Kaspersky Threats

Clase

Plataforma

Descripción

Detalles técnicos

Es un virus Win32 parásito residente inofensivo y no dañino. Busca los archivos ejecutables de Windows32 PE en el directorio actual y los infecta. El virus funciona tanto con Windows 95/98 como con Windows NT.

Cuando se ejecuta un programa infectado, el virus recibe el control y busca las direcciones API de Windows32. En primer lugar, escanea el código KERNEL y busca la dirección de la función GetProcAddress. Cuando se encuentra esta función, el virus al usar esta dirección obtiene punteros a otras nueve funciones:



CreateFileA, CreateFileMappingA, MapViewOfFile, CloseHandle,

FindFirstFileA, FindNextFileA, FindClose, UnmapViewOfFile, SetEndOfFile

Al usar estas llamadas, el virus busca los archivos y los infecta. Mientras está infectado, el virus incorpora su código en el medio del archivo al final de la primera sección. El virus busca espacio en la imagen virtual del archivo: si hay suficiente espacio libre entre la primera y la segunda sección en la imagen virtual (direcciones en la memoria, no en el archivo del disco; el virus evita superponer secciones al cargar archivos en la memoria), el virus desplaza el resto del archivo en 1024 bytes, escribe su código en esta cueva, modifica la dirección del punto de entrada y corrige los encabezados de sección.

El virus tiene un error que causa una doble infección. A pesar de esto, los archivos infectados funcionan sin ningún problema.

El virus contiene la cadena de texto que le da su nombre:



MurkryIKX

Enlace al original

Descubra las estadísticas de las amenazas que se propagan en su región

Clase	Trojan-Banker
Plataforma	Win32
Descripción	Detalles técnicos Es un virus Win32 parásito residente inofensivo y no dañino. Busca los archivos ejecutables de Windows32 PE en el directorio actual y los infecta. El virus funciona tanto con Windows 95/98 como con Windows NT. Cuando se ejecuta un programa infectado, el virus recibe el control y busca las direcciones API de Windows32. En primer lugar, escanea el código KERNEL y busca la dirección de la función GetProcAddress. Cuando se encuentra esta función, el virus al usar esta dirección obtiene punteros a otras nueve funciones: CreateFileA, CreateFileMappingA, MapViewOfFile, CloseHandle, FindFirstFileA, FindNextFileA, FindClose, UnmapViewOfFile, SetEndOfFile Al usar estas llamadas, el virus busca los archivos y los infecta. Mientras está infectado, el virus incorpora su código en el medio del archivo al final de la primera sección. El virus busca espacio en la imagen virtual del archivo: si hay suficiente espacio libre entre la primera y la segunda sección en la imagen virtual (direcciones en la memoria, no en el archivo del disco; el virus evita superponer secciones al cargar archivos en la memoria), el virus desplaza el resto del archivo en 1024 bytes, escribe su código en esta cueva, modifica la dirección del punto de entrada y corrige los encabezados de sección. El virus tiene un error que causa una doble infección. A pesar de esto, los archivos infectados funcionan sin ningún problema. El virus contiene la cadena de texto que le da su nombre: MurkryIKX
	Enlace al original
	Descubra las estadísticas de las amenazas que se propagan en su región

Trojan-Banker.Win32.IKX

Detalles técnicos