Компьютерная вирусология ч. 1
страница №34
... ¦ет часть памяти, отведенной под буфера. ¦¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
529, ¦RС-529 ¦Ier¦1¦ ¦D ¦An Bn Cn Dn Ee Ihc Jn K1 Lx Mn Se ¦CCСР (Ленинград): весна 1989, Лозинский Д.Н.¦
Peterburg, ¦ ¦/ВП¦ ¦ ¦P ¦529 " LenC " +oo ¦Возможно, штамм RСЕ-1813,однако не исключено¦
Пакость-1 ¦ ¦ ¦ ¦ ¦B ¦B815CA8B361B01BF00018B0E1D018B1E19 ¦что наоборот - одна из ранних версий ¦
¦ ¦ ¦ ¦ ¦F ¦AIDSTEST, AV ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
13 месяц, ¦ С-534 ¦Ven¦2¦ ¦D ¦An Ba Cy Dm13 Ee Itc Jn K1 Li Mn Sc Za ¦Польша: 1988. ¦
Микро-88 ¦ ¦ ¦ ¦ ¦P ¦529 " LenC " MaxC ¦Штамм вируса С-648. При заражении программы¦
Toothless Virus, ¦ ¦ ¦ ¦ ¦B ¦D681C60000FCB90300BF0001F3A48BFAB4 ¦изменяет ее дату с установкой месяца на 13 ¦
(Беззубый), ¦ ¦ ¦ ¦ ¦M1¦F3 A4 8B FA B4 30 CD 21 3C 00 ¦(признак зараженности) В отличие от С-648 ¦
*# W13 ¦ ¦ ¦ ¦ ¦T1¦????????COM ¦заражает файлы только в текущем и корневом ¦
¦ ¦ ¦ ¦ ¦T2¦Мicrosoftyright ¦каталогах. ¦
¦ ¦ ¦ ¦ ¦T3¦Microsoft 1988 ¦ ¦
¦ ¦ ¦ ¦ ¦F ¦AV, -V, AIDSTEST ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
¦ 600, ¦ RC-600 ¦Ier¦1¦ ¦D ¦An Ba Cy Dn Ee Ihc Jn K1 Li Mc Se ¦Днепропетровск, май 1990, А.Сесса. ¦
¦ Пакость-2 ¦ ¦ ¦ ¦ ¦P ¦600 "LenC "+60000 & Atr != RH ¦Штамм RCE-529. Обработчик аномальных ¦
¦ ¦ ¦ ¦ ¦ ¦H ¦21 ¦завершений содержит ошибку из-за которой ¦
¦ ¦ ¦ ¦ ¦B ¦BE1001B932008A2480F4DD882446E2F6 ¦иногда выдаются сообщения Abort, Retry ... ¦
¦ ¦ ¦ ¦ ¦T1¦ctsqu ¦Часть тела вируса шифруется. ¦
¦ ¦ ¦ ¦ ¦T2¦I46+##* ¦ ¦
¦ ¦ ¦ ¦ ¦F ¦-V, K32, NEATFAG ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
*# VHP2, ¦ С-623 ¦Ven¦1¦ ¦D ¦An Bn Cn Ds62 Ee Itc Jn K1 Li Sp ¦СССР, 1989, Лозинский Д.Н. ¦
VHP-623, ¦ ¦ ¦ ¦ ¦P ¦10 " LenC " MaxC ¦Штамм вируса С-648. Отличается наличием ¦
Vienna-623 ¦ ¦ ¦ ¦ ¦B ¦B42FCD21891C8C4402B82435CD21899C8F00 ¦обработки ненормальных окончаний. В ¦
(Вена-623) ¦ ¦ ¦ ¦ ¦T1¦*.COM ¦"убиваемые" модули пишется вместо ¦
¦ ¦ ¦ ¦ ¦T2¦PATH= ¦перезагрузки переход по адресу C000:0000. ¦
¦ ¦ ¦ ¦ ¦T3¦????????COM ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
