Жанр: Учеба
Описания вирусов
... "HyDra-X Beta - Not For Release.", где X -
порядковый номер версии вируса.
Pixel.Hydra.736
Неопасный нерезидентный вирус. Иногда выводит на экран сообщение:
HYDRA
Watch for the many heads.
The first eight are easy to find and kill.
Their replacements will be more sophisticated.
© 1991 - C. A. V. E.
Содержит тексты "HyDra Beta - Not For Release.", "Copyright © 1991
by C.A.V.E.", "Coalition of American Virus Engineers",
"-=-=- Dedicated to supporting the anti-virus industry
without recognition or reward. -=-=-".
Plague.2647
Неопасный резидентный стелс-вирус. При открытии инфицированных файлов
(f.3Dh INT 21h) удаляет свой код из них. При закрытии (f.3Eh INT 21h)
снова заражает. Внедряет команды межсегментного перехода на свой код в
оригинальный обработчик INT 21h. При заражении файлов на флоппи-диски
проверяет наличие защиты от записи на диск посредством чтения и
обратной записи Boot-сектора данного диска. Содержит строку "PLAGUE".
Platov.1644, 1700
Опасные резидентные вирусы. При смене директории на GAMES или ANT*,
выводят тексты:
Access Denied Software presents Access Denied Software presents
The PC Virus The PC Virus
Компьютер создан не для игр! Не пытайтесь меня уничтожить!
И уничтожают файлы в этих каталогах. При смене диска на A: (f.0Eh Int
21h) выводят такой текст:
Access Denied Software presents
The PC Virus
Не пользуйтесь дискетами.
Там могут быть вирусы.
После чего уничтожают 256 секторов диска A:. При печати на принтер
меняет букву "е" на "э" и после каждой запятой вставляют междометие
"бля". Содержат тексты "Programmed by Andrey Platov 15 years old on
09.07.1992", "Hello to Igan, Pershin ЧМО".
PlayGame.2000
Неопасный файлово-загрузочный вирус. Заражает EXE-файлы при доступе к
ним через INT 21h и MBR жесткого диска при первом старте инфицированной
программы. Инсталляция в память TSR-копии вируса производится при
загрузке системы с "винчестера". Содержит текстовые строки "[ MK /
TridenT ]" и "CO4DSCCLVSNEHTTBVIF-FIGIIMRAFEMTBR". Не заражает
программы, которые начинаются с двух букв, имеющихся в последней
строке. В декабре с 21 часа вирус выводит приглашение к игре:
H A P P Y V I R U S
T i m e t o p l a y a g a m e
(Use shift keys)
После чего вирус предлагает поиграть в игру, смысл которой сводится к
провождению "улыбающейся рожицы" код ASCII 02 между двигающимися
препятствиями код ASCII 254. В процессе анализа вируса я даже поиграл в
данную игрушку. Дошел аж до 2 уровня... Вид игры выглядит, примерно,
так:
¦
¦
¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦
Ply.based (Ply.3360,3486,3759,3768,4224,4722,5133,5175)
Опасные нерезидентные пермутирующие (pemutating) вирусы. Данные вирусы
не являются, ни шифрованными, ни полиморфными вирусами. Но алгоритм
создания своих вирусных копий очень близок к полиморфным алгоритмам.
Каждая ассемблерная команда вируса занимает не более 3 байт, эти 3
байта в свою очередь составляют некую вирусную компоненту. Если
ассемблерная инструкция занимает менее 3 байт в компоненте, то вирус
"разбавляет" ее NOP-командами. Причем в случайный момент времени эти
NOP'ы могут изменять свое местоположение ("плавать") в компоненте.
Например:
FB STI -" 90 NOP -" 90 NOP
90 NOP FB STI 90 NOP
90 NOP 90 NOP FB STI
Вирусы состоят из 3 блоков: основной блок, блок данных и блок
тождественных вызовов. Также в случайный момент времени вирусы могут
переносить данные трехбайтовые компоненты из основного блока в блок
тождественных вызовов и заменять их на JUMP или CALL в основном блоке.
