Virus.Win9x.Shoerec

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Virus

Вредоносная программа, обладающая способностью к несанкционированному пользователем саморазмножению по локальным ресурсам компьютера. В отличие от червей, вирусы не используют сетевых сервисов для своего распространения и проникновения на другие компьютеры. Копия вируса попадает на удалённые компьютеры только в том случае, если заражённый объект по каким-либо не зависящим от функционала вируса причинам оказывается активизированным на другом компьютере, например: при заражении доступных дисков вирус проник в файлы, расположенные на сетевом ресурсе; вирус скопировал себя на съёмный носитель или заразил файлы на нем; пользователь отослал электронное письмо с зараженным вложением.

Подробнее

Платформа: Win9x

No platform description

Описание

Technical Details

Очень опасный резидентный зашифрованный Win9x-вирус длиной около 10Kb. Вирус размножается как обычный нерезидентный вирус - сканирует подкаталоги текущего диска, ищет PE EXE-файлы и заражает их, - однако вирус делает это параллельно с выполнением программы-носителя (в фоновом режиме). В результате вирус может оставаться активным достаточно длительное время - до момента окончания работы программы-носителя, или если вирус просканировал все подкаталоги на заражаемом диске. По этой причине вирус следует классифицировать как "резидентный на время процесса".

При заражении вирус записывает себя в конец файлов в последнюю секцию, увеличивает ее размер и корректирует необходимые поля PE-заголовка.

Для того, чтобы получить адреса необходимых для размножения функций Windows, вирус сканирует ядро (код KERNEL32.DLL). При этом используются адреса, корректные только для Win95/98. По этой причине вирус неработоспособен под другими версиями Windows.

Примерно через 4 месяца после заражения файла и при запуске на том же самом компьютере (при заражении вирус запоминает текущую дату и имя компьютера) вирус вызывает процедуру-эффект. Эта процедура получает доступ к "рабочему столу" Windows и при попытках выбрать какую-нибудь иконку курсором мыши отодвигает иконки (или все ближайшие иконки) от курсора - иконки "разбегаются" от курсора мыши.

При заражении файлов по 1, 2 и 3-м числам ежемесячно вирус записывает троянскую программу в случайно выбранные PE EXE-файлы (вместо их заражения). При запуске таких файлов через 7 месяцев они стирают все файлы на текущем диске и записывают в файл WIN.COM "мусор" или текст:

 (c) 1999 Brain & Amjads (pvt) Ltd   
 VIRUS_SHOE  RECORD  v20.0
 Dedicated to the dynamic memories of millions of virus 
 who are no longer with us today - Thanks

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com