BugTraq.Ru: Короли VX-сцены. История группы 29A.

Короли VX-сцены. История группы 29A.
mindw0rk
Опубликовано: dl, 10.01.06 04:01

В 1991 г. на VX Heaven, самом посещаемом сайте, посвященном компьютерным вирусам, появилось голосование. Посетителям предлагалось определить лучшую вирусную группу, лучшего создателя вирусов, лучший вирусный журнал и некоторые другие вещи. Выбор многих в главной номинации был однозначным: группа 29A. Лучшим вирусмейкером стал ее мембер, лучшим журналом – ее e-zine. На протяжении долгого времени 29A была элитарной командой, состоящей только из лучших кодеров. Члены группы выпустили сотни вирусов, многие из которых стали революционными. 29A по прежнему активна, и продолжает создавать новые цифровые формы жизни, а в следующем году готовится отпраздновать свой 10-летний юбилей.

Становление

В середине 90-х интернет в Испании был доступен только некоторым университетам, научным организациям и коммерческим компаниям. Обычные компьютерщики довольствовались BBS и Fidonet. Впрочем, жаловаться им не приходилось, ведь на бордах и в конференциях было намного проще найти «братьев по разуму». Особенно тем, у кого такое странное и специфичное увлечение как компьютерные вирусы. Центром общения таких людей была испанская фидошная конфа, единственная в своем роде. Народ там делился своим опытом, идеями и исходниками. Одно было плохо – конференцией заправлял модератор, который постоянно устанавливал новые правила и нередко банил тех, кто участвовал в обсуждении зловредных алгоритмов. Неважно, в исследовательских целях или для поиска защиты от них. В конце 1995 г. двум постоянным участникам VirusBuster и Gordon Shumway все эти ограничения надоели, и они решили создать свою BBS Dark Node, в которой свободное обсуждение вирусных технологий будет не только не запрещаться, но всячески приветствоваться. На борду перешли еще несколько человек, недовольных политикой модератора, а Virus Buster вдобавок лично пригласил людей, которых считал специалистами по вирусам. Dark Node собрала лучших VX-кодеров Испании, и на ней каждый день шли горячие обсуждения по созданию вирей, совместный анализ кода и поиск багов в антивирусах. Со временем база знаний накапливалась, и Mr. Sandman, один из талантливых кракеров на BBS, решил, что было бы неплохо поделиться информацией с остальными. Лучшим способом сделать это было создание вирусного электронного журнала.

В это время международная VX-сцена переживала не лучшие времена. Многие авторитетные группы, такие как Thus, Qark, Quantum, SVL ушли со сцены, исчезла известная Dark Conspiracy, хотя часть ее мемберов основала новую группу, некоторые коллективы объединились, чтоб не развалиться окончательно. А единственным пополнением на смену уходящим старичкам стала Computa Gangsta, e-zine DHC которой, не получил большого признания.

К тому времени, как началась работа над журналом, тусовка из Dark Node BBS официально стала группой 29A (в компьютерной кодировке «666»). Парни не просто хотели создать очередной e-zine, журнал должен был стать оплотом сцены и в каждом байте нести полезную информацию. Поэтому выпуск 29A zine затянулся на целый год. Задержку вызвал и тот факт, что большинство мемберов группы успели обзавестись доступом в инет и кучу времени убивали в IRC, общаясь на программерских и вирусных каналах. Наконец, 13 декабря 1996 г. состоялся релиз журнала. Первый номер включал в себя несколько туториалов по полиморфным и макро-вирусам, руководство по отключению антивирей, дизассемблированный код интересных вирусов (Zhengxi, V.6000), и, конечно, исходники зверьков, написанных членами 29A. Политика группы с самого рождения была четкой – не выпускать в свет деструктивные организмы, поэтому в вирях, опубликованных в журнале, ставка делалась на оригинальность и новизну, никакого вреда они нанести не могли.

Нельзя сказать, что 29A zine вызвал фурор на VX-сцене, но журнал стал событием и с интересом изучался всеми активными вирусмейкерами. Одновременно с интересом к журналу появился интерес к группе, которая его выпускала.

