CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Virus.Win32.RemEx

Classe Virus
Plateforme Win32
Description

Détails techniques

Le virus est assez volumineux – il est écrit en Microsoft Visual C ++ et fait environ 125K. Le code du virus d'origine occupe environ 14 Ko, les routines GZIP – 20 Ko, les bibliothèques d'exécution C – 40 Ko. Les autres zones de données sont occupées par des données virales / C ++, des ressources, etc.

Le virus a une structure assez inhabituelle: les fichiers infectés ont des segments de code et de données, ainsi que trois ressources qui contiennent des fichiers exécutables compressés. La première ressource contient le fichier PSAPI.DLL NT4 standard utilisé par le virus pour accéder aux processus dans la mémoire système.

La deuxième ressource est le code de virus d'origine lui-même (y compris le même PSAPI.DLL compressé dans la ressource). Cette copie du code du virus est utilisée comme données d'origine pour installer le virus dans le système et pour infecter les fichiers EXE.

La troisième ressource est le fichier hôte qui est extrait et décompressé lorsque le virus doit exécuter le programme hôte.

System Registry: lors de l'installation de son pilote SYS sur le système, le virus utilise les appels standard de l'API NT. Cela amène le système à enregistrer les pilotes de virus dans le registre système – l'explorateur HKEY_LOCAL_MACHINESystemCurrentControlSetServicesRemote est créé.

Fichiers temporaires: lors de la compression / décompression de fichiers, le virus a besoin de fichiers temporaires. Il les crée dans le répertoire temporaire Windows avec les noms aléatoires ~ xxxdddd.TMP (où 'x' sont des lettres et 'd' sont des chiffres).

CV

Le virus est le premier infecteur de NT «résidant en mémoire», il pourrait donc ressembler à un super-virus. En fait, le virus a été écrit par un développeur de niveau intermédiaire qui avait accès à la documentation NT DeviceDevelopmentKit.

Le virus n'accueille aucun événement NT, n'utilise aucun protocole réseau, n'essaie pas d'accéder aux mots de passe et ne diffuse pas sa copie sur le réseau global. De plus, les virus parasitaires ordinaires DOS ont les mêmes capacités d'extension réseau que ce virus – ils peuvent également infecter des fichiers sur des disques partagés distants, rester dans la mémoire du système, etc.

Ceci est juste un virus parasitaire standard, mais avec la capacité d'infection de service NT. Ce n'est pas plus complexe que d'autres virus Windows déjà connus, et certainement pas plus complexe que le trojan BO bien connu (BackOrifice).

Ce virus n'est pas un choc du tout – il est attendu depuis longtemps WindowsNT-service virus.


Lien vers l'original