Жанр: Учеба
Описания вирусов
...у:
- --- --- --- - - ---- --- --- --- --- --- --- - - ---
- — - - --- - - — -- ¦¦ - --- - - - - --- --- - ---
--- --- --- - - --- - ---- --- \| --- - - - - - - - - --- - ---
¦\|¦
¦ |¦
\¦/
¦\¦ \ |/ -
\- ¦ \|/¦ -/
\ \ \¦/¦ - /-
¦-\/¦ ¦\ | / / -
¦-\/¦ \ \|/¦ - /-¦
¦-\/ ¦ \¦/ ¦\/--
¦--\/- ¦\ ¦ / \/-
- -\/ \|/¦ ¦ \/-
¦-\/ ¦\|/¦ \/- --- -
--- ---- -\ -¦ ¦/ \/- --- - --
— -- ---__ \ \|/_/ ---- ---
----- "---|--- ----
----- ----- ¦ ------- ---
¦
Содержит текстовые строки: "SCCLVSNEHTTBVIRAFEMTBR", "Amsterdam =
COFFEESHOP!" и "MK1992"
MtE.Darkstar
Нерезидентный полиморфный вирус. Содержит строку:
"NightMare Labs, United Kingdom-
- DarKStaR -".
MtE.Dedicated (1-3)
Полиморфные вирусы. Выводят тексты:
We dedicate this little virus to Sara Gordon,
who wanted to have it corrected--
learn to program before you touch M_t_e
или:
We dedicate this little virus to Sara Gordon
who wanted to have a virus named after her.
MtE.Encroacher
Опасный нерезидентный полиморфный вирус. Уничтожает файлы chklist.cps,
C:\CPAV\CPAV.EXE, C:\CPAV\VSAFE.COM. Периодически записывает в EXE-
файлы текущего каталога 'троянскую' программу, перезагружающую
компьютер. Содержит текстовые строки: "ENCROACHER is here", "*.COM
chklist.cps C:\CPAV\CPAV.EXE C:\CPAV\VSAFE.COM *.EXE".
MtE.Fear
Очень опасный нерезидентный полиморфный вирус. Периодически стирает
случайные сектора дисков. Содержит строки: "Fear VirusCreated on 2-5-92
by PkaHerONEhp", "You have nothing to fear except FEAR itself...kein
'.' oder '..' Verzeichnis ist zugeordnet Eintrag .. nicht
wiederherstellbar Eintrag hat eine fehlerhafte".
MtE.Groove
Очень опасный полиморфный вирус. Уничтожает файлы C:\NAV_._NO,
C:\NOVIRCVR.CTS, C:\NOVIPERF.DAT, C:\CPAV\CHKLIST.CPS,
C:\TOOLKIT\FILES.LST, C:\UNTOUCH\UT.UT1, C:\UNTOUCH\UT.UT2, C:\VS.VS.
После заражения файла может вывести сообщение:
Dont wory, you are not alone at this hour...
This Virus is NOT dedicated to Sara
its dedicated to her Groove (...Thats my name)
This Virus is only a test Virus therefor
be ready for my Next Test ....
MtE.Insuff
Нерезидентный очень опасный вирус полиморфный вирус. Ищет COM-файлы и
записывается вместо них. Содержит строки: "Insufficient memory",
"Out of stack", "Not enough memory".
MtE.LC92
Очень опасный полиморфный вирус. Если все файлы уже заражены, то он
стирает случайно выбранный сектор случайно выбранного диска. Содержит в
себе строку:
MuTant Engine COM Infector - Research Vers 1 © LiquidCode 92
MtE.Metal
Резидентный полиморфный вирус. Содержит строки: "Into the darkness
march the armies of the night", "Bound by Metal we live to fight".
MtE.Mother
Нерезидентный полиморфный вирус. Периодически рисует на экране картинку
и играет мелодию на очень высокой частоте - писке.
