Trojan-Spy.Win9x.Harrier

Hauptgruppierung: TrojWare

Trojaner sind schädliche Programme, die Aktionen ausführen, die vom Benutzer nicht autorisiert sind: Sie löschen, blockieren, ändern oder kopieren Daten und stören die Leistung von Computern oder Computernetzwerken. Im Gegensatz zu Viren und Würmern können die Bedrohungen, die in diese Kategorie fallen, keine Kopien von sich selbst erstellen oder sich selbst replizieren.

Trojaner werden nach ihrer Aktion auf einem infizierten Computer klassifiziert.

Kategorie: Trojan-Spy

Trojaner-Spy-Programme werden verwendet, um die Aktionen eines Benutzers auszuspionieren (über die Tastatur eingegebene Daten zu verfolgen, Screenshots zu erstellen, eine Liste laufender Anwendungen abzurufen usw.) Die gesammelten Informationen werden dann an den böswilligen Benutzer übertragen, der den Trojaner kontrolliert. E-Mail, FTP, das Web (einschließlich Daten in einer Anfrage) und andere Methoden können verwendet werden, um die Daten zu übertragen.

Mehr Informationen

Plattform: Win9x

No platform description

Beschreibung

Technische Details

Beim Infizieren einer PE EXE-Datei analysiert der Virus sein internes Dateiformat, erstellt einen weiteren Abschnitt am Ende der Datei und schreibt seinen verschlüsselten Text dorthin. Der Virenabschnitt wird von der vom Virus verwendeten Exporttabelle des Virus fortgesetzt, um seinen Code mit den erforderlichen Windows-API-Funktionen zu verknüpfen, wenn eine infizierte Datei ausgeführt wird. Da der Virus über eine eigene Exporttabelle verfügt, ändert er den Zeiger darauf im PE-Header. Der Virus berücksichtigt auch die Exporttabelle der ursprünglichen Hostdatei besonders. Um es zu speichern, verschiebt der Virus notwendige Daten von ihm zum Dateiende und hängt es an seine eigene Exporttabelle an. Wenn Windows infizierte Dateien lädt, verarbeitet es sowohl Virus- als auch Host-Exporttabellen.

Um seinen Abschnitt mit dem Körper der Opferdatei zu verknüpfen, modifiziert der Virus die notwendigen Felder im PE-Header. Der Virus tut das sehr genau und führt daher in den meisten Fällen nicht zu Fehlern, wenn infizierte Dateien geladen werden, und zwar unter WinNT.

Der Virus erkennt bereits infizierte Dateien anhand eines Stempels, der im Datums- und Zeitstempel der Datei LastWrite gespeichert ist. Dieser ID-Wert ist nicht konstant und hängt von anderen Feldern der Uhrzeit und des Datums der Datei ab (der Virus Rol / Ror / Xor-es sind fünf von ihnen, um die ID zu erfassen).

Triggerroutinen

Bei der Installation von Speicher resident ruft der Virus drei seiner Trigger-Routinen auf. Der erste prüft die Systemumgebung und schaltet den Virus abhängig davon in den "Debug-Modus". Der zweite, abhängig vom Sekundenwert der Systemzeit, zeigt die MessageBox an:

Die letzte, die vom Zufallszähler des Virus abhängt (abhängig von Systemdatum und -zeit), löscht in einem Fall von sechzehn die Dateien OEMINFO.INI und OEMLOGO.BMP im Windows-Systemverzeichnis. Die OEMLOGO.INI-Datei enthält die folgenden Textzeichenfolgen in zwei Abschnitten:

[Allgemeines]Hersteller = TechnoRatModell = Sehr große Lebenszone für Harrier

[Unterstützende Informationen]line1 = Heute ist der Virus nicht der Virus,line2 = aber der Teil des Betriebssystems. . .line3 = (C) von 95-ten Harrier von DarkLandline4 = ---line5 = Das hübsche LOGO-Bild wurde erstelltline6 = von PolyGris und LionKing. Hauptideeline7 = und der Code aller Versionen wurde entwickeltline8 = von mir - TechnoRat

Diese BMP-Datei und "Allgemein" -Abschnitte werden im Fenster "Systemeigenschaften" angezeigt, wenn MyComputer / Eigenschaften ausgewählt ist. Der Virus "Supportinformationen" wird angezeigt, wenn die entsprechende Schaltfläche in derselben "Systemeigenschaft" gedrückt wird.

Der Virus "Debug-Modus" wird aktiviert, wenn die Systemumgebung eine bestimmte Zeichenfolge enthält ("Variable = Value", wird z. B. durch "SET =" DOS-Anweisung gesetzt). Diese Zeichenfolge enthält 19 Symbole und wird vom Virus mithilfe einer dummen CRC-Schleife erkannt. Diese CRC-Schleife "komprimiert" die Zeichenfolge zu vier Bytes, so dass es mehrere Millionen "lesbare" Varianten dieser Zeichenfolge gibt.

Wenn der Viren-Debug-Modus aktiviert ist, wird das Meldungsfeld angezeigt:

Der Virus zeigt dann bei jeder Infektion eine MessageBox an und informiert die Anfrage über die Erlaubnis, eine Datei zu infizieren, zum Beispiel:

Bei "OK" startet der Virus eine Infektionsroutine, bei "Abbrechen" zeigt der Virus eine weitere MessageBox an und beendet sich:

Wie oben erwähnt, werden die Hooks USER32 und GDI32 vom Virus in seiner Trigger-Routine verwendet - der Virus ändert die angezeigten Texte oder gibt seine eigenen Nachrichten aus.

Wenn eine infizierte Anwendung zum 16. Mal die WinHelpA-Funktion aufruft, zeigt der Virus seine eigene MessageBox anstelle der Windows-Funktion an:

"95. Harrier von DarkLand"Gott wird helfen! ;-)

Bei jedem MessageBoxA-Aufruf überprüft der Virus die Systemzeit und ersetzt den ursprünglichen Text in MessageBox durch eine von sechs Varianten:

Systemstörung!VXDs Ringe überkreuzten!CPU-Modus Thunking-Fehler!CPU übertaktet, Kühler Geräte-Notfall!Hilfesubsystem ist beschädigt!Beachtung! Bugs im Computer, benutze SoftIce.

Bei anderen hooked Calls scannt der Virus den Text nach vier Varianten von Teilstrings und ersetzt sie durch eigene Versionen:

MICROSOFT -> MICROSOFTWINDOWS -> WINDOWSBILL GATES -> Gill BatesHARRIER -> Oh! Jungs! Geht es um mich?

Mehr erfahren

Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com