Жанр: Учеба
Описания вирусов
...и содержит строку
"Mad Max!".
X-Mrei.866, 1405
Неопасные резидентные шифрованные (X-Mrei.1405 - полиморфный) вирусы.
Не заражают файлы, содержащие в своем имени буквосочетания AIWEANIN.
Выводят на экран строку "X-Mrei 7".
XAM.278
Заражает EXE-файлы весьма оригинальным способом. Вирус внедряет свой
код в область таблицы перемещаемых символов (relocation table), изменив
три байта сигнатуры EXE-файла 'MZ' на JMP NEAR. Но самое интересное
то, что вирус использует для заражения INT 16h. Перехватывая данное
прерывание вирус контролирует дисковые буферы DOS, просматривает всю
цепочку дисковых буферов и если обнаруживает в каком-нибудь из них
признаки заголовка EXE-файла, то внедряет свой код в заголовок EXE,
находящийся в этом буфере и устанавливает признак "загрязненности"
буфера. Т.е., если данный буфер используется для записи, DOS запишет
заголовок EXE-файла вместе с вирусом на диск.
XAM.797
Неопасный резидентный вирус. Содержит строки "Wait viruses XAM",
"Hi, Dimitriy Nikolaevich!".
XorAA
Очень опасный Boot-вирус. После 256 загрузок с жесткого диска шифрует
17 секторов 4ех цилиндров на каждой головке "винчестера".
Xtac.1564
Опасный резидентный вирус. После 24 числа каждого месяца удаляет файлы,
расширение которых отличается от расширений, указанных в следующей
текстовой строке "COMEXESYSBATOBJOVROVLINICFGTPUHLPTPLBGICHR". Содержит
текст "good news! you have justbeen smitten by XTAC - lyndon siao,
usc-tc"
Xuxa.1096, 1656
Неопасные резидентные шифрованные вирусы. Удаляют файлы CHKLIST.MS,
ANTI-VIR.DAT, CHKLIST.CPS. В августе Xuxa.1096 выводит текст:
Si no viste el Show de Xuxa por T.V, ni en vivo... '
ahora podes verlo en tu PC!. - XOU DA XUXA 1.2 '
By Leviathan.$'
Xuxa.1656 6 марта с 9.00 до 11.00 выводит на экран текст:
Xuxa Park 1.0 ¦ By Hades
"Y luchemos para que todos los niдоs delmundo tengan derecho a sодаr,
a sодаr por igual"
Содержат текстовую строку "TBSCASOLTOOCPF-CHKIBM".
Xyz.1561
Неопасный резидентный, пытающийся быть невидимым, вирус. В пятницу
может вывести слово из 3 букв, коее очень умные люди привыкли писать на
заборах.
YADEKA.Demo
Опасный резидентный вирус. Из-за ошибки разрушает около половины всех
заражаемых файлов. Выводит текст "This file infected with [yet another
data encryption kernel advance] demo virii". Также содержит текст "[yet
another data encryption kernel advance] v1.00".
Yale (1-3)
Опасные загрузочные вирусы. "Перехватывают" INT 9 и при нажатии на
Ctrl-Alt-Del заражают загрузочный сектор диска A:,сохраняя оригинальный
сектор по адресу 0-39-9, отформатировав предварительно 39 цилиндр.
Yankee.2561
Неопасный резидентный вирус - плагиат вирусов семейства Doodle. По 20
числам "трясет" экран. Содержит зашифрованный текст "(C) by M.E.S. from
MSU. Moscow 1993. Version 1.00 ( Demo ).Wait new viruses soon. See Ya!"
Yard.448, 590
Опасные резидентные вирусы. Уничтожают *.BAK-файлы. Содержат строку
"Yard-keeper".
Yeke.1204, 1706, 2425
Неопасные (Yeke.2425 - очень опасный) резидентные зашифрованные вирусы.
