Жанр: Учеба
Описания вирусов
...жает
16 его первых секторов. При каждом 256-м чтении с диска (f.2 Int 13h)
подставляет в считанный блок по адресу 0C8h слово "mj".
Qudem.555
Неопасный резидентный вирус. Содержит тексты "Quick Demon 2", "Dr.WEB
меня не находит-обманули !".
Query
Опасный загрузочный вирус. В декабре уничтожает информацию на жестком
диске.
Quox
Опасный загрузочный вирус. При заражении MBR может записать
оригинальный MBR в сектор, содержащий данные.
Radio101.1000
Неопасный шифрованный вирус. Примерно, через 53 минуты после старта
вирус выводит текст "Pадио 101". Содержит текстовую строку "Без
паники-идем ко дну!Ver 2.01".
Radio101.2076
Неопасный полиморфный резидентный вирус.Примерно, через 5 минут после
старта вирус выводит текст "Радио 101-наслаждение даже при половине
громкости!". При нажатии на Ctrl-Del или Alt-Del вирус выводит текст:
---------------------------------------
BERZIN FANS CLUB PRESENT
— -- — -- ------ ------ -------
--- --- — -- — -- — -- --
— - - — -- --- — -- ----- — --
— - — -- - — ------ — -------
— -- --- — -- — -- --
— -- — -- — ------ — --
TEL:(095)434-00-00 OR 03
---------------------------------------
Raiden.1433
Неопасный файлово-загрузочный вирус. Заражает MBR жесткого диска и EXE-
файлы. При старте инфицированной программы с некой командной строкой
(вирус считает CRC данной строки), вирус может произвести самолечение
данной программы. В вирусе существует код вывода сообщения:
г=======================================¬
¦ MBR VIRUS V.01 NECROSOFT CORPORATION ¦
¦ WRITEN BY RAIDEN COPYRIGHT (C) 1996 ¦
L=======================================-
Rain
Опасный загрузочный вирус. В 19:15 уничтожает 2 сектора на головке-1,
цилиндре-0 и с сектора-1, где, как правило, находится загрузочный
сектор активного раздела, записывая туда вирусный код. Содержит текст
This is only a demo version made for Germany. New versions coming soon.
Written in the rain..
Rake.975
Неопасный резидентный вирус. Пытается не заражать файлы, содержащие в
своем теле строки "ИРУС", "IRUS", "виру" или "viru". Может перемещать
свою резидентную копию по различным адресам памяти.
RaseK.1489, RaseK.1490, RaseK.1492
Очень опасные файлово-загрузочные вирусы. Заражают COM, EXE-файлы и MBR
жесткого диска. Также внедряют деструктивный код в Boot-сектора дискет,
не сохраняя оригинальный сектор. При загрузке с такого флоппи-диска вся
информация на первом жестком диске будет уничтожена. Вирусы также могут
уничтожить информацию на "винчестере" при загрузке с жесткого диска.
Вирусы перехватывают INT 13h и INT 21h. Используют стелс-механизм при
попытке чтения MBR, скрывают приращение длины зараженных файлов. Не
заражают файлы, содержащие строку AND.COM (COMMAND.COM). В теле вирусов
присутствуют строки:
RaseK.1489 - "RaseK v2.1,from LA CORUеА(SPAIN).Mar93";
RaseK.1490 - "RaseK v2.0,from LA CORUеА(SPAIN).Mar93";
RaseK.1492 - "RаseКо v3.1,from La Coruда(SPAIN).Ap93".
Raving.2300
Опасный нерезидентный вирус, создающий новые COM-файлы вместо
найденных. Выводит приглашение "C:\"", после чего ждет нажатий на
клавиши и выводит случайные символы вместо введенных. После этого
выводит текст:
I DON'T THINK YOU WOULD LIKE TO SMILE, BECAUSE I HAVE INFECTED A FILE!!!
HAVE YOU HEARD OF A RAVING VIRUS MC, YES YOU GUESSED IT THAT IS ME!!!
YOU WONT SEE ANOTHER RHYME UNTIL IT IS INFECTING TIME!!!
