“Ganda”病毒试图避开反病毒软件的检测

韩冰

『 Kaspersky 实验室』

一个新的狡猾的蠕虫病毒"Ganda" (I-worm.Ganda)最近显身，该病毒以邮件附件的形式传播，Ganda设法将自身组件嵌入在Win32 PE可执行文件中，并尽力避开反病毒软件的检测。 　　

Ganda病毒是一个45056字节大小的Windows PE可执行文件，它用汇编语言编写。 　　 在瑞典和英国发现，携带该病毒的邮件主题和正文有近十种不同的变化，使用的语言完全依赖与计算机系统设定，附件文件名通常是”XX.scr”，其中”XX”是“a-z”之间随机两个字母。

"Ganda"以许多大家感兴趣信息引诱接收者，并附加上“打电话，行动起来”引导读者进一步点击附件，以便执行病毒代码，它常用的迷惑性伎俩包括：

2 y& `: P& q" A N

* a promise to display an animation the FBI is "wants to stop" 　　邮件内容提醒用户该邮件包含有关美国中央情报局的特工人员“希望终止间谍侦察行动”的动画图片。

: D6 a8 q# ?# C$ d- [

*a screensaver that, once viewed, will make it hard for anyone to say George Bush is not an alien 　　也可能会是一个附带屏幕保护程序的邮件，提示用户无论任何人运行该程序都会欣赏到一个关于乔治.布什的有趣的屏保画面，而且看过之后都不得不承认乔治布什是一个行为怪异的另类人。

*several messages referring to nazi related themes 　　或者提示用户该邮件包含几则有关纳粹的最新消息。

*a screensaver showing an image captured by "one of the US spy satellites during one of it‘s missions over iraq" 　　还有可能是利用一张图片制作的屏幕保护程序，该图片是一副抓拍到的正在伊拉克领空执行特殊侦察任务的美国的某侦察卫星的特写镜头。

9 a2 l$ s) k9 C ^' I

同时"Ganda"病毒为了保护自己，以逃避反病毒软件的检测，一旦发现virus, firewall, f-secure, symantec, mcafee, pc-cillin, trend micro, kaspersky, sophos, norton.等字符的进程，立即中止该进程。 　　 欲了解更多的详细信息，请访问: 　　http://www.viruslist.com/eng/viruslist.html?id=59937

" \/ B; P i# q7 b& R$ `' k( q) k

韩冰

我觉得他说的都是中止反病毒软件的进程

ilikenba

同时"Ganda"病毒为了保护自己，以逃避反病毒软件的检测，一旦发现virus, firewall, f-secure, symantec, mcafee, pc-cillin, trend micro, kaspersky, sophos, norton.等字符的进程，立即中止该进程。

可是这些进程都是无法终止的系统进程呀！