Worm.Win32.Bumerang

Classe principal: VirWare

Vírus e worms são programas maliciosos que se auto-replicam em computadores ou através de redes de computadores sem que o usuário esteja ciente; cada cópia subsequente de tais programas maliciosos também é capaz de se auto-replicar. Programas maliciosos que se espalham através de redes ou infectam máquinas remotas quando são ordenados pelo “proprietário” (por exemplo, Backdoors) ou programas que criam múltiplas cópias que não podem se auto-replicar não fazem parte da subclasse Vírus e Worms. A principal característica usada para determinar se um programa é ou não classificado como um comportamento separado dentro da subclasse Vírus e Worms é como o programa se propaga (ou seja, como o programa malicioso espalha cópias de si mesmo via recursos locais ou de rede). como arquivos enviados como anexos de email, através de um link para um recurso web ou FTP, através de um link enviado em uma mensagem ICQ ou IRC, via redes de compartilhamento de arquivos P2P, etc. Alguns worms são distribuídos como pacotes de rede; estes penetram diretamente na memória do computador, e o código do worm é então ativado. Os worms usam as seguintes técnicas para penetrar em computadores remotos e iniciar cópias de si mesmos: engenharia social (por exemplo, uma mensagem de email sugerindo que o usuário abre um arquivo anexado), explorando erros de configuração de rede (como copiar para um disco totalmente acessível) e explorando lacunas na segurança do sistema operacional e do aplicativo. Os vírus podem ser divididos de acordo com o método usado para infectar um computador: vírus de arquivo vírus do setor de inicialização vírus de macro vírus de script Qualquer programa dentro dessa subclasse pode ter funções adicionais de cavalo de Tróia. Também deve ser notado que muitos worms usam mais de um método para distribuir cópias via redes. As regras para classificar objetos detectados com múltiplas funções devem ser usadas para classificar esses tipos de worms.

Classe: Worm

Worms espalhados em redes de computadores através de recursos de rede. Diferentemente do Net-Worms, um usuário deve iniciar um Worm para que ele seja ativado. Esse tipo de worm pesquisa redes de computadores remotas e copia a si mesmo para diretórios que são acessíveis para leitura / gravação (se encontrar algum). Além disso, esses worms usam funções integradas do sistema operacional para procurar diretórios de rede acessíveis e / ou pesquisam aleatoriamente computadores na Internet, conectam-se a eles e tentam obter acesso total aos discos desses computadores. Essa categoria também abrange os worms que, por um motivo ou outro, não se encaixam em nenhuma das outras categorias definidas acima (por exemplo, worms para dispositivos móveis).

Plataforma: Win32

O Win32 é uma API em sistemas operacionais baseados no Windows NT (Windows XP, Windows 7, etc.) que oferece suporte à execução de aplicativos de 32 bits. Uma das plataformas de programação mais difundidas do mundo.

Descrição

Detalhes técnicos

Este é um vírus Win32 muito perigoso. O vírus em si é um arquivo EXE do Windows PE com cerca de 23 Kb de comprimento (compactado por UPX, com um tamanho descompactado de cerca de 52 K) e escrito em Microsoft Visual C ++. Ele se espalha através da rede local e infecta os aplicativos Win32 EXE (arquivos PE EXE). Ao infectar, o vírus move um arquivo que começa no final do arquivo e, em seguida, grava a si mesmo no início do arquivo. Como resultado, quando um arquivo infectado é iniciado, o código do vírus assume o controle.

O vírus usa chamadas específicas do Win9x e pode funcionar apenas em máquinas Win9x. Por causa de sua "natureza" de rede, o vírus pode infectar arquivos em máquinas NT, mas eles não podem ser executados lá.

Rotinas de Vírus

Quando um arquivo infectado é executado, o vírus obtém seu código de um arquivo host infectado e o transfere para o diretório de sistema do Windows com o nome DDRAW32.DLL (esse arquivo é um aplicativo Win32 PE com um código de vírus "puro"). O vírus então gera esse arquivo DLL "puro código", desinfeta um arquivo host e o gera, retornando o controle para o programa host.

Se ocorrer um erro acima, o vírus exibirá uma mensagem "Erro fatal".

Quando executado, o arquivo de vírus DDRAW32.DLL ativa as principais rotinas de vírus. Existem quatro:

1. Rotina de registro. Este cria uma chave de execução automática do registro:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunServicesOnce =% SystemDir% DDRAW32.DLL

Se uma aplicação REGEDIT for executada, esta rotina remove temporariamente esta chave, percebendo assim o mecanismo "stealth".

2. Rede de infecçăo de rotina. Este dorme por cerca de quatro minutos, depois enumera os recursos de rede (drives compartilhados), depois infecta os arquivos lá. Ao infectar uma unidade compartilhada, o vírus primeiro verifica se está habilitado para gravação. No caso em que a unidade é compartilhada para acesso total, o worm inicia a rotina de infecção de arquivos do Win32 nessa unidade. Essa rotina varre todos os diretórios da unidade e infecta os arquivos EXE do PE.

Se uma unidade for mapeada para acesso limitado, o vírus tentará efetuar login com o nome "guest" e com senhas diferentes. Parece que o vírus tenta adivinhar a senha verdadeira e, em seguida, inicia a rotina de infecção se o log-in for bem-sucedido.

O vírus também tenta obter acesso a uma máquina remota de quatro maneiras: para obter acesso a essa máquina "como está", então tenta passar por compartilhamentos ocultos de administrador C $, D $ e E $

3. Esta é uma rotina de carga útil. As máquinas infectadas primeiro armazenam a hora e a data de execução no registro do sistema (veja abaixo). Dependendo do intervalo de tempo da primeira execução, eles ativam a rotina de carga útil que finaliza os processos ativos de acordo com a lista a seguir:

Msgsrv32, Mprexe, Explorer, Taskmon, Internat, Systray, Mmtask, ddraw32

Em seguida, eles extraem, do código de vírus, o vírus "Win95.CIH" para o arquivo RUN.EXE e o executam. A rotina de destruição "Win95.CIH" é corrigida para que seja executada imediatamente. Como resultado, as rotinas de destruição Flash BIOS e FAT do CIH são ativadas imediatamente.

4. Networking. Essa rotina escuta todas as máquinas já infectadas na rede. Ao mesmo tempo, se a rotina de carga útil estiver ativada, a rotina de rede de vírus envia uma mensagem especial "payload now" para todas as outras máquinas infectadas. Como resultado, quando qualquer máquina infectada acessa a carga útil, todas as outras máquinas na rede local recebem uma mensagem "payload now" e iniciam a carga útil. Assim, todas as máquinas infectadas na rede são paralisadas no mesmo momento.

Furtividade

Além de sua rotina stealth do Registro, o vírus também esconde seu arquivo DDRAW32.DLL. Para fazer isso, ele conecta as funções de pesquisa do processo de memória e retorna uma mensagem "sem processo" no caso de um processo infectado estar sendo pesquisado.

De outros

O vírus altera as seguintes chaves de registro:

HKLMSystemCurrentControlSetServicesClass
Identidade
Ir

HKLMEnumNetwork
Cnum
Inum

O vírus também contém a string de texto:

Bumerangue

Saiba mais

Descubra as estatísticas das vulnerabilidades que se espalham em sua região statistics.securelist.com