RDA.Fighter.5871, 5969, 7408, 7802, 7868
RDA.Fighter.5871, 5969, 7802, 7868 -это резидентные сложнополиморфные
вирусы, заражающие файлы в формате COM и EXE. RDA.Fighter.7408 -
файлово-загрузочный полиморфный вирус (заражает COM, EXE-файлы и MBR
жесткого диска), скрывающий приращение свой длины в инфицированных
файлах. RDA.Fighter.7802 помимо полиморфных расшифровщиков имеет также
полиморфный механизм случайной расшифровки собственного кода. При
неаккуратной трассировке RDA.Fighter.5969, 7408 могут уничтожить
случайные сектора на жестком диске. Получив управление, основной
расшифрованный код вирусов получает из часов реального времени
случайное 32 разрядное значение, используемое вирусами для расшифровки
еще одного своего участка кода. После всевозможных умножений, делений,
сложений, вычитаний из 32хразрядного случайного числа получается
базовое 16 разрядное случайное число в регистре AX. Это число
умножается на 2 в регистре DI. Этот регистр DI будет указывать точку
входа в таблицы комбинаций вирусных расшифровывающих команд. Существует
2 таблицы по 16 комбинаций расшифровывающих команд, некоторые из
которых повторяются. Эти таблицы представлены ниже. Назовем эти
таблицы: "первая" и "зеркальная".
Первая таблица Зеркальная таблица
XOR [BX], DX NOT [BX] ;в данных таблицах регистр
ROR [BX], CL NEG [BX] ;BX указывает на код, для
............ .......... ;которого производится
NEG [BX] ROR [BX], DX ;расшифровка
NOT [BX] XOR [BX], DX
Далее, на основе установленных бит 16 разрядного числа в регистре AX,
выбирается расшифровывающая команда из первой таблицы, в зависимости от
регистра DI. Например, если нулевой бит установлен в 1, то берется
команда из таблицы (команду в таблице выбирает регистр DI), которая
копируется в тело расшифровщика с помощью антиотладочных команд
манипуляции стеком. В тело расшифровщика также заносится некоторая
первоначальная константа, с помощью которой могут производиться
операции расшифрования, и которая в цикле расшифровки будет динамически
изменяться по определенному закону. Данный закон направлен против
отладчиков. По окончании цикла данной расшифровки значение регистра DI
устанавливается на следующую команду в первой таблице. Потом данная
операция производится для всех установленных битов в 16 разрядном
значении AX. Если какой-либо бит не установлен, то цикл не проводится,
а значение DI передвигается на следующую команду. Если указатель DI
выходит за рамки последней 16 команды в таблице, то его значение
устанавливается на первую команду таблицы. Как только все биты в AX
исчерпаны, вирусы приступают к проверке того, что они всеми этими
хитроумными комбинациями расшифровали. Делают они это также хитроумным
способом. Они подсчитывают контрольную сумму расшифрованного участка
кода в зависимости от участка кода, который не был зашифрован. Подсчет
CRC производится "веером", от границы расшифровки и вверх, и вниз
подсчитывается 48 разрядное значение. При подсчете CRC используются
всевозможные команды пересылки, ADD, XOR,... Причем, вирусы
RDA.Fighter.5969, 7408 использует еще и дополнительную динамическую
корректировку CRC с помощью INT 01. А вирус RDA.Fighter.7408
дополнительно имеет 4 различных варианта подсчета CRC, меняющихся от
копии к копии. Полученное значение CRC хранится в регистрах AX, BP и
DX. Регистр BP складывается с числом, хранящимся в теле вируса,
корректируется относительно нахождения базовой точки вируса в памяти и
значение по смещению BP сравнивается с полученным значением DX. Причем,
в случае правильной расшифровки смещение хранения CRC должно находиться
в ранее зашифрованной области вируса. Если полученное значение CRC не
совпадает со значением DX, то вирусы повторяют описанную выше
комбинацию, только в качестве таблицы расшифровывающих команд теперь
будет использоваться зеркальная таблица. А делается это для того, чтобы
возвратить в исходное состояние ранее расшифрованную по "неправильному"
закону область вирусного кода. После того, как вирус возвратит все в
исходное состояние, попытка "правильной" расшифровки повторяется
сначала, начиная с получения случайного числа в регистре AX, и
использования в качестве базовой - первой таблицы расшифровывающих
команд. Вирусы будут "прокручивать" весь цикл с 16 разрядами регистра
AX, потом тот же вариант повторять с зеркальной таблицей и т.д., до тех
пор, пока, наконец, они не удостоверятся, что все расшифровалось
правильно. Но, так как, вирусы постоянно "следят" за отладчиком,
следует помнить, что в разрывах между попытками расшифровки вирусного
кода можно угодить в "опасный" код, уничтожающий информацию в секторах
жесткого диска, описанный выше. RDA.Fighter.7802, 7868 "разбавляют"
инструкции кода случайной расшифровки командами-"мусором" (такие
команды, которые не влияют на результат расшифровки). А также "первая",
и соответствующая ей "зеркальная" таблица, будут отличаться для каждого
экземпляра вирусов RDA.Fighter.7802, 7868.
