ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

IRC-Worm.DOS.Septic

Clase IRC-Worm
Plataforma DOS
Descripción

Detalles técnicos

Este es un gusano de virus que se propaga a través de los canales de mIRC mediante el uso de un programa de script mIRC e intenta afectar los archivos HTML para infectar computadoras remotas cuando un navegador de Internet lee páginas HTML infectadas.

El virus se manifiesta el 1 y 2 de cada mes. Muestra mensajes y luego ejecuta un efecto de video. Al usar las funciones VGA, el virus cambia los colores del monitor y lo convierte de blanco sobre negro a negro sobre blanco y viceversa. Los mensajes son los siguientes:

Día 1º:
¡Solo en tus sueños puedes ser verdaderamente libre!
~ + DarK.MeSsiAh + ~ escrito por SeptiC [TI]
Día 2:
¡El mal puro viene desde adentro! ~ + DarK.MeSsiAh + ~
Escrito por SeptiC [TI]

El virus también admite una "protección" que deshabilita las rutinas de infección de virus. Cuando se ejecuta una copia de virus, busca el archivo C: _VAC.TXT e inmediatamente regresa al programa host si existe dicho archivo. El virus también muestra el mensaje aquí:


Estás protegido por un poder divino
~ + DarK.MeSsiAh + ~ no tocará tus archivos

DOS COM y EXE infector

La parte principal del virus es un virus de DOS parasitario ordinario. El virus está encriptado, y cuando se ejecuta un archivo infectado, el ciclo de descifrado restaura el código del virus a un formato no encriptado y salta a la rutina del virus principal. Luego, el virus busca los archivos DOS COM y EXE y los infecta. Al infectar, el virus cifra y escribe su código al final del archivo y modifica el encabezado del archivo.

El virus busca los archivos y los infecta en el directorio actual, en los directorios principales y en el árbol de directorios en todas las unidades desde C: hasta G :. El virus comprueba los nombres de los archivos y no infecta: archivos COMMAND,? GA *, ?? NP *, ?? GW *; ejecuta la rutina de infección del script mIRC si se encuentra el archivo MI * (MIRC.EXE, MIRC32.EXE); corrompe los archivos antivirus: F- *, TO *, TB *, SC *, AV * (F-PROT, TBAV, SCAN, AVP) - el virus los sobrescribe con un código que muestra el mensaje y regresa a DOS cuando el archivo infectado se ejecuta:


~ + DarK.MeSsiAh + ~ un toque digital de DarKness! Escrito por SeptiC [TI]

El virus también elimina el archivo ANTI-VIR.DAT si existe.

Infectar archivos BAT

El virus también busca archivos BAT y HTML y los infecta en los mismos directorios. Al infectar archivos BAT, el virus escribe al final del archivo comandos de DOS que reemplazan el comando "dir" de DOS con un conjunto de dos instrucciones: el primero ejecuta un cuentagotas de virus PORNO.COM, el segundo ejecuta la instrucción "dir" de DOS . Como resultado, en cualquier instrucción "dir" se ejecuta el virus dropper.

El virus crea su archivo dropper PORNO.COM en el directorio de comandos de Windows. Para localizar este directorio, el virus prueba tres variantes:


C: WINDOWSCOMMAND
C: WIN95COMMAND
C: WIN98COMMAND

Si ninguno de ellos es válido, el virus descarta este archivo en el directorio actual. Luego, el virus abre el archivo C: AUTOEXEC.BAT y lo infecta de la misma manera que para otros archivos BAT.

Infectar archivos HTML

Al infectar un archivo HTML, el virus crea, en el mismo directorio, el cuentagotas infectado con el nombre PATCH.COM y agrega al final del archivo HTML un conjunto corto de comandos HTML que muestran el mensaje:


¡Descargue el último parche!
¡Haga clic aquí!

El "¡Haga clic aquí!" es un enlace que descarga y ejecuta el cuentagotas del virus PATCH.COM cuando este enlace está activado. Como resultado, las páginas HTML infectadas se "continúan" con un texto de virus que ofrece descargar una actualización, pero en su lugar se propaga el código del virus.

secuencia de comandos mIRC

El virus busca un cliente mIRC instalado en el sistema y crea un nuevo archivo SCRIPT.INI en el mismo directorio. El virus busca mIRC en seis directorios y no descarta su componente mIRC si no se encuentra ninguno de los directorios:


C: MIRC
C: MIRC32
C: PROGRAMMIRC
C: PROGRAMMIRC32
C: PROGRA ~ 1MIRC
C: PROGRA ~ 1MIRC32

Al infectar al cliente mIRC, el virus utiliza el mismo truco que otros virus mIRC: sobrescribe el archivo de script mIRC estándar SCRIPT.INI con uno infectado. Cuando un cliente mIRC comienza con un script infectado, acepta este archivo y sigue sus instrucciones.

El SCRIPT.INI infectado contiene varios comandos. La principal es la instrucción de envío de virus: cuando un usuario envía / recibe cualquier archivo, el virus envía a este usuario su archivo dropper infectado, PORNO.COM.

El virus también envía mensajes al canal y a los usuarios en el canal. Cuando un cliente infectado se conecta a un servidor IRC, el virus envía el mensaje a un usuario con el sobrenombre "SeptiC_dm":


¡Soy tu sirviente! Me he convertido en un fanático de la oscuridad

Si la cadena "D.Messiah" aparece en un mensaje en el canal the, virus envía su propio mensaje a todos los usuarios en el canal:


¡Solo en tus sueños puedes ser verdaderamente libre!
~ + DarK.MeSsiAh + ~ Escrito por SeptiC [TI]

En la cadena "666", el virus cambia el tema del canal (que se muestra en el encabezado de la ventana del canal), si el usuario infectado tiene suficientes privilegios. La nueva cadena de tema aparece de la siguiente manera:


~ + DarK.MeSsiAh + ~ un toque digital de DarKness! Escrito por SeptiC [TI]

En el texto "rezar", el virus establece el modo de operador de canal para un usuario que publica este texto y lo envía al canal:


¡Obedezco a mi maestro! Larga vida a Satanás

En el texto de "sacrificio", todos los usuarios infectados son expulsados ​​del canal con el mensaje:

Tu palabra es mi orden, ¡Poder a satanás!


Enlace al original