Virus.Win16.Gollum

Clase de padre: VirWare

Los virus y gusanos son programas maliciosos que se auto replican en computadoras o redes de computadoras sin que el usuario lo sepa; cada copia subsiguiente de dichos programas maliciosos también puede auto-replicarse. Los programas maliciosos que se propagan a través de redes o infectan máquinas remotas cuando el "propietario" les ordena hacerlo (p. Ej., Puertas traseras) o programas que crean copias múltiples que no pueden autorreplicarse no forman parte de la subclase Virus y gusanos. La principal característica utilizada para determinar si un programa está clasificado como un comportamiento separado dentro de la subclase Viruses and Worms es cómo se propaga el programa (es decir, cómo el programa malicioso distribuye copias de sí mismo a través de recursos locales o de red). como archivos enviados como archivos adjuntos de correo electrónico, a través de un enlace a un recurso web o FTP, a través de un enlace enviado en un mensaje ICQ o IRC, a través de redes de intercambio de archivos P2P, etc. Algunos gusanos se propagan como paquetes de red; estos penetran directamente en la memoria de la computadora y el código del gusano se activa. Los gusanos usan las siguientes técnicas para penetrar computadoras remotas y lanzar copias de sí mismos: ingeniería social (por ejemplo, un mensaje de correo electrónico que sugiere que el usuario abre un archivo adjunto), explotando errores de configuración de red (como copiar a un disco totalmente accesible) y explotando lagunas en el sistema operativo y la seguridad de las aplicaciones. Los virus se pueden dividir de acuerdo con el método utilizado para infectar una computadora: virus de archivos virus de sector de arranque virus de macros virus de script Cualquier programa dentro de esta subclase puede tener funciones de troyano adicionales. También se debe tener en cuenta que muchos gusanos usan más de un método para distribuir copias a través de redes. Las reglas para clasificar objetos detectados con funciones múltiples se deben usar para clasificar estos tipos de gusanos.

Clase: Virus

Los virus se replican en los recursos de la máquina local. A diferencia de los gusanos, los virus no usan los servicios de red para propagarse o penetrar en otras computadoras. Una copia de un virus llegará a las computadoras remotas solo si el objeto infectado, por alguna razón no relacionada con la función del virus, está activado en otra computadora. Por ejemplo: al infectar discos accesibles, un virus penetra en un archivo ubicado en un recurso de red, un virus se copia en un dispositivo de almacenamiento extraíble o infecta un archivo en un dispositivo extraíble, un usuario envía un correo electrónico con un archivo adjunto infectado.

Más información

Plataforma: Win16

No platform description

Descripción

Detalles técnicos

Este es un virus parásito que "permanece residente" en Windows y Windows95, engancha el acceso al archivo de disco e infecta archivos DOS EXE. Este es un virus multipartito, porque afecta a dos plataformas diferentes: Windows y DOS. El virus no infecta ni el Portable Executable (PE) ni los archivos ejecutables EXE de Nuevo Ejecutable (NE), sino que permanece en Windows como un controlador VxD para interceptar e infectar los archivos EXE de DOS. Por lo tanto, el virus no infecta los archivos de Windows, sino la memoria de Windows, y no infecta la memoria de DOS, pero sí infecta los archivos EXE de DOS.

Cuando se ejecuta un archivo EXE DOS infectado, el virus solo suelta su VxD (el archivo GOLLUM.386), lo registra en el archivo SYSTEM.INI de Windows, regresa al programa host y no realiza ninguna otra acción. Cuando se inicia Windows, carga este virus VxD, el virus toma el control, engancha la cadena de interrupciones V86 y luego infecta los archivos DOS EXE. El gotero GOLLUM.386 tiene 6592 bytes de longitud, mientras que infectarlo agrega 7167 bytes a archivos DOS EXE.

Archivo EXE infectado de DOS

El virus en el archivo EXE de DOS se cifra con la instrucción NOT (XOR 0FFh). Entonces, cuando se ejecuta un archivo infectado, el virus toma el control y se descifra. El comando loop of decryption contiene un truco tonto contra la depuración, y uno debe tener cuidado al analizar el código del virus.

