviä tutkaohjelmia, jotka pystyvät seulomaan esille uusimmatkin piilotetut virtuaalikoneet ja vieläpä poistamaan ne, jos suinkin mahdollista.
Jollei kukaan ole kuullut (kattavien) virtuaalikonetutkien olemassaolosta, niin ne lienevät sitten vasta tulossa aivan lähivuosina. Erilaisia virtuaalikoneitahan on olemassa jo 49 kappaletta, kuten wikipedia kertoo: http://en.wikipedia.org/wiki/Comparison_of_virtual_machines
"Virtuaalikoneen tiedostot tietenkin majailevat vielä kovalevyllä, mutta niiden etsimiseen pitää varata aikaa. Tavaraa kun on paljon."
Kiintolevysi koosta päätellen, ei sinne kovin paljon ylimääräistä xp:n lisäksi mahdu:
"4.3GB "
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=4500000000000657&posting=22000000029971902
> laita muutama tiedostonimi
? Nyt ei ymmärtää.
> "Virtuaalikoneen tiedostot tietenkin majailevat vielä kovalevyllä, mutta niiden etsimiseen pitää varata aikaa. Tavaraa kun on paljon."
> Kiintolevysi koosta päätellen, ei sinne kovin paljon ylimääräistä xp:n lisäksi mahdu:
"4.3GB "
> http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=4500000000000657&posting=22000000029971902
Nuo tiedot olivat alkuperäisen koneen (1999) tiedot löytämältäni weppisivulta. Nyt koneessa on 17 GB ja 8,4 GB kovalevyt. Niihin on kertynyt tavaraa.
Biosin päivitys ei vaikuta kovalevyn käynnistyssektorin sisältöön ja se on ainoa, jonka bios käynnistyksen yhteydessä etsii kovalevyltä.
Sori nyt vaan, mutta en vielä saa nielaistua tuota virtuaalikonettasi.
Olisin toivonut muutaman windowsiin kuulumattoman virtuaalikoneen tiedoston nimen, mutta ehkä niitä ei tänne ilmesty. Virtuualikoneita käyttäneet tunnistaisivat niiden perusteella ohjelman.
Riippuen laitteistostasi, adsl-modeemin hallinnastakin näkee tapahtuuko kuvaamasi kaltaista, luvatonta nettiliikennettä käynnistäessäsi konettasi. Voisikohan tämä aiheuttaa kuvailemasi viiveet käynnistyksessä (poistin kaverin koneesta tuon käytöstä):
http://www.intel.com/support/network/adapter/pro100/bootagent/
Mitä hyötyä kellään on moisesta? En siis kyseenalaista, koska uskon. Myös meille on noin käynyt ja saattaa olla koko ajankin. Hankaluus oli siinä, että minun tunnuksillani oli kirjattu sellaista, mitä en itse ole kirjannut. Aloin jo epäillä muistiani, mielenterveyttäni jne
Osaksi sen vuoksi pitää välillä pelleillä ohi... Koska tuo mitä kerroit on laitonta, niin tuollaisiin on turhan hankala suhtautua oikein. Teitkös rikosilmoituksen? Nauroivatkos sinut pihalle?
Meille joskus aiemmin tapahtunut "urkinta" selittyi mustasukkaisuudella.... arvaa vituttiko?
> Mitä hyötyä kellään on moisesta?
Teon tekijä katsoo aina hyötyvänsä teostaan. Joillekin maksetaan siitä ihan palkkaa, toiset myyvät hankkimiaan tietoja, kolmannet huvittelevat, neljännet kostavat kohteelleen jotain jne jne.
> Myös meille on noin käynyt ja saattaa olla koko ajankin. Hankaluus oli siinä, että minun tunnuksillani oli kirjattu sellaista, mitä en itse ole kirjannut.
Kuulostaa rikosilmoituksen paikalta.
> Koska tuo mitä kerroit on laitonta, niin tuollaisiin on turhan hankala suhtautua oikein. Teitkös rikosilmoituksen? Nauroivatkos sinut pihalle?
En ole vielä tehnyt rikosilmoitusta. Olen kyllä ajatellut sen tehdä, mutta lisää todisteita tarvittaisiin. Muuten poliisi jättää ilmoituksen yksinkertaisesti tutkimatta. Syytä kertomatta.
> Meille joskus aiemmin tapahtunut "urkinta" selittyi mustasukkaisuudella.... arvaa vituttiko?
Rikoksia ja jäynää tehdään mitä ihmeellisimmistä syistä. Haittaohjelmiakin on kirjoitettu yhteensä jo useita satoja tuhansia ja jokaisen tekemiseen on ollut vaivannäön 'oikeuttava' syy.
Sivulta http://www.emsisoft.com/en/ näkyy löytyvän haittaohjelmien nykyinen lukumäärä:
Number of Malware signatures:
Trojans 602098
Dialer 49852
Worms 83087
Spyware 41152
Traces 165286
Tuon listan mukaan erilaisia haittaohjelmia olisi nyt yhteensä 941475 kappaletta. Siis lähes miljoona.
> Biosin päivitys ei vaikuta kovalevyn käynnistyssektorin sisältöön
Totta.
