Жанр: Учеба
Описания вирусов
...e I was borned in Romania, all the talking from now-on
will be in my language.
--DECI-- sa ne intelegem romaneste ca de la virus la posesor de virus :
Ma lasi sa traiesc linistit, te las sa traiesti linistit !
De acord ?
И ждет нажатия на клавиши "D", "N" или "Y". В зависимости от нажатой
клавиши выводит следующие тексты:
Bine mosule, tu ai vrut-o !!
Works for me...
O.K. man...I'm with you.
Bine mai ... Si nu mai fi asa de speriat !!
Удаляет файл ANTI-VIR.DAT.Содержит тексты "I dunno what you think about
me but i am NOT dumb !", "16-9-1995 || 23:56.00".
Duran
Опасный Boot-вирус. Если произошло 32768 вызовов INT 13h после загрузки
системы, то вирус уничтожает MBR и свой вирусный код, находящийся в
нем. Содержит тексты "©AVB91" и "Duran-Duran lives...".
Dwbomk.607
Опасный резидентный вирус. 17 января выводит на экран текст "Воть етя
вирясь "DWBoMK" МИСиС,ПМП,ТЭМ-96-1" и уничтожает содержимое первого
жесткого диска.
EA.Asmodeous.882, 1160, 1343, 1359, 1437, 1450, 1829, 1833
Опасные резидентные вирусы. Вирусы состоят из 10 составных частей, 9 из
которых вирусы при заражении файлов меняют местами в случайной
последовательности. 11 ноября вирусы пытаются удалить все файлы, поиск
которых производится посредством функций 4Eh, 4Fh INT 21h. Содержат
строку "ASMODEOUS" или "Asmodeous".
EA.Asmodeous.1444
Очень опасный вирус. Вирус состоит из 16 составных частей, 15 из
которых вирус при заражении файла меняет местами в случайной
последовательности. Первым делом вирус пытается заразить командный
процессор, считая, что он должен быть обязательно в формате COM-файла.
При заражении COM-файлов, первая инструкция которых JUMP, вирус
внедряет 8 байт команд своего перехода в область второй ассемблерной
инструкции. Если же у COM-файла первая команда не JUMP, то вирусу не
удается заразить такой файл из-за ошибки, и система, как правило,
"зависает". 27 декабря вирус пытается уничтожить содержимое 15 первых
секторов жесткого диска. Удаляет программу AIDSTEST.EXE при ее запуске.
Вирус перехватывает INT 17h (принтер) и при печати выводит слова,
отсутствующие в нормативной лексике. При заражении командного
процессора вирус выводит сообщение "HS86.5 Ver 5.09.Copyright by EA
computers inc.1994". Содержит строку "SNAIDSTESTCOMEXE".
EA.Birthday
Неопасный резидентный вирус. 27 декабря выводит текст:
Сегодня надо поздравлять Лену Сошникову
с днем рождения,а не работать.
Содержит тексты:
BIRTHDAY (C) EA inc.
Лозинский! Моя нижайшая просьба - переименуй ASMODEOUS'а в его
настоящее имя,т.е. в ASMODEOUS
Love&Death Co.
EA.Dictexe
Неопасный резидентный вирус. Содержит текст "DICTEXE (C) EA inc.".
EA.Hs
Опасный резидентный вирус. "Перехватывает" INT 17h, 21h. При печати на
принтере вставляет после запятой одно из следующих словосочетаний:
",вот", ",короче", ",таво этава". Может вывести на экран текст
"HS86.42 Ver 4.09.Copyright by EA computers inc.1994".
EA.Satana.665, 666
Опасные резидентные вирусы. 11 ноября записывают во все запускаемые
программы строку "Сатана там правит бал". Содержат также текст
"SATANA 666 (C) EA inc.".
Ear.Leonardo
Опасный нерезидентный шифрованный вирус. В зависимости от своих
счетчиков может удалить все файлы в текущем директории, файлы
c:\autoexec.bat и c:\config.sys, или записать в начало файла c:\io.sys
текст "Leonardo v 2.0".
