DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Virus.Win9x.Yobe

Kategorie Virus
Plattform Win9x
Beschreibung

Technische Details

Dies ist ein gefährlicher Speicher residenter parasitärer Windows-Virus. Es verwendet Systemaufrufe, die nur unter Win95 / 98 gültig sind und unter NT nicht verbreitet werden können. Der Virus hat auch Fehler und hält das System oft beim Ausführen an. Trotzdem hat das Virus eine sehr ungewöhnliche Art zu verbreiten, und es ist aus technischer Sicht interessant genug.

Der Virus kann nur in zwei Dateien gefunden werden: "SETUP.EXE" auf Disketten und "SETUP .EXE" im Stammverzeichnis des Laufwerks C: (Es gibt ein Leerzeichen zwischen dem Dateinamen und der Erweiterung ".EXE").

Auf Disketten verwendet der Virus einen Trick, um seine Kopie zu verbergen. Er schreibt seinen vollständigen Code in die letzten Plattensektoren und modifiziert die Datei SETUP.EXE, um diesen Code zu lesen und auszuführen.

Die infizierte SETUP.EXE-Datei sieht nur als ein 512-Byte-DOS-EXE-Programm aus, ist es jedoch nicht. Beim Infizieren dieser Datei verwendet der Virus eine DirII- Virus-Methode: Durch direkte Lese- / Schreibzugriffe auf Plattensektoren erhält der Virus Zugriff auf Plattenverzeichnissektoren, ändert das Feld "Erstes Dateicluster" und führt notwendige Änderungen in Platten-FAT-Tabellen durch. Daher wird der ursprüngliche SETUP.EXE-Code nicht geändert aber das Verzeichnis gibt Punkte zu dem Viruscode statt der ursprünglichen Dateicluster ein.

Wenn die infizierte SETUP.EXE von der infizierten Diskette ausgeführt wird, übernimmt diese DOS-Komponente des Virus die Kontrolle, liest den kompletten Viruskörper aus den letzten Sektoren auf der Diskette, erstellt dann die "C: SETUP .EXE" -Datei, schreibt diese Daten (kompletter Viruscode) dorthin und ausgeführt. Die Vireninstallationsroutine übernimmt dann die Kontrolle, installiert den Virus auf dem System und desinfiziert die Datei SETUP.EXE auf dem Diskettenlaufwerk.

Bei der Installation im System erstellt der Virus einen neuen Schlüssel in der Systemregistrierung, um sich bei jedem Windows-Neustart selbst zu aktivieren:

 HKLMSoftwareMicrosoftWindowsCurrentVersionRun 
  YOBE = "" C: SETUP .EXE "YOBE"

Der Virus wechselt dann auf die Windows-Kernel-Ebene (Ring0), ordnet einen Systemspeicherblock zu, kopiert sich selbst dorthin und hakt Dateizugriff auf Windows-Funktionen (IFS-API). Dieser Hook fängt Dateieröffnungsaufrufe ab, und beim Öffnen der Datei SETUP.EXE auf Laufwerk A: infiziert der Virus ihn.

Der Virus hat zusätzliche Routinen. Zuerst sucht einer von ihnen nach "AVP Monitor" und "Amon Antivirus Monitor" Fenstern und schließt sie; die zweite, abhängig vom Zufallszähler, zeigt auf der linken Seite des Bildschirms eine Zeile mit den Worten "YOBE" an.


Link zum Original