Virus.Win9x.CIH

Hauptgruppierung: VirWare

Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.

Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.

Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).

Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.

Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.

Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.

Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:

Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.

Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.

Kategorie: Virus

Viren replizieren auf den Ressourcen der lokalen Maschine.

Im Gegensatz zu Würmern verwenden Viren keine Netzwerkdienste, um andere Computer zu verbreiten oder zu durchdringen. Eine Kopie eines Virus erreicht entfernte Computer nur dann, wenn das infizierte Objekt aus irgendeinem Grund, der nichts mit der Virusfunktion zu tun hat, auf einem anderen Computer aktiviert wird. Beispielsweise:

Wenn infizierbare Festplatten infiziert werden, dringt ein Virus in eine Datei ein, die sich auf einer Netzwerkressource befindet
Ein Virus kopiert sich auf ein Wechselspeichergerät oder infiziert eine Datei auf einem Wechselmedium
Ein Benutzer sendet eine E-Mail mit einem infizierten Anhang.


Mehr Informationen

Plattform: Win9x

No platform description

Beschreibung

Technische Details

Dies ist ein Windows 95/98-spezifischer parasitärer Virus, der Windows PE-Dateien (Portable Executable) infiziert, der etwa 1 KByte lang ist. Auch bekannt als Tschernobyl. Dieser Virus wurde im Juni 1998 in Taiwan "in der Wildnis" gefunden und von seinem Virenautor veröffentlicht, der zu dieser Zeit an einer lokalen Universität studierte. Der Virus (versehentlich?) Wurde bei einer lokalen Internetkonferenz veröffentlicht, die den Virus aus Taiwan herausbrachte. Innerhalb einer Woche wurde das Virus in Österreich, Australien, Israel und dem Vereinigten Königreich gefunden und wurde auch aus mehreren anderen Ländern gemeldet (Schweiz, Schweden, USA, Russland, Chile usw.).

In etwa einem Monat wurden die infizierten Dateien versehentlich auf mehrere Websites in den USA (Spielesoftware-Vertriebswebsites) gesetzt, die eine globale Virusepidemie verursachten. Ungefähr ein Jahr nach dem Erscheinen des Virus am 26. März 1999 verursachte die "Zeitbombe" im Viruscode eine Computerkatastrophe, als etwa eine halbe Million Computer durch eine Virusinfektion beschädigt wurden: Alle verloren Daten auf der Festplatte , und viele von ihnen hatten auch das Motherboard BIOS zerstört (plus Festplatte Daten beschädigt). Dieser Vorfall war bedeutsam, da bis zu diesem Zeitpunkt keine solchen globalen und schrecklichen Computervorfälle bekannt waren.

Da der Tag der "Bombenexplosion" auf den Tag der Tschernobyl-Katastrophe fällt, der am 26. April 1986 die Welt erschütterte, erhielt der Virus, der schon "CIH" genannt wurde, seinen zweiten Namen - "Tschernobyl".

Trotzdem hat der Virenautor seine "Bombe" nicht mit Tschernobyl verbunden (vielleicht hatte er noch nie von Tschernobyl gehört). Es scheint, dass der "Bomben" -Tag aus einem anderen Grund ausgewählt wurde. Die erste Virusversion (die glücklicherweise Taiwan nicht verlassen hat) wurde am 26. April 1998 veröffentlicht, so dass das Virus am 26. April 1999 seinen "Geburtstag" feierte.

Wie funktioniert das Virus?

Der Virus installiert sich selbst im Windows-Speicher, führt Dateizugriffsaufrufe durch und infiziert EXE-Dateien, die geöffnet werden. Abhängig vom Systemdatum (siehe unten) startet der Virus seine Triggerroutine. Der Virus weist Fehler auf und hält den Computer in manchen Fällen an, wenn eine infizierte Anwendung ausgeführt wird.

Die Auslöserroutine des Virus arbeitet mit Flash-BIOS-Ports und versucht Flash-Speicher mit "Müll" zu überschreiben. Dies ist nur möglich, wenn das Motherboard und der Chipsatz das Schreiben in den Flash-Speicher erlauben. Normalerweise kann das Schreiben in den Flash-Speicher durch einen DIP-Schalter deaktiviert werden, dies hängt jedoch vom Design des Motherboards ab. Leider gibt es moderne Motherboards, die nicht durch einen DIP-Schalter geschützt werden können - auch einige von ihnen achten nicht auf die Schalterstellung und dieser Schutz hat keinerlei Auswirkungen. Einige andere Motherboard-Designs bieten einen schriftlichen Schutz, der durch Software deaktiviert / außer Kraft gesetzt werden kann.

Die Triggerroutine überschreibt dann Daten auf allen installierten Festplattenlaufwerken. Der Virus verwendet Direct Disk Write-Aufrufe, um dies zu erreichen, und umgeht den Standard-BIOS-Virenschutz beim Überschreiben der MBR- und Boot-Sektoren.