El virus busca el archivo Windows SYSTEM.INI. Hay cinco nombres que son usados ​​por virus:

C: WINDOWSSYSTEM.INIC: WINSYSTEM.INIC: WIN31SYSTEM.INIC: WIN311SYSTEM.INIC: WIN95SYSTEM.INI

Si no hay tales archivos, el virus no deja caer su VxD y regresa al programa host. De lo contrario, crea el archivo GOLLUM.386 (virus VxD) en el directorio de Windows e inserta en el archivo SYSTEM.INI el comando que carga este VxD:

DISPOSITIVO = GOLLUM.386

Este comando se inserta en la sección [386Enh] - el virus busca la cadena "[386" y escribe ese comando allí:

SYSTEM.INI antes y después de la infección... ...[386Enh] [386Enh]mouse = * vmd DEVICE = GOLLUM.386...mouse = * vmd...

El virus no tira su VxD dos veces: escanea el archivo SYSTEM.INI para la cadena "GOLLU" y finaliza la rutina de infección si se encuentra esta cadena.

Virus en archivo VxD

Virus VxD (el archivo GOLLUM.386) tiene formato LE (Ejecutable lineal). El código EXE de DOS en este archivo contiene una breve rutina que cambia al modo de video de texto estándar y muestra el texto:

GoLLum!

La parte LE de este archivo contiene la rutina de instalación que obtiene y almacena la ruta de inicio (para usar en la rutina de infección), engancha INT 21h (cadena de interrupción V86), manejador INT 21h, rutina de infección y código DOS EXE de virus. El controlador de virus INT 21h intercepta tres llamadas: Cargar y ejecutar (4B00h), Terminar (4C00h) y Cambiar directorio (3Bh).

Cuando se ejecuta un archivo, el virus solo guarda su nombre y devuelve el control. La rutina de infección obtiene el control al finalizar la llamada. Al principio, el virus verifica el nombre del archivo. Infecta los archivos solo en C: drive y no infecta los archivos SCAN *. *, F-PR *. *, TB *. * (SCAN, F-PROT, programas relacionados con ThunderByte) así como archivos con nombres que contiene letras o dígitos 'V' El virus tampoco infecta los archivos con una longitud inferior a 7167 bytes.

El virus luego abre el archivo, lee y verifica su encabezado. El virus comprueba el sello EXE (MZ en el inicio del archivo) y los indicadores NewExe, pero falla y en algunos casos infecta los archivos NewExe como DOS EXE. Eso puede corromper los archivos. Para evitar infecciones duplicadas, el virus compara el campo CRC (offset 12h en el encabezado EXE) con dos bytes: 52h 43h (ASCII "RC").

Luego, el virus infecta el archivo de una manera estándar que es utilizada por la mayoría de los virus DOS: escribe su código (partes de DOS y VxD) hasta el final del archivo y modifica el encabezado EXE (valores iniciales de punto de entrada y pila, tamaño del módulo y identificador "RC"). Para evitar la violación de código / acceso a datos al escribir parte VxD, el virus lo copia de GOLLUM.386 en la ruta de inicio que se almacenó durante la instalación del virus VxD.

La rutina de infección está completa y el virus cierra el archivo y restaura los atributos del archivo y el sello de fecha y hora del archivo.

Trigger Routines

Mientras se instala el 4 de junio, el virus envía un mensaje del sistema con el texto que obliga a Windows a mostrar este texto como un mensaje de error del sistema:

GoLLuM ViRuS por Griyo / 29AEn el fondo, junto al agua oscura, vivía el viejo Gollum, un pequeño fangosocriatura. No sé de dónde vino, ni quién o qué era. Élera un Gollum, oscuro como la oscuridad, a excepción de dos grandes ojos redondos y pálidosen su delgada cara.JRR ToLkieN ... El HoBBitPulse cualquier tecla para continuar

Al seleccionar un directorio (INT 21h Cambiar llamada de directorio), el virus obtiene el temporizador del sistema y, dependiendo de su valor (con probabilidad 1/256), crea el archivo GOLLUM.EXE en el directorio actual y copia su VxD GOLLUM.386 allí. Cuando este archivo EXE se ejecuta en DOS, se muestra la rutina de código auxiliar de DOS:

GoLLum!

Para evitar la detección por parte de los inspectores de integridad antivirus, el virus elimina sus bases de datos: ANTI-VIR.DAT, CHKLIST.TAV, CHKLIST.MS, AVP.CRC, IVB.NTZ.

El virus también contiene las cadenas:

GoLLuM ViRuS para Microsoft Windows por GriYo / 29AGPTrap_DDB

Leer más

Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com