ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Worm.Win32.Bumerang

Classe Worm
Plataforma Win32
Descrição

Detalhes técnicos

Este é um vírus Win32 muito perigoso. O vírus em si é um arquivo EXE do Windows PE com cerca de 23 Kb de comprimento (compactado por UPX, com um tamanho descompactado de cerca de 52 K) e escrito em Microsoft Visual C ++. Ele se espalha através da rede local e infecta os aplicativos Win32 EXE (arquivos PE EXE). Ao infectar, o vírus move um arquivo que começa no final do arquivo e, em seguida, grava a si mesmo no início do arquivo. Como resultado, quando um arquivo infectado é iniciado, o código do vírus assume o controle.

O vírus usa chamadas específicas do Win9x e pode funcionar apenas em máquinas Win9x. Por causa de sua "natureza" de rede, o vírus pode infectar arquivos em máquinas NT, mas eles não podem ser executados lá.

Rotinas de Vírus

Quando um arquivo infectado é executado, o vírus obtém seu código de um arquivo host infectado e o transfere para o diretório de sistema do Windows com o nome DDRAW32.DLL (esse arquivo é um aplicativo Win32 PE com um código de vírus "puro"). O vírus então gera esse arquivo DLL "puro código", desinfeta um arquivo host e o gera, retornando o controle para o programa host.

Se ocorrer um erro acima, o vírus exibirá uma mensagem "Erro fatal".

Quando executado, o arquivo de vírus DDRAW32.DLL ativa as principais rotinas de vírus. Existem quatro:

1. Rotina de registro. Este cria uma chave de execução automática do registro:

HKLMSoftwareMicrosoftWindowsCurrentVersionRunServicesOnce =% SystemDir% DDRAW32.DLL

Se uma aplicação REGEDIT for executada, esta rotina remove temporariamente esta chave, percebendo assim o mecanismo "stealth".

2. Rede de infecçăo de rotina. Este dorme por cerca de quatro minutos, depois enumera os recursos de rede (drives compartilhados), depois infecta os arquivos lá. Ao infectar uma unidade compartilhada, o vírus primeiro verifica se está habilitado para gravação. No caso em que a unidade é compartilhada para acesso total, o worm inicia a rotina de infecção de arquivos do Win32 nessa unidade. Essa rotina varre todos os diretórios da unidade e infecta os arquivos EXE do PE.

Se uma unidade for mapeada para acesso limitado, o vírus tentará efetuar login com o nome "guest" e com senhas diferentes. Parece que o vírus tenta adivinhar a senha verdadeira e, em seguida, inicia a rotina de infecção se o log-in for bem-sucedido.

O vírus também tenta obter acesso a uma máquina remota de quatro maneiras: para obter acesso a essa máquina "como está", então tenta passar por compartilhamentos ocultos de administrador C $, D $ e E $

3. Esta é uma rotina de carga útil. As máquinas infectadas primeiro armazenam a hora e a data de execução no registro do sistema (veja abaixo). Dependendo do intervalo de tempo da primeira execução, eles ativam a rotina de carga útil que finaliza os processos ativos de acordo com a lista a seguir:

Msgsrv32, Mprexe, Explorer, Taskmon, Internat, Systray, Mmtask, ddraw32

Em seguida, eles extraem, do código de vírus, o vírus "Win95.CIH" para o arquivo RUN.EXE e o executam. A rotina de destruição "Win95.CIH" é corrigida para que seja executada imediatamente. Como resultado, as rotinas de destruição Flash BIOS e FAT do CIH são ativadas imediatamente.

4. Networking. Essa rotina escuta todas as máquinas já infectadas na rede. Ao mesmo tempo, se a rotina de carga útil estiver ativada, a rotina de rede de vírus envia uma mensagem especial "payload now" para todas as outras máquinas infectadas. Como resultado, quando qualquer máquina infectada acessa a carga útil, todas as outras máquinas na rede local recebem uma mensagem "payload now" e iniciam a carga útil. Assim, todas as máquinas infectadas na rede são paralisadas no mesmo momento.

Furtividade

Além de sua rotina stealth do Registro, o vírus também esconde seu arquivo DDRAW32.DLL. Para fazer isso, ele conecta as funções de pesquisa do processo de memória e retorna uma mensagem "sem processo" no caso de um processo infectado estar sendo pesquisado.

De outros

O vírus altera as seguintes chaves de registro:

HKLMSystemCurrentControlSetServicesClass
Identidade
Ir

HKLMEnumNetwork
Cnum
Inum

O vírus também contém a string de texto:

Bumerangue


Link para o original