Virus.SWScript.LFM

Technické údaje

text napsaný Costin Raiu, Kasperskys, Rumunsko

Jedná se o první virus, o kterém je známo, že infikuje soubory Macromedia Shockwave (.SWF), které se běžně používají pro různé druhy animací na World Wide Web; například v animovaných e-kartách nebo e-pozdravech. Virus nefunguje, pokud je v zásuvce přehrávače nainstalován infikovaný soubor Shockwave .SWF, který je distribuován s většinou novějších verzí prohlížečů Netscape a Internet Explorer – provádí a replikuje pouze v případě, že uživatel ručně načte infikovanou animaci do samostatného Shockwave Aplikace Flash Player, která značně omezuje nebezpečí, které virus představuje pro většinu uživatelů počítačů. V tomto okamžiku se o tomto viru nevyskytly žádné příznaky "v divočině" a neočekáváme, že by se někdy rozšířilo.

Technické údaje

Virus funguje tím, že využije skriptovací jazyk dostupný v animacích Shockwave – sám je uložen jako skript Shockwave, který dále spustí spustitelný soubor DOS .COM s názvem "V.COM", který je dlouhý 926 bajtů. Spouštěcí soubor DOS je přetažen na disk pomocí standardního DEBUG skriptu, ale bude pracovat pouze na systémech Windows NT, 2000 a XP, protože zkapalovací skript se pokusí volat preprocesor příkazového řádku jako "cmd.exe", který není k dispozici na Instalace Win9X / ME. Při spuštění bude program V.COM vyhledávat všechny soubory * .SWF v aktuálním adresáři, ujistěte se, že nejsou jen pro čtení, skryté nebo systémové, takže je lze zapisovat a pokusí se je infikovat. Za prvé zkontroluje, zda mají standardní podpis "FWSx99", a pokud ano, virus bude pokračovat v vytvoření nového dropperu skriptu Shockwave, který je podobný tomu, který byl použit k spuštění spustitelného souboru "V.COM" na disk. Výstřik skriptu Shockwave je vytvořen v části dynamicky alokované paměti a je napsán na začátku cílového souboru Shockwave.