¦ ¦ C-644 ¦Vn ¦1¦ ¦D ¦An Bn Cn Dy Ee Itc Jn K1 Li Sc ¦СССР(Москва): Лозинский Д.Н. ¦
¦ ¦ ¦ ¦ ¦ ¦P ¦10 " LenC " MaxC ¦Первые 20 минут каждого часа заражает ¦
¦ ¦ ¦ ¦ ¦ ¦B ¦ ¦COM-файлы в текущем каталоге, при условии, ¦
¦ ¦ ¦ ¦ ¦ ¦T1¦*.COM ¦что он не является корневым. Портит время ¦
¦ ¦ ¦ ¦ ¦T2¦PATH= ¦создания файла ¦
¦ ¦ ¦ ¦ ¦T3¦????????COM ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
*$ Vienna-A ¦ С-648A ¦Ven¦5¦"¦D ¦Arbk Ba Cy Ds Ee Itc Jn K1 Li Sс Zb ¦Австрия, апрель 1988. СССР: август 1988 ¦
(Вена-А), ¦ ¦ ¦ ¦ ¦P ¦10 " LenC " MaxC ¦Поражает примерно каждый восьмой заражаемый ¦
DOS-62 ¦ ¦ ¦ ¦ ¦M ¦8BFE81C71F008BDE81C61F00 Штамм A ¦файл, так что при его запуске инициируется ¦
(ДОС-62), ¦ ¦ ¦ ¦ ¦M ¦8BFE83C71F908BDE83C61F90 Штамм B ¦перезагрузка MS DOS. При поражении ¦
Rebooter ¦ ¦ ¦ ¦ ¦I ¦FC8BF281C60A00BF0001B90300F3A4 ¦COMMAND.COM или программы, входящей в ¦
(перезагрузчик),¦ ¦ ¦ ¦ ¦+ ¦8BF2B430CD213C007503E9C701 ¦AUTOEXEC.BAT, происходит зацикливание на ¦
Time Bomb ¦ ¦ ¦ ¦ ¦J ¦51 ** ** ** FC 8B F2 81 C6 0A 00 BF 00 01 ¦перезагрузке MS DOS. Один из наиболее ранних¦
(часовая мина),¦ ¦ ¦ ¦ ¦T1¦*.COM ¦и распространенных в Европе и СССР вирусов. ¦
UNESCO(ЮНЕСКО)¦ ¦ ¦ ¦ ¦T2¦PATH= ¦Имеются многочисленные штаммы. Пик эпидемии ¦
Wiener (Винер)¦ ¦ ¦ ¦ ¦T3¦????????COM ¦в СССР отмечен в начале 1989 года. ¦
¦ ¦ ¦ ¦ ¦F ¦AIDSTEST, AV ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
IV-740 ¦ C-740 ¦IV ¦1¦ ¦D ¦An Ba Cy Dn Ee Ihc Km Li Mn Sc ¦Многократно заражает программы ¦
¦ ¦ ¦ ¦ ¦P ¦0 "LenC "+oo & Atr != RH ¦(см., также штаммы С-345 и С-847) ¦
¦ ¦ ¦ ¦ ¦B ¦8EC0FE060501BE000133FFB9E400F3A4BAF4BAF401¦ ¦
¦ ¦ ¦ ¦ ¦T1¦*.COM ¦ ¦
¦ ¦ ¦ ¦ ¦F ¦AIDSTEST, AV ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
IV-847, ¦ C-847 ¦IV ¦1¦ ¦D ¦An Babt Cy Dn Ee Ihc K1 Li Mn Sc ¦1988 ¦
*$ Amstrad Virus ¦ ¦ ¦ ¦ ¦P ¦0 "LenC "+oo & Atr != RH ¦Вместо исполнения зараженной программы ¦
(Амстрад) ¦ ¦ ¦ ¦ ¦M1¦1F BA 4F 03 B9 FF FF B4 ¦часто выдается сообщение T2 (см., также ¦
¦ ¦ ¦ ¦ ¦M2¦72 02 EB 36 76 BA 80 00 B4 1A CD 21 80 ¦штаммы С-345 и С-740) На Западе известна ¦