-==¬єйЭкЄ-==¬
- 1067462 -===========- \
г==============- T¬ г----¬ TT---¬ L===============¬
¦ ¦¦ ¦ - ¦¦ L¬ ¦
¦ ¦¦ ¦-¦ ¦¦ ¦ ¦
г-- ¦ ¦L ¬ ¦ ¬ ¦L г- ¦ --¬
L---- L----- L----- ¦----- L----
""""" г-----¬ г----¬ TT---¬ TT---¬ г----¬ T¬ T TT---¬ """""
г---¬ г-- ¦ - ¦- ¦ ¦- ¦ ¦ - ¦¦ ¦ ¦¦ ¦ г---¬
L-- ¦ X ¦-¦ ¦----- ¦----- ¦-¦ ¦¦ ¦ ¦¦ ¦ ¦ ---
¦ г-- ¦ ¬ ¦ ¦ ¦ ¬ ¦L ¬ ¦ ¦L ¦ ¦
¦ L------ L----- - - L----- L----- ¦ ¦ ¦ ¦
L======================¬ -=======================-
L=ўўўў/ъ\ўўўў=-
Содержит тексты: "Ripped this Motherfucker off SHIT!!! Wont work...."
и "We dedicate this little virus to Sara Gordon who wanted to have a
virus named after her."
MtE.Pogue
Неопасный резидентный полиморфик. Иногда играет мелодию. Содержит
тексты: "TNX2DAV", "Pogue Mahone!".
MtE.Questo
Нерезидентный опасный полиморфный вирус. Стирает Boot-сектора дисков.
Содержит текст: "Questo sistema К stato infettat*.COM".
MTZ.971
Неопасный, самошифрующийся вирус. В зависимости от времени может
вывести на экран текст: You are lucky. Full moon tonight.! Содержит
текстовую строку: MTZ Virus 1.0 - From Italy
MTZ.1907
Неопасный, полиморфный стелс-вирус. Перехватывает прерывания 3h, 15h,
21h. Активизируется если версия DOS не ниже 5.0. Устанавливается
резидентно в область UMB. Заражает файлы при вызове функций DOS
FindFirst, FindNext. При нажатии на Ctrl-Alt-Del выводит на экран:
Y.K.K. - © M T Z - Italy!
Good Luck Today
MTZ.Overkill.1191, MTZ.Overkill.1308, MTZ.Overkill.1385
Неопасные полиморфные вирусы. При некоторых условиях выводят текст
и ждут нажатия на клавишу. Если будет введена 'Y', то вирусы "вешают"
систему. Если 'N' - возвращают управление инфицированной программе.
MTZ.Overkill.1191 и MTZ.Overkill.1308 содержат текстовую строку
"Procedure From VCL 1.0".
MTZ.Overkill.1191 содержит строку "Chi vuol esser lieto, sia: di
doman non v'e' certezza"
Выводимые сообщения:
MTZ.Overkill.1191:
"OverKill Virus By MTZ - From Italy - Are You ready (y/n) ?"
MTZ.Overkill.1308:
"OverKill II Virus By MTZ - From Italy - Are You ready (y/n) ?"
MTZ.Overkill.1385:
"OverKill III Virus By MTZ - From Italy - Are You ready (y/n) ?"
MTZ.Overkill.2624
Неопасный полиморфный стелс-вирус. Активизируется если версия DOS
не ниже 5.0. Устанавливается резидентно в область UMB. Заражает файлы
при вызове функций DOS FindFirst, FindNext, EXEC. При резидентном
вирусе, при открытии файла - удаляет вирус из файла, а при закрытии
вновь заражает его. 30 числа любого месяца, в зависимости от систем-
ного времени, может вывести текст:
Overkill IV Virus - By MTZ - From Italy - "Hit any key to continue"
(Cazzo! Anche oggi un altro 2 di picche, ma si puo' andare avanti cosi' ?)
MTZ.PinkPanther.4510, MTZ.PinkPanther.5081
Очень остроумно определяют оригинальный адрес обработчика INT 21h,
перехватив INT 6 и "забив" ядро DOS байтами 0FFh, предварительно
скопировав данное ядро в область UMB. Содержат расшифровщик,
извлекающий начальные значения регистров из стека. PinkPanther.4510
содержит текстовую строку:
2 - The Pink Panther - © MTZ Sept. 1993 Italy
PinkPanther.5081 31 декабря выводит на экран текст:
Pink Panther 2 (*The Last One*) - © MTZ '1 Jan 1994' Italy
Также в своем теле содержит строку: "Dedicated to Federica!"
