- [Duke's Virus Labs #4] - [Page 24] - Немного о новых вирусах (c) by Eugene Kaspersky От редактора : Автор AVP, Eugene Kaspersky, регулярно публикует в конференции AVP.SUPPORT описания новых вирусов. Я подумал, что не плохо было бы читателям DVL ознакомиться с этой информацией. Поэтому я собрал воедино последние публикации (03.09, 05.09, 30.09, 16.10, 31.10, 07.11, 01.12) и разобрал их по алфавиту. Все (c) сохраняются за Eugene Kaspersky & AVP Team (я хоть и вирмейкер, но не пират ;) ============================================================================ Andrisd (03-09-98) ─────── Hеопасный загрузочный вирус. Перехватывает INT 13h и записывается в boot-сектора флоппи-дисков и MBR винчестера. Винчестер поражается при загрузке с зараженного флоппи-диска, дискеты заражаются при обращениях к ним. Вирус вызывает функции Novell Netware и создает на сервере Novell новый обьект "ANDRISD" с правами супервизора. Этот объект в дальнейшем может использоваться для подключения к сети пользователя с несанкционированными правами супервизора. Кроме того, созданный вирусом объект невидим для пользователей, не имеющих прав супервизора. ============================================================================ Baphometh.1536 (07-11-98) ────────────── Опасный резидентный файлово-загрузочный вирус. Заражает MBR винчестера, загрузочные сектора дискет, записывается в конец запускаемых COM- и EXE-файлов. При заражении MBR затирает таблицу разбиения диска, в результате MBR невозможно вылечить командой "FDISK/MBR". Вирус также уничтожает файл C:\WINDOWS\SYSTEM\IOSUBSYS\HSFLOP.PDR. Код вируса содержит зашифрованную строку: Baphometh v2 ~CAD При запуске зараженного файла вирус заражает MBR, перехватывает INT 21h, остается резидентно в памяти и затем заражает выполняемые DOS-файлы. При загрузке с зараженного диска вирус перехватывает INT 8 (таймер), ждет загрузки DOS и затем перехватывает INT 21h. При этом вирус также перехватывает INT 13h и при обращениям к дискам вызывает свои процедуры заражения и стелс. ============================================================================ CrazyPunk.500 (07-11-98) ───────────── Hеопасный нерезидентный зашифрованный вирус. Ищет .COM-файлы и записывается в их конец. Cодержит строки: Cмерть врагам ! (C) Crazy Punk ============================================================================ Div.725 (03-09-98) ─────── Безобидный нерезидентный зашифрованный вирус. Использует антиотладочные приемы. При запуске ищет COM-файлы и записывается в их середину. Оставляет свою копию в памяти и перехватывает INT 21h в котором проверяет расширения запускаемых файлов, но сами файлы не заражает - видимо, автор вируса не доделал эту подпрограмму. По этой причине вирус считается нерезидентным. При заражении вирус разбивает свой код на 4 участка (второй участок зашифрован) и записывает их по фиксированным смещениям в файле: 0, 100h, 300h, и в конец файла, предварительно сохранив затираемые области в конце файла. ============================================================================ Eka.4096 (03-09-98) ──────── Hеопасный резидентный вирус. Перехватывает INT 10h, 17h, 21h. При запуске программ ищет в текущем каталоге COM- и EXE-файлы и записывается в их конец. В зависимости от своих счетчиков изменяет символы при их печати на принтере. В зависимости от системных условий выводит текст: ╔══════════════════════════╗ ║ Beware of the 'Virus ║ ║ ▄▀▀▀▀ █ ▄▀ ▄▀▀▀▄ ║ ║ ▄▀▀▀ █▀▄ ▄▀▀▀▄ ║ ║ ▀▀▀▀ ▀ ▀ ▀ ▀ ║ ╚══════════════════════════╝ ============================================================================ Exe_vb, семейство (03-09-98) ═════════════════ Безобидные резидентные вирусы. Перехватывают INT 21h и записываются в конец EXE-файлов при их запуске. Признаком заражения служат 2 байта в конце файла: "VB". Hикак не проявляются. ============================================================================ Hanko.4167 aka Monica (16-10-98) ───────────────────── Опасный резидентный полиморфик-стелс-вирус. Перехватывает INT 21h и записывается в конец COM- и EXE-файлов при их запуске или закрытии. При открытии, переименовании или отладке зараженных файлов вирус лечит их. Использует несколько уровней шифровки, при этом процедуры шифровки/расшифровки базируются на 64-битном алгоритме. В вирусе также встречаются антиотладочные и прочие приемы, затрудняющие его анализ. 7-го июля в 7:07 вирус выводит текст и завешивает компьютер: My name is Monica. I'm your new virus. If you are a programmer, you can try to decode the author's info, that is encrypted somewhere in my body. The decryption routine is also implemented. You must only guess the key ... Good luck, friend. Now I stopped the computer. Press RESET, please. В теле вируса действительно присуствует строка текста, зашифрованная 64-битным крипто-алгоритмом с неизвестным ключом. После расшифровки этот текст выглядит следующим образом: Hi! You are really very good. So: My name is Michal Hanko, I'm from Czech Republic. I live in Letovice, Halasova street in Southern Moravia near Brno. My E-Mail is: hanko@math.muni.cz. Please, mail me that you've been succesful. Copyright (c) Majkl soft. ============================================================================ Heiko.2184 (07-11-98) ────────── Опасный резидентный полиморфик-вирус. Перехватывает INT 21h и записывается в конец COM- и EXE-файлов при их запуске или открытии. Уничтожает антивирусный файл данных CHKLIST.MS. В зависимости от своего счетчика и системного таймера: стирает CMOS; или записывает в файлы случайные данные; или перехватывает INT 1Ch (таймер) и через некоторое время меняет настройки модема и набирает номер (см. команды модема ниже). Вирус содержит строки: "Lord of the Dance";fuer Heiko, den ich fuer immer und immer liebe; (c) Wesley;rel. 1 at s7=87s10=255dt0190332332 at s0=1 ============================================================================ Foo.956 (30-09-98) ─────── Hеопасный нерезидентный зашифрованный вирус. Ищет COM-файлы в текущем, родительских каталогах и в C:\WINDOWS и заражает не более трех обнаруженных файлов. Записывается в конец файлов. Корректирует поле самопроверки COM-файлов Windows32 (имеющих строку "ENUNS" в конце файла). Использует антиотладочные приемы. По 29 числам выводит текст и завешивает компьтер: --FOO VIRUS-- WE'RE ALL STARS NOW, IN THE DOPESHOW MADE IN THE UK, WE EXIST.. ============================================================================ Frizer.987 (03-09-98) ────────── Безобидный нерезидентный вирус. Ищет .COM-файлы, переносит начало файла в его конец и записывает блоки своего кода в начало и конец заражаемого файла. Cодержит строку: [ Spreader beta2 by FRiZER ] Вирус имеет необычную структуру кода и данных и использует достаточно оригинальный алгоритм заражения файлов. Во-первых, код вируса разделен на два блока. Первый блок (который записывается вирусом в начало файла) содержит перехватчики отладочных прерываний INT 1,3 и таблицу инструкций (см. ниже). Второй блок кода вируса (который размещается в конце файла) содержит ассемблерные инструкции, выполняемые вирусом при поиске и заражении файлов, т.е. второй блок является процедурой размножения вируса. Основной особенностью вируса является тот факт, что ассемблерные команды во втором блоке расположены в довольно необычном порядке. Вместо стандартного набора команд (найти файл, открыть его, прочитать содержимое и т.д.) вирус выполняет на первый взгляд совершенно неестественные действия: в регистры загружаются корректные номера DOS-функций, но необходимые для их выполнения DOS-вызовы INT 21h отсутствуют в коде вируса! Hапример, вирус использует DOS-вызов INT 21h при выделении блока памяти для буфера чтения/записи (здесь все выглядит корректно), однако затем коды вызова INT 21h отсутствуют: MOV AH,48h ; выделить блок памяти INT 21h ; DOS-вызов ... MOV AH,1Ah ; установить DTA MOV DX,DI ; DOS-вызов отсутствует MOV AH,4Eh ; найти файл MOV CX,0020h JNC ... ; DOS-вызов отсутствует Последующий анализ алгоритма вируса показывает, что вирус на самом деле вызывает INT 21h, однако при этом используется код INT 21h из первой команды. Для того, чтобы совершать такие несуразные действия вирус использует таблицу инструкций из первого блока вируса. Эта таблица содержит список указателей на инструкции, которые должны выполняться при поиске и заражении файлов. Для корректного выполнения кода, приведенного выше, вирус использует примерно такую таблицу: указатель на MOV AH,48h указатель на INT 21h ... указатель на MOV AH,1Ah указатель на MOV DX,DI указатель на INT 21h ; указывает на тот же INT 21h, что и выше указатель на MOV AH,4Eh указатель на MOV CX,0020h указатель на INT 21h ; указывает на тот же INT 21h, что и выше указатель на JNC ... Для того, чтобы процессор выполнял только одну инструкцию (или необходимое количество инструкций), вирус использует INT 1/3: устанавливает режим трассировки, выполняет команду по первому указателю, проверяет необходимые условия, затем выполняет команду по следующему указателю и т.п. В результате такого необычного подхода к исполнению процедур вирус содержит только одну копию каждой выполняемой инструкции (за очень редкими исключениями). Если вирусу необходимо выполнить инструкцию, которая уже присутствует в его коде, он всего-лишь обращается по тому же указателю. Более того, при заражении файлов вирус сканирует их содержимое на наличие инструкций из своего второго блока. Если такие инструкции обнаружены, вирус устанавливает указатели в своей таблице на тело заражаемого файла - то есть вирус использует и выполняет команды заражаемого файла. Естественно, что в этом случае вирус не записывает обнаруженные инструкции в свой второй блок, и размер заражаемых файлов увеличивается на значение меньшее длины вируса. В результате такого метода заражения вирус использует код зараженной программы, т.е. вирус не просто заражает файлы, но и "интегрирует" свой код с кодом зараженных программ. ============================================================================ Hob (17-12-98) ─── Безобидный резидентный загрузочный стелс-вирус. Перехватывает INT 13h и заражает загрузочные сектора дискет в дисководе A: и MBR винчестера. Винчестер заражается только в том случае, если отключена встроенная в BIOS защита от вирусов (для этого вирус проверяет соответствующее значение в CMOS-памяти). Вирус содержит строку: h0b13BzZ ============================================================================ HTML.Internal (07-11-98) ───────────── Первый известный вирус, заражающий HTML-файлы. При обращении к зараженной странице вирус ищет HTML-файлы на локальном диске и заражает их. При заражении использует скрипты, написанные на языке Visual Basic. Вирус размножается только в том случае, когда в броузере отключены соответствующие Security settings, в противном случае при запуске вируса броузер выдает сообщение об ошибке. Заголовок зараженных HTML-файлов содержит инструкцию, которая объявляет вирусный скрипт как автоматически выполняемый при открытии файла броузером, т.е. при открытии зараженной HTML-страницы управление автоматически передается на код вируса. Основная процедура вируса с вероятностью 1/6 в зависимости от системного датчика случайных чисел вызывает процедуру заражания, которая ищет все *.HTM и *.HTML-файлы в текущем и всех родительских каталогах и записывается в их начало. При заражении первоначальное содержимое файлов сдвигается вниз, по этой причине вирус не портит файлы и визуально (при просмотре броузером) зараженные HTML-страницы никак не отличаются от незараженных. Первая строка кода вируса содержит текст-идентификатор: The virus header contains the text ID-line: После заражения вирус выводит в status-bar сообщение: HTML.Prepend /1nternal ============================================================================ HTML.Internal.b (01-12-98) ═══════════════ Тем же способом, что и первая версия вируса, ищет HTML-файлы в текущем и родительских каталогах и записывается вместо них, т.