¦ ¦ ¦ ¦ ¦B ¦8EC0FE060501BE000133FFB94F01F3A4BAF4BA5F02¦модификация, в которой вместо сообщения T2 ¦
¦ ¦ ¦ ¦ ¦C ¦4ECD217260BA7D02B8023DCD21A31401 ¦выводится реклама компьютеров фирмы Amstrad ¦
¦ ¦ ¦ ¦ ¦T1¦*.COM ¦ ¦
¦ ¦ ¦ ¦ ¦T2¦Program sick error:Call doctor ¦ ¦
¦ ¦ ¦ ¦ ¦+ ¦ or buy PIXEL for cure description ¦ ¦
¦ ¦ ¦ ¦ ¦F ¦AIDSTEST, AV ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
¦ Bebe (Бебе) ¦ C-1024 ¦ ¦1¦ ¦D ¦Ab Bt Cy Dn Ee Itc K1 Li Mn Sc ¦СССР 1990 ¦
¦ ¦ ¦ ¦ ¦ ¦B1¦50 0E 8C C8 2E 01 06 0C 01 EA ¦Поражает файлы с расширением COM в текущем ¦
¦ ¦ ¦ ¦ ¦B2¦ ¦каталоге. Создает резидентную программу, ¦
¦ ¦ ¦ ¦ ¦T1¦г======== VIRUS ! ======¬ ¦по адресу 0000:01CE-0000:03EB, которая через¦
¦ ¦ ¦ ¦ ¦T2¦¦ Skagi "bebe" " ¦ ¦10 мин.после загрузки выводит на экран сооб-¦
¦ ¦ ¦ ¦ ¦T3¦L=======================- ¦щение T1-T3 и из-за ошибки зацикливается. ¦
¦ ¦ ¦ ¦ ¦T4¦Fig Tebe ! ¦Машину приходится перегружать кнопкой RESET ¦
¦ ¦ ¦ ¦ ¦T5¦*.COM ¦или выключением питания. ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
TP-5, ¦RCE-1206 ¦TP ¦3¦"¦D ¦An Bh Cy Dn Es Itp-tp Jj K12 Li Se ¦Болгария: начало 1989. ¦
Vacsina-5 ¦ ¦ ¦ ¦ ¦P ¦1212 " LenCE " MaxC & FIRST='E9' ¦EXE-файлы заражаются в два этапа: сначала ¦
(Вакцина-5), ¦ ¦ ¦ ¦ ¦H ¦21 ¦увеличиваются на 132 байта, "переделываясь" ¦
* Vacsina ¦ ¦ ¦ ¦ ¦M1¦17 26 C5 B5 00 01 83 C7 ¦из EXE в COM для системы (суффикс EXE не ¦
(Вакцина) ¦ ¦ ¦ ¦ ¦M2¦B8 01 43 8E 5E 0E 8B 56 06 2E ¦меняется), а затем заражаясь как COM-файлы. ¦
¦ ¦ ¦ ¦ ¦C ¦26A1C5003D7F39750826A0C7003C0573 ¦Поражаются файлы до 63К. Создает скрытый ¦
¦ ¦ ¦ ¦ ¦T ¦VACSINA ¦файл на диске. ¦
¦ ¦ ¦ ¦ ¦B ¦F47A05 ¦При заражении файла раздается звуковой сиг- ¦
¦ ¦ ¦ ¦ ¦F ¦AIDSTEST,AV,-V,K32 ¦нал (BELL). ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
TP-4, ¦RCE-1212 ¦TP ¦3¦"¦D ¦An Bmh Cy Dr Es Itp-tp Jj K12 Li Se ¦Болгария: начало 1989 (В.Бончев); ¦
Vacsina-4 ¦ ¦ ¦ ¦ ¦P ¦1212 " LenCE " MaxC & FIRST='E9' ¦СССР: весна 1989 (В.Котик). ¦
(Вакцина-4), ¦ ¦ ¦ ¦ ¦H ¦21 ¦Практически идентичен RCE-1805 (TP-5). ¦
* Vacsina ¦ ¦ ¦ ¦ ¦M1¦17 26 C5 B5 00 01 83 C7 ¦Произвольно изменяет дату создания файла. ¦