Es sind drei "Original" -Virus-Versionen bekannt, die sehr eng verwandt sind und sich nur in wenigen Teilen ihres Codes unterscheiden. Sie haben unterschiedliche Längen, Texte im Viruscode und Auslöserdatum:

Länge Text Auslöserdatum In-The-Wild gefunden1003 CIH 1.2 TTIT am 26. April JA1010 CIH 1.3 TTIT am 26. April NO1019 CIH 1.4 TATUNG am 26. eines jeden Monats JA - viele Berichte

Technische Details

Beim Infizieren einer Datei sucht der Virus im Dateikörper nach "Höhlen". Diese Höhlen sind ein Ergebnis der PE-Dateistruktur: Alle Dateiabschnitte werden durch einen Wert ausgerichtet, der im Header der PE-Datei definiert ist, und es gibt nicht verwendete Blöcke von Dateidaten zwischen dem Ende des vorherigen Abschnitts und dem nächsten. Der Virus sucht nach diesen Höhlen und schreibt seinen Code in sie. Der Virus erhöht dann die Größe der Abschnitte um die erforderlichen Werte. Daher wird die Dateilänge beim Infizieren nicht erhöht.

Wenn es eine Höhle von ausreichender Größe gibt, speichert der Virus seinen Code in einem Abschnitt. Andernfalls teilt es seinen Code in mehrere Teile und speichert sie am Ende mehrerer Abschnitte. Daher kann der Viruscode als Teilmenge und nicht als einzelner Block in infizierten Dateien gefunden werden.

Der Virus sucht auch im PE-Header nach einer Höhle. Wenn ein nicht verwendeter Block mit einer Länge von mindestens 184 Byte vorhanden ist, schreibt der Virus seine Startroutine dorthin. Der Virus patcht dann die Eingangsadresse im PE-Header mit einem Wert, der auf die Startroutine im Header verweist. Dies ist der gleiche Trick, der im "Win95.Murkry" -Virus verwendet wurde: Die Adresse des Programmeintrittspunkts bezieht sich nicht auf einen Dateiabschnitt , sondern auf den Dateiheader - aus einer ladbaren Datei. Trotzdem werden infizierte Programme ohne Probleme ausgeführt - Windows kümmert sich nicht um solche "seltsamen" Dateien, lädt den Dateiheader in den Speicher, fügt dann Dateiabschnitte hinzu und übergibt dann die Kontrolle an die Virenstartsoutine im PE-Header.

Wenn die Virenstartroutine die Kontrolle übernimmt, weist sie mithilfe des Aufrufs von PageAlloce VMM einen Speicherblock zu, kopiert sich selbst dorthin, sucht nach anderen Blöcken von Viruscode und kopiert sie auch in den zugewiesenen Speicherblock. Der Virus hakt dann die IFS-API des Systems und gibt die Kontrolle an das Host-Programm zurück.

Das Interessanteste in diesem Teil des Viruscodes ist, dass der Virus ziemlich komplexe Tricks verwendet, um von Ring3 zu Ring0 zu springen: Wenn der Virus in neu zugewiesenen Speicher springt, wird sein Code dann als Ring0-Routine ausgeführt, und der Virus ist dazu in der Lage Haken Sie die Dateisystemaufrufe an (dies ist in Ring3 nicht möglich, wo alle Benutzeranwendungen ausgeführt werden).

Der IFS-API-Virus-Handler fängt nur eine Funktion ab - das Öffnen von Dateien. Wenn PE.EXE-Dateien geöffnet werden, infiziert das Virus sie, vorausgesetzt, es gibt Höhlen von ausreichender Größe. Nach der Infektion überprüft der Virus das Dateidatum und ruft die Triggerroutine auf (siehe oben).

Während der Ausführung der Trigger-Routine verwendet der Virus direkten Zugriff auf Flash-BIOS-Ports und direkte VxD-Festplattenzugriffsaufrufe (IOS_SendCommand).

Andere bekannte Virusversionen

Der ursprüngliche Virenautor veröffentlichte nicht nur den Viruscode in betroffenen EXE-Dateien, sondern auch einen Virusquellen- (Assembler-) Code. Diese Quelltexte wurden gepatcht, neu kompiliert und neue Virusversionen wurden deshalb gefunden. Die meisten dieser Versionen sind fehlerbehaftet und können nicht repliziert werden, andere können dies jedoch. Sie alle sind den ursprünglichen Viren sehr verschlossen, aber es gibt einige Unterschiede. Der Hauptunterschied ist, dass sich das "Bomben" -Datum geändert hat, und neue Varianten des Virus entweder Daten löschen und Flash-BIOS an anderen Tagen, oder diese Routine wird nie aufgerufen.

Es gibt auch "originale" Versionen des Virus gepatcht, so dass sie andere "Bomben" Tage haben. Der Grund dafür ist eigentlich witzig: Der Virus überprüft das Auslösedatum, indem er die aktuelle Tag- und Monatszahl mit zwei Konstanten (zwei Bytes) vergleicht. Durch das Patchen dieser Konstanten ist es möglich, jeden Tag auszuwählen, an dem der Virus Computer zerstört.

Mehr erfahren

Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com