Virus.Win32.Etap

Technical Details

Очень сложный {полиморфный:Poly} Win32-вирус, использующий для заражения метод “entry-point obscuring”. После активизации ищет PE EXE файлы и заражает их. При запуске вируса он ищет PE EXE-файлы в текущем каталоге, каталоге Windows, системном каталоге Windows и заражает их.

Размножение

Вирус ищет Win32 PE EXE файлы в текущей директории, также в директориях тремя уровнями вложенности выше, доступных сетевых и съёмных носителях и директориях, имя которых начинается с “W”, и заражает их. Вирус не заражает файлы, если их имя начинается со следующих строк:

F-
PA
SC
DR
NO

а также, если имя содержит букву “V” и в зависимости от значения
случайного счётчика.

Во время заражения вирус перестраивает и шифрует своё тело и записывает его в одну из секций заражаемого файла. Затем, он ищет в заражаемом файле один из вызовов системной функции “ExitProcess” и заменяет на вызов вирусного кода.

Проявления

Если заражённый файл использует системную библиотеку User32.dll, то в зависимости от текущей даты вирус показывает при запуске следующие сообщения:

14-го мая:

“Free Palestine!”

17-го марта, июня, сентября, декабря:

“Metaphor V1 by the Mental Driller/29a”, или
“Metaphor 1b by the Mental Driller/29a”

Регистр букв в последнем сообщении выбирается случайно.