Muhamor.4608
Неопасный резидентный вирус. Не заражает файлы, содержащие в своем
имени буквосочетание "WE". Записывает в файл C:\WINDOWS\LOGOS.sys и
C:\WINDOWS\LOGOW.sys изображение мухомора. В результате при выходе из
Windows 95 на его стандартных заставках в правом нижнем углу появляется
изображение мухомора. Вирус содержит текст:
·• O Muhamor virus O •· Краснодар 1997г.
MultiAni
Опасный загрузочный вирус. Записывает свой код длиной 55 байт в область
сообщений загрузочного сектора, и внедряет команду передачи управления
в начало стандартного загрузчика. В декабре вирус выводит на экран
текст: "La multi ani !". Содержит тексты "SoSo3" и "! ina itlum aL".
Murcia.4651
Неопасный резидентный шифрованный вирус. Иногда перепрограммирует
знакогенератор и выводит на экран шагающего человечка с флаконом,
видимо, одеколона. В последствии человечек бросает данный флакон на
"землю" и на этом месте "вырастает" некий дворец с надписью "MURCIA".
Также создает файл MURCIA!!.001, в который записывает текст:
MURCIA (SPAIN): THE BEST PLACE IN THE WORLD!
WHERE THE PEOPLE MAKES VIRUSES FOR YOUR COMPUTER!
NOW, IN SPANISH:
иSABES LO FACIL QUE RESULTARIA BORRARTE TODOS
LOS FICHEROS DEL DISCO? O MEJOR AUN: FORMATEARLO.
QUE PASES UN FELIZ DIA.
Murky
Очень опасный загрузочный вирус. Вирус перехватывает INT 13h (операции
с диском) и при записи секторов через функцию AX=3 записывает данные
сектора, используя другую функцию AX=0Bh (длинная запись) INT 13h. При
чтении же этих секторов через стандартную функцию AX=2 INT 13h, если
происходит ошибка чтения (т.к., сектор, записанный через "длинную
запись" не может быть прочтен стандартным способом), то вирус считывает
"сбойные" сектора с помощью функции AX=0Ah (длинное чтение), и, таким
образом, создает видимость нормальной работы системы. При удалении же
вируса из памяти, жесткий диск становится недоступен средствам DOS.
Программа Dr. Web после удаления вируса из MBR жесткого диска
автоматически приступает с "исправлению" жестких дисков. Помните, что
данная операция может быть довольно продолжительна по времени. Murky
содержит текст "Murky".
Murphy.1008
Опасный резидентный вирус. Удаляет *.ZIP файлы.
Murphy.Tormentor
Очень опасный вирус. 2 числа месяца уничтожает 255 секторов на всех
головках первого жесткого диска. Содержит строки: "NUKE!",
"TORMENTOR,soldier of -=DY=-", "[Thanks DAv!] DEMORALIZED YOUTH!".
Mururoa.2464, 3443
Неопасные резидентные шифрованные вирусы. Mururoa.2464 4 числа выводит
текст:
г=================================================¬
¦ I have one mesage to all people on earth : ¦
¦ Stop all French nuclear testing in the PACIFIC ¦
¦ Dont forgot :Comon people dont like nuc. tests! ¦
¦ This is is a MURUROA 1.386 by Blesk ¦
¦ PLUTONIUM IS BETTER IN POWER-PLANT !!!! ¦
¦ My greet to VYVOJAR,SVL,METABOLIS and all IRC. ¦
L=================================================-
Mururoa.3443 4, 8 и 14 мая выводит на экран текст:
г=================================================¬
¦ I have one mesage to all people on earth : ¦
¦=================================================¦
¦ All French nuc. test`s was STOPED. But MURUROA ¦
¦ IS DEAD !!!!! I am a coder of HELL FIRE and I ¦
¦ BRING YOU """""" FIRE """""" By Blesk/SVL ¦
¦NOTE: Name of this virus is [MURUROA_END] ¦
¦ By Blesk from Slovak Virus Laboratories at .SK ¦
¦ Real name of BOZA is BIZATCH.. STUPID A-VERS !!!¦
¦ PLUTONIUM IS BETTER IN POWER-PLANT !!!! ¦
¦ My greet to: VYVOJAR,SVL,VLAD,SKIMS,40-hex,IR ¦
¦=================================================¦
¦ And to some my friends: DJ.Milan,DJ.Maros, ¦
¦ DJ.Babula(Baby),TINA-huhu,DURO,LACI,Duffy,Kaaa, ¦
¦ Stano ...and more... A zdravim Mira Trnku 8)) ¦
L=================================================-
Не заражают программы, начинающиеся на: avg,fv386,turbo,fv86,guard,
toolkit, scan, virlab,vir,asta,vc,sswap,debug,td,stacker,alik,rex,msav,
cpav,nod,clean,f-pro,tbav,tbdriver,tbclean,tbscan,avast,nav,vshie,dizz,
command, vsafe. Mururoa.3443 содержит тексты: "I am in LOVE now...