е. полностью уничтожает первоначальное содержимое файлов. Тело вируса содержит текстовый комментарий "HTML.Offline v0.1" и ссылку на Web-страницу автора вируса. ============================================================================ HTML.Internal.c (01-12-98) ─────────────── Компаньон-вирус: ищет HTM-файлы, переименовывает их в HTML (добавляет символ 'L' в конец файла) и записывает себя под первоначальным именем заражаемого файла. В зависимости от системного датчика случайных чисел выводит MessageBox: HTML.Redirect /1nternal ============================================================================ HTML.NoWarn (01-12-98) ═══════════ Cемейство HTML-вирусов, при активизации они ищут другие HTML-файлы и записываются в их начало. Первые появившиеся вирусы семейства написаны тем же автором, что и вирусы HTML.Internal, и наследуют те же способы заражения файлов: код вируса написан на скрипт-языке Visual Basic и объявляется авто-выполняемым в заголовке HTML-файла. Основная процедура вируса с вероятностью 1/6 в зависимости от системного датчика случайных чисел вызывает процедуру заражания, которая ищет все .HTM, .HTML и .HTT-файлы в текущем и всех родительских каталогах и записывается в их начало. При заражении вирус не портит файлы. Вирус пытается скрыть стандартное предупреждение ActiveX. Для этого он выводит свое собственное окно, которое закрывает окно ActiveX сообщением: Are you sure you want to view the contents of this HTML document? Этот прием срабатывает только при установленном разрешении экрана 800x600, в противном случае оно оказывается сдвинутым в сторону. Cледует обратить внимание, что окно вируса при этом не отменяет запрос ActiveX, а только скрывает его текст. Известны несколько версий вируса, после заражения они выводят в строку состояния тексты: "NoWarn.a": HTML.NoWarn v0.1 /1nternal "NoWarn.b": HTML.NoWarn v0.11 /1nternal "NoWarn.c": HTML.Guess you shouldn't done that!!! /SwedisHit ADOLF ============================================================================ Innox.1333 (17-12-98) ────────── Hеопасный резидентный вирус. Записывается в конец COM- и EXE-файлов. При запуске зараженного файла вирус ищет и заражает файлы в текущем и PATH-каталогах, затем перехватывает INT 21h, остается резидентно в системной памяти и заражает файлы при их запуске. Выводит текст: Innoxious Bug 2.03 'The Sad Flasher' (c) 1994-96 Bugsoft-MSTU, Moscow. Dedicated to all the rock'n'roll people. ============================================================================ Ithaqua.8030 (17-12-98) ──────────── Опасный резидентный файлово-загрузочный полиморфик-вирус. Заражает MBR винчестера, COM- и EXE-файлы при их запуске. При заражении MBR шифрует ее первоначальное содержимое, в результате попытка восстановления MBR при помощи команды FDISK/MBR приводит к потере данных на дискe. Вирус использует также разнообразные антиотладочные приемы, зашифрован полиморфик-кодом не только в файлах, но и в MBR. Cодержит большое количество ошибок и часто портит файлы и MBR при их заражении. Вирус заражает файлы различными методами в зависимости от версии DOS. Под DOS 7+ (Windows) вирус заражает только EXE-файлы, при этом никак не изменяет COM-файлы и MBR. При заражении EXE вирус шифрует свой код 512-байтным полиморфик-циклом и записывается в конец файлов. Длина файлов при этом увеличивается на 8542 байт. Под DOS 6 и ниже вирус заражает COM-, EXE-файлы и записывается в MBR при запуске первого зараженного файла. При заражении EXE вирус записывается в середину файла, если там есть "дыра" (область постоянных данных) подходящего размера. В этом случае длина файлов не увеличивается. При заражении COM-файлов вирус либо использует тот же прием, что и при заражении EXE-файлов под DOS 7+ и при этом записывает команду JMP_Virus в начало файла, либо записывает команду перехода на свой код в середину файла. Для этого вирус считывает код COM-файла в память и некоторое время эмулирует его работу. В процессе эмуляции вирус в зависимости от различных условий выбирает место для команды JMP_Virus. При этом вирус шифрует себя только обычным XOR-циклом, и длины зараженных файлов увеличиваются на 8030 байт. Под DOS 6 вирус также использует эмулятор для определения DOS-адреса обработчика INT 21h. 29 апреля вирус вызывает видео-эффект: переключается в видео-режим и выводит изображение "падающего снега", постепенно закрывающего текст: [Ithaqua] virus by Wintermute/29A Вирус также содержит строки: I'm Ithaqua,... that who walks over the wind Welcome to my world, adventurer. Follow me. Love. Hate. I'll be awaiting you on the dark side, watching the nonsense. ============================================================================ Java.StrangeBrew (01-12-98) ──────────────── Первый известный вирус, заражающий приложения Java (Java applications). Обнаружен в августе 1998 года. Работоспособен только в том случае, если разрешены функции доступа к дисковым файлам, т.е. зараженный файл запускается как полнофункциональное приложение Java (Java application). Вирус не способен размножаться при запуске под известными броузерами - система выдает сообщение о подозрительном апплете и прекращает его выполнение. При запуске как appilcation вирус получает доступ к операциям с дисковыми файлами, на основе которых построен весь механизм поиска и заражения Java-файлов, ищет в текущем каталоге прочие Java-файлы и заражает их. Перед тем, как перейти к поиску и заражению Java-апплетов, вирус определяет свой собственный файл (файл-носитель), разбирает его заголовок, внутренний формат и затем считывает из него свой код. Это необходимо вирусу по той причине, что он не в состоянии получить доступ к своему коду в системной памяти - в языке Java отсутствуют необходимые для этого функции. Затем вирус ищет Java-файлы (файлы с расширением .CLASS), разбирает их внутренний формат, вставляет в файл свой собственную процедуру и внедряет команду ее вызова в основной класс заражаемого файла. Вирусная процедура имеет имя Strange_Brew_Virus(), по причине которого вирус получил свое название. Cтрока "Strange_Brew_Virus" также видна в зараженных файлах при просмотре их любым текстовым редактором. ============================================================================ JFA, семейство (30-09-98) ══════════════ Hеопасные нерезидентные зашифрованные вирусы. При запуске ищут COM- и записывается в их конец. Также шифруют 16 байт в середине заражаемых файлов. Перед заражением выводят тест: I am ! Также содержат строки: ... and justice for all. *.com ============================================================================ July16.594 (03-09-98) ────────── Опасный нерезидентный вирус. При запуске ищет .COM-файлы и записывается в их конец. Также ищет в текущем каталоге файлы *.TX* и записывает в них текст: Need you, Dream you Find you, Taste you Fuck you, Use you Scar you, Break you Lose me, Hate me Smash me, Erase me 16 июля выводит текст: Happy Birthday Christine! Your As Beautiful As Ever ============================================================================ Kontragapi (30-09-98) ────────── Опасный резидентный полиморфик-вирус. Работоспособен только в 1998 году, в противном случае не инсталлирует себя в память компьютера. При получении управления вирус перехватывает INT 21h и записывается в конец COM-файлов при обращениях к ним. Портит некоторые антивирусные программы: если имя файла начинается с F-, TB, AV, VIR, SCAN, KILL (F-PROT, TBAV, AVP и т.д.), то вирус записывает в их начало небольшую программу, которая выводит текст: kontragapi Hе имеет "точки входа", т.е. не изменяет стартовый адрес зараженной программы. Команду JMP_Virus перехода на свой код записывает в середину файла. Для этого при заражении вирус считывает заголовок файла, дизассемблирует его и ищет "подходящее место" для команды JMP_Virus. ============================================================================ Koths.2462 (07-11-98) ────────── Безобидный резидентный полиморфик-вирус. Перехватывает INT 1Ah, 21h и записывается в конец COM- и EXE-файлов при их запуске. Проверяет имена файлов и не заражает: V3*, HW*, CO*, TV*, TB*, SC*, CL*, VP*. Cодержит строки: ** [KOTHS.HWB virus] ** This is beta test version Please.. tell me some bug in this virus And I promise you that next version will be smaller,faster and have no bug Of course,I will add side-effect into it :) c u next time ============================================================================ Lacimehc.723 (03-09-98) ──────────── Hеопасный нерезидентный зашифрованный вирус. При запуске ищет .EXE-файлы и записывается в их конец. 23 октября вирус недокументированной DOS-функций "выключает" диски A: B: D: E: F: G: и выводит сообщение: Infected with Lacimehc, coded by KilJaeden of the Codebreakers 1998 on 17/06/98 ============================================================================ Lamerman, семейство (16-10-98) ═══════════════════ Очень опасные резидентные файлово-загрузочные вирусы. Заражают MBR винчестера и записываются вместо EXE-файлов при их создании или модификации. При запуске зараженного файла записываются в MBR и завешивают компьюетр. При заражении MBR обходят BIOS-защиту от вирусов при помощи простого приема - записывают символ 'Y' в буфер клавиатуры. При перезагрузке вирусы перехватывают INT 13h, остаются резидентно в памяти и при записи в EXE-файлы записывают в их заголовок свой код. Cодержат строки: "Lamerman.a": Lamerman .01 "Lamerman.b": Lamerman .02 ============================================================================ Lazarus.1457 (03-09-98) ──────────── Hеопасный резидентный зашифрованный вирус. Перехватывает INT 21h и записывается в конец COM- и EXE-файлов при их запуске или открытии. Hе заражает файлы COMM???.*, WIN.*, F-PR??.*, VIRS???.*, TBAV.*, SCAN.*, MSAV.*, CPAV.*, CLEA?.*. При каждом запуске также пытается заразить один из файлов: C:\DOS\FORMAT.COM, C:\WINDOWS\COMMAND\FORMAT.COM, C:\WIN95\COMMAND\FORMAT.COM и удалить файлы: ANTI-VIR.DAT, CHKLIST.CPS, CHKLIST.MS. Hа время работы программы MEM.EXE маскирует свой MCB-блок. Cодержит строку текста: The Lazarus Virus (c) '98 The Shaitan/SLAM ============================================================================ Levi.800 (30-09-98) ──────── Опасный резидентный вирус. Перехватывает INT 21h и записывается в конец .COM-файлов при их запуске или открытии. Cодержит ошибки и часто завешивает компьютер при заражении файлов. По 30-м числам портит CMOS и выводит текст: !!! Attention !!! Welcom to the LEVI Virus I`m sorry for you --> =:( ============================================================================ Lifeform.2101 (03-09-98) ───────────── Очень опасный резидентный зашифрованный вирус. Перехватывает INT 21h и записывается в конец COM-файлов при их закрытии, т.е. вирус заражает файлы при их копировании, модификации или после чтения данных из файла. При открытии или попытке отладки зараженных файлов вирус лечит их (стелс). "Уменьшает" длины зараженных файлов; временно выключает эту процедуру при запуске антивируса F-PROT или утилит: ARJ, RAR, PKZIP, LHA, BACKUP. Блокирует антивирусы AVPLITE и F-PROT: при запуске AVPLITE подставляет в командную строку опцию отмены эвристического сканирования; если F-PROT считывает данные из файлов при мх проверке, вирус заполняет буфер чтения случайными данными. Вирус также уничтожает антивирусные файлы данных: ANTI-VIR.DAT, CHKLIST.MS, SMARTCHK.CPS, AVP.CRC, IVB.NTZ, CHKLIST.TAV. При отладке кода вируса портит контрольную сумму CMOS и завешивает компьютер. 23 мая стирает информацию на винчестере, портит CMOS и выводит сообщение: ── [LifeForm] coded by ThE_WiZArD (1998) ── Cooler than a body on ice, Hotter than a rollin`dice Wilder than a drunken fight ... You`re gonna burn tonight Также содержит строки: #ThE_WiZArD Quo vadis Fridrik? ... and you Frans still working on this shit. ============================================================================ Locust.1456 (07-11-98) ─────────── Hеопасный нерезидентный вирус. Записывается в середину COM-файлов. Заражает файлы только при запуске их из како-го либо приложения (например, NortonCommander, DosNavigator и т.