Casino.D | ESET NOD32 Antivirus

Erstellt am: 2008-01-30, 16:05:16

Modifiziert am: 2008-01-30, 16:05:16

Plattform: MS-DOS

Typ: Virus

Größe: 2330

Datum: 1991

Gefährdete Betriebssystem(e): DOS

Bezeichnungen

Die verschiedenen Antiviren-Programme können die einzelnen Viren, Würmer mit unterschiedlichen Namen bezeichnen. Es kann vorkommen, dass ein Virenschutzsystem die verschiedenen Exemplare eines bestimmten Schadprogramms unter verschiedenen Namen identifiziert. Es ist aber auch möglich, dass verschiedene Viren, Würmer mit dem gleichen Namen bezeichnet werden. In der folgenden Liste sind die Bezeichnungen der meist verbreiteten Virenschutzprogramme zur Information angeführt, die sich natürlich selbst bei den verschiedenen Varianten des jeweiligen Virenschutzprogrammes unterscheiden können.

Die Bezeichnungen des Schadprogramms MS-DOS/Casino.D Virus heißen laut einzelner Virenschutzprogramme:

Antivirus	Bezeichnung
Avast	Casino-2331
AVG	Casino
BitDefender	Casino.2330.D
e-Trust	Casino
F-PROT	Casino.2330.D
F-Secure	Virus.DOS.Casino.2330
Ikarus	AdWare.Win32.Casino.2330f
Kaspersky	Virus.DOS.Casino.2330
McAfee	Casino.2330(Virus)

Antivirus	Bezeichnung
Microsoft	DOS/Casino.2330
NOD32 (ESET)	Casino.D
Norton Antivirus	Casino
Panda	Casino
Rising Antivirus	Casino
Sophos	Casino-b
Trend Micro	CASINO
VirusBuster	Casino.2330.D

Infizierung

Wichtigstes Ziel der Virenfunktion ist die Infizierung anderer Programmbereiche. Diese Programmbereiche können Programmdateien, Programmcode enthaltende Sektoren (Bootsektor, MBR - master boot record). Die einzelnen Viren führen die Infizierung mittels verschiedener Verfahren in den einzelnen Bereichen durch. Es kann auch vorkommen, daß der Virus-Code für die Infizierung einzelner speziellen Bestände (beispielsweise COMMAND.COM) gesonderten Algorithmus enthält.

Infizierung der COM-Dateien

Der Programmcode der Viren nimmt einen meßbaren Platz in den Dateien, Bootsektoren, im MBR bzw. in den Sektoren der Diskette oder Festplatte ein. Diese Größe stimmt mit der tatsächlichen und sichtbaren Größenzunahme nicht immer überein, da auch sonstige Einflüsse mitwirken. So zum Beispiel, wenn der Virus kleinere oder grőßere Programmabschnitte in der Datei mit seinem Code überschreibt, oder wenn er in den Lücken des virustragenden Programms seinen Code ablegt. Es kann auch vorkommen, daß der Schädling die infizierten Dateien bis zur Segmentgrenze mit irgendwelchem (meist neutralem) Inhalt füllt. In vielen Fällen kann nur den Anzahl der belegten Sektoren statt der tatsächlichen Größe des Virus-Code angegeben werden. Bei Schädlingen, die gleich mehrere Zielobjekte infizieren, kann oft vorkommen, daß die Größe des Virus-Codes in den COM- und EXE-Infizierungen aufgrund der unterschiedlichen Struktur der jeweiligen Dateien anders ist, bzw. die Bootviren und Multitarget-Viren, die auch den MBR und den Bootsektor infizieren, haben eine andere Größe im Bootsektor der Diskette, als im MBR, oder gar in den COM- und/oder EXE-Dateien.

Der Schädling / überschreibt mit seinem Virus-Code bei der Infizierung: 4 Byte am Anfang der infizierten Programmdateien, um die Steuerung auf den eigenen Programm-Code zu lenken. Infolge der Überschreiung kann der Originalinhalt des infizierten Bestandes nicht mehr zurückgestellt werden.

Das Ablegen des Virus-Codes in dem virustragenden Programm ist besonders interessant, da bei der Virenentfernung das Reinigungsprogramm genau wissen muß, woher und wie große Details es auszuschneiden hat. Bei Bootviren kann der über 512 Byte (1 Sektor) große Programm-Code nur noch in weiteren Sektoren abgelegt werden, die zu finden ohne konkreten Kenntnis des Virus-Code ist ziemlich schwierig.