Ear.Shame
Опасный нерезидентный шифрованный вирус. Пытается удалить файлы
TBSCAN.EXE, ANTI-VIR.DAT, CHKLIST.MS, CHKLIST.CPS, IVB.NTZ. Иногда
выводит на экран одно из следующих сообщений:
Shame on you!
Where did I come from?
Dedicated to the people of Chung-Li, Tiawan.
I feel safe, don't you?
Dope!
Tiwanese rise to the top while looking down at the empty bottom...
Wait for the departure of you life...
God loves you!
Ur virux protexion sux.
It's a Shame.
Ebola.3000 (1-3)
Неопасные резидентные полиморфные стелс-вирусы. Иногда выводят на экран
следующие тексты:
Ebola.3000 (1): Ebola.3000 (2): Ebola.3000 (3):
Ebola virus 1.0! Ebola virus 1.2! Ebola virus 1.4!
Extremly stealth Extremly stealth Extremly stealth
mutating system! mutating system! mutating system!
Technical infos: Technical infos: Technical infos:
No way to detect No way to detect No way to detect
Heuristic analys Fucked heuristic Fucked heuristic
often impossible Greets go to all Greets go to all
Greetings go to virus developing virus developing
author of Volkov groups in Brno ! groups in Brno !
Your data are OK Czech republic94
aNytime,ANywHere
Czech rep. 1994!
Eddie.651
Содержит строку "Eddie lives".
Eddie.1530
Опасный резидентный вирус. Иногда "вешает" систему и изменяет тип диска
в CMOS-памяти.
Eddie.1800 (1-3)
Очень опасные резидентные вирусы. Производят запись в случайные сектора
текущего диска 512 байт своего кода. Перехватывают INT 21h, 27h. Не
дают изменить адрес вектора INT 21h. INT 27h используется для контроля
за INT 21h. Первоначальный вариант вируса содержал текстовые строки:
Eddie lives...somewhere in time!
Diana P.
This program was written in the city of Sofia (C) 1988-89 Dark Avenger
Eddie.2000 (1-3), Eddie.2100
Очень опасны также, как и Eddie.1800. Содержат строки:
Eddie.2000:
Zopy me - I want to travel или Only the Good die young...
Диана П.
© 1989 by Vesselin Bontchev
Eddie.2100:
Eddie lives
© 1990 by Vesselin Bontchev
При старте программ, содержащих в своем теле строку "by Vesselin
Bontchev", вирусы "зацикливают" и "вешают" систему.
Eddie.Alexander.1843, 1951, 2104
Неопасные резидентные вирусы. Иногда выводят текст:
г======================================¬
¦ Apa depistata in microprocesor ! ¦
¦ Functionarea poate fi compromisa ! ¦
¦ Se recomanda oprirea calculatorului ¦
¦ citeva ore pentru uscare ! ¦
¦ ¦
¦ Alexander - Constanta, Romania ¦
L======================================-
Eddy.1422
Опасный резидентный вирус. Может уничтожить содержимое CMOS-памяти и
вывести на экран слово "Eddy".
Ekaterinburg
19 августа выводит на экран бело-сине-красный российский флаг. Содержит
свое зашифрованное название - Ekaterinburg.
Elaine.1127
Опасный резидентный вирус. "Перехватывает" INT 13h, 21h. С вероятностью
1/256 инвертирует первый байт в буфере при записи на диск (f.03h, f.0bh
Int 13h). Содержит текст "Elaine 1.0 28 May 1994".
Elcn.374, 424, 550
Неопасные нерезидентные вирусы (Elcn.550 - опасен). Elcn.374 в 8:20
выводит текст "Лозинский - ЛОСЬ !!!". Elcn.424 выводит текст "Ты за
Ельцина [y/n] ?" и в зависимости от ответа выводит одно из сообщений
"Значит ты ублюдок !", "Я тоже.". Elcn.424 содержит текст "Bryansk
ELCN", Elcn.550 - "Bryansk DRxy". Elcn.550 может уничтожить начальные
сектора дисков. Может вывести текст:
NO ROM BASIC
SYSTEM HALTED.
Elene.1000
Неопасный резидентный вирус. 20 февраля выводит на экран текст:
Сегодня Леночкин день рождения
Москва - Санкт-Петербург, Июль-Август 1994г.
