In-the-Wild List 12/99...
Poslednφ seznam nejrozÜφ°en∞jÜφch vir∙ v tomto roce lze stßhnout zde. Nßsleduje p°ehled nejvφce hlßÜen²ch vir∙:
Freq Name Type Aliases
============================================================================
42 | W32/Ska.A............... | File |HAPPY99
37 | W95/CIH.1003............ | File |Spacefiller
35 | W97M/Ethan.A............ | Macro |
35 | WM/CAP.A................ | Macro |
34 | W97M/Melissa.A@mm....... | Macro |Maillissa
28 | W32/ExploreZip.......... | File |Worm.ExploreZip
28 | W97M/Marker.C........... | Macro |W97M/Spooky.C
25 | O97M/Tristate.C......... | Macro |O97/Crown.B
25 | W97M/Class.D............ | Macro |
24 | WM/Concept.A............ | Macro |Prank Macro
23 | W32/PrettyPark.A........ | File |
20 | AntiCMOS.A.............. | Boot |Lenart
20 | AntiEXE.A............... | Boot |D3
18 | XM/Laroux.A............. | Macro |
17 | X97M/Laroux.A........... | Macro |
16 | Form.A.................. | Boot |Form 18
15 | Parity_Boot.B........... | Boot |Generic 1
15 | W97M/Class.Q............ | Macro |
============================================================================
[18.12.99]
Win32/NewApt - dalÜφ Φerv.
Mßlem bych zapom∞l na tohoto novΘho Φerva. Infikovan² soubor, kter² p°φjde v p°φloze emailovΘ zprßvy m∙₧e mφt n∞kolik r∙zn²ch nßzv∙ (celkem 26). "Infikovanß" emailovß zprßva
mß subjekt "Just for your eyes" a obsahuje text: "he, your lame client cant read HTML, haha. click attachment to see some stunningly HOT stuff" a
"Hypercool Happy Year 2000 funny programs and animationsà. We attached our recent animation from this site in our mail ! Check it out!".
Po spuÜt∞nφ infikovanΘho souboru v p°φloze se Φerv sna₧φ odeslat svoji kopii na dalÜφ adresy. Jinak celkem nic zajφmavΘho...
[16.12.99]
Dva novΘ viry:
Win9x/Caw
Pam∞¥ov∞ rezidentnφ virus (v podob∞ VxD driveru) pro Windows 9x. Napadß otevφranΘ PE EXE soubory a svoje t∞lo uklßdß
do jejich poslednφ sekce. Krom∞ chyb obsahuje tento virus i dv∞ destruktivnφ akce. Ta prvnφ je naΦasovanß na 7.Φervence, kdy
virus p°epφÜe 16 nßhodn∞ vybran²ch sektor∙ na pevnΘm disku. Pokud minuta=0, virus ma₧e n∞kterΘ soubory s definovanou p°φponou.
Win32/MyPics.B/C
5.12 jsem informoval o Φervu MyPics. Neuplynulo ani moc Φasu a jsou tu dalÜφ varianty...
Rozdφly mezi p∙vodnφ verzφ MyPics.A a MyPics.B/C:
Subjekty emailov²ch zprßv:
MyPics.B: Season's Greetings
MyPics.C: Here's a digital video for you
Na disku C vytvß°φ soubor:
MyPics.B: C:\Icq_Greetings.exe
MyPics.C: C:\Zip01.exe
MyPics.B modifikuje vlastnφka systΘmu a v roce 2000 "posφlß" p°φkaz FORMAT na °adu disk∙.
Varianta MyPics.C ka₧d² sedmnßct² den v m∞sφci ma₧e °adu soubor∙ p°evß₧n∞ na disku C: (v adresß°i "...\win\system" apod.).
Varianta MyPics.B provßdφ tuto Φinnost kdykoliv v roce 2000.
PopisovanΘ viry jsou In-the-Wild (tj. Üφ°φ se mezi u₧ivateli).
[14.12.99]
Kdo to proboha napsal !!!
