Жанр: Учеба
Описания вирусов
... которых его нормальная
"жизнедеятельность" практически невозможна. Вирус содержит тексты:
c:\win95\system.ini
c:\windows\system.ini
c:\win95\system\vvfs.vxd
c:\windows\system\vvfs.vxd
QuantumG
Beating You to the Punch in the '97 (almost)
Win95.Zombie
Неопасный нерезидентный зашифрованный вирус, заражающий EXE-файлы в
формате PortableExecutable. При старте инфицированного файла, вирусный
декриптор расшифровывает основное тело вируса и отдает ему управление.
Основной вирусный код определяет расположение в памяти KERNEL32 Export
Table и сохраняет в своем теле адреса функций WIN32 KERNEL API,
необходимых ему для заражения файлов. Далее вирус определяет командную
строку запущенной инфицированной программы и запускает ее повторно с
помощью функции WinExec. Вторая вирусная копия и будет производить
дальнейшее заражение системы. А первая вирусная копия ( которая
и произвела повторный запуск инфицированной программы) после отработки
процедуры WinExec возвратит управление программе-вирусоносителю. Для
заражения PE EXE-файлов вирус сканирует системный каталог Windows, а
также проходит все каталоги дисков C:, D:, E: и F:. При нахождении PE
EXE-файла, вирус производит его анализ, и если данный файл
удовлетворяет некоторым условиям, то производится его заражение.
Win95.Zombie создает новую сегментую секцию .Z0MBiE в заголовке PE,
устанавливает на нее точку входа и записывает свой зашифрованный код
в конец файла, в область данной сегментной секции. После заражения
логического диска вирус создает в его корневом каталоге файл-дроппер
ZSetUp.EXE с атрибутами: архивный и системный. В этот файл вирус
Win95.Zombie записывает код вируса Zombie.1922 (см. описание вируса
Zombie.1922). Вирус содержит тексты:
Z0MBiE 1.01 © 1997
My 2nd virii for mustdie
Tnx to S.S.R.
Z0MBiE`1668 v1.00 © 1997 Z0MBiE
Tnx to S.S.R.
ShadowRAM/Virtual Process Infector
ShadowRAM Technology © 1996,97 Z0MBiE
code................1398
viriisize...........4584
virtsize............8936
Wisconsin.815
Опасный нерезидентный вирус. Ведет счетчик запусков инфицированного
файла. После 4 запусков вирус пытается уничтожить файлы *.PAS в текущем
директории, после чего выводит текст "Death to Pascal.".
Witching.1400 (1,2)
Опасные нерезидентные вирусы. Удаляют файлы cHkLiS*.*. Первым делом
пытаются заразить файлы ChKdSk.exE, XcOPy.eXE, MeM.ExE. Иногда выводят
текст:
IT'S WITCHING HOUR... YOUR COMPUTER IS BEING HAUNTED ! HAHAHA...
1 апреля выводят другой текст:
Bad luck... You've got a virus in your system !
Think about using a virus-scanner which is more up-to-date !
Here lies a program in its coffin, executed by a user one time too often...
Wizard.802
Размещает свою TSR-копию в памяти по адресу 9000:A000h без коррекции
MCB-блоков. Содержит строку "PC-FLU by WIZARD 1991".
Wizard.812, 2502
Неопасные резидентные вирусы. Wizard.2502 иногда проигрывает мелодию.
Содержат текст "WIZARD".
WM - вирусы
Вирусы, заражающий текстовые файлы-документы в формате WinWord 6.0 или
7.0. Заражение системы вирусами происходит при открытии на
редактирование зараженных DOC-файлов. При открытии файла-документа
WinWord вызывает, находящиеся в этих документах вирусные макросы,
которые написаны на языке WordBasic и в дальнейшем могут быть
определены, как глобальные макросы. Данные макросы производят
копирование вирусного тела - вирусных макросов при сохранении "старых
документов" или вновь создаваемых через команду "Save As". Также данные
вирусы могут производить поиск документов в формате WinWord и
производить в них запись вирусных макросов. При выходе из WinWord
происходит автоматическая запись вирусных глобальных макросов в DOT-
файл (как правило, это файл NORMAL.DOT). Таким образом, при следующем
старте WinWord снова автоматически загрузит вирусные глобальные макросы
из файла глобальных макросов NORMAL.DOT.
