«Лаборатория Касперского»: самый полиморфный вирус

11.06.2010

Модификация «ce» полиморфного заражающего вируса Virus.Win32.Virut на сегодняшний день занимает второе место среди всех Virus.Win32.*.*, детектируемых на компьютерах пользователей. Это одна из наиболее распространённых вредоносных программ, которая проникает на незащищённые компьютеры пользователей и заражает исполняемые файлы.

В последние годы инфицирование исполняемых файлов стало среди вирусописателей непопулярно, поскольку уровень их обнаружения с помощью эмуляции достиг высокого уровня. Однако разработчики Virut.ce этого не испугались и реализовали сложные методы ухода от детектирования путём антиэмуляции и полиморфизма.

Virut.ce интересен не столько своим вредоносным функционалом, который довольно банален, сколько разнообразием способов заражения файлов, полиморфизмом, обфускацией и т.д. До появления этой модификации Virut, практически не встречались вирусы, в которых были реализованы все те технологии, которые в нём используются. Встречаются сильно обфусцированные вредоносные программы, зловреды, использующие разнообразную антиэмуляцию, но в случае Virut.ce все эти механизмы работают в одном вирусе.

Код Virut.ce меняется при каждом заражении, используя механизм мутации, заложенный в самом вирусе. Кроме того, чтобы сбить детектирование, разработчики вредоносной программы дополнительно обновляют вирус в среднем раз в неделю. Virut.ce - единственный вирус, который изменяется подобным образом так часто. Мутирует не только тело вируса, но и его декрипиторы (расшифровщики).

В Virut.ce реализована технология сокрытия точки входа (Entry Point Obscuring), затрудняющая обнаружение точки перехода к телу вредоносной программы. При каждом заражении исполняемого файла применяется обфускация, что представляет ещё одну трудность при детектировании.

TOP20 детектируемых вирусов Январь 2009 — Май 2010

Как отмечает автор обзора, несмотря на такую «многосторонность» вредоносной программы, в настоящее время все продукты «Лаборатории Касперского» успешно детектируют и удаляют Virus.Win32.Virut.ce.

Данный обзор открывает серию публикаций «Сложные вредоносные программы». Автор материала - старший вирусный аналитик «Лаборатории Касперского» Вячеслав Закоржевский. С полной версией аналитической статьи «Обзор Virus.Win32.Virut.ce» можно ознакомиться на сайте компании.


Компания UCD Micros является официальным партнером Лаборатории Касперского и предлагает всю линейку лицензионных антивирусных программных продуктов данного разработчика – от домашних редакций «Антивирус Касперского» и «Kaspersky Internet Security» до корпоративных пакетов Kaspersky Open Space Security.
По вопросам покупки продуктов и правил лицензирования этого и других вендоров программного обеспечения обращаться по тел: 281-43-57, 281-43-59 или на e-mail software @ucd.uz