Virus.Java.StrangeBrew

Detalhes técnicos

Este é o primeiro vírus conhecido que infecta arquivos Java (classes). Foi encontrado em agosto de 1998. Ele é capaz de se replicar apenas no caso de o acesso a arquivos de disco ser permitido (as funções Java de acesso ao disco são permitidas), ou seja, o arquivo infectado é executado como aplicativo Java nativo e não como um applet. O vírus não é capaz de replicar, se for executado sob navegadores conhecidos – o sistema exibirá uma mensagem de aviso e terminará o vírus.

Quando o vírus é executado como o aplicativo, ele tem a possibilidade de chamar as funções Java de acesso ao disco (busca de arquivos, abertura, leitura, escrita, fechamento). Ao usar essas funções, o vírus executa a pesquisa de arquivos e as rotinas de infecção: ele varre o diretório atual para as classes Java não infectadas e as infecta. Ao infectar o vírus, ele abre arquivos como arquivos de dados binários, lê cabeçalhos e analisa o formato interno do Java.

Antes de executar sua rotina de infecção, o vírus precisa acessar seu próprio código. Isso é necessário porque o vírus precisa copiar esse código para outros arquivos Java enquanto os infecta. O vírus não é capaz de acessar seu código na memória – não há tais funções na linguagem Java, então ele varre o diretório atual para seu próprio arquivo (arquivo host), analisa seu formato, verifica o arquivo em busca de código de vírus e o lê .

O vírus, em seguida, procura por outras classes Java (os arquivos com extensão de nome .CLASS), analisa-as, grava seu código no arquivo e insere uma chamada para a função de vírus principal para a rotina da classe principal.

A função de vírus tem o Strange_Brew_Virus (), foi o motivo para nomear o vírus "StrangeBrew". A string "Strange_Brew_Virus" também é visível em arquivos infectados ao consultá-los por qualquer editor de texto.