Жанр: Учеба
Описания вирусов
...file¦ 5 ¦ - ¦
¦Swedish ¦512 (200h) ¦ FM ¦ 2 * ¦ V ¦
¦SwissArmee (3)¦1536 (600h) ¦ FM ¦ 3 * ¦ HV ¦
¦Temptation ¦512 (200h) ¦ FM ¦ 1 * ¦ V ¦
¦Tequila ¦3072 (C00h) ¦ FM ¦ 3 * ¦ V ¦
¦Tiso.1279 ¦1536 (600h) ¦ M+file¦ 2 * ¦ V ¦
¦Tornado ¦512 (200h) ¦ FM ¦ 1 * ¦ - ¦
¦TPVO.3783 ¦4608 (1200h)¦FM+file¦ - * ¦ - ¦
¦Traka.1471 ¦1536 (600h) ¦FM+file¦ 3 * ¦ - ¦
¦Tubo ¦1536 (600h) ¦ FM ¦ 4 * ¦ V ¦
¦Twofs ¦512 (200h) ¦ FM ¦ 1 * ¦ H ¦
¦UNashamed (2)¦512 (200h) ¦ FM ¦ 1 * ¦ V ¦
¦Urkel (2)¦512 (200h) ¦ FM ¦ 2 * ¦ V ¦
¦V-Sign ¦1536 (600h) ¦ FM ¦ 2 * ¦ V ¦
¦Varna.1536 ¦1024 (400h) ¦FM+file¦ 3 * ¦ H ¦
¦Vaucher ¦512 (200h) ¦ FM ¦ 2 ¦ - ¦
¦Verify ¦512 (200h) ¦ FM ¦ 2 * ¦ Ch ¦
¦Veronika ¦1024 (400h) ¦ FM ¦ 2 * ¦ V ¦
¦Villy ¦512 (200h) ¦ FM ¦ 1 * ¦ - ¦
¦Vlad ¦512 (200h) ¦ FM ¦ 1 * ¦ - ¦
¦Volga.1 ¦512 (200h) ¦ FM ¦ 1 ¦ - ¦
¦Vtb ¦512 (200h) ¦ FM ¦ 2 * ¦ - ¦
¦XorAA ¦512 (200h) ¦ FM ¦ 1 * ¦ H ¦
¦Yale (3)¦512 (200h) ¦ F ¦ 1 * ¦ H ¦
¦YMP ¦512 (200h) ¦ FM ¦ 2 ¦ V ¦
¦WBoot (2)¦512 (200h) ¦ FM ¦ 1 ¦ - ¦
¦Wet ¦512 (200h) ¦ FB ¦ - * ¦ HV ¦
¦Wrong ¦512 (200h) ¦ FM ¦ 2 * ¦ H ¦
¦Wxyc (2)¦512 (200h) ¦ FB ¦ 2 * ¦ V ¦
¦Zabootovka (3)¦512 (200h) ¦ FM ¦ 1 * ¦ - ¦
¦Zappa ¦512 (200h) ¦ FB ¦ 1 * ¦ HV ¦
¦ZhengZhou.3584 ¦3072 (C00h) ¦ M+file¦ - ¦ HV ¦
L==================¦============¦=======¦==========¦==========-
Файл описания вирусов, определяемых и обезвреживаемых Dr. Web 4.00
3APA3A (1-3)
Файлово-загрузочные вирусы. Заражают Boot-сектора дискет и системный
файл IO.SYS для MS-DOS или аналогичный ему в других DOS. При загрузке с
инфицированной дискеты вирусы считывают в память 5 секторов корневого
каталога (root directory) загрузочного раздела жесткого диска и
проверяют атрибут метки тома (Volume) у первого элемента директория.
