Virus.Win9x.Yobe

Technische Details

Dies ist ein gefährlicher Speicher residenter parasitärer Windows-Virus. Es verwendet Systemaufrufe, die nur unter Win95 / 98 gültig sind und unter NT nicht verbreitet werden können. Der Virus hat auch Fehler und hält das System oft beim Ausführen an. Trotzdem hat das Virus eine sehr ungewöhnliche Art zu verbreiten, und es ist aus technischer Sicht interessant genug.

Der Virus kann nur in zwei Dateien gefunden werden: "SETUP.EXE" auf Disketten und "SETUP .EXE" im Stammverzeichnis des Laufwerks C: (Es gibt ein Leerzeichen zwischen dem Dateinamen und der Erweiterung ".EXE").

Auf Disketten verwendet der Virus einen Trick, um seine Kopie zu verbergen. Er schreibt seinen vollständigen Code in die letzten Plattensektoren und modifiziert die Datei SETUP.EXE, um diesen Code zu lesen und auszuführen.

Die infizierte SETUP.EXE-Datei sieht nur als ein 512-Byte-DOS-EXE-Programm aus, ist es jedoch nicht. Beim Infizieren dieser Datei verwendet der Virus eine DirII- Virus-Methode: Durch direkte Lese- / Schreibzugriffe auf Plattensektoren erhält der Virus Zugriff auf Plattenverzeichnissektoren, ändert das Feld "Erstes Dateicluster" und führt notwendige Änderungen in Platten-FAT-Tabellen durch. Daher wird der ursprüngliche SETUP.EXE-Code nicht geändert aber das Verzeichnis gibt Punkte zu dem Viruscode statt der ursprünglichen Dateicluster ein.

Wenn die infizierte SETUP.EXE von der infizierten Diskette ausgeführt wird, übernimmt diese DOS-Komponente des Virus die Kontrolle, liest den kompletten Viruskörper aus den letzten Sektoren auf der Diskette, erstellt dann die "C: SETUP .EXE" -Datei, schreibt diese Daten (kompletter Viruscode) dorthin und ausgeführt. Die Vireninstallationsroutine übernimmt dann die Kontrolle, installiert den Virus auf dem System und desinfiziert die Datei SETUP.EXE auf dem Diskettenlaufwerk.

Bei der Installation im System erstellt der Virus einen neuen Schlüssel in der Systemregistrierung, um sich bei jedem Windows-Neustart selbst zu aktivieren:

 HKLMSoftwareMicrosoftWindowsCurrentVersionRun 
  YOBE = "" C: SETUP .EXE "YOBE"

Der Virus wechselt dann auf die Windows-Kernel-Ebene (Ring0), ordnet einen Systemspeicherblock zu, kopiert sich selbst dorthin und hakt Dateizugriff auf Windows-Funktionen (IFS-API). Dieser Hook fängt Dateieröffnungsaufrufe ab, und beim Öffnen der Datei SETUP.EXE auf Laufwerk A: infiziert der Virus ihn.

Der Virus hat zusätzliche Routinen. Zuerst sucht einer von ihnen nach "AVP Monitor" und "Amon Antivirus Monitor" Fenstern und schließt sie; die zweite, abhängig vom Zufallszähler, zeigt auf der linken Seite des Bildschirms eine Zeile mit den Worten "YOBE" an.