Em.1303
Опасный нерезидентный вирус. Заражает EXE-файлы на диске C:. При старте
инфицированного EXE-файла, вирус записывает в файл C:\AUTOEXEC.BAT
после переменной среды "PATH=..." слово "em", создает файл C:\EM.COM и
записывает в него свой вирусный код. При старте данного файла EM.COM
вирус производит поиск и заражение EXE-файлов в каталогах диска C:.
28 числа вирус заменяет первый символ имен файлов диска C: на пробел.
Emm.4870, 4910, 5952
Полиморфные вирусы. 7 числа месяца могут вывести на экран сообщения:
Emm.4870: Welcome to the Explosion's Mutation Machine ! Dis is level 3.
Emm.4910: Frog man Cracker cLub = FCL'name : [ MAINDE ]
We Must Love SVS !!!
Emm.5952:
Dedicated to LEELOO and Mr. Dallas from the movie "THE 5th ELEMENT"
I (L.BB) LOVE MILA JOVOVICH (LEELOO)
Имеют очень мощный полиморфный механизм, в силу чего содержат довольно
много ошибок, из-за которых зашифрованные файлы не расшифровываются.
Содержат строки "EMM 1.0", "COM EXE SCAN VSHIELD CLEAN FINDVIRU GUARD
VIVERIFY TB -V VIRSTOP NOD HIEW PASCA NETENVI F-PROT CHKDSK". Не
заражает файлы, указанные в предыдущей строке. Если вирус находит один
из резидентных драйверов "TBMEMXXX, TBCHKXXX, TBDSKXXX, TBFILXXX", то
он предпринимает попытки помешать их нормальной работе. Emm.5952
содержит также следующий текст:
[LBBME] L.BBs polymorphic engine
Dear Milla Jovovich,
I decided to write this one just for you.
Anyway, I know will never meet you but I want
to let you know: the 5th element was the best
movie you made. And you played "Leeloo" very
good (just perfect). He virus-killers:
If this message doesnяt get to her, I will
release the most powerful virus all over the
world. The beta canяt even be scaned by this
scanners: SCAN,TBAV,SDSCAN,NORTON,SOLOMON
F-PROT,VIRSTOP,VIRSTOP2,MSAV,SDRES,SDSCAN,
TBSCAN,TBMEM,VSAFE,CPAV,FSP,SCANPM,VDEFEND,
The virus is XXXX Kb compiled code without my
polymorphic engine [LBBPE].
The destructive code is still the most powerfull
one Iяve ever seen on other virii. OK SEE YA!
THIS VIRUS WILL BE RELEASED VERY SOON. THE BETA
IS ALEREADY ON SOME COMPUTERS. AND THIS VIRUS WILL
BE PERFEKT. Ohh, (for Thundebyte) I forgot to say
that I have the soucer-code of all your a-virus tools
Nice isnяt it?
MILLA I LOVE YOU! BYE! STOP SENDING CHANCELBOTS TO THE NEWSGROUPS!!!!!!!
Emm.LionKing
Очень опасный резидентный полиморфный стелс-вирус. Иногда может вывести
сообщение:
Ja som virus Lion King
Formatujem ti disk lebo devastujes prirodu
После чего уничтожает некоторые сектора жесткого диска. Содержит тексты
"Vypadni z tejto casti RAM!", "cpav msav enav scan viverify avg nodex
pkzip arj uc lharc arc lha chkdsk", "by LST- 2005". Не заражает файлы,
указанные в предпоследней строке или выключает свой стелс-режим при
работе некоторых этих программ. Если вирус находит один из
резидентных драйверов "TBMEMXXX, TBCHKXXX, TBDSKXXX, TBFILXXX", то он
предпринимает попытки помешать их нормальной работе.
Emmie.2604, Emmie.2620, Emmie.2702, Emmie.2823, Emmie.3097
Очень опасные вирусы. Emmie.2823, 3097 - самошифрующиеся вирусы.
