Virus.Win16.RedTeam

Classe principal: VirWare

Vírus e worms são programas maliciosos que se auto-replicam em computadores ou através de redes de computadores sem que o usuário esteja ciente; cada cópia subsequente de tais programas maliciosos também é capaz de se auto-replicar. Programas maliciosos que se espalham através de redes ou infectam máquinas remotas quando são ordenados pelo “proprietário” (por exemplo, Backdoors) ou programas que criam múltiplas cópias que não podem se auto-replicar não fazem parte da subclasse Vírus e Worms. A principal característica usada para determinar se um programa é ou não classificado como um comportamento separado dentro da subclasse Vírus e Worms é como o programa se propaga (ou seja, como o programa malicioso espalha cópias de si mesmo via recursos locais ou de rede). como arquivos enviados como anexos de email, através de um link para um recurso web ou FTP, através de um link enviado em uma mensagem ICQ ou IRC, via redes de compartilhamento de arquivos P2P, etc. Alguns worms são distribuídos como pacotes de rede; estes penetram diretamente na memória do computador, e o código do worm é então ativado. Os worms usam as seguintes técnicas para penetrar em computadores remotos e iniciar cópias de si mesmos: engenharia social (por exemplo, uma mensagem de email sugerindo que o usuário abre um arquivo anexado), explorando erros de configuração de rede (como copiar para um disco totalmente acessível) e explorando lacunas na segurança do sistema operacional e do aplicativo. Os vírus podem ser divididos de acordo com o método usado para infectar um computador: vírus de arquivo vírus do setor de inicialização vírus de macro vírus de script Qualquer programa dentro dessa subclasse pode ter funções adicionais de cavalo de Tróia. Também deve ser notado que muitos worms usam mais de um método para distribuir cópias via redes. As regras para classificar objetos detectados com múltiplas funções devem ser usadas para classificar esses tipos de worms.

Classe: Virus

Os vírus replicam nos recursos da máquina local. Ao contrário dos worms, os vírus não usam serviços de rede para propagar ou penetrar em outros computadores. Uma cópia de um vírus só chegará aos computadores remotos se o objeto infectado, por algum motivo não relacionado à função de vírus, estiver ativado em outro computador. Por exemplo: ao infectar discos acessíveis, um vírus penetra em um arquivo localizado em um recurso de rede, um vírus se copia para um dispositivo de armazenamento removível ou infecta um arquivo em um dispositivo removível que um usuário envia um email com um anexo infectado.

Plataforma: Win16

No platform description

Descrição

Detalhes técnicos

Este vírus infecta arquivos EXE do Windows (NewExe) e envia-se para a Internet usando o e-mail do Eudora - é o primeiro vírus conhecido que infecta o Windows e se espalha pela Internet. Para infectar arquivos, o vírus permanece na memória do Windows e, em seguida, infecta os arquivos NE que são executados. Para infectar o e-mail do Eudora, o vírus analisa o formato interno do banco de dados de correio e adiciona mensagens "infectadas". O vírus é capaz de se espalhar para a Internet somente se o sistema de e-mail do Eudora estiver instalado no computador, mas os destinatários das mensagens infectadas podem usar qualquer sistema de e-mail padrão, não apenas o Eudora.

Naturalmente, o vírus não é capaz de se auto-executar automaticamente a partir de uma mensagem infectada. Não é possível infectar o sistema quando uma mensagem infectada é aberta e lida. Para espalhar o vírus, o anexo EXE infectado deve ser extraído e executado. Para fazer exatamente isso (para extrair e executar o arquivo anexado), o texto da mensagem convence o usuário.

O vírus não foi encontrado na natureza, mas, sendo lançado, pode parecer um perigo real para a rede global de computadores, porque se espalhar usa o sistema operacional mais popular (Windows) e um dos mais populares sistemas de e-mail (Eudora). ).

