CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Virus.Win32.Parvo

Classe Virus
Plateforme Win32
Description

Détails techniques

Ce virus se propage sous Win32 (Win95 / 98 et WinNT) et infecte les fichiers PE EXE (Portable Executable). Le virus a une taille assez grande pour un programme écrit en assembleur – environ 15Kb. C'est un virus polymorphe.

La caractéristique la plus intéressante de ce virus est sa capacité à envoyer des fichiers EXE infectés à Internet en utilisant les protocoles de messagerie standard (voir aussi d'autres virus qui envoient des messages infectés via Email: "Win.RedTeam" , "Macro.Word97.Antimarc" , " Macro.Word.Innuendo " , " Macro.Word.ShareFun " ).

En fonction du compteur aléatoire, le virus appelle sa seconde routine d'accès à Internet. Cette fois, le virus ne diffuse pas ses copies, mais cherche simplement la base de données DialUp et l'envoie à l'auteur du virus.

Le code du virus contient les "droits d'auteur" de l'auteur:


– Parvo BioCoded par GriYo / 29A – Win32 Tech Support par Jacky Qwerty / 29A
– Merci à Darkman / 29A et b0z0 / Ikx pour leurs idées et leur stratégie
– Parvo est un spécimen de recherche, ne pas distribuer
– c1999 29A Labs … Nous créons la vie –

Beaucoup de routines de virus (infection, polymorphique) ont les mêmes caractéristiques que le virus "Win95.Marburg" . Le virus écrit lui-même à la fin de la dernière section de fichier; ne modifie pas l'adresse d'entrée PE mais corrige le code d'entrée du programme d'origine avec l'instruction JMP_Virus, ou avec un bloc de code indésirable qui à la fin passe le contrôle au code du virus; etc

Lorsque le virus prend le contrôle, la boucle de décryptage polymorphe et la routine de décryptage lite supplémentaire restaurent le code du virus et transmettent le contrôle à la routine virale principale.

Le virus protège son code en utilisant la méthode CRC. Il calcule le CRC de son code et quitte, si le CRC n'est pas correct. Il semble que cette fonctionnalité est nécessaire pour le virus, car il envoie des fichiers infectés via Internet, de sorte que la vérification CRC empêche l'exécution de copies corrompues.

Le virus analyse ensuite le noyau Windows et recherche l'accès aux fichiers, la recherche et les autres fonctions de l'API utilisées par le virus. Lors de la recherche de fonctions API, le virus n'utilise pas leurs noms, mais les sommes de contrôle. Pour trouver la chaîne nécessaire dans le noyau Windows, le virus calcule juste un CRC un par un et compare les résultats avec une table de valeurs pré-calculées qui sont sauvegardées dans le code du virus.

Pour infecter des fichiers sur le disque, le virus les recherche dans les répertoires système actuels, Windows et Windows. Le virus affecte également les fichiers dans les répertoires, qui contiennent le navigateur Internet installé et le lecteur de courrier électronique. Le virus obtient ces noms de répertoires à partir du Registre système.

Le virus n'infecte pas tous les fichiers trouvés, mais seulement les fichiers avec des noms spécifiques: IEXPLORE.EXE, INSTALL.EXE, NETSCAPE.EXE, NOTEPAD.EXE, SETUP.EXE, WINZIP32.EXE et d'autres. Pour comparer les noms de fichiers, le virus utilise également la méthode checksum comme lors de la recherche de fonctions API.

Pour renvoyer le contrôle au programme hôte, le virus crée sa copie avec un nom sélectionné au hasard, désinfecte et l'exécute. Le virus attend alors la sortie du fichier hôte, de sorte que le code du virus reste en mémoire jusqu'au moment où le programme hôte se termine. Bien que le code du virus puisse rester longtemps dans la mémoire, le virus n'est pas résident en mémoire. Il n'accueille aucun événement système et n'intercepte pas l'ouverture / exécution de fichier pour les infecter.

