Classe pour les parents: VirWare
Les virus et les vers sont des programmes malveillants qui s'auto-répliquent sur des ordinateurs ou via des réseaux informatiques sans que l'utilisateur en soit conscient; chaque copie ultérieure de tels programmes malveillants est également capable de s'autoreproduire. Les programmes malveillants qui se propagent via des réseaux ou infectent des machines distantes lorsque le "propriétaire" (par exemple Backdoors) ou les programmes qui créent plusieurs copies qui ne peuvent pas s'auto-répliquer ne font pas partie de la sous-classe Virus and Worms. La caractéristique principale utilisée pour déterminer si un programme est classé comme un comportement distinct dans la sous-classe Virus and Worms est la manière dont le programme se propage (c'est-à-dire comment le programme malveillant répand des copies de lui-même via des ressources locales ou réseau). en tant que fichiers envoyés en pièces jointes, via un lien vers une ressource Web ou FTP, via un lien envoyé dans un message ICQ ou IRC, via des réseaux de partage de fichiers P2P, etc. Certains vers se propagent sous la forme de paquets réseau; ceux-ci pénètrent directement dans la mémoire de l'ordinateur et le code du ver est alors activé. Worms utilise les techniques suivantes pour pénétrer des ordinateurs distants et lancer des copies d'eux-mêmes: ingénierie sociale (par exemple, un message électronique suggérant que l'utilisateur ouvre un fichier joint), exploitation des erreurs de configuration réseau (par exemple copie sur disque entièrement accessible) failles dans la sécurité du système d'exploitation et des applications. Les virus peuvent être divisés en fonction de la méthode utilisée pour infecter un ordinateur: virus de fichiers virus du secteur de démarrage virus de script virus de virus Tous les programmes de cette sous-classe peuvent avoir des fonctions de Troie supplémentaires. Il convient également de noter que de nombreux vers utilisent plus d'une méthode pour diffuser des copies via des réseaux. Les règles de classification des objets détectés avec des fonctions multiples doivent être utilisées pour classer ces types de vers.Classe: IRC-Worm
Ce type de ver se propage via Internet Relay Chat. Comme les vers de messagerie, les vers IRC ont deux façons de se propager via les canaux IRC. Le premier consiste à envoyer une URL qui mène à une copie du ver. La deuxième technique consiste à envoyer un fichier infecté à un utilisateur de canal IRC. Cependant, le destinataire du fichier infecté doit accepter le fichier, l'enregistrer sur le disque et l'ouvrir (le lancer).Plus d'informations
Plateforme: VBS
Visual Basic Scripting Edition (VBScript) est un langage de script interprété par Windows Script Host. VBScript est largement utilisé pour créer des scripts sur les systèmes d'exploitation Microsoft Windows.Description
Détails techniques
IRC-Worm.Evion Evion est un ver IRC se propageant via des canaux IRC. Le virus est écrit dans Visual Basic Script (VBS). Il écrase les fichiers .vbs et .html sur tous les lecteurs locaux et mappés. Installation:
Lorsque le ver est exécuté, il fait ce qui suit:
Evion crée des copies de lui-même dans le répertoire racine du disque C: dans le fichier "Win32 Strt.exe.vbs" et dans le fichier du répertoire système "BootLoader.exe.vbs" ainsi que dans le répertoire racine de Windows dans les fichiers "Blagues" .htm "et" Winupdate.exe "
Evion écrase ces fichiers existants avec une copie de lui-même:
% Windir% Readme.htm % Windir% Htmlhelp.htm % System% Winhelp32.exe % Mirc% script.ini
Evion enregistre les fichiers "BootLoader.exe.vbs" et "Win32 Strt.EXE" dans la chaîne de lancement automatique du registre système:
HKEY_LOCAL_MACHINEMicrosoftWindowsCurrentVersionRun - (BootLoader.exe.vbs) HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices - (Win32 Strt.EXE)
Diffusion
Evion recherche tous les fichiers .vbs et écrase les fichiers .vbs existants avec une copie de lui-même. Les fichiers portant les extensions .htm, .html, .asp, .htx et .hta sont remplacés par la version .HTML du ver.
Le fichier "Script.ini" est un court programme mIRC qui envoie le fichier % Windir% Jokes.htm à tous ceux qui entrent dans un canal infecté.
Charge utile
Le ver active sa charge utile trois jours différents (15 octobre, 23 novembre et 25 décembre) et affiche une boîte de message avec les textes respectifs suivants:
avec le titre de boîte de message "mon b-day" et le texte "joyeux anniversaire kefi" - 15 octobreavec le titre de la boîte de message "11/23!" et texte "saint sh * t! c'est 11/23" - 23 novembreavec le titre de la boîte de message "kefi [rRlf]" et le texte "La religion organisée contrôle le monde" - 25 décembre
Lors de ces jours d'activation de données utiles, le ver crée également 16 fichiers texte dans le dossier de démarrage de Windows. Le nom de fichier utilise le format: StartupEvion (n) .txt, où n est compris entre 0 et 15 (inclus). Ces fichiers contiennent 50 chaînes de texte de texte généré au hasard qui est sélectionné parmi ces trois lignes:
Vous avez fait et vous êtes infecté avec Vbs.Evion par kefi [rRlf] [rRlf] ownz joo bitch Catfish_VX sont lamers. Ce virus a été construit pour qu'ils volent
Les jours autres que ceux sur lesquels la charge s'exécute, un document texte est créé dans le répertoire Windows Desktop. Le nom du fichier utilise le format "Bureau% jour% -% mois% .vir.txt".
Ces fichiers contiennent le texte suivant:
aujourd'hui, vous n'avez pas connu la charge utile de Vbs.Evion Pardon.. kefi [rRlf]
En savoir plus
Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com