Clase de padre: VirWare
Los virus y gusanos son programas maliciosos que se auto replican en computadoras o redes de computadoras sin que el usuario lo sepa; cada copia subsiguiente de dichos programas maliciosos también puede auto-replicarse. Los programas maliciosos que se propagan a través de redes o infectan máquinas remotas cuando el "propietario" les ordena hacerlo (p. Ej., Puertas traseras) o programas que crean copias múltiples que no pueden autorreplicarse no forman parte de la subclase Virus y gusanos. La principal característica utilizada para determinar si un programa está clasificado como un comportamiento separado dentro de la subclase Viruses and Worms es cómo se propaga el programa (es decir, cómo el programa malicioso distribuye copias de sí mismo a través de recursos locales o de red). como archivos enviados como archivos adjuntos de correo electrónico, a través de un enlace a un recurso web o FTP, a través de un enlace enviado en un mensaje ICQ o IRC, a través de redes de intercambio de archivos P2P, etc. Algunos gusanos se propagan como paquetes de red; estos penetran directamente en la memoria de la computadora y el código del gusano se activa. Los gusanos usan las siguientes técnicas para penetrar computadoras remotas y lanzar copias de sí mismos: ingeniería social (por ejemplo, un mensaje de correo electrónico que sugiere que el usuario abre un archivo adjunto), explotando errores de configuración de red (como copiar a un disco totalmente accesible) y explotando lagunas en el sistema operativo y la seguridad de las aplicaciones. Los virus se pueden dividir de acuerdo con el método utilizado para infectar una computadora: virus de archivos virus de sector de arranque virus de macros virus de script Cualquier programa dentro de esta subclase puede tener funciones de troyano adicionales. También se debe tener en cuenta que muchos gusanos usan más de un método para distribuir copias a través de redes. Las reglas para clasificar objetos detectados con funciones múltiples se deben usar para clasificar estos tipos de gusanos.Clase: IRC-Worm
Este tipo de gusano se propaga a través de Internet Relay Chat. Al igual que los gusanos de correo electrónico, IRC Worms tiene dos formas de propagarse a través de canales IRC. El primero implica enviar una URL que conduce a una copia del gusano. La segunda técnica es enviar un archivo infectado a un usuario de canal IRC. Sin embargo, el destinatario del archivo infectado tiene que aceptar el archivo, guardarlo en el disco y abrirlo (abrirlo).Más información
Plataforma: DOS
No platform descriptionDescripción
Detalles técnicos
Este es un gusano de virus que se propaga a través de los canales de mIRC mediante el uso de un programa de script mIRC e intenta afectar los archivos HTML para infectar computadoras remotas cuando un navegador de Internet lee páginas HTML infectadas.
El virus se manifiesta el 1 y 2 de cada mes. Muestra mensajes y luego ejecuta un efecto de video. Al usar las funciones VGA, el virus cambia los colores del monitor y lo convierte de blanco sobre negro a negro sobre blanco y viceversa. Los mensajes son los siguientes:
Día 1º:¡Solo en tus sueños puedes ser verdaderamente libre!~ + DarK.MeSsiAh + ~ escrito por SeptiC [TI]Día 2:¡El mal puro viene desde adentro! ~ + DarK.MeSsiAh + ~Escrito por SeptiC [TI]
El virus también admite una "protección" que deshabilita las rutinas de infección de virus. Cuando se ejecuta una copia de virus, busca el archivo C: _VAC.TXT e inmediatamente regresa al programa host si existe dicho archivo. El virus también muestra el mensaje aquí:
Estás protegido por un poder divino~ + DarK.MeSsiAh + ~ no tocará tus archivos
DOS COM y EXE infector
La parte principal del virus es un virus de DOS parasitario ordinario. El virus está encriptado, y cuando se ejecuta un archivo infectado, el ciclo de descifrado restaura el código del virus a un formato no encriptado y salta a la rutina del virus principal. Luego, el virus busca los archivos DOS COM y EXE y los infecta. Al infectar, el virus cifra y escribe su código al final del archivo y modifica el encabezado del archivo.