WM.Alliance
"Родительская" копия вируса содержит макрос AutoOpen. При открытии
зараженного документа обновляет SummaryInfo, записывая туда строку
"You Have Been Infected by the Alliance". Не производя никаких проверок
создает в Normal.Dot макросы AutoOpen и AutoNew и записывает в них свое
тело. Т.о., копии вируса будут содержать уже два макроса с идентичнымWM.Appder (1,2)
Очень опасные макро - вирусы. После 20 заражений удаляют файлы
C:\DOC\*.EXE, C:\DOC\*.COM, C:\WINDOWS\*.EXE, C:\WINDOWS\SYSTEM\*.TTF,
C:\WINDOWS\SYSTEM\*.FOT.
WM.Bandung
Очень опасный макро-стелс-вирус. Блокирует пункты меню работы с
макросами. С 20 числа каждого месяца с 11:00 на диске C: удаляет файлы
во всех каталогах (кроме WINDOWS,WINWORD и WINWORD6) до третьего уровня
вложенности. Во время этого акта вирус выводит текст в строке статуса
"Reading menu...Please wait !".После чего создает файл C:\PESAN.TXT, в
который записывает текст:
Anda rupanya sedang sial, semua file di mesin ini kecuali yang berada di
direktori WINDOWS dan WINWORD telah hilang, jangan kaget, ini bukan ulah
Anda, tapi ini hasil pekerjaan saya...Barang siapa yang berhasil menemukan
cara menangkal virus ini, saya akan memberi listing virus ini untuk Anda
!!! Dan tentu saja saya akan terus datang kesini untuk memberi Anda salam
dengan virus-virus terbaru dari saya...selamat ! Bandung,
WM.Boom
В теле вируса содержатся макросы AutoExec, DateiSpeichernUnter
("FileSaveAs") и System. Заражение NORMAL.DOT происходит при вызове
FileSaveAs. Макро AutoOpen устанавливает процедуру обработки таймера,
которая в свою очередь, в 13:13:13 выполняет макрокоманду System.
System изменяет строку основного меню, предполагая, что она написана
на немецком языке. В результате имена пунктов образуют строку:
Mr. Boombastic and Sir WIXALOT are watching you ! ! !
Т.о., "Datei" ("File") заменяется на "Mr. Boombastic", "Bearbeiten"
("Edit") на "and", а "?" - на последний "!". Замена каждого пункта меню
сопровождается небольшой задержкой и системным гудком Windows. После
этого вирус выводит фразу:
Mr. Boombastic and Sir WIXALOT : Don`t Panik, all things are
removeable !!! Thanks VIRUSEX !!!
создает новый файл, записывает в него разными шрифтами и с отступами
следующий текст:
Greetings from Mr. Boombastic and Sir WIXALOT !!!
Oskar L., wir kriegen dich !!!
Dies ist eine Initiative des Institutes zur Vermeidung und
Verbreitung von Peinlichkeiten, durch in der гffentlichkeit
stehende Personen, unter der Schirmherrschaft von Rudi S. !
и выводит этот файл на принтер. После этого установки и вид меню
сбрасываются в состояние по умолчанию. В теле макроса System содержится
ряд закомментированных команд, которые на время вирусных эффектов
переименовывает C:\AUTOEXEC.BAT в C:\BOOMBAS.TIC, C:\CONFIG.SYS в
C:\SIR_WIXA.LOT и C:\COMMAND.COM в C:\FANTAS.TIC, а перед выводом на
принтер возвращают файлам первоначальные имена. Этот код никогда не
выполняется.
