Virus.Java.StrangeBrew

Technische Details

Dies ist der erste bekannte Virus, der Java-Dateien (Klassen) infiziert. Es wurde im August 1998 gefunden. Es ist in der Lage, sich selbst zu replizieren, nur wenn der Zugriff auf Disk-Dateien erlaubt ist (die Java-Funktionen für den Festplattenzugriff sind erlaubt), dh die infizierte Datei wird als native Java-Anwendung und nicht als Applet ausgeführt. Der Virus kann nicht repliziert werden, wenn er unter bekannten Browsern ausgeführt wird – das System zeigt eine Warnmeldung an und beendet den Virus.

Wenn der Virus als Anwendung ausgeführt wird, erhält er die Möglichkeit, Java-Funktionen für den Festplattenzugriff aufzurufen (Dateien suchen, öffnen, lesen, schreiben, schließen). Mit diesen Funktionen führt der Virus seine Such- und Infektionsroutinen durch: Er durchsucht das aktuelle Verzeichnis nach nicht infizierten Java-Klassen und infiziert sie. Während der Virus infiziert, öffnet er Dateien als Binärdatendateien, liest Header und analysiert das interne Java-Format.

Vor dem Start der Infektionsroutine muss der Virus auf seinen eigenen Code zugreifen. Das ist notwendig, weil der Virus diesen Code in andere Java-Dateien kopieren muss, während er sie infiziert. Der Virus kann nicht auf seinen Code im Speicher zugreifen – solche Funktionen gibt es in der Sprache Java nicht. Er durchsucht das aktuelle Verzeichnis nach seiner eigenen Datei (Host-Datei), analysiert sein Format, durchsucht die Datei nach Virencode und liest sie .

Der Virus sucht dann nach anderen Java-Klassen (den Dateien mit der Dateinamenerweiterung .CLASS), analysiert sie, schreibt seinen Code in die Datei und fügt der Hauptklassenroutine einen Aufruf der Hauptvirusfunktion hinzu.

Die Virus-Funktion hat die Strange_Brew_Virus (), es war der Grund, den Virus "StrangeBrew" zu nennen. Die Zeichenfolge "Strange_Brew_Virus" ist auch in infizierten Dateien sichtbar, wenn sie von einem Texteditor betrachtet werden.