Дальнейшее развитие

Второй номер 29A ждали долго, больше года (вообще, выпускать по журналу в год стало своего рода традицией). На этот раз задержка произошла из-за реструктуризации группы, обязательной военной службы у некоторых мемберов и увлечения интернетом. Но главное – пришлось полностью перестраиваться на новую Windows платформу, так как DOS с выходом винды стал быстро устаревать. Win32 стала «новой школой» для вирусмейкеров, обязательной для изучения всеми, кто собирался продолжить создавать вирусы.

97-й год стал переломным этапом для VX-сцены. Период затишья закончился и такие группы, как iKx, SLAM, SVL, Stealth начали активно релизить новые вирусы и е-зины.

Появилось несколько новых сайтов для вирусмейкеров, своей страничкой обзавелась и 29A. Размещалась она по адресу http://29A.islatortuga.com и называлась 29A Labs. Также в результате долгих посиделок в IRC, сначала на EFNet, потом на локальном испанском сервере, участники группы познакомились с новыми талантливыми кодерами, некоторые из которых присоединились к 29A. Появились мемберы из Дании (Darkman), Великобритании (Rajaat), Бразилии (Vecna), Канады (Reptile) и даже Перу (Jacky Qwerty).

Помимо постоянного состава, который должен был активно принимать участие в наполнении журнала и периодически выпускать новые вири под лейблом 29A, группа заполучила несколько внештатных друзей. От них не требовали активности, но они периодически в добровольном порядке предоставляли группе свои наработки, и их или печатали в е-зине, или выкладывали на сайт.

В 1997 г. впервые появились упоминания о 29A в печатной прессе. В самом популярном испанском компьютерном журнале «PCMania» опубликовали большую статью на 4 страницы о вирусной сцене, и в частности о группе 29A. Чуть позже там же вышел подробный обзор вируса Torero, написанного Mr. Sandman. Хотя мемберам не запрещалось создавать деструктивный код, случаи выпуска зловредных вирусов в сеть старались сводить к минимуму. Когда в одном из интервью Mr. Sandman’а спросили, почему он пишет вирусы, автор сравнил себя с поэтами и художниками. «Я просто творю». К вирусам относились как к произведениям искусства, и некоторые создания ребят из 29A действительно ими были.

Несмотря на то, что основное общение происходило на IRC, 29A периодически организовывала риаллайфовые встречи. Первой такой встречей стала тусовка в Мадриде, которая изначально планировалась как чисто 29A-пати. Тем не менее, некоторые мемберы из других стран, которые обещали поучаствовать, по разным причинам не появились, и к 29A присоединились несколько знакомых вирусмейкеров. Единственным неиспанским сценером на пати был Spanska, приехавший из Франции. Встреча проходила сначала в ресторане, где парни за обедом пообщались, потом в интернет-кафе, где состоялась шумная IRC-сессия, а закончилась в баре в центре Мадрида, где парни попробовали совместно написать вирус. Следующая тусовка была через год, теперь уже в Амстердаме.

С каждым годом журнал 29A становился все объемнее. С 4 выпуска в нем появилась новая Windows-оболочка на смену старой досовской. Появились новые постоянные рубрики: новости, интервью, приветы, обзор вирусных ресурсов, размышления о VX-сцене. Каждый номер также включал десятки VX-утилит и исходников вирусов, написанных 29A и другими группами. Так как большинство других вирусных журналов умирали после первого же выпуска, конкурентов у 29A zine не было и, подобно Phrack’у для хакеров, он стал библией для вирусмейкеров всего мира. А жизнь самой группы 29A была неотрывно связана с изданием журнала.

После выхода печально известного червя Code Red в 2001 г., вокруг 29A поднялся скандал. Многие приписывали авторство именно им, так как двое хакеров из Нидерланд, объявившие о том, что это их детище, причислили себя к мемберам 29A. Шумиха не утихла даже после того, как на официальном сайте 29A было опубликовано опровержение, где говорилось, что в группе нет людей из Нидерландов и хакеры просто хотели скомпрометировать группу.

