Hauptgruppierung: VirWare
Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.
Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).
Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.
Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.
Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.
Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:
Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.
Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.
Kategorie: Virus
Viren replizieren auf den Ressourcen der lokalen Maschine.Im Gegensatz zu Würmern verwenden Viren keine Netzwerkdienste, um andere Computer zu verbreiten oder zu durchdringen. Eine Kopie eines Virus erreicht entfernte Computer nur dann, wenn das infizierte Objekt aus irgendeinem Grund, der nichts mit der Virusfunktion zu tun hat, auf einem anderen Computer aktiviert wird. Beispielsweise:
Wenn infizierbare Festplatten infiziert werden, dringt ein Virus in eine Datei ein, die sich auf einer Netzwerkressource befindet
Ein Virus kopiert sich auf ein Wechselspeichergerät oder infiziert eine Datei auf einem Wechselmedium
Ein Benutzer sendet eine E-Mail mit einem infizierten Anhang.
Mehr Informationen
Plattform: DOS
No platform descriptionBeschreibung
Technische Details
Es ist ein gefährlicher, nicht residenter Virus. Es sucht nach den Archivdateien und infiziert sie. Zum Glück sucht es nur nach dem Format der Archivierer. Die Archivdateien für Infektionen sollten nur im ARJ-Standard vorliegen. Diese Dateiarchive sind das Ergebnis der Arbeit des ARJ.EXE-Komprimierers.
ARJ.EXE ist ein Archiver-Programm, das es ermöglicht, eine oder mehrere Dateien (einschließlich Unterverzeichnissen) in einem oder mehreren Archiven (in Slang-Arjive) in komprimiertem Format zu komprimieren und zu speichern. Diese Software ist urheberrechtlich geschützt (c) 1990-1993 von Robert K Jung.
Dieser Virus, der ein Wurm mehr als ein Standard-DOS-Virus ist, hat eine Länge von 5000 Bytes. Es aktualisiert diese Dateien durch seine (Viren-) Kopie. Bei der Ausführung sucht dieser Infektor nach den Dateien mit der Erweiterung ARJ, indem er die Maske "* .arj" verwendet (die Dateien mit der Erweiterung ARJ werden vom Dienstprogramm ARJ.EXE erstellt und enthalten die komprimierten Dateien). Es sucht nach ARJ-Dateien im aktuellen und allen übergeordneten Verzeichnissen.
Wenn die ARJ-Archivdatei gefunden wird, erstellt der Virus eine temporäre Datei mit einem zufällig ausgewählten Namen und einer COM-Erweiterung. Dieser Name besteht aus vier Buchstaben von 'A' t0 'V'; Die "V" -Beschränkung liegt darin, dass dieser Virus das 0Fh-Limit für die Buchstabennummer verwendet, der 15. (0Fh) Buchstabe ist "V". Die Ergebnisnamen sehen wie BHPL.COM, NLJJ.COM, OKPD.COM usw. aus. Dann schreibt sich der Virus selbst (5000 Bytes) in diese COM-Datei und hängt zum Verbergen die Müll-Bytes zufälliger ausgewählter Länge an die Datei an. Der Virus überprüft, dass die Länge dieses Abfalls die maximale Länge der ausführbaren COM-Datei nicht überschreiten sollte. Die Länge der Ergebnis-Wurmdateien beträgt mehr als 5000 Byte. Die 5000 Bytes sind die Länge des Wurmkörpers, die bei einer Infektion in einer Datei gespeichert werden.
Dann fügt der Virus diese Datei in das gefundene Archiv ein. Es macht es auf die einfachste Weise - der Virus erzwingt das ARJ.EXE-Dienstprogramm, um es zu machen. Einer der ARJ.EXE-Schalter ist "ein" Zeichen, es zwingt die Datei (en) in ARJ-Archivdatei hinzuzufügen. Und der Virus verwendet diese Option, er führt das ARJ.EXE mit "einem" Zeichen aus, indem die Standard-C-Funktion verwendet. Der String, der ausgeführt wird, sieht wie folgt aus:
c: command.com / c arj awoher.com
Bei Ausführung dieses Befehls komprimiert der Archivierer ARJ.EXE und fügt den Wurm in die gefundene Archivdatei ein. Dann löscht der Virus die temporäre Datei und sucht nach der nächsten ARJ-Datei. Wenn sich im aktuellen Verzeichnis keine Archivdateien befinden, springt das Virus zum übergeordneten Verzeichnis. Wenn das aktuelle Verzeichnis das Stammverzeichnis der Festplatte ist, kehrt der Virus zu DOS zurück.
Eines der Merkmale dieses Infekts ist die doppelte Infektion. Bei der Ausführung des Archivs überprüft der Virus die Datei nicht auf ihre Anwesenheit und wie kann sie dies tun? Das Archiv darin zu überprüfen ist keine leichte Aufgabe, und ich sehe, dass der Autor dieses Virus es nicht als Objekt (doppelte Infektion) gesetzt hat. Er realisierte die neue Idee auf die einfachste Weise, nicht mehr.
Der Virus generiert zufällige Namen der Wurmdateien. Manchmal kann es den Namen erzeugen, der in der ARJ-Datei vorhanden ist, die für Infektion ist. Als Folge wird diese Datei vom Virus überschrieben und der Inhalt dieser Datei geht verloren. Natürlich wächst in diesem Fall die Wahrscheinlichkeit der Ausführung der Wurmdatei.
Zum Verstecken seiner Verbreitung hakt der Virus INT 10h - der Video-Interrupt. Es setzt es auf den IRET-Befehl, der die Standardausgabe auf dem Bildschirm deaktiviert. Diese Funktion blendet den Virus aus, aber wenn Fehler in der Virusaktivität auftreten, zeigt das Programm ARJ.EXE oder DOS die Fehlermeldung an (zum Beispiel "Schreibschutzfehler beim Schreiben des Laufwerks A:") und wartet auf die Antwort. Aber der Virus deaktiviert die Ausgabe, und der Benutzer wird nur den leeren Bildschirm sehen. Es sieht so aus, als ob der Computer auflegt. Übrigens, der virtuelle DOS-Rechner unter MS-Windows schaltet bei Schreibschutz auf Vollbildmodus um und es ist unmöglich, zu einem anderen Task zu wechseln. Letzter Hinweis: Dieser Virus enthält die kurze interne Textzeichenfolge:
* .arj .. 0000.com / c arj ac: command.com
Mehr erfahren
Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com