ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Virus.Win32.RemEx

Classe Virus
Plataforma Win32
Descrição

Detalhes técnicos

O vírus é bastante grande em tamanho – está escrito em Microsoft Visual C ++ e tem cerca de 125K. O código de vírus original ocupa cerca de 14K, rotinas GZIP – 20K, bibliotecas de tempo de execução C – 40K. Outras áreas de dados são ocupadas por dados, recursos, etc. de vírus / C ++.

O vírus tem uma estrutura bastante incomum: os arquivos infectados têm segmentos de código e dados, além de três recursos que contêm arquivos executáveis ​​compactados. O primeiro recurso contém o NT4 PSAPI.DLL padrão usado pelo vírus para acessar processos na memória do sistema.

O segundo recurso é o próprio código de vírus original (incluindo o mesmo PSAPI.DLL compactado no recurso). Esta cópia do código do vírus é usada como os dados originais para instalar o vírus no sistema e para infectar arquivos EXE.

O terceiro recurso é o arquivo host extraído e descompactado, quando o vírus precisa executar o programa host.

Registro do sistema: ao instalar seu driver SYS no sistema, o vírus usa as chamadas padrão da API do NT. Isso faz com que o sistema registre os drivers de vírus no registro do sistema – o HKEY_LOCAL_MACHINESystemCurrentControlSetServicesRemote Explorer é criado.

Arquivos temporários: ao compactar / descompactar arquivos, o vírus precisa de arquivos temporários. Ele os cria no diretório temporário do Windows com os nomes aleatórios ~ xxxdddd.TMP (onde 'x' são letras e 'd' são dígitos).

Currículo

O vírus é o primeiro infectador nativo "residente na memória" do NT, então pode parecer um supervírus. Na verdade, o vírus foi escrito por algum desenvolvedor de nível médio que tinha acesso à documentação do NT DeviceDevelopmentKit.

O vírus não conecta nenhum evento do NT, não usa nenhum protocolo de rede, não tenta acessar as senhas e não distribui sua cópia pela rede global. Além disso, os vírus parasitas ordinários do DOS têm as mesmas capacidades de disseminação de rede como este vírus – eles também podem infectar arquivos em unidades compartilhadas remotas, permanecer na memória do sistema, etc.

Este é apenas um vírus parasita padrão, mas com capacidade de infecção do serviço NT. Não é mais complexo do que alguns outros vírus do Windows já conhecidos, e definitivamente não é mais complexo do que o conhecido trojan BO (BackOrifice).

Este vírus não é um choque de todo – é muito aguardado vírus do serviço WindowsNT.


Link para o original