11 Апреля 2006 16:04 11 Апр 2006 16:04 |

Поделиться

Вирус Bi поражает Windows и Linux

"О тенденции бурного развития кроссплатформенных вирусов в ближайшем будущем говорить нельзя, — сообщили CNews в «Лаборатории Касперского». — Это всего лишь второй кроссплатформенный вирус в этом году (первым был пресловутый Cxover для PC/мобильных устройств). Все они создаются в настоящее время исключительно с демонстрационной целью. Нам очевидно, что классические файловые вирусы «умерли», в них нет ничего, что может заинтересовать киберпреступников. Например, кроссплатформенных троянцев мы еще не встречали. Сейчас, на наш взгляд, андеграунду не нужны кроссплатформенные вещи, им хватает и еще надолго хватит сотен миллионов пользователей Windows".

Так как Linux и Windows имеют разные форматы исполняемых файлов (ELF и PE соответственно), то код вируса содержит функции заражения файлов обоих типов. Под Linux вирус использует системные вызовы через INT 80 и внедряет свое тело после ELF-заголовка файла перед секцией «.text», изменяя точку входа оригинального файла. Зараженные файлы помечаются в заголовке файла по смещению 0Bh двухбайтовой сигнатурой 7DFBh.

На Win32 вирус использует функции Kernel32.dll. В PE-файлы вирус внедряется путем добавления тела в последнюю секцию. Управление вирусу передается также путем изменения точки входа. Зараженные файлы помечаются той же сигнатурой, но используют для этого поле PE-загловка «TimeDateStamp».

Зараженные файлы содержат строки: «[CAPZLOQ TEKNIQ 1.0] © 2006 JPanic: This is Sepultura signing off… This is The Soul Manager saying goodbye… Greetz to: Immortal Riot, #RuxCon!». Кроме того, сам инфектор содержит строки: «[CAPZLOQ TEKNIQ 1.0] VIRUS DROPPER © 2006 JPanic [CAPZLOQ TEKNIQ 1.0] VIRUS SUCCESFULLY EXECUTED!».

Как с помощью ad-hoc инструмента снизить расходы на внедрение аналитики

Импортонезависимость

Новый вирус интересен, главным образом, благодаря своей кроссплатформенности. Какого-либо практического применения он не имеет и деструктивного функционала в данный момент в себе не несет, поскольку является типичным представителем концептуальных вредоносных программ, призванных продемонстрировать саму возможность своего существования.

Bi — коллекционный вирус, он был прислан в «Лабораторию Касперского» автором через третью сторону. В «дикой природе» новый код не встречается, и ни в каких странах пока не обнаружен.

Поделиться

Подписаться на новости Короткая ссылка