ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Virus.Win16.Gollum

Clase Virus
Plataforma Win16
Descripción

Detalles técnicos

Este es un virus parásito que "permanece residente" en Windows y Windows95, engancha el acceso al archivo de disco e infecta archivos DOS EXE. Este es un virus multipartito, porque afecta a dos plataformas diferentes: Windows y DOS. El virus no infecta ni el Portable Executable (PE) ni los archivos ejecutables EXE de Nuevo Ejecutable (NE), sino que permanece en Windows como un controlador VxD para interceptar e infectar los archivos EXE de DOS. Por lo tanto, el virus no infecta los archivos de Windows, sino la memoria de Windows, y no infecta la memoria de DOS, pero sí infecta los archivos EXE de DOS.

Cuando se ejecuta un archivo EXE DOS infectado, el virus solo suelta su VxD (el archivo GOLLUM.386), lo registra en el archivo SYSTEM.INI de Windows, regresa al programa host y no realiza ninguna otra acción. Cuando se inicia Windows, carga este virus VxD, el virus toma el control, engancha la cadena de interrupciones V86 y luego infecta los archivos DOS EXE. El gotero GOLLUM.386 tiene 6592 bytes de longitud, mientras que infectarlo agrega 7167 bytes a archivos DOS EXE.

Archivo EXE infectado de DOS

El virus en el archivo EXE de DOS se cifra con la instrucción NOT (XOR 0FFh). Entonces, cuando se ejecuta un archivo infectado, el virus toma el control y se descifra. El comando loop of decryption contiene un truco tonto contra la depuración, y uno debe tener cuidado al analizar el código del virus.

El virus busca el archivo Windows SYSTEM.INI. Hay cinco nombres que son usados ​​por virus:


C: WINDOWSSYSTEM.INI
C: WINSYSTEM.INI
C: WIN31SYSTEM.INI
C: WIN311SYSTEM.INI
C: WIN95SYSTEM.INI
Si no hay tales archivos, el virus no deja caer su VxD y regresa al programa host. De lo contrario, crea el archivo GOLLUM.386 (virus VxD) en el directorio de Windows e inserta en el archivo SYSTEM.INI el comando que carga este VxD:

DISPOSITIVO = GOLLUM.386
Este comando se inserta en la sección [386Enh] – el virus busca la cadena "[386" y escribe ese comando allí:

SYSTEM.INI antes y después de la infección
… …
[386Enh] [386Enh]
mouse = * vmd DEVICE = GOLLUM.386

mouse = * vmd

El virus no tira su VxD dos veces: escanea el archivo SYSTEM.INI para la cadena "GOLLU" y finaliza la rutina de infección si se encuentra esta cadena.

Virus en archivo VxD

Virus VxD (el archivo GOLLUM.386) tiene formato LE (Ejecutable lineal). El código EXE de DOS en este archivo contiene una breve rutina que cambia al modo de video de texto estándar y muestra el texto:

GoLLum!
La parte LE de este archivo contiene la rutina de instalación que obtiene y almacena la ruta de inicio (para usar en la rutina de infección), engancha INT 21h (cadena de interrupción V86), manejador INT 21h, rutina de infección y código DOS EXE de virus. El controlador de virus INT 21h intercepta tres llamadas: Cargar y ejecutar (4B00h), Terminar (4C00h) y Cambiar directorio (3Bh).

Cuando se ejecuta un archivo, el virus solo guarda su nombre y devuelve el control. La rutina de infección obtiene el control al finalizar la llamada. Al principio, el virus verifica el nombre del archivo. Infecta los archivos solo en C: drive y no infecta los archivos SCAN *. *, F-PR *. *, TB *. * (SCAN, F-PROT, programas relacionados con ThunderByte) así como archivos con nombres que contiene letras o dígitos 'V' El virus tampoco infecta los archivos con una longitud inferior a 7167 bytes.

El virus luego abre el archivo, lee y verifica su encabezado. El virus comprueba el sello EXE (MZ en el inicio del archivo) y los indicadores NewExe, pero falla y en algunos casos infecta los archivos NewExe como DOS EXE. Eso puede corromper los archivos. Para evitar infecciones duplicadas, el virus compara el campo CRC (offset 12h en el encabezado EXE) con dos bytes: 52h 43h (ASCII "RC").

Luego, el virus infecta el archivo de una manera estándar que es utilizada por la mayoría de los virus DOS: escribe su código (partes de DOS y VxD) hasta el final del archivo y modifica el encabezado EXE (valores iniciales de punto de entrada y pila, tamaño del módulo y identificador "RC"). Para evitar la violación de código / acceso a datos al escribir parte VxD, el virus lo copia de GOLLUM.386 en la ruta de inicio que se almacenó durante la instalación del virus VxD.

La rutina de infección está completa y el virus cierra el archivo y restaura los atributos del archivo y el sello de fecha y hora del archivo.

Trigger Routines

Mientras se instala el 4 de junio, el virus envía un mensaje del sistema con el texto que obliga a Windows a mostrar este texto como un mensaje de error del sistema:

GoLLuM ViRuS por Griyo / 29A
En el fondo, junto al agua oscura, vivía el viejo Gollum, un pequeño fangoso
criatura. No sé de dónde vino, ni quién o qué era. Él
era un Gollum, oscuro como la oscuridad, a excepción de dos grandes ojos redondos y pálidos
en su delgada cara.
JRR ToLkieN … El HoBBit
Pulse cualquier tecla para continuar
Al seleccionar un directorio (INT 21h Cambiar llamada de directorio), el virus obtiene el temporizador del sistema y, dependiendo de su valor (con probabilidad 1/256), crea el archivo GOLLUM.EXE en el directorio actual y copia su VxD GOLLUM.386 allí. Cuando este archivo EXE se ejecuta en DOS, se muestra la rutina de código auxiliar de DOS:

GoLLum!
Para evitar la detección por parte de los inspectores de integridad antivirus, el virus elimina sus bases de datos: ANTI-VIR.DAT, CHKLIST.TAV, CHKLIST.MS, AVP.CRC, IVB.NTZ.

El virus también contiene las cadenas:


GoLLuM ViRuS para Microsoft Windows por GriYo / 29A
GPTrap_DDB


Enlace al original