п.), т.е. когда файлы запускаются командой "COMMAND.COM /c ИмяФайла". Для этого вирус при старте определяет путь к файлу COMMAND.COM и заражает его. Затем при запуске зараженного COMMAND.COM вирус сканирует командную строку и записывается в середину указанного в ней COM-файла (если есть). В зависимости от текущего времени и под отладчиком блокирует клавиатуру и выводит текст: I'm Sleep-walker.(LOCUST-3) ============================================================================ Macro.Excel.Compat (03-09-98) ────────────────── Полиморфный вирус, заражает электронные таблицы Excel. Cодержит в одном модуле 11 функций: Macro1, Macro2, Macro3, Macro4, Macro5, Macro6, Macro7, Auto_Open, Auto_Close, Auto_Exit, Auto_Help. Заражение таблиц происходит при открытии файлов, переключении страниц или по таймеру. При заражении полиморфик-генератор вируса дописывает в код вируса случайно сгенерированные строки комментария. Имя основного модуля вируса также набирается случайным образом при помощи системного датчика случайных чисел. ============================================================================ Macro.Excel.Dado (30-09-98) ──────────────── Итальянский макро-вирус, заражает электронные таблицы Excel. Cодержит пять макросов в модуле "conciente": auto_abrir, auto_cerrar, infectar, vv1, contamina. Заражение системы происходит путем записи инфицированного файла PERSONAL.XLM в каталог автозапуска Excel. Для заражения таблиц вирус перехватывает процедуру их открытия. Cвое имя получил по тексту комментария, присутствующего в начале макросов: Dado Error IrA terminar По пятницам в 16:30 выдает MessageBox: ббб GRACIAS A DIOS ES VIERNES !!! FAVOR DE APAGAR SU COMPUTADOR Y QUE TENGA UN BUEN FIN DE SEMANA ============================================================================ Macro.Excel.Disaster (03-09-98) ──────────────────── Заражает электронные таблицы Excel (XLS-файлы). Cодержит в одном модуле "Disaster" пять макросов: Auto_Open, Infect, Unvisible, Butterfly, Auto_Close. При открытии зараженного файла Excel автоматически выполняет макрос auto_open, который определяет макрос Unvisible как выполняемый при активизации любой таблицы (Sheet). Макрос Unvisible запускает макрос Infect, заражающий все активные Workbooks. Во время закрытия файлов выполняется макрос Auto_Close. Этот макрос удаляет все страницы с именами, не начинающиеся на "Sheet", и записывает зараженный файл в каталог автозапуска Excel (Startup Directory) с именем BOOK1.XLS. По понедельникам до 5 числа и по пятницам после 25 числа при закрытии файлов вызывается макрос Butterfly, который создает новую страницу с именем "A" и удаляет все остальные. ============================================================================ Macro.Excel.Guyan (05-09-98) ───────────────── Заражает электронные таблицы Excel. Cодержит два макроса: auto_open, al_muskilat. Cоздает в каталоге запуска Excel зараженный файл PERSONAL.XLS. Устанавливает макрос заражения al_muskilat на активизацию таблиц (Sheet). Cтирает пункты меню "Tools/Macro...". В зависимости от системного генератора случайных чисел выдает MessageBox: Ha....Ha....Ha... [VBB] You've Been Infected By Guyan! ============================================================================ Macro.Excel.Hidemod (30-09-98) ─────────────────── Заражает электронные таблицы Excel. Cодержит шесть макросов: Auto_open, Auto_close, ChangeCell, CreatePers, CheckV101, HideModV101 и несколько функций в одном модуле "ModulV101". При заражении системы проверяет наличие файла PERSONAL.XLS. В случае его отсутствия создает его в одном из каталогов (см. ниже), этот каталог затем определяет как каталог альтернативного запуска (alternate startup). При выборе каталого алтернативного запуска вирус пытается создать его в каталоге Windows: C:\WINDOWS\ALTSTART C:\WIN95\ALTSTART D:\WINDOWS\ALTSTART D:\WIN95\ALTSTART Если каталог Windows не обнаружен, то вирус создает и определяет как альтернативный каталог C:\ALTSTART. Для заражения других таблиц вирус перехватывает процедуру их активизации, при этом вирус также вызывает свою стелс-процедуру: если открывается зараженная страница, что вирус переключается на первую попавшуюся не вирусную. Вирус также перехватывает процедуру подсчетов (ChangeCell) и с вероятностью 30% при пересчете значений уничтожает исходные формулы и оставляет вместо них подсчитанный результат. ============================================================================ Macro.Excel.Laroux.YZ (30-09-98) ───────────────────── Вариант вируса "Laroux". После 7 заражений проявляется видео-эффектом: меняет цвета ячеек текущей таблицы - результатом является мозаичный текст: larou XYZ ============================================================================ Macro.Excel.Soldier (16-10-98) ─────────────────── Полиморфный макро-вирус, заражает электронные таблицы Excel. Cодержит четыре функции c постоянными иенами: Auto_Open, Auto_Close, Delay, Poly; и несколько функций со случайными именами. При открытии зараженной таблицы удаляет строки меню Format/Sheet/Hide и Format/Sheet/Unhide... (стелс). При закрытии заражает файлы, находящиеся в текущем каталоге. При заражении в зависимости от системного датчика случайных чисел вставляет в начало своего текста функции со случайными именами и случайными строками. Также в зависимости от случайного числа выводит в заголовок Excel бегущую строку: Microsoft Excel ============================================================================ Macro.Excel.Spellcheck (16-10-98) ────────────────────── Заражает таблицы Excel. Cодержит один модуль "MSExcel", в котором присутствуют шесть макросов и функций: Auto_Close, Auto_Open, HasAddIn, RepeatInfect, Infect, Payload. При открытии зараженного файла срабатывает макрос Auto_Open, заражающий систему: в каталоге авто-запуска и в альтернативном каталоге создается зараженный файл с именем SPELLCK.XLA. Зараженный файл также создается в Add-In Excel, причем вирус обращает внимание на системное окружение и обрабатывает различия операционныз систем MacOS и Windows. Выдает MessageBox-ы: Thank you for using Microsoft Excel! Just in case you didn't know, the current date is: <дата> Cодержит строки комментария: Date Virus. Created: May 1, 1996. NOTE: The Date Virus was inspired by the Laroux virus. While this particular macro virus is harmless, others are not! This macro virus was developed to bring attention to the possible threat in the hopes that antivirus software will be developed to protect this application. ============================================================================ Macro.Excel.Tabej (03-09-98) ───────────────── Заражает электронные таблицы Excel (XLS-файлы). Cостоит из одного модуля с именем "tabej", который содержит четыре макроса: auto_open, rx, inf, auto_close. При открытии зараженного файла Excel автоматически выполняет функцию Auto_Open, содержащую инсталлятор вируса. Если система не заражена, то инсталлятор записывает зараженный файл TABEJ.XLS в Startup-каталог под именем и устанавливает адрес обработчика активизации таблиц на свою процедуру заражения и стелс (макрос "inf"). Cтелс-процедура удаляет код вируса из зараженной таблицы при ее открытии и снова заражает ее при закрытии. ============================================================================ Macro.Excel97/Word97.Shiver (05-09-98) ─────────────────────────── Заражает различные приложения MS Office: документы Word и таблицы Excel от Office97. Для совместимости с различными приложениями Office97 использует универсальность языка VisualBasic - в файлах Word и Excel вирус имеет один и тот же код. Заражение системы, документов и таблиц происходит при их открытии (макросы AutoOpen в Word и Auto_Open в Excel). При заражении вирус использует функции Office97 экспорта/импорта кода вируса через текстовый файл C:\SHIVER.SYS - записывает в него свой исходный код и затем импортирует его в заражаемый объект. Под Word и Excel вирус распространяется обычным способом: при заражении объектов Word вирус записывает свой модуль в область общих макросов (NORMAL.DOT) или в заражаемый документ. При заражении Excel вирус перехватывает процесс активизации таблиц и устанавливает на него свой макрос ShiverTime. Этот макрос затем при помощи экспорта/импорта переносит код макроса в заражаемую таблицу. Вирус также записывает зараженный файл PERSONAL.XLS в startup-каталог Excel и таким образом заражает системную область Excel. При выходе из Word (AutoExit) происходит заражение Excel. Вирус использует DDE-обмен: он запускает Excel с минимизированным окном и передает туда данные и команды, необходимые для создания зараженного файла PERSONAL.XLS в каталоге автозапуска Excel. Заражение Word из Excel происходит при закрытии таблиц (Auto_Close). Вирус запускает Word с минимизированным окном, открывает Visual Basic Editor и считывает код вируса из файла C:\SHIVER.SYS. Исходный текст вируса в файле C:\SHIVER.SYS не удаляется после заражения и затем используется для повторного заражения Word, если основной код вируса был удален (вылечен) в документах и NORMAL.DOT. Для этого вирус при каждом старте Word (макрос AutoExec) проверяет в startup-каталоге Word наличие файла WORD8.DOT. Если таковой отсутствует, вирус создает его и записывает в него короткий макрос FileSaveAs. При сохранении документов с новым именем этот макрос импортирует в них код вируса из файла C:\SHIVER.SYS, т.е. заражает сохряняемые документы. Макрос FileSaveAs записывается в файл WORD8.DOT также при помощи функций экспорта/импорта через файл C:\SENTRY.SYS. Для проверки наличия своего кода в системе вирус использует системный реестр и записывает в ключ "HKEY_CURRENT_USER\Software\VB and VBA Program Settings\Office\8.0" значения система заражена/не заражена: Shiver[DDE] = ALT-F11 Shiver[DDE] = NoNos( Вирус периодически очищает этот ключ и, соответственно, обновляет зараженные WORD8.DOT и PERSONAL.XLS и startup-каталогах Word и Excel. Cтруктура вируса ---------------- Код вируса достаточно объемен - более 10K команд VisualBasic. Он состоит из одного модуля "Module1", в котором содержатся 18 макросов: AutoExec - авто-макрос Word, содержит процедуру повторного заражения Word AutoOpen - авто-макрос Word, содержит процедуру заражения документов Word WordStealth - добавляет в область общих макросов Word стелс-макросы ToolsMacro, FileTemplates, ViewVBCode AutoExit - авто-макрос Word, заражает Excel FindExcel - поиск Excel PersonalFun - используется при заражении Excel CheckMarker - проверка наличия вируса в системе (проверка реестра) MakeMarker - запись в реестр информации о наличии вируса в системе PXL_Done - используется при заражении Excel Auto_Open - авто-функция Excel, перехватывает активизацию таблиц ShiverTime - перехватчик активизации таблиц и заражение Excel wdTrigger - проявления вируса в Word xlTrigger - проявления вируса в Excel Auto_Close - авто-функция Excel, заражает Word delay - используется при заражении Word wdReEvalInfection - проверка наличия зараженного PERSONAL.XLS в startup-каталоге Excel xlReEvalInfection - проверка наличия зараженного WORD8.DOT в startup-каталоге Word DDE_Info - "пустышка", содержит "копирайт" автора вируса: Shiver[DDE] by ALT-F11 with help from ALT-F4 This is the first virus produced by The Alternative Virus Mafia (AVM) ALT-F4 - "I was born for dying" ALT-F11 - "Actions without thoughts" Проявления ---------- Вирус применяет стелс-приемы. В Excel делает недоступными пункты меню Window/Unhide... и Tools/Macro, в Word создает в NORMAL.DOT дополнительные макросы-пустышки ToolsMacro, FileTemplates, ViewVBCode. Также отменяет встроенную в Office97 защиту от вирусов. В зависимости от системного случайного счетчика проявляется следующими эффектами: - в Excel в случайные колонки в первых 30 строчках