Жанр: Учеба
Описания вирусов
...94 года:
Save the Whale, harpoon a fat cat.
Вирус содержит тексты:
USER KERNEL Chicago-7 CyberRiot, 15.1.1993 Klash (Werner L.)
Sommer 1993: 15 Windowscomputerviren
Source code avaiable for $15,000,000. Serious inquiries only.
Why does IBM need to lay me off? Oh well, their loss.
McAfee's FUD equation: !!!!!!+??????=$$$$$$
Convict the pigs
This program was written in the cities of Hamburg, Chicago, Seattle and
Berkeley. Copyright (C) 1993 Klash/Skism/George J/Phalcon/Henry
Buscombe and 2 ex-Softies, collectively known as the Chicago 7.
Coming soon: Diet riot. Same great aftertaste--fewer bytes.
Win.Homer
Неопасный "резидентный" вирус. Написан на C++. Заражает NewExe-файлы
формата Windows 3.1x. При старте инфицированного файла вирус остается
Windows-задачей и "перехватывает" INT 21h. При запуске NewExe-файлов
вирус заражает их. Существует предположение, что вирус перехватывает
сетевые пакеты и может, используя File Transfer Protocol, передать свою
копию на удаленный сервер в каталог INCOMING.
Win.Lamer
Неопасный нерезидентный полиморфный вирус. Заражает EXE-файлы в формате
NewExe (файлы для MS-Windows). Данный вирус является первым
представителем, использующим полиморфный механизм заражения для файлов
MS-Windows. Вирус производит поиск *.EXE-файлов на текущем диске и их
заражение, причем производится попытка поиска и заражения файлов в
каталоге \WINDOWS на текущем диске. Содержит тексты "WinLamer2
(C)Copyright Aug, 1995 by Burglar in Taipei, Taiwan." и "PME for
Windows v0.00 (C) Jul 1995 By Burglar".
Win.Tentacle.1958
Неопасный нерезидентный вирус, заражающий NewExe *.EXE-файлы в текущем
каталоге и в каталоге C:\WINDOWS. При нахождении NewExe файла вирус
создает файл C:\TENTACLE.$$$, в который записывает инфицированную копию
NewExe-файла. После чего исходный файл удаляется, а файлу TENTACLE.$$$
присваивается его имя. Иногда вирус может заместить текущую иконку,
находящуюся в теле заражаемого файла на свою. На вирусной пиктограмме
изображено щупальце осьминога и надпись "TENTACLE".
Win.Tentacle.10634
Неопасный нерезидентный вирус, заражающий NewExe *.EXE-файлы в текущем
каталоге и в каталогах C:\WIN,C:\WINDOWS,C:\WIN31, C:\WIN311, C:\WIN95.
Процедура заражения похожа на процедуру вируса Win.Tentacle.1958, но
Win.Tentacle.10634 при заражении не изменяет точку входа NE-файла.Вирус
создает новый кодовый сегмент, в который записывает свой код, и
соответствующую этому сегменту - сегментную секцию в заголовке NE. Для
того, чтобы получить управление вирус изменяет один элемент в таблице
перемещаемых элементов. Вирус ищет ссылку на процедуру KERNEL -INITTASK
или на процедуру VBRUN300 - THUNRTMAIN и заменяет ее на свой стартовый
код. Процедуры INITTASK и THUNRTMAIN вызываются практически сразу при
старте Windows-программ. В результате вместо вызова этих стандартных
процедур произойдет вызов вирусного кода. После поиска и заражения
файлов вирус отдает управление этим процедурам, которые в свою очередь
вернут управление инфицированной программе-носителю. При обнаружении
файла WINHELP.EXE вирус исправляет команду условного перехода (74 ??)
на безусловный переход (EB ??). При старте инфицированной программы с
часу до двух часов ночи, вирус создает файл C:\TENTACLE.GIF и
записывает в него изображение щупальца осьминога в GIF-формате. В поле
"Extensions" для просмотра *.GIF-файлов вирус записывает имя "своего"
GIF-файла - C:\TENTACLE.GIF. В результате при просмотре любого GIF-
файла система будет всегда показывать щупальце осьминога. Для этих
манипуляций вирус использует вызовы SHELL: REGSETVALUE и REGQUERYVALUE.