Обычно, первым элементом является системный файл IO.SYS. Если атрибут
Volume установлен, то вирусы никаких действий не производит, считая что
IO.SYS уже инфицирован, и отдают управление оригинальному Boot-сектору
флоппи-диска. Если же атрибут метки тома не установлен, то вирусы
считывают в память целиком файл IO.SYS, "передвигаясь" непосредственно
по цепочке FAT. Затем производят копирование системного файла в
последние кластеры логического раздела. Причем вирусы очень аккуратно
"просматривают" FAT для последних секторов диска, и если файл не
помещается в последние 256 кластеров диска, то вирусы отказываются от
дальнейшего заражения. Затем вирусы корректируют две копии FAT в
соответствии с дублированием IO.SYS в последние сектора раздела,
копируют служебные поля элемента IO.SYS в третий элемент корневого
оглавления, сдвигая все оглавление с третьего элемента по 80,
уничтожая, т.о., 80 элемент (файл или директорий). Устанавливают для
третьего элемента (копия IO.SYS) новый начальный кластер. После чего
вирусы записывают в начальный кластер первого элемента (оригинальный
IO.SYS) 1024 байта своего кода. И только после этого вирусы
устанавливают атрибут Volume для первого, инфицированного элемента
корневого директория. Таким образом при загрузке системы с жесткого
диска, Boot-сектор активного раздела находит первый элемент в root
directory IO.SYS, не обращая внимания на установленный атрибут метки
тома, считывает первый кластер данного драйвера, содержащий в себе
1024 байта вирусного кода, в память и отдает ему управление. Получив
управление вирусы действуют как "обычные" Boot-вирусы - "отрезают" от
памяти DOS 2 или 3 килобайта, переносят в "отрезанную" область свою
копию и перехватывают INT 13h (3APA3A (1)) или INT 16h (3APA3A (2)),
для заражения Boot-секторов дискет. После того как вирусы стали
резидентно в памяти, они считывают в память первый кластер
"файла-дублера" IO.SYS и отдают ему "бразды правления". Дальше все
происходит, как в незараженной системе: первый кластер отработав,
находит второй кластер инфицированного файла, считывает его в память,
передает ему управление и т.д. Стоит сказать о том, что зараженный файл
IO.SYS, имеющий атрибут Volume, не виден стандартными средствами DOS.
Т.о., "файл-дублер" необходим, практически, для маскировки и для
хранения оригинального первого кластера IO.SYS. Вирусы не заражают файл
IO.SYS если активный раздел диска содержит меньше, чем 20740 (5104h)
секторов, т.е., емкость диска " 10370Kb. Опасность вирусов состоит в
том, что даже при загрузке с "чистого" системного флоппи-диска и ввода
команды SYS C:, вирусные коды не будут удалены с диска!!! Данная
команда произведет перезапись только "файла-дублера" IO.SYS. И самое
неприятное в том, что если программа SYS запишет файл на новое место на
диске, то система перестанет загружаться с жесткого диска, т.к., вирусы
в своем теле хранят адрес начального сектора "файла-дублера" IO.SYS.
При заражении Boot-секторов флоппи диска вирусы шифруют свой код,
причем расшифровщик выбирается из 12 возможных. Оригинальный
Boot-сектор и свое продолжение (код, внедряемый в файл IO.SYS) вирусы
"хранят" в двух последних секторах Root Directory дискеты. При загрузке
системы в августе месяце 3APA3A (1) выводит сообщение B BOOT CEKTOPE -
3APA3A! 3APA3A (1) неработоспособен в 25% на процессорах 286, 386, 486
из-за ошибки при использовании конвейера. 3APA3A (2) при загрузке
системы в декабре издает звуковой сигнал.
3nop
Очень опасный Boot-вирус. Заражает MBR и Boot-сектора дискет. Но кроме
того, при записи секторов, если первый байт 0E9h, то вирус, полагая,
что это начало COM-файла, записывает вместо данного сектора свой код,
способный заразить MBR и Boot-сектора флоппи-дисков.
4on.1346
Неопасный полиморфный резидентный вирус. Содержит текст "4ON-\\*+"".
4res.1049
Неопасный нерезидентный вирус. В понедельник 1 числа "вешает" систему.
Содержит текстовую строку "4RESPATH=COMSPEC=*.COM *.EXE 4RES".
7thSon.440
Неопасный нерезидентный вирус. Создает временные файлы на диске C:\,
которые не удаляет. Содержит текст "SiGVE v1.0 TP4 Compilation!".
