ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Virus.Win16.RedTeam

Classe Virus
Plataforma Win16
Descrição

Detalhes técnicos

Este vírus infecta arquivos EXE do Windows (NewExe) e envia-se para a Internet usando o e-mail do Eudora – é o primeiro vírus conhecido que infecta o Windows e se espalha pela Internet. Para infectar arquivos, o vírus permanece na memória do Windows e, em seguida, infecta os arquivos NE que são executados. Para infectar o e-mail do Eudora, o vírus analisa o formato interno do banco de dados de correio e adiciona mensagens "infectadas". O vírus é capaz de se espalhar para a Internet somente se o sistema de e-mail do Eudora estiver instalado no computador, mas os destinatários das mensagens infectadas podem usar qualquer sistema de e-mail padrão, não apenas o Eudora.

Naturalmente, o vírus não é capaz de se auto-executar automaticamente a partir de uma mensagem infectada. Não é possível infectar o sistema quando uma mensagem infectada é aberta e lida. Para espalhar o vírus, o anexo EXE infectado deve ser extraído e executado. Para fazer exatamente isso (para extrair e executar o arquivo anexado), o texto da mensagem convence o usuário.

O vírus não foi encontrado na natureza, mas, sendo lançado, pode parecer um perigo real para a rede global de computadores, porque se espalhar usa o sistema operacional mais popular (Windows) e um dos mais populares sistemas de e-mail (Eudora). ).

O tamanho do código e dos dados do vírus é de 4766 bytes. O vírus foi nomeado após sequências de texto presentes no corpo do vírus (eles são criptografados em arquivos infectados):


<< – RED TEAM – >> (C) O Gerenciador de almas.
Fabricado na Austrália – 06.97.
Então, Herr Kurtzhals – O F / Win é capaz de seguir The Red Team?

Infectando EXE

Ao infectar arquivos NewEXE, o vírus não cria um novo segmento nele – ele calcula o endereço do segmento de código, move o resto do arquivo para baixo e grava a si mesmo nessa caverna. O vírus aumenta o tamanho do segmento de código e, como resultado, permanece como parte do código do programa legal. O vírus também corrige os campos necessários nas tabelas de cabeçalho e realocação NE. O vírus então modifica o endereço inicial do ponto de entrada ou corrige os endereços das rotinas do sistema no caso do KRNL286 / 386.EXE.

Quando um arquivo infectado é executado em um ambiente não infectado, o vírus assume o controle e procura pelo módulo do Kernel do Win16 (KRNL286.EXE ou KRNL386.EXE). Quando esse arquivo está localizado, o vírus é aberto e infectado. O vírus não altera o endereço do ponto de entrada, ele altera os endereços das rotinas WINEXEC ou INITTASK. No caso do Windows 3.xx o vírus configura o novo endereço da rotina WINEXEC, no caso do Windows95 / NT o vírus faz o mesmo com a rotina INITTASK (porque o Windows95 / NT não chama o WINEXEC).

Para separar os módulos KRNL? 86.EXE (Windows 3.xx ou Windows95 / NT), o vírus usa o nome, se exportar a função CALLPROC32W, que é apresentado apenas no Windows 95 / NT de 32 bits.

O vírus, então, retorna o controle para o programa host e não executa nenhuma outra ação. Como resultado, pela primeira vez, o vírus não deixa nenhum código na memória do sistema – ele apenas infecta o módulo Kernel16 do Windows.

Residente em memória

Quando o Windows é carregado com o Kernel infectado, o vírus permanece na memória do sistema como parte do Kernel – nenhuma ação especial é necessária para fazer isso porque o código do vírus é colocado no mesmo segmento de código que as rotinas originais do Kernel. O vírus também não executa nenhuma ação para ligar os eventos do sistema porque eles já estavam conectados durante a infecção – o endereço WINEXEC ou INITTASK já aponta para o manipulador de vírus.

No Windows 3.xx, o vírus prende o WINEXEC, portanto, ele infecta arquivos executados. O vírus faz isso de maneira bastante inteligente – ele imediatamente passa o controle para o manipulador WINEXEC original e, em seguida, infecta um arquivo em segundo plano, ou seja, não há atraso quando o aplicativo é executado em ambiente infectado. Isso é muito importante para o vírus, porque normalmente o Windows 3.xx é instalado no PC lento antigo e os atrasos na execução podem avisar um usuário.

No Windows95 / NT, o vírus conecta o INITTASK, de modo que ele intercepta o controle quando os programas estão se registrando no sistema. O vírus, então, com a ajuda da função GetExePtr, obtém os Handles do Módulo para todos os aplicativos NE ativos e os infecta.