Win.Twitch (1,2)
Неопасные нерезидентные вирусы-спутники. Производят поиск NewExe *.EXE-
файлов, присваивают им расширение OVL и записывают свой код под
оригинальным именем файла. Содержат тексты:
BOOT SHELL SYSTEM.INI PATH TEMP OVL \ CHKLIST.CPS *.EXE
NETWARE FILEMAN SCRNSAVE WINPRINT WINDOWS
DeviceSelectedTimeout
LOAD .EXE \SYSTEM SYSEDIT.EXE NWPOPUP.EXE
Win.Vik (1-3)
Неопасные нерезидентные вирусы. Производят поиск и заражение NewExe
*.EXE и *.DLL - файлов в текущем каталоге. Win.Vik (2,3) содержат текст
"(C) 1994 American Eagle Publications Inc., All rights reserved.".
Win.Vir1.4
Неопасный нерезидентный вирус, заражающий файлы в формате NewExe.
Содержит текст "Virus_for_Windows v1.4".
Win.Winsurf.1171, 1432
Неопасные резидентные вирусы, заражающие файлы в формате NewExe (NE).
При запуске инфицированной программы, вирусы проверяют наличие DPMI и
присутствие своих копий в памяти компьютера. Если резидентные копии
вирусов не установлены и DPMI-интерфейс существует,то вирусы производят
поиск строки "windir=" в своем окружении (environment), открывают файл
SYSTEM.INI в каталоге, указанном в переменной "windir=", ищут в данном
файле строку "shell=" и производят заражение файла,следующего за данной
строкой. Обычно строка "shell=" для MS-Windows 3.xx указывает на файл
PROGMAN.EXE (Program Manager). Данная программа является резидентной в
течение всего сеанса работы MS-Windows. Т.о., вирус,внедренный в данную
программу, также будет являться резидентным. Вирусы с помощью DPMI
"перехватывают" INT 21h, "контролируют" запуск программ (Exec f.4bh
Int 21h) и заражают NewExe-файлы.
Win.Wintiny
Неопасный нерезидентный вирус. Содержит текст "WinTiny (C)Copyright
June, 1995 by Burglar in Taipei, Taiwan.".
Win32.Cabanas
Win32.Cabanas является первым из известных вирусов, поражающих файлы
семейства 32хразрядных операционных систем Microsoft Windows
(Win32s/Windows 95/Windows NT). Данный вирус умеет не только заражать
файлы в формате PortableExecutable, но оставаться резидентно на текущий
сеанс работы инфицированной программы в любой из перечисленных выше
операционных систем.
Все существовавшие до сих пор вирусы, написанные для Windows 95, не
умели корректно заражать файлы, предназначенные для работы в Windows
NT, т.к., хотя файлы для Windows 95 и Windows NT и имеют одинаковый
PE - формат, но все же некоторые поля в заголовке PE у них различаются.
Поэтому при заражении файлов Windows NT, вирусам необходимо
предпринимать дополнительные действия для корректной модификации PE-
заголовка. Иначе система Windows NT выдаст ошибку на этапе загрузки
данного файла. Также представляется определенной проблемой для вирусов-
это определение базовых адресов WIN32 KERNEL API в памяти,т.к., Windows
95 и Windows NT располагают модуль KERNEL32.DLL в разных адресах
памяти. Но Win32.Cabanas прекрасно справляется с данными проблемами.
При старте инфицированного файла вирус получает управление,
распаковывает и расшифровывает собственную таблицу WIN32 KERNEL API
имен процедур, необходимых ему для последующей работы и приступает к
определению базового адреса KERNEL32.DLL и адресов всех интересующих
его функций WIN32 KERNEL API.
Во время заражения файла вирус анализирует таблицу импортируемых
функций (Import Table) с целью нахождения имен функций
GetModuleHandleA, GetModuleHandleW и GetProcAddress. При нахождении
данных имен вирус запоминает в своем коде смещения адресов данных
процедур, находящихся в Import Table (как правило, в сегменте .idata).