A1B2.478
Опасный замещающий вирус. По окончании своей работы вирус имитирует
ошибку позиционирования на текущем диске и выводит сообщение:
Seek error reading drive
Abort, Retry, Ignore, Fail?
При нажатии на клавишу 'A' вирус отдает управление DOS. Содержит в
начале кода текстовую строку "A1B2C3D4", которая используется, как
инструкции ассемблера. При не нахождении в текущем каталоге на флоппи-
диске файлов *.COM вирус, видимо, хотел бы отформатировать нулевую
дорожку данной дискеты, но в данном месте имеется ошибка, и
форматирование не произойдет.
A&A
Неопасный резидентный вирус. С февраля по ноябрь каждый час
переставляет соседние символы на экране. Содержит текст "{A&A}".
Abbas.5660
Неопасный резидентный вирус. При попытке трассировки резидентной копии
вирус выводит сообщение "IRANIAN VIRUS W.by ABBAS KUHKAN ALIABADI" и
"перезагружает" систему. В полночь вирус устанавливает арабский
знакогенератор и выводит на арабском языке сообщение:
-===============================================¬
¦ №ЛЛєСЛЛуЧ •їиУ ¦
¦ ¤д°•д·У й¦РеъР ° С·їЛЛЛЛЧи¦и №иддУ еюдї ¦
¦ ¦
- 1067462 ¦
- ¦ •Чъдк¦Х ¤дЧ°¦ХїСю ЦСўСюїР °
- ¦ ЙДБДГБ-ЙАВЖАА-ЙАГЕАД
¦ ¦
L===============================================-
Abraxas.1304
Очень опасный нерезидентный вирус, замещающий программный код. Заражает
EXE-файлы в текущем и родительских каталогах, а также файл
C:\DOS\DOSSHELL.COM. Издает некоторые звуки и выводит на экран текст:
--------------------------------------------------------------------------
- -
- ------ ------- ------- ------ --- --- ------ ------ -
- --- --- --- --- --- --- --- --- ------ --- --- --- -
- -------- ------- ------- -------- ---- -------- ------ -
- --- --- --- --- --- --- --- --- ------ --- --- --- -
- --- --- ------- --- --- --- --- --- --- --- --- ------- -
--------------------------------------------------------------------------
Abs-3
Опасный Boot-вирус. Может уничтожить 7 первых секторов флоппи-диска.
Acv.1342 (1,2)
Неопасный вирус. В понедельник в 15 часов выводит на экран текст:
The AC Virus - ACV Version 1.01 , 1993
by
Ahmet Cezayirli
Istanbul University
Electronics Engineевашо
Ade.1024
Неопасный нерезидентный вирус. Иногда выводит на экран текст:
Job needed! Phone (095) 9430700 ADE
Adder.1467
Неопасный резидентный вирус. Содержит ошибку, из-за которой некорректно
заражает EXE-файлы. Содержит строку "adder".
Adolf.475
Опасный резидентный вирус. С вероятностью 1/8 блокирует удаление
файлов. Содержит текст "Adolf Hitler".
Aforia.656
Неопасный резидентный вирус. После заражения каждого файла "осыпает"
буквы на экране монитора, установив на это время в CMOS-памяти признак
отсутствия жесткого диска.
Aga.1500
Неопасный нерезидентный шифрованный вирус. В пятницу вирус записывает в
файл AUTOEXEC.BAT текст:
ECHO Hey,suckers! Hold on,your data's gone too far!
ECHO MONGOLIA,UB.
В пятницу 13-го вирус выводит текст "WARNING! Today is the 13th !".
Если вирус считает, что стартовал из инфицированного файла WIN.COM, то
он выводит текст:
WARNING!!! Your MS-Windows 3.1 you are working with is not licensed!
In the light of it,we are entitled to aver that we will activate
a protective application against your unauthorised access...
А при старте зараженного файла DOOM.COM вирус выводит текст:
DOOM! v1.0 Всъэы еЁ Децнецй х°цй Ёюъи°м жетце!
Содержит также текст "AGA Media(C),94". При заражении файла COMMAND.COM
из версии MS-DOS 5.0 вирус не увеличивает его длины, записываясь в
область нулевых байт.