Вирусы иногда выводят на экран тексты:
RDA.Fighter.7408:
"Stealth Fighter 2.0 : New Aggression."
RDA.Fighter.7802:
"Stealth Fighter DEMO Part (3.1) : Enemy Unknown"
RDA.Fighter.7868:
"Stealth Fighter,DEMO Part (3.2) : Next mutation 06/09/95"
RDA.Fighter.7408 заражает еще и Master Boot Record (главный загрузочный
сектор) жесткого диска.
Резидентные части вирусов контролируют функции запуска программ (
AX=4B00h) и открытия файлов (AH=3Dh). RDA.Fighter.5969 также
контролирует функцию переименования файлов (AH=56h). При вызове данных
функций вирусы пытаются заразить файлы, длина которых не меньше, чем
4096 байт. RDA.Fighter.7408, 7802, 7868 дополнительно контролируют
функции поиска файлов (AH=11h,12h,4Eh,4Fh) и скрывают приращение своей
длины у инфицированных файлов. В конце каждого зараженного файла
RDA.Fighter.7408, 7802, 7868 хранят 2 байта размера вирусного кода,
внедренного в данный файл. RDA.Fighter.7408, 7802, 7868 "перехватывают"
также INT 08 и несколько замедляют работу компьютера. Резидентная
активная копия вируса RDA.Fighter.7408 при вызове функции AX=0EEEEh
удаляет свой код из MBR жесткого диска. RDA.Fighter.7408, 7802, 7868
при вызове данной функции также и обезвреживает себя в памяти.
Резидентные копии вирусов используют очень мощный помехозащищенный
алгоритм восстановления собственного кода, позволяющий не допустить
отладку кодов вирусов с использованием отладочных точек останова.
Мало того, вирусы "ради шутки" пытаются ввести в заблуждение, внедряя
сразу в свои обработчики INT 21h инструкцию выхода из прерывания- IRET!
Но оригинальные байты обработчика вирусы сами же и исправляют с помощью
помехозащищенного алгоритма восстановления. Начальный код вирусных
обработчиков INT 21h выглядит следующим образом (ниже представлен
обработчик INT 21h вируса RDA.Fighter.5969):
PUSH AX
INC AH
CMP AX,4C00 ;запуск программы?
JE CHECK_FILES
CMP AH, 3E ;открытие файла?
JE CHECK_FILES
CMP AH, 57 ;переименование файла?
JE CHECK_FILES
DESTROY_HANDLER:
POP AX
JMP DWORD PTR CS:[ADR_INT21] ;выход в оригинальный INT 21h
CHECK_FILES:
CALL CHECK&RESTORE ;проверка и восстановление
MOV CS:DESTROY_HANDLER, 90CF ;вместо POP AX установить IRET?!
MOV CS:DESTROY_HANDLER+2, AX ;и регистр AX (4C00 или 3E??)
CALL CHECK&RESTORE ;проверка и восстановление
CALL CHECK_FILE_NAME ;а здесь уже никакой команды IRET
;не будет!