El virus busca los archivos y los infecta en el directorio actual, en los directorios principales y en el árbol de directorios en todas las unidades desde C: hasta G :. El virus comprueba los nombres de los archivos y no infecta: archivos COMMAND,? GA *, ?? NP *, ?? GW *; ejecuta la rutina de infección del script mIRC si se encuentra el archivo MI * (MIRC.EXE, MIRC32.EXE); corrompe los archivos antivirus: F- *, TO *, TB *, SC *, AV * (F-PROT, TBAV, SCAN, AVP) - el virus los sobrescribe con un código que muestra el mensaje y regresa a DOS cuando el archivo infectado se ejecuta:
~ + DarK.MeSsiAh + ~ un toque digital de DarKness! Escrito por SeptiC [TI]
El virus también elimina el archivo ANTI-VIR.DAT si existe.
Infectar archivos BAT
El virus también busca archivos BAT y HTML y los infecta en los mismos directorios. Al infectar archivos BAT, el virus escribe al final del archivo comandos de DOS que reemplazan el comando "dir" de DOS con un conjunto de dos instrucciones: el primero ejecuta un cuentagotas de virus PORNO.COM, el segundo ejecuta la instrucción "dir" de DOS . Como resultado, en cualquier instrucción "dir" se ejecuta el virus dropper.
El virus crea su archivo dropper PORNO.COM en el directorio de comandos de Windows. Para localizar este directorio, el virus prueba tres variantes:
C: WINDOWSCOMMANDC: WIN95COMMANDC: WIN98COMMAND
Si ninguno de ellos es válido, el virus descarta este archivo en el directorio actual. Luego, el virus abre el archivo C: AUTOEXEC.BAT y lo infecta de la misma manera que para otros archivos BAT.
Infectar archivos HTML
Al infectar un archivo HTML, el virus crea, en el mismo directorio, el cuentagotas infectado con el nombre PATCH.COM y agrega al final del archivo HTML un conjunto corto de comandos HTML que muestran el mensaje:
¡Descargue el último parche!¡Haga clic aquí!
El "¡Haga clic aquí!" es un enlace que descarga y ejecuta el cuentagotas del virus PATCH.COM cuando este enlace está activado. Como resultado, las páginas HTML infectadas se "continúan" con un texto de virus que ofrece descargar una actualización, pero en su lugar se propaga el código del virus.
secuencia de comandos mIRC
El virus busca un cliente mIRC instalado en el sistema y crea un nuevo archivo SCRIPT.INI en el mismo directorio. El virus busca mIRC en seis directorios y no descarta su componente mIRC si no se encuentra ninguno de los directorios:
C: MIRCC: MIRC32C: PROGRAMMIRCC: PROGRAMMIRC32C: PROGRA ~ 1MIRCC: PROGRA ~ 1MIRC32
Al infectar al cliente mIRC, el virus utiliza el mismo truco que otros virus mIRC: sobrescribe el archivo de script mIRC estándar SCRIPT.INI con uno infectado. Cuando un cliente mIRC comienza con un script infectado, acepta este archivo y sigue sus instrucciones.
El SCRIPT.INI infectado contiene varios comandos. La principal es la instrucción de envío de virus: cuando un usuario envía / recibe cualquier archivo, el virus envía a este usuario su archivo dropper infectado, PORNO.COM.
El virus también envía mensajes al canal y a los usuarios en el canal. Cuando un cliente infectado se conecta a un servidor IRC, el virus envía el mensaje a un usuario con el sobrenombre "SeptiC_dm":
¡Soy tu sirviente! Me he convertido en un fanático de la oscuridad
Si la cadena "D.Messiah" aparece en un mensaje en el canal the, virus envía su propio mensaje a todos los usuarios en el canal:
¡Solo en tus sueños puedes ser verdaderamente libre!~ + DarK.MeSsiAh + ~ Escrito por SeptiC [TI]
En la cadena "666", el virus cambia el tema del canal (que se muestra en el encabezado de la ventana del canal), si el usuario infectado tiene suficientes privilegios. La nueva cadena de tema aparece de la siguiente manera:
~ + DarK.MeSsiAh + ~ un toque digital de DarKness! Escrito por SeptiC [TI]
En el texto "rezar", el virus establece el modo de operador de canal para un usuario que publica este texto y lo envía al canal:
¡Obedezco a mi maestro! Larga vida a Satanás
En el texto de "sacrificio", todos los usuarios infectados son expulsados del canal con el mensaje:
Tu palabra es mi orden, ¡Poder a satanás!
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com