WM.Buero
Написан для немецкоязычной версии Word for Windows, содержит макросы
B№roNeu и DateiSpeichern. При заражении файлов переносит свои макросы в
файл, записывая их под другими именами, комбинируя "B№roNeu",
"DateiSpeichern" и "AutoOpen". Если текущая дата больше 15.08.1996,
переименовывает C:\IO.SYS в C:\IIO.SYS и уничтожает все файлы с
расширением *.doc.
WM.Cap
Зашифрованный стелс-вирус. Блокирует пункты меню работы с макросами и
удаляет ссылки на эти меню. Запрещает выполнение макроса AutoOpen при
открытии документов. При попытке сохранения инфицированного документа с
помощью команды FileSaveAs вирус записывает на диск абсолютно пустой
документ. Вирус содержит текст:
C.A.P: Un virus social.. y ahora digital..
"j4cKy Qw3rTy" (jqw3rty@hotmail.com).
Venezuela, Maracay, Dic 1996.
P.D. Que haces gochito ? Nunca seras Simon Bolivar.. Bolsa !
WM.Chaos
Содержит текст:
*********************************
* -x UlTiMaTe x- *
* CCCCC H H AAAAA OOOOO SSSSS *
* C H H A A O O S *
* C HHHHH AAAAA O O SSSSS *
* C H H A A O O S *
* CCCCC H H A A OOOOO SSSSS *
* -x v2.3 - 1st June, 1996 x- *
*********************************
WM.Concept (1-4, 7-9)
При первом просмотре или редактировании инфицированного документа
появляется MessageBox с цифрой 1 внутри. Вирус содержит макросы,
имеющие имена AutoOpen, AAAZAO, AAAZFS, FileSaveAs, PayLoad. Зараженный
файл-документ содержит тексты:
see if we're already installed
WW6Infector
iWW6IInstance
AAAZFS
AAAZAO
That's enough to prove my point
В зараженной системе в файле WINWORD6.INI имеется строка "WW6I= 1".
WM.Concept (5)
Вариация на тему WordMacro.Concept (1). Содержит макросы AutoOpen,
EditSize (оба - инсталляция вируса), HaHa (признак зараженности файла)
и FileSort. При запуске FileSort вирус стирает его содержимое, выводит
большими буквами текст:
i said:
say goodbye to all your stuff
(look at that hard drive spin!)
заражает файл и 100 раз подряд выполняет команду FileSave. Утраченный
текст восстановить невозможно.
WM.Concept (6)
Содержит макросы AutoOpen, Boom, F1 и F2. Макрокоманда Boom из тела
вируса не вызывается и может быть выполнена только в том случае, когда
пользователь сам этого захочет. Тогда будет выведен MeassageBox с
заголовком "AFA" и текстом "Fight Racism; Smash Fascism".
WM.Daddy
В теле вируса содержатся макросы Gangsterz и Paradise, которые получают
управление только в том случае, если пользователь сам запустит их на
выполнение. Оба макроса перехватывают сообщения, поступающие от
клавиатуры (устанавливают клавиатурные макросы) и инфицируют
NORMAL.DOT. После этого при каждом нажатии на пробел будет запускаться
Gangsterz, на клавишу 'E' - Paradise. При запуске макроса Gangsterz
вирус создает файл XOP.BAT, заражает его вирусом BAT.Xop.367, если в
секции "Intl" файла WIN.INI не присутствует строка "XOP=Installed" и
записывает в WIN.INI эту строку. После этого вставляет в AUTOEXEC.BAT
строки
@echo off
Drive:\Path\XOP.BAT
где Drive:\Path - полный путь к фалу XOP.BAT. Макрос Paradise проверяет
текущую дату и 15 января уничтожает NORMAL.DOT, записывая в него строку
"Big_Daddy_Cool Virus generated by NJ" и в "вечном цикле" вставляет в
него букву "O", предварительно запретив реакцию на нажатие клавиш.