Вирусы не заражают следующие файлы *ES?.* (AIDSTEST.EXE), *WE?.*
(WEB.EXE), *AN?.* (COMMAND.COM). RDA.Fighter.7408 при старте программы
CHKDSK "выключает" свой механизм скрытия истинной длины зараженных
файлов. После завершения ее работы - снова "включает". В процессе
инфицирования вирусы устанавливают свой обработчик критических ошибок
INT 24h, дисковый обработчик INT 13h, если в системе нет дискового кэша
и устанавливают обработчики INT 01 (пошаговое выполнение команд), INT
03 (точка останова) и INT 2Ah (Microsoft network) на свои обработчики,
содержащие единственную инструкцию - IRET. При заражении файла, вирусы
случайным образом выбирают (таким же, как и при определении регистра AX
при попытках расшифровки своего кода) смещение и размер области,
которая будет зашифрована в инфицируемом файле. Данная шифровка
предназначена, видимо, для невозможности восстановления файлов
специальными антивирусными утилитами (ADinfExt, TbClean,..).
Вирусы содержат следующие тексты:
RDA.Fighter.5871 -
RandomDecodingAlgoritm 1.0
"Stealth Fighter PART I" devoted MSU!
RDA.Fighter.5969 -
RandomDecodingAlgoritm 1.1
"Stealth Fighter PART I (1.1) for ALL."
RDA.Fighter.7408 -
"RandomDecodingAlgoritm 2.0"
"PhantomPolymorphicMultiLayerEngine 1.2"
RDA.Fighter.7802 -
"RandomDecodingAlgoritmEngine 1.0"
"PhantomPolymorphicMultiLayerEngine 1.2"
RDA.Fighter.7868 -
"RandomDecodingAlgorithmEngine 1.1"
"PhantomPolymorphicMultiLayerEngine 1.2"
RedArc - вирусы
Вирусы, изготовленные тульским "умельцем" Игорем Дикшевым 2:5022/12.23,
известным более под кличкой Red Arc.
RedArc.Fraud
Неопасный нерезидентный вирус. Заражает EXE-файлы, внедряя свой код в
начало файлов (переводя их в COM-формат), а зашифрованные оригинальные
начальные байты переносит в конец файлов. При старте такого файла,
вирус производит поиск и заражение EXE-файлов. После чего, если было
произведено хоть одно заражение, вирус восстанавливает файл-жертву в
исходное состояние ("самоизлечивается") и выводит текст "Bad command or
file name".
RedArc.Helga.666
Опасный нерезидентный вирус. Разрушает файлы *.-*, *.ms. Иногда выводит
текст:
ТЫ ХОТЕЛ УВИДЕТЬ НЕБО? ГОЛУБОЕ-ГОЛУБОЕ?
ТЫ ХОТЕЛ УВИДЕТЬ НЕБО?
НЕВИДАТЬ ЕГО СО МНОЙ!
и "завешивает" систему. Содержит строку "Helga".
RedArc.Stinger
Неопасный нерезидентный шифрованный вирус. Иногда выводит на экран
строку "STINGER".
RedArc.Vesna.1000 (1,2), 1614, 1724, 1751, 1833
Опасные нерезидентные вирусы. Удаляют файлы ch*.* и *.---. Vesna.1000
(1) в пятницу 13го числа выводит текст:
Friday 13th ?
Friday 13th ...
Friday 13th !
Good bye !
Vesna.1000 (2) 22 июня выводит строку "*KILLER*" и разрушает EXE-файлы,
приписывая им в конец 3 байта, производящих перезагрузку системы (CD
19). Vesna.1724 в марте выводит текст:
Bad command or file name
DOS not support!
You have virus!
Press any key to reboot...
Vesna.1833 в пятницу 13го выводит следующие тексты:
Friday 13th !
You have virus !
My name is GARRY ...
I fuck your PC !
Vesna.1614,1751 при совпадении дня недели и дня месяца в нечетные часы,
совпадающие со значением минут, выводит одно из следующих сообщений:
Весна пришла!
