Virus.Multi.Fabi

Clase de padre: VirWare

Los virus y gusanos son programas maliciosos que se auto replican en computadoras o redes de computadoras sin que el usuario lo sepa; cada copia subsiguiente de dichos programas maliciosos también puede auto-replicarse. Los programas maliciosos que se propagan a través de redes o infectan máquinas remotas cuando el "propietario" les ordena hacerlo (p. Ej., Puertas traseras) o programas que crean copias múltiples que no pueden autorreplicarse no forman parte de la subclase Virus y gusanos. La principal característica utilizada para determinar si un programa está clasificado como un comportamiento separado dentro de la subclase Viruses and Worms es cómo se propaga el programa (es decir, cómo el programa malicioso distribuye copias de sí mismo a través de recursos locales o de red). como archivos enviados como archivos adjuntos de correo electrónico, a través de un enlace a un recurso web o FTP, a través de un enlace enviado en un mensaje ICQ o IRC, a través de redes de intercambio de archivos P2P, etc. Algunos gusanos se propagan como paquetes de red; estos penetran directamente en la memoria de la computadora y el código del gusano se activa. Los gusanos usan las siguientes técnicas para penetrar computadoras remotas y lanzar copias de sí mismos: ingeniería social (por ejemplo, un mensaje de correo electrónico que sugiere que el usuario abre un archivo adjunto), explotando errores de configuración de red (como copiar a un disco totalmente accesible) y explotando lagunas en el sistema operativo y la seguridad de las aplicaciones. Los virus se pueden dividir de acuerdo con el método utilizado para infectar una computadora: virus de archivos virus de sector de arranque virus de macros virus de script Cualquier programa dentro de esta subclase puede tener funciones de troyano adicionales. También se debe tener en cuenta que muchos gusanos usan más de un método para distribuir copias a través de redes. Las reglas para clasificar objetos detectados con funciones múltiples se deben usar para clasificar estos tipos de gusanos.

Clase: Virus

Los virus se replican en los recursos de la máquina local. A diferencia de los gusanos, los virus no usan los servicios de red para propagarse o penetrar en otras computadoras. Una copia de un virus llegará a las computadoras remotas solo si el objeto infectado, por alguna razón no relacionada con la función del virus, está activado en otra computadora. Por ejemplo: al infectar discos accesibles, un virus penetra en un archivo ubicado en un recurso de red, un virus se copia en un dispositivo de almacenamiento extraíble o infecta un archivo en un dispositivo extraíble, un usuario envía un correo electrónico con un archivo adjunto infectado.

Más información

Plataforma: Multi

No platform description

Descripción

Detalles técnicos

Este es un virus multiplataforma que infecta archivos ejecutables de Windows32 (PE EXE) y documentos y plantillas de MS Word. Como cada virus multiplataforma su código contiene varias partes (componentes), cada uno de ellos hace su trabajo en su entorno nativo: como una aplicación Win32 en MS Windows, o como un macroprograma en MS Word. Cuando cualquiera de los dos componentes de virus comienza en su entorno, no solo infecta objetos en este entorno, sino que también propaga el código de virus a otro: desde el archivo EXE de Windows a los documentos de Word y desde el documento de Word a los archivos EXE de Windows.

El virus no contiene ninguna destrucción y no se manifiesta de ninguna manera. Los archivos EXE infectados contienen el texto:

(c) VecnaParecia inofensiva mas te dominou ...

Infecting EXE -> EXE

Cuando se ejecuta un archivo EXE infectado, el componente de virus EXE toma el control. Comprueba el tipo de sistema operativo instalado y si es Windows NT, el virus devuelve el control al programa host y no realiza ninguna otra acción. El virus ejecuta su rutina de infección solo cuando se ejecuta en Windows95 / 98. Esta rutina busca e infecta todos los archivos ejecutables de Win32 en el directorio actual, así como en los directorios WINDOWS y WINDOWSSYSTEM. Al infectar el virus, escribe su código al final de la última sección, aumenta su tamaño y modifica los campos de encabezado PE necesarios.

Debido a un error, el virus corrompe los archivos EXE en caso de que el último tamaño de sección sea superior a 64 Kb: el virus escribe su código en el medio del archivo y el programa dañado permanece inutilizable y ya no funciona.

Infectando Macro -> Macro, Macro -> EXE

En documentos y plantillas infectadas, el virus contiene una macro AutoClose. Se instala en el área de macro global de Word al abrir un documento infectado e infecta otros documentos que luego se cierran. Para copiar su código de un documento / plantilla a otro, el virus usa instrucciones de edición de código macro.

Para ejecutar el archivo EXE infectado de Windows, el virus usa la forma estándar. Los datos binarios del archivo EXE se almacenan en macros de virus en picaduras de texto: los datos EXE binarios se convierten en volcado hexadecimal ASCII. El virus guarda estos datos en el disco, crea un ayudante BAT de DOS temporal y al usar este asistente y la utilidad DOS DEBUG convierte el volcado hexadecimal a formato EXE binario y lo ejecuta. El componente EXE del virus toma el control, se ejecuta e infecta los archivos EXE en el disco duro como se describe arriba.

La versión conocida del virus tiene un error aquí y no puede crear archivos EXE desde el componente de virus de macro. Como resultado, los archivos EXE de Windows no se infectan.

Infecting EXE -> Macro

La rutina que suelta el componente de macro a Word desde archivos EXE infectados se activa justo después de que se completa el procedimiento de búsqueda e infección de archivos EXE de disco. Esta rutina es más compleja que otras descritas anteriormente, y necesita más archivos temporales para llevar el código de virus de EXE a Word. El virus crea tres archivos principales aquí:

FABI.SYS - archivo PE EXE "ficticio" que se infecta con el componente de virus EXEFABI.SRC: el código de macro del virus fuente, más los datos binarios FABI.SYSconvertido a cadenas ASCII hexadecimalesNORMAL.DOT: plantilla de Word con una pequeña macro que completa el virusinstalación: importa el código de virus principal de FABI.SRC aNORMAL.DOT

Para comenzar a propagarse de EXE a Word, el virus crea un archivo PE EXE corto C: FABI.SYS y lo infecta. A continuación, el virus crea el archivo C: FABI.SYS y escribe allí su macro programa código fuente AutoClose. A continuación, agrega a este archivo los datos del archivo C: FABI.SYS convertidos a líneas ASCII hexadecimales. Para completar este paso, el virus crea un archivo NORMAL.DOT especialmente preparado. El virus busca un buen lugar para colocar este archivo en los directorios:

C: ARQUIV ~ 1 / MICROS ~? / MODELOSC: ARCHIV ~ 1 / MICROS ~? / MODELOSC: PROGRA ~ 1 / MICROS ~? / TEMPLA ~ 1

dónde '?' se cuenta desde 1 hasta 9. El archivo NORMAL.DOT que se crea en el primer directorio encontrado contiene una macro corta AutoExec que se activa cuando se inicia MS Word. Esta macro solo importa el código fuente de la macro del virus del archivo C: FABI.SRC y completa el procedimiento de instalación del virus: el NORMAL.DOT ahora está infectado por un código de virus completo.

Leer más

Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com