Classe pour les parents: VirWare
Les virus et les vers sont des programmes malveillants qui s'auto-répliquent sur des ordinateurs ou via des réseaux informatiques sans que l'utilisateur en soit conscient; chaque copie ultérieure de tels programmes malveillants est également capable de s'autoreproduire. Les programmes malveillants qui se propagent via des réseaux ou infectent des machines distantes lorsque le "propriétaire" (par exemple Backdoors) ou les programmes qui créent plusieurs copies qui ne peuvent pas s'auto-répliquer ne font pas partie de la sous-classe Virus and Worms. La caractéristique principale utilisée pour déterminer si un programme est classé comme un comportement distinct dans la sous-classe Virus and Worms est la manière dont le programme se propage (c'est-à-dire comment le programme malveillant répand des copies de lui-même via des ressources locales ou réseau). en tant que fichiers envoyés en pièces jointes, via un lien vers une ressource Web ou FTP, via un lien envoyé dans un message ICQ ou IRC, via des réseaux de partage de fichiers P2P, etc. Certains vers se propagent sous la forme de paquets réseau; ceux-ci pénètrent directement dans la mémoire de l'ordinateur et le code du ver est alors activé. Worms utilise les techniques suivantes pour pénétrer des ordinateurs distants et lancer des copies d'eux-mêmes: ingénierie sociale (par exemple, un message électronique suggérant que l'utilisateur ouvre un fichier joint), exploitation des erreurs de configuration réseau (par exemple copie sur disque entièrement accessible) failles dans la sécurité du système d'exploitation et des applications. Les virus peuvent être divisés en fonction de la méthode utilisée pour infecter un ordinateur: virus de fichiers virus du secteur de démarrage virus de script virus de virus Tous les programmes de cette sous-classe peuvent avoir des fonctions de Troie supplémentaires. Il convient également de noter que de nombreux vers utilisent plus d'une méthode pour diffuser des copies via des réseaux. Les règles de classification des objets détectés avec des fonctions multiples doivent être utilisées pour classer ces types de vers.Classe: Virus
Les virus se répliquent sur les ressources de la machine locale. Contrairement aux vers, les virus n'utilisent pas les services réseau pour propager ou pénétrer d'autres ordinateurs. Une copie d'un virus n'atteindra les ordinateurs distants que si l'objet infecté est, pour une raison quelconque non liée à la fonction virale, activé sur un autre ordinateur. Par exemple: lors de l'infection de disques accessibles, un virus pénètre dans un fichier situé sur une ressource réseau un virus se copie sur un périphérique de stockage amovible ou infecte un fichier sur un périphérique amovible un utilisateur envoie un courrier électronique avec une pièce jointe infectée.Plus d'informations
Plateforme: Win32
Win32 est une API sur les systèmes d'exploitation Windows NT (Windows XP, Windows 7, etc.) qui prend en charge l'exécution des applications 32 bits. L'une des plateformes de programmation les plus répandues au monde.Description
Détails techniques
Ce virus se propage sous Win32 (Win95 / 98 et WinNT) et infecte les fichiers PE EXE (Portable Executable). Le virus a une taille assez grande pour un programme écrit en assembleur - environ 15Kb. C'est un virus polymorphe.
La caractéristique la plus intéressante de ce virus est sa capacité à envoyer des fichiers EXE infectés à Internet en utilisant les protocoles de messagerie standard (voir aussi d'autres virus qui envoient des messages infectés via Email: "Win.RedTeam" , "Macro.Word97.Antimarc" , " Macro.Word.Innuendo " , " Macro.Word.ShareFun " ).
En fonction du compteur aléatoire, le virus appelle sa seconde routine d'accès à Internet. Cette fois, le virus ne diffuse pas ses copies, mais cherche simplement la base de données DialUp et l'envoie à l'auteur du virus.
Le code du virus contient les "droits d'auteur" de l'auteur:
- Parvo BioCoded par GriYo / 29A - Win32 Tech Support par Jacky Qwerty / 29A- Merci à Darkman / 29A et b0z0 / Ikx pour leurs idées et leur stratégie- Parvo est un spécimen de recherche, ne pas distribuer- c1999 29A Labs ... Nous créons la vie -
Beaucoup de routines de virus (infection, polymorphique) ont les mêmes caractéristiques que le virus "Win95.Marburg" . Le virus écrit lui-même à la fin de la dernière section de fichier; ne modifie pas l'adresse d'entrée PE mais corrige le code d'entrée du programme d'origine avec l'instruction JMP_Virus, ou avec un bloc de code indésirable qui à la fin passe le contrôle au code du virus; etc
Lorsque le virus prend le contrôle, la boucle de décryptage polymorphe et la routine de décryptage lite supplémentaire restaurent le code du virus et transmettent le contrôle à la routine virale principale.
Le virus protège son code en utilisant la méthode CRC. Il calcule le CRC de son code et quitte, si le CRC n'est pas correct. Il semble que cette fonctionnalité est nécessaire pour le virus, car il envoie des fichiers infectés via Internet, de sorte que la vérification CRC empêche l'exécution de copies corrompues.