...to jsem si opakoval p°i Φtenφ Φlßnk∙ na adresßch:
http://zive.cpress.cz/r-art.asp?ref=4&id=8420 - nßsleduje souhrn toho nejlepÜφho:
"Worm je poΦφtaΦov² vir, kter² obdr₧φte v p°φloze e-mailu jako obrßzek" - obrßzek=vir ??? to se mi nezdß !, "...vir napφÜe do CMOS pam∞ti poΦφtaΦe, aby zruÜil platnost systΘmovΘ integrity nebo kontrolnφho souΦtu dat" - hmmm... to je zajφmavΘ ! "Potom je systΘm restartovßn a u₧ivatel bude varovßn, ₧e ôCMOS checksum is invalid,ö a tφm u₧ivatel uv∞°φ, ₧e mß problΘm roku 2000 a ne poΦφtaΦov² vir" - Podle zmi≥ovanΘ zprßvy lze opravdu snadno rozpoznat, ₧e jde o problΘm s rokem 2000 :-))) "Po schvßlenφ dat, poΦφtaΦ bude pokraΦovat v restartovßnφ a pokud je soubor ôcbios.comö umφst∞n ve ko°enovΘm adresß°i na disku C, vir se nepozorovan∞ nahraje a potom kompletn∞ p°eformßtuje disky D: a C:" - no comment.
Naprosto dokonalß je taky v∞ta: "VIROV╔ VAROV┴N═: St°ednφ/Vysok² risk". DalÜφ ptßkoviny, kterΘ se v Φlßnku objevily: "NepokouÜejte se p°ilo₧en² dokument otev°φt." - to jsem z toho jelen, co teda vlastn∞ p°φjde, obrßzek ? dokument ? A jeÜt∞ n∞co na zßv∞r: "SARC je pr∙myslov∞ nejvφce odborn² t²m virov²ch expert∙." - ja myslel, ₧e d∞lajφ v kancelß°i a ne u sv∞rßku...
[14.12.99]
Dφlo od ΦeskΘho mistra - virus Yobe
V AVP Virus Encyclopedii se p°ed nedßvnem koneΦn∞ objevily informace o viru Win95/Yobe (nejednß se o horkou novinku), kter² vyu₧φvß podobnou techniku jako starÜφ virus Dir2 pro DOS.
T∞lo viru Yobe se toti₧ na disku vyskytuje pouze jednou - a to v poslednφm clusteru disku. Modifikacφ struktury adresß°e (konkrΘtn∞ hodnoty "first file cluster") se postarß, ₧e p°i spuÜt∞nφ souboru se nejd°φve aktivuje k≤d viru (na konci disku) a pak teprve spouÜt∞n² program.
Autorem tohoto ojedin∞lΘho dφla je Φech - Benny ze skupiny 29A.
[14.12.99]
Konference Security-2000...
Na www.aec.cz lze zφskat podrobn∞jÜφ informace o konferenci Security-2000, kterß se bude konat v kv∞tnu 2000. Na programu je samoz°ejm∞ i virovß problematika.
[7.12.99]
MultifunkΦnφ virus - Win9x/Babylonia !!!
Babylonia - to je nßzev novΘho pam∞¥ov∞ rezidentnφho ("vystupuje" jako VxD driver) viru pro Windows 9x, kter² se dokß₧e Üφ°it n∞kolika zp∙soby. Napadß PE EXE soubory na disku (uklßdß
se do poslednφ sekce soubor∙, n∞kterΘ soubory si po infekci zachovajφ p∙vodnφ dΘlku), p°ipojuje se ve form∞ souboru k odesφlanΘ poÜt∞ (podobn∞ jako Φerv Happy99, infikovan² soubor v p°φloze se vÜak jmenuje X-MAS.EXE)
a dokß₧e napadat HLP soubory (soubory s nßpov∞dou pro Windows) dφky tomu, ₧e obsahujφ jednoduch² jazyk.
