|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| W32/Samand. Renombra archivos .EXE y toma su lugar | ||
|---|---|---|
VSantivirus No. 826 - Año 6 - Viernes 11 de octubre de 2002 W32/Samand. Renombra archivos .EXE y toma su lugar http://www.vsantivirus.com/samand.htm Nombre: W32/Samand Tipo: Gusano de Internet Alias: Samand, W32.HLLC.Samand, W32.HLLO.Samand Fecha: 9/oct/02 Tamaño: 4,096 bytes Plataforma: Windows 32-bits Se trata de un virus "de compañía" que no posee rutina dañina ni capacidad de propagarse por si mismo. Se les llama virus de compañía, a los virus que no infectan directamente a otro archivo, sino que toman su nombre, se ejecutan primero, y luego de su acción maliciosa, le pasan el control al archivo original, o sea "acompañan" al archivo que será su víctima, sin infectarlo directamente (más allá de renombrarlo). Note que no puede propagarse por si solo. Requiere la acción directa del usuario damnificado para su ejecución la primera vez (doble clic sobre el archivo), por lo que suele usarse en forma premeditada por algunos atacantes, obligando por medio de engaños a su ejecución. También puede ser descargado de sitios maliciosos, disfrazado de alguna utilidad que despierte nuestra curiosidad. Como siempre, se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet o cuya fuente sean disquetes, CDs, etc., sin revisarlo antes con uno o dos antivirus al día. Cuando el virus se ejecuta, el mismo intenta obtener el nombre del archivo, examinando los argumentos de la línea de comando. En un entorno DOS, esto está representando por la variable %0 (el resto de los argumentos sería %1, %2, etc.). Sin embargo, debido a un error en su código, esto solo funcionará con los nombres largos de los archivos. Luego, ejecutará el archivo original "limpio" con la línea de comandos o argumentos con los que fuera llamado éste. Por ejemplo, si el virus se llama NOMBRE.EXE, y la línea de comandos fuera -abc (Nombre.exe -abc), el virus copiaría el archivo original como NOMBRE.EYE y luego ejecutaría Nombre.eye -abc. Luego, el virus buscaría otro archivo .EXE diferente en la misma carpeta actual y lo renombraría como .EYE, mientras él mismo se copiaría como .EXE y el nombre del archivo. Por ejemplo, si el archivo encontrado se llama EJEMPLO.EXE, lo renombraría como EJEMPLO.EYE y el propio virus se copiaría como EJEMPLO.EXE. Cuando se ejecute EJEMPLO.EXE se repite el mecanismo. Otro ejemplo, suponiendo ya hubiera sido infectado el bloc de notas (Notepad.exe): 1. El usuario ejecuta Notepad.exe con el nombre del archivo a editar como argumento, en la carpeta "C:\Mis documentos":
2. El virus ejecuta Notepad.eye (el Notepad original) con el mismo argumento:
3. El virus busca otro archivo .EXE en la misma carpeta:
4. Lo copia como "Ejemplo2.eye"
Renombre los archivos .EYE con el mismo nombre de los borrados en el punto (3) de la "Reparación manual" que hayan sido encontrados con la extensión .EXE Nombre anterior: Nombre.EYE
|
||
