Wenn man einen Virus einschleusen will, dann muss dieser ein paar Regeln erfüllen
- Er muß so neu sein, dass ihn keiner erkennt
- Er muß unverdächtig sein
- Er muß unbemerkt arbeiten
Diese Regeln erfüllt ein Virus, der jetzt auf meinem Testsystem aufgeschlagen ist.
Die 225.280 Byte große Datei trägt den harmlosen Namen svchost.exe. Diesen Namen trägt auch eine wichtige Systemdatei von Windows.
Sie legt sich ab unter C:\Windows\svchost.exe
Netter Versuch… aber korrekterweise gehört diese Datei ins Systemverzeichnis von Windows! Und nicht in den Windows-Hauptordner selbst.
Und dann trägt sich das Teil doch frecherweise in die Autostartgruppe ein…
Das machte den Virus verdächtig. Ebenfalls verdächtigt war dann, dass diese Datei so neu war, was das Erstellungsdatum betrifft. Sie sollte schon so alt wie Windows sein.
Virustotal jedenfalls schlug Alarm:
Antivirus Version Update Result AhnLab-V3 2007.3.22.0 03.21.2007 no virus found AntiVir 7.3.1.44 03.21.2007 no virus found Authentium 4.93.8 03.20.2007 no virus found Avast 4.7.936.0 03.21.2007 no virus found AVG 7.5.0.447 03.21.2007 no virus found BitDefender 7.2 03.21.2007 no virus found CAT-QuickHeal 9.00 03.20.2007 no virus found ClamAV devel-20070312 03.21.2007 no virus found DrWeb 4.33 03.21.2007 no virus found eSafe 7.0.14.0 03.20.2007 no virus found eTrust-Vet 30.6.3497 03.21.2007 no virus found Ewido 4.0 03.21.2007 no virus found FileAdvisor 1 03.21.2007 no virus found Fortinet 2.85.0.0 03.21.2007 suspicious F-Prot 4.3.1.45 03.20.2007 no virus found F-Secure 6.70.13030.0 03.21.2007 W32/Malware.LZM Ikarus T3.1.1.3 03.21.2007 no virus found Kaspersky 4.0.2.24 03.21.2007 no virus found McAfee 4988 03.20.2007 no virus found Microsoft 1.2306 03.21.2007 no virus found NOD32v2 2132 03.21.2007 no virus found Norman 5.80.02 03.21.2007 W32/Malware.LZM Panda 9.0.0.4 03.21.2007 Suspicious file Prevx1 V2 03.21.2007 no virus found Sophos 4.15.0 03.13.2007 no virus found Sunbelt 2.2.907.0 03.16.2007 VIPRE.Suspicious Symantec 10 03.21.2007 no virus found TheHacker 6.1.6.078 03.20.2007 no virus found UNA 1.83 03.16.2007 no virus found VBA32 3.11.2 03.21.2007 no virus found VirusBuster 4.3.7:9 03.21.2007 no virus found Webwasher-Gateway 6.0.1 03.21.2007 Virus.Win32.FileInfector.gen (suspicious)
Aditional Information File size: 225280 bytes MD5: c182282c37890c6878a9304962d6d137 SHA1: bf7a5e4b86c05510eca42b9f66276b381d028109 Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.
Jotti leider nicht so
AntiVir ArcaVir Avast AVG Antivirus BitDefender ClamAV Dr.Web F-Prot Antivirus F-Secure Anti-Virus Fortinet Kaspersky Anti-Virus NOD32 Norman Virus Control Panda Antivirus VirusBuster VBA32
Und auch mein derzeitiger Scanner, Avast Free Edition, ließ die Datei gänzlich unbeeindruckt. (OK, das wird schnell geändert sein, ich habe ihnen den Virus geschickt).
Im Update werde ich Euch dann verraten, um was es sich handelt…