Pour envoyer des fichiers infectés à Internet, le virus connecte Internet à l'aide des fonctions Windows standard, obtient une adresse électronique sélectionnée au hasard, lui envoie un message canular et joint au message le compte-gouttes EXE infecté (voir le texte des messages ci-dessous). Pour obtenir une adresse e-mail de la victime, le virus va à plusieurs groupes de discussion, lit le message sélectionné au hasard et recherche la chaîne FROM à l'intérieur. Lorsque ce texte d'identification est trouvé, le virus utilise l'adresse suivie pour envoyer le message infecté.

Le nom de fichier infecté est sélectionné parmi trois variantes possibles: MSEFIXI.EXE, LSERIAL.EXE ou HOTEENS.EXE. Les messages (y compris les en-têtes) sont également sélectionnés parmi trois variantes:

Message 1 ———————————————— ————-

courrier de: support@microsoft.com de: support@microsoft.com rcpt à: adresse sélectionnée au hasard à: adresse sélectionnée au hasard Sujet: risque de sécurité actuel en utilisant Microsoft Internet Explorer et Outlook Express

Un virus nouveau et dangereux a frappé Internet.

LA DESCRIPTION:

Lorsque le client de messagerie reçoit un courrier électronique malveillant ou un message de nouvelles contenant une pièce jointe avec un nom de fichier très long, il peut provoquer l'exécution automatique du code arbitraire sur le poste de travail client, infectant ainsi la machine.

Microsoft a été conscient de ce problème dès le début et présente ici un patch pour les deux de nos produits dans lequel il exploite.

Outlook 98 sous Windows � 95, Windows 98 et Microsoft Windows NT � 4.0 Outlook Express 4.0, 4.01 (y compris 4.01 avec Service Pack 1) sur les clients de messagerie Netscape Windows 95, Windows 98 et Windows NT 4.0

SOLUTION:

Les clients utilisant ce produit pour Windows 95, Windows 98 ou Windows NT 4.0 doivent exécuter le correctif joint ou télécharger un correctif mis à jour à partir de:

http://www.microsoft.com/outlook/enhancements/outptch2.asp

Veuillez corriger votre ordinateur le plus rapidement possible et aidez-nous à combattre cette menace sur Internet.

Merci pour votre temps.

Support Microsoft

Message 2 ———————————————— ————-

courrier de: de: rcpt à: adresse sélectionnée au hasard à: adresse sélectionnée au hasard Objet: liste de numéros de série nouvelle et encore plus grande maintenant!

salut

Avez-vous besoin d'un numéro de série pour un programme non enregistré?

Avez-vous l'impression de l'avoir cherché partout?

Même dans la dernière version de Phrozen Crews Oscar?

Si vous pouvez répondre à certaines des questions ci-dessus et que vous êtes toujours à la recherche d'un numéro de série, cela pourrait être le programme que vous attendiez.

Nous avons collecté des numéros de série pendant de nombreuses années et sommes maintenant fiers de publier la toute première version de notre collection de numéros de série, qui contient plus de 15.000 numéros de série.

Attaché à ce message est la toute première version de notre collection de numéros de série.

Les vôtres, collectionneurs de numéros de série

Message 3 ———————————————— ————-

courrier de: de: rcpt to: adresse sélectionnée au hasard à: adresse sélectionnée au hasard Sujet: Nouveau et site XXX gratuit

Cher client potentiel,

Nous venons d'ouvrir un nouveau site érotique avec plus de 10.000 .JPGs et plus de 1.000 .MPG / .VIV / .AVI / .MOV / etc.

Nous vous offrons l'opportunité de votre vie, nous donnons un mois d'accès, sans frais, à notre nouveau site en échange de votre avis.

Tout ce que vous avez à faire est d'exécuter l'annonce ci-jointe, ce qui va générer votre ID utilisateur personnel, vous n'avez même pas à fournir des informations comme votre numéro de carte de crédit personnel, etc.

Et si vous aimez notre site, parlez-en à tous vos amis.

http://www.hoteens.com/

HoTeens.com


Lien vers l'original