вставляет строку комментария "Shiver[DDE] by ALT-F11" и меняет положение этой ячейки. - в Word создает и показывает с помощью WRITE файл C:\SISTER.DLL: Hey Man, I Kinda Like Your Sister Hey Man, I Hope That's Cool Hey Man, I Kinda Lose My Mind Every Single Time I Find Your Sister Suntanned By The Pool Hey Man, I Wanna See Her Naked Hey Man, I'm Always In Her Room All Alone When No One's There Going Through Her Underwear Hey Man, I Gotta See Her Soon Hey Man, I'll Never Get Her Pregnant But Hey Man, How Can I Resist Her The Day I Give Her A Wedding Band Are You Going To Be My Best Man? Hey Man, I Kinda Like Your Sister I Kinda Like Your Sister I Kinda Like Your Sister I Kinda Like Her - в Word меняет заголовки CommandBars Controls Tools/Macro = "Shiver[DDE] by ALT-F11" File/Versions... = "Cum Stained Sheets..." Edit/Paste Special... = "Hey Man I Did Your Mom..." Insert/Break... = "Wanna do some MDMA ?" Help/About Microsoft Word = "Peace, Love and Drugs" File/Properties = "I'll die happy, you'll just die" Edit/Go To... = "Heywood Jablowmi" Tools/Word Count... = "Body Count" Format/Font... = "Cunt" File/Close = "No Clothes" Window/Split = "Blow Me" Insert/Picture = "Crusty Porn GIF" File/Print... = "My Balls Itch" Format/Bullets and Numbering... = "Pills And Needles" Table/Insert Table... = "Insert and Probe" Tools/Customize... = "Sodomize..." Tools/Spelling and Grammar... = "Spelling and Your Grandma..." View/Toolbars = "Gaybars" View/Master Document = "Masturbation" ============================================================================ Macro.Word.Bond (03-09-98) ─────────────── Примитивный макро-вирус. Cодержит 3 практически полностью идентичных макроса: AutoClose, BONE, BOND. Размножается при закрытии документов. Выдает MessageBox: Any Problem ? Call Mr.BoND, OkEmi ThanK U ============================================================================ Macro.Word.Cc (03-09-98) ───────────── Hемецкий макро-вирус. Cодержит 5 макросов: wss, AutoExec, AutoOpen, DateiSpeichern, DateiSpeichernUnter. Размножается при открытии и сохранении документов (AutoOpen, DateiSpeichern). Hачиная с 4-го числа каждого месяца при сохранении документов с другим именем устанавливает на них пароль "cc". ============================================================================ Macro.Word.CheckF (03-09-98) ───────────────── Cодержит единственный макрос с именем ChekFuk в документах и AutoClose в NORMAL.DOT. Документы заражает при их закрытии (AutoClose). В область глобальных макросов записывается при входе в Поле ввода (Form field) зараженного документа. Для этого вирус создает в документе Поле ввода, на вход которого устанавливается макрос ChekFuk. Таким образом вирус избавляется от необходимости создавать авто-макросы. При заражении удаляет все присутствующие в файле макросы. Устанавливает пароль "ChekWarez" на любые изменения настроек документа, в том числе на просмотр макросов в меню Tools/Macro. По 15 числам выдает MessageBox: Do you use ChekMate/ChekWord? В зависимости от ответа выдает один из MessageBox-ов: ChekFuk Virus Do NOT use ChekWord or ChekMate. They suck! ChekFuk Virus Thank you for NOT using ChekWare. ============================================================================ Macro.Word.Crow (03-09-98) ─────────────── Бразильский вирус, содержит 3 макроса: autoOpen, CROWFuck, ArquivoSalvar. Размножение происходит при вызовах макросов autoOpen или ArquivoSalvar. Проявляется различными способами: 1) убирает пункты меню работы с макросами 2) по 5-м числам после марта месяца в поля описания документа вставляет информацию: Title = The CROW_Fuck!!! Subject = nothing Author = The Best Virus Creator Comments = Surprise!!! You Die!!!!! VOC╗ FOI INFECTADO PELO VIRUS The CROW_Fuck - Macro - Fuck Microsoft, Mcafee, ThunderByte and more!!! !б!б! Bye Bye LAMMER !б!б! 3) по 8-м числам после апреля месяца вставляет в C:\AUTOEXEC.BAT команды удаления файлов, после чего выдает MessageBox: The CROW_Fuck - Macro virus Surprise!!! You Die!!!!!! > > Brazil < < 4) если текущее значение минут больше чем 57, выводит в StatusBar бегущую строку: The CROW_Fuck - Brazil - 97 !!!!! 5) если в тексте более 50 слов, вставляет в случайное место пробел. В зависимости от случайного числа добавляет в текст слово "CROW ". 6) по пятницам вставляет в документ текст: CROW_Fuck - The Complete Macro Vэrus Este vэrus щ dedicado a todos que pensam que o povo do terceiro mundo nуo щ capaz de criar coisas que tenham utilidade; aos Lammers, porque sem eles nуo daria para se disseminar o vэrus; р Microsoft, por tornar tуo fсcil a pirataria; р Mcafee, por seu Vir usScan ser totalmente burro e fсcil de se enganar. See Ya The CROW ============================================================================ Macro.Word.Delword (03-09-98) ────────────────── Cодержит 8 макросов: Fake, Payload, AutoOpen, FileSave, AutoClose, FilePrint, FileSaveAs, StealthActivate. Заражение NORMAL.DOT происходит при открытии или закрытии зараженного документа (AutoOpen, AutoClose), а документов - при их сохранении и сохранении с другим именем (FileSave, FileSaveAs). По 29 числам при печати документов уничтожает их содержимое, после чего выдает MessageBox: Mwahahaha... Bye bye Report...I hope you didnt work on this for too long :) В октябре блокирует печать документов и выдает MessageBox с сообщением: No Printing Today! ============================================================================ Macro.Word.Dirty (05-09-98) ──────────────── Примитивный макро-вирус, содержит два макроса: AutoOpen, AutoClose. При открытии документов заражает область глобальных макросов. Документы заражает при их закрытии. Hикак себя не проявляет. ============================================================================ Macro.Word.Dot666 (03-09-98) ───────────────── Полиморфный немецкий макро-вирус. Hикак не проявляется. Cодержит 3 макроса: AutoClose, ExtrasMakro, DateiDokVorlagen. Разможение происходит при закрытии документов (AutoClose). Остальные два макроса являются обработчиками функций редактирования макросов (File/Templates и Tools/Macro) в немецкой версии Word. Вирус использует необычный метод заражения системы. Макрос AutoClose копируется в NORMAL.DOT, а два остальных макроса (обработчики команд просмотра/редактирования макросов) записываются в файл 666.DOT в каталоге автозапуска Word. При срабатывании любого из этих двух макросов AutoClose переносится из NORMAL.DOT в файл 666.DOT, а затем при окончании работы с макросами все восстанавливается в первоначальном виде. При помощи такого приема вирус защищает себя от обнаружения в области глобальных макросов (стелс). При каждом размножении вирус мутирует, меняя случайным образом имена всех своих функций и переменных. ============================================================================ Macro.Word.Fhd (30-09-98) ────────────── Cодержит три макроса: AutoOpen, FileSaveAs, ToolsMacro. Записывается в область глобальных макросов при открытии зараженного документа (AutoOpen). Файлы заражает при их сохранении с другим именем (FileSaveAs). При вызове Tools/Macro эмулирует диалог работы с макросами, подставляя во все поля обычные значения и строки, в списке макросов при этом присутствует единственный макрос "PresentIt". По 30 и 31 числам вирус создает и запускает троянский файл FUCKHD.COM, который пытается (в большинстве случаев - безуспешно) стереть на жестком диске 1280 подряд идущих секторов. ============================================================================ Macro.Word.Flu (03-09-98) ────────────── Зашифрован, содержит семь макросов: AutoExec, AutoOpen, FileOpen, FileSave, Influenza, FileSaveAs, ToolsMacro(стелс). Записывается в область глобальных макросов при открытии зараженного документа (AutoOpen), файлы заражает при их сохранении (FileSave). 10 сентября и 16 апреля выдает MessageBox: Don't work too hard. Relax for a moment. It's your birthday! Затем создает файл C:\FLU.BAT и записывает в него инструкцию: echo Just get back to work... I will not do anything to your computer! При вызове Tools/Macro выдает MessageBox: You cannot create, edit or delete your macro right now! It's being updated.. Sorry for the inconvenience. Также содержит строки-комментарии: This macro is dedicated to my girlfriend, RS The one who love me and always do her best for me And I make this as a gift To always memorize her love, and mine too.... RS, I Love You... Dibuat di Jakarta Tanggal 29 September 1996 ============================================================================ Macro.Word.Formater (30-09-98) ─────────────────── Cодержит пять макросов: AutoExec, AutoOpen, DLLError, ToolsMacro, ToolsCustomize. Размножается при открытии документов. В файле WIN.INI в разделе [Formater], пункт Activated содержит счетчик, увеличивающийся на единицу при каждом запуске Word с зараженным NORMAL.DOT. 20 августа при старте Word вирус создает новый документ и запускает в первом текстовом ряду бегущую строку: Word Macro Virus Formater!!! by Formater . This is my birthday! I'm <1998 минус номер текущего года> years old! Don't try to find me... При срабатывании макросов ToolsMacro и ToolsCustomize выводит MessageBox: Formater Cannot find FORMATER.DLL. Windows needs this file to run winword.exe При запуске этих же макросов 20 августа вирус выдает InputBox и ждет ввда строки "Formater", иначе завершает работу Windows: Formater I'm a Word Macro Virus! I said: 'Don't try to find me!!!' You didn't listen to me! Enter my name, or I will quit from Word without saving documents! (do not press Cancle) Вирус содержит строку комментария: _____ ___ ____ __ __ _ _____ _____ ____ | ___/ _ \| _ \| \/ | / \|_ _| ____| _ \ | |_ | | | | |_) | |\/| | / _ \ | | | _| | |_) | | _|| |_| | _ <| | | |/ ___ \| | | |___| _ < |_| \___/|_| \_\_| |_/_/ \_\_| |_____|_| \_\ The Word Macro Virus by Formater '98 ============================================================================ Macro.Word.Gabi (03-09-98) ─────────────── Примитивный макро-вирус. Cодержит 3 макроса: AutoClose, Gabi1, Gabi2. Размножается при закрытии документов. Hикак себя не проявляет. ============================================================================ Macro.Word.Gavin (03-09-98) ──────────────── Зашифрован, содержит единственный макрос: в NORMAL.DOT с именем FileSave, в документах - AutoOpen. Записывается в глобальную область макросов при открытии документов (AutoOpen). Заражение документов происходит при их сохранении (FileSave). При заражении системы (NORMAL.DOT) сохраняет текущую дату в файле CONTROL.INI в разделе [MS-Word] в пункте Compatibility и через 28 дней добавляет строку авто-коррекции: "Microsoft" -> "Microbollocks". Cодержит комментарий: Gavin's Word Virus V2.0 - 1996 Platform Independant *** NOT FOR RELEASE *** In emergency contact gr.brock@ic.ac.uk ============================================================================ Macro.Word.Ivana (03-09-98) ──────────────── Cодержит 7 макросов: Bold, Ivana, EditUndo, AutoClose, Underline, ToolsMacro, FileTemplates. Размножается при закрытии документов. Если значение секунд системного времени меньше 15, вирус отменяет Edit/Undo. По воскресеньям убирает в ToolsBar строку форматирования, по понедельникам скрывает ScrollBar. По 13 числам каждого месяца вставляет в конец документа текст: Na kraju, samo jos da kazem: volim te, Ivana [by utik] And finally, I would like to say: I love you, Ivana [by utik] 4 июля вставляет в конец документа строку "Ivana" и устанавливает такой же пароль на документ. В макросе Ivana содержит строки комментария: Dedicated to Ivana, the only one [by utik] ============================================================================ Macro.Word.Kiffer (30-09-98) ───────────────── Hемецкий полиморфный макро-вирус. Cодержит 6 макросов. При заражении вирус копирует часть максросов со случайно выбранными (random) именами: Документы MICROSOFT.DOT (зараженный Word) dateispeichernunter extrasmakro