Virus.Multi.Fabi

Détails techniques

Il s'agit d'un virus multi-plateforme infectant les fichiers exécutables Windows32 (PE EXE) et les documents et modèles MS Word. Comme tous les virus multiplateformes, son code contient plusieurs parties (composants), chacun d'entre eux fait son travail dans son environnement natif: comme une application Win32 dans MS Windows, ou comme un programme macro dans MS Word. Lorsque l'un des deux composants viraux démarre dans son environnement, il infecte non seulement les objets dans cet environnement, mais diffuse également le code viral à un autre: du fichier EXE Windows aux documents Word et du document Word aux fichiers Windows EXE.

Le virus ne contient aucune destruction et ne se manifeste d'aucune façon. Les fichiers EXE infectés contiennent le texte:

(c) Vecna

Parecia inofensiva mas te dominou …

Infecter EXE -> EXE

Lorsqu'un fichier EXE infecté est exécuté, le composant de virus EXE prend le contrôle. Il vérifie le type de système d'exploitation installé et s'il s'agit de Windows NT, le virus renvoie le contrôle au programme hôte et n'effectue aucune autre action. Le virus exécute sa routine d'infection uniquement lorsqu'il est exécuté dans Windows95 / 98. Cette routine recherche et infecte tous les fichiers exécutables Win32 dans le répertoire courant ainsi que dans les répertoires WINDOWS et WINDOWSSYSTEM. Tout en infectant le virus écrit son code à la fin de la dernière section, augmente sa taille et modifie les champs d'en-tête PE nécessaires.

En raison d'un bug, le virus corrompt les fichiers EXE dans le cas où la taille de la dernière section est supérieure à 64 Ko – le virus écrit son code au milieu du fichier, et le programme corrompu reste inutilisable et ne fonctionne plus.

Infecter Macro -> Macro, Macro -> EXE

Dans les documents et modèles infectés, le virus contient une macro AutoClose. Il s'installe dans la zone de macro globale Word à l'ouverture d'un document infecté et infecte les autres documents qu'ils sont ensuite fermés. Pour copier son code d'un document / modèle à un autre, le virus utilise des instructions d'édition de code macro.

Pour exécuter le fichier Windows EXE infecté, le virus utilise la méthode standard. Les données binaires du fichier EXE sont stockées dans des macros de virus dans des piqûres de texte – les données EXE binaires sont converties en vidage hexadécimal ASCII. Le virus enregistre ces données sur le disque, crée une aide BAT DOS temporaire et, en utilisant cette aide, l'utilitaire DOS DEBUG convertit le vidage hexadécimal en format binaire EXE et l'exécute. Le composant EXE du virus prend le contrôle, il exécute et infecte les fichiers EXE sur le disque dur comme il est décrit ci-dessus.

La version connue du virus a un bug ici, et ne peut pas créer de fichiers EXE à partir du composant de virus de macro. Par conséquent, les fichiers Windows EXE restent non infectés.

Infecter EXE -> Macro

La routine qui dépose le composant macro dans Word à partir de fichiers EXE infectés est activée juste après la fin de la procédure de recherche et d'infection des fichiers EXE du disque. Cette routine est plus complexe que les autres décrites ci-dessus et nécessite plus de fichiers temporaires pour transporter le code viral d'EXE vers Word. Le virus crée trois fichiers principaux ici:

FABI.SYS – fichier "EXE" PE EXE qui est infecté par un composant de virus EXE

FABI.SRC – le code macro du virus source, plus les données binaires FABI.SYS

converti en chaînes ASCII hexadécimales

NORMAL.DOT – Modèle Word avec une petite macro qui complète le virus

installation: importe le code de virus principal de FABI.SRC vers

NORMAL.DOT

Pour commencer à propager de EXE à Word, le virus crée un court fichier EXE PE C: FABI.SYS et l'infecte. Le virus crée ensuite le fichier C: FABI.SYS et écrit son code source AutoClose du programme de macro là-bas. Ensuite, il ajoute à ce fichier les données du fichier C: FABI.SYS converties en lignes ASCII hexadécimales. Pour compléter cette étape, le virus crée un fichier NORMAL.DOT spécialement préparé. Le virus cherche un bon endroit pour déposer ce fichier dans les répertoires:

C: ARQUIV ~ 1 / MICROS ~? / MODELOS

C: ARCHIV ~ 1 / MICROS ~? / MODELOS

C: PROGRA ~ 1 / MICROS ~? / TEMPLA ~ 1

où '?' est compté de 1 à 9. Le fichier NORMAL.DOT qui est créé dans le premier répertoire trouvé contient une macro AutoExec qui est activée au démarrage de MS Word. Cette macro importe simplement le code source de la macro de virus à partir du fichier C: FABI.SRC et termine la procédure d'installation de virus: le fichier NORMAL.DOT est maintenant infecté par un code de virus complet.