И наоборот из блока тождественных вызовов в основной блок в
первоначальном виде. Например:
FB STI -" E9 ?? ?? JMP LOC_1
90 NOP
90 NOP
RET_1: RET_1:
E8 ?? ?? CALL LOC_1 B8 00 01 MOV AX,100
LOC_1: LOC_1:
B8 00 01 MOV AX,100 90 NOP
C3 RET FB STI
?? 90 NOP
?? E9 ?? ?? JMP RET_1
Таким образом, одинаковые инфицированные файлы могут не совпадать
ни в одном байте основного вирусного блока. Различные модификации
вируса могут не заражать следующие файлы: AVP,AVPLITE,AVPVE,BAIT,EICAR,
EMM386, F-PROT, FV386, FV86, MSAV, MVTOOL10, SCAN, TBSCAN,TBAV,TBCHECK,
TBCLEAN, TBDISK, TBDRIVER, TBFILE, TBGENSIG, TBKEY,TBLOG,TBMEM,TBSETUP,
TBSCANX,TBUTIL,VALIDATE,VIRSTOP,VIRUS,VPIC,VSAFE. Ply.4722, 5133, 5175
удаляют файл \NCDTREE.
PM.Wanderer
Неопасный резидентный полиморфный вирус, использующий защищенный
(виртуальный) режим процессоров i80386-Pentium. Для установки своей
резидентной копии в память и переключения в защищенный режим процессора
(Protected Mode) использует документированный интерфейс VCPI (Virtual
Control Programm Interface) драйвера расширенной памяти EMS (EMM386).
Вирус заражает COM и EXE-файлы при их запуске или открытии (f.4b00h,
f.3dh Int 21h). При старте инфицированной программы, вирусный
полиморфный декриптор расшифровывает основное тело вируса и передает
ему управление. Далее основной вирусный код выделяет участок памяти в
верхних адресах, копирует в него собственный код и передает ему
управление. Затем он восстанавливает код инфицированного файла в
программном сегменте (для EXE-файлов также производит настройку адресов
перемещаемых элементов) и приступает к непосредственному внедрению
в память своей резидентной копии. Первым делом вирус пытается выяснить
установлен ли в системе драйвер EMS. Для этого он получает адрес
прерывания INT 67h и проверяет наличие строки EM* в заголовке драйвера.
Далее вирус проверяет не находится ли уже в памяти его резидентная
копия - вызывает функцию AX=0BABAh INT 21h и проверяет ответ AX=0FA00h.
Если драйвер EMS не установлен в системе или вирусная резидентная копия
уже находится в памяти, а также в дальнейшем -при отсутствии интерфейса
VCPI, вирус освобождает ранее выделенную память и отдает управление
программе-вирусоносителю, заканчивая тем самым свою "жизнедеятельность"
в системе. Если же "условия флоры" благоприятствуют, то вирус
"перехватывает" INT 01 и трассирует INT 21h с целью нахождения
определенной последовательности байт, присутствующих в оригинальном
обработчике INT 21h MS - DOS версий 5.00 - 7.00. Если данная
последовательность обнаружена, то вирус запоминает адрес ядра
обработчика INT 21h, обычно расположенного в области HMA. В дальнейшем
вирус будет использовать этот адрес для вызова INT 21h при заражении
файлов. Дальнейшие действия вируса - проверка наличия в системе
интерфейса VCPI и получение 4-ех адресов страниц памяти. Затем вирус
получает адрес интерфейса VCPI, таблицу страниц и адрес глобальной
дескрипторной таблицы GDT (Global Descriptor Table), состоящей из трех
элементов (первый - дескриптор сегмента кода, два другие - используются
драйвером VCPI). Вирус записывает в таблицу страниц ссылку на страницы,
выделенные им драйвером VCPI, получает физический адрес страницы памяти
сегмента, в котором вирус в данный момент находится. Потом получает
регистры глобальной дескрипторной таблицы GDT и дескрипторной таблицы
прерываний IDT (Interrupt Descriptor Table). Далее вирус создает три
собственных дескриптора (кода и данных) и дескриптор сегментов
состояния задачи TSS (Task State Segment) в глобальной дескрипторной
таблице GDT, подготавливает значения для регистров CR3, GDTR,IDTR,LDTR,
TR и адрес CS:EIP точки входа в защищенный режим и производит
переключение процессора в защищенный режим работы с наивысшим уровнем