Если имена перечисленных процедур вирусом не будут найдены, то
Win32.Cabanas в дальнейшем, при запуске инфицированного файла, будет
использовать другой недокументированный способ нахождения базового
адреса KERNEL32 и адресов WIN32 KERNEL API. Но этот недокументированный
способ содержит ошибки и работает некорректно в среде Windows NT. Итак,
если адреса импортируемых функций GetModuleHandleA или GetModuleHandleW
имеются в Import Table инфицированного файла, то вирус без проблем, с
помощью процедуры GetProcAddress, определяет все адреса WIN32 KERNEL
API. Если адресов интересующих его функций в Import Table нет, то вирус
с помощью некоторых ухищрений пытается определить адрес GetProcAddress
в таблице экспортируемых функций KERNEL32. Но, как уже отмечалось выше,
для Windows NT данный вирусный механизм не работает из-за ошибок, и,
как следствие, нормальная "жизнедеятельность" вируса окажется
невозможной. Это единственная серьезная ошибка Win32.Cabanas, из-за
которой у него возникают проблемы при распространении в среде Windows
NT. Зато в Windows 95 чувствует себя, "как рыба в воде" и безо всяких
трудностей (в случае отсутствия адресов функций GetModuleHandleA или
GetModuleHandleW) определяет базовый адрес KERNEL32.DLL и функции
GetProcAddress другим недокументированным способом.
При помощи функции GetProcAddress вирус может получить адрес любой
интересующей его процедуры WIN32 KERNEL API. Что он и делает: получает
адреса и запоминает их.
Далее вирус запускает свою процедуру заражения PE-файлов, имеющих
расширения EXE и SCR в каталогах \WINDOWS, \WINDOWS\SYSTEM и в текущем
директории. При заражении файлов вирус проверяет наличие в них
собственной копии по некоторым полям в заголовке PE и по длине файла,
которая при заражении вирусом Win32.Cabanas должна быть кратна 101. Как
уже отмечалось выше вирус производит поиск имен функций
GetModuleHandleA, GetModuleHandleW или GetProcAddress в таблице
импортируемых функций (Import Table) и запоминание ссылок на их адреса.
Затем вирус записывает свой код в конец файла, в область последней
сегментной секции (обычно .reloc), изменив характеристики и длину
данной секции. После того, как тело вируса записано в конец файла,
вирус изменяет пять начальных байт оригинальной точки входа кодовой
секции (обычно .text или CODE) на команду передачи управления на
вирусный код, находящийся в последней сегментной секции (.reloc). Для
этих целей вирус производит анализ таблицы перемещаемых элементов
(.reloc) с целью возможного нахождения какого-нибудь элемента в области
измененных вирусом байт. Если такая ссылка будет найдена, то вирус
"выключает" ее и запоминает ее адрес и значение для того, чтобы
впоследствии при передаче управления программе-вирусоносителю не забыть
восстановить исходные байты точки входа и, если необходимо, то
соответствующим образом настроить перемещаемый элемент (relocation).
После того, как вирус заразит все "пригодные" для этой цели файлы в
указанных выше каталогах, он приступает к установке в систему своей
резидентной копии и "перехвату" интересующих его системных функций. С
помощью функции VirtualAlloc вирус выделяет себе область памяти длиной
12232 байт и перемещает свой код в данную область. Далее вирус пытается
"перехватить" следующие функции WIN32 KERNEL API: GetProcAddress,
GetFileAttributesA,GetFileAttributesW, MoveFileExA,MoveFileExW,_loopen,
CopyFileA, CopyFileW, OpenFile, MoveFileA, MoveFileW, CreateProcessA,
CreateProcessW, CreateFileA, CreateFileW, FindClose, FindFirstFileA,
FindFirstFileW,FindNextFileA, FindNextFileW, SetFileAttrA,SetFileAttrW.
Адреса этих функций вирус "забирает" из Import Table, а в поля Import
Table подставляет адреса собственных обработчиков. Если некоторые
интересующие его функции вирусу "перехватить" не удалось, то в
дальнейшем при вызове программой функции GetProcAddress, вирус
проверяет нужен ли ему адрес данной функции и при необходимости
возвращает программе адрес собственной процедуры. При вызове
программами некоторых "перехваченных" вирусом функций запускается
процедура заражения файлов и\или процедуру стелс-режима для
инфицированных файлов. Так при вызове функций FindFirstFileA,
FindFirstFileW, FindNextFileA или FindNextFileW вирус может заразить
файл, поиск которого производится, после чего сразу же скрыть
приращение длины в данном файле.
Таким образом, Win32.Cabanas нельзя назвать "полностью резидентным"
вирусом, т.к., "перехват" системных функций и установка вирусной копии
в выделенный системой участок памяти производится только на текущий
сеанс работы инфицированной программы. Но, что произойдет если
пользователь запустит, например, инфицированный Norton Commander for
Windows 95 или Command Interpreter for Windows NT? Или программу,
которая остается в памяти резидентно? Правильно - вместе с такой
программой, до тех пор пока данная программа не будет завершена, будет
"трудиться" и Win32.Cabanas.