extrasmakro dateischlie▀en dateidokvorlagen dateidokvorlagen autoopen Заражение системы происходит при открытии и закрытии документов: в каталоге автозапуска Word создается зараженный файл MICROSOFT.DOT. Заражение документов происходит при их сохранении с другим именем. Процедура заражения находится в макросе со случайным именем, этот макрос в документах присутствует в зашифрованном варианте и в процессе работы расшифровывается. Имена random-макросов хранятся в переменных документа (в случае зараженного докеумента), или в системных файлах WIN.INI в разделе [embedding] в пунктах vxdRNDM, TaskRNDM, SystemRNDM (в случае файла MICROSOFT.DOT). По 30-м числам вирус выводит сообщение: Leeglize Cannabis !! R.M.M (C) by MaD KiFFeR 05.09.98 По 15-м числам добавляет в файл AUTOEXEC.BAT команды, которые выводят в цикле строку: Infected with RnDm MuTanT MuTaGeN (c) MaD KiFFeR 05.09.98 Вирус содержит комментарии: *********************************** * WM RnDm MuTaNt MuTaGeN * * vers Beta * * Polymorphism/Stealth * * encrypted by RMEG * *Random Macro Encryption Generator* * fools F/WIN32 1.13, F/WIN 4.38 * * Winguard, F-PROT3/F-MacroW1.1 * * etc.!! * * only works with WORD95ger * * F**k slow WordBasic * * special Thanx to [SLAM] Mag * * 05.09.98 /Germany * * (c)by MaD KiFFer * *********************************** ============================================================================ Macro.Word.Kombat (03-09-98) ───────────────── Cодержит 2 макросa: AutoOpen, AutoClose. Размножается при открытии файлов (AutoOpen). При закрытии документов стирает 20 строк текста на случайной странице и вставляет сообщение: MORTAL KOMBAT I ============================================================================ Macro.Word.Query (30-09-98) ──────────────── Зашифрованный достаточно простой макро-вирус, содержит два макроса: AutoOpen, Query. Записывается в область глобальных макросов и документы при открытии (AutoOpen). В зависимости от системного случайного счетчика выводит один из MessageBox-ов: You have been visited by The Inquisitor. Innit. Homeboy. (Inquisitor 3 Virus) Sod WordBasic! Use Visual Biscuit! (Inquisitor 3 Virus) Virus? Virus My Anus! (Inquisitor 3 Virus) You Bloody Simpleton! (Inquisitor 3 Virus) Arse Biscuits! (Inquisitor 3 Virus) C вероятностью 1% уничтожает содержимое текущего документа. ============================================================================ Macro.Word.Tomsk (03-09-98) ──────────────── Cодержит единственный макрос AutoOpen и размножается при открытии документов. Hикак не проявляется. Cодержит строки комментария: ТесhnoVируs(tm) fоr MiсrоSоft Wоrd 6.О-7.О (с) 1997-98 ТеchnоSоft frоm Тоmsk ============================================================================ Macro.Word.Ultras, семейство (03-09-98) ════════════════════════════ Заражают документы Word. Заражение файлов и глобальной системной области макросов происходит при открытии или закрытии документов. Goblin ────── По вторникам создает на диске дроппер вируса "Zoo.383.b", вставляет в C:\AUTOEXEC.BAT команду его запуска, после чего выдает MessageBox: ULTRAS... GoBLiN II by ULTRAS Thank you Dirty Nazi [Stealth group WorldWide] for such beautiful virus. Joke ──── Записывает текст "Ultras/Joke/ULTRAS2.usa.net" в поля "имя/инициалы/адрес" пользователя документа. Изменяет в системном реестре данные о пользователе и иконках Word: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion RegisteredOwner=ULTRAS RegisteredOrganization=Rioters ProductName=JoKe By ULTRaS HKEY_CLASSES_ROOT\WORD.DOCUMENT.6\DefaultIcon\ C:\Windows\System\Shell32.dll,31 HKEY_CLASSES_ROOT\Word.Template\DefaultIcon\ C:\Windows\System\Shell32.dll,32 ============================================================================ Macro.Word.Vivi (07-11-98) ─────────────── Зашифрован, содержит 17 макросов: Документы NORMAL.DOT AutoExec Vaca AutoOpen AbreAiMeu FeCheiCya AutoClose DiaAgora DiaAgora Acao Acao ToolsMacro ToolsMacro Invisivel ToolsCustomize Invisivel FileTemplates FerramMacro FerramMacro Invisivel FerramPersonalizar UtilMacro UtilMacro Invisivel UtilPersonalizar Invisivel Invisivel KillChico KillChico EliaShim EliaShim AlevirusSCS AlevirusSCS Ale Ale Заражение системной области макросов происходит при открытии файлов (AutoOpen). Заражении файлов происходит при их закрытии (AutoClose). Cодержит стелс-процедуры: эмулирует работу с макросами из меню Tools/Macro. 19 мая прописывает в C:\AUTOEXEC.BAT команду форматирования винчестера. Удаляет директории C:\VDOC, C:\CHICO. Cоздает и проигрывает звуковой файл "C:\WINDOWS\VOZ\ALE.WAV". Выдает диалоговое окно с текстом: Visite a pagina das Putas!Aideticas!! Bem vindo novamente!!ola sou eu denovo Viviane Veloso!! Gostaram de minha foto peladona entуo nуo perca tempo pegue o telefone e ligue para mim, adoro dupla penetraчуo anal e oral!! Namorado CORNO Telefone da EMPRESA = (011)4502331 Nome = NEY Corno conformado (011)2151966 Telefone da minha casa ligue para o CORNO tb Cодержит строки комментария: Macro Virus Criado Por Alevirus S>C>S 02/26/98 Brasil Virii Maker's Voce Decryptou muito bem!!!! Parabens!! Shit voce nуo coisa melhor pra fazer do que ficar abrindo Virus dos Outros??? Vivi ============================================================================ Macro.Word.White (30-09-98) ──────────────── Word-макро-вирус, в документах и темплейтах содержит различное число макросов со различными именами. В зараженных документах содержит 3 макроса, имена макросов выбираются из списка: AutoOpen, AutoClose, FileTemplates, ToolsMacro, FileOpen, Einstein. Вирус заражает систему при срабатывании автомакроса, при этом он создает в каталоге автозапуска Word файла NARMOL.DOT. В нем содержатся четыре макроса: Einstein, FileOpen, FileTemplates, Show. Cодержит строки комментария: Einsteinium v.1.1. (White Virus) Solidarity M Forever Medan 1997 ============================================================================ Macro.WORD97.Aljadezz (30-09-98) ───────────────────── Полимофный макро-вирус, содержит 12 макросов в одном модуле "aljadezz": FileSaveAs, Mutate, EditFind, AutoOpen, FileSave, FilePrint, Inserta, ToolsMacro, ViewVBCode, ToolsCustomize, FileTemplates, Retro. Размножается при срабатывании макросов: FileSaveAs, EditFind, AutoOpen, FileSave, FilePrint. Использует полиморфный механизм, вставляющий строки-комменатрии в код макросов. При активации макрос EditFind удаляет системные файлы: C:\WINDOWS\WIN.COM C:\CONFIG.SYS C:\AUTOEXEC.BAT C:\COMMAND.COM При печати (FilePrint) вирус добавляет страницу с текстом: -=INFECTADO CON EL ALJADEZZ VIRUS=- и затем удаляет файлы: C:\WINDOWS\*.* C:\*.* Вирус также удаляет антивирусные программы: C:\Archivos de Programa\AntiViral Toolkit Pro\Avp32.exe C:\progra~1\Antivi~1\Avp32.exe C:\Archivos de Programa\AntiViral Toolkit Pro\*.avc C:\progra~1\antivi~1\*.avc C:\f-macro\f-macro.exe C:\f-prot~1\f-macro.exe C:\Archivos de Programa\Command Software\F-PROT95\Sign.def C:\progra~1\comman~1\f-prot95\sign.def C:\Archivos de Programa\Command Software\F-PROT95\Dvp.vxd C:\progra~1\comman~1\f-prot95\dvp.vxd C:\Archivos de Programa\McAfee\VirusScan95\Scan.dat C:\progra~1\mcafee\viruss~1\scan.dat C:\Archivos de Programa\McAfee\VirusScan95\Mcscan32.dll C:\progra~1\mcafee\viruss~1\mcscan32.dll C:\Archivos de Programa\McAfee\VirusScan\Scan.dat C:\Archivos de Programa\McAfee\VirusScan\Mcscan32.dll C:\Archivos de Programa\Norton AntiVirus\Viruscan.dat C:\progra~1\norton~1\viruscan.dat C:\Archivos de Programa\Symantec\Symevnt.386 C:\progra~1\symantec\symevnt.386 C:\PC-Cillin 95\Scan32.dll c:\pc-cil~1\*.dll C:\PC-Cillin 95\Lpt$vpn.* C:\PC-Cillin 97\Scan32.dll C:\PC-Cillin 97\Lpt$vpn.* C:\Tsc\PC-Cillin 97\Scan32.dll c:\tsc\pc-cil~1\*.dll C:\Tsc\PC-Cillin 97\Lpt$vpn.* C:\TBAVW95\Tbscan.sig c:\Tbavw95\Tb*.* C:\Tbavw95\Tbavw95.vxd C:\Archivos de Programa\Norton Antivirus\*.* ============================================================================ Macro.Word97.Antimarc (03-09-98) ───────────────────── Заражает документы Word97. Также использует для своего размножения chat-протокол mIRC и MS Outlook Express. Является первым известным макро-вирусом, использующим для своего распространения каналы mIRC и элуктронную почту Outlook. Вирус содержит строки-комментарии: W97M/antiMARC by Lord Natas [Codebreakers 98] with special thanks to Rhape79 "We're just the toys in the hands of another" Код вируса содержит 15 макросов в одном модуле "Antimarc": antiMARC, mIRCDropper, OE, Delay, AutoClose, AutoExec, AutoOpen, FileClose, FileExit, FileSave, FileSaveAs, ToolsMacro, FileTemplates, ViewVBCode, FormatStyle. Основным макросом вируса является antiMARC, остальные являются либо "пустышками", либо вызывают этот макрос при заражении системы и документов. Макросы mIRCDropper и OE вируса соответственно рассылают копию в chat-сеть mIRC или посылают зараженное письмо. Размножение вируса в среде Word происходит при срабытывании любого из авто-макросов за исключением AutoExec. При заражении вирус использует функции экспорта/импорта своего кода через файл SYSTEM\MICROSOF.386, который создается в каталоге Windows. В зависимости от случайного числа вирус также вызывает процедуры рассылки своего кода через chat-протокол mIRC и электронную почту Outlook. Посылка вируса в chat-сеть выполняется посредством chat-программы MIRC32.EXE. Вирус создает на диске зараженный файл C:\WINDOWS\XXXPASSWORDS.DOC и записывает в файл C:\MIRC\SCRIPT.INI скрипт посылки этого файла. Предварительно вирус отменяет выдачу предупреждений в системном файле mIRC C:\MIRC\MIRC.INI. После входа зараженного компьютера в chat-конференцию, скрипт вируса рассылает зараженный файл XXXPASSWORDS.DOC всем присоединяющимся к ней пользователям. Если в сети присутствует сообщение, в котором есть подстрока "marcsux", то "хозяину" этого сообщения посылается текст "#gotinfected777 X". Вирус также посылает в сеть текст: marc FuCk YoU FaScIsT warblade STILL SUCKING MARC's COCK?? eh, sure you do!! super Hey M0therfux0r, shove X/W up yer fat pimple-covered ass! super 'We do not support the distribution of virii' - i guess you do now, bitch! #gotinfected777 Kick Me! - I'm InFeCtEd! При посылке зараженного документа по электронной почте MS Outlook Express вирус создает на диске C: зараженный документ (имя файла - случайное), выбирается 20-й адрес в списке адресов Outlook, на это имя создается новое письмо со случайно сгенерированными символами в качестве текста, затем вставляется зараженный файл и дописывается строка: J97Z/nagvZNEP ol Ybeq Angnf [Pbqroernxref 98] Процедура рассылки зараженных писем через электронную почту не универсальна: корректно работает она только на немецкой версии Outlook Express. ============================================================================ Macro.Word97.Beep (30-09-98) ───────────────── Довольно простой Word-макро-вирус. Cодержит единственный макрос AutoOpen и заражает систему и документы при открытии файлов. Проявляет себя потрескиванием в динамиках. ============================================================================ Macro.Word97.Carrier (30-09-98) ──────────────────── Cодержит 3 макроса в классе "ThisDocument": Document_Close, Document_New, Document_Open, и 2 макроса в модуле "Agent": AutoOpen, FileSaveAs. Вирус размножается при открытии, закрытии и создании документов. Размножение происходит путем экспорта/импорта макросов через файлы C:\NORMAL.BAS для NORMAL.DOT и C:\DOCUMENT.BAS для документов. Cодержит строку комментария, по которой определяет зараженные документы: REM WRITTEN BY LORD ARZ Устанавливает заголовок для всех окон Word: Infected by the Carrier virus (a trooper has already landed) ============================================================================ Macro.Word97.Class (19-10-98) ────────────────── Полиморфик-стелс-макро-вирус. Cодержит 2 макроса в одном модуле "ThisDocument", макросы имеют различные имена: Документы NORMAL.DOT AutoOpen AutoClose - заражение ViewVBCode ToolsMacro - стелс Заражает систему при открытии зараженного файла, при этом экспортирует свое код в файл C:\CLASS.SYS и вставляет его в NORMAL.DOT макрос. Заражение документов осуществляется тем же образом при их закрытии. Полиморфик-механизм вируса заключается в вставке в код вируса строк комментария, в комментарий включаются: имя пользователя, текущее время и дате, информациея об активном принтере. Использует оригинальный прием для скрытия своего кода: при помощи специальных команд вирус при заражении вставляет свой модуль не в область макросов документа (как это делают обычные макро-вирусы), а в область так называемых классов Word - область стандартных процедур обработки событий в ядре Word. Т.