WM.Daniel (1,2)
Макро-стелс вирус. Переопределяет меню File|Save и нажатие на клавиши
Ctrl-S, Ctrl-B на свой макрос. Данный макрос заражает текущий документ,
добавляя в его FileSummaryInfo поля: Keywords = "Daniel_Stone",
Comments = "All information should be free." Вирус удаляет пункты меню
работы с макросами и, таким образом, прячет наличие своих макросов в
системе. Содержит тексты:
REM This is the Word_Macro_Virus_Daniel_1D - Have a nice Day!
REM Please Suport the Virus Concept.
WM.Demon
В документах содержит макрос AutoOpen и 2 макроса со случайными
именами, в NORMAL.DOT - AutoClose и также 2 макроса со случайными
именами. Имена же эти хранит в переменных документа или в файле
WIN.INI. С мая до января удаляет себя из документов и шаблонов. Если
в документе имеется выделенный текст "Dark Master calling", то вирус
выводит окно с сообщением:
Microsoft WinWord DEMON
WINWORD HIDDEN DEMON
is happy to see his MASTER!!!
GREAT DAY !!!
This file is infected as #
WM.GoldFish
Содержит практически совпадающие макросы AutoOpen и AutoClose. При
заражении производит проверку наличия в файле макросов с такими именами
и атрибутом "ExecOnly". Если в документе находится макрос,имеющий такие
атрибуты и имя, совпадающее с AutoOpen или AutoClose, соответствующий
вирусный макрос в документ не переносится. Если текущий год - 1996 или
больше, каждый из вирусных макросов с вероятностью 1/500 выводит
диалоговое окно с заголовком "GoldFish" и текстом "I am the GoldFish,
I am hungry, feed me." и ждет ввода одного из слов "fishfood", "worms",
"worm", "pryme" или "core".
WM.Irish
Содержит макросы AutoOpen (заражение NORMAL.DOT), WordHelp, WordHelpNT
(оба - визуальные эффекты) и AntiVirus, который при запуске из
NORMAL.DOT заражает открытый файл и выдает системный гудок Windows.
WordHelp и WordHelpNT при активизации изменяют и сохраняют цветовые и
некоторые другие настройки дисплея.
WM.MadDog
Содержит макросы AutoOpen, AutoExec, AutoClose, FileClose, AOpnFinish и
FCFinish. Все макросы, кроме AutoClose, в качестве "шапки" содержат
строки:
--------------------------------------------------------
Microsoft Word for Windows 95 "MadDog" Macro Set
v 1.0, March l996
--------------------------------------------------------
© Copyright Microsoft Corporation, 1995
Заражает файлы довольно запутанным способом, похожим на упражнения
в структурном программировании на WordBasic. При этом используются
временные файлы с именами "Temp.Dot" и "FileName.Dat" и вызовы вирусных
макросов, как подпрограмм. Поскольку временные файлы создаются,
записываются и сохраняются средствами WordBasic, для маскировки факта
работы с ними вирус сбрасывает список MRU (Most Recently Used files -
наиболее часто используемых файлов) в меню Files.Перед закрытием файлов
в период с 20.00 до 20.59 вирус "убивает" текст, меняя все буквы "e"
("E") на "a" и сохраняет файл. При заражении файлов никаких проверок не
производится.
WM.MDMA
Вирус инсталлируется при закрытии файла (вызов AutoClose). В Normal.Dot
переносится макрос AutoClose.Если такой макрос содержится в Normal.Dot,
то вирус считает, что система уже заражена. 1 числа каждого месяца
определяет платформу, под которой работает, и в зависимости от нее
предпринимает различные действия:
Windows95 : удаляет файл C:\SHMK, файлы C:\WINDOWS\*.HLP и
C:\WINDOWS\SYSTEM\*.CPL и меняет некоторые настройки,
задаваемые группами Control Panel и Network.
Windows NT: удаляет файл C:\SHMK и все файлы текущего каталога.