Infecting E-mail

Ao infectar um arquivo com probabilidade 1/8 (dependendo da chave usada para criptografar strings de texto), o vírus modifica seu código para que o arquivo infectado dessa hora ative uma rotina que elimine as mensagens de e-mail infectadas para a caixa de saída do Eudora. Quando tal arquivo é executado no diretório em que os bancos de dados do Eudora são colocados, o vírus abre os arquivos de dados do Eudora: NNDBASE.TOC, OUT.TOC, OUT.MBX. O primeiro arquivo ("banco de dados de nomes de Nick") é usado pelo vírus para obter nomes de destinatários para os quais o vírus enviará uma mensagem infectada. A mensagem infectada é colocada em OUT.MBX (banco de dados de caixa de saída) e as referências necessárias são colocadas no arquivo OUT.TOC.

A mensagem em si tem um assunto "Red Team", contém o texto e anexado arquivo EXE. O texto é o seguinte:


————————————————– ——————–
Oi!
Apenas pensei em avisá-lo sobre um novo e destrutivo vírus de email.
Aqui estão algumas informações:
> O vírus "Red Team" é um novo vírus de computador complexo que se espalha via
> o sistema operativo Microsoft Windows e o Internet E-Mail. Apesar
> não é o primeiro vírus a se espalhar via e-mail (que foi "Good Times"),
> o vírus Red Team é inigualável em suas capacidades destrutivas.
> Além disso, o vírus é extremamente comum – já foi
> relatado em grande parte da Europa Ocidental, EUA, Rússia, Austrália e
> Japão. Em suma, em todo lugar.
>
> Nós da QUEST, passamos várias semanas analisando este vírus e estamos orgulhosos
> para anunciar que finalmente temos uma cura! O programa, chamado "K-RTEAM"
> (Kill Red Team), pode ser executado em qualquer ambiente Microsoft Windows, e
> irá detectar de forma confiável (e remover se nescessário) o vírus Red Team de
> seus buffers de sistema.
>
> –
> Julia Blumin
> Tecnologias de software corporativo da QUALCOMM
> World Wide Web: http://www.qualcomm.com
A razão que eu pensei que deveria avisá-lo, é que recentemente tivemos uma corrida em
com esta fera. Felizmente conseguimos uma cópia do excelente
Programa 'K-RTEAM' antes que a destruição realmente começasse. Apenas no caso de
você deveria sofrer o mesmo infortúnio, eu incluí este programa para
você também.
Tchau!
PS Certifique-se de avisar todos os seus amigos desta nova ameaça!
————————————————– ——————–
Esse texto no corpo do vírus é compactado, portanto, o vírus o descompacta antes de salvar na caixa de saída do Eudora. O arquivo EXE anexado tem cabeçalho NE e é denominado como K-RTEAM.EXE ("Kill Red Team"), ele tem 6351 bytes de comprimento. É um programa de do-nada infectado (o vírus cria na unidade C: – C: K-RTEAM.EXE) que apenas espalha o vírus no computador. No cabeçalho e no final deste arquivo, há as sequências de texto:

K-RTEAM – Antivírus Red Team
K-RTEAM
Red Team Virus Found!
Remover vírus?
Vírus Removido!
Não foi possível remover o vírus!
O vírus não envia mensagens duas vezes do mesmo computador infectado. Para fazer isso, o vírus cria o arquivo RTBASE.TOC ao enviar mensagens infectadas. Na próxima vez, o vírus procurará esse arquivo e encerrará a rotina de infecção por e-mail, se esse arquivo aparecer no diretório.

Em laboratório

O vírus se replica no Windows 3.xx e não teve efeitos colaterais durante experimentos no laboratório – todos os arquivos foram infectados corretamente, os programas não foram corrompidos eo Windows não exibiu nenhuma mensagem de aviso / erro.

O vírus também armazenou o dropper na caixa de saída do Eudora sem problemas. As mensagens infectadas foram enviadas via Internet e recebidas corretamente.

No Windows95 / NT, o vírus tem um problema – ele não pode infectar o KRNL386.EXE e, como resultado, não pode se instalar residente na memória. O bug é bastante estúpido – o vírus reserva o Word (DW) para a variável "NE Header Offset", mas o usa como DoubleWord (DD). O segundo Word dessa palavra dupla é o sinalizador de versão do Windows: 0 se Windows3.xx, FFFFh se Windows95 / NT. Assim, no Windows95 / NT, o vírus recebe um valor errado dessa variável.

Apesar disso, os arquivos que foram infectados no Windows 3.xx funcionam no Windows95 / NT sem qualquer problema e podem infectar o banco de dados do Eudora, bem como no Windows 3.xx. Além disso, esse bug estúpido pode ser facilmente corrigido e uma versão compatível com o Windows 95 pode ser liberada pelo autor do vírus.


Link para o original