|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Virus: W95/Prizm (Chernobil2). Sofisticada destrucción | ||
|---|---|---|
VSantivirus No. 205 - Año 5 - Lunes 29 de enero de 2001 Nombre: W95/Prizm (Chernobil2) Tipo: Virus infector de archivos PE (Win32) Alias: Chernobil2, Win95.Prizm, Win9x.Chazhma Fecha: 3/nov/00 Origen: Rusia Tamaño: 4,608 bytes Es un peligroso virus de Windows 9x, residente en memoria, parásito y polimórfico. Infecta ejecutables PE (Win32), con las extensiones .EXE y .DLL. Instalado en memoria, la parte residente es capaz de infectar todos los archivos en ese formato, que son abiertos o ejecutados por Windows. Cuando se ejecuta desde un archivo previamente infectado, el virus busca todas las aplicaciones que se están ejecutando, localiza los nombres de los archivos relacionados, e intenta infectarlos. Cuando se produce la infección, el virus escribe su código al final de los archivos infectados, y modifica el punto de entrada en el correspondiente cabezal (header) de la víctima. También agrega allí la cadena "SpAm", la que utiliza como identificador. Los archivos infectados aumentan su tamaño en 4,608 bytes. Para permanecer en memoria, el virus cambia al modo kernel (el corazón de Windows), pasando de Ring3 a Ring0 (partes muy sensibles del código operativo) y se asigna un bloque de memoria. Cuando el virus salta a la memoria recientemente asignada, su código se ejecuta entonces como una rutina del kernel (Ring0, el corazón del sistema), y el virus puede interceptar las llamadas a todos los archivos de Windows (esto no es posible en Ring3, donde se ejecutan las aplicaciones de los usuarios). Algo muy similar a lo que hacen virus como el CIH, Babylonia, y otros. El virus se engancha entonces a las interrupciones INT 21h del DOS, a las llamadas a las APIs de IFS (funciones de acceso al disco) y a las rutinas de mensajes del sistema (broadcast messages). La INT 21h (que corresponde a múltiples funciones usadas por el DOS) es usada por el virus solo para comprobar que él mismo está en memoria y no volver a instalarse. Los ganchos a los APIs de IFS, interceptan el acceso y apertura de cualquier archivo. El virus pasa entonces el control a la rutina de infección, la cuál infecta todos los archivos Win32 .EXE y .DLL cuando estos son abiertos. Los ganchos a las rutinas de mensajes del sistema (broadcast messages), detectan si existe un nuevo disco en la unidad de CD. En este caso, el virus intenta ejecutar un comando para escribir datos en el disco insertado. Esto es un intento de destruir los discos usados en una grabadora de CD, pero falla debido a un bug del código del virus, y nunca llega a destruir un disco. Los días 1, 11, 13 y 26 de cualquier mes, al ejecutarse cada programa o librería infectada, el virus borra al azar un sector de cada unidad lógica (los sobreescribe con su propio código), y despliega una "pantalla azul de la muerte" con este mensaje:
Fuente: Kaspersky, McAfee |
||