Yeke.2425 может уничтожить содержимое CMOS-памяти и секторов дисков.
Проигрывают мелодию и выводят тексты:
Yeke.1204, 1706:
Be Careful. YEKE Controls Your Computer.
Yeke.2425:
TERMINATOR 2
lives...
The Judgement Day has come!
Your system has been terminated.
Yeke.2425 записывает в сектора дискет программный код, который выводит
на экран текст "This system has been terminated.".
Yerg.120, 126
Неопасные резидентные вирусы. Имеют строку "Yerg?".
Yom.529
Может изменить системную дату и вывести сообщение "yesterday once
more".
Zabootovka (1-3)
Содержат текст "ЗаBOOТовка".
Zappa
Опасный загрузочный вирус. 4 декабря выводит текст "Dedicated to
ZAPPA..." и уничтожает сектора первого жесткого диска.
Zarin.669
Опасный нерезидентный вирус. 11 и 23 числа записывает в boot-сектор
диска C: троянскую программу, форматирующую 3 раза разными способами
первую дорожку диска C:. После записи "троянца" вирус выводит текст:
"Andy Said:Zarin`iS dangerous!".
ZeroBug.1536
Неопасный резидентный вирус. Иногда запускает рожицу (ASCII 1), которая
двигается на экране и стирает все символы '0'.
Zhengxi.7271, 7307, 7313
Неопасные резидентные полиморфные стелс-вирусы. Инфицированные файлы
содержат два "длинных" полиморфных расшифровщика. Первый декриптор
расшифровывает основное тело вируса и второй декриптор, после чего
отдает управление второму декриптору, который продолжает расшифровывать
основной вирусный код. Расшифровка производится не последовательно байт
за байтом или слово за словом, а произвольными "прыжками" по всему телу
вируса. При получении управления основной вирусный код перехватывает
INT 01 и трассирует оригинальный обработчик INT 21h. Данная трассировка
производится для поиска определенной последовательности байт,
присутствующих, как правило, во всех версиях DOS. При нахождении данной
последовательности байт вирус внедряет в оригинальный обработчик INT
21h косвенный межсегментный CALL на "длинный" прямой JUMP, находящийся
также в оригинальном обработчике. Данный JUMP указывает на вирусный
обработчик INT 21h. В дальнейшем резидентная копия может "перемещаться"
по различным сегментам памяти, в том числе, и в области UMB. После
перехвата INT 21h вирус строит два полиморфных расшифровщика для
восстановления исходных 22 байт заголовка инфицированного EXE-файла.
При заражении файла вирус шифрует данные байты с помощью полиморфных
механизмов, основанных на некоторых случайных стартовых значениях. При
восстановлении данных байтов вирус также использует данные полиморфные
механизмы. Для файлов, инфицированных описанным выше методом, активный
резидентный вирус использует стелс-алгоритмы. Но также вирус использует
еще один вариант заражения EXE-файлов, длина которых больше 32K. При
заражении таких файлов вирус считывает 6144 байт, следующих сразу за
EXE-заголовком и пытается найти последовательность байт, обычно
используемых в процедурах, написанных на языках высокого уровня. Если
данные байты найдены, то вирус производит некоторые дополнительные
проверки и внедряет вместо байт процедуры 84 байта собственного кода,
сохранив предварительно оригинальный программный код, шифрует
полиморфным методом основной вирусный код, который записывает в конец
файла-жертвы. Внедренный в середину программы код из 84 байт, при
получении управления, определяет имя стартовавшей программы,
устанавливает указатель на смещение вирусного тела в файле, считывает
из него 112 байт кода в область программного стека, расшифровывает его
и передает ему управление. Данный 122-байтный код считывает из файла
исходные 84 байта программной процедуры в их "законное" место и также
расшифровывает их. Затем вирус пытается получить свободный блок памяти,
(возможно в области UMB) и читает из инфицированного файла в этот блок
памяти полиморфнозашифрованный основной вирусный код и передает ему
управление. После собственной расшифровки вирус перехватывает INT 21h,
описанным выше способом и возвращает управление программе-
вирусоносителю. Т.о., вирус из такой инфицированной программы может
"выпрыгнуть", может "не выпрыгнуть" или "выпрыгнуть" при определенных
условиях, например, при задании определенного ключа в командной строке.