Unpress key TURBO to continue...
Format drive c: completed
PRESS RESET TO CONTINUE
Пора пить кофе!
Здесь был Игорь Д.
I LOVE
LORA
VESNA "LORA" © 1994,96 by Red Arc -=* Uni Tula *=-
или
Слышь, ты... чувак...
передай привет Веденеевой Лорисе!
VESNA © 1994,96 -=* Uni Tula *=-
И под мигание лампочек клавиатуры и дисководов система "зависает".
Vesna.1751 не заражает файлы из списка (по 2 буквы на имя файла):
aicodrwetbmsmvavscadutanatsdncvcdnwiioibvi. Различные версии вируса
содержат следующие тексты "My name is GARRY", "*TULA*", "Это зделано в
ТулЕ", "TULA", "Пришла весна !", "Здесь был Игорь Д.", "ОЛЕЧКА", "TYPE
HAPPY BIRTHDAY GARRY".
RedLaugh.607
Неопасный резидентный вирус. При старте любой программы, вирус
окрашивает экран в красный цвет и выводит текст:
Красный смех гуляет по стране...
01/21/96 by FDD.
ReedCat.916
Содержит строку "" Камышовый Кот ХПИ 1992 "".
Remute.779
Неопасный резидентный вирус. Содержит тексты "A long time ago,in very
remute institut ...", "LIGHT in the DARK".
Renegade.1176
Опасный резидентный вирус. Заражает EXE-файлы при их запуске или при их
открытии. Заражает довольно необычным способом: считывает 1024
последних байт файла, записывает на их место 1176 байт своего кода, а
затем - считанные 1024 байта. При этих манипуляциях вирус не
корректирует таблицу перемещаемых символов (relocation table), в
результате чего инфицированная программа может быть неработоспособной.
11 числа каждого месяца выводит текст:
(C) Renegade 1994. Hello Hacker`s !!!
Renegade.4509
Очень опасный резидентный шифрованный файлово - загрузочный вирус.
Заражает COM, EXE-файлы и MBR всех жестких дисков, присутствующих в
компьютере. После 55 загрузок с инфицированного MBR вирус устраивает
видеоэффект "плавающих" цветных линий по экрану, шифрует жесткий диск
и выводит на экран "бегущей строкой" текст:
Please wait ...
Hey , LAMER ! Are you all right ?.. Not so good ?..
Oh, don't be afraid my little baby ,angry wolf if far away !......
bUt I aM sTiLL HeRe ! AnD i Am HuNGRrry ! Aaarrrgghhh !...
YoU iS _fOxPro or pAsCAL_pROGraMmeR , iSn't It ?...
Oogghh , YeEsss ! I WaNt to EaT YoU NoWww !
NoW YoU WiLL bEcOme ViCTiM of HACKER's REVENGE !
Внедряется в середину COM и EXE-файлов, корректируя адреса перемещаемых
элементов для EXE-файлов. Не заражает файлы, содержащие в своем имени
буквосочетания WEB, AIDS, ADINF, HIEW, CHKDSK,SCAN,VSAFE,MSAV,CLEAN,-V.
Содержит тексты "Say THANKS to lovely Dr.Web for damage this file...",
"(C) Renegade 1995.".
Reset.607
Неопасный вирус. Если значение минут системного времени больше 54, то
вирус выводит на экран текст "For Main Menu press RESET".
Revelation.4096
Неопасный резидентный полиморфный вирус. В октябрьские воскресенья
выводит на экран текст:
These things saith he that hold TASM in his right hand and walketh
amongst the FAT tables, boot sectors, and partition tables.
He that hath a VDU, let him see what I typeth unto the users:
I have a few things against thee, because thou sufferest that whore
software security, and commit anti-virus protection.
Behold, I will cast thou unto limbo, and them that repent their
deeds shall be spared the low-level drive format.
Remember therefore how thou hast recieved and heard, and hold fast,
and repent. If therefore thou shalt not repent, I will come on thee
as a thief, and thou shalt not know what hour I will come upon thee.
- Revelation Alpha.
