Ana sınıf: VirWare
Virüsler ve solucanlar, bilgisayarlarda veya bilgisayar ağları aracılığıyla kullanıcının kendi kendine farkında olmadan kendini kopyalayan kötü amaçlı programlardır; Bu tür kötü amaçlı programların sonraki her kopyası kendi kendini kopyalayabilmektedir. Ağlar yoluyla yayılan ya da uzaktaki makinelere “sahibi” (örn. Backdoors) tarafından komut verildiğinde ya da kendi kendine çoğaltılamayan birden çok kopya oluşturan programlar Virüsten ve Solucanlar alt sınıfının parçası değildir. Bir programın Virüsler ve Solucanlar alt sınıfı içinde ayrı bir davranış olarak sınıflandırılıp sınıflandırılmadığını belirlemek için kullanılan temel özellik, programın nasıl yayıldığıdır (yani, kötü amaçlı programın kendi kopyalarını yerel veya ağ kaynakları aracılığıyla nasıl yaydığı). Bilinen pek çok solucan yayılır. e-posta eki olarak gönderilen dosyalar, bir web veya FTP kaynağına bağlantı yoluyla, bir ICQ veya IRC mesajında gönderilen bir bağlantı yoluyla, P2P dosya paylaşım ağları vb. yoluyla gönderilir. Bazı solucanlar, ağ paketleri olarak yayılır; Bunlar doğrudan bilgisayar belleğine nüfuz eder ve solucan kodu daha sonra aktif hale gelir. Solucanlar, uzaktaki bilgisayarlara girmek ve kendi kopyalarını başlatmak için aşağıdaki teknikleri kullanırlar: sosyal mühendislik (örneğin, kullanıcının ekli bir dosyayı açmasını öneren bir e-posta iletisi), ağ yapılandırma hatalarını (tam olarak erişilebilen bir diske kopyalama gibi) ve istismar etme işletim sistemindeki boşluklar ve uygulama güvenliği. Virüsler, bir bilgisayara bulaşmak için kullanılan yönteme göre bölünebilir: dosya virüsleri önyükleme sektörü virüsleri makro virüsleri komut dosyaları virüsleri Bu alt sınıftaki herhangi bir program ek Truva işlevlerine sahip olabilir. Ayrıca, birçok solucanın kopyaları ağlar üzerinden dağıtmak için birden fazla yöntem kullandığı da not edilmelidir. Algılanan nesneleri çoklu işlevlerle sınıflandırma kuralları, bu tür solucanları sınıflandırmak için kullanılmalıdır.Sınıf: Virus
Virüsler yerel makinenin kaynakları üzerinde çoğalırlar. Solucanlardan farklı olarak, virüsler diğer bilgisayarları yaymak veya bunlara nüfuz etmek için ağ hizmetlerini kullanmaz. Virüsün bir kopyası, yalnızca virüslü nesnenin, virüs işleviyle alakası olmayan bir nedenle başka bir bilgisayarda etkinleştirilmişse, uzak bilgisayarlara ulaşacaktır. Örneğin: erişilebilir disklere virüs bulaştığında, bir virüs bir ağ kaynağında bulunan bir dosyaya girer, bir virüs kendisini çıkarılabilir bir depolama aygıtına kopyalar veya bir dosyayı virüslü bir eki olan bir e-posta gönderir.Platform: DOS
No platform descriptionAçıklama
Teknik detaylar
Tehlikeli bir bellek olmayan yerleşik virüs. Arşiv dosyalarını arar ve onları enfekte eder. Neyse ki, sadece arşivleyicilerin formatı için arama yapar. Enfeksiyon için arşiv dosyaları sadece ARJ standardında olmalıdır. Bu dosya arşivleri ARJ.EXE kompresörünün çalışmasının sonucudur.
ARJ.EXE, bir veya daha fazla dosyayı (alt dizinler de dahil olmak üzere) sıkıştırılmış biçimde bir veya birkaç arşivde (argo - arjive) dosyaları sıkıştırmaya ve depolamaya yarayan bir arşivleme programıdır. Bu yazılım, Robert K Jung tarafından telif hakkı (c) 1990-1993'e aittir.