привилегий - 0. В защищенном режиме вирус корректирует таблицу GDT,
создавая в ней два собственных дескриптора сегментов и производит поиск
дескриптора TSS. После чего вирус устанавливает две аппаратные
контрольные точки по командам (Breakpoints) на первый байт кода
обработчика INT 21h (адрес 0000:0084h) и на первый байт кода в BIOS по
адресу 0FE00:005Bh (линейный адрес 0FE05Bh). Обычно в BIOS по адресу
0FE00:005Bh находится команда перехода (Near Jump) на процедуру
перезапуска компьютера. Затем вирус корректирует дескрипторную таблицу
прерываний таким образом, чтобы установить на прерывания: 1 (особый
случай отладки) и 9 (клавиатура) собственные дескрипторы обработчиков
данных прерываний. После этих приготовлений вирус копирует свой код
в страницу памяти, полученную им еще до входа в защищенный режим и
производит переключение процессора в виртуальный режим работы.
Вирусный обработчик INT 09 производит контроль за наличием и (или)
восстановлением своих двух контрольных аппаратных точек. А также,
данный обработчик отслеживает нажатие на Ctrl-Alt-Del и в этом случае
"сбрасывает" все аппаратные контрольные точки. Вирусный обработчик
особого случая отладки проверяет произошло ли нарушение одной из двух
"вирусных" контрольных точек по адресу команды.Если управление в данный
обработчик попало из точки, находящейся "на процедуре" в BIOS -
перезагрузки компьютера, то вирус сбрасывает все аппаратные контрольные
точки, так же, как и обработчик INT 09 при нажатии на Ctrl-Alt-Del.
Если же нарушение вызвано контрольной точкой оригинального обработчика
INT 21h, то вирус анализирует значение регистра AX (или AH) с целью
определения функции прерывания INT 21h и в зависимости от этого
предпринимает различные действия. Если AX=0BABAh, то вирус считает, что
данный вызов исходит от его "собрата",записывает в AX значение 0FACCh и
возвращает управление оригинальному обработчику INT 21h. Если AX=3506h
(получить адрес прерывания INT 06;обычно такой вызов существует во всех
программах, написанных на языках высокого уровня: C, Pascal,...), то
вирус пытается найти в пространстве линейных адресов 0-90000h некоторую
последовательность байт, очевидно, принадлежащих программе ADinf
(Дмитрию Мостовому - автору ADinf, не удалось найти такую версию ADinf
от 10.00 до 11.01, в которой данная последовательность байт бы
присутствовала). Если данная последовательность будет вирусом найдена,
то он неким образом модифицирует найденный код, так, чтобы управление
не попадало на вызов какой-то межсегментной процедуры. Если AX=4B00h
(запуск программы) или AH=3dh и AL не равно ?Fh (открытие файла только
на чтение), то вирус копирует свой код по адресу 9000:0000h (линейный
адрес 90000h),переключает процессор в виртуальный режим работы и отдает
управление своему коду, находящемуся в пределах первого мегабайта в
сегменте 9000h. Вирус проверяет последние две буквы расширения имени
файла и производит создание своей полиморфной копии и заражение файлов
размером более 4K. Причем вирус внедряет свой код в начало COM или в
середину (сразу же за заголовком) EXE-файлов, запоминая оригинальный
программный код в конце файлов."Реальный рабочий код" вируса составляет
3684 байт, но на практике инфицированные файлы имеют приращение длины
более 3940 байт.При возникновении любой ошибки в процессе заражения или
при выходе из виртуального режима процессора вирус вызывает INT 21h с
AX=4B00h для вызова особого случая исключения и возвращения управления
оригинальному обработчику INT 21h. Вирус в своем теле содержит текст
"WANDERER,© P. Demenuk". По этой строке, видимо,можно сделать выводы,
что автором данного "шедевра" следует считать московского человека -
Петра Деменюка. Через три года Петя создал все-таки свой новый
"великолепный продукт, достойный восхищения...".
