निर्देश MMX के साथ नई फ़ाइल वायरस

वियतनाम में कंप्यूटर सुरक्षा कंपनी Bkis के एक वायरस विश्लेषक, Nguyen Ngoc Dung ने अपने ब्लॉग में Sality परिवार फ़ाइल वायरस के नए संस्करण के उद्भव के बारे में लिखा है । फिलहाल, इस परिवार के वायरस सबसे तकनीकी रूप से उन्नत और सामान्य फ़ाइल वायरस में से एक हैं जो विंडोज उपयोगकर्ताओं के कंप्यूटरों को संक्रमित करते हैं।



इस बार स्थिति दिलचस्प है क्योंकि वायरस के मेटामॉर्फिक कोड में कुछ एमएमएक्स निर्देश (अल्टीमेट मीडिया ई एक्स टेंशन) हैं, जो पहले किसी भी मैलवेयर-इन्फ़ेक्टर में इस्तेमाल नहीं किए गए थे।







MMX के साथ नमस्कार



आमतौर पर, इस प्रकार के मैलवेयर के अन्य प्रतिनिधियों की तरह, सालिटी के पिछले सभी संस्करणों में केवल x86 कोड का उपयोग किया गया था। तिथि करने के लिए, x86 को सबसे अधिक एंटी-वायरस हेयुरेटिक्स द्वारा अनुकरण किया जाता है, क्रमशः एमएमएक्स का परिचय एमुलेटर के काम को जटिल करने और पता लगाने से बचने के लिए डिज़ाइन किया गया है।





MOVD मिमी, r / m32 निर्देश उत्पन्न करना



वायरस कोड में केवल कुछ MMX निर्देश होते हैं। हालांकि, मैलवेयर के विकास की गतिशीलता और नवाचार के स्तर को देखते हुए, किसी को बड़ी संख्या में एमएमएक्स कोड के साथ नए संस्करणों की उपस्थिति की उम्मीद करनी चाहिए। इसके अलावा, लवणता के नए संस्करण में, कोड का वह भाग जो इस मैलवेयर की विशेषता थी और हस्ताक्षर में उपयोग किया गया था, जबकि संचालनशीलता बनाए रखते हुए, उदाहरण के लिए:

R1 = [R2]





(R1 और R2 32-बिट रजिस्टर हैं [] एक मेमोरी सेल को इंगित करता है जिसका पता रजिस्टर में संग्रहीत है)



कोड बदलकर ::

R1= 0

R1 = R1 xor [R2]





या

R1 = 0

R1 = R1 or [R2]





या

R1 = 0

R1 = R1 + [R2]







इस प्रकार, यह निर्धारित करना और भी कठिन हो जाता है कि वायरस घटक को डिक्रिप्ट करने के लिए किस कोड का उपयोग किया जाता है, और कौन सा सामान्य कचरा है, जो रजिस्टर में महत्वपूर्ण जानकारी होती है, और जो बस डिसएस्पैशन को भ्रमित करता है। यह एंटीवायरस प्रोग्राम पर अधिक गंभीर मांग रखता है।



वर्तमान में, मैलवेयर का पता निम्न कार्यक्रमों द्वारा लगाया जाता है, विशेष रूप से, लेखक उत्पाद BKAV इसे W32.SalityVM.PE, और Kaspersky उत्पादों Virus.Win32.Sality.bh के रूप में पहचानता है।



कैसपर्सकी लैब से मुफ्त SalityKiller उपयोगिता के साथ प्रभावित फ़ाइलों को ठीक करने की गारंटी है।



UPD: निष्पक्षता में, मुझे यह कहना होगा कि मैलवेयर को KIS 2011 द्वारा परिभाषित किया गया था जिसे ट्रोजन.इन 32.Generic के रूप में देखा गया है, जो पूरी तरह से सालिटी परिवार की कार्यक्षमता से मेल खाता है।