Aga.3000
Неопасный нерезидентный вирус. Иногда выводит следующие сообщения:
Hello! You're already doomed!
Don't think about it!!!!!
Real-time error at 0x9207.
Try again...
************************************
WARNING!
It's AGA-v2 from MONGOLIA!
The file size was changed!
[Q]uit or continue?
************************************
Содержит тексты: "(*AGAv2.1,super stealth virus from MONGOLIA,UBЦ*)",
"DiRVeRWiNA:\ B:\ D:\ TiMeHeLpCaLcPaUsEWrItESeTuPDiR A:DiR B:Md wArNiNg
!FoRmAt A:/sDeL AuTo*.*DeL CoNf*.*Md ClEar HDMd FoRmAtItscantiaidsdrweb
.lkitf-pradinshercpav$$mon_k_pURAA!!!".
Agiplan.1536
Очень опасный резидентный вирус. В зависимости от текущей даты может
уничтожить информацию на всех доступных дисках. Иногда может вывести
сообщение "load error".
Aija
Очень опасный Boot-вирус. 25 марта уничтожает содержимое первого секто-
ра на всех цилиндрах активного раздела DOS и выводит сообщение:
FINNISH_SPRAYER.1. Send your Painting +358-0-4322019 (FAX), [Aija] Со-
держит строку "Tks to B.B., Z-VirX ..... [Aija]".
Ai.1759
Опасный резидентный вирус. Иногда уничтожает нулевые дорожки на первом
и втором жестких дисках компьютера.
Aiw.572
Содержит строку "AIW2°JB".
Alabama.1560
Неопасный резидентный вирус. Перехватывает INT 09, 21h. Пытается
"пережить теплую перезагрузку" системы по Ctrl-Alt-Del. Периодически
выводит на экран сообщение:
г==============================================================================¬
¦SOFTWARE COPIES ARE PROHIBITED BY INTERNATIONAL LAW Xыў nЛЧ·РЇ· 0000000009 ¦
¦ ¦
¦ °i¤dь}ў· ¦РЇРЇРЇ Box 1055 Tuscambia ALABAMA USA ¦
L==============================================================================-
Alcon
Очень опасный загрузочный вирус. В зависимости от своих счетчиков может
уничтожать информацию на дисках. Содержит текст "/RS.Y/".
Alex.368
Оставляет в памяти резидентную программу, посылающую значение FEh в
порт 60h. Имеет текст "The One Night Virus (C) Alex Hacker".
Alex.818
Оставляет в памяти резидентную программу, стирающую содержимое экрана.
Содержит текст "The Kite Virus (C) Alex Hacker".
Alex.1287
Неопасный нерезидентный вирус. 20 числа оставляет в таблице векторов
прерываний резидентный код, который исполняет мелодию из фильма
"Карьера Димы Горина". Имеет текстовую строку "AlEx".
Alfons.1344, 1536
Очень опасные резидентные вирусы. Если значение дня недели (понедельник
- 1, вторник - 2,...) + 1 совпадает со значением числа месяца, то
вирус уничтожает содержимое секторов диска, заполняя их текстом
"Alfons !" и выводит текст:
Synchronizing drive C: (Do not interrupt this operation !): 0%
Done.
Alia.1023, 1200, 1300
Неопасные резидентные шифрованные вирусы. Содержат тексты "ALIA" или
"~ALIA~".В коде вирусного расшифровщика используют команды сопроцессора
- FINIT, FCHS, FTST, FNOP.
Alias.6943
Опасный резидентный полиморфный вирус. Использует вход в защищенный
режим процессора и немедленный выход из него. Для чего - непонятно?
Данный код был полностью скопирован из книги А. и Г. Фроловых
"Защищенный режим процессоров Intel 80286/80386/80486", причем без
понимания сущности данного кода. Вирус пытается определить тип
процессора, и если процессор - 286 или ниже,выводит текст "Sorry, 80286
CPU or higher required . . .". Далее, если компьютер уже находится в
защищенном режиме, то вирус выводит текст "Cannot run in the Protected
or V8086 mode." и завершает работу программы. Также может вывести на
экран тексты:
Even ALIAS-1 - the simplest virus - could not run on your computer.
