Статьи

По сообщениям специалистов компании Network Associates вирус написан на "Си" и частично зашифрован. Вирус работает под правами администратора домена и копирует себя на другие серверы и рабочие станции, подключенные к зараженному серверу. Вирус не распространяется в сетях Unix и Novell. Для распространения вируса необходимо, чтобы пользователь с правами администратора домена, вошел в сеть с зараженного сервера. Фактически вирус использует не столько ошибку в программном обеспечении или конфигурировании сети, сколько не соблюдение и/или не знание правил безопасности в сетях, базированных на Windows NT.
Краткая информация о вирусе, предоставляемая компанией Network Associates:
Название вируса: Remote Explorer
Дата обнаружения: 17 декабря 1998
Платформы: Windows NT Server/Workstation
Тип вируса: резидентный, кодирует EXE, TXT и HTML-файлы
Способ распространения: локальные/глобальные сети
Способ обнаружения вируса:
в списке активных сервисов присутствует "Remote Explorer"
в списке активных задач (TASKMGR.EXE) присутствует IE403R.SYS или TASKMGR.SYS (не EXE)
Характеристики вируса:
Отличительной чертой данного вируса является то, что он обладает способность распространяться без вмешательства/содействия пользователей, таких как электронная почта или флоппи-диски.
Первый вирус, способный распространяться на NT серверах и/или NT рабочих станциях
Вирус инсталлируется путем создания своей копии в каталоге драйверов Windows NT под именем IE403R.SYS. Для распространения и шифрования вирус использует DLL, которая при уничтожении воссоздается заново
Windows NT является основной платформой для распространения вируса. Другие Windows платформы способны содержать зараженные файлы, но сами инфекции не подвергаются
Заражаются любые EXE-файлы, после чего используется алгоритм компрессии GZIP
Вирус шифрует файлы TXT и HTML
Размер вируса 125 Кбайт (50.000 строк кода). По оценкам специалистов Network Associates на создание подобного вируса вирусописателю(лям) потребовалось не менее 200 человеко-часов
Для ускорения распространения вирус содержит алгоритм поиска и заражения, активизирующийся с 15:00 в субботу и прекращающийся в 6:00 следующего воскресенья.