DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Virus.DOS.ArjVirus

Kategorie Virus
Plattform DOS
Beschreibung

Technische Details

Es ist ein gefährlicher, nicht residenter Virus. Es sucht nach den Archivdateien und infiziert sie. Zum Glück sucht es nur nach dem Format der Archivierer. Die Archivdateien für Infektionen sollten nur im ARJ-Standard vorliegen. Diese Dateiarchive sind das Ergebnis der Arbeit des ARJ.EXE-Komprimierers.

ARJ.EXE ist ein Archiver-Programm, das es ermöglicht, eine oder mehrere Dateien (einschließlich Unterverzeichnissen) in einem oder mehreren Archiven (in Slang-Arjive) in komprimiertem Format zu komprimieren und zu speichern. Diese Software ist urheberrechtlich geschützt (c) 1990-1993 von Robert K Jung.

Dieser Virus, der ein Wurm mehr als ein Standard-DOS-Virus ist, hat eine Länge von 5000 Bytes. Es aktualisiert diese Dateien durch seine (Viren-) Kopie. Bei der Ausführung sucht dieser Infektor nach den Dateien mit der Erweiterung ARJ, indem er die Maske "* .arj" verwendet (die Dateien mit der Erweiterung ARJ werden vom Dienstprogramm ARJ.EXE erstellt und enthalten die komprimierten Dateien). Es sucht nach ARJ-Dateien im aktuellen und allen übergeordneten Verzeichnissen.

Wenn die ARJ-Archivdatei gefunden wird, erstellt der Virus eine temporäre Datei mit einem zufällig ausgewählten Namen und einer COM-Erweiterung. Dieser Name besteht aus vier Buchstaben von 'A' t0 'V'; Die "V" -Beschränkung liegt darin, dass dieser Virus das 0Fh-Limit für die Buchstabennummer verwendet, der 15. (0Fh) Buchstabe ist "V". Die Ergebnisnamen sehen wie BHPL.COM, NLJJ.COM, OKPD.COM usw. aus. Dann schreibt sich der Virus selbst (5000 Bytes) in diese COM-Datei und hängt zum Verbergen die Müll-Bytes zufälliger ausgewählter Länge an die Datei an. Der Virus überprüft, dass die Länge dieses Abfalls die maximale Länge der ausführbaren COM-Datei nicht überschreiten sollte. Die Länge der Ergebnis-Wurmdateien beträgt mehr als 5000 Byte. Die 5000 Bytes sind die Länge des Wurmkörpers, die bei einer Infektion in einer Datei gespeichert werden.

Dann fügt der Virus diese Datei in das gefundene Archiv ein. Es macht es auf die einfachste Weise – der Virus erzwingt das ARJ.EXE-Dienstprogramm, um es zu machen. Einer der ARJ.EXE-Schalter ist "ein" Zeichen, es zwingt die Datei (en) in ARJ-Archivdatei hinzuzufügen. Und der Virus verwendet diese Option, er führt das ARJ.EXE mit "einem" Zeichen aus, indem die Standard-C-Funktion verwendet. Der String, der ausgeführt wird, sieht wie folgt aus:


c: command.com / c arj a .com
woher ist der Name mit der Erweiterung des ARJ-Archivs, das gefunden wurde, ist die vier Bytes der Länge zufällig ausgewählten Namen oben beschrieben. Der "/ c" Schalter bewirkt, dass COMMAND.COM das angegebene Programm (ARJ.EXE) ausführt und sofort beendet.

Bei Ausführung dieses Befehls komprimiert der Archivierer ARJ.EXE und fügt den Wurm in die gefundene Archivdatei ein. Dann löscht der Virus die temporäre Datei und sucht nach der nächsten ARJ-Datei. Wenn sich im aktuellen Verzeichnis keine Archivdateien befinden, springt das Virus zum übergeordneten Verzeichnis. Wenn das aktuelle Verzeichnis das Stammverzeichnis der Festplatte ist, kehrt der Virus zu DOS zurück.

Eines der Merkmale dieses Infekts ist die doppelte Infektion. Bei der Ausführung des Archivs überprüft der Virus die Datei nicht auf ihre Anwesenheit und wie kann sie dies tun? Das Archiv darin zu überprüfen ist keine leichte Aufgabe, und ich sehe, dass der Autor dieses Virus es nicht als Objekt (doppelte Infektion) gesetzt hat. Er realisierte die neue Idee auf die einfachste Weise, nicht mehr.

Der Virus generiert zufällige Namen der Wurmdateien. Manchmal kann es den Namen erzeugen, der in der ARJ-Datei vorhanden ist, die für Infektion ist. Als Folge wird diese Datei vom Virus überschrieben und der Inhalt dieser Datei geht verloren. Natürlich wächst in diesem Fall die Wahrscheinlichkeit der Ausführung der Wurmdatei.

Zum Verstecken seiner Verbreitung hakt der Virus INT 10h – der Video-Interrupt. Es setzt es auf den IRET-Befehl, der die Standardausgabe auf dem Bildschirm deaktiviert. Diese Funktion blendet den Virus aus, aber wenn Fehler in der Virusaktivität auftreten, zeigt das Programm ARJ.EXE oder DOS die Fehlermeldung an (zum Beispiel "Schreibschutzfehler beim Schreiben des Laufwerks A:") und wartet auf die Antwort. Aber der Virus deaktiviert die Ausgabe, und der Benutzer wird nur den leeren Bildschirm sehen. Es sieht so aus, als ob der Computer auflegt. Übrigens, der virtuelle DOS-Rechner unter MS-Windows schaltet bei Schreibschutz auf Vollbildmodus um und es ist unmöglich, zu einem anderen Task zu wechseln. Letzter Hinweis: Dieser Virus enthält die kurze interne Textzeichenfolge:


* .arj .. 0000.com / c arj ac: command.com


Link zum Original