Cімейство вірусів Virus.Sality.Win32
Virus.Sality.Win32 - сімейство поліморфних файлових вірусів, які використовують інфіковані файли й мережу для свого розповсюдження.
Методи поширення
Віруси цього сімейства заражають, файли що виконуються, з розширенням *.exe і *.scr на всіх доступних дисках, і мережевих ресурсах. Першими інфікується файли, указані в ключах реєстру які відповідають за автозавантаження, у результаті чого вірус буде автоматично активуватися при кожному перезавантаженні системи.
Функціональні можливості
Сімейство вірусів нараховує більш 50 модифікацій. Спільним для них є поліморфізм і швидке зараження файлів на комп'ютері. При зараженні комп'ютера вірусом із сімейства Sality часто опиняються зараженими кілька сотень або навіть тисяч файлів.
Основні можливості вірусу сімейства Sality :
- Відключає диспетчер завдань
- Забороняє редагування реєстру
- Відключає брандмауера Windows
- Забороняє Internet Explorer працювати в автономному режимі
- Забороняє відображення прихованих папок і файлів
- Відключає User Account Control
- Відключає завантаження комп'ютера в захищеному режимі
- Реєструє й запускає свою службу, для блокування доступу до сайтів антивірусних компаній
- Видаляє файли антивірусних баз
- Зупиняє служби й вивантажує з пам'яті процеси, що відносяться до антивірусних програм і Firewall
- Видаляє антивірусні програми й програми моніторингу
- Закриває програми, у заголовках яких містяться рядки, що вказують на приналежність до антивірусного програмного забезпечення.
- Впроваджує свій код на згадку всіх активних процесів.
Технічні особливості
Більша частина вірусів сімейства Sality інфікує PE (EXE) файли, для цього вірус розширює останню секцію PE файлу й дописує туди своє тіло. Для останньої секції встановлюються атрибути CODE EXECUTE, READ, WRITE.
Існують також модифікації віруса, що створюють додаткові секції в PE файлі, у які вони розміщають своє тіло.
Вірус є поліморфним, тому в кожному файлі код вірусу виглядає по-різному. Відмітною рисою є складний поліморфний алгоритм, яким віруси цього сімейства криптують своє тіло. Тіло вірусу може бути послідовно закриптовано декількома різними поліморфними алгоритмами.
Віруси цього сімейства містять помилки в свому коді, тому вони часто незворотьно ушкоджують файли при інфікуванні.