Трассируют INT 13h, 21h, 26h. Изменяют цифры, выводимые на экран или
принтер. Повторяют символы, введенные с клавиатуры. Если год нечетный -
уничтожают информацию на первых 17 секторах "винчестера" (Emmie.2823,
3097 - 8 марта если год нечетный). При заражении изменяют три байта
второй ассемблерной инструкции программы-жертвы на команду перехода
(CALL NEAR PTR) на основной вирусный код, который располагается в конце
зараженного файла. Для определения адреса второй команды вирусы
используют трассировку начальных байт программы. Содержат тексты: "My
name is Emmie, I am Eddie's sister." и "It'll tire you too much.".
Emperor.FitW.7918 (1,2)
Очень опасный полиморфный файлово-загрузочный стелс-вирус. Данный вирус
состоит, как бы, из двух частей. При запуске инфицированного файла,
первым делом вирус заражает MBR жесткого диска (при наличии контроллера
IDE, вирус программирует его порты при записи) и устанавливает свою
резидентную копию в память (возможно в область UMB) и "перехватывает"
INT 21h. При вызове некоторых функций INt 21h (4Ch, 4B00h, 3Dh, 3Eh)
вирус производит полиморфное заражение COM и EXE-файлов. 1, 3, 5, 7 и 9
числа месяца вирусы блокируют клавиатуру (INT 9) и уничтожают
содержимое всех жестких дисков. При нажатии на клавиши во время данной
акции, вирус выводит текст:
The "FartStorm" coded by Demon Emperor "Big hello to Cmoskiller&Xorboot"
Are you wild? Hey don't... wait... let us talk... No? Be off lame fuckhead!
Инфицированный MBR и "вирусное продолжение",расположенное в 8 последних
секторах жесткого диска не содержат процедур заражения файлов и могут
заражать только загрузочные сектора дисков. При загрузке системы с
инфицированного диска, вирус располагает свою копию в верхних адресах
памяти, "ждет" загрузки DOS и "перехватывает" INT 13h (операции с
диском). При обращении к дискам вирус заражает их. В MBR жесткого диска
записывается полиморфнозашифрованный вирусный загрузчик. В загрузочные
сектора дискет вирус записывает также полиморфный загрузчик, но только
данный код не зашифрован, а "наполнен" "мусорными" инструкциями, т.е.,
"полезные" команды перемежаются "бесполезными" командами. 8 секторов
своего кода и оригинальный загрузочный сектор флоппи-диска вирус
записывает на дополнительную, отформатированную им, дорожку. Данные
вирусы "переживают" перезагрузку системы с "чистой" системной дискеты,
манипулируя с данными CMOS-памяти, также, как и вирус Mammoth.6000.
Данные вирусы, видимо, принадлежат "перу" автора вируса Mammoth.6000.
Вирусы содержат текст "Fart in the wind".
Emperor.Hare.7610, 7750, 7786
Опасные файлово-загрузочные полиморфные вирусы. При заражении MBR
уничтожают таблицу разделов диска (partition table),поэтому код данного
вируса нельзя удалять командой "FDISK /MBR". При нахождении строки
"WIN=" в области окружения (environment) вирус уничтожает файл
\SYSTEM\IOSUBSYS\HSFLOP.PDR в каталоге WINDOWS. Вирусы оригинальным
способом генерируют свой полиморфный код. При заражении MBR вирусы
записывают в последний сектор диска случайные данные и никогда потом
эти данные не изменяют. Данный сектор служит в дальнейшем для вируса,
как поставщик случайных значений для генератора случайных чисел. При
заражении объектов на вход генератора полиморфного кода поступают одни
и те же значения - в результате всегда генерируется один и тот же код.
Т.е., на одном компьютере все инфицированные файлы будут иметь
одинаковые вирусные расшифровщики и ключи, с помощью которых зашифрован
вирусный код. 22 августа и 22 сентября вирусы выводят на экран тексты:
Emperor.Hare.7610:
"HDEuthanasia" by Demon Emperor: Hare Krsna, hare, hare...
Emperor.Hare.7750:
"HDEuthanasia-v2" by Demon Emperor: Hare Krsna, hare, hare...
Emperor.Hare.7786:
"HDEuthanasia-v3" by Demon Emperor: Hare Krsna, hare, hare...
