|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| PE_MTX_II.A. La amabilidad hecha virus | ||
|---|---|---|
VSantivirus No. 428 - Año 5 - Domingo 9 de setiembre de 2001 Nombre: PE_MTX_II.A Tipo: Infector de archivos Alias: MTX_II.A, TROJ_MTX_II.DLL, PALM_MTX_II.A Aunque no es nuevo que existan cosas que siempre nos van a sorprender en el mundo de los virus, ésta en especial, se lleva un premio. El MTX original es un infector de archivos de 32bit de formato PE (ejecutables de Windows 9x y NT) que modifica el archivo WSOCK32.DLL para poder enviarse a través del correo electrónico como adjunto, y constituye una combinación de virus, gusano y trojan con características de backdoor. Esta versión, también infecta archivos en formato PE, modifica el archivo WSOCK32.DLL y posee un troyano y un virus de Palm incluidos. Pero también posee una insólita característica: pide educadamente, el permiso para infectar archivos. ¿Broma o solo prueba de un código que luego, modificado podría causar más daños?. Evidentemente, bajo estas condiciones, las características del virus lo hacen poco probable se propague tanto como otros, pero es interesante tenerlo en cuenta. Es como decíamos, un infector de archivos PE de características polimórficas, que posee la particularidad además, de incluir un componente troyano, otro del tipo gusano, y otro que infecta plataformas Palm. Además, despliega mensajes tanto antes como después de infectar archivos. * PE_MTX_II.A El componente PE_MTX_II.A, es el que infecta archivos, propagando copias de si mismo vía e-mail (gusano), y liberando además una aplicación Palm. Cuando se ejecuta, el virus le pregunta al usuario si desea infectar un determinado archivo, o si desea infectar otros archivos continuamente. El virus principal no está encriptado, y se copia a si mismo al directorio System de Windows, en un archivo con un nombre elegido al azar y con la extensión .DLL. Cuando se ejecuta un archivo infectado, el virus extrae la porción de su propio código incluida en el archivo que se ejecutó, y la guarda en la carpeta System, grabándola con un nombre al azar y con la extensión .TMP. Luego, crea un proceso separado y permite que se ejecute el archivo original. Después de todo esto, el propio virus informa al usuario que ha creado una copia del virus con un nombre al azar, y despliega este mensaje:
Luego busca en el disco duro los archivos WS2_32.DLL y WSOCK32.DLL, y le pregunta al usuario si desea infectar esos archivos:
Si el usuario pincha en ACEPTAR, procede a infectar el archivo indicado. De lo contrario lo ignora.
El archivo infectado es detectado como TROJ_MTX_II.DLL.
La lista debe ser tomada como referencia, ya que cualquiera puede modificar estos archivos para infectar también otros.
Antes de infectar un archivo, el virus examina el primer byte en el punto de entrada del archivo
PE a infectar. No infecta este archivo si el primer byte es
9Ch en hexadecimal, que representa una instrucción PUSHF, y tampoco si es
60h, una instrucción PUSHA. De esta manera se asegura no volver a infectar archivos ya infectados.
Glosario: |
||