ZUZANKA B.B. in Slovakia ":)"8"","For M.T.: Vivat Ziar nad Hronom.. 8))
Uz si rad ?? RADAR v PC Revue 9/94".
MusicBug
Неопасный загрузочный вирус. Иногда проигрывает мелодии.Содержит тексты
"MusicBug v1.06. MacroSoft Corp.", "-- Made In Taiwan --".
MVF.1866, MVF.1896
Резидентные вирусы, перехватывают INT 21h. Но при вызове некоторых
функций INT 21h, пытаются найти COM-файлы и заразить их. В пятницу 13
выводят сообщения:
THE MVF-FILEVIRUS
Programmed 1991 by the MVF
MAD Virus Factory
Mw.278
Неопасный резидентный вирус. Заражает COM-файлы только при копировании
(создании). После 13 заражений выводит текст "Fuck off" и блокирует
работу системы.
MyChild.1000 (1,2)
Неопасные резидентные вирусы. Содержат текст "My Child...
K-on-A".
Nadym.493
Неопасный нерезидентный вирус. Иногда выводит на экран текстовую строку
"[VivatNadym] v.1.0 [1998]". Также содержит текст "Proudly by
[GloomyTanat]".
Nadym.934
Неопасный нерезидентный шифрованный вирус. 2 июня, 3 сентября или 1
апреля вирус выводит на экран один из следующих текстов:
[Yanush Milovski] and [GloomyTanat]
Thanks to Yana Diagileva for their songs
Thanks to Shunya for their love and hate
And Thanks You Stupid User for using our virus
Relax man ... relax ...
[VivatNadym] v.2.0 [1998]
Hello, Welcome to the Psychiatric Hotline.
Nadym.1058
Опасный нерезидентный вирус. Иногда переименовывает C:\AUTOEXEC.BAT в
C:\AUTOEXEC.NAD, создает новый файл C:\AUTOEXEC.BAT, в который
записывает команды:
@echo off
cls
echo.[VivatNadym],_demo_version_[1997].
pause ""nul
Naive.1647
Неопасный вирус. При нажатии на Ctrl-Alt-Del выводит текст (только для
монохромного монитора):
г=====================================¬
¦ Л Ю Д И ! ¦
¦ Да услышат Ааши уши, да не отвра- ¦
¦ тятся глаза Ааши, да внемлют Ваши ¦
¦"сердца, ибо глаголю истину и в ней ¦
¦ ваше"спасение. ¦
¦ Я, пречистый NAIVE, ниспослан на ¦
¦ землю"самим Люцифером, Князем Тьмы, ¦
¦ Хозяином Ада и Господином Страстей. ¦
¦ Он дал мне в руки демонов и"№ерез ¦
¦ них"¤ обращаюсь к вам. Все они без- ¦
¦ вредны для"сынов и дочерей Евы, как ¦
¦ и для"творений"-ук их. ¦
¦ Знайте же,"что не Бог изгнал лю- ¦
¦ дей из Рая и не Сатана ввёл их в ¦
¦ исскушение. Ибо возгордился"человек ¦
¦ и возомнил"себя богом вездесущим и ¦
¦ всезнающим. Заявил он себя господи- ¦
¦ ном"своего тела и"своих страстей. ¦
¦ И чтобы доказать"это, отрекался ¦
¦ от желаний тела: секса, пищи и дру- ¦
¦ гого. Но чего он добился"этим? ¦
¦ Так отрекитесь от власти над телом! ¦
¦ NAIVE. ¦
L=====================================-
Nameless.3000
Очень опасный резидентный шифрованный вирус. При старте инфицированной
программы вирус "выкусывает" свой код из нее, запускает ее, а потом
вновь заражает. Иногда, в зависимости от своих внутренних счетчиков или
при неаккуратной трассировке, уничтожает содержимое жесткого диска, а
также периодически уничтожает содержимое случайных секторов логических
дисков. Содержит текст "Nameless virus v.2.0 Глазовская водка-лучшая в
России! Завалим юзеров вирусами! Игорь, помоги назвать вирус (только не
Nameless) U my last hope... Please...".