Для таких инфицированных файлов стелс-алгоритм вируса не работает.
Т.к., для файлов инфицированных первым способом, вирус "включает"
стелс-механизм, то, например, при архивировании зараженных EXE-файлов в
архивных файлах окажутся уже "здоровые" файлы. Но автор вируса
предусмотрел и этот вариант. При запуске некоторых архиваторов (ARJ,
ZIP,..) для архивации файлов вирус создает файл со случайным именем от
2 до 5 букв и расширением COM, и записывает в него свою полиморфную
копию. В результате архивный файл, наряду с "излеченными" EXE-файлами
будет содержать и COM-файл с телом вируса. При запуске такого файла
будет выведено сообщение "Abnormal program termination".Вирусы содержат
текст:
The Virus/DOS 0.54 Copyright © 1995 Zhengxi Ltd
Warning! This program for internal use only!
Для пострадавших от данного вируса привожу имя их создателя:
Денис Петров 2:5030/287.14.
Zherkov.1922, 2435, 2968, 2970
Неопасные резидентные вирусы. Zherkov.2345 на компьютерах с процессором
386 и выше пытается блокировать отладку. Zherkov.2968,2970 периодически
выводят на экран текст:
-------- --- --- --- ---
--- --- --- ---- --- ------------------------------------
--- --- --- -------- -------- --- -------- -------- ---
-------- --- --- --- --- --- --- --- --- --- --- ---
--- --- --- --- --- -------- --- -------- -------- ---
--- --- --- --- --- --- --- --- --- --- --- --- ---
--- --- --- -------- -------- --- -------- -------- ---
------------------------------------------------- -----------
--- ------- ------- ------- --- --- --- --- --- — -------
--- --- --- --- --- ------- --- --- --- - --- ------- -------
--- ------- ------- ------- ------- --------- --- --- --- ---
----------- --- ------------------- -------------------------
ZhugeLiang.4784, 5976
Неопасные резидентные полиморфные вирусы. ZhugeLiang.4784 10 июня
периодически издает "музыкальные" звуки. Не заражают файлы: COMMAND,
IBM, TB, EMM386, SETVER, MSCDEX, CHKDSK, SCANDISK, XCOPY, BACKUP,
MSBACKUP, PKZIP, ARJ, LHA, RAR, TELIX, COMMO. Содержат тексты:
ZhugeLiang.4784:
ZhugeLiang v1.0b Written by Zhuge Jin on May 1., 1995 .
Made in Taiwan. Today is my Birthday 64/05/01 ! Oh! Yeah!
ZhugeLiang.5976:
ZhugeLiang v2.0 by Zhuge Jin in Taipei, 1995.
Zipper.2779 (1-3)
Неопасный резидентный вирус. Первым делом пытается заразить файлы
\COMMAND.COM, \DOS\FORMAT.COM. Внутри себя содержит ZIP-архив с файлом
ZIPPER.ASM. При трансляции данного исходного текста (ZIPPER.ASM)
получается неопасный резидентный вирус Zipper.303. Zipper.2779 содержит
текст """*"" Use PKUNZIP *.EXE immediately! ""*""".
Zmiana.1024 (1,2), 1224, 1383
Резидентные шифрованные вирусы.Zmiana.1024(1) в пятницу 13 числа портит
последний байт MBR жесткого диска, в результате чего система перестанет
загружаться с "винчестера" и устанавливает системную дату на 25 декабря
1994 года. Zmiana.1224 иногда выводит сообщение:
Info: zmiana rozmiaru programu !
