WinHLP.Demo

Jest to pierwszy znany program infekuj膮cy pliki Windows32 HLP. Funkcjonuje i mno偶y si臋 jako skrypt pomocy systemu Windows, zakorzeniony w strukturze pliku pomocy.

Podczas otwierania zainfekowanego pliku HLP, system pomocy systemu Windows przetwarza skrypt wirusa i uruchamia wszystkie zawarte w nim funkcje. U偶ywaj膮c triku wirus zmusza system pomocy do uruchomienia specjalnie przygotowanych danych jako binarnego programu Windows32. Dane te s膮 zawarte w jednej z instrukcji w skrypcie wirusa i s膮 polimorficzn膮 funkcj膮 startow膮, kt贸ra tworzy g艂贸wn膮 funkcj臋 infekuj膮c膮 i uruchamia j膮. Funkcja infekuj膮ca jest zwyk艂膮 procedur膮 Windows32 i jest uruchamiana jako aplikacja Windows32.

Po uruchomieniu funkcja infekuj膮ca przejmuje kontrol臋, skanuje j膮dro Windows (KERNEL32.DLL za艂adowany do pami臋ci Windows) i pobiera z niego adresy potrzebnych procedur. Nast臋pnie funkcja infekuj膮ca wyszukuje wszystkie pliki pomocy w folderze bie偶膮cym i zara偶a je.

Podczas infekowania wirus modyfikuje wewn臋trzn膮 struktur臋 pliku HLP, dodaje sw贸j skrypt do obszaru "SYSTEM", konwertuje sw贸j kod do polimorficznej funkcji startowej i umieszcza j膮 w skrypcie.

Przed uruchomieniem swojej funkcji infekuj膮cej oraz po zako艅czeniu infekcji wirus wy艣wietla informacje:

HLP.Demo
Trying to infect 

HLP.Demo
Script comes to end!