Из всего вышесказанного следует, что обнаружить резидентную копию
данного вируса, находящегося в нулевом кольце защищенного режима
процессора обычными способами невозможно. Для обнаружения вируса в
памяти необходимо переключаться в защищенный режим с наивысшими
привилегиями и по таблицам GDT или IDT производить его поиск. Но
попытаться обнаружить признаки вируса в системе можно и обычными
способами. Для этого необходимо прочитать линейные адреса двух первых
аппаратных контрольных точек (0 и 1) и сравнить их со значениями,
которые описаны выше. На основании наличия определенных адресов и
делается вывод о возможности нахождения вируса PM.Wanderer в памяти
компьютера.
Теперь немного о результатах тестирования. При заражении нескольких
тысяч файлов-жертв вирус проявил себя, как "жилец" - все зараженные
файлы оказались работоспособными. Здесь надо только сделать поправку -
файлы могут оказаться неработоспособными в том случае, если их стек
после заражения окажется в области вирусного кода. PM.Wanderer при
заражении файлов не корректирует значения стартовых SS:SP. Как уже
отмечалось выше, вирус сохраняет способность к воспроизводству,только в
том случае, если в системе установлен драйвер EMS (EMM386). При
установленном драйвере EMM386 с ключом NOEMS, вирус перезагружает
компьютер. Компьютер также может перезагрузиться, если в системе
используется драйвер QEMM386. Самое интересное в том,что если в системе
находился резидентный вирус, а потом произошла загрузка Windows 3.1x
или Windows'95, то вирус не сможет размножаться в данных операционных
средах, но при выходе в DOS, вирус опять получает управление и может
"трудиться не покладая рук". Если же вирус будет запущен в Windows DOS-
окне, то из-за отсутствия интерфейса VCPI вирус не сможет переключиться
в защищенный режим. Под OS/2 вирус - нежизнеспособен, также из-за
отсутствия VCPI. В заключение стоит отметить, что это первый известный
вирус (причем, российский), использующий защищенный (виртуальный) режим
работы процессора и не конфликтующий с операционными системами "от
Microsoft", работающими также в защищенном режиме.
PME - вирусы
PME (Phantasie Mutation Engine) - полиморфные генераторы вирусных
шифровщиков и расшифровщиков. Создан китайским вирусописателем по
кличке Burglar. Существуют две версии данного генератора. Они содержат
тексты:
PME v1.00 (C) Jan 1995 By Burglar
PME v1.01 (C) Feb 1995 By Burglar
PME.Burglar
Опасный резидентный полиморфный вирус. Иногда вешает систему и выводит
текст:
Hello! This is [Super Virus-2] ... written by Burglar in Taipei, Taiwan
Pojer.1941, 4028
Неопасные резидентные шифрованные (Pojer.4028 - полиморфный) вирусы. 17
ноября и 6 февраля выводят на экран тексты:
Pojer.1941:
** B R A I N 2 v1.40 **
WARNING ! Your PC has been WANKed !
"" 17.11.1989 ""
Viruses against political extremes , for freedom and parliamentary democrac
"" STOP LENINISM , STOP KLAUSISM , STOP BLOODY DOGMATIC IDEOLOGY !! ""
Remarks:
- for John McAfee: John,your SCAN = good program.
- for CN and his company:
Boys,the best ANTI-VIRUSES are Zeryk,Saryk and Vorisek !
