VIRUS INFO
|
| Naziv
virusa: |
W32/Kriz.3862 |
| Alias:
|
Kriz |
| Tip: |
Win32
izvršni fajl virus |
| Način
širenja: |
startovanjem
zaraženog fajla |
| Veličina: |
zavisi
od samog zaraženog EXE fajla, nosioca virusa |
Destruktivan:
|
da |
| Datum
aktiviranja: |
25
decembra briše sadržini BIOS-a |
| Otkriven:
|
16.08.1999.
|
OBJAŠNJENJE
Ovo
je polimorfan virus koji inficira sve EXE
fajlove na sistemima koji imaju instaliran Microsoft
Windows 95/98 i NT.
Kada se zaraženi fajl pokrene virus ostane rezidentan
u virtuelnoj memoriji. Prilikom sledećeg startovanja
Windowsa virus kreira fajl C:\ WINDOWS \ SYSTEM
\ KRIZED.TT6 koji sadrži sam kod virusa. Posle
ovoga, virus prati koji se fajlovi startuju na
korisnikovom računaru i svaki EXE fajl
koji se pokrene, virus upiše svoj kod u njega,
tj. zarazi ga.
Virus
zameni nazive fajlova C:\ WINDOWS \ SYSTEM
\ KERNEL32.DLL u C:\ WINDOWS \ SYSTEM \
KRIZED.TT6 i obrnuto.
Pošto je zarazio KERNEL32.DLL, virus prati
sistemske funkcije:
CopyFileA, CopyFileW, CreateFileA,
CreateFileW, CreateProcessA, CreateProcessW,
DeleteFileA, DeleteFileW, GetFileAttributesA,
GetFileAttributesW, MoveFileA, MoveFileW,
MoveFileExA, MoveFileExW, SetFileAttributesA
i SetFileAttributesW uz pomoć kojih mu
je omogućeno da zarazi svaki startovani EXE
fajl.
Posle
ovoga, virus kreira fajl C:\ WINDOWS \ WININIT.INI
u koji postavi sledeći red:
[rename]
C:\ WINDOWS \ SYSTEM \ KERNEL32.DLL=C:\ WINDOWS
\ SYSTEM \ KRIZED.TT6.
Ovim
fajlom virus prilikom svakog sledećeg resetovanja
Windowsa zameni fajlove C:\ WINDOWS \ SYSTEM
\ KERNEL32.DLL u C:\ WINDOWS \ SYSTEM \
KRIZED.TT6 tako da korisnik ništa ne primeti.
Kada
se sledeći put računar startuje, virus će biti
učitan indirektno jer će do tada inficirati toliko
EXE fajlova da će korisnik sam učitati
virus ili će on već biti učitan prilikom sledećeg
startovanja Windowsa ili nekog drugog programa.
25 decembra
virus će pokušati da obriše sadržinu BIOS-a
i boot sektora. Ako uspe u tome, korisnik
prilikom sledećeg ukljucivanja neće moći
ništa da radi. BIOS je ROM
(Read Only Memory) ili PROM
(Programmable Read Only Memory)
čip na matičnoj ploči koji sadrži program
neophodan za startovanje računara. Kada
se računar uključi, BIOS direktno
proverava šta ima u računaru (procesor,
memorija, tastatura, video kartica, hard
disk…). Tek kada BIOS pročita
podatke iz CMOS-a svih uredaja
koji su priključeni, startuje se operativni
sistem sa diskete ili hard diska. Ako
je BIOS oštećen ili obrisan (na
bilo koji način), računar se neće uključiti,
samo će se čuti ventilatori. Po ovoj karakteristici
virus je sličan CIH
virusu.
Otkrivene
su i varijacije ovog virusa W32/Kriz.4050
i W32/Kriz.4092 koje su potpuno iste po
dejstvu i karakteristikama.
REŠENJE
Novi
BIOS koji odgovara Vašoj matičnoj ploči
i/ili držati stalno osveženi antivirusni
program.
|
