CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Virus.Win16.Gollum

Classe Virus
Plateforme Win16
Description

Détails techniques

C'est un virus parasite qui reste "résident" sous Windows et Windows95, accroît l'accès au fichier disque et infecte les fichiers EXE DOS. C'est un virus multipartite, car il affecte deux plateformes différentes – Windows et DOS. Le virus n'infecte pas les fichiers exécutables Portable Executable (PE) ou New Executable (NE) Windows, mais reste dans Windows en tant que pilote VxD pour intercepter et infecter les fichiers EXE DOS. Ainsi, le virus n'infecte pas les fichiers Windows, mais la mémoire Windows, et il n'infecte pas la mémoire DOS, mais infecte les fichiers EXE DOS.

Lorsqu'un fichier EXE DOS infecté est exécuté, le virus supprime uniquement son fichier VxD (le fichier GOLLUM.386), l'enregistre dans le fichier SYSTEM.INI de Windows, retourne au programme hôte et n'effectue aucune autre action. Lorsque Windows démarre, il charge ce virus VxD, le virus prend le contrôle, accroche la chaîne d'interruptions V86 puis infecte les fichiers EXE DOS. Le dropper GOLLUM.386 a 6592 octets de longueur, tandis que l'infecter ajoute 7167 octets aux fichiers EXE DOS.

Fichier DOS EXE infecté

Le virus dans le fichier DOS EXE est chiffré par l'instruction NOT (XOR 0FFh). Ainsi, lorsqu'un fichier infecté est exécuté, le virus prend le contrôle et se décrypte lui-même. La boucle de commande de décryptage contient une astuce anti-débogage, et il faut faire attention en analysant le code du virus.

Le virus recherche ensuite le fichier Windows SYSTEM.INI. Il y a cinq noms qui sont utilisés par virus:


C: WINDOWSSYSTEM.INI
C: WINSYSTEM.INI
C: WIN31SYSTEM.INI
C: WIN311SYSTEM.INI
C: WIN95SYSTEM.INI
S'il n'y a pas de tels fichiers, le virus ne supprime pas son VxD et retourne au programme hôte. Sinon, il crée le fichier GOLLUM.386 (virus VxD) dans le répertoire Windows et insère dans le fichier SYSTEM.INI la commande qui charge ce VxD:

DEVICE = GOLLUM.386
Cette commande est insérée dans la section [386Enh] – le virus recherche la chaîne "[386" et écrit cette commande là:

SYSTEM.INI avant et après l'infection
… …
[386Enh] [386Enh]
mouse = * vmd DEVICE = GOLLUM.386

souris = * vmd

Le virus ne supprime pas deux fois son VxD – il analyse le fichier SYSTEM.INI pour la chaîne "GOLLU" et termine la routine d'infection si cette chaîne est trouvée.

Virus dans le fichier VxD

Virus VxD (le fichier GOLLUM.386) a le format LE (Linear Executable). DOS stubs dans ce fichier contient une routine courte qui passe en mode vidéo texte standard et affiche le texte:

GoLLum!
La partie LE de ce fichier contient la routine d'installation qui récupère et stocke le chemin de démarrage (à utiliser dans la routine infection), les hooks INT 21h (chaîne d'interruption V86), le gestionnaire INT 21h, la routine d'infection et le code DOS. Le gestionnaire de virus INT 21h intercepte trois appels: Load and Execute (4B00h), Terminate (4C00h) et Change Directory (3Bh).

Lorsqu'un fichier est exécuté, le virus n'enregistre que son nom et renvoie le contrôle. La routine d'infection obtient le contrôle sur l'appel Terminate. Au début, le virus vérifie le nom du fichier. Il infecte les fichiers uniquement sur le lecteur C: et n'infecte pas les fichiers SCAN *. *, F-PR *. *, TB *. * (Programmes SCAN, F-PROT, ThunderByte) ainsi que les fichiers dont le nom contient la lettre 'V' ou les chiffres. Le virus n'infecte pas non plus les fichiers d'une longueur inférieure à 7167 octets.

Le virus ouvre ensuite le fichier, lit et vérifie son en-tête. Le virus vérifie les tampons EXE (MZ au début du fichier) et NewExe, mais échoue et, dans certains cas, infecte les fichiers NewExe sous DOS EXE. Cela peut corrompre les fichiers. Pour éviter une infection en double, le virus compare le champ CRC (offset 12h dans l'en-tête EXE) avec deux octets – 52h 43h (ASCII "RC").

Le virus infecte alors le fichier d'une manière standard utilisée par la majorité des virus DOS – il écrit son code (parties DOS et VxD) à la fin du fichier et modifie l'en-tête EXE (valeurs initiales du point d'entrée et de la pile, taille du module et identificateur "RC"). Pour éviter la violation du code / de l'accès aux données lors de l'écriture de la partie VxD, le virus le copie à partir de GOLLUM.386 dans le chemin de démarrage qui a été stocké lors de l'installation du virus VxD.

La routine d'infection est terminée et le virus ferme le fichier ainsi que restaure les attributs de fichier et la date et l'horodatage des fichiers.

Trigger Routines

Lors de l'installation le 4 juin, le virus envoie un message système avec le texte qui oblige Windows à afficher ce texte en tant que message d'erreur système:

GoLLuM ViRuS par Griyo / 29A
Profondément ici par l'eau sombre vivait vieux Gollum, un petit visqueux
créature. Je ne sais pas d'où il vient, ni qui ou quoi il était. Il
était un Gollum – comme une obscurité, à l'exception de deux grands yeux ronds et pâles
dans son visage mince.
JRR ToLkieN … Le HoBBit
Appuyez sur n'importe quelle touche pour continuer
Lors de la sélection d'un répertoire (INT 21h Change Directory appel) le virus obtient le minuteur du système et en fonction de sa valeur (avec probabilité 1/256) crée le fichier GOLLUM.EXE dans le répertoire courant et copie son VxD GOLLUM.386 là. Lorsque ce fichier EXE est exécuté sous DOS, la routine de remplacement DOS affiche:

GoLLum!
Pour éviter la détection par les contrôleurs d'intégrité antivirus, le virus supprime leurs bases de données: ANTI-VIR.DAT, CHKLIST.TAV, CHKLIST.MS, AVP.CRC, IVB.NTZ.

Le virus contient également les chaînes:


GoLLuM ViRuS pour Microsoft Windows par GriYo / 29A
GPTrap_DDB


Lien vers l'original