- for F : Girls are better than computers and programming !
This program is copyright by SB SOFTWARE All rights reserved.
O.K. Your PC is now ready !
Pojer.4028:
** BRAIN2 v2.00beta - upgrade from POJER **
BETA tester, thank you,
.. have a nice day in cyberspace ...
This crazy program is © 12/93 by SB
Polimer.512
Неопасный нерезидентный вирус. При старте вирус выводит сообщение
"A legjobb kazetta a POLIMER kazetta ! Vegye ezt !". Содержит строку
"ERROR".
Polska.4004
Неопасный вирус. В 1994 году 7 и 23 числа каждого месяца до июля
выводит в графическом режиме поднимающийся на флагштоке развивающийся
бело-красный польский флаг, на котором написано "TERAZ POLSKA" и в
левом вернем углу текст:
TERAZ POLSKA v2.0
produced by NoName
All rights reserved
© 93.12.22 POLAND
Poro.1257
Опасный резидентный вирус. С 15 по 25 сентября выводит на экран текст:
С Днем рождения, Аллочка !
Наилучшие пожелания твоему Hard Disk'у !
При записи на диск (f.03 Int 13h) вирус пытается найти словосочетания
"Bori", "BORI", "Бори" и "БОРИ" и заменить их соответственно на "Poro",
"PORO", "Поро" и "ПОРО". Содержит зашифрованный текст "Turbo Bugger (C)
1994 Dedicated to Alla R. Borisyuk ( МЕХ-МАТЬ 307 )".
Poruchik.2774
Написан для процессора 386. Устанавливается резидентно в верхние адреса
памяти. При смене директория (f.3Bh INT 21h) вирус производит поиск
файлов *.exe и заражает их. Содержит текст: "Поручик Лозинский,
раздайте Aidstestы".
Possessed.2175, 2367, 2438, 2443, 2446 (1,2)
Опасные резидентные вирусы. Иногда удаляют файлы. Рисуют на экране в
графическом видеорежиме улыбающееся лицо. Выводят текст "POSSESSED!
Bwa! ha! ha! ha! ha!". Также содержат строку "Author: JonJon Gumba of
AdU".
Predator.1063,1072 (2),1137,1148,1154,1195
Опасные резидентные самошифрующиеся, кроме Predator.1063, вирусы.
Перехватывают INT 21h и INT 13h. При чтении секторов через INT 13h
вирусы могут испортить значение одного случайно выбранного бита в
буфере считанных секторов. Содержат текстовые строки:
Predator.1072 (1): Predator virus © Mar. 93 Priest
Predator.1072 (2):
Predator Strain B © 1993 Priest - Phalcon/Skism
Predator.1063,1137,1148,1154,1195:
Predator virus © Mar. 93
In memory of all those who were killed...
Wookies ain't the only ones that drop! Priest
Predator.2448
Резидентный файлово-загрузочный полиморфный вирус. При старте
инфицированного файла трассирует INT 13h и INT 21h, становится
резидентно в верхних адресах памяти. Может "внедриться" в оригинальный
обработчик INT 21h, произведя изменение его 5ти первых байт. Заражает
MBR и Boot-сектора дискет, причем загрузочный сектор диска шифрует и
"прячет": для жесткого диска в секторе 2, для дискет - в первом секторе
последней дорожки. Содержит текстовую строку: Predator virus #2 ©
1993 Priest - Phalcon/Skism
Pretentious.680
Неопасный нерезидентный вирус. Иногда выводит на экран текст:
Windows 95 may be dangerous.
OS/2 is the best operating system!
I`ll prove it soon...
Также содержит строку "* Gdynia 1996 * v1.0 *".
Priest.1416
Нерезидентный очень опасный вирус. Заражает COM и EXE-файлы в текущей
директории. Если номер месяца совпадает со значением дня, то вирус
считывает 9 первых секторов жесткого диска в память, уничтожает их на
диске, а затем выводит текст:
Я великий вирус ЖРЕЦ !!! Только что я стер ваши BOOT,MBR и FAT.