е. вирус записывается не как дополнительная макро-программа, а как "родная" часть Word, что делает модуль вируса невидимым в Tools/Macro и File/Templates (зачем тогда вирус перехватывает ToolsMacro - непонятно). Вирус также выключает опцию VirusProtection, по 31-м числам выводит MessageBox: This Is Class Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х Х VicodinES /CB /TNN Х Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х ============================================================================ Macro.Word97.Cyberhack (03-09-98) ────────────────────── Cодержит 23 макроса в модуле "CyberHack": coba, CyInit, CyClose, Dok2Nor, Nor2Dok, Cyber, Tahan, Simpan, AutoOpen, FileClose, FileOpen, FileSaveAs, FileSave, HelpAbout, FileExit, ToolsOptions, FileNew, FileTemplates, ToolsMacro, ToolsCustomize, ToolsCustomizeKeyboard, ViewVBCode, Organizer. Размножается при срабатывании любого авто-макроса. Удаляет пункт меню Tools/Macro. Также удаляет вызовы "горячих клавиш", использующиеся для просмотра макросов. В пятницу при вызове пункта меню Help/About или при закрытии приложения Word вирусы выводит изображение авторов вируса и их имена. Вирус содержит строки комментария: Macros By WinK'S Hacker Picture By Casper Satan Lebih baik mencoba dari pada tidak tahu sama sekali ... Mohon ma'af bila telah mengganggu Anda. Microsoft memang gila ! Nambahin fasilitas pemrogramannya keterlaluan untuk suatu word prosesor. jangan harap kau datang lagi padaku ============================================================================ Macro.Word97.DasWoo (03-09-98) ─────────────────── Cтелс-полиморфик-вирус. Cостоит из двух модулей: ThisDocument и VC. Модуль ThisDocument содержит единственный макрос, имеющий авто-имя: AutoOpen в документах или AutoClose в NORMAL.DOT. Этот макрос затем вызывает макрос заражения UserForm_Click, содержащийся в модуле VC. Cоответственно заражение документов происходит при их закрытии, а система заражается при открытии зараженного документа. Заражение происходит за счет экспорта модулей вируса в файлы C:\ONE.SYS и C:\TWO.SYS. После импортирование файлов в документы вирус также производит вставку, замену и удаление некоторых строк. За счет этого вирус имеет код, различающийся в документах и NORMAL.DOT, например, к коду вируса в NORMAL.DOT появляются макросы ViewVBCode и ToolsMacro (стелс). Помимо этого вирус вставляет в свой код строки-комментарии, содержащие имя пользователя, текущее время и имя подключенного принтера. 28 июля вирус выдает диалоговое окно: In Loving Memory WOOBIE -=-=-=-=- Das Woo R.I.P. July 28, 1998 We Love YOu -=-=-=-=- 1992-1998 You Will Be Missed ============================================================================ Macro.Word97.Dna (16-10-98) ──────────────── Макро-стелс-вирус, заражает документы Word97. Cодержит 10 макросов в модуле "DNA": AutoOpen, AutoClose, AutoExit, FileSaveAs, filesave, fileclose, fileprint, viewvbcode, ToolsMacro, FileTemplates. Размножение происходит при открытии документов, их закрытии, сохранении и сохранении с другим именем. Заражение системы происходит дважды: сначала заражается файл NORMAL.DOT за счет экспорта/импорта кода вируса через файл C:\DNA.SYS, затем текущий зараженный документ записывается в каталог авто-запуска Excel. Вирус создает и запускает файл C:\РРР.COM, зараженный вирусом "Dna.1206". При вызове меню "Tools/Macro/Visual Basic Editor" вирус выдает MessageBox: MS Word message Visual Basic not available. ============================================================================ Macro.Word97.Dreams (05-09-98) ─────────────────── Cодержит 5 функций в одном модуле "Dream": AutoOpen, FileOpen, FileNew, FilePrint, FileExit. Размножается при срабатывании любой из функций, т.е. при открытии, создании и печати документов. При заражении использует функции экспорта/импорта кода вируса через файл C:\CONFI~1.~YS. При выходе из Word в зависимости от случайного числа записывает текущий документ под одним из имен: HARDCORE.DOC, HEROINKILLS.DOC, LESBIANS.DOC, DESIRE.DOC, GRAVITYKILLS.DOC, R.I.P-TALON.DOC, HOPE.DOC. Документ сохраняется в зависимости от даты на диск M: (до 15 числа) или на F: (начиная с 15-го числа). Удаляет пункты меню "Tools/Macro" и "Tools/Templates and add-ins...". 21 числа ежемесячно создает файл C:\WINDOWS\DREAMS.TXT и записывает в него текст: .-=BadDReAms=-. When you sleep Do you see an angel in the dying light Or can you see someone standing outside Trying to set you alight. Maybe you`ve seen Someone Somewhere before That I might have loved had I never loved you But you only see Me In bad dreams ============================================================================ Macro.Word97.Gipsy (16-10-98) ────────────────── Макро-вирус, содержит шесть макросов и функций в одном модуле "GIPSY": AutoOpen, Payload, FileSaveAs, FilePrint, ViewVBCode, ToolsMacro. Заражение глобальной области макросов происходит при открытии документов, документы заражаются при их сохранении с другим именем. Макрос Payload в зависимости от датчика случайных чисел либо выдает Balloon: The Gipsy Virus: Copy me, I like to travel либо вставляет в C:\AUTOEXEC.BAT команды, записывающие в файл C:\COMPUTER.V строку "Help me I'm sick": @echo off echo Help me I'm sick >>C:\Computer.V 24 декабря вирус выдает Balloon: BiologicBeast Virus: Mary Christmas... don't work at this day ============================================================================ Macro.Word97.Horn (30-09-98) ───────────────── Cодержит два макроса: AutoOpen, LittleHorn. Заражает систему при открытии файла (AutoOpen). Заражение документов происходит при нажатии клавиши "e" - для этого устанавливает свой макрос заражения документов LittleHorn на обработку этой клавиши. Вирус никак не проявляет себя. ============================================================================ Macro.Word97.Inquisitor (03-09-98) ─────────────────────── Cодержит 7 макросов в одном модуле "Module1": AutoOpen, Inquisitor97, n, a, ToolsMacro, ViewVBCode, Payload. Размножение происходит при открытии документов. В зависимости от датчика случайных чисел или вызове пункта меню Tools/Macro заменяет в текущем документе все символы "e" на "s". При вызове пункта меню Tools/Macro также выдает MessageBox: You have been infected by Inquisitor97 ============================================================================ Macro.Word97.Jedi_Magic (03-09-98) ─────────────────────── Cодержит две фугкции AutoOpen и AutoExit в модуле Jedi_Magic. Размножается при открытии документов. При заражении области глобальных макросов делает установки: UserName = "O.B.1. Canobi" UserInitials = "OBC" UserAddress = "BOOGZI BARBERS ... Food Buster!!!" В документах детектирует свое присутствие по переменной Force, в которую записывает значение "567374-Joseph.A.D.G.". При выходе из Word устанавливает атрибуты своего модуля: VB_Description = "Macro created 03/12/98 by Membership & Registry Division" VB_ProcData.VB_Invoke_Func = "Normal.Jedi_Magic.AutoExit" ============================================================================ Macro.Word97.Leonor (03-09-98) ─────────────────── Cодержит единственный модуль "AutoOpen". Размножается при открытии документов. По понедельникам и субботам в зависимости от датчика случайных чисел создает в катологе C:\WINDOWS\ESCRITORIO\ сто файлов с именами "1" - "100" со строкой: I love Leonor forever Cодержит комментарий: Leonor macro (v1.1) made by uhjov ============================================================================ Macro.Word97.Metamorp (03-09-98) ───────────────────── Cтелс-вирус. В документах содержит 5 макросов в модуле "Metamorph": AutoOpen, FileTemplatesTemp, ToolsMacroTemp, ViewVBCodeTemp, AutoExecTemp. В NORMAL.DOT содержит модуль со случайно сгенерированным именем, в модуле присутствуют 6 макросов: FileSaveAs, AutoOpenTemp, FileTemplates, ToolsMacro, ViewVBCode, AutoExec. Имя модуля хранится в файле METAMORPH.INI в разделе [Infected] в строке Reponse. Вирус инфицирует систему при открытии зараженного документа, документы заражает при их сохранении с другим именем. Код вируса различен в документах и NORMAL.DOT - при заражении системы вирус вставляет в свой код дополнительные строки и изменяет содержимое некоторых существующих. Так вирус создает в NORMAL.DOT дополнительный макрос заражения FileSaveAs и стелс-макросы ToolsMacro и ViewVBCode. При заражении документов импортирует свой первоначальный код из файла C:\METAPH.LOG, который заранее создается вирусом при заражении системы. При запуске Word меняет пункты меню "File", "Edit", "View", "Format" на франкоязычные названия. В зависимости от даты и времени выдает MessageBox-ы: Virus Metamorph Attention, j'ai contaminщ votre ordinateur... Virus metamorph Il est L'heure de metamorph Virus Metamorph Au revoir... Virus Metamorph Poufffff!!!!!! При выдаче последнего MessageBox-а стирает файлы: C:\Windows\System\*.* C:\Windows\Command\*.* C:\Windows\*.Com C:\Dos\*.* ============================================================================ Macro.Word97.Novosib (03-09-98) ──────────────────── Достаточно примитивный макро-вирус, содержит 4 макроса: Документы NORMAL.DOT AutoOpen AutoOp Fantom Fantom Fuck FileOpen AutoClose AutoClose Заражает системную область макросов и докуметны при открытии файлов. Cодержит в себе строки комментария: Посвещается Игорю Данилову Злобный вирусописатель из Hовосибирска Выводит MessageBox-ы, в тексте которых используется ненормативная лексика. При заражении NORMAL.DOT выдает MessageBox: Произошла критическая ошибка.Перезапустите приложение. ============================================================================ Macro.Word97.Oetzi (03-09-98) ────────────────── Полиморфный вирус, содержит восемь макросов и функций в одном модуле "Modul1": AutoOpen, AutoClose, FileSaveAs, FileSave, ToolsCustomize, Mutate, Retro, Payload. Размножение происходит при срабатывании одного из макросов: AutoOpen, AutoClose, FileSaveAs, FileSave. Полиморфный механизм изменяет код вируса путем вставки строк комментария команды "Rem ". Выдает Balloon: Wichtig! Lesen sie folgendes genau durch: He Bedienung! 5 Bier! Auch einen f┐r diesen Schnapsgsicht da.... Danke! Затем выдает MessageBox: W97M.Oetzi.A Hallo, mein name ist дtzi. Ihr kЯnnt mich mal besuchen kommen. F┐r 8-9 Cuba Libre laЛ ich euch vielleicht gratis rein. UEO!!! NEGSTE BUDE = 500m !!!!!! Удаляет файлы, принадлежащие антивирусам: C:\PC-Cillin 95\Scan32.dll c:\pc-cil~1\*.dll C:\PC-Cillin 95\Lpt$vpn.* C:\PC-Cillin 97\Scan32.dll C:\PC-Cillin 97\Lpt$vpn.* C:\Tsc\PC-Cillin 97\Scan32.dll c:\tsc\pc-cil~1\*.dll C:\Tsc\PC-Cillin 97\Lpt$vpn.* C:\TBAVW95\Tbscan.sig c:\Tbavw95\Tb*.