Win32/Simile вирусы: Құрылымы, жұмыс істеу принципі және анықтау ерекшеліктері
Simile (computer virus)
Win32/Simile вирусы – Windows жүйесіне зиян келтіретін, өз кодын өзгертетін қауіпті программа. «Mental Driller» жасаған, анықтау қиын. 2002 ж. пайда болды.
Ағылшыншамен салыстырыңыз: абзацты басыңыз — түпнұсқа терезеде ашылады. Абзац астындағы EN түймесі оны мәтін ішінде көрсетеді.
Кіріспе
Win32/Simile (Etap және MetaPHOR деп те аталады) – Microsoft Windows үшін ассемблер тілінде жазылған метаморфты компьютерлік вирус. Вирус 2002 жылдың наурыз айының басында ең соңғы нұсқасында шығарылды. Оны вирус жазушы "Mental Driller" жазған. Оның Win95/Drill (TUAREG полиморфты қозғалтқышын қолданған) сияқты бұрынғы вирустарын анықтау өте қиын болды. Вирус алғаш рет іске қосылғанда, ағымдағы күнді тексереді. Егер хост файл (вирустың жұққан файлы) User32.dll файлын импорттаса, онда 17 наурыз, маусым, қыркүйек немесе желтоқсанда хабарлама көрсетіледі. Вирустың нұсқасына қарай, мәтіндегі әр әріптің регистрі кездейсоқ түрде өзгереді. 14 мамырда (Израиль тәуелсіздік күні) жүйелік тілі еврей тіліне орнатылса, "Фаластинге бостандық!" деген хабарлама көрсетіледі. Содан кейін вирус өзін қайта құрайды. Бұл метаморфтық процесс өте күрделі және вирус кодынң шамамен 90% құрайды. Қайта құрудан кейін вирус барлық тұрақты және қашық дискілердегі папкалардағы орындалатын файлдарды іздейді. Файлдар үш деңгейден тереңдегі қосалқы папкада орналасса немесе папка атауы W әріпімен басталса, жұқпайды. Табылған әр файлды елемеу мүмкіндігі 50 пайызды құрайды. Файлдар F, PA, SC, DR, NO әріптерімен басталса немесе файл атауының кез келген жерінде V әрпі болса, жұқпайды. Атау сәйкестігінің әдісіне байланысты, кейбір басқа таңбаларды қамтитын файл атаулары да жұқпайды, бірақ бұл қасақана жасалмаған. Вирус "есік" немесе "bait" файлдарын (вирустарға қарсы бағдарламалармен жасалған файлдарды) жұқтырмау үшін тексерулерді қамтиды. Жұқтыру процесі вирус денесінің орналасуын және дешифраторды басқару үшін хост құрылымын, сондай-ақ кездейсоқ факторларды пайдаланады.
Win32/Simile (also known as Etap and MetaPHOR) is a metamorphic computer virus written in assembly language for Microsoft Windows. The virus was released in its most recent version in early March 2002. It was written by the virus writer "Mental Driller". Some of his previous viruses, such as Win95/Drill (which used the TUAREG polymorphic engine), have proved very challenging to detect. When the virus is first executed, it checks the current date. If the host file (the file that is infected with the virus) imports the file User32. dll, then on 17 March, June, September, or December, a message is displayed. Depending on the version of the virus, the case of each letter in the text is altered randomly. On 14 May (the anniversary of Israeli independence day), a message saying "Free Palestine!" will be displayed if the system locale is set to Hebrew. The virus then rebuilds itself. This metamorphic process is very complex and accounts for around 90% of the virus' code. After the rebuild, the virus searches for executable files in folders on all fixed and remote drives. Files will not be infected if they are located in a subfolder more than three levels deep, or if the folder name begins with the letter W. For each file that is found, there is a 50 percent chance that it will be ignored. Files will not be infected if they begin with F, PA, SC, DR, NO, or if the letter V appears anywhere in the file name. Due to the way in which the name matching is done, file names that contain certain other characters are also not infected, although this part is not deliberate. The virus contains checks to avoid infecting "goat" or "bait" files (files that are created by anti virus programs). The infection process uses the structure of the host, as well as random factors, to control the placement of the virus body and the decryptor.