Der Virus-Code wird am Ende der infizierten Datei(en) gesetzt, am Anfang des Programms wird nur ein Sprungbefehl geändert, damit beim Start des virustragenden Programms zuerst der Virus-Code ablaufen soll, dann springt er auf den originalen Eintrittspunkt zurück.

Ein erheblicher Teil der Viren kennzeichnet in einer Weise die infizierte Datei. Dadurch wird gezeigt, daß der betreffende Bestand bereits infiziert ist, er braucht diesen nicht noch einmal zu infizieren. Andernfalls führt die wiederholte Infizierung zur unerwünschten Dateivergörßerung und verlangsamt das System.

Der Schädling markiert die bereits erfolgreich infizierten Dateien mit dem, beim 1 Offset abgelegten 90 Wert, um das mehrfache Infizieren vermeiden zu können.

Die Virusverfasser bemühten sich von Anfang an um das Verbergen ihrer Programme. In diesem Interesse verschlüsseln sie das Virusprogramm, bzw. es wird mit einer Dienstleistung versehen, wodurch sich der Code von Infizierung zur Infizierung ändert. Auch das Maß ist variabel, und der Stufe der Mehrgestaltung entsprechend können wir polimorf, oligomorf und metamorf Schädlinge unterscheiden. Typisch für die Codierung in den oligomorf, bzw. polimorf Schädlingen (und für den Schädling) ist auch das indegrierte decdierende Verfahren (dekriptor), das in den meisten Fällen von den weiteren Teilen des Virus-Codes gut abgesondert werden kann.

Der Programm-Code des Schädlings Virus ist verschlüsselt.

Ein Teil der Viren wendet schleichende Technik an, d.h. der speicherresidente Virus ist bemüht, um seine Anwesenheit zu tarnen, glaufhaft zu machen, daß das System virenfrei sei. In einfacherem Fall werden die durch die Infizierung verursachten Veränderungen betreffs Größe, Datum usw. Vor den Programmen des Operationssystems und vor den Anwenderprogrammen verborgen, es kann aber auch vorkommen, daß der ganze Programmbereich vor der Infizierung simuliert wird.

Der Schädling Virus verbirgt die in den datumbezogenen Dateieinträgen eingetroffenen Änderungen.

Tätigkeiten

Jeder Virus, Wurm macht, was er will, bzw. die vom Programmierer programmierten Funktionen. Manche Viren, Würmer verbinden ihre Tätigkeit (Strafrutine) mit einem Ereignis, meistens mit einem Zeitpunkt.

Bedingung	am 15. Januar, am 15. April and am 15. August
Tätigkeit	wird der abgebildete Bildschirm angezeigt, und der Schädling läßt ein Spiel ablaufen

Bedingung

beim Gewinnen

Tätigkeit

stürzt der Computer
stellt er die zeitweilig überschriebene Bootsektor und die FAT-Tabelle zurück
werden die hier angegenen Meldungen angezeigt:
BASTARD !
You`re lucky this time - but for your own sake, now
SWITCH OFF YOUR COMPUTER AND DON`T TURN IT ON TILL TOMORROW !!!
No Fuckin` Chance; and I`m punishing you for trying to trace me down !
HA HA !! You asshole, you`ve lost: say Bye to your Balls ...

Bedingung	falls das Spiel unterbrochen wird oder man verliert es
Tätigkeit	stürzt der Computer

Die Methoden des Infizierens

Der in den Speicher gelangte Virus infiziert dann, wenn ein entsprechendes Zielobjekt in sein Blickfeld kommt. Abhängig von überwachtem Abbruch und dem Code des Virenprogramms können wir Viren unterscheiden, die beim Ablauf der Programmdateien infizieren, andere beim Öffnen oder Schließen, beim Kopieren, Lesen oder Schreiben der Dateiern, eventuell bereits bei der Abfrage des Inhaltsverzeichnisses, und es kommt nicht selten vor, daß wir Kombinationen der oben aufgeführten antreffen. Folgende Funktionen der sich an die Datei und Operationen anfügenden Unterbrechungen benutzt er zur Verbreitung des Virus-Code:

Durchführung von Dateien
Laden von Dateien
Dateisuche (erste)
Nächste Datesuche
Abfrage vom freien Speicherplatz

Der Schädling ist in der Lage, auch die nur lesbaren (read only) Dateien zu infizieren.

Memory

Der größere Teil der Viren gelangt auf residenter Art in den Speicher, es gibt jedoch welche, die als direkt infektiöse (auf Parasitenart) nach Ablauf des eigenen Programmcodes dem virustragenden Programm die Steuerung zurückgeben und den Speicher verlassen.

Der Schädling MS-DOS/Casino.D Virus ist speicherresident.