На протяжение 90-х годов и вплоть до наших дней, состав группы постоянно менялся. Из 29A со временем ушло большинство ранних мемберов – шли годы, и приходилось думать о профессии, семье, оставив свою страсть для прошлого. Некоторые продолжили заниматься вирусами, но уже с другой стороны – работая на антивирусные компании и разрабатывая новые защитные алгоритмы. Некоторые навсегда оставили сцену и стали заниматься совсем другими вещами. На их смену приходили новые люди, которые продолжали выпускать журнал.

Известные вирусы от 29A

Мемберы группы 29A создали более сотни самых разных вирусов. Самые интересные были опубликованы в журнале, остальные осели или на BBS и FTP, или винтах своих создателей. Но несколько их вирей стоит выделить особенно. Так как, благодаря им, о 29A узнал весь компьютерный мир.

Esperanto: Первые сведения об этом вирусе появились в ноябре 1997 г. Эсперанто создавался как первый мультиплатформенный вирус, способный заражать машины работающие под DOS, Windows и Mac OS. Но, несмотря на грандиозный замысел, попытка оказалась неуспешной. В коде виря содержались баги, не позволяющие ему распространяться между PC и компьютерами Apple. Тем не менее, Эсперанто стал одним из самых сложных вирусов в истории и подвиг автора Mr. Sandman удалось повторить немногим вирусмейкерам.
Slammer: Скандально известный червь, написанный в 2003 г. экс-мембером 29A Benny и вызвавший несколько лет назад настоящую эпидемию в интернете. Заражает сервера, работающие под Microsoft SQL Server 2000. После попадания на компьютер, непрерывно отсылает свой код через порт 1434 на случайные машины в сети, и запускает его самостоятельно, используя ошибку в SQL. Занимает всего 376 байт и живет только в памяти компьютера, не оставляя копий на винте. Изменений в системе никаких не делает, но сильно замедляет сетевую работу и работу компьютера в целом. 1 декабря чешская полиция арестовала автора, который к этому времени уже ушел из группы и работал на антивирусную компанию Zoner Software. Benny признался, что действительно написал Slammer, но никогда не запускал его в сеть. Он только выложил исходники для ознакомления, которые кто-то скомпилировал и выпустил червя в свободное плаванье.
Cabir: Датой рождения этого червячка можно считать 14 июня 2004 г., когда Vallez/29A отослал свое детище на анализ антивирусным компаниям. Cabir - первый червь для мобильных телефонов, работающих под Symbian OS. Распространяется он, маскируясь под защитную утилиту Caribe Security Manager, и после того, как юзер соглашается принять файл, заражает систему. После этого, на дисплее телефона появляется надпись «Cabir», которую также можно увидеть при каждом включении мобильника. Следующим этапом становится поиск других телефонов в радиусе действия сигналов Bluetooth, и если такой телефон находится (он должен работать под Symbian), отсылает свою копию на него. В отличие от писишных собратьев, Cabir прекращает попытки заражения, если юзер откажется принимать файл. Антивирусные компании расценили червя как неопасного. Впоследствии вышло несколько модификаций Cabir’а под цифрами .b, .c, и .d, имеющих незначительные изменения в коде, чтобы обойти заплатки на телефоны для более ранних версий.
WinCE.Duts: Первый известный вирус для PocketPC, представленный Ratter/29A в июле 2004. Вирус довольно простой, заражается через запуск файла и инфицирует ARM-девайсы. Интересно, что зверек даже переспрашивает юзера: «Мне действительно можно распространяться? Да/Нет» и приступает к работе после положительного ответа. Duts относится к безвредным вирям, и, прикрепляя себя ко всем незараженным экзешникам, не вносит никаких изменений в систему.

Напоследок хочу дать список людей, которые в разные времена состояли в группе 29A и каждый из которых сделал определенный вклад в развитие VX-сцены:

Mr. Sandman, Тcp, Anibal Lecter, AVV, Blade Runner, Gordon Shumway, Griyo, Leugim San, Mr. White, Jacky Qwerty, VirusBuster, Wintermute, The Slug, Vecna, Darkman, Heuristic, Rajaat, Reptile , Super, Sopinky, The Mental Driller , Zombie, Benny, Bumblebee, LethalMind, Lord Julus, Prizzy, Mandragore, Whale.

Становление

Дальнейшее развитие

Известные вирусы от 29A

Иллюстрации к материалу