Le virus analyse ensuite le noyau Windows et recherche l'accès aux fichiers, la recherche et les autres fonctions de l'API utilisées par le virus. Lors de la recherche de fonctions API, le virus n'utilise pas leurs noms, mais les sommes de contrôle. Pour trouver la chaîne nécessaire dans le noyau Windows, le virus calcule juste un CRC un par un et compare les résultats avec une table de valeurs pré-calculées qui sont sauvegardées dans le code du virus.
Pour infecter des fichiers sur le disque, le virus les recherche dans les répertoires système actuels, Windows et Windows. Le virus affecte également les fichiers dans les répertoires, qui contiennent le navigateur Internet installé et le lecteur de courrier électronique. Le virus obtient ces noms de répertoires à partir du Registre système.
Le virus n'infecte pas tous les fichiers trouvés, mais seulement les fichiers avec des noms spécifiques: IEXPLORE.EXE, INSTALL.EXE, NETSCAPE.EXE, NOTEPAD.EXE, SETUP.EXE, WINZIP32.EXE et d'autres. Pour comparer les noms de fichiers, le virus utilise également la méthode checksum comme lors de la recherche de fonctions API.
Pour renvoyer le contrôle au programme hôte, le virus crée sa copie avec un nom sélectionné au hasard, désinfecte et l'exécute. Le virus attend alors la sortie du fichier hôte, de sorte que le code du virus reste en mémoire jusqu'au moment où le programme hôte se termine. Bien que le code du virus puisse rester longtemps dans la mémoire, le virus n'est pas résident en mémoire. Il n'accueille aucun événement système et n'intercepte pas l'ouverture / exécution de fichier pour les infecter.
Pour envoyer des fichiers infectés à Internet, le virus connecte Internet à l'aide des fonctions Windows standard, obtient une adresse électronique sélectionnée au hasard, lui envoie un message canular et joint au message le compte-gouttes EXE infecté (voir le texte des messages ci-dessous). Pour obtenir une adresse e-mail de la victime, le virus va à plusieurs groupes de discussion, lit le message sélectionné au hasard et recherche la chaîne FROM à l'intérieur. Lorsque ce texte d'identification est trouvé, le virus utilise l'adresse suivie pour envoyer le message infecté.
Le nom de fichier infecté est sélectionné parmi trois variantes possibles: MSEFIXI.EXE, LSERIAL.EXE ou HOTEENS.EXE. Les messages (y compris les en-têtes) sont également sélectionnés parmi trois variantes:
Message 1 ------------------------------------------------ -------------
courrier de: support@microsoft.com de: support@microsoft.com rcpt à: adresse sélectionnée au hasard à: adresse sélectionnée au hasard Sujet: risque de sécurité actuel en utilisant Microsoft Internet Explorer et Outlook Express
Un virus nouveau et dangereux a frappé Internet.
LA DESCRIPTION:
Lorsque le client de messagerie reçoit un courrier électronique malveillant ou un message de nouvelles contenant une pièce jointe avec un nom de fichier très long, il peut provoquer l'exécution automatique du code arbitraire sur le poste de travail client, infectant ainsi la machine.
Microsoft a été conscient de ce problème dès le début et présente ici un patch pour les deux de nos produits dans lequel il exploite.
Outlook 98 sous Windows � 95, Windows 98 et Microsoft Windows NT � 4.0 Outlook Express 4.0, 4.01 (y compris 4.01 avec Service Pack 1) sur les clients de messagerie Netscape Windows 95, Windows 98 et Windows NT 4.0
SOLUTION:
Les clients utilisant ce produit pour Windows 95, Windows 98 ou Windows NT 4.0 doivent exécuter le correctif joint ou télécharger un correctif mis à jour à partir de:
http://www.microsoft.com/outlook/enhancements/outptch2.asp
Veuillez corriger votre ordinateur le plus rapidement possible et aidez-nous à combattre cette menace sur Internet.
Merci pour votre temps.
Support Microsoft Message 2 ------------------------------------------------ ------------- courrier de: salut Avez-vous besoin d'un numéro de série pour un programme non enregistré? Avez-vous l'impression de l'avoir cherché partout? Même dans la dernière version de Phrozen Crews Oscar? Si vous pouvez répondre à certaines des questions ci-dessus et que vous êtes toujours à la recherche d'un numéro de série, cela pourrait être le programme que vous attendiez. Nous avons collecté des numéros de série pendant de nombreuses années et sommes maintenant fiers de publier la toute première version de notre collection de numéros de série, qui contient plus de 15.000 numéros de série. Attaché à ce message est la toute première version de notre collection de numéros de série. Les vôtres, collectionneurs de numéros de série Message 3 ------------------------------------------------ ------------- courrier de: Cher client potentiel, Nous venons d'ouvrir un nouveau site érotique avec plus de 10.000 .JPGs et plus de 1.000 .MPG / .VIV / .AVI / .MOV / etc. Nous vous offrons l'opportunité de votre vie, nous donnons un mois d'accès, sans frais, à notre nouveau site en échange de votre avis. Tout ce que vous avez à faire est d'exécuter l'annonce ci-jointe, ce qui va générer votre ID utilisateur personnel, vous n'avez même pas à fournir des informations comme votre numéro de carte de crédit personnel, etc. Et si vous aimez notre site, parlez-en à tous vos amis. http://www.hoteens.com/ HoTeens.com
Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com
En savoir plus