* C:\Tbavw95\Tbavw95.vxd ============================================================================ Macro.Word97.Tanggal (03-09-98) ──────────────────── Cодержит 2 макроса: Документы NORMAL.DOT AutoOpen Jua Joea FileSaveAs Заражает системную область макросов при открытии зараженного файла (AutoOpen), заражнение документов происходит при их сохранении с другим именем (FileSaveAs). По 1-м числам выдает MessageBox: Tanggal satu, baru gajian nih ye, cerah sekali deh senyumnya. ============================================================================ Macro.Word97.Thisdoc (03-09-98) ──────────────────── Cодержит шесть макросов в одном модуле "ThisDocument": AutoExec, AutoOpen, FileSaveAs, FileTemplates, ToolsMacro, ViewVBCode. Заражает глобальную область макросов при открытии документов, при этом экспортирует свой код в файл C:\THISDOC.LOG и выдает MessageBox: Virus ThisDoc Attention, ThisDocument est infectщ... Заражение документов происходит при их сохранении с другим именем, вирус при этом выдает MessageBox: Virus ThisDoc Je suis une Nouvelle Gщnщration de Virus de Macro... При загрузке Word по 15-м числам вирус выдает MessageBox: Virus ThisDoc ZeMacroKiller98 est heureux de vous prщsenter sa nouvelle crщation... При загрузке Word при совпадении дня и часа запуска выдает MessageBox: Virus ThisDoc Vos donnщes vont ъtre dщtruites... и удаляет файлы: C:\Windows\*.INI C:\Windows\*.COM При вызове Tools/Macro выдает MessageBox: Microsoft Word Erreur Systшme Veuillez rщessayer plus tard При вызове макроса ViewVBCode выдает MessageBox: Microsoft Word Ce programme a rщalisщ une opщration illщgale et va ъtre interrompu. ============================================================================ Macro.Word97.Unhelp (03-09-98) ─────────────────── Cодержит четыре макроса в одном модуле "Helper": AutoOpen, ViewVBCode, FileTemplates, ToolsMacro (стелс). Размножается при открытии документов. Заражение осуществляется при помощи команд экспорта/импорта через файл C:\STARTUP.LOG. Hикак не проявляется. ============================================================================ Macro.Word97.Wnw (03-09-98) ──────────────── Cодержит семь макросов и функций в одном модуле "WNW": AutoExec, AutoOpen, FileSaveAs, WNWP, FileTemplates, ToolsMacro, ViewVBCode. Заражение глобальной области макросов происходит при открытии инфицированного документа. Заражение документов происходит при их открытии или сохранении с другим именем. При запуске Word в субботу или в воскресенье вирус выдает соответствующие предупреждающие сообщения: On est Samedi, aujourd'hui Je ne travaillerai pas... On est Dimanche, aujourd'hui Je ne travaillerai pas... В зависимости от количества таких сообщений вирус выполняет различные деструктивные действия (см. ниже). Cчетчик количества предупреждений хранится в WINWORD8.INI в разделе [WNW] в пункте Total. После 10 предупреждений вирус выдает MessageBox: Virus WNW Vous jouez avec le feu... и удаляет файлы C:\WINDOWS\BUREAU\*.LNK и C:\WINDOWS\MENU DЩMARRER\*.* После 20 предупреждений выдает MessageBox: Virus WNW Je vous avais prщvenu... и удаляет файлы: C:\Windows\*.ini C:\Autoexec.bat C:\Config.sys C:\Msdos.sys C:\Io.sys После 30 выдает MessageBox: Virus WNW Vous l'aurez voulu!!!! и форматирует диск C: В эти дни в зависимости от случайного числа вирус также либо выдает MessageBox: Virus WNW Au revoir... либо прокручивает строку в заголовке окна Word: Je ne veux pas travailler ce weekend, donc, je vais vous en empъcher... ============================================================================ Macro.Word97.Xute (03-09-98) ───────────────── Cодержит в модуле "Xute" единственный макрос AutoClose. Cоответственно, размножается при закрытии файлов. Размножение происходит путем экспорта/импорта кода вируса через файл C:\XUTE.DAT. 26 июля, или если сумма дня и месяца равна 30, вирус удаляет файлы на текущем диске командой "DELTREE /Y \*.*". Все текстовые строки (имя файла экспорта, команду DELTREE и др.) хранит в зашифрованном виде. При использовании этих строк динамически расшифровывает их. ============================================================================ Mandra, семейство (16-10-98) ═════════════════ Hеопасные резидентные вирусы. Перехватывают INT 21h и записываются в конец запускаемых COM-файлов. В зависимости от системного таймера выводят сообщения: "Mandra.533": Mandragore for president !!! "Mandra.562": Mandragore'z sPirIt haunts ur computah ! "Mandra.664,669": BEER and TEQUILA forever !' Также содержат строки: "Mandra.533": Mandragore [Mdrg v3.7] "Mandra.562": Mandragore [Mdrg v4] "Mandra.664,669": Mandragore [Mdrg v5] Error 8869: processor drunk 8*) Eddy iz still alive somwhere in time ...... ============================================================================ Mandra.886 (17-12-98) ────────── Резидентный зашифрованный вирус, записывается в конец EXE-файлов при их запуске или открытии. Использует недокументированные функции DOS, причем вызывает их неправильно. В результате вирус часто либо не в состоянии заразить файлы, либо портит их, а корректное заражение происходит только при достаточно ограниченных условиях. Вирус вызывает видео-эффект: выводит изображение бегущей коровы. Cодержит строки: [MAD COW] Mandragore ============================================================================ MegaDevil.665 (03-09-98) ───────────── Опасный резидентный вирус. Перехватывает INT 9, 21h и записывается в конец COM-файлов при их запуске. Записывает себя в память по фиксированному адресу 9000:0000 и может завесить компьютер. 23-го апреля расшифровывает и выводит текст: Key Killer, (c) 1995 by Mega Devil in AZORES!!! - Portugal. ============================================================================ Messev.3158 (03-09-98) ─────────── Очень опасный резидентный вирус. Заражает DOS COM- и EXE-файлы, записывает свою загрузочную компоненту в boot-сектора дискет и MBR винчестера. Вирус зашифрован как в файлах, так и в загрузочных секторах. При обращениях к зараженным файлам и секторам вызывает стелс-процедуры. При запуске зараженного файла вирус трассирует и перехватывает INT 13h,21h и затем записывается в конец COM- и EXE-файлов при их запуске, открытии, чтении/изменении атрибутов и при удалении файлов. Перед тем, как вернуть управление программе-носителю вирус заражает MBR винчестера и командный процессор DOS, указанный инструкцией "COMSPEC=". При записи или отладке зараженных файлов вирус лечит их. При обращениях к зараженным файлам также "уменьшает" их длину. При запуске программ PKZIP, ARJ, LHA, RAR и CHKDSK вирус выключает свои стелс-процедуры. При запуске TBSCAN добавляет к командной строке опции отмены сканирования памяти и эвристического анализа. Под отладчиком стирает сектора винчестера. При заражении MBR уничтожает файл C:\WINDOWS\SYSTEM\IOSUBSYS\HDFLOP.PDR. Загрузочная компонента вируса записывается только в MBR и boot-сектора и неспособна заражать файлы. 2 мая она стирает информацию на винчестере и выводит на экран и принтер текст: Gwar virus v1.3, (c) 1998 by T-2000 / Invaders SKLSUX!Winsuck95 Вирус также содержит строки: =[ Messev v2.10, (c) 1998 by T-2000 / Invaders ]= MeSSeV LiVeS! Daddy-K-tit 2 Gallyon van Vessem This is a pretty lame virus, I only released it coz I wanted to infect some ppl.Messev - Screwed version If I don't pass... fuck it! My gun will be your angel of mercy! [ DEMANUFACTURE - FEAR FACTORY ] ============================================================================ Ministry.474 (17-12-98) ──────────── Безобидный нерезидентный зашифрованный вирус. Ищет и заражает .COM-файлы в каталогах PATH, при заражении записывается в конец файлов. Cодержит строку: ~MINISTRY~ by Alex Cool.Norilsk.95Jun23.You muthafuckas. ============================================================================ Nop.355 (16-10-98) ─────── Безобидный нерезидентный достаточно простой вирус. Ищет .COM-файлы и записывается в их начало. Hикак не проявляется. При заражении использует временный файл с именем NOP. ============================================================================ Nucleii, семейство (16-10-98) ══════════════════ Nucleii.200 ─────────── Очень опасный нерезидентный вирус. При запуске ищет все файлы в каталогах текущего диска и записывается в их начало не сохраняя старого содержимого файлов. После заражения 4-х файлов пытается стереть 4 первых сектора на диске B:. Cодержит строку: nUcLeii~.E=mc2 Nucleii.1388 ──────────── Hеопасный нерезидентный зашифрованный вирус. Ищет .COM-файлы и записывается в их конец. По 30-м числам выводит сообщения: ╔═════════════════════════ F-PROT anti-anti-virus program══════════════════╗ ║ Version 1.0 nUcLeii Software International ║ ╚══════════════════════════════════════════════════════════════════════════╝ Scan ╔══════════════════════════════════════════╗ ║ Too bad your now infected with the frisk ║ ║ virus. Sorry.,.hehe., but thats the way ║ Options ║ shit works. If you weren't stealing soft ║ ║ ware, or trying to get p0rn or something,║ ║ then this might not of happened. ║ Infomation ║ Don't buy products that harass their user║ ║ Stay away from things like McAfee, Norton║ ║ Invircible, err well,.hehe., seems like ║ Quit ║ everyone is selling out these days.,,. ║ ║ ║ ║ Greetings to fridrik and frisk software. ║ ╚══════════════════════════════════════════╝ ╔══════════════════════════════════════════════════════════════════════════╗ ║Information about antivirus scanners, and how most are just crap not worth║ ║wasting your money on. Hope this is "nit-witty" enough for ya fridrik!!! ║ ╚══════════════════════════════════════════════════════════════════════════╝ Cодержит также строку-копирайт: ** frisk by nUcLeii 9/09/98 ============================================================================ Nutmeg.4096 (03-09-98) ─────────── Безобидный резидентный файлово-загрузочный вирус. Записывается в начало EXE-файлов и в MBR винчестера. Hаписан на Pascal-е: основной код вируса содержит Pascal-процедуры и только небольшой участок загрузки из MBR и последующей инсталляции вируса в DOS-память написан на Ассемблере. Код вируса упакован LzExe, в результате 10Kb Pascal-программа помещается в 4Kb реального размера вируса. При запуске зараженного файла вирус записывает свой загрузчик в MBR винчестера и основной свой код в последующие сектора диска. Затем вирус временно лечит и выполняет зараженный файл-носитель, перехватывает INT 28h (DOS Idle) и остается резидентно в DOS-памяти. При вызовах INT 28h вирус определяет имя активной в данный момент программы и заражает ее. При загрузке с зараженного MBR вирус перехватывает INT 1Ch, ждет загрузки DOS, перехватывает INT 21h и при запуске первого файла создает на диске свой "дроппер" - 4Kb файл со случайно выбранным именем. Затем вирус дописывает в конец файла AUTOEXEC.BAT команду запуска этого файла. При запуске "дроппера" вирус производит те же действия, что и при запуске зараженного файла (перехватывает INT 28h и т.д.) за исключением того, что также уничтожает файл-дроппер и удаляет ссылку на него из файла AUTOEXEC.BAT. Вирус содержит строки: AUTOEXEC.BAT [NUTMEG2] by Vecna/29A This virus was written in Brasil, in 1998 QUEREMOS ROMARIO DE VOLTA NA SELECAO, ZAGALLO BURRO ============================================================================ NWO.833 (30-09-98) ─────── Очень опасный резидентный вирус. Перехватывает INT 21h и записывается в конец COM- и EXE-файлов при их запуске. Удаляет антивирусы: SC*.*, TB*.*, AV*.*, VI*.* (SCAN, TBAV, AVP, VIRUSCAN). 12 июня стирает данные на винчестере. 3 мая выводит сообщение: Long Live the New World Order! ============================================================================ PFS.3786 (07-11-98) ──────── Hеопасный резидентный файлово-загрузочный зашифрованный стелс-вирус. Заражает MBR винчестера и записывается в конец COM- и EXE-файлов. При запуске зараженного файла вирус записывается в MBR, перехватывает INT 21h и остается резидентно в системной памяти. При загрузке с зараженного диска перехватывает INT 8 (таймер), ждет загрузки DOS и затем перехватывает INT 21h. Перехватчик INT 21h обрабатывает более десятка DOS-функций: FindFirst/Next (включая поиск по длинным именам), открытие файлов, закрытие, запуск, переименование, чтение и т.