Virus.Multi.Angela

Technické údaje

Jedná se o multipartitní virus infikující sektor MBR pevného disku, disketovou jednotku zaváděcího sektoru, soubor DOS EXE a také šíření prostřednictvím IRC kanálů infikováním klienta mIRC a také samotnou poštou pomocí aplikace MS Outlook.

Virus se může objevit v počítači na infikované disketě jako infikovaný soubor DOS EXE nebo jako infikovaná příloha v e-mailové zprávě.

Virus nemá žádné užitečné zatížení a nevyjadřuje se žádným způsobem, kromě jednoho – odstraní soubor:

C: WINDOWSSYSTEMIOSUBSYSHSFLOP.PDR

Virus musí odstranit tento soubor a přinutit systém Windows k ovládání sektorů disket pomocí starého stylu INT 13h (to je nezbytné pro to, aby virus mohl spustit infekci disku a stealth rutiny, viz níže).

Zavedení z infikovaného disku

Při načítání z infikovaného disku se virus zavírá INT 13h (přístup na disk) a INT 1Ch (časovač). Pomocí háčku časovače čeká virus až do zavádění systému, poté zavěsí INT 21h (funkce DOS) a infikuje soubory DOS EXE, které jsou spuštěny. Hackem INT 13h získává virus přístup k disketám a infikuje bootovací sektory. Virus také realizuje funkci {stealth: Stealth} při přístupu do sektorů infikovaných disků.

Infikovaný soubor DOS EXE spuštěn

Po spuštění z infikovaného souboru DOS EXE virus infikuje sektor MBR pevného disku, vytvoří a zaregistruje kapátko DOS EXE, vytvoří program skriptu VBS, který se šíří e-mailem a vytvoří mIRC skript, který bude odeslán do IRC kanálů .

Virus dropper má název ANGELA.EXE a je vytvořen v adresáři C: WINDOWSSYSTEM (Pokud je systém Windows nainstalován v jiném adresáři, virus se nemůže šířit na IRC a e-mail). Tento soubor je registrován pro spuštění po každém restartování v souboru C: AUTOEXEC.BAT. Virus zapíše příkaz tam, aby spustil tento soubor při každém restartu a přidá k tomuto souboru komentáře:

@ OFF OFF
c: windowssystemangela.exe
REM – NEODSTRAŇUJTE!

Virus dropper se stejným způsobem jako virus, který se provádí v infikovaném souboru DOS EXE; tj. pokud některý z komponent viru (VBS nebo mIRC skript) bude odstraněn, virus jej znovu vytvoří při dalším restartu.

Pošty

Virus vytvoří soubor ANGELA.VBS v adresáři pro spuštění systému Windows a v důsledku toho se tento skript aktivuje po každém spuštění systému Windows. Program pro přístup k skriptu MS Outlook získá záznamy o adresáři a odešle kopii virů (kapátko ANGELA.EXE) na prvních 20 adres, které se tam nacházejí. Zpráva obsahuje:

Předmět: Nakonec to našel!
Body: Zde jsou soubory, které jste mě požádali …
Název přílohy: angela.exe

Skript pak odstraní svůj soubor VBS a během stejného seance Windows nejsou odesílány žádné další infikované zprávy, ale po restartu počítače tnext bude aktivován dropper ANGELA.EXE ze souboru AUTOEXEC.BAT a znovu vytvoří VBS mailovou rutinu.

Chrání IRC kanály

Virus vytvoří soubor SCRIPT.INI v adresáři C: MIRC. Tento skript odešle rozbalovací program ANGELA.EXE všem uživatelům, kteří se připojují k infikovanému kanálu IRC.