ID: ALIAS V1.02 - a HARMLESS virus.
© St.-Petersburg's El.-Tech. University, CAD/CAM department, 1996.
Перехватывает INT 8, 13h, 21h, 2Fh. С помощью INT 8 вирус контролирует
целостность своего резидентного кода. При старте некоторых программ
(DRWEB, AIDSTEST,...) вирус выводит текст "Bad command or file name".
Alive.4000
Неопасный резидентный полиморфный вирус. Может вывести на экран текст:
"=- A·L·I·V·E -="
Distributed by the Alternative AL and AI Research Lab Germany,1995
FIRST NAME [804645]
LAST NAME [078000]
BIRTHDAY [05-04-95 16:05]
GENERATION [0004]
HEIR [0004]
SUM [0014]
Не заражает программы указанные в списке (по 2 символа на имя):
-D-U-VF-TBSSSVVIVSNEVPIMAVCLCOHMINMSSCWI. Содержит также текст
"Rewritten by SiRiUS. PrimeCode:***ЩрNV|42$)fJ***]".
Alla.1281, 1325, 1407
Опасные резидентные файлово-загрузочные вирусы.Оригинальный загрузочный
сектор и свой код для флоппи - дисков хранят на нестандартно
отформатированной последней дорожке. С вероятностью 1/8 блокируют
операцию создания файлов. Имеют тексты "Alla 1.0" и "Wild W0rker /RSA".
Als.335
Очень опасный нерезидентный вирус. По понедельникам уничтожает
содержимое диска C: и пытается вывести текст (но выводит мусор) "PC
infected by KPOBOCOC 1.0 ViRUS. (C) by A.L.S.".
Als.339
Очень опасный нерезидентный, замещающий программный код, вирус. По
окончании своей работы вирус выводит текст "This program requires
Microsoft Windows.". Содержит также текст "XA-XA 1.01 A.L.S.".
Am.1061
Неопасный резидентный шифрованный вирус. Примерно через 3 часа работы
периодически сбивает развертку монитора.
Aman.10716
Неопасный резидентный вирус. Заражает EXE-файлы. После 17.00 и при
нажатии на клавишу PrintScreen выводит в графическом формате
изображение мужского члена. Содержит строки "Аман Тулеев" и "V1.2".
Amanita.1135
Неопасный резидентный зашифрованный вирус. Содержит текстовую строку
""Amanita" v3.03 © 1997".
Ambulance.796 (1,2), 2124
Неопасные нерезидентные (Ambulance.2124 - резидентный) вирусы. Иногда
(Ambulance.2124 через 20 минут после неактивной клавиатуры и если не
было обращений к дискам через INT 13h) рисуют двигающийся внизу экрана
и издающий звуки сирены автомобиль скорой помощи:
\|/
------------
----- ---- \
---------------
— OO ----- O -
Amd.3948
Неопасный резидентный вирус. Иногда выводит на экран текст:
--- — -- ----- ----- --- ---- ---- - - ---- ----
- - - - - - - - - - - - - - - - - - -
- - - — - - - --- --- - - ---- --- - - --- ----
------- - - - - - - - — - - - - --
- - - - ----- - --- - — ---- - ---- - --
- - --- — - ---- --- - - ---
- - - - - - - - - - - - -
- - - - - - - - - - - - ---
- - - - - - - - - - - - - - -
- - --- - — ---- --- - - ---
— -- - - --- ----- ----- --- ----
- - - - - - - - - - - -
- — - - - --- - - - - ---
- - - - - - - - - -
- - ---- --- - ----- --- ----
Также рассылает по сети Novell сообщение "Windows 95 Must Die !!!".
Amd.4772
Неопасный резидентный шифрованный вирус. Рассылает по сети Novell
сообщение "ОЙ! ДОСТАЛИ ЛАМЕРЫ !!!". В пятницу записывает в MBR жесткого
диска недоделанный загрузочный вирус, который "перехватывает" INT 13h,
прячет свое наличие на диске, но только "забывает" заражать загрузочные
сектора дисков. Вирус содержит тексты:
NAME: MPEI
Данилов ты ЧАЙНИК,ТАКОЙ ЖЕ КАК И БИЛЛИ ГАТЕС(ТЫ ПОЙМЕШЬ).