и уничтожают содержимое жесткого диска.
EncePhalyt
Очень опасный Boot-вирус. Не сохраняет оригинальные MBR и Boot-сектора
дискет при заражении. В конце кода содержит свое зашифрованное (NOT
BYTE PTR) имя.
EndOf.783, 788
Неопасные резидентные вирусы. Содержат строку "end of".
Enola.1183
Неопасный резидентный вирус. Устанавливает свою резидентную копию в
верхние адреса памяти, "перехватывает" INT 21h, 27h, 2Fh, "ждет" вызова
INT 27h или функции 31h INT 21h(завершить работу и остаться резидентно)
и перемещает свой код в область памяти, следующей сразу за программой,
остающейся резидентно в памяти. Препятствует работе MS-Windows в
расширенном (enhanced mode) режиме. Содержит тексты "Enola Gay
ver.2.01 (C) 1994 by HPR Lab.", "Accidents newer happen...".
ErasePT.512
Опасный нерезидентный вирус. Производит поиск и заражение *.EXE файлов
на текущем диске, кроме флоппи-дисков. Внедряет в MBR код, который
после 207 загрузок с жесткого диска уничтожает информацию о разделах
жесткого диска (Partition Table). Исправление такого MBR не всегда
представляется возможным.
Ester
Опасный загрузочный вирус.Оригинальный MBR жесткого диска не сохраняет.
При заражении диска B: пытается произвести запись на диск A:.
Evc.161
Опасный резидентный замещающий вирус. 5 числа выводит текстовую строку
"MaKe ViRii oUT T aSS". Имеется также текст "EVC 1.0".
Evgenich.161
Неопасный нерезидентный вирус. Содержит строку "Evgenich".
Evolution.2761, 2770
Очень опасные резидентные полиморфные стелс-вирусы. Размещают свою TSR-
копию в области UMB или в верхних адресах основной памяти.
Перехватывают INT 09, 13h, 21h. При каждом 256 вызове INT 13h с AH=2
(чтение секторов) или AH=3 (запись секторов) вирусы случайным образом
изменяют случайный бит в буфере данных ES:BX. При открытии (f. 3Dh INT
21h) инфицированных файлов при активных резидентных вирусах, вирусы
удаляют свой код из данных файлов, используя своеобразный
стелс-алгоритм. Вирусы читают зараженный файл в память и трассируют
инструкции полиморфного расшифровщика. После расшифровки вирусы
устанавливают оригинальные, ранее зашифрованные, служебные значения
заголовка EXE-файла и восстанавливают оригинальную длину файла. При
закрытии (f. 3Eh INT 21h) данного файла вирусы снова заражают его.
Вирусы используют команды 386 процессора. При установке своей
резидентной копии вирусы проверяют - находится ли процессор в
защищенном или реальном режимах работы. Если процессор работает в
защищенном режиме, то вирусы пытаются устанавливать свою TSR-копию в
область UMB или в верхние адреса памяти, как обычные резидентные
вирусы. Если же i386 находится в реальном режиме работы (EMM386, QEMM,
MS-Windows, OS/2,.. не установлены), то вирусы устанавливают таблицу
векторов прерываний, находящуюся по адресу 0000:03FF в дескрипторную
таблицу прерываний IDT, находящуюся в зарезервированной вирусами
памяти, посредством команды i386 - LIDT. В данном случае IDT является
прямой заменой таблицы векторов прерываний i8086. И процессор i386 при
вызове любого прерывания использует адрес прерывания из IDT,
находящейся в телах вирусов Evolution. Реальную таблицу векторов
прерываний можно "забить" нулями, но система будет прекрасно работать,
ориентируясь на IDT. В данном случае определить наличие вирусов в
памяти очень трудно, т.к., определение адресов перехваченных вирусами
прерываний посредством прямого чтения их значений из таблицы векторов
прерываний не предоставляется возможным. Иногда при нажатии на клавиши
CTRL, ALT или DEL вирусы могут вывести сообщения (первое сообщение на
китайском языке):
Evolution.2761 -
-=Ёрсо¦ъ[¦+Рф/DLХ¦rv--¦¦¦¬уСёэ1'oL¦гЯа¦k \ич=-¬Dec 1993-¦6-
Evolution.2770 -
-=Ё Evolution 2001 Virus was done by lord Salivantis - Nov/Dec 1993 Ё=-
ExcelMacro - вирусы
Вирусы, заражающие текстовые файлы-таблицы в формате Microsoft Excel.