Также содержит тексты:
Genesis
Revelation Virus Alpha
Exodus
Copyright © 1991 by Transvisionary
Reverse.948
Неопасный резидентный вирус. Содержит строку "moc.dnammocexe.niamcn".
Не заражает файл NCMAIN.EXE. Командный процессор COMMAND.COM заражает,
внедряясь в область нулей, и не увеличивает его длину. Содержит еще
одну текстовую строку "Red Spider Virus created by Garfield from
Zielona Gora in Feb 1993".
Rex.1637
Опасный резидентный файлово-загрузочный полиморфный вирус. При
заражении MBR "винчестера" не сохраняет оригинальный сектор. После 99
загрузок с инфицированного диска вирус производит некоторые манипуляции
с клавиатурой (INT 16h). Содержит текст "REX".
Rift.480
Неопасный резидентный вирус. Заражает файлы только при смене каталога
(f.3Bh Int 21h). Содержит текст "Rift Villy v.3.1".
Riot.309
Очень опасный нерезидентный вирус. Может уничтожить 1234 секторов диска
C:. Первым делом стремится заразить файл c:\dos\doskey.com. Содержит
текст "© 1994 Metal MilitiaImmortal Riot, Sweden".
Riot.Demand
Опасный overwriting вирус. Создает файл C:\INFERNAL.IR, в который
записывает следующий текст:
Infernal Demand! © Metal Militia / Immortal Riot
Your misery is our pleasure!
Your nightmare is our dream!
Your hell is our paradise!
Your lost is our demand!
Your cry is our laugh!
And your fate is ours!
Riot.Enemy.757
Содержит текст:
Unknown Enemy © Metal Militia/Immortal Riot
I'm hurt, machineguns firing behind my back
Never had no chance, no way to do a attack
Thisone sure is the last time i guess
Heading for a private deathrow, nothing less
Blood, quickly pumping out from the vound in the vain
Damn, this moment makes you sort of go insane
Close my eyes, had much left to see
Was my fault, but did they have to do it, gee?
Promise me, this hit you will remember
Take one of them down before winter comes in december
Why that month? Well, i like it very much
Fresh, cool air, wonders of the snow to touch
The world is wonderful, what else to say?
Just remember this shit, cause it happends every day
Riot.Evil.769
Неопасный резидентный вирус. Вперемешку с инструкциями ассемблера рас-
положены следующие текстовые строки:
Our past is our future!
[INVISIBLE EVIL!] © Metal Militia/Immortal Riot
Dedicated to all the victims..
Greets to B-real!/IR
It's like this and like that and like thisena
It's like that and like this and like thatena
It's like this..
Love to Lisa!
All i ever wanted..
All i ever asked for..
Riot.Flood
Очень опасный резидентный вирус, перезаписывающий программный код. При
старте таких программ вирус выводит фразу "Bad command or filename".
21 числа выводит текст "Hey Bud.. You picked the leave with the virus
on it!". Имеет текст "Burn:CycleYou picked the leave with the virus on
it!© Atomic Morphine/ FLooD 1999".
Riot.Marked.354
При старте выводит сообщение "Bad command or filename", а 21 числа:
In any country, prison is where society sends it's
failures, but in this country society itself is faily
Внутри вируса имеется также текст:
Marked-XWill we ever learn to talk with eachother?
© Metal Militia/Immortal Riot
Riot.Multiplex
Опасный нерезидентный вирус. 5 числа уничтожает 256 секторов диска C:.
Содержит тексты "MULTiPLEX © 1994 Metal Militia\ Immortal Riot,
Sweden*. Somewhere, somehow, always :)*.com", "JUNK", "ImRio".
Riot.Pollution
Опасный резидентный вирус. Иногда уничтожает содержимое CMOS-памяти.
6 июня проигрывает какую-то мелодию. Содержит строку "Digital Pollution
© '94 Raver/Immortal Riot".
Riot.RatBoy.513, 545, 671
Очень опасные нерезидентные вирусы. По воскресеньям после 15 числа
пытаются уничтожить содержимое всех логических устройств жесткого
диска, записывая в сектора строки:
Riot.RatBoy.513 - "RaTBoY HaTeS YoU!!! Ihater-u-all\JUNK TEST".