Windows : удаляет файл C:\SHMK и записывает в AUTOEXEC.BAT следующие
строки:
@echo off
deltree /y c: ; (удаление дерева каталогов на C: без
; подтверждения)
@echo You have just been phucked over by a virus
Macintosh : уничтожает MacID$("****") ???
Независимо от предпринятых действий при закрытии инфицированного файла
будет выведен MessageBox с текстом "You are infected with MDMA_DMV.
Brought to you by MDMA (Many Delinquent Modern Anarchists)." , имеющий
заголовок "MDMA_DMV".
WM.NJ.based
Вирусы, созданные с помощью NJ-WMVCK v1.1 (Nightmare Jokerяs Word Macro
Virus Construction Kit) - немецкоязычным генератором MACRO-вирусов. При
открытии запрашивает имя файла, в который будет записан создаваемый
вирус и язык для диалогов (немецкий или английский, выбор последнего
влечет за собой сообщение о том, что эта возможность еще не
реализована). После выдачи нескольких информационных сообщений
продолжает диалог и просит ввести текстовую строку и имя макроса,
который будет служить признаком зараженности. В этот макрос будет
записан код, заражающий DOS одним из 10 файловых вирусов. Список DOS-
вирусов содержит несколько творений, созданных с помощью известных
программ-конструкторов вирусов (VirusConstructor.based),генераторов MTE
и SMEG, вирусы Casino.2330, Tequila, Neurobasher.Tremor и Win95.Boza.
Имя вируса запрашивается дополнительно. После этого в указанный файл
записывается текст "A New Life! Nightmare Joker!", формируется и
переносится текст MACRO-вируса и оба файла (только что созданный и файл
-конструктор) закрываются. Генератор содержит ряд неточностей и
погрешностей, в результате которых на любом этапе работа может быть
прервана сообщениями об ошибках Word Basic'а. Так, например, для ввода
одной строки выводится многострочный InputBox, имя создаваемого файла
всегда дополняется строкой "C:\" и т.д.
WM.Orhey
Наборы макросов этого вируса различаются в глобальных шаблонах и
заражаемых документах. Первоначальная копия содержит макросы AtExc,
FlOpvvv, FISvv, AutoOpen, FileExit, TlsMcr и FlSvvs (набор 1). При
открытии зараженного файла получает управление макрос AutoOpen. Он
производит проверку зараженности главного шаблона, и, если в нем не
содержится макроса с именем ImpRovevvvv5, переносит в него свое тело,
изменяя имена макросов (набор 2):
AutoOpen -" ImpRovevvvv5
AtExc -" AutoExec
FlOpvvv -" FileOpen
FlSvvs -" FileSaveAs
FlSvv -" FileSave
TlsMcr -" ToolsMacro
FileExit -" FClccc
Макро AutoExec содержит деструктивный эффект,который должен срабатывать
22 мая 1998 года. Предполагается вывод Message Box с заголовком
"GreenPeace Virus" и текстом:
Belik Natasha demands:
Stop pollution of an environment!!!!!
Protect ozonian layer!!!
Rescue Volga!!!
Pay the salary!!!!!