> ja se on ainoa, jonka bios käynnistyksen yhteydessä etsii kovalevyltä.
Ei kai? Eikös bios pysty lukemaan haluamansa määrän peräkkäisiä sektoreita alkaen kovalevyn 1. osioimattomasta sektorista sekä myös alkaen jokaisen osion 1. sektorista? Ja nämä sektorit voivat sisältää mitä tahansa, dataa tai ohjelmia.
Vanhemmat standardibiokset todellakin lukevat vain sen ensimmäisen sektorin, koska se riittää niille. Mutta siitähän ei nyt ollut kysymys.
> Sori nyt vaan, mutta en vielä saa nielaistua tuota virtuaalikonettasi.
Eikö onnistu? :) Taidat tarvita kyytipojaksi muutaman hyvän linkin:
http://en.wikipedia.org/wiki/Virtualization
http://en.wikipedia.org/wiki/Virtual_machine
http://en.wikipedia.org/wiki/Comparison_of_virtual_machines
http://en.wikipedia.org/wiki/Hypervisor
http://en.wikipedia.org/wiki/Booting
http://en.wikipedia.org/wiki/Booting#Boot_sequence_on_standard_PC_.28IBM-PC_compatible.29
http://en.wikipedia.org/wiki/Master_boot_record
http://en.wikipedia.org/wiki/Volume_Boot_Record
> Olisin toivonut muutaman windowsiin kuulumattoman virtuaalikoneen tiedoston nimen, mutta ehkä niitä ei tänne ilmesty. Virtuualikoneita käyttäneet tunnistaisivat niiden perusteella ohjelman.
Heh. Jos nyt ymmärsin oikein, niin sinä haluat tietää virtuaalikoneen tiedostojen nimet, jotta voisit kertoa minulle kuinka minä voisin tuon virtuaalikoneen löytää ja identifioida? Arvaa onnistuuko. :)
Kuten aiemmin sanoin, joudun etsimään noita tiedostoja ajan kanssa. Tavaraa on levyillä paljon, joten niiden löytyminen on onnenkauppaa. Lisäksi on muistettava, että virtuaalikoneen asentaja (bioksen puukottaja) ei suinkaan ole poistunut kuvioista ja saattaa käydä hävittämässä tiedostot kun koti on tyhjillään. Hänellä on käytössään tiirikka tai yleisavain ja lisäksi jonkinlainen immuniteetti, sillä samassa talossa asuvat poliisit eivät tunnu mitenkään häiritsevän häntä puuhissaan. Aika kovapintainen rikollinen on kyseessä.
> Riippuen laitteistostasi, adsl-modeemin hallinnastakin näkee tapahtuuko kuvaamasi kaltaista, luvatonta nettiliikennettä käynnistäessäsi konettasi.
Tuo on hankala menetelmä, sillä modeemin perässä on yhteensä 5 konetta päivittäisessä käytössä. Tulisi paljon sanomista jos varaan modeemin omiin tutkimuksiini. Lisäksi virtuaalikoneen olemassaolo on jo osoitettu. Kysymmys on enää sen identifioinnista ja poistosta.
> Voisikohan tämä aiheuttaa kuvailemasi viiveet käynnistyksessä (poistin kaverin koneesta tuon käytöstä):
http://www.intel.com/support/network/adapter/pro100/bootagent/
En kuvaillut käynnistyviiveitä vaan niiden katoamista, mutta tuo on silti mielenkiintoinen ohjelma (Boot Agent). Kävin Intelin sivuilla ja verkkokorttini näyttää tukevan sitä. Toisaalta en ole koskaan nähnyt bioksen boottausvalinnoissa Boot Agent nimistä valintaa. Siellä oli aiemmin kyllä verkkoboottausmahdollisuus (tekstiä en muista), joka oli kuitenkin disabloitu. Näin siis ennen bioksen päivitystä. Nyt valittavissa ovat vain floppy, kovalevy ja cdrom.
En löytänyt ohjelmistoluettelosta enkä asetusvalikoista mitään Intellin ohjelmia. Tein hakuja levyilläni ja löysin ajurin nimeltä bootagnt.dll, mutta se ei ollut käytössä. Se sijaitsi hakemistossa, jonka perusti aiemmin syksyllä asentamani verkkokortin ajuripaketti (Intel). Jouduin silloin nuo ajurit asentamaan koska nettiyhteys katkesi ja vika paikallistui omaan koneeseeni, mutta sitä ei löytynyt. Ajurien asennuksen myötä yhteys palasi ja toimi sen jälkeen ongelmitta.
Hävitin nyt kokonaan Intelin ajurit hakemistoineen, mutta sillä ei ollut näkyvää vaikutusta XPn toimintaan. Nettiä en testannut, koska en mene XPllä nettiin enää ollenkaan.
Tästä muistuu muuten mieleen, että koneeni on silloin tällöin sammutettuna ollessaan käynnistynyt ihan itsekseen. Se lienee myös merkki siitä, että koneessani oli takaporttiohjelma ja että joku myös käytti sitä. Takaporttijärjestely on kyllä aika perusteellinen, jos koneen virtojen sammuttaminenkaan ei estä tunkeutumista koneeseen.