Virus.Multi.Fabi

Classe pour les parents: VirWare

Les virus et les vers sont des programmes malveillants qui s'auto-répliquent sur des ordinateurs ou via des réseaux informatiques sans que l'utilisateur en soit conscient; chaque copie ultérieure de tels programmes malveillants est également capable de s'autoreproduire. Les programmes malveillants qui se propagent via des réseaux ou infectent des machines distantes lorsque le "propriétaire" (par exemple Backdoors) ou les programmes qui créent plusieurs copies qui ne peuvent pas s'auto-répliquer ne font pas partie de la sous-classe Virus and Worms. La caractéristique principale utilisée pour déterminer si un programme est classé comme un comportement distinct dans la sous-classe Virus and Worms est la manière dont le programme se propage (c'est-à-dire comment le programme malveillant répand des copies de lui-même via des ressources locales ou réseau). en tant que fichiers envoyés en pièces jointes, via un lien vers une ressource Web ou FTP, via un lien envoyé dans un message ICQ ou IRC, via des réseaux de partage de fichiers P2P, etc. Certains vers se propagent sous la forme de paquets réseau; ceux-ci pénètrent directement dans la mémoire de l'ordinateur et le code du ver est alors activé. Worms utilise les techniques suivantes pour pénétrer des ordinateurs distants et lancer des copies d'eux-mêmes: ingénierie sociale (par exemple, un message électronique suggérant que l'utilisateur ouvre un fichier joint), exploitation des erreurs de configuration réseau (par exemple copie sur disque entièrement accessible) failles dans la sécurité du système d'exploitation et des applications. Les virus peuvent être divisés en fonction de la méthode utilisée pour infecter un ordinateur: virus de fichiers virus du secteur de démarrage virus de script virus de virus Tous les programmes de cette sous-classe peuvent avoir des fonctions de Troie supplémentaires. Il convient également de noter que de nombreux vers utilisent plus d'une méthode pour diffuser des copies via des réseaux. Les règles de classification des objets détectés avec des fonctions multiples doivent être utilisées pour classer ces types de vers.

Classe: Virus

Les virus se répliquent sur les ressources de la machine locale. Contrairement aux vers, les virus n'utilisent pas les services réseau pour propager ou pénétrer d'autres ordinateurs. Une copie d'un virus n'atteindra les ordinateurs distants que si l'objet infecté est, pour une raison quelconque non liée à la fonction virale, activé sur un autre ordinateur. Par exemple: lors de l'infection de disques accessibles, un virus pénètre dans un fichier situé sur une ressource réseau un virus se copie sur un périphérique de stockage amovible ou infecte un fichier sur un périphérique amovible un utilisateur envoie un courrier électronique avec une pièce jointe infectée.

Plus d'informations

Plateforme: Multi

No platform description

Description

Détails techniques

Il s'agit d'un virus multi-plateforme infectant les fichiers exécutables Windows32 (PE EXE) et les documents et modèles MS Word. Comme tous les virus multiplateformes, son code contient plusieurs parties (composants), chacun d'entre eux fait son travail dans son environnement natif: comme une application Win32 dans MS Windows, ou comme un programme macro dans MS Word. Lorsque l'un des deux composants viraux démarre dans son environnement, il infecte non seulement les objets dans cet environnement, mais diffuse également le code viral à un autre: du fichier EXE Windows aux documents Word et du document Word aux fichiers Windows EXE.

Le virus ne contient aucune destruction et ne se manifeste d'aucune façon. Les fichiers EXE infectés contiennent le texte:

(c) VecnaParecia inofensiva mas te dominou ...

Infecter EXE -> EXE

Lorsqu'un fichier EXE infecté est exécuté, le composant de virus EXE prend le contrôle. Il vérifie le type de système d'exploitation installé et s'il s'agit de Windows NT, le virus renvoie le contrôle au programme hôte et n'effectue aucune autre action. Le virus exécute sa routine d'infection uniquement lorsqu'il est exécuté dans Windows95 / 98. Cette routine recherche et infecte tous les fichiers exécutables Win32 dans le répertoire courant ainsi que dans les répertoires WINDOWS et WINDOWSSYSTEM. Tout en infectant le virus écrit son code à la fin de la dernière section, augmente sa taille et modifie les champs d'en-tête PE nécessaires.

En raison d'un bug, le virus corrompt les fichiers EXE dans le cas où la taille de la dernière section est supérieure à 64 Ko - le virus écrit son code au milieu du fichier, et le programme corrompu reste inutilisable et ne fonctionne plus.

Infecter Macro -> Macro, Macro -> EXE

Dans les documents et modèles infectés, le virus contient une macro AutoClose. Il s'installe dans la zone de macro globale Word à l'ouverture d'un document infecté et infecte les autres documents qu'ils sont ensuite fermés. Pour copier son code d'un document / modèle à un autre, le virus utilise des instructions d'édition de code macro.

Pour exécuter le fichier Windows EXE infecté, le virus utilise la méthode standard. Les données binaires du fichier EXE sont stockées dans des macros de virus dans des piqûres de texte - les données EXE binaires sont converties en vidage hexadécimal ASCII. Le virus enregistre ces données sur le disque, crée une aide BAT DOS temporaire et, en utilisant cette aide, l'utilitaire DOS DEBUG convertit le vidage hexadécimal en format binaire EXE et l'exécute. Le composant EXE du virus prend le contrôle, il exécute et infecte les fichiers EXE sur le disque dur comme il est décrit ci-dessus.

La version connue du virus a un bug ici, et ne peut pas créer de fichiers EXE à partir du composant de virus de macro. Par conséquent, les fichiers Windows EXE restent non infectés.

Infecter EXE -> Macro

La routine qui dépose le composant macro dans Word à partir de fichiers EXE infectés est activée juste après la fin de la procédure de recherche et d'infection des fichiers EXE du disque. Cette routine est plus complexe que les autres décrites ci-dessus et nécessite plus de fichiers temporaires pour transporter le code viral d'EXE vers Word. Le virus crée trois fichiers principaux ici:

FABI.SYS - fichier "EXE" PE EXE qui est infecté par un composant de virus EXEFABI.SRC - le code macro du virus source, plus les données binaires FABI.SYSconverti en chaînes ASCII hexadécimalesNORMAL.DOT - Modèle Word avec une petite macro qui complète le virusinstallation: importe le code de virus principal de FABI.SRC versNORMAL.DOT

Pour commencer à propager de EXE à Word, le virus crée un court fichier EXE PE C: FABI.SYS et l'infecte. Le virus crée ensuite le fichier C: FABI.SYS et écrit son code source AutoClose du programme de macro là-bas. Ensuite, il ajoute à ce fichier les données du fichier C: FABI.SYS converties en lignes ASCII hexadécimales. Pour compléter cette étape, le virus crée un fichier NORMAL.DOT spécialement préparé. Le virus cherche un bon endroit pour déposer ce fichier dans les répertoires:

C: ARQUIV ~ 1 / MICROS ~? / MODELOSC: ARCHIV ~ 1 / MICROS ~? / MODELOSC: PROGRA ~ 1 / MICROS ~? / TEMPLA ~ 1

où '?' est compté de 1 à 9. Le fichier NORMAL.DOT qui est créé dans le premier répertoire trouvé contient une macro AutoExec qui est activée au démarrage de MS Word. Cette macro importe simplement le code source de la macro de virus à partir du fichier C: FABI.SRC et termine la procédure d'installation de virus: le fichier NORMAL.DOT est maintenant infecté par un code de virus complet.

En savoir plus

Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com