После этого будут уничтожены файлы по маске "*.HLP" и подана команда
ExitWindows. При работе с документом в инфицированной системе
происходит стандартное его заражение при вызове макроса FileSaveAs, при
этом вирус копирует макросы из шаблона в документ, изменяя их имена на
имена из набора 1. Макрос FileOpen проверяет поле Author потока Summary
Info открываемого документа. Если имя автора Igor Daniloff, вирус ищет
в документе макросы AutoOpen и iDrWebScan, которые содержатся в вакцине
Dr.Web for WinWord версии 1.0. При нахождении AutoOpen вирус
перезаписывает его содержимое и вставляет код, который при запуске
макроса должен вывести Message Box с заголовком "DrWeb for WinWord" и
текстом:
" In the WinWord6.0/7.0rus environment "
" the viruses are not distributed "
(что действительности, конечно, не соответствует. Возможно, автору
вируса не понравилось, что эта вакцина не была рассчитана на работу в
рускоязычных версиях редактора? Сам вирус работоспособен в любой
локализованной версии Word for Windows). При нахождении макроса
iDrWebScan вирус стирает его содержимое и записывает в макрос
"пустышку", состоящую из пустой строки с комментарием. Вирус
демонстрирует описанный Message Box, при этом в файл WINWORD6.INI или
аналогичный записывается строка "keyrus = TEXT", где TEXT - строка,
содержащая время последнего сохранения документа. Вид этой строки может
меняться в зависимости от системных настроек. Макрос ToolsMacro
подменяет собой стандартную процедуру меню Tools|Macro (если не один
документ не открыт - File|Macro). При вызове этого макроса вирус
пытается "выжить" как в главном шаблоне, так и в открытом документе,
если документ заражен. Для этого он переименовывает макросы,
устанавливает у шаблона и документа парольную защиту от редактирования,
используя пароль "orhey", после чего открывает стандартное окно Tools
\Macro. Защита макросов приводит к тому, что их нельзя не только
просмотреть или редактировать, но и удалить или переименовать макросы,
пользуясь средствами Word for Windows становится невозможно -
доступными остаются только кнопки "Run" и "Close". После закрытия окна
Tools\Macro вирус возвращает макросам старые имена и снимает с
документов пароли.
WM.Pcw
Судя по всему, этот вирус - подарок ко дню рождения. Написан для
немецкоязычной версии Word for Windows. Содержит макросы AutoOpen
(проверка условий активации и инсталляция) и DateiSpeichernUnter
(FileSaveAs, заражение), заражает NORMAL.DOT. Если текущая дата больше,
чем 14 и месяц больше июня, AutoOpen выводит MessageBox с текстом:
Herzlichen Gl№ckwunsch
Susanne B. aus E.
zu deinem Geburtstag
Ich liebe dich
Happy Birthday
WM.Satanic
Вирус написан для немецкоязычной версии Word for Windows, однако
большинство его функций работоспособны в любой версии редактора. Он
содержит макросы AutoOpen, AutoClose, AutoExit, AutoNew и AutoExec.
Заражение системы происходит при вызове AutoExec и AutoOpen. Признаком
зараженности файла служит наличие в нем макроса AutoExit. Заражение
файлов происходит при исполнении AutoClose, AutoExec, AutoExit и
AutoNew. Если AutoClose просто проверяет наличие в файле AutoExit и
заражает, если макрос не найден, то 3 остальных кроме этого содержат
различные эффекты. AutoExit 1 октября запускает командный процессор,
передавая ему строку "echo y|Format c: /u". AutoNew выводит 9 сентября
MessageBox с заголовком "Nightmare Joker :-)" и текстом "Youяre
infected with Satanic". AutoExec удаляет из меню "Extras" пункты
"Makro...", "Anpassen..." и "Optionen...". Самым любопытным является
макро AutoOpen. Если система не заражена, вирус проверяет наличие файла
C:\DOS\DEBUG.EXE и, если он найден, создает файл C:\Fun.scr. В него
записывается информация, которая затем передается программе DEBUG.EXE.
В результате будет создан файл C:\NC.COM, зараженный DOS-вирусом
Claudia.8777. После этого создается файл C:\Fun.bat и в него
записываются следующие команды:
@echo off
debug " Fun.scr " nul
@echo off
nc.com
@echo off
del Fun.scr
После запуска C:\Fun.bat MACRO-часть вируса инфицирует NORMAL.DOT или
файл, его заменяющий. В зараженной системе в файле WIN.INI в секции
[Control] присутствует строка "Installed=YES".
WM.ShareFun
Опасный зашифрованный макро-стелс-вирус.Вирус содержит макрос AutoOpen,
который при открытии инфицированного документа с вероятностью 1/4
вызывает макрос ShareTheFun. Данный макрос сохраняет текущий
инфицированный документ под именем C:\DOC1.DOC, сканирует Microsoft
Mail (если данная система установлена, ежели нет - то вирус
"перезагружает" MS-Windows), выбирает из нее 3 случайных адреса и
посылает по этим адресам зараженный документ C:\DOC1.DOC. Данные письма
содержат заголовок "You have GOT to read this!". Вирус блокирует пункты
меню работы с макросами (стелс-процедура).