Заражение системы вирусами происходит при открытии на редактирование
зараженных файлов-таблиц. При открытии файла-таблицы MS Excel вызывает,
находящиеся в этих таблицах вирусные макросы, которые написаны на языке
Visual Basic и в дальнейшем могут быть определены, как глобальные
макросы. Данные макросы производят копирование вирусного тела -вирусных
макросов при сохранении "старых таблиц" или вновь создаваемых через
команду "Save As" или "Save". Также данные вирусы могут производить
поиск таблиц в формате MS-Excel и производить в них запись вирусных
макросов. При выходе из MS-Excel происходит автоматическая запись
вирусных глобальных макросов в XLS-файл (как правило, это файл
PERSONAL.XLS). Таким образом, при следующем старте MS-Excel снова а
автоматически загрузит вирусные глобальные макросы из файла глобальных
макросов PERSONAL.XLS.
ExcelMacro.Legend
Неопасный макро-стелс-вирус. Удаляет пункт меню "Tools|Macro". Если
UserName="Pyro" и OrganizationName="VBB", то вирус прекращает работу и
файлы не заражает. Может вывести сообщение:
Pyro [VBB]
You've Been Infected By Legend!
ExcelMacro.Robocop
Опасный макро-вирус. Первого марта вирус помещает в текущую таблицу
текст "ROBOCOP Nightmare Joker [SLAM]".
ExcelMacro.Yohimbe
Опасный макро-вирус. Записывает строку "Yohimbe" в заголовок заражаемой
таблицы. В 16:45 вставляет в текущую таблицу картинку и текст: FUCK YOU
BUDDY".
ExeBug (1-6)
Очень опасные загрузочные стелс-вирусы. Иногда записывают в EXE-файлы
троянский код, уничтожающий содержимое жесткого диска. Некоторые
модификации вируса постоянно включает и выключает признак наличия в
КМОП (CMOS)-памяти дисководов флоппи-дисков, корректируя контрольную
сумму данной CMOS-памяти. При обращении к флоппи-дискам вирусы
"включают" наличие дисководов в CMOS. После обращения - "отключают". В
результате, при загрузке системы с "чистой" системной дискеты,
дисководы дискет могут оказаться "неустановленными", и система в таком
случае попытается загрузиться с жесткого инфицированного диска. Вирусы
первым получат управление, установят свои резидентные копии в
память, "включат" наличие дисководов в CMOS-памяти и отдадут управление
Boot-сектору диска A:. Т.о., вирусы получат управление даже при
загрузке с "чистого" системного гибкого диска! ExeBug (6) блокирует
включение некоторых графических видеорежимов, содержит зашифрованный
текст "Antigame from The Rat".
ExeHeader - вирусы
Вирусы, внедряющие свой код в заголовок (header) EXE-файлов. Некоторые
из этих вирусов переводят файлы из формата EXE в COM заменой сигнатуры
"MZ" на JUMP. Не изменяют длины файла.
ExeHeader.396
Периодически уничтожает содержимое 10 секторов, начиная с 7 сектора
0 цилиндра 4 головки первого жесткого диска.
ExeHeader.3E
Записывает свой код в область стартового кода инфицируемого EXE-файла,
перенеся программный код в область заголовка EXE-файла. Заражает EXE-
файлы при их закрытии (f.3Eh INT 21h) Содержит тексты "3E", "EXE".
ExeHeader.Andryushka (1,2)
Работоспособны только на XT. Содержат тексты "Copyright © 1992 by
Андрюшка", "Mz1" или "MzExe".
ExeHeader.ATCorp
Содержит текст "© AT Corp. 1994".
ExeHeader.Clust
Зашифрованный резидентный вирус. Содержит строки "[Clust2]" и
"JT / TridenT".
ExeHeader.Dina.271, 283
Содержат текст "Dina v4.2r" или "Dina v4.4r".
