|
Tremor.4000Tremor je polymorfnφ virus, kter² napadß programy typu COM (o dΘlce 8192 a₧ 55039 byt∙)
a EXE (o dΘlce 8192 a₧ 1048576 byt∙) a je pam∞¥ov∞ rezidentnφ. P°i
spuÜt∞nφ napadenΘho programu se virus nejprve dek≤duje, a pak testuje
aktußlnφ datum. Pokud od data napadenφ dosud neuplynuly alespo≥ 3 m∞sφce,
p°φpadn∞ je soubor v jinΘm adresß°i ne₧ byl napaden, virus modifikuje
vlastnφ k≤d a neprojevuje se ₧ßdn²mi zvukov²mi ani obrazov²mi efekty.
Dßle virus testuje svou p°φtomnost v operaΦnφ pam∞ti pomocφ p°eruÜenφ 21h
funkce 0F1E9h. Pokud je virus ji₧ v pam∞ti aktivnφ, nebo je verze MS-DOSu
menÜφ ne₧ 3.30 je °φzenφ p°edßno napadenΘmu programu. V p°φpad∞, ₧e virus
dosud v pam∞ti nenφ, instaluje se do pam∞ti XMS nebo do UMB. Pokud
se nepovede ani jedna z t∞chto variant, instaluje se na vrchol zßkladnφ
operaΦnφ pam∞ti. P°itom si v pam∞ti alokuje 4288 byt∙. Virus pomocφ
p°eruÜenφ 01h testuje jednak mo₧nou p°φtomnost debugger∙, jednak si zjistφ
adresu p°eruÜenφ 21h, kterou pak pou₧φvß k p°φmΘmu volßnφ jßdra systΘmu.
Adresy p°eruÜenφ 21h a 15h p°esm∞ruje do nepou₧itΘ oblasti MCB hostitelskΘho
programu a odtud pak skßΦe p°φmo do svΘ rezidentnφ Φßsti. Infikuje program
specifikovan² prom∞nnou äCOMSPEC", nejΦast∞ji COMMAND.COM a spustφ p∙vodnφ
program. Tremor pou₧φvß techniky stealth. Pokud je virus aktivnφ,
monitoruje Φinnost systΘmu a informace, kterΘ by mohli vΘsti k jeho
odhalenφ, p°edßvß systΘmu ve zkreslenΘ form∞. Nap°φklad p°i dotazu na dΘlku
souboru p°edß p∙vodnφ dΘlku napaden²ch soubor∙ atd. P°i spuÜt∞nφ programu,
virus testuje, zda jmΘno souboru nezaΦφnß äCH",äME", äMI", äF2", äF-", äSY", äSI" a äPM".
Pokud ano, provede zm∞ny v alokaci pam∞ti, tak₧e nap°φklad program CHKDSK
vracφ jakoby sprßvnΘ hodnoty velikosti volnΘ pam∞ti. Virus nenapadß
programy zaΦφnajφcφ znaky äSC", äCL" nebo äHB". Virus takΘ testuje, zda
druh² a t°etφ znak jmΘna programu je äRJ". V takovΘm p°φpad∞ zaΦne dßvat
systΘmu pravdivΘ informace o souborech. Znamenß to, ₧e archivy ARJ budou
obsahovat virus, kde₧to nap°φklad v ZIPech virus nebude. Podobn∞ kopie
zdravΘho i napadenΘho souboru vytvo°enΘ pomocφ systΘmovΘho COPY virus
neobsahujφ, zatφmco ob∞ kopie ud∞lanΘ pomocφ Nortona jsou infikovßny.
Zjistφ-li virus p°φtomnost antivirovΘho programu FLU-SHOT+, soubor nenapadne
a p°estane se jakkoliv projevovat. Tremor takΘ testuje p°φtomnost
antivirovΘho programu VSAFE z MS-DOSu 6.00. Pomocφ specißlnφch funkcφ
p°eruÜenφ 13h umφ virus uvΘst VSAFE do neaktivnφho stavu a po napadenφ
souboru zase zaktivovat.
Virus otev°e soubor a p°eΦte si poslednφch dvacet byt∙. Vcelku jednoduÜe
je dek≤duje a pokud obsahujφ slovo äDEAD" a datum souboru je zv∞tÜenΘ o
100 let p°edpoklßdß, ₧e je soubor ji₧ napaden. V opaΦnΘm p°φpad∞ virus
p°ihraje svou zak≤dovanou kopii na konec napadenΘho programu, p°esm∞ruje
poΦßteΦnφ skok nebo zm∞nφ hodnotu v hlaviΦce EXE souboru a spustφ p∙vodnφ
program. NapadenΘ soubory prodlu₧uje o 4000 byt∙, datum napaden²ch souboru
zv∞tÜuje o 100 let. P°i volßnφ p°eruÜenφ 15h vypisuje uvedenou zprßvu.
P°i volßnφ p°eruÜenφ 21h posouvß celou obrazovku doleva a doprava o jeden znak.
-=> T╖R╖E╖M╖O╖R was done by NEUROBASHER / May-June'92, Germany <=-
-MOMENT-OF-TERROR-IS-THE-BEGINNING-OF-LIFE-
Virus m∙₧e b²t odstran∞n bu∩ zruÜenφm napaden²ch soubor∙ a jejich
nahrazenφm z originßlnφch disket, nebo pomocφ programu pro testovßnφ
integrity soubor∙ (pokud jej ovÜem pravideln∞ pou₧φvßte).
Zdroj: Alwil software - v²robce antiviru AVAST
|
|
