Virus.Win32.RemEx

Détails techniques

Le virus est assez volumineux – il est écrit en Microsoft Visual C ++ et fait environ 125K. Le code du virus d'origine occupe environ 14 Ko, les routines GZIP – 20 Ko, les bibliothèques d'exécution C – 40 Ko. Les autres zones de données sont occupées par des données virales / C ++, des ressources, etc.

Le virus a une structure assez inhabituelle: les fichiers infectés ont des segments de code et de données, ainsi que trois ressources qui contiennent des fichiers exécutables compressés. La première ressource contient le fichier PSAPI.DLL NT4 standard utilisé par le virus pour accéder aux processus dans la mémoire système.

La deuxième ressource est le code de virus d'origine lui-même (y compris le même PSAPI.DLL compressé dans la ressource). Cette copie du code du virus est utilisée comme données d'origine pour installer le virus dans le système et pour infecter les fichiers EXE.

La troisième ressource est le fichier hôte qui est extrait et décompressé lorsque le virus doit exécuter le programme hôte.

System Registry: lors de l'installation de son pilote SYS sur le système, le virus utilise les appels standard de l'API NT. Cela amène le système à enregistrer les pilotes de virus dans le registre système – l'explorateur HKEY_LOCAL_MACHINESystemCurrentControlSetServicesRemote est créé.

Fichiers temporaires: lors de la compression / décompression de fichiers, le virus a besoin de fichiers temporaires. Il les crée dans le répertoire temporaire Windows avec les noms aléatoires ~ xxxdddd.TMP (où 'x' sont des lettres et 'd' sont des chiffres).

CV

Le virus est le premier infecteur de NT «résidant en mémoire», il pourrait donc ressembler à un super-virus. En fait, le virus a été écrit par un développeur de niveau intermédiaire qui avait accès à la documentation NT DeviceDevelopmentKit.

Le virus n'accueille aucun événement NT, n'utilise aucun protocole réseau, n'essaie pas d'accéder aux mots de passe et ne diffuse pas sa copie sur le réseau global. De plus, les virus parasitaires ordinaires DOS ont les mêmes capacités d'extension réseau que ce virus – ils peuvent également infecter des fichiers sur des disques partagés distants, rester dans la mémoire du système, etc.

Ceci est juste un virus parasitaire standard, mais avec la capacité d'infection de service NT. Ce n'est pas plus complexe que d'autres virus Windows déjà connus, et certainement pas plus complexe que le trojan BO bien connu (BackOrifice).

Ce virus n'est pas un choc du tout – il est attendu depuis longtemps WindowsNT-service virus.