Standart bir DOS virüsünden daha fazla bir solucan olan bu virüs, 5000 bayt uzunluğundadır. Bu dosyaları (virüs) kopyasıyla günceller. Yürütme sırasında, bu infector "* .arj" maskesini kullanarak ARJ uzantılı dosyaları arar (ARJ uzantılı dosyalar ARJ.EXE yardımcı programı tarafından oluşturulur ve sıkıştırılmış dosyaları içerir). Geçerli ve tüm üst dizinlerde ARJ dosyalarını arar.
ARJ arşiv dosyası bulunursa, virüs rastgele seçilmiş bir ad ve COM uzantısı ile geçici bir dosya oluşturur. Bu isim 'A' t0 'V' 'den dört harf içerir; 'V' sınırlaması, bu virüsün mektup numarası için 0Fh limitini kullanması, 15. (0Fh) harfi 'V' olmasıdır. Sonuç isimleri BHPL.COM, NLJJ.COM, OKPD.COM vb. Gibi görünür. Ardından, virüs bu COM dosyasına (5000 byte) yazar ve saklamak için dosyaya rasgele seçilen uzunluktaki çöp baytını ekler. Virüs, bu çöpün uzunluğunun, çalıştırılabilir COM dosyasının maksimum uzunluğunu aşmaması gerektiğini kontrol eder. Sonuç solucan dosyalarının uzunluğu 5000 bayttan fazla. 5000 bayt, herhangi bir enfeksiyonda dosyada saklanan kurtçuk gövdesinin uzunluğudur.
Sonra virüs, bu dosyayı bulunan arşive yerleştirir. Bunu en kolay şekilde yapar - virüs ARJ.EXE yardımcı programını zorlar. ARJ.EXE anahtarlarından biri "a" karakteridir, dosya (lar) ARJ arşiv dosyasına eklemek zorlar. Ve virüs bu seçeneği kullanır, standart C işlevini kullanarak ARJ.EXE'yi "a" karakteriyle çalıştırır. Yürütülen dize şöyle görünür:
c: komut.com / c arj anerede.com
Bu komutun yürütülmesi sırasında arşivleyici ARJ.EXE sıkıştırır ve bulduğu arşiv dosyasına solucanı ekler. Sonra virüs geçici dosyayı siler ve bir sonraki ARJ dosyasını arar. Geçerli dizinde arşiv dosyaları yoksa, virüs üst virgülle atlar. Geçerli dizin disk kök dizini ise, virüs DOS'a döner.
Bu enfektörün özelliklerinden biri de çift enfeksiyondur. Arşivin çalıştırılmasında virüs, dosyanın varlığını kontrol etmez ve bunu nasıl yapabilir? İçerideki arşivi kontrol etmek kolay bir iş değildir ve bu virüsün yazarının bir nesneyi (çoğalması) belirlemediğini görüyorum. Yeni fikri en kolay yoldan fark etti, daha fazla değil.
Virüs, solucan dosyalarının rastgele isimlerini üretir. Bazen enfeksiyon için ARJ dosyasında bulunan adı üretebilir. Sonuç olarak, bu dosya virüs tarafından üzerine yazılacak ve bu dosyanın içeriği kaybolacaktır. Tabii ki, bu durumda solucan dosyası yürütme olasılığı büyür.
Virüs kancalarını INT 10h yaymak için - video interrupt. Ekrana standart çıkışı devre dışı bırakan IRET komutuna ayarlar. Bu özellik virüsü gizler, ancak virüs etkinliği hataları oluşursa, ARJ.EXE programı veya DOS hata mesajını görüntüler (örneğin, "Yazma hatası yazma sürücüsünü A:" yaz) ve yanıtı bekler. Ancak virüs çıkışı devre dışı bırakır ve kullanıcı sadece boş ekranı görecektir. Bilgisayar kapanır gibi görünüyor. Bu arada, MS-Windows altında sanal DOS makinesi yazma koruma hatası üzerinde tam ekran metin modu için geçiş yapar ve başka bir göreve geçmek imkansızdır. Son not: Bu virüs kısa dahili metin dizesini içerir:
* .arj .. 0000.com / c arj ac: command.com
Daha fazlasını okuyun
Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com