Natas.4740, 4744, 4746, 4766, 4774, 4786, 4826, 4918, 4988, 5228
Очень опасные файлово-загрузочные полиморфные вирусы. Заражают MBR
"винчестера", Boot-сектора флоппи-дисков, COM и EXE-файлы. Не заражают
файлы, обрабатываемые программами PKZIP, PKUNZIP, ARJ и LHA. В
зависимости от своих счетчиков могут отформатировать жесткий диск.
Содержат текстовые строки: "Natas" и "BACK MODEM". Natas.4746 содержит
ошибку в процедуре заражения MBR и Boot-секторов дискет. В результате
этого система перестанет загружаться с таких дисков и восстановление
оригинальных MBR и Boot-секторов окажется невозможным. Natas.4774
имеет текст "Time has come to pay ©1994 NEVER-1". Natas.4988 содержит
следующий текст:
Yes I know my enemies
They're the teatchers who taught me to fight me
Compromise, conformity, assimilation, submission
Ignorance, hypocrisy, brutality, the elite
All of whitch are American dreams
© 1994 by Never-1(Belgium Most Hated) Sandrine B.
Nax.858
Опасный резидентный вирус. Из-за ошибки разрушает инфицируемые файлы.
При нажатии на клавишу F5 вирус меняет ее в буфере клавиатуры на F8 и
наоборот - F8 на F5.
Nax.1402
Опасный резидентный вирус. Каждое четвертое нажатие на клавиши
\/:;""()[],.90 изменяет на /\;:"")(][.,09, а также F5-"F8, F6-"F8,
F8-"F5,Enter-"Escape,Escape-"Enter.
NearDark
После загрузки с жесткого диска может вывести строку "NearDark", после
чего уничтожит Partition Table.
Necros.1164
Неопасный резидентный полиморфный вирус. Заражает COM-файлы, внедряя
свой код в их начало. EXE-файлы заражает, как вирус-спутник. Т.е.,
создает COM-файл, содержащий вирусный код с именем EXE-файла. 21 ноября
выводит на экран текст:
Virus V2.0 © 1991 Necros The Hacker.
Written on 29,30 June in Tralee, Co. Kerry, Ireland.
Happy Birthday, Necros!
Содержит строку "Virus V2.0 [FrIEND]".
NED-вирусы
NED (NuKE Encryption Device) - полиморфный генератор вирусных
шифровщиков и расшифровщиков. Содержит текстовую строку: [NuKE]
Encryption Device v1.00 (C) 1992 Nowhere Man and [NuKE]
NED.ItsHard
Опасный нерезидентный полиморфный вирус. В декабре пытается
отформатировать 32 цилиндра первого жесткого диска, после чего
перезагружает компьютер. Содержит строку
IT'S HARD. SMAUG REIGNS SUPREME AS THENEW FORCE IN VIRUS WRITING.
SMIRK. SMIRK. POOF!
NED.Tester
Нерезидентный полиморфный вирус. Перед заражением файла выводит текст:
"Test virus successful!". Содержит строки: "*.COM", "[VCL]".
NeedLove.5000
Опасный резидентный шифрованный вирус. В вирусе присутствуют некоторые
процедуры, которые никогда не получают управления. Так, видимо, в
январе вирусу хотелось бы вывести на экран текст "ALL YOU NEED IS
LOVE!" и запустить по экрану "бегущие" справа налево разноцветные
сердца разного размера, одновременно с этим последовательно читая
сектора жесткого диска, видимо имитируя разрушение информации в них. А
также в теле вируса присутствует подпрограмма записи в файлы текста:
Whenever I'm alone with you
You make me feel like I am free again
Whenever I'm alone with you
You make me feel like I am clean again
However far away I will always love you
However long I stay I will always love you
Whatever words I say I will always love you I will always love you
Вирус содержит текст:
I'm the Ghost 1.5 and maybe last.
It's time to die.
Viruses adding on and on...DrWeb's getting too slow.
What's next?
