Eerste Windows 64-bit virus opgedoken

Bij Symantec maakt men melding van het eerste virus dat specifiek op 64-bit-systemen gericht is. W64.Rugrat.3344 infecteert enkel 64-bit-computers en vormt geen enkel gevaar voor 32-bit-applicaties en -platformen. Aangezien deze 64-bit-computers nog niet zo verspreid zijn is het risico op besmetting niet zo groot, al wordt er toch aangeraden van virusdefinities bij te werken. W64.Rugrat.3344 is dan ook hoofdzakelijk een proof-of-concept. De schrijver van dit stukje malware wou vooral aantonen dat 64-bit-platformen ook vatbaar zijn voor infecties en misbruikt kunnen worden. Aangezien er verwacht wordt dat het aantal gebruikte 64-bit-systemen spectaculair zal stijgen, valt dus te verwachten dat het niet bij dit ene virus zal blijven.

Reacties (39)

[Sluuut]

Logisch toch, zolang mensen kunnen programmeren kunnen mensen ook virussen schrijven.

Ennuh, hoe komen ze erbij dat de schrijven van dit virus vooral wou laten zien dat het mogelijk was? Stond dat in de source ofzo??

[Olaf van der Spek]

The virus author is also the author of a number of other proof-of-concept viruses. These are collected under the name W32.Chiton.gen.

http://securityresponse.symantec.com/avcenter/venc/data/w32.chiton.gen .html

[botervlieg]

die is goed !

[Da_DvD]

Wat ik mis in dit nieuwsbericht is dat dit niet zozeer een 64-bits virus is, maar een IA64 (Itanium) virus.

Symantec said it was not expecting widespread copycats of W64.Rugrat.3344, since the affected assembly code requires fairly advanced technical knowledge. Symantec said W64.Rugrat.3344 was created in IA64 (Intel Architecture) assembly code and infects IA64 executable files, excluding .dll files"

Hier: http://zdnet.com.com/2100-1105_2-5221949.html

EDIT: oeps, kingfinn niet gezien

[Mister I]

Zo veel anders is 64 bits niet, dus zoveel zullen de virussen niet veranderen, qua programmering

[^Mo^]

Zou er ook een W32.Rugrat.3344 zijn? Dit is dan gewoon een upgrade!


Trouwens, een 32-bit systeem is niet helemaal veilig van dit virus, volgens Symantec:

Note: A true 64-bit computer is not required for this virus, as it can be run on a 32-bit computer that is using 64-bit simulation software.

www.headliner.nl/headliner.php?c=us&id=2132&abbr=symantec

[PowerFlower]

Ehm ja. Op die manier is mijn PC ook vatbaar voor de bugs in ZX Spectrum programma's ("as they can be run on a 32-bit computer that is using ZX Spectrum simulation software")

[Verwijderd]

Neen maar bvb met de NX-bit willen AMD,Intel,Microsoft ons laten geloven dat alles weer een stuk veiliger is dan vroeger.

[Countess]

NX-bit is alleen gericht tegen buffer-overflow exploits
een van de meest voorkomende dat wel maar niet alle virus/wormen gebruiken die om een systeem binnen te komen.

[Olaf van der Spek]

Het wordt ook iets veiliger, maar dat zegt niks over de (absolute) veiligheid zelf.

[M@rijn]

En waar gaat het dan met onze privacy heen?

[Olaf van der Spek]

Wat heeft dit met (onze) privacy te maken?

[MarElo]

Hoezo word het veiliger ?
Voor elk platform schrijven ze wel wat,hoe populairder hoe meer.

[HaterFrame]

Wat is mis in dit bericht is: Wat doet dit virus nou precies?

[kingfinn]

W64.Rugrat.3344 is a direct-action infector--it exits memory after execution--of IA64 Windows Portable Executable (PE) files. These PE files include most 64-bit Windows programs other than .dlls.

The virus infects files that are in the same folder as the virus and in all subfolders. It is the first known virus for 64-bit Windows, and it uses the Thread Local Storage structures to execute the viral code. This is an unusual method of executing code.

It does not infect 32-bit Portable Executable files, and it will not run on 32-bit Windows platforms. The virus is written in IA64 assembly code.

[Verwijderd]

Wat is mis in dit bericht is: Wat doet dit virus nou precies?

Je kunt het zelf uitproberen met 64-bit simulatie software

[xbassiex]

Je computer verkloten

[Cybje]

Maakt dit virus ook nog nuttig gebruik van de 64 bits, oftewel heb je enige performance winst? Dan schiet je er ook nog wat mee op !

[Freee!!]

Voor iets meer info, zie ook http://www.theregister.co.uk/2004/05/28/itanic_virus/ in The Register.

[tweakerbee]

Van dezelfde auteur ook verschenen:

W32.Gemini
W32.Gemini is a memory-resident infector of all Windows Portable Executable applications in all folders on all local and mapped network drives. It is the first known virus for Windows that, to prevent termination of the viral process, maintains two instances of itself executing simultaneously.

Met name deze techniek is erg hinderlijk. Je kunt in Windows zelf de processen dan eigenlijk niet meer afschieten. En als het dan zo'n virus is wat ook nog eens regedit afsluit moet je toch echt aan de slag met een BartPE bootdisk of zo.

[regmaster]

[paranoia modus]
Valt niemand het op dat de Anti-Virus Software makers vaak voor het uitbrengen van een nieuwe versie van hun software ineens allerlei nieuwe virussen ontdekken?
Zouden ze de meeste virussen soms zelf produceren kun je je afvragen. Op zich logisch want de omzet schiet daarmee wel omhoog. Zolang je er maar voor zorgt dat zo'n virus niet terug te tracen is naar het bedrijf lopen ze geen risico.
So, why not?
[/paranoia modus]

[Verwijderd]

Aangezien er verwacht wordt dat het aantal gebruikte 64-bit-systemen spectaculair zal stijgen, valt dus te verwachten dat het niet bij dit ene virus zal blijven.

Dit is een logisch gevolg, bijvoorbeeld op dit moment zie je op OSX ook steeds meer virussen/worms hun nasty kop opsteken. Dus hoe meer er van een succesvol product wordt verkocht/gebruikt hoe sneller er meer virussen worden verspreid.

[BTB]

Maar Win64 zal toch ook wel backwards compatible zijn, zodat het alle Win32 virussen ook ondersteunt? Marketing-technisch zie ik dus niet het voordeel van een Win64-virus, er is veel meer vraag naar Win32-virussen.