DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Virus.BAT.Batalia6

Kategorie Virus
Plattform BAT
Beschreibung

Technische Details

Es ist das harmlose Nicht-Speicher-residente polymorphe parasitäre BAT-Virus. Es sucht nach BAT-Dateien im aktuellen Verzeichnis und infiziert sie dann. Beim Infizieren einer Datei führt der Virus den ARJ-Archiver aus, um die notwendigen Dateien zu packen. Wenn sich in PATH keine ARJ.EXE-Datei befindet, kann der Virus sich nicht selbst replizieren.

Die infizierte Batch-Datei enthält zwei Teile Code und Daten. Der erste Teil (der Header) enthält fünf DOS-Befehle, der zweite Teil (der Rest) enthält eine zufällig benannte BAT-Datei, die mit dem ARJ-Archiver und einem Passwort komprimiert wird. Die infizierte Datei enthält also die Textstrings (DOS-Befehle) und die Binärdaten (ARJ-Archiv).

Diese BAT-Datei enthält auch zwei Teile: den Haupt-Virus-Code (Batch-Befehle) und die komprimierten Daten. Die komprimierten Daten enthalten mehrere Dateien: die Host-Datei, die Virendaten und die Codedateien. Die infizierten Dateien sehen als ARJ-Archiv in ARJ-Archiv aus:

 + -------------------- +
 �BAT Anweisungen � - Header 1, Startup-Virus-Code
 � -------------------- � 
 � ARJ-Archiv: � - Zufällige namens BAT-Datei mit ARJ gepackt
 � + ---------------- + � 
 � �BAT-Anweisungen� � - Header 2, Haupt-Virus-Code
 � � ---------------- � � 
 � � ARJ-Archiv: � � - Die Menge der Dateien
 � � + ------------ + � � 
 � � �BATALIA6.BAT� � � - Infektion, polymorphe und Zufallsgenerator
 � � � � � � Routinen
 � � �hostfile.BAT� � � - Die ursprüngliche Host-Datei
 � � �ZAGL � � � - Virusdatendatei
 � � �RULZ � � � - Virusdatendatei
 � � �FINAL.BAT � � � - Löscht die temporären Dateien und das Unterverzeichnis
 � � + ------------ + � � 
 � + ---------------- + � 
+ -------------------- + 

Header 1 enthält fünf Befehle, die aus mehreren Varianten ausgewählt sind und unterschiedliche Längen haben, zum Beispiel:

 @echo aus
rem arj e% 0% compec% -g5
C: COMMAND.COM null / carj x% 0-g2
: nul arj x% 0 -g7 C: COMMAND.COM
w HOST.BAT

@EcHo OfF
rem COMMAND.COM nul / carj x% 0 -g1
% comspec% nul / c arj e HOST.BAT -g3
: echo C: KOMMANDO.COM nul / carj x% 0
Ich HOST.BAT 

Das ARJ-Archiv ist mit einem zufällig ausgewählten Passwort verschlüsselt, so dass der Virus keine konstanten Bytes enthält und somit der erste bekannte polymorphe BAT-Virus ist.

Bei der Ausführung führt der Virus (Header 1) ARJ archiver aus, extrahiert den zweiten Teil (BAT-Datei) und führt ihn aus. Der Code des zweiten Teils erstellt das temporäre Verzeichnis, extrahiert die Dateien aus dem zweiten Archiv in das temporäre Verzeichnis, führt dann die Such-, Infizierungs- und polymorphen Routinen aus, führt dann die Host-Datei aus und löscht die temporären Dateien und das temporäre Verzeichnis.

Der Code des Virus enthält folgende Textstrings:

 : Death Virii Crew & Stealth-Gruppe weltweit
: DIE GESCHENKE
: Erste Mutation Engine für BAT!
: Ohne ASM!
: [BATalia6] & FMEB (c) durch Erinnerung

: // __ _
: + -------- /// ------ + ___ Magazin _ für VirMakers
: � +++ - ++ - // // - + - +++ � ___ __________________ ___________________ _ ________
: � ++ � � ///// � � ��� __ ___ ___ ___ ___ ___ ___ ___ � _ ___ _ ___ ___
: � ++ - + ///// ++ - ++ � _ _ _ __ __ _ _ __ _ _ _ _ _ _ _ _ _
: + ------ // // ------- + _ _ _ _ ___ ___ _ ___ ___ __ ___ _ ___ ____
: GRUPPE // // WELTWEIT _ _________________ _______________________________
:
: Box 10, Kiew 252148
: Box 15, Moskau 125080
: Box 11, Lutsk 263020
:
: READINFECTEDVOICE
:
: (c) durch Erinnerung (22. Mai 1996) 

Link zum Original