Riot.RatBoy.545 - "RaTBoY WaS HeRe!!! My Vx, Invircible Killer".
Riot.RatBoy.671 - "RaTBoY Loves Mrs. RaTBoY!!! \JUNK TEST".
Riot.RatBoy.545, 671 уничтожают некоторые файлы, видимо, таблицы
антивируса InVircible.
Rmb
Очень опасный загрузочный вирус. При заражении не сохраняет
оригинальные загрузочные сектора. При нажатии на Ctrl-Break вирус может
уничтожить по 14 секторов на всех головках "винчестера".Содержит строку
"RMBDRMCCQBDWRM".
Rmns.651, Rmns.736
Содержат строки "----" - R.M.N.S. - Test Virus .COM 651 "----" или
"----" - R.M.N.S. - Test Virus .COM 736 "----".
Rock.1076
Неопасный нерезидентный вирус. По четным числам с 10-го по 26-е, кроме
декабря, субботы и воскресенья, оставляет в памяти резидентный код,
который "трясет" экран по 20 секунд каждые 20 минут.
Rogue.1208
Опасный резидентный вирус. Уничтожает файлы с расширением DBF,
записывая в них первый байт 'R' и производя с остальным содержимым
файла операцию XOR 0Dh, до первого символа 0Dh. Уничтожает файлы
CHKLIST ???. В месяц, когда сумма значения года и значения месяца равна
2000 вирус выводит текст:
Now you got a real virus! I'm the ROGUE ...!
Roman.1995
Неопасный резидентный шифрованный вирус. При старте программы DRWEB
вирус обезвреживает свою резидентную копию (освобождает INT 21h),
которая в дальнейшем (через INT 1Ch) опять восстанавливает свою
работоспособность. При удалении файла ROMAN!.113 вирус выводит на
экран текст:
Внимание! В системе находится вирус Roman (1) Virus!
Это абсолютно безвредный вирус, заражающий .COM файлы.
Никаких причин для беспокойства нет. Он написан автором
просто ради спортивного интереса. Если Вам нежелательно его
присутсвие в системе (а он Вам ничем не помешает), просто уда-
лите все .COM файлы, содержащие на 4 и 5 позиции от начала
символосочетание "RB" - это признак инфицированности - и пере-
запустите компьютер.
Roman (1) Virus написан осенью 1997 года.
(C) -= Pilz =-, 16 years old.
Экспериментальная школа, физико-математический лицей.909-436X
Нажмите на любую клавишу, чтобы продолжить работу.
RP (1,2)
Опасные загрузочные вирусы.RP (1) 17 декабря выводит текст "RP wants to
say hello!" и уничтожает MBR. RP (2) в мае выводит текст "Only bugs
exist!".
RPS (1-3)
Очень опасные загрузочные вирусы. Заражают MBR винчестера и сектора
флоппи-дисков, не сохраняя оригинальные загрузчики. При 50-ой загрузке
с инфицированного диска, или при попытке записи в инфицированный MBR,
или при не нахождении активного загрузочного сектора, вирусы уничтожают
информацию в секторах дисков. Содержат тексты "RPS", "RPS2", "RPS3".
RTP.Demo.4838
Неопасный нерезидентный полиморфный вирус. Содержит тексты:
RTP 0.1b Demo Virus © 1998, The Soul Manager
Greetings Mr Kaspersky, we've been expecting you ;)
If you can see this text, you are reading AVPVE!
Red Team Polymorphy 0.1b - © 1997 The Soul Manager [IR/G]
Ruchawi.2548
Очень опасный зашифрованный вирус. 14 января выводит текст:
Today is my birthday. /// Dzisiaj obchodze urodziny.
Wish me all the best. /// Zycz mi wszystkiego najlepszego.
Ruchawi(R)
После этого шифрует MBR, записывает его на свое место и сохраняет ключ
расшифровки в памяти. Выводит текст:
Do not turn off your machine for 5 days,
...Поділитися у соцмережах