¦ ¦ ¦ ¦ ¦M2¦B8 01 43 8E 5E 0E 8B 56 06 2E ¦Создает скрытый файл на диске ¦
¦ ¦ ¦ ¦ ¦C ¦C5003D7F39750826A0C7003C0473328B ¦При заражении файла раздается звуковой сиг- ¦
¦ ¦ ¦ ¦ ¦T ¦VACSINA ¦нал (BELL). ¦
¦ ¦ ¦ ¦ ¦B ¦F47A04 ¦ ¦
¦ ¦ ¦ ¦ ¦F ¦AIDSTEST,AV,-V,K32 ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
¦ Merphy ¦RCE-1277 ¦ ¦3¦"¦D ¦An Bam Cy Dn Es Itc-tc Jn K11 Li Seo ¦CCCP (Киев), июнь 1990, А. Шеховцов ¦
¦ ¦ ¦ ¦ ¦ ¦P ¦1277 "LenCE ¦Через некоторое время после того как вирус ¦
¦ ¦ ¦ ¦ ¦ ¦H ¦21 ¦стал резидентным разрается неприятный высо- ¦
¦ ¦ ¦ ¦ ¦ ¦J1¦E9 7E 03 ¦частотный свист. Не заражает файлов с атри- ¦
¦ ¦ ¦ ¦ ¦ ¦J2¦1E E8 00 00 B8 59 4B CD 21 72 03 E9 28 01 ¦бутами READ ONLY ¦
¦ ¦ ¦ ¦ ¦ ¦M ¦81 7C FE 2E 43 75 ED B8 02 3D ¦ ¦
¦ ¦ ¦ ¦ ¦F ¦AIDSTEST,AV,-V,K32 ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
TP-16, ¦RCE-1339 ¦TP ¦2¦"¦D ¦An Bn Cy Dn Es Itp-tp Jj K11 Li Se ¦Болгария: 1988 ¦
Vacsina-16 ¦ ¦ ¦ ¦ ¦P ¦1339 " LenCE " MaxC ¦В отличие от TP-5 EXE-файлы заражаются в ¦
(Вакцина-16), ¦ ¦ ¦ ¦ ¦H ¦21 ¦один прием, сохраняя идею "переделки" из EXE¦
*$ Vacsina ¦ ¦ ¦ ¦ ¦M1¦17 26 C5 B5 00 01 83 C7 ¦в COM. В отличие от RCE-1212 и RCE-1206 ¦
(Вакцина-16), ¦ ¦ ¦ ¦ ¦M2¦B8 01 43 8E 5E 0E 8B 56 06 2E ¦файлы заражаются вне зависимости от значения¦
*$ Vacsina ¦ ¦ ¦ ¦ ¦C ¦26A1C5003D7F39750826A0C7003C1073 ¦первого байта ¦
¦ ¦ ¦ ¦ ¦T ¦VACSINA ¦ ¦
¦ ¦ ¦ ¦ ¦B ¦F47A10 ¦ ¦
¦ ¦ ¦ ¦ ¦F ¦AIDSTEST,AV,-V,K32 ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
-----------------+---------+---+-+-+--+------------------------------------------+--------------------------------------------+
¦ 1600, ¦RCE-1600 ¦Ier¦1¦"¦D ¦Cy Ihc-tc L1600 Se-eo ¦СССР (Воронеж): 12.06.90 А.Н.Мартемьянов ¦
¦ Voronezh 2.01 ¦ ¦/ВП¦ ¦ ¦P ¦1600 "LenC " 61000 ¦Распространялся на специально зараженном ¦
¦ (Воронеж 2.01),¦ ¦ ¦ ¦ ¦H ¦21 ¦AIDSTEST (троянская версия) отцом автора ви-¦
¦ Пакость-3 ¦ ¦ ¦ ¦ ¦T1¦ctsqu`Voronezh,1990 2.01 ¦руса. Алгоритм заражения специально рассчи- ¦
¦ ¦ ¦ ¦ ¦ ¦T2¦EXEexeUv ¦тан на обход детектирования AIDSTEST: при ¦
¦ ¦ ¦ ¦ ¦T3¦