Znosko.509, 1311, 1372, 1380, 1418, 1730
Данные вирусы названы так по той причине, что во всех исходных текстах,
конфискованных бдительной общественностью у автора данных вирусов,
содержатся следующие тексты:
;*************** virus 'Zarina Tamara'***************
;******* created by dima znosko ******
Очень опасные нерезидентные (Znosko.1730 - шифрованный) вирусы.Заражают
COM (Znosko.1730 также EXE) файлы на всех дисках во всех доступных
каталогах за один проход. При заражении файлов используют файловые
функции FCB INT 21h. Znosko.1372, 1380 после 19 числа месяца разрушают
все файлы на дисках. Znosko.1311, 1418 после 11 числа месяца
переименовывают все найденные файлы в файлы с именами типа AAAAAAAA,
BAAAAAAA, BBAAAAAA,... Znosko.1372, 1380, 1418 содержат текст "Find
FizFuck". Эти вирусы оставляют метку своего пребывания на дисках в виде
файлов IMAGE.IDX или WSURC.DMA в корневом каталоге.При нахождении таких
файлов на диске вирусы повторные попытки заражения такого диска
принимают значительно реже. Znosko.1730 пытается найти файл
C:\WIN95\WRIVDR.CNF, и если находит его, то считывает 2000 байт этого
файла в память и отдает ему управление по смещению 0. Znosko.1730
пытается уничтожить файлы *.CPP, *.BAK и *.C, записывая в них текст
"Срочно обратитесь к администатоу сети.". Znosko.509 выводит на экран
текст "Zarina Tamara".
Zombie.1922
Опасный резидентный зашифрованный вирус. Является "продуктом
жизнедеятельности" вируса Win95.Zombie. Но в дальнейшем может "жить
собственной полноценной жизнью". Win95.Zombie создает файлы ZSetUP.EXE
в корневых каталогах инфицируемых дисков. При запуске такого файла
ZSetUP.EXE вирусный код получает управление и пытается выяснить сможет
ли он (вирус) открыть на запись RAM Shadow. Далее производится попытка
найти блок свободной памяти (нулевых байт) длиной 2122 байта в сегменте
0C000h. Если ему это не удается, то вирус выясняет адрес расположения
системного фонта размером 8x14. Если данный фонт находится в сегменте
0C000h, а также если адрес оригинального обработчика INT 13h находится
в сегменте 0F000h, то вирус открывает RAM Shadow на запись и записывает
свой код в область нулевых байт или в область системного фонта 8x14.
Затем вирус модифицирует оригинальный обработчик INT 13h, внедряя в
него команду передачи управления на собственную процедуру. После этого
RAM Shadow "закрывается" - запись в нее становится невозможной. При
чтении сектора (f.2 Int 13h) с начальной сигнатурой "MZ", вирус
"перехватывает" INT 21h, обработчик которого заражает в дальнейшем все
запускаемые или открываемые на чтение или запись EXE-файлы. При чтении
секторов, содержащих элементы каталогов или файлов, вирус производит
поиск последовательности байт: ADINF, AIDS, AVP, WEB, DRWEB, ---, CPP,
C, S-ICE, TD, DEBUG, WEB70801, CA. В случае нахождения таковых вирус
устанавливает в прочитанном секторе для найденного элемента первый байт
0E5h - признак удаленного файла и "забивает" дальнейшее имя нулями.
Таким образом, при активном вирусе операционная система не будет даже
подозревать о наличии данных файлов на диске. Вирусные обработчики INT
13h и INT 21h при получении управления "открывают" RAM Shadow,
производят свои действия и обратно "закрывают" RAM Shadow. Без
соответствующих манипуляций с теневой памятью удалить или обезвредить
вирусный код в памяти не предоставляется возможным. При обнаружении
данного вируса в памяти следует произвести лечение системы,
загрузившись с диска, с "чистой" операционной системой. Следует
отметить, что вирусу Zombie.1922, видимо, удастся открыть RAM Shadow на
большинстве современных материнских плат, имеющих процессор Pentium.