ExeHeader.Dragon
Инсталлируется в память и внедряется в цепочку дисковых драйверов.
Содержит строку "DRAGON-2 Anti".
ExeHeader.Em
Содержит строку "EM".
ExeHeader.Funked (1,2)
Неопасные шифрованные резидентные стелс-вирусы. Трассируют INT 13h и
вклиниваются в цепочку обработчиков INT 13h. Свою TSR-копию располагают
в области HMA. После установки TSR-копии вирусы удаляют свой код из
стартовавшего инфицированного файла. В дальнейшем вирусы скрывают свое
присутствие в зараженных EXE-файлах.
ExeHeader.Gregory
Пытается заместить собой вирус ExeHeader.394. Содержит текст
""* Григорий Б.С. C-2.3 *"".
ExeHeader.Hobbit
Содержит строку " HOBBIT ".
ExeHeader.I03
Опасный резидентный вирус. Заражает EXE-файлы, внедряя свой код в
заголовок EXE-файла, в область неиспользуемых элементов таблицы
перемещаемых символов. Изменяет размер заголовка EXE-файла (Header
Size, смещение +8), не сохраняя оригинальное значение, и в
освободившееся место записывает свой вирусный код. В соответствии с
этим корректирует таблицу перемещаемых символов (Relocation Table).
Т.к., вирус не сохраняет значение размера заголовка EXE-файла, то
полное восстановление инфицированного файла невозможно, но вероятность
работоспособности программы после лечения - довольно высока. В теле
вируса имеется строка "~I~03".
ExeHeader.Kibina.390, 398
Опасные резидентные вирусы. Внедряются в дисковый буфер и перехватывают
INT 13h. 26 апреля при записи секторов через INT 13h (AH=3) вирусы
записывают в данные сектора часть своего кода, начинающийся с тестовой
строки "Olya Kibina".
ExeHeader.Louse
Неопасный резидентный стелс-вирус. Содержит текст "LOUSE 1.0 (C) VANO".
ExeHeader.Mike.252, 256
Содержит строку "© MIKE.", которая используется в вирусном коде, как
инструкции ассемблера. ExeHeader.Mike.256 также содержит строку "Hi".
ExeHeader.Ming
Иногда выводит на экран текст:
Written By Crazy Lord (Ming)
Made In Hong Kong
ExeHeader.Nla
Опасный вирус. Разрушает ARJ-архивы, записывая в них, по смещению +0Eh
2 случайных байта. Содержит строку "NLA".
ExeHeader.Pure.427, 441 (1-3)
Написаны очень оригинально. ExeHeader.Pure.427 содержит интересные
приемы, направленные против отладчиков.
ExeHeader.Renegade (1,2)
Излечивает файлы от вируса ExeHeader.Hobbit и записывает себя вместо
него. Содержит строку "Renegade".
ExeHeader.SkidRow.415, 418, 427, 432
Располагают свою TSR-копию в одном из системных буферов DOS и
перехватывают INT 13h. Если значение дня совпадает со значением месяца
выводят в верхнем правом углу текст:
ExeHeader.SkidRow.415, 427: This is Skid-Row Virus
Written by Dark Slayer
* in Keelung. Taiwan *
ExeHeader.SkidRow.432: This is Skid-Row Virus
Written by Dark Slayer
% in Keelung. Taiwan %
ExeHeader.SkidRow.418 при чтении и записи своего кода в сектора
жесткого диска использует программирование IDE-контроллера.
ExeHeader.Sot
Содержит текстовую строку "Sot".
ExeHeader.TheRat
Опасный вирус, может разрушить некоторые файлы из-за ошибки. Содержит
строку "The Rat, Sofia". Размещает свою резидентную копию в области
стека DOS.
ExeHeader.Vvm.204, 205 (1,2)
Содержат строку "(C)VVM*".
ExeHeader.Vvm.207
Содержит строку "XAM".
Exp.1617
Опасный резидентный вирус. При открытии инфицированного файла вирус
удаляет свой код из данного файла. 24 января уничтожает первые сектора
первого жесткого диска
...Поділитися у соцмережах