Virus vypouÜtφ soubor C:\BABYLONIA.EXE, svoje t∞lo pak nakopφruje i do souboru C:\WINDOWS\SYSTEM\KERNEL32.EXE - modifikacφ registr∙ se
postarß o spouÜt∞nφ jmenovanΘho souboru po ka₧dΘm startu Windows. KERNEL32.EXE Φekß do navßzßnφ spojenφ (dial-up) a ze strßnky autora viru
stßhne "vsuvky" (plug-ins) do popisovanΘho viru. Tyto plug-iny dokß₧ou m∞nit chovßnφ viru (tj. upgrade viru) !!! - jak informuje Sophos, plug-iny se postaraly ji₧
o to, ₧e virus Babylonia se dokß₧e Üφ°it i prost°ednictvφm mIRC.
Virus Babylonia se z°ejm∞ stane st°edem pozornosti vÜech "internetov²ch novin"... M∙₧eme se t∞Üit !
[5.12.99]
DalÜφ worm W32/Mypics
W32/Mypics je dalÜφm z °ady Φerv∙ (worms), kter²ch se letos urodilo po₧ehnan∞. Jako ka₧d² Φerv se i Mypics Üφ°φ
prost°ednictvφm p°φloh e-mailov²ch zprßv. V tomto p°φpad∞ tvo°φ p°φlohu soubor pics4you.exe, kter² obsahuje
zmi≥ovanΘho Φerva. E-mailovß zprßva nemß ₧ßdn² subjekt, t∞lo zprßvy obsahuje text "Here's some pictures for you!".
Po spuÜt∞nφ souboru v p°φloze se Φerv zavede do systΘmu - modifikacφ registr∙ si zajistφ spuÜt∞nφ po ka₧dΘm restartu Windows.
Pak se sna₧φ odeslat svoji kopii na dalÜφch padesßt adres, kterΘ najde v "knize adres" aplikace
Microsoft Outlook. Krom∞ toho p°enastavuje "homepage" strßnku Internet Exploreru - tj. strßnku, kterß se zobrazφ po spuÜt∞nφ IE. Pokud
zjistφ, ze systΘmovΘ hodiny ukazujφ rok 2000, naruÜφ CRC pam∞ti CMOS, tak₧e p°i dalÜφm startu poΦφtaΦe se doΦkßme pouze hlßÜky "CMOS Checksum Invalid"
(staΦφ se p°emφstit do BIOS-setupu a zvolit SAVE - vÜe zas bude OK). Po dalÜφm restartu na nßs vÜak Φekß jeÜt∞ v∞tÜφ p°ekvapenφ. ╚erv Mypics toti₧ zaΦne formßtovat disk...
[5.12.99]
Smutnß zprßva ze slovenska...
P°ed nedßvnem p°iÜla ze slovenska smutnß zprßva - v²voj antiviru HMVS byl zastaven na neurΦito. P°ipomφnßm, ₧e antivirus HMVS byl urΦen v²hradn∞
na detekci znßm²ch/neznßm²ch makrovir∙. Vyu₧φval °adu unikßtnφch technik (t°eba neurovou sφ¥) a vypadal dost nad∞jn∞...
Je to Ükoda...
[1.12.99]
StarΘ viry v novΘm balenφ...
N∞kterΘ spoleΦnosti zaΦaly informovat o novΘ variant∞ Φerva ExploreZIP. Prvnφ a donedßvna jedinß varianta je ji₧ n∞kolik
m∞sφc∙ starß a vcelku dost se rozÜφ°ila. Nov∞ vzniklß varianta (ExploreZIP.B) se od p∙vodnφ liÜφ pouze tφm, ₧e infikovan²
soubor, kter² se p°ipojuje k emailovΘ zprßv∞ je intern∞ komprimovßn (ExploreZIP.B je tak i o n∞co kratÜφ).
N∞kterΘ spoleΦnosti (t°eba SARC) pak informujφ nov²ch variantßch makroviru W97M/Melissa.A.
Rozdφly jsou vÜak n∞kdy tam minimßlnφ, ₧e pro n∞kterΘ antivirovΘ programy to ₧ßdnß novinka nenφ (nap°. pro AVG s vysokou tolerancφ skeneru je to stßle jen jedna a ta samß Melissa...).