Halt?
Neko.2697
Резидентный полиморфный вирус. Отличается оригинальным алгоритмом
шифрования. Помимо простого шифровщика вирус создает код, который в
случайных местах уже зашифрованного вирусного кода изменяет некоторые
байты и слова (XOR, ADD, SUB, INC, DEC, AND). Во вторник перед
заражением файла выводит текст:
Dear Mrs.Grandy:
Aloha!
It is me,Neko again! This is the lastest version 2.0
Undoubtedly,I am not what I was.
Let me tell you something about my improvement.
I work with the Antilogic Engine I.
It is a new invention.So,
Showtime! Neko version 2.0
Made by Metal Satan
Nessuno.2170
Опасный резидентный полиморфный вирус. Разрушает, записывая в случайное
место файла 21 случайный байт, файлы, расширения которых заканчиваются
на буквы, указанные в следующем списке (2 последовательных символа для
каждого файла): ocxtas.cppodroorsmspldakrgbfpsiprj. Содержит текст
"[For pirates... (C)1993-94 nessuno] sono solo stronzate".
Net.4340
Опасный резидентный вирус. Может записывать в программы троянский код,
уничтожающий CMOS и сектора дисков. Содержит текст "Retix PC-21
NETBIOS".
Neurobasher.Alpha
Неопасный резидентный стелс-вирус. При старте или открытии зараженных
файлов вирус удаляет свой код из них. Иногда выводит сообщение:
¦ оАLPHA STRIKЕп • Advanced Tactical Viral Implant by NEUROBASHER'93 / Germany
Neurobasher.Avalanche
Опасный резидентный шифрованный вирус. При старте файлов, содержащих
словосочетания F-PR, TBAV, SCAN, MSAV, CPAV, TBME, TBFI, TBSC, VIRS,
TBDR, вирус удаляет их. Содержит текст "AVALANCHE/Germany '94...Metal
Junkie greets Neurobasher".
Neurobasher.Havoc (1,2)
Файлово-загрузочные полиморфные стелс-вирусы. Заражают MBR,
Boot-сектора дискет и EXE-файлы. При старте зараженной программы вирусы
первым делом устанавливает свою TSR-копию в память по адресу 7C00:0000,
перехватывают INT 13h и INT 21h, причем при "захвате" INT 21h, вирусы
могут внедрить инструкции перехода на свой обработчик в оригинальный
обработчик прерывания DOS, находящийся в HMA. После этого заражают MBR
"винчестера", шифруют истинный "спрятанный" в 7 секторе MBR и
Boot-сектор активного раздела DOS. 9 секторов своего тела вирусы
записывают начиная с 8 сектора жесткого диска. При загрузке с
инфицированного жесткого диска вирусы устанавливают в память по адресу
7C00:0000 свой код, перехватывают INT 13h, INT 21h, ждут загрузки DOS,
и "законным" способом (f.48h INT 21h) получают свой участок памяти. При
возможности размещают себя в область UMB. Заражают дискеты емкостью
1.2M или 1.44M. Причем вирусы форматируют дополнительную 81 дорожку из
10 секторов, куда "прячут" оригинальный Boot-сектор и 9 секторов своего
кода. Havoc (1) содержит ошибку в процедуре заражения Boot-секторов
дискет. Правильное заражение флоппи-дисков будет происходить только в
том случае, если первая команда загрузчика JMP SHORT PTR (EBh ??). Во
второй модификации вируса данная ошибка исправлена. Через 3 месяца
после заражения компьютера вирусы выводят сообщение:
Havoc (1):
"HAVOC" by Neurobasher'93/Germany - GRIPPED BY FEAR - UNTIL DEATH US DO PART !
Содержит также строку "'1993 / Germany """".
Havoc (2):
"HAVOC" by Neurobasher'93/Germany -GRIPPED-BY-FEAR-UNTIL-DEATH-US-DO-PARTNeurobasher.N8Fall.527
Неопасный резидентный стелс-вирус-спутник. Не заражает файлы,
содержащие символы "F-" (F-PROT). Содержит текстовую строку
"-A-VICTORY-THAT-WON'T-LAST-"
Neurobasher.N8Fall.4518 (1,2), 5770, 5081
Неопасные резидентные полиморфные стелс-вирусы. Устанавливают свою TSR-
копию в область UMB или в верхние адреса памяти. Внедряют прямой
межсегментный CALL на свой код в оригинальный обработчик DOS INT 21h.
