Hlavní třída: VirWare
Viry a červy jsou škodlivé programy, které se samy replikují v počítačích nebo prostřednictvím počítačových sítí, aniž by si uživatel uvědomoval; každá další kopie takových škodlivých programů je také schopna samoregistrace.Škodlivé programy, které se šíří prostřednictvím sítí nebo infikují vzdálené počítače, pokud jim to pověřil "vlastník" (např. Backdoors) nebo programy, které vytvářejí více kopií, které nejsou schopné samoregistrace, nejsou součástí podtřídy Viruses and Worms.
Hlavní charakteristikou používanou k určení, zda je program klasifikován jako samostatné chování v podtřídě Viruses a Worms, je způsob, jakým se program šíří (tj. Jak škodlivý program šíří vlastní kopie prostřednictvím lokálních nebo síťových zdrojů).
Většina známých červů se šíří jako soubory odeslané jako přílohy e-mailů prostřednictvím odkazu na web nebo zdroj FTP prostřednictvím odkazu odeslaného v ICQ nebo IRC zprávě prostřednictvím P2P sdílení souborů atd.
Někteří červi se šíří jako síťové pakety; tyto přímo proniknou do paměti počítače a aktivuje se kód červů.
Worms používají k průniku vzdálených počítačů následující metody: sociální inženýrství (například e-mailová zpráva naznačující, že uživatel otevře připojený soubor), využívající chyby v konfiguraci sítě (například kopírování na plně přístupný disk) a využívání mezery v zabezpečení operačního systému a aplikací.
Viry lze rozdělit podle metody používané k infikování počítače:
souborů virů
viry zaváděcího sektoru
makro viry
virů skriptu
Každý program v rámci této podtřídy může mít další funkce trojan.
Je třeba také poznamenat, že mnoho červů používá více než jednu metodu k šíření kopií prostřednictvím sítí. Pravidla pro klasifikaci detekovaných objektů s více funkcemi by měla být použita pro klasifikaci těchto typů červů.
Třída: Virus
Viry se replikují na prostředcích místního počítače.Na rozdíl od červů, viry nepoužívají síťové služby k šíření nebo pronikání do jiných počítačů. Kopie viru dosáhne vzdálených počítačů pouze v případě, že infikovaný objekt je z nějakého důvodu nesouvisející s virální funkcí aktivován na jiném počítači. Například:
když infikuje dostupné disky, virus proniká do souboru umístěného na síťovém zdroji
virus se zkopíruje na vyměnitelné úložné zařízení nebo infikuje soubor na vyměnitelném zařízení
uživatel pošle e-mail s infikovanou přílohou.
Platfoma: Multi
No platform descriptionPopis
Technické údaje
Jedná se o multipartitní virus infikující sektor MBR pevného disku, disketovou jednotku zaváděcího sektoru, soubor DOS EXE a také šíření prostřednictvím IRC kanálů infikováním klienta mIRC a také samotnou poštou pomocí aplikace MS Outlook.
Virus se může objevit v počítači na infikované disketě jako infikovaný soubor DOS EXE nebo jako infikovaná příloha v e-mailové zprávě.
Virus nemá žádné užitečné zatížení a nevyjadřuje se žádným způsobem, kromě jednoho - odstraní soubor:
C: WINDOWSSYSTEMIOSUBSYSHSFLOP.PDR
Virus musí odstranit tento soubor a přinutit systém Windows k ovládání sektorů disket pomocí starého stylu INT 13h (to je nezbytné pro to, aby virus mohl spustit infekci disku a stealth rutiny, viz níže).
Zavedení z infikovaného disku
Při načítání z infikovaného disku se virus zavírá INT 13h (přístup na disk) a INT 1Ch (časovač). Pomocí háčku časovače čeká virus až do zavádění systému, poté zavěsí INT 21h (funkce DOS) a infikuje soubory DOS EXE, které jsou spuštěny. Hackem INT 13h získává virus přístup k disketám a infikuje bootovací sektory. Virus také realizuje funkci {stealth: Stealth} při přístupu do sektorů infikovaných disků.
Infikovaný soubor DOS EXE spuštěn
Po spuštění z infikovaného souboru DOS EXE virus infikuje sektor MBR pevného disku, vytvoří a zaregistruje kapátko DOS EXE, vytvoří program skriptu VBS, který se šíří e-mailem a vytvoří mIRC skript, který bude odeslán do IRC kanálů .
Virus dropper má název ANGELA.EXE a je vytvořen v adresáři C: WINDOWSSYSTEM (Pokud je systém Windows nainstalován v jiném adresáři, virus se nemůže šířit na IRC a e-mail). Tento soubor je registrován pro spuštění po každém restartování v souboru C: AUTOEXEC.BAT. Virus zapíše příkaz tam, aby spustil tento soubor při každém restartu a přidá k tomuto souboru komentáře:
@ OFF OFF
c: windowssystemangela.exe
REM - NEODSTRAŇUJTE!
Virus dropper se stejným způsobem jako virus, který se provádí v infikovaném souboru DOS EXE; tj. pokud některý z komponent viru (VBS nebo mIRC skript) bude odstraněn, virus jej znovu vytvoří při dalším restartu.
Pošty
Virus vytvoří soubor ANGELA.VBS v adresáři pro spuštění systému Windows a v důsledku toho se tento skript aktivuje po každém spuštění systému Windows. Program pro přístup k skriptu MS Outlook získá záznamy o adresáři a odešle kopii virů (kapátko ANGELA.EXE) na prvních 20 adres, které se tam nacházejí. Zpráva obsahuje:
Předmět: Nakonec to našel!
Body: Zde jsou soubory, které jste mě požádali ...
Název přílohy: angela.exe
Skript pak odstraní svůj soubor VBS a během stejného seance Windows nejsou odesílány žádné další infikované zprávy, ale po restartu počítače tnext bude aktivován dropper ANGELA.EXE ze souboru AUTOEXEC.BAT a znovu vytvoří VBS mailovou rutinu.
Chrání IRC kanály
Virus vytvoří soubor SCRIPT.INI v adresáři C: MIRC. Tento skript odešle rozbalovací program ANGELA.EXE všem uživatelům, kteří se připojují k infikovanému kanálu IRC.
Zobrazit více
Zjistěte statistiky zranitelností šířících se ve vaší oblasti statistics.securelist.com