Win32.Cabanas содержит зашифрованный текст "© Win32.Cabanas v1.0 by
jqwerty/29A".
Win95.Apparition
Опасный полиморфный вирус, заражающий *.EXE файлы в формате Portable
Executable (PE). Написан на языке Borland C++, содержит в своем теле
компрессированные файлы с исходными текстами, имеет значительный
размер - около 80 Kb и занимает около 200 Kb памяти. При заражении
дописывает свой код и исходные тексты в начало файла, старое содержимое
портит, замещая определенные байты кода программы байтами 0FFh, 0FFh, ?
(? - байт со случайным значением в диапазоне от 0 до 255). При запуске
инфицированной программы вирус проверяет в секции [WinApp32] файла
Win.Ini наличие переменных "Logging", "ShowDotsOn" и "NoInfect",
управляющих режимами его работы, устанавливает собственный обработчик
критических ошибок, определяет тип операционной системы, переносит свой
код из инфицированного файла в память, которая будет использоваться для
заражения файлов, и загружает инфицированную программу. Для этого он
создает временный файл, переносит в него код и данные, находящиеся за
телом вируса, и запускает этот временный файл на исполнение в режиме
отладки. Вирусный обработчик особых ситуаций отладки получает
управление при исполнении инструкций, замененных вирусом, и
восстанавливает измененные байты кода. После загрузки программы вирус
проверяет наличие своей копии и, если она активна, завершает работу.
Иначе он создает стандартное "скрытое" окно, устанавливает обработчики
системных событий и начинает обычный для Windows-приложений цикл их
обработки. При получении управления по событию от системного таймера
вирус сканирует каталоги, начиная с корневого каталога первого
доступного логического диска. При каждом обрабатываемом сигнале таймера
вирус ищет следующий файл или каталог и таким образом организует поиск
файлов-жертв. Если расширение файла ".EXE" и имя не "BCC32", вирус
предпринимает попытку определить тип файла и, если файл имеет формат
Portable Executable и переменная "NoInfect" в файле Win.Ini не имеет
значения "Yes", заражает его. Для этого он создает временный файл,
записывает в него свое тело, компрессированные исходные тексты и
дописывает заражаемый файл. При записи файла-жертвы вирус ищет
последовательности из 3 определенных байт и заменяет первые два байта
на 0FFh, последний - на байт со случайным значением в диапазоне от 0 до
255. Поскольку при этом вирус не производит никаких дополнительных
проверок, некоторые программы могут быть безнадежно испорчены. Если же
имя найденного файла - BCC32.EXE, вирус проверяет наличие на диске
других файлов компилятора Borland C++ и, если они присутствуют,
приступает к генерации очередной полиморфной копии. Сначала он
распаковывает файлы со своими исходными текстами и сохраняет их во
временном каталоге. Затем он начинает создавать их копии, причем после
записи каждой строки может происходить генерация исходного текста
"мусорного" кода - вызовов некоторых функций API, арифметических
операций, процедур-"пустышек", объявлений неиспользуемых переменных и
т.д. После записи копий вирус создает файл ресурсов и некоторые другие
файлы, необходимые для компиляции полученных исходных текстов, которую
вирус и осуществляет при помощи найденных программ Borland C++. Если
компиляция закончилась успешно, вирус архивирует исходные тексты
утилитой EXTRACT.EXE, перезаписывает в них некоторые значения
переменных, зависящие от размеров полученного исполняемого модуля и
упакованных текстов, и перекомпилирует проект. После этого все
временные файлы удаляются, а содержимое полученного исполняемого модуля
и архивированных исходных текстов замещает буфера в памяти,
предназначенные для заражения файлов.
Win95.Boza (1-4)
Неопасный нерезидентный вирус, заражающий NewExe файлы в формате PE
(MS-Windows'95) в текущем каталоге диска. При заражении файлов вирус
использует прямые вызовы в модуль KERNEL32 по определенным адресам.
У инфицированного файла вирус инкрементирует количество секций в
PE - заголовке (NumberOfSections) и создает новую секцию с именем
".vlad". 31 числа вирус выводит на экран сообщение:
Bizatch by Quantum / VLAD
The taste of fame just got tastier!