O tamanho do código e dos dados do vírus é de 4766 bytes. O vírus foi nomeado após sequências de texto presentes no corpo do vírus (eles são criptografados em arquivos infectados):

<< - RED TEAM - >> (C) O Gerenciador de almas.Fabricado na Austrália - 06.97.Então, Herr Kurtzhals - O F / Win é capaz de seguir The Red Team?

Infectando EXE

Ao infectar arquivos NewEXE, o vírus não cria um novo segmento nele - ele calcula o endereço do segmento de código, move o resto do arquivo para baixo e grava a si mesmo nessa caverna. O vírus aumenta o tamanho do segmento de código e, como resultado, permanece como parte do código do programa legal. O vírus também corrige os campos necessários nas tabelas de cabeçalho e realocação NE. O vírus então modifica o endereço inicial do ponto de entrada ou corrige os endereços das rotinas do sistema no caso do KRNL286 / 386.EXE.

Quando um arquivo infectado é executado em um ambiente não infectado, o vírus assume o controle e procura pelo módulo do Kernel do Win16 (KRNL286.EXE ou KRNL386.EXE). Quando esse arquivo está localizado, o vírus é aberto e infectado. O vírus não altera o endereço do ponto de entrada, ele altera os endereços das rotinas WINEXEC ou INITTASK. No caso do Windows 3.xx o vírus configura o novo endereço da rotina WINEXEC, no caso do Windows95 / NT o vírus faz o mesmo com a rotina INITTASK (porque o Windows95 / NT não chama o WINEXEC).

Para separar os módulos KRNL? 86.EXE (Windows 3.xx ou Windows95 / NT), o vírus usa o nome, se exportar a função CALLPROC32W, que é apresentado apenas no Windows 95 / NT de 32 bits.

O vírus, então, retorna o controle para o programa host e não executa nenhuma outra ação. Como resultado, pela primeira vez, o vírus não deixa nenhum código na memória do sistema - ele apenas infecta o módulo Kernel16 do Windows.

Residente em memória

Quando o Windows é carregado com o Kernel infectado, o vírus permanece na memória do sistema como parte do Kernel - nenhuma ação especial é necessária para fazer isso porque o código do vírus é colocado no mesmo segmento de código que as rotinas originais do Kernel. O vírus também não executa nenhuma ação para ligar os eventos do sistema porque eles já estavam conectados durante a infecção - o endereço WINEXEC ou INITTASK já aponta para o manipulador de vírus.

No Windows 3.xx, o vírus prende o WINEXEC, portanto, ele infecta arquivos executados. O vírus faz isso de maneira bastante inteligente - ele imediatamente passa o controle para o manipulador WINEXEC original e, em seguida, infecta um arquivo em segundo plano, ou seja, não há atraso quando o aplicativo é executado em ambiente infectado. Isso é muito importante para o vírus, porque normalmente o Windows 3.xx é instalado no PC lento antigo e os atrasos na execução podem avisar um usuário.

No Windows95 / NT, o vírus conecta o INITTASK, de modo que ele intercepta o controle quando os programas estão se registrando no sistema. O vírus, então, com a ajuda da função GetExePtr, obtém os Handles do Módulo para todos os aplicativos NE ativos e os infecta.

Infecting E-mail

Ao infectar um arquivo com probabilidade 1/8 (dependendo da chave usada para criptografar strings de texto), o vírus modifica seu código para que o arquivo infectado dessa hora ative uma rotina que elimine as mensagens de e-mail infectadas para a caixa de saída do Eudora. Quando tal arquivo é executado no diretório em que os bancos de dados do Eudora são colocados, o vírus abre os arquivos de dados do Eudora: NNDBASE.TOC, OUT.TOC, OUT.MBX. O primeiro arquivo ("banco de dados de nomes de Nick") é usado pelo vírus para obter nomes de destinatários para os quais o vírus enviará uma mensagem infectada. A mensagem infectada é colocada em OUT.MBX (banco de dados de caixa de saída) e as referências necessárias são colocadas no arquivo OUT.TOC.

