बिना प्रोग्रामिंग के वायरस

परिचय

एक अच्छा दोस्त, अपने खाली समय में कंप्यूटर की मरम्मत कर रहा था, एक और वायरस को पकड़ा। लोकप्रिय एंटीवायरस ने इसका पता नहीं लगाया, जो बिल्कुल आश्चर्य की बात नहीं है और जल्द ही आप समझ जाएंगे कि क्यों।

यह प्रक्रिया विंडोज टास्क मैनेजर से छिपाई गई थी, लेकिन ऑस्लोनिक्स टास्क मैनेजर ने इसे सिस्टम 32 सिस्टम निर्देशिका में स्थित upp1.exe के रूप में प्रदर्शित किया। इसके अलावा, अगर OS ​​64-बिट या C: \ Windows पर स्थापित नहीं है, तो अभी भी C: \ Windows \ System32 में वायर स्थापित है, तदनुसार गैर-मौजूद निर्देशिका बना रहा है। प्रक्रिया स्टार्टअप सूची में थी और ऑटोरन का उपयोग करके शाखा को हटा दिया गया था। लेकिन जैसे ही ऑटोरन बंद होता है, वायरस की एक नई प्रति जिसे upp2.exe कहा जाता है, लॉन्च हो जाती है। यदि आप इसे हटाते हैं, तो rundl132.exe प्रकट होता है और इसी तरह एक सर्कल में। जाहिर है, वे खुद को शुरू करते हैं और प्रक्रिया की अनुपस्थिति के लिए एक चेक बनाया जाता है। यह बहुत सरलता से तय किया गया था - प्रक्रिया पेड़ को मारकर।

अध्ययन

पहली चीज़ जो मैंने देखी, वह निष्पादन योग्य फ़ाइलों के आकार की थी, जो प्रत्येक एक्स के लिए 1 एमबी से थोड़ी अधिक थी। मुझे संदेह है कि कम से कम एक स्वाभिमानी वायरस लेखक इसके लिए सक्षम है।

चलो और अधिक दिलचस्प पर चलते हैं। हेक्स संपादक में एक निष्पादन योग्य फ़ाइलों को लोड करने के बाद, मैंने इसे अंत से जल्दी से जांचना शुरू कर दिया ... और अंत से व्यर्थ नहीं!

फ़ाइल के अंत में UTF-8 एन्कोडिंग में पाठ की कई सौ लाइनें थीं:


मेरा HEX संपादक UTF-8 एन्कोडिंग का समर्थन नहीं करता है, इसलिए मैंने एक पाठ फ़ाइल के रूप में निष्पादन योग्य खोला:


इस पाठ के बीच, मैं निम्नलिखित में रुचि रखता था:


ठीक है, देखो "Algorithm2" क्या है। लेखक की साइट से वर्णन: " एल्गोरिथम 2 घर पर कार्यक्रम और गेम बनाने के लिए एक निशुल्क कार्यक्रम है! इसकी मदद से, कोई भी बिना किसी प्रोग्रामिंग ज्ञान के कार्यक्रम बना सकता है। "
किसी भी कोड को दर्ज किए बिना माउस के साथ एक एप्लिकेशन डेवलपमेंट वातावरण जैसा कुछ। .NET का उपयोग करके लिखा गया है। मैंने उस साइट पर लिंग नहीं किया, डाउनलोड करने और उदाहरणों को देखने के बाद, मैंने IL disassembler में upp1.exe लॉन्च किया:


दुर्भाग्य से, वर्गों और नाम स्थान के अलावा, कुछ भी दिलचस्प नहीं मिला।

इसके अलावा, यह पता चला कि प्रक्रिया microsoft.com से MDAC_TYP.EXE डाउनलोड करती है। मैं मान सकता हूं कि मैलवेयर एमडीएसी के साथ अपडेट और काम कर सकता है।

System32 में, upp1.ver, upp2.ver फाइलें और इंजन निर्देशिका बनाई जाती हैं। रनटाइम में इंजन डायरेक्टरी में, मुझे g.obo, gm.obo, k.obo, ki.obo, t.obo की फाइलें मिलीं, जिनमें एन्क्रिप्टेड जानकारी के टुकड़े थे, जिन्हें मैं डिक्रिप्ट नहीं कर सका:

9tcLzYklFri4ABxuu0spYAad5Ed13rA + HUwS6 + fz3d 1JTRrhQ3eqHF4MwCU2k5pfE2FiOR6jz8 + NLOtK5YyIjBBo7RodD / 8r2G1KapUdSWfBzmH IauGuEQ53iweGHB3ooaFZVZwjeX2QMmWqPauhKidIJxBQeNT3LSzxYtZhlO4 =
9tcLzYklFri4ABxuu0spYAad5Ed13rA + HUwS6 + fz3d1JTRrhQ3eqHF4MwCU2k 5pfEfFiOR6jz8 + NLOtK5YyIjKRrAub + hCDBr98Xrr3X

और अन्य

निष्कर्ष

शायद यही सब है। अगर किसी को "खुदाई" में रुचि है, तो कृपया - system32.zip (पासवर्ड system32 )। मैं क्षमा चाहता हूं कि इतनी कम जानकारी अन्य लोगों के अनुप्रयोगों के विश्लेषण में कभी दिलचस्पी नहीं ले रही है और मुझे इसमें कोई अनुभव नहीं है।

यह सब दुखद है: बिना किसी प्रोग्रामिंग के लिखा गया वायरस, जिसका वजन 1 एमबी से अधिक हो, और यहां तक ​​कि .NET की आवश्यकता हो।