- [Duke's Virus Labs #4] - [Page 15] -

Семейство Trivial
(c) by Duke/SMF

   Взглянул на собственную статью о Trivial-вирусах, опубликованную в прошлом
номере. Ну и наворотил я там глупостей ! Поэтому я стал оптимизировать код
вирусов и таким макаром написал многочисленный выводок примитивных вирусов.
И ни один из них не детектируется антивирусом AVP, даже нет подозрения на
Type_Trivial (кроме одного вируса) -  и это не смотря на то, что в последнем
кумулятиве была значительно улучшена эвристика !
   Просто удивительно, какие большие потенциалы скрывают в себе эти 50-65
байтные крохи. Они не только работают, но и размножатся, и имеют свою
индивидуальность!
   На примере этого семейства демонстрируется метод создания штаммов вирусов
с помощью комбинации компиляторов masm/tasm + tlink. Немного смекалки - и
я уже отец семейства вирусов Trivial с длинами от 50 до 60 байт :)))
   Исходники в статье не привожу (они все достаточно однотипные), их можно
найти в прилагающемся архиве. Далее идут небольшие характеристики вирусов.

Trivial.50.s1
~~~~~~~~~~~~~
Получен из Trivial.51.s1 путем маленькой оптимизации (засылаем байт вместо
слова, но уже в другом месте).
Компилируется tasm + tlink

Trivial.51.s1
~~~~~~~~~~~~~
Получен из Trivial.52.s1 путем маленькой оптимизации (засылаем байт вместо
слова).
Компилируется tasm + tlink

Trivial.52.s1
~~~~~~~~~~~~~
Примитив. Все команды типа
   mov al,xx
   mov ah,yy
заменены на команду mov ax,yyxx
Компилируется tasm + tlink

Trivial.52.s2
~~~~~~~~~~~~~
Отличается от Trivial.52.s1 местоположением маски файла в теле вируса.
Компилируется tasm + tlink

Trivial.52.s3
~~~~~~~~~~~~~
Оптимизированный Trivial.54
Компилируется tasm + tlink
Реакция антивирусов: Dr.Web 4.03 обзывает вирус Tiny.71 - явная брехня !

Trivial.53.s1
~~~~~~~~~~~~~
Замена команд проведена только в первом вхождении.
Компилируется tasm + tlink

Trivial.53.s2
~~~~~~~~~~~~~
Замена команд проведена только во втором вхождении.
Компилируется tasm + tlink

Trivial.54
~~~~~~~~~~
Расположил FindFirst/FindNext друг за другом, причем после нахождения первого
файла не предпринимается никаких действий по размножению, а сразу идет поиск
следующего файла.
Компилируется tasm + tlink

Trivial.55.s1
~~~~~~~~~~~~~
Повторяет вирус Trivial.53.s1
Компилируется masm + tlink

Trivial.55.s2
~~~~~~~~~~~~~
Повторяет вирус Trivial.53.s2
Компилируется masm + tlink

Trivial.56.s1
~~~~~~~~~~~~~
Повторяет вирус Trivial.54
Компилируется masm + tlink

Trivial.56.s2
~~~~~~~~~~~~~
Оптимизированный Trivial.57
Компилируется tasm + tlink

Trivial.57
~~~~~~~~~~
Аналогично Trivial.54, только после FindFirst идет jmp на заражение.
Компилируется tasm + tlink

Trivial.58
~~~~~~~~~~
Повторяет вирус Trivial.56.s2
Компилируется masm + tlink

Trivial.59
~~~~~~~~~~
Повторяет вирус Trivial.57
Компилируется masm + tlink

Trivial.62.s2
~~~~~~~~~~~~~
Вариант вируса Trivial.60 (опубликован в DVL #3).
Компилируется masm + tlink

Trivial.64
~~~~~~~~~~
Вариант вируса Trivial.62 (опубликован в DVL #3).
Реакция антивирусов: Dr.Web 4.03 подозревает на COM.Virus
                     AVP (01.99) подозревает на Type_Trivial
(Поскольку этот вирус занимается поражением по маске "*.com" ,а все
предыдущие вирусы - по маске "*.*").
Компилируется masm + tlink