A mensagem em si tem um assunto "Red Team", contém o texto e anexado arquivo EXE. O texto é o seguinte:

-------------------------------------------------- --------------------Oi!Apenas pensei em avisá-lo sobre um novo e destrutivo vírus de email.Aqui estão algumas informações:> O vírus "Red Team" é um novo vírus de computador complexo que se espalha via> o sistema operativo Microsoft Windows e o Internet E-Mail. Apesar> não é o primeiro vírus a se espalhar via e-mail (que foi "Good Times"),> o vírus Red Team é inigualável em suas capacidades destrutivas.> Além disso, o vírus é extremamente comum - já foi> relatado em grande parte da Europa Ocidental, EUA, Rússia, Austrália e> Japão. Em suma, em todo lugar.>> Nós da QUEST, passamos várias semanas analisando este vírus e estamos orgulhosos> para anunciar que finalmente temos uma cura! O programa, chamado "K-RTEAM"> (Kill Red Team), pode ser executado em qualquer ambiente Microsoft Windows, e> irá detectar de forma confiável (e remover se nescessário) o vírus Red Team de> seus buffers de sistema.>> -> Julia Blumin> Tecnologias de software corporativo da QUALCOMM> World Wide Web: http://www.qualcomm.comA razão que eu pensei que deveria avisá-lo, é que recentemente tivemos uma corrida emcom esta fera. Felizmente conseguimos uma cópia do excelentePrograma 'K-RTEAM' antes que a destruição realmente começasse. Apenas no caso devocê deveria sofrer o mesmo infortúnio, eu incluí este programa paravocê também.Tchau!PS Certifique-se de avisar todos os seus amigos desta nova ameaça!-------------------------------------------------- --------------------

Esse texto no corpo do vírus é compactado, portanto, o vírus o descompacta antes de salvar na caixa de saída do Eudora. O arquivo EXE anexado tem cabeçalho NE e é denominado como K-RTEAM.EXE ("Kill Red Team"), ele tem 6351 bytes de comprimento. É um programa de do-nada infectado (o vírus cria na unidade C: - C: K-RTEAM.EXE) que apenas espalha o vírus no computador. No cabeçalho e no final deste arquivo, há as sequências de texto:

K-RTEAM - Antivírus Red TeamK-RTEAMRed Team Virus Found!Remover vírus?Vírus Removido!Não foi possível remover o vírus!

O vírus não envia mensagens duas vezes do mesmo computador infectado. Para fazer isso, o vírus cria o arquivo RTBASE.TOC ao enviar mensagens infectadas. Na próxima vez, o vírus procurará esse arquivo e encerrará a rotina de infecção por e-mail, se esse arquivo aparecer no diretório.

Em laboratório

O vírus se replica no Windows 3.xx e não teve efeitos colaterais durante experimentos no laboratório - todos os arquivos foram infectados corretamente, os programas não foram corrompidos eo Windows não exibiu nenhuma mensagem de aviso / erro.

O vírus também armazenou o dropper na caixa de saída do Eudora sem problemas. As mensagens infectadas foram enviadas via Internet e recebidas corretamente.

No Windows95 / NT, o vírus tem um problema - ele não pode infectar o KRNL386.EXE e, como resultado, não pode se instalar residente na memória. O bug é bastante estúpido - o vírus reserva o Word (DW) para a variável "NE Header Offset", mas o usa como DoubleWord (DD). O segundo Word dessa palavra dupla é o sinalizador de versão do Windows: 0 se Windows3.xx, FFFFh se Windows95 / NT. Assim, no Windows95 / NT, o vírus recebe um valor errado dessa variável.

Apesar disso, os arquivos que foram infectados no Windows 3.xx funcionam no Windows95 / NT sem qualquer problema e podem infectar o banco de dados do Eudora, bem como no Windows 3.xx. Além disso, esse bug estúpido pode ser facilmente corrigido e uma versão compatível com o Windows 95 pode ser liberada pelo autor do vírus.

Saiba mais

Descubra as estatísticas das vulnerabilidades que se espalham em sua região statistics.securelist.com