|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Virus: Demiurg (Demig). Infecta archivos DOS, Win 32 y Excel | ||
|---|---|---|
VSantivirus No. 190 - Año 5 - Domingo 14 de enero de 2001 Nombre: Demiurg (Demig) Tipo: Infector de archivos, macros, multipartite Alias: Demig.16354, X97M.Demiurg.A, X97M/Demiurg, W32/Demiurg, Pe_demiurg.A, Bat_demiurg.A, Demiurg.17584, X97m_demiurg.A, W32.Demiurg.16354.dr, X97M.Demiurg.A, Demiurg.16354.Bat Tamaño: 16,354 bytes Este virus multipartite (se les llama así a aquellos virus capaces de infectar diferentes tipos de archivos), puede infectar archivos MS-DOS, Windows (Win32) y Excel. Bajo DOS, infecta archivos .COM, .EXE y .BAT. Bajo Windows, infecta archivos ejecutables PE (Win32) y la librería KERNEL32.DLL. Y en Office, puede crear libros Excel conteniendo el virus (virus dropper). El virus en si mismo es un ejecutable Win32 en formato PE, y es capaz de realizar todas sus funciones, solamente cuando se ejecuta bajo Windows. Otros componentes infectados son "virus dropper", o sea que esconden el cuerpo del virus y lo liberan bajo determinadas circunstancias. De esta manera, el virus no se propaga directamente desde un archivo infectado, pero utiliza técnicas para liberar copias de si mismo desde los archivos infectados. Cuando un archivo de DOS es ejecutado, o una planilla de Excel infectada es abierta, la rutina del virus crea un archivo C:\DEMIURG.EXE y extrae de allí el código del virus. La rutina principal de éste, toma entonces el control. Bajo Win32, el virus permanece residente en memoria, a través de la ejecución del archivo KERNEL32.DLL infectado, el cuál engancha todas las funciones de acceso a los archivos (abrir, copiar, mover, cambios de atributos), e infecta archivos .COM, .EXE y .EXE de Win32 (PE). Cuando infecta un archivo, el virus se copia a si mismo al final de aquel. Si infecta archivos .COM, .EXE o .BAT de DOS, convierte estos archivos en "dropper" (esconden el virus, y lo liberan bajo ciertas condiciones). Solo en el caso de los archivos .EXE de Win32 en formato PE (Portable Executable), la infección ocurre con el código principal del virus, haciendo que la propagación se haga en forma directa, sin necesidad de crear nuevos archivos. Para infectar el archivo KERNEL32.DLL de Windows, el virus utiliza un truco. KERNEL32.DLL es permanentemente usado por Windows, siendo bloqueado para escritura por el mismo. Entonces, el virus hace una copia del archivo en otra carpeta, e infecta la copia. Por ejemplo:
Cuando Windows es reiniciado, él busca la librería
KERNEL32.DLL primero en el raíz de Windows (C:\WINDOWS), luego en el directorio del
sistema. De este modo, la copia infectada (en C:\WINDOWS) es encontrada primero, y cargada por defecto.
Después que el virus infecta el archivo KERNEL32.DLL, el mismo libera el archivo
DEMIURG.SYS (de 70 Kb aprox.) en C:\.
Tipos de infección |
||