WM.Tedious
Содержит макросы AutoNew, vAutoNew, FileSaveAs, vFileSaveAs, почти на
100% совпадающие по содержанию. Заражение файлов происходит при вызове
любого из них без каких бы то ни было проверок. Макросы vAutoNew и
vFileSaveAs никогда не запускаются автоматически и не получают
управления из тела вируса. Никак не проявляется.
WM.Zero
Работоспособен только в немецкой версии WinWord. В июне выводит окно
сообщений с текстом: "Lisa, ich liebe dich!".
Wormsign.1547, 1710
Опасные нерезидентные зашифрованные вирусы. Перед заражением файлов
выводят на экран строку "Wormsign !". При заражении перехватывают INT
9, 21h. Оставляют в памяти небольшую резидентную программу в области
второй половины векторов прерываний (0020:0000), которая обрабатывает
вызовы INT 13h, 1Ch, 26h. Примерно через 15 минут выводит в центре
экрана текст:
W o r m s i g n !
После чего записывает в адреса векторов INT 1, 3 слово "SANDWORM". При
записи в MBR и Boot-сектора дисков вирусы обнуляют значение количества
дорожек данного диска по смещению +1Ah в Boot-секторе. Содержат строку
"*** THE SANDWORM ***".
Worry.556
3 ноября выводит текст "Don't worry - be happy!" и "вешает" систему.
Worry.562
1 января в 14.30 выводит текст "Happy New Year !".
WpcBats.3072
Неопасный резидентный шифрованный вирус. При нажатии на клавишу "F1"
вирус выводит на экран текст:
----- - ----- ----- - -
¦-----¦- ¦----- — ¦---- ¦-----
¦---¬-¦-----¦---¬- ¦-----¦---¬-
L- L-L-----L- L- L-----L- L-
------ A.R.Jr W P C B A T S -------
Также может вывести надпись "ALA-EH" в графическом режиме монитора.
Wra.512
Неопасный нерезидентный вирус. Выводит "Ok" после каждого удачного
заражения. Включает-выключает лампочку "NumLock" клавиатуры. Содержит
текст:
Don't give up! Have a nice Num! Have a nice Lock
Moon-Lock-Trouble. Copyright © 1993 by WRA.
Wreck.92, 462
Очень опасные резидентные вирусы. Перехватывают INT 13h и заражают EXE-
файлы при чтении их заголовка (f.02 Int 13h), записывая (f.03 Int 13h)
в заголовок данного EXE-файла, не сохраняя оригинальные байты, свой
код. Wreck.462 - полиморфный вирус, при старте выводит текст "So here
it is !...". Wreck.92 содержит текст "Wreck%".
Wrong
Очень опасный Boot-вирус. Сохраняет оригинальный Boot-сектор дискет по
адресу головка-1, дорожка-38, сектор-1, а MBR жесткого диска в одном из
последних секторов диска. При обращении к данным секторам на чтение или
запись выдает ошибку операции, не разрешая доступ к данному сектору.
WWPE.Rsa
Очень опасный резидентный полиморфный вирус. Создан с помощью
полиморфного генератора WWPE. При обращении к ZIP или ARJ - архивам
вирус добавляет в данные архивы файл c00lBbS.CoM, который содержит
вирусный код. При запуске такого файла на экране монитора появляется
изображение пламени. Иногда вирус блокирует запись на диск. Содержит
тексты "Wild W0rker /RSA", "WWPE v0.1".
Wxyc (1,2)
Загрузочные вирусы. Иногда при загрузке системы выводят текст "WXYC
rules this roost!". Содержат текст "JAM WXYC". Существует модификация
вируса, которая выводит текст "Virus by Vs&W Hackers"
...Поділитися у соцмережах