Тозмоза, вирус, которому дал имя AMD назывался не AMD ,
а Windows 95 MUST DIE !!!
а строчку Windows 95 MUST DIE !!! он слал в виде мессаги по сети.
Принеси свои извинения и ,кстати, напиши Upgrade для юзеров.
DRWEB очень хорошо разносит заразу по винту. Эффект на 1000%
И еще, лучше бы ты через DMA бластер программил !
Жду версий под Вынд0уz 59, вот там ты поработаешь через DMA.
Балбес, ты Лозинского без работы оставил !!!
Copyleft © Down'niloff Corp.,2000. All Lefts Preserved. Григорчук.
AMGorb.4670
Опасный резидентный шифрованный вирус. Периодически "трясет" экран.
Вирус "перехватывает" INT 13h и при чтении секторов диска пытается
найти строку "Micro", и при нахождении ее - изменяет данную строку на
"*AMG*". Может вывести одно из следующих сообщений:
Heat level critical.Shutdown sequence initiated...
Dr.WEB-полный DUMB! если кто с нами согласен прошу :
PIDOR@LOXNET.XYZ мы всегда |*)
"Надежный" эвристический анализатор...
AMGorb.ver 2.6 for ALLwe HaTe w95!
ПОШЕЛ НА ФИГ
Так-так. Грозно входит Фома в кабинет.
Все кончено. Боже,спасения нет,
А с ним еще Рома, слепой офицер.
На ком остановится жуткий прицел ?
На мне.Елки-палки,хана мне друзья,
Приходит,похоже,кончина моя.
"Давай, поднимайся,в каморку пойдем,
И там потолкуем о жизни вдвоем"
-"Какой еще жизни,Я так не хочу !"
-"Молчи, не то живо башку откручу !!"
Ну нечего делать,придется идти,
А сердце так бешено скачет в груди.
Меня затолкнули,захлопнули дверь.
" Ну что,вирусолог,попляшешь теперь."
Мне страшно ужасно,все тело дрожит,
Ведь диск с AMGorb-ом в кармане лежит.
Фома на меня грозно смотрит в упор
И мне говорит:" Сядь-ка,есть разговор",
А я говорю:"Sir,я очень спешу,
Задайте вопросы,я их запишу,
Подробно отвечу,размножу ответы,
И вам занесу я их следущим летом.
"Дурачить нас вздумал",-Фома заорал,
И с гадостным видом отвертку достал.
Раздался спасительный писк офицера:
"Фома,соглашайся,гутарит он дело
Ну разве АМ он? Какой он АМ?
Ну ты посмотри,он испуган совсем".
"Молчать,-рявкнул Леха,-УБЬЮ,ПИДАРАС!"
И долго несчастного он за уши тряс...
Но я откровенно скажу вам,друзья:
АМ-кто угодно,но только не я.
Он-гад нехороший,он вирусы пишет,
А я-лишь стишки,что написаны выше.
Истории этой печалный финал:
Под глазом моим неприметный фингал.
—
"*- Данный стих предоставлен AMGorbу СТАРТЕРОМ -*"—
Greetы идут "коллегам" из S.S.R`а (мне было очень ;*),читая List) и Megadethy.
ВирусологИ! надоелИ мнЕ вашЫ засиронЫ! В конце концов НЕ НРАВИТСЯ-НЕ ЛЕЧИ !!!
----------------------------------------------------¬
¦""" AMGorb 15-16 years old Russia,Troitsk """¦
L===================================================-
Юные вирусописатели всех стран ЕДИНЯЙСЬ !
AmkCvc.1024
Неопасный резидентный стелс-вирус-спутник. При заражении COM и EXE-
файлов присваивает исходным файлам имена с расширениями AMK (для COM-
файлов) и CVC (для EXE-файлов), создает файл с исходным именем файла и
записывает в него вирусный код. В пятницу выводит на экран текст:
Hi ! I am the Crazy October and I will now live on your system.
Don`t worry ! Everything is under controll.
Now I must go to replicate, bye !