VLAD Australia does it again with the world's first Win95 Virus
From the old school to the new..
Metabolis
Qark
Darkman
Automag
Antigen
RhinceWind
Quantum
Absolute Overlord
CoKe
Также вирус содержит текст "Please note: the name of this virus is
[Bizatch] written by Quantum of VLAD".Win95.Boza содержит массу ошибок,
в результате которых "нормальная жизнедеятельность" вируса,практически,
невозможна.
Win95.Companion
Неопасный нерезидентный вирус-спутник. Производит поиск *.EXE-файлов
в формате PE (Win95/NT) в текущем каталоге и заражение их. Вирус
присваивает PE-EXE-файлу расширение COM и записывает свой код в файл с
расширением EXE, вместо программного кода.
Win95.Harry.1536 (1,2), 2560
Опасные "резидентные" вирусы. Заражают PE EXE-файлы. При старте
инфицированного файла вирусы внедряются в ядро Windows 95, в область
данных драйвера VMM (если там есть свободное место) и "перехватывают"
файловые функции системы (IFS API). При открытии PE EXE-файлов вирусы
заражают их, записываясь в конец этих файлов в область последней секции
и модифицируя PE заголовок (характеристики последней сегментной
секции). Win95.Harry.2560 проявляется интересным видео-эффектом -
изменяет курсор мыши на изображение медицинского шприца. Для этих целей
вирус создает файл C:\suringe.cur и регистрирует его в системе.
Win95.Harry.1536 содержит текст "Anxiety.Poppy.95 by Vicodin",
Win95.Harry.2560 имеет строки "Fuck Harry by Quantum / VLAD", "\Control
Panel\Cursors", "Arrow".
Win95.Jacky
Неопасный нерезидентный вирус, заражающий файлы в формате PE. При
старте вирус пытается определить адреса системных файловых функций,
находящихся в ядре Windows'95. Далее с помощью этих функций вирус
производит поиск и заражение файлов. При заражении файла вирус
изменяет характеристики последней сегментной секции файла, записывает
в данную секцию свой код и устанавливает на него точку входа. Вирус
содержит зашифрованные строки:
To My d34d fRi3nD c4b4n4s..
A Win/NT/95 ViRuS v1.00.
By: j4cKy Qw3rTy / 29A.
jqw3rty@cryogen.com
Win95.Mad
Неопасный нерезидентный шифрованный вирус. Алгоритм работы данного
вируса очень похожи на алгоритмы вируса Win95.Jacky. Производит поиск
*.EXE файлов в формате Win PortableExe (PE) в текущем и родительских
каталогах и заражает их. При заражении файла вирус изменяет
характеристики последней сегментной секции файла, ее стартовый адрес и
размер, и записывает свой код в конец файла. В зависимости от текущего
времени вирус может вывести окно сообщений с текстом:
Multiplatform Advanced Destroyer
Hello user your computer is infected by MAD virus
Welcome to my first virus for Windoze95...
Distribution & Copyright by Black Angel 1997
Содержит текст "[MAD for Win95] version 1.0 BETA! ©Black Angel`97".
Win95.Memorial
Неопасный резидентный полиморфный вирус,заражающий DOS COM и EXE-файлы,
а также *.EXE и *.SCR-файлы в формате PortableExe (PE). Является первым
известным полиморфным вирусом для операционной системы Windows'95. В
DOS файлах и в VxD - драйвере вирус не зашифрован. При запуске
инфицированного DOS файла, вирус проверяет наличие среды Windows и
собственной резидентной копии в памяти компьютера. Если Windows
загружена или вирусная копия уже присутствует в системе, то вирус не
предпринимает никаких действий и отдает управление программе-носителю.