Вирус содержит тексты:
Z0MBiE`1668 v1.00 © 1997 Z0MBiE
Tnx to S.S.R.
ShadowRAM/Virtual Process Infector
ShadowRAM Technology © 1996,97 Z0MBiE
Zombie.16384
Неопасный нерезидентный полиморфный вирус. Алгоритм работы полиморфного
генератора очень похож на алгоритмы вирусов Ply и Tmc. Zombie.16384
производит поис и заражение COM-файлов в текущем каталоге. При старте
инфицированной программы вирус создает в памяти строку текста, которую
потом сразу же "забивает нулями": "ZCME 0.01 Z0MBiE`s Code Mutation
Engine © 1997". Вирус проходит своим встроенным дизассемблером по
собственному коду и записывает в случайные адреса памяти, выделенного
16K буфера, блоки из ассемблерных инструкций случайной длины. Данные
блоки вирус "разбавляет" командами NOP. Для связывания между собой
этих блоков вирус использует команду безусловного перехода JMP. Таким
образом, 1346-байтный вирус оказывается "разбросанным" по 16K буферу.
Данный буфер вирус записывает в начало инфицируемых файлов.
Zu.473
Опасный резидентный вирус. 13 июня выводит сообщение "Format ..."
и пытается уничтожить содержимое всех секторов нулевой головки жесткого
диска.
Zyx.5739
Опасный нерезидентный зашифрованный вирус. Не заражает программы если
обнаружит в файле CONFIG.SYS текстовые строки "VSAFE.", "NAV_." или
"NAV&.". Удаляет файлы SCANVAL.VAL, FSIZES.QCV, CHKVIRUS.CFG, NAV_*.*,
CHKLIST.MS, *._XE, *._OM, SIGNTURE.DAT, CHKLIST.CPS. Не заражает файлы,
имеющие имена SCAN.EXE, NAV.EXE, TBSCAN.EXE, STACKER.COM. При заражении
файлов вирус пытается определить - вакцинирован ли файл с помощью
антивируса CPAV. Если вакцина будет обнаружена, то вирус исправляет ее
(patch) таким образом, чтобы вакцина при, получении управления, не
"догадалась", что ее файл-хозяин инфицирован. В файлы с расширениями
PAS, DOC, BAK, ASM, C, TXT вирус записывает следующий текст:
To Karen
In the realm of a greek deity, I dreamt of you.
A weird reverie,
Typewriters were like clouds, high in the sky,
The floor was made of paper,
Pencils stood for trees,
A light bulb, low on the horizon, made a perfect sunset.
And it rained words ...
Then you came, more beautiful than ever,
The only one real in my cyberspace.
I felt like holding you im my arms, touching your hair,
Telling you how much I loved you,
How much I wanted to lose myself in your pretty brown eyes.
I was almost in heaven.
Suddenly it was pitch dark,
The greek god had turned off the PC. It said:
'Buddy you're just a damned cyberpunk
whose only friends are NPCs.'
I opened my eyes, it was dawning outside.
You weren't there.
I miss you. I really miss you.
Zyx
From the slums of
Beverly Hills.
Содержит также тексты:
I'MWackOkiDtHebRainChildOfZyx
Stopsnoopingintomywork
Itoldyoutostop
Ifyuwanagoontakesomeflowerstoyourgirltoday&makeherhappyok
IhateturksazerbaijanisandKARABAGHbelongstous
Sowhatdidyougainwiseass
wishIhaddonesomethingelse
Zz.412
Неопасный вирус. Содержит текстовую строку "&Zz".
ZzTop.340
Опасный резидентный вирус. В конец всех открываемых *.C и *.CPP-файлов
записывает текстовую строку "ZZ TOP".
Поділитися у соцмережах
