Virus.Win9x.Shoerec

Detalles técnicos

Este es un virus Win95 parásito cifrado muy peligroso de unos 10 Kb de longitud. Es un virus de acción directa: escanea tres veces un directorio de unidades actual, busca archivos PE EXE allí y los infecta; pero lo hace en segundo plano de un proceso de host (en el hilo de proceso), y como resultado, puede permanecer en la memoria durante un tiempo prolongado hasta el momento en que finaliza el proceso de host, o se escanean todos los archivos de un disco. Debido a esto, el virus puede clasificarse como residente de memoria por proceso.

Al infectar un archivo, el virus se escribe al final del archivo en la última sección del archivo, aumenta el tamaño de esta sección y modifica los campos de encabezado PE necesarios.

Para obtener direcciones de acceso a archivos y otras funciones, el virus usa una dirección que es válida únicamente para Win95 / 98 y, como resultado, causa un mensaje estándar de "error en la aplicación" cuando los archivos infectados se ejecutan bajo otras versiones de Windows.

Aproximadamente 4 meses después de infectar un archivo y de que se ejecute en la misma computadora (el virus almacena la fecha actual y el nombre de la computadora mientras infecta), el virus ejecuta su rutina de activación. Esta rutina obtiene acceso a un escritorio de Windows y mueve los iconos fuera del cursor del mouse cuando se mueve el cursor del mouse a los íconos. Parece como si los íconos de los programas se escaparan del cursor, tratando de escapar.

Cuando los archivos se infectan el 1.º, 2.º o 3.º de cualquier mes, el virus los infecta al azar con su rutina de troyano. Cuando dichos archivos Trojanizados se ejecutan en aproximadamente 7 meses después de ser infectados, la rutina de Troya borra todos los archivos en la unidad actual, crea y sobrescribe al azar el archivo WIN.COM con la basura o el texto:

 (c) 1999 Brain & Amjads (pvt) Ltd   
 VIRUS_SHOE RECORD v20.0
 Dedicado a los recuerdos dinámicos de millones de virus 
 que ya no están con nosotros hoy - Gracias