親クラス: VirWare
ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」（例：Backdoors）または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか（すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか）電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング（例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ）、ネットワーク構成エラー（完全にアクセス可能なディスクへのコピーなど）を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。クラス: Virus
ウィルスは、ローカルマシンのリソース上で複製します。ワームとは異なり、ウイルスはネットワークサービスを使用して他のコンピュータに伝播したり侵入したりしません。感染したオブジェクトが何らかの理由でウイルス機能に関係なく他のコンピュータで有効になっている場合にのみ、ウイルスのコピーがリモートコンピュータに届きます。たとえば、アクセス可能なディスクに感染すると、ウイルスはネットワークリソースにあるファイルに侵入し、ウイルスは自身をリムーバブルストレージデバイスにコピーしたり、リムーバブルデバイス上のファイルに感染させたりします。ユーザーは感染した添付ファイル付きの電子メールを送信します。プラットフォーム: Win16
No platform description説明
技術的な詳細
このウイルスは、Windows EXEファイル（NewExe）に感染し、Eudora電子メールを使用してインターネットに送信します.Windowsに感染し、インターネット経由で感染する最初の既知のウイルスです。ファイルを感染させるために、ウイルスはWindowsのメモリに残り、実行されたNEファイルに感染します。 Eudoraの電子メールに感染するために、ウイルスはメールデータベースの内部フォーマットを解析し、「感染した」メッセージを追加します。このウイルスは、Eudora電子メールシステムがコンピュータにインストールされている場合にのみインターネットに広がる可能性がありますが、感染したメッセージの受信者はEudoraだけでなく標準の電子メールシステムを使用する可能性があります。
もちろん、ウイルスは感染したメッセージから自動的に実行することはできません。感染したメッセージを開いて読み込んだときにシステムに感染することはできません。ウイルスを拡散させるには、感染したEXE添付ファイルを抽出して実行する必要があります。それを正確に行うために（添付ファイルを抽出して実行するために）、メッセージのテキストはユーザーに確信します。
このウイルスは野生では見つからなかったが、リリースされるとグローバルコンピュータネットワークにとって本当の危険に見える可能性がある。普及するには最も人気のあるOS（Windows）と最も普及しているEメールシステム（Eudora ）。
ウイルスコードとデータの長さは4766バイトです。このウイルスは、ウイルス本体に存在するテキスト文字列に基づいて名前が付けられました（感染ファイルで暗号化されています）。
<< - 赤チーム - >>（C）ソウルマネージャー。オーストラリア製 - 06.97。だから、ハーマー・クルツハルス - F /ウィンはレッドチームに従うことができますか？
感染するEXE
NewEXEファイルに感染すると、ウイルスはそこに新しいセグメントを作成しません。コードセグメントのアドレスを計算し、残りのファイルを移動してその洞窟に書き込みます。ウイルスはコードセグメントのサイズを大きくし、結果として法的プログラムのコードの一部として残る。ウイルスはまた、NEヘッダーと再配置テーブルに必要なフィールドを修正します。このウイルスは、KRNL286 / 386.EXEの場合、エントリポイントの初期アドレスを変更したり、システムルーチンのアドレスを修正したりします。感染していない環境で感染ファイルが実行されると、ウィルスは制御をとり、Win16カーネルモジュール（KRNL286.EXEまたはKRNL386.EXE）を探します。このファイルが見つかると、ウイルスが開き感染します。このウイルスはエントリポイントのアドレスを変更しません。代わりにWINEXECまたはINITTASKルーチンのアドレスを変更します。 Windows 3.xxの場合、ウイルスはWINEXECルーチンの新しいアドレスを設定します.Windows95 / NTの場合、ウイルスはINITTASKルーチン（Windows95 / NTはWINEXECを呼び出さないため）と同じ処理を行います。
KRNL？86.EXEモジュール（Windows 3.xxまたはWindows95 / NT）を分離するために、ウイルスはCALLPROC32W関数をエクスポートした場合に名前を使用し、32ビットWindows95 / NTでのみ表示されます。
その後、ウイルスは制御をホストプログラムに戻し、他のアクションは実行しません。その結果、ウイルスはシステムメモリにコードを残さず、WindowsのKernel16モジュールだけに感染します。
メモリ常駐
Windowsに感染したKernelがロードされると、ウイルスはKernelの一部としてシステムメモリに残ります。ウイルスのコードは元のKernelのルーチンと同じコードセグメントに置かれるため、特別な処置は必要ありません。このウィルスは、WINEXECまたはINITTASKの感染アドレスが既にウイルスハンドラを指している間に、すでに拘束されているため、システムイベントをフックするアクションも実行しません。Windows 3.xxでは、ウイルスはWINEXECをフックし、実行されるファイルに感染します。ウイルスはこれを非常に賢明な方法で実行します。すぐに元のWINEXECハンドラに制御を渡し、バックグラウンドでファイルを感染させます。つまり、感染した環境でアプリケーションが実行されると遅延はありません。 Windows 3.xxは古い低速PCにインストールされ、実行の遅延はユーザーに警告する可能性があるため、このウイルスにとっては非常に重要です。