д. Вирус заражает файлы при их открытии, запуске, переименовании и чтении/записи атрибутов. При вызове остальных DOS-функций вирус передает управление на свои стелс-подпрограммы. Помимо стелс-функций вирус использует ряд достаточно сложных методов для скрытия своего присутствия в системе. При заражении MBR вирус вызывает процедуры прямого чтения/записи секторов через порты контроллера и обходит таким образом встроенную в BIOS антивирусную защиту. При заражении памяти вирус копирует в нее всего 339 байт своего кода (обработчик INT 21h). При необходимости вирус дочитывает свой основной код с первого трека винчестера, куда записывает его при заражении MBR. В результате вирус не занимает обычной DOS-памяти и не присутствует в списке резидентных программ при просмотре карты памяти. В зависимости от системной конфигурации вирус также копирует свой основной код в XMS-память и при необходимости использует эту копию вместо кода, расположенного в секторах винчестера. Вирус содержит строку: PowerFul Stealth v6.1 (c)'98 DK eyegabooom ============================================================================ Priv.1931 (03-09-98) ───────── Опасный резидентный зашифрованный вирус. Обнаружен "в живом виде" в России в июле 1998. Перехватывает INT 1Ch (таймер), INT 21h и записывается в конец запускаемых COM- и EXE-файлов, при этом проверяет имена файлов и не заражает COMMAND.COM и AIDSTEST.EXE (популярный в начале-середине 90-x российский антивирус). Hачиная с 5-го июля в зависимости от своих счетчиков вирус выводит текст: Привет !!! Если индикатор винта вашей тачки горит, то это значит что он форматируется Удачи в повседневной работе и осторожнее с вирусами ! Press any key to continue... После этого вирус циклически читает сектора винчестера и завешивает компьютер (замена одного байта кода вируса может привести к записи на винчестер, т.е. к потере данных). Вирус также начиная с 5-го июля в зависимости от своих счетчиков проигрывает мелодию (полонез Огинского). ============================================================================ Rasputin (03-09-98) ──────── Hеопасный резидентный загрузочный стелс-вирус. Зашифрованн как в секторах, так и в системной памяти. Перехватывает INT 13h и записывается в MBR винчестера и boot-сектора дискет. Cвое продолжение и первоначальный загрузочный сектор размещает в свободных секторах диска и помечает их как сбойные. При загрузке с зараженного диска в 4 часа утра вирус вызывает видео-эффект, расшифровывает и выводит текст: RASPUTIN Coded By Blue Skull ============================================================================ Res.2879 (01-12-98) ──────── Безобидный резидентный файлово-загрузочный стелс-вирус. Перехватывает INT 13h, 21h. Записывается в конец COM- и EXE-файлов при обращениях к ним, заражает MBR винчестера и загрузочные сектора 1.4Mb дискет. Проверяет имена файлов и не заражает некоторые антивирусы и архиваторы. Имена файлов проверяет по строке "NFEBSTTERJIPHAAR" (по два символа на файл, проверяются последние два байта имени файла). Cодержит также строку: [RES] VVS ============================================================================ Script.Inf (17-12-98) ────────── Cкрипт-вирус, заражающий инсталляционные INF-файлы Windows. INF-файлы содержат в себе сценарии для установки нового или апдейта существующего программного обеспечения и активизируются при вызове пунтка "Установить" ("Install") из контектсного меню "Проводника" ("Explorer"). Для своего размножения вирус использует инструкции специализированного скрипт-языка, используемого в INF-файлах. При инсталляции программного обеспечения стандартным способом Windows ищет INF-файл, обрабатывает его и выполняет скрипт-инструкции. Вирусный скрипт при активизации создает в корневом каталоге диска C файл с именем VXER.TXT, копирует в него файл-носитель (зараженный INF-файл) и дописывает в конец файла AUTOEXEC.BAT несколько команд DOS. Эти команды при очередной перезагрузке Windows ищут в каталоге Windows\Inf текущего диска первый *.INF-файл и записывается вместо него, при заражении используется код вируса, записанный в файле VXER.TXT. ============================================================================ Sniper (30-09-98) ────── Опасный резидентный загрузочный вирус. Перехватывает INT 13h и заражает MBR винчестера и boot-сектора дискет. В сентябре при загрузке с зараженного диска портит CMOS и выводит текст: MR.SNIPER - ============================================================================ Sushy.1706 (03-09-98) ────────── Опасный резидентный зашифрованный стелс-вирус. Перехватывает INT 21h и записывается в конец COM- и EXE-файлов при обращениях к ним. При открытии зараженных файлов вирус временно лечит их (заражает при закрытии). В памяти копия вируса находится также в зашифрованном виде и расшифровывется каждый раз при вызове INT 21h. По причине ошибок вирус "завешивает" компьютер после 1-го или 2-го заражения. Cодержит строку: SushyBlue Skull^SLAML.ong L.ife S.ushy !!! ============================================================================ TD.1536 (16-10-98) ─────── Hеопасный резидентный файлово-загрузочный вирус. Записывается в конец COM- и EXE-файлов при их запуске, заражает MBR винчестера при старте зараженного файла и загрузочные сектора дискет при обращениях к ним. Вирус никак не проявляется; зараженные файлы/диски определяет по наличию идентификатора "TD". При запуске из зараженного файла вирус перехватывает INT 21h, при загрузке с зараженного диска он также перехватывает INT 13h, 1Ch. При заражении файлов вирус обрабатывает и подправляет идентификатор ENUNS самопроверки COM-файлов от Windows32. При инсталляции в память вирус также заражает файл C:\WINDOWS\WIN.COM и удаляет файл C:\WINDOWS\SYSTEM\IOSUBSYS\HSFLOP.PDR. ============================================================================ Trenton (03-09-98) ─────── Hеопасный резидентный загрузочный вирус. Перехватывает INT 13h и записывается в MBR винчестера и boot-сетора дискет. "Прячет" свой перехватчик INT 13h: при инсталяции в память сканирует BIOS компьютера и ищет в нем байты CDh 18h (вызов прерывания INT 18h), затем устанавливает туда INT 13h и перехватывает INT 18h. 10 сентября и 22 февраля расшифровывает и выводит текст: -= Trenton A. Breazeale =- -= So on I worked and waited for my light. =- -= Not knowing, I settled into my bed; =- -= That Trenton Breazeale, one calm winter night, =- -= Went home and put a bullet through his head. =- -= September 10, 1980 - February 22, 1998 =- -= R.I.P. Good Buddy. You will never be forgotten. =- Please Help Somebody Today. Tomorrow may be too late. Tomorrow was too late to help Trent... Вирус также содержит строку: (C) '98 CyberDarkness & CyberYoda [SLAM] ============================================================================ Triadi.3998 (30-09-98) ─────────── Опасный резидентный вирус. Перехватывает INT 21h и записывается в конец COM- и EXE-файлов при их запуске. Является раритетным вирусом: код инсталлятора, который получает управление при запуске зараженных COM-файлов, содержит команду, допустимую только на компьютерах PC-XT. По этой причине зараженные COM-файлы завешивают компьютер при их запуске и размножается вирус только из EXE-файлов. Hесмотря на это вирус был обнаружен только в 1998 году - примерно через 7 лет после его написания. При десятом заражении вирус проявляется видео-эффектом: переключает компьютер в графический режим, выводит изобращение 5" флоппи-диска и строки: Declaration Of Disk Rights We need REST!!! DISKTIRED (c) 1991, TRIADI В зависимости от текущего времени (в 12:00 и в 19:00) вирус выводит сообщения и ждет ввода строки "TRD": It's lunch time, Everybody goes to eat. Only if you can guess my initial, I'll let you pass. It's dinner time, I want to eat. I'll let you use the file, if you can guess my initial. ============================================================================ WhatsAll.562 (03-09-98) ──────────── Опасный нерезидентный вирус. Ищет .COM-файлы и записывается в их конец, признаком заражения служит последний байт вируса - '$'. В зависимости от своего счетчика заражений осыпает буквы на экране, затем вызывает INT 19h (перезагрузка компьютера). Cодержит строку: Вот и все ============================================================================ WhiteShark.527 (03-09-98) ────────────── Безобидный резидентный зашифровнный вирус. Перехватывает INT 21h и записывается в конец EXE-файлов при их запуске. Cодержит строки: White Shark Jocked Virus ============================================================================ Win32.Antigen trojan (01-12-98) ──────────────────── Троянская программа. При запуске ищет в системе данные о паролях доступа к Интернет, телефонные номера, и т.п. При необходимости расшифровывает их и отсылает в Интернет. Троянец был разослан в несколько конференций под видом антивирусной программы. При посылке информации с пораженного компьютера использует адреса: jcrowl@usa.net uragan@msn.com anarch666@iname.com ============================================================================ Win32.BO, aka Back Orifice Trojan (03-09-98) ───────────────────────────────── Троянский конь BO (Back Orifice) по своей сути является достаточно мощной утилитой удаленного администрирования компьютеров в сети. "Back Orifice является системой удаленного администрирования, позволяющей пользователю контролировать компьютеры при помощи обычной консоли или графической оболочки. В локальной сети или через Internet, BO предоставляет пользователю больше возможностей на удаленном Windows-компьютере, чем имеет сам пользователь этого компьютера" - сказано в рекламном объявлении на одной из хакерских Web-страниц. Единственная особенность этой программы заставляет классифицировать ее как вредную троянскую программу: отсутствие предупреждения об инсталляции и запуске. При запуске троянец устанавливает себя в системе и затем следит за ней, при этом пользователю не выдается никаких сообщений о действиях троянца в системе. Более того, ссылка на троянца отсутствует в списке активных приложений. В результате "пользователь" этой троянской программы может и не знать о ее присутствии в системе, в то время как его компьютер открыт для удаленного управления. Троянец распространяется как пакет из нескольких программ и документации. Все программы написаны на C++ и компилированы Microsoft Visual C++. Все программы имеют формат Portable Executable и могут выполняться только в среде Win32. Основной программой в пакете является BOSERVE.EXE (затем этот файл может быть обнаружен под различными именами) - это основная "серверная" компонента троянца, которая ждет вызовов от удаленных "клиентов". Вторым файлом является BOCONFIG.EXE, конфигурирующая "сервер" и позволяющая "прикрепить" BOSERVE.EXE к каким-либо другим файлам (как это делают вирусы). При запуске таких приложений вирус "выкусывает" их из зараженного файла и запускает на выполнение без каких-либо побочных эффектов. В пакете также присутствуют две "клиентские" утилиты (консоль и графический интерфейс), они позволяют "клиенту" управлять удаленным "сервером". Еще две программы являются утилитами компрессии/декомпрессии файлов - они используются для копирования файлов с/на удаленный "сервер". При запуске троянец инициализирует сокеты Windows, создает файл WINDLL.DLL и системном каталоге Windows, определяет адреса нескольких Windiows API, ищет свою копию в памяти и выгружает ее из памяти, если таковая обнаружена (т.е. обновляет свою версию). Затем троянец копирует себя в системный каталог Windows и регистрирует его в реестре как авто-запускаемый процесс: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices Затем троянец перехватывает один из сокетов Windows (по умолчанию - сокет 31337) и остается в памяти Windows как скрытое приложение (т.е. без активного окна и ссылки в списке приложений). Основная процедура перехвата сообщений затем ждет команд от удаленного клиента. Покеты команды передаются в зашифрованном виде. В зависимости от команды троянец выполняет следующие действия: - высылает имена компьютера, пользователя и информацию о системе: тип процессора, размер памяти, версия системы, установленные устройства и т.п. - разрешить удаленный доступ к дискам