Amoeba.2367
Опасный резидентный полиморфный вирус. 1 ноября и 15 марта уничтожает
содержимое секторов жесткого диска. Содержит тексты:
AMOEBA virus by the Hacker Twins (C) 1991
This is nothing, wait for the release of AMOEBA II-
The universal infector, hidden to any eye but ours!
Dedicated to the University of Malta-
the worst educational system in the universe,and
the destroyer of 5X2 years of human life
Amse (1,2)
Amse (1) содержит строку "AMSESLIFVASRORIMESAEP". Amse (2) - "ALFREDO".
Amse (2) иногда выводит на принтер следующий текст "ANGEL X TE SALUDA
© Laboratorio Luz de Luna LIMA - PERU".
Amz.789, 1100
Опасные нерезидентные вирусы. Amz.789 24 сентября, а Amz.1100 1 марта и
13 сентября пытаются уничтожить некоторые сектора всех доступных
дисков. Amz.1100 также иногда уничтожает содержимое CMOS-памяти и
создает файл BOPS-BOP.S. Содержат строку "AMZ".
AnalSex.178
Содержит строку "ANALSEX !".
Anarchy.469
После заражения файлов выводит сообщение:
SpeedUp 12% - Written by Joe Franza!
Содержит текст "If you can read this, then ANARCHY Has Bestowed You
with the ANARCHY Virus! Written in the Boonies of CT - From LIK `92".
Anarchy.2048 (1-3)
Опасные вирусы. Модификации вируса незначительно отличаются друг от
друга. Заражают EXE- и COM-файлы (COM-файлы первая команда которых не
JMP NEAR PTR (0E9h ? ?)), внедряя в начало файла 2048 байт своего тела
в формате EXE-файла. 2048 байт файла-жертвы вирусы переносят в
свободный кластер, не увеличивая при этом длины пораженного файла.
Т.е., длина файла по цепочке FAT может не совпадать с реальной длиной.
COM-файлы, имеющие первой командой инструкцию JMP NEAR PTR, и
содержащие 2003 повторяющихся байта, вирусы поражают другим методом.
Они переносят 2003 байта из адреса первого перехода в область
повторяющихся байт, и в освободившееся место записывает 2003 байта
собственного кода. Содержат ошибки, в результате которых могут
разрушить FAT и сделать неработоспособными COM-файлы. Перемещенные на
другой диск программы также могут быть неработоспособными. Внедряют
команды перехода на свой обработчик прерывания в оригинальный
обработчик DOS INT 21h. Содержат текстовые строки: "ГрОб", "ANARCHY" и
зашифрованную строку "Янъ Факовскiй,USSR,1994" или "Янъ
Факовскiй,USSR'94".
Anarchy.3153
Опасный резидентный полиморфный стелс-вирус. 8 и 30 апреля, а также 9
мая вирус уничтожает содержимое случайных секторов первого жесткого
диска. Содержит тексты:
Озаглавилась весна топором,
Успокоилась река декабрем,
Утро одиноким выстрелом
JANKA DYAGILEVA
JAN FAKOVSKIJ,USSR,1997
Anarchy.6093
Опасный резидентный полиморфный стелс-вирус. Вирус заражает COM, EXE
файлы, а также DOC-файлы для WinWord версий 6.0-7.0. При открытии DOC-
файлов (через f.3dh Int 21h) вирус анализирует внутренний формат OLE2
документа, создает новую таблицу макросов и дописывает в конец данного
документа зашифрованный макрос AUTOOPEN, содержащий вирусный код
дроппера. При открытии такого инфицированного документа с помощью
WinWord, вирусный макрос создает на диске EXE-файл в формате Win NewExe
(NE), записывает в него код вируса, запускает его, и по окончании его
работы - удаляет. Данный NewExe-файл производит заражение командного
процессора (COMMAND.COM) и программы WIN.COM. Что интересно, если вирус
был активен в памяти до загрузки Windows или Windows'95,то при открытии
любого документа средствами Word for Windows, данный документ окажется
инфицированным. При заражении DOC-файла вирус использует некоторые
"дыры" в формате OLE2, в результате чего при активном вирусном макросе
AUTOOPEN просмотреть его *наличие* в системе с
...Поділитися у соцмережах