Иногда выводят на экран сообщения:
Neurobasher.N8Fall.4518 (1,2):
Invisible and silent - circling overland :
\\\ N 8 F A L L ///
Rearranged by Neurobasher - Germany
-MY-WILL-TO-DESTROY-IS-YOUR-CHANCE-FOR-IMPROVEMENTS-
Neurobasher.N8Fall.5770, 5081:
"Any means necessary for survival"
Ё N8FALL/2XS Ё
"By the perception of illusion we experience reality"
Art & Strategy by Neurobasher 1994 - Germany
"I don't think that the real violence has even started yet"
Neurobasher.N8Fall.4518 (1,2) иногда вызывает печать экрана на принтер
(Int 05). Neurobasher.N8Fall.5770,5081 при завершении работы какой-либо
программы (f.4Ch INT 21h) может установить в память "на INT 21h" другой
стелс-вирус-спутник Neurobasher.N8Fall.527, хранящийся в теле вируса-
родителя в зашифрованном виде, который в дальнейшем может "жить
собственной жизнью".
Neurobasher.Tremor
Неопасный резидентный полиморфный стелс-вирус. Трассирует INT 21h.
Копирует свою TSR-копию в область UMB, если это возможно. Перехватывает
INT 15h, 21h, причем может не просто перехватить INT 21h, а
"вклиниться" в цепочку обработчиков INT 21h. И сам перехват INT 21h и
15h довольно необычен: вирус находит в памяти PSP (префикс программного
сегмента) резидентной части командного процессора и оставляет в нем по
смещению 5 и 53h прямые межсегментные jump'ы соответственно на свои
обработчики INT 21h, 15h. И делает ссылки векторов в таблице прерываний
или значения адресов межсегментных переходов на установленные им
инструкции переходов в PSP COMMAND.COM. INT 15h вирус использует для
вызова видеоэффекта: при нажатии на Ctrl-Alt-Del, иногда, выводится
сообщение:
-=" T•R•E•M•O•R was done by NEUROBASHER / May-June'92, Germany "=-
-MOMENT-OF-TERROR-IS-THE-BEGINNING-OF-LIFE-
Также, в некоторые моменты, вирус может "потрясти' экран.
Nexivder.4224, 4286
Неопасные файлово-загрузочные полиморфные вирусы. Заражают MBR жесткого
диска, загрузочные сектора дискет и COM-файлы. В COM-файлы вирусы
внедряются в середину файлов, используя трассировку для замены по
случайному смещению программы определенной вирусом программной
инструкции на вирусную команду передачи управления (CALL NEAR).Основной
зашифрованный вирусный код размещается в конце файлов.
NextGen.2304
Неопасный резидентный стелс-вирус. Содержит текст "The NextGen Stealth
Virus IL USA, 6-93...(Revision)".
NG.695, 1036
Неопасные резидентные вирусы. Перехватывают INT 20h, INT 21h, INT 27h,
ожидают окончания работы инфицированной программы, после чего
восстанавливают указанные вектора прерываний и перехватывают INT 13h и
INT 28h. После каждого 4го вызова INT 28h пытаются найти в текущем
каталоге (f.4Eh, 4Fh INT 21h) и заразить *.COM-файл. С помощью INT 13h
контролируют запись на диск (AH=3) и производят поиск и заражение
только после данной записи. Содержат зашифрованные тексты:
NG.695: "New Generation v.2.1 (NG-2.1 Ukr)",
NG.1036 "NG-2.3 Ukr", "i vir our service".
Nice
Неопасный загрузочный стелс-вирус. Шифрует оригинальный загрузочный
сектор. Может вывести сообщение "Virus "NICE"".
Nigeb.890
Опасный резидентный вирус. При записи в файл или на экран (f.40h INT
21h) слова BEGIN вирус изменяет его на NIGEB. На экране же при встрече
слова NIGEB вирус изменяет его на первоначальное BEGIN. Содержит тексты
"igeb", "egin", "AntiPascal-1 (C)Godzilla Corp.".
Nikolas.1101
Неопасный резидентный вирус. Содержит зашифрованный текст "Nikolas" и
"V4.5".
N
...Поділитися у соцмережах
