DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Trojan-Spy.Win9x.Harrier

Kategorie Trojan-Spy
Plattform Win9x
Beschreibung

Technische Details

Beim Infizieren einer PE EXE-Datei analysiert der Virus sein internes Dateiformat, erstellt einen weiteren Abschnitt am Ende der Datei und schreibt seinen verschlüsselten Text dorthin. Der Virenabschnitt wird von der vom Virus verwendeten Exporttabelle des Virus fortgesetzt, um seinen Code mit den erforderlichen Windows-API-Funktionen zu verknüpfen, wenn eine infizierte Datei ausgeführt wird. Da der Virus über eine eigene Exporttabelle verfügt, ändert er den Zeiger darauf im PE-Header. Der Virus berücksichtigt auch die Exporttabelle der ursprünglichen Hostdatei besonders. Um es zu speichern, verschiebt der Virus notwendige Daten von ihm zum Dateiende und hängt es an seine eigene Exporttabelle an. Wenn Windows infizierte Dateien lädt, verarbeitet es sowohl Virus- als auch Host-Exporttabellen.

Um seinen Abschnitt mit dem Körper der Opferdatei zu verknüpfen, modifiziert der Virus die notwendigen Felder im PE-Header. Der Virus tut das sehr genau und führt daher in den meisten Fällen nicht zu Fehlern, wenn infizierte Dateien geladen werden, und zwar unter WinNT.

Der Virus erkennt bereits infizierte Dateien anhand eines Stempels, der im Datums- und Zeitstempel der Datei LastWrite gespeichert ist. Dieser ID-Wert ist nicht konstant und hängt von anderen Feldern der Uhrzeit und des Datums der Datei ab (der Virus Rol / Ror / Xor-es sind fünf von ihnen, um die ID zu erfassen).

Triggerroutinen

Bei der Installation von Speicher resident ruft der Virus drei seiner Trigger-Routinen auf. Der erste prüft die Systemumgebung und schaltet den Virus abhängig davon in den "Debug-Modus". Der zweite, abhängig vom Sekundenwert der Systemzeit, zeigt die MessageBox an:

Die letzte, die vom Zufallszähler des Virus abhängt (abhängig von Systemdatum und -zeit), löscht in einem Fall von sechzehn die Dateien OEMINFO.INI und OEMLOGO.BMP im Windows-Systemverzeichnis. Die OEMLOGO.INI-Datei enthält die folgenden Textzeichenfolgen in zwei Abschnitten:


[Allgemeines]
Hersteller = TechnoRat
Modell = Sehr große Lebenszone für Harrier

[Unterstützende Informationen]
line1 = Heute ist der Virus nicht der Virus,
line2 = aber der Teil des Betriebssystems. . .
line3 = (C) von 95-ten Harrier von DarkLand
line4 = —
line5 = Das hübsche LOGO-Bild wurde erstellt
line6 = von PolyGris und LionKing. Hauptidee
line7 = und der Code aller Versionen wurde entwickelt
line8 = von mir – TechnoRat
Diese BMP-Datei und "Allgemein" -Abschnitte werden im Fenster "Systemeigenschaften" angezeigt, wenn MyComputer / Eigenschaften ausgewählt ist. Der Virus "Supportinformationen" wird angezeigt, wenn die entsprechende Schaltfläche in derselben "Systemeigenschaft" gedrückt wird.

Der Virus "Debug-Modus" wird aktiviert, wenn die Systemumgebung eine bestimmte Zeichenfolge enthält ("Variable = Value", wird z. B. durch "SET =" DOS-Anweisung gesetzt). Diese Zeichenfolge enthält 19 Symbole und wird vom Virus mithilfe einer dummen CRC-Schleife erkannt. Diese CRC-Schleife "komprimiert" die Zeichenfolge zu vier Bytes, so dass es mehrere Millionen "lesbare" Varianten dieser Zeichenfolge gibt.

Wenn der Viren-Debug-Modus aktiviert ist, wird das Meldungsfeld angezeigt:

Der Virus zeigt dann bei jeder Infektion eine MessageBox an und informiert die Anfrage über die Erlaubnis, eine Datei zu infizieren, zum Beispiel:

Bei "OK" startet der Virus eine Infektionsroutine, bei "Abbrechen" zeigt der Virus eine weitere MessageBox an und beendet sich:

Wie oben erwähnt, werden die Hooks USER32 und GDI32 vom Virus in seiner Trigger-Routine verwendet – der Virus ändert die angezeigten Texte oder gibt seine eigenen Nachrichten aus.

Wenn eine infizierte Anwendung zum 16. Mal die WinHelpA-Funktion aufruft, zeigt der Virus seine eigene MessageBox anstelle der Windows-Funktion an:


"95. Harrier von DarkLand"
Gott wird helfen! 😉
Bei jedem MessageBoxA-Aufruf überprüft der Virus die Systemzeit und ersetzt den ursprünglichen Text in MessageBox durch eine von sechs Varianten:


Systemstörung!
VXDs Ringe überkreuzten!
CPU-Modus Thunking-Fehler!
CPU übertaktet, Kühler Geräte-Notfall!
Hilfesubsystem ist beschädigt!
Beachtung! Bugs im Computer, benutze SoftIce.

Bei anderen hooked Calls scannt der Virus den Text nach vier Varianten von Teilstrings und ersetzt sie durch eigene Versionen:


MICROSOFT -> MICROSOFT
WINDOWS -> WINDOWS
BILL GATES -> Gill Bates
HARRIER -> Oh! Jungs! Geht es um mich?


Link zum Original