Не расстраивайтесь ,эта жертва будет принесена только если
вы не отгадаете загадку (отвечайте латинскими буквами) :
Какой в КМУГЕ самый лучший факультет :
Если ответить, что fareo, то вирус восстановит первые сектора диска.
Также в 16 часов вирус может вывести сообщение:
"Hello i'm virus Crazy Priest !!!
Мне очень жаль,но в жертву был принесен файл " - дальше идет имя файла.
В данный файл вирус будет записывать случайную информацию, до тех пор,
пока не будет нажата клавиша "Space" - "Пробел". 15 августа выводит
текст: "HAPPY BIRTHDAY CRAZY !!!".
Printerceptor
Опасный резидентный стелс-вирус-спутник. Перехватывает INT 21h.
Блокирует вывод на принтер. Содержит строку "Printerceptor".
Privet.1152
Неопасный резидентный вирус. При старте может вывести текст "привет
всем". также содержит тексты "*.exe skh", "плохо дело".
Problem.734, 845, 854, 856, 857, 863
Неопасные резидентные вирусы. Problem.854, 856, 863 содержат текст
"THIS IS YOUR PROBLEM !", Problem.857 - "by Mojo Risin for 1605",
Problem.845 - "dATA kILLER !".
Procuror
Очень опасный Boot-вирус. Имеет различные загрузчики для жестких и
гибких дисков. При загрузке с гибкого диска может отформатировать
начальную дорожку первого жесткого диска. Оригинальный MBR шифрует и
прячет в 7 секторе первой дорожки. Для гибких дисков оригинальный
Boot-сектор и 2 сектора своего продолжения записывает в последние 3
сектора последней дорожки. При загрузке с флоппи-диска прехватывает INT
1Eh и INT 13h. При загрузке с "винчестера" перехватывает INT 08h
(таймер), INT 13h, INT 17h (вывод на принтер). При выводе на принтер
цифр 0-4, вместо них выводит значения увеличенные на 1, вместо цифры 5
выводит 0. Примерно через 30 минут работы после загрузки в буфер
клавиатуры помещает слово "PROCUROR". Может изменить значение часов
реального времени в CMOS-памяти.
Prohibit.1500
Неопасный резидентный шифрованный стелс-вирус. При открытии файла вирус
удаляет свой код из файла, при его закрытии снова заражает его. Иногда
выводит текст "Will see you next time . Stone 93". Также содержит текст
"Prohibit MARYJUANA".
Promiscuo.2725
Опасный резидентный полиморфный вирус. Уничтожает файлы ANTI-VIR.DAT,
CHKLIST .MS, CHKLIST.MS,THIMAGEN.ARC,ACUARIO.SEX,TH.RPT.Содержит тексты
"pRoMiScUo ViRuS DeDiCaDo A ToDaS MiS MuJeReS!!","©1996 por pRoMisCuO
sExUaL!!".
PrtSc.1024 (1,2)
Неопасный резидентный вирус. Свое название получил за "перехват" INT 05
(Print Screen).
Punisher.1632
Неопасный резидентный шифрованный вирус. Имеет строку "The Punisher-I".
Puppet.487
Неопасный резидентный шифрованный вирус. Содержит текстовую строку
"[PS/G¤] eMpIrE-X [G¤ The Puppet Masters 3 Virus]".