Windows95 / NTでは、このウイルスはINITTASKをフックし、プログラムがシステムに登録されているときに制御を傍受します。その後、GetExePtr関数の助けを借りて、アクティブで感染しているすべてのNEアプリケーションのモジュールハンドルを取得します。
電子メールに感染する
確率1/8（テキスト文字列を暗号化するために使用されるキーに依存）にファイルを感染させている間、このウイルスはそのコードを変更して、感染したEメールメッセージをEudora送信ボックスにドロップするルーチンを起動します。このようなファイルがEudoraデータベースが置かれているディレクトリで実行されると、ウイルスはEudoraデータファイルNNDBASE.TOC、OUT.TOC、OUT.MBXを開きます。最初のファイル（ "ニックネームデータベース"）は、ウイルスが感染メッセージを送信する受信者の名前を取得するためにウイルスによって使用されます。感染したメッセージはOUT.MBX（送信トレイデータベース）に配置され、必要な参照はOUT.TOCファイルに配置されます。メッセージ自体には "Red Team"という件名があり、テキストと添付されたEXEファイルが含まれています。テキストは次のようになります。
-------------------------------------------------- --------------------ヒヤ！ちょうど私があなたに破壊的な新しい電子メールウィルスについて警告すると思った。ここにいくつかの情報があります：> "Red Team"ウイルスは複雑な新しいコンピュータウイルスで、> Microsoft Windowsオペレーティングシステム、およびインターネット電子メール。しかし、>それは電子メールで伝播する最初のウイルスではありませんでした（それは「良い時」でした）> Red Teamウイルスはその破壊的な能力で並行していません。>さらに、このウイルスは非常に一般的です。>西ヨーロッパの多く、米国、ロシア、オーストラリア、および>日本。要するに、どこでも。>> QUESTでは、このウイルスの解析に数週間を費やしており、誇りに思っています>私たちは最終的に治療法を持っていることをアナウンスする！ 「K-RTEAM」という名前のプログラムは、>（Kill Red Team）は、どのMicrosoft Windows環境でも実行できます。>は、Red Teamウイルスを確実に検出して（必要であれば削除する）>あなたのシステムバッファ。>> - >ジュリアブリュミン> QUALCOMMエンタープライズソフトウェアテクノロジ>ワールドワイドウェブ：http://www.qualcomm.com私はあなたに警告すべきだと思った理由は、最近私たちがこの獣と一緒に。幸運なことに、私たちは優れた破壊が本当に始まる前の 'K-RTEAM'プログラム。念のためあなたは同じ不幸に苦しむべきです、私はこのプログラムを君も。さようなら！PSこの新しい脅威について、あなたのすべての友人に警告してください！-------------------------------------------------- --------------------ウイルス本体のこのテキストは圧縮されているため、ウイルスはEudora送信ボックスに保存する前に圧縮解除します。添付されたEXEファイルはNEヘッダーを持ち、K-RTEAM.EXE（ "Kill Red Team"）という名前で、6351バイトの長さです。これは、コンピュータにウイルスを拡散するだけの、感染した何もないプログラム（ウイルスはCドライブ：C：K-RTEAM.EXE上に作成されます）です。このファイルのヘッダーと最後には、次のテキスト文字列があります。
K-RTEAM - Red Team Anti-VirusK-RTEAM赤いチームウイルスが見つかりました！ウイルスを削除しますか？ウイルスが削除されました！ウイルスを削除できませんでした！ウイルスは同じ感染コンピュータから2回はメッセージを送信しません。そのために、ウイルスは感染したメッセージを送信しながらRTBASE.TOCファイルを作成します。次回は、ウイルスがそのファイルを検索し、このファイルがディレクトリに存在する場合は電子メール感染ルーチンを終了します。
ラボ内
ウイルスはWindows 3.xxで自己複製し、ラボでの実験中に副作用が発生しませんでした。すべてのファイルが正しく感染し、プログラムが破損せず、Windowsは警告/エラーメッセージを表示しませんでした。ウイルスはまた、問題なくEudora送信箱にドロッパーを保存しました。感染したメッセージは、インターネット経由で送信され、正しく受信されました。
Windows95 / NTでは、このウイルスには問題があります。KRNL386.EXEに感染することはできません。その結果、メモリ常駐プログラムをインストールすることはできません。このバグは非常にばかげています。ウイルスは変数「NE Header Offset」に対してWord（DW）を予約しますが、DoubleWord（DD）として使用します。 DoubleWordの2番目の単語はWindows版フラグです：Windows3.xxの場合は0、Windows95 / NTの場合はFFFFhです。 Windows95 / NTでは、ウイルスはその変数から間違った値を取得します。
それにもかかわらず、Windows 3.xxで感染したファイルはWindows95 / NTで問題なく動作し、Windows 3.xxの下でもEudoraデータベースにも感染する可能性があります。さらに、その愚かなバグは簡単に修正され、Windows95互換のバージョンはウイルス作成者によってリリースされる可能性があります。
も参照してください
お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com