Если же данные условия не выполняются, то вирус создает файл
C:\CLINT.VXD (инфицированные EXE-файлы содержат ошибку в создании VxD-
драйвера), записывает в него собственный распакованный вирусный код
(в зараженных файлах код виртуального драйвера хранится в упакованном
виде) и оставляет в области второй половины таблицы векторов прерываний
резидентный код, который "контролирует" INT 2Fh. Данная резидентная
копия не заражает файлы, а предназначена для возвращения ответа "я
здесь" и для загрузки виртуального вирусного драйвера C:\CLINT.VXD при
старте Windows. При инициализации Windows вирусный резидентный код
получает управление и достаточно хитроумным способом, используя
интерфейс Windows, "подсказывает" среде Windows, что необходимо
загрузить резидентно в память драйвер C:\CLINT.VXD. Таким образом,
вирус без манипуляций с файлом SYSTEM.INI загружает свой виртуальный
драйвер. Данный драйвер контролирует файловые операции и при обращении
к DOS COM и EXE-файлам, а также к *.EXE и *.SCR файлам в формате PE -
заражает их. При заражении PE файлов, вирус создает дополнительную
сегментную секцию с названием CLINTON (обычно данное название
зашифровано) и записывает свой зашифрованный полиморфный код в конец
файла. При старте инфицированного PE файла под Windows'95, вирус
определяет адреса необходимых ему процедур в модулях KERNEL32 и USER32
и, при отсутствии вирусного резидентного кода в системе, создает
вирусный виртуальный драйвер в корневом каталоге и загружает его в
систему также очень интересным способом с помощью интерфейса
Windows'95. Так, установка резидентной копии очень похожа по алгоритму,
но различается по реализации для различных операционных сред. Хотя и в
том, и в другом случае необходимо наличие Windows'95. 10 апреля вирус
выводит окно сообщений с текстом:
Clinton Haines Memorial Virus by Quantum/VLAD and Qark/VLAD
Clinton Haines, also known as Harry McBungus, Terminator Z and Talon
died of a drug overdose on his 21st birthday, April the 10th, 1997.
During his time as a virus writer he wrote the No Frills family, X-Fungus,
Daemon and 1984 viruses. He was a good friend to VLAD and so we write
this virus in his honour. We hope it's good enough to do him justice.
VLAD Remembers. Rest in Peace
Win95.MrKlunky
Неопасный "резидентный" вирус. По способам внедрения в систему и
заражению файлов очень похож на вирус Win95.Punch. При старте
зараженного PE EXE-файла вирус создает файл MRKLUNKY.VXD в формате
VxD-драйвера и регистрирует его в системе. При заражении файлов вирус
создает новую сегментную секцию с именем MrKlunky и записывает свой код
в конец файлов. Вирус создает файл C:\LOG.LOG, в который записывает
имена всех заражаемых файлов.
Win95.Punch
Опасный "резидентный" вирус, заражающий EXE-файлы в формате Portable
Execute (Win95/NT). При старте инфицированного EXE-файла вирус пытается
создать файл VVFS.VXD (в формате LE EXE) в каталоге C:\WIN95 или в
C:\WINDOWS. Если таких каталогов не существует, то вирус "отказывается"
от своей попытки поразить систему. При удачной попытке вирус записывает
в файл VVFS.VXD свой вирусный код длиной 9262 байта в формате VxD-
драйвера. Далее вирус открывает файл SYSTEM.INI и производит поиск
строки "ice=" ("device="). Сразу же после данной строки вирус вставляет
вызов своего файла-дроппера VVFS.VXD, причем вирус проверяет наличие
данного вызова. После чего файл SYSTEM.INI закрывается и вирус
возвращает управление программе-носителю. В результате, вирус в VxD-
драйвере активизируется в системе только после первой же перезагрузки
системы. После загрузки MS-Windows'95 вирус получает управление,
остается в памяти, как системный VxD-драйвер и "перехватывает" открытие
файлов (IFSFN_OPEN). В результате, все открываемые файлы, как в Win95,
так и в DOS-окне будут контролироваться вирусом. Если открываемый файл
находится в формате PE (Win95/NT-файл), то вирус пытается его заразить.
При заражении вирус создает новую секцию в заголовке PE, которой
присваивает имя QuantumG, записывает свое тело (10185 байт) в конец
файла и правит секцию ресурсов и описание ресурсов в заголовке PE для
возможности вызова функций KERNEL32 из вирусного кода.Вирус не заражает
файлы у которых уже присутствует секция с именем QuantumG.При заражении
вирус не контролирует расширения файлов, а только формат файлов.Поэтому
в системе могут оказаться зараженными файлы с расширениями DLL,CPL,DRV,
... Различная длина вирусного кода при заражении VxD-дроппера и EXE-
файлов связана с различным форматом LE и PE файлов, а также, формально,
при заражении EXE-файлов вирус сначала записывает процедуру создания
вирусного VxD-файла, а затем, непосредственно, и сам VxD-дроппер. Вирус
содержит огромное количество ошибок, из-за
...Поділитися у соцмережах