Q.8Ball (1,2)
Неопасные резидентные вирусы.Заражают загрузочные сектора дискет и файл
C:\CONFIG.SYS. При загрузке системы с инфицированного флоппи-диска
вирусы копируют себя в область видеопамяти B800:7C00, "перехватывают"
INT 1Ah (BIOS time and date), "ждут" вызова данного прерывания, после
чего "перехватывают" INT 21h и "освобождают" INT 1Ah. После вызова
любой функции INT 21h (кроме запуска программ - AH=4Bh) вирусы создают
файл со случайным именем (f.5Ah Int 21h) на диске C:, записывает в него
свой код и внедряют в конец файла c:\config.sys строку вызова данного
файла, типа INSTALL=C:\ABCD.FGH (Q.8ball (1)) или DEVICE=C:\IJKL.MNO
(Q.8ball (2)). После этого или после функции EXEC (f.4Bh Int21h)
вирусы восстанавливают оригинальный адрес обработчика INT 21h. При
запуске файла, указанного в файле CONFIG.SYS, вирусы копируют себя в
область памяти HMA и "перехватывают" INT 40h для заражения загрузочных
секторов дискет. Q.8ball (1) содержит текст "8_Ball -=Q=-".
Q.IOwe
Неопасный вирус. Заражает файл IO.SYS, если он содержит в начале
последовательность 261 повторяющихся нулевых байт. Вирус записывает
свой код в область нулей и устанавливает на себя первую инструкцию
файла IO.SYS (короткий JUMP - EB 05). При старте такого инфицированного
файла, вирус копирует свое тело в область видеопамяти BE00:0000,
"перехватывает" INT 1Ah (BIOS time and date), "ждет" вызова данного
прерывания, после чего "перехватывает" INT 21h и "освобождает" INT 1Ah.
После вызова любой функции INT 21h (кроме запуска программ - AH=4Bh)
вирус пытается заразить файл C:\IO.SYS указанным выше способом. После
заражения данного файла или после функции EXEC (f.4Bh Int21h) вирус
восстанавливает оригинальный адрес обработчика INT 21h. Содержит тексты
"I OWE" и "-=Q=-".
Q.Shimmer (1,2)
Неопасные вирусы. Заражают файл C:\WINDOWS\WINSTART.BAT и загрузочные
сектора дискет. При загрузке системы с инфицированного флоппи-диска
вирус копирует себя в область видеопамяти B800:7C00, "перехватывает"
INT 1Ah (BIOS time and date), "ждет" вызова данного прерывания, после
чего "перехватывает" INT 21h и "освобождает" INT 1Ah. После вызова
любой функции INT 21h (кроме запуска программ - AH=4Bh) вирус создает
файл WINSTART.BAT в каталоге C:\WINDOWS, если таковой существует и не
содержит данного файла. В файл WINSTART.BAT вирус записывает свой код,
содержащий текстовые строки:
@ECHO PKX"INSTALL.EXE
@COPY/B INSTALL.EXE+%0.BAT"NUL
@INSTALL.EXE
После которых идет основное вирусное тело, состоящее из ассемблерных
инструкций. При запуске такого файла, происходящего, как правило, при
старте MS-Windows, вирус создает файл INSTALL.EXE из 5 текстовых байт
и собственного кода из файла WINSTART.BAT. Данный файл INSTALL.EXE
запускается вирусом. Первые 5 текстовых байт файла INSTALL.EXE
понимаются процессором, как ассемблерные команды: PUSH AX, DEC BX, POP
AX, OR AX, ??0A, после которых управление попадает в основной код
вируса. Вирус проверяет установлена ли его резидентная копия в памяти,
копирует себя в область HMA и "перехватывает" INT 2Fh. При получении
управления через INT 2Fh, вирус "перехватывает" INT 40h для заражения
загрузочных секторов флоппи-дисков. Q.Shimmer (2) пытается послать
в любой доступный из 4 последовательных портов последовательность
модемных команд "~ATM0L0S0=1O1". Q.Shimmer (1) содержит текст "New
Shimmer".
Qawo.719
Неопасный резидентный вирус. Вроде бы, содержит зашифрованную строку
"Qawo".
Qmu.1513
Опасный файлово-загрузочный вирус. Заражает MBR жесткого диска и COM-
файлы. При старте инфицированного COM-файла вирус устанавливает в
память свою резидентную копию и выводит сообщение "Bad command or file
name". При 100-й загрузке с инфицированного жесткого диска уничто
...Поділитися у соцмережах
