Hauptgruppierung: VirWare
Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.
Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).
Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.
Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.
Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.
Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:
Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.
Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.
Kategorie: Virus
Viren replizieren auf den Ressourcen der lokalen Maschine.Im Gegensatz zu Würmern verwenden Viren keine Netzwerkdienste, um andere Computer zu verbreiten oder zu durchdringen. Eine Kopie eines Virus erreicht entfernte Computer nur dann, wenn das infizierte Objekt aus irgendeinem Grund, der nichts mit der Virusfunktion zu tun hat, auf einem anderen Computer aktiviert wird. Beispielsweise:
Wenn infizierbare Festplatten infiziert werden, dringt ein Virus in eine Datei ein, die sich auf einer Netzwerkressource befindet
Ein Virus kopiert sich auf ein Wechselspeichergerät oder infiziert eine Datei auf einem Wechselmedium
Ein Benutzer sendet eine E-Mail mit einem infizierten Anhang.
Mehr Informationen
Plattform: Win9x
No platform descriptionBeschreibung
Technische Details
Dies ist ein gefährlicher Speicher residenter parasitärer Windows-Virus. Es verwendet Systemaufrufe, die nur unter Win95 / 98 gültig sind und unter NT nicht verbreitet werden können. Der Virus hat auch Fehler und hält das System oft beim Ausführen an. Trotzdem hat das Virus eine sehr ungewöhnliche Art zu verbreiten, und es ist aus technischer Sicht interessant genug.
Der Virus kann nur in zwei Dateien gefunden werden: "SETUP.EXE" auf Disketten und "SETUP .EXE" im Stammverzeichnis des Laufwerks C: (Es gibt ein Leerzeichen zwischen dem Dateinamen und der Erweiterung ".EXE").
Auf Disketten verwendet der Virus einen Trick, um seine Kopie zu verbergen. Er schreibt seinen vollständigen Code in die letzten Plattensektoren und modifiziert die Datei SETUP.EXE, um diesen Code zu lesen und auszuführen.
Die infizierte SETUP.EXE-Datei sieht nur als ein 512-Byte-DOS-EXE-Programm aus, ist es jedoch nicht. Beim Infizieren dieser Datei verwendet der Virus eine DirII- Virus-Methode: Durch direkte Lese- / Schreibzugriffe auf Plattensektoren erhält der Virus Zugriff auf Plattenverzeichnissektoren, ändert das Feld "Erstes Dateicluster" und führt notwendige Änderungen in Platten-FAT-Tabellen durch. Daher wird der ursprüngliche SETUP.EXE-Code nicht geändert aber das Verzeichnis gibt Punkte zu dem Viruscode statt der ursprünglichen Dateicluster ein.
Wenn die infizierte SETUP.EXE von der infizierten Diskette ausgeführt wird, übernimmt diese DOS-Komponente des Virus die Kontrolle, liest den kompletten Viruskörper aus den letzten Sektoren auf der Diskette, erstellt dann die "C: SETUP .EXE" -Datei, schreibt diese Daten (kompletter Viruscode) dorthin und ausgeführt. Die Vireninstallationsroutine übernimmt dann die Kontrolle, installiert den Virus auf dem System und desinfiziert die Datei SETUP.EXE auf dem Diskettenlaufwerk.
Bei der Installation im System erstellt der Virus einen neuen Schlüssel in der Systemregistrierung, um sich bei jedem Windows-Neustart selbst zu aktivieren:
HKLMSoftwareMicrosoftWindowsCurrentVersionRun YOBE = "" C: SETUP .EXE "YOBE"
Der Virus wechselt dann auf die Windows-Kernel-Ebene (Ring0), ordnet einen Systemspeicherblock zu, kopiert sich selbst dorthin und hakt Dateizugriff auf Windows-Funktionen (IFS-API). Dieser Hook fängt Dateieröffnungsaufrufe ab, und beim Öffnen der Datei SETUP.EXE auf Laufwerk A: infiziert der Virus ihn.
Der Virus hat zusätzliche Routinen. Zuerst sucht einer von ihnen nach "AVP Monitor" und "Amon Antivirus Monitor" Fenstern und schließt sie; die zweite, abhängig vom Zufallszähler, zeigt auf der linken Seite des Bildschirms eine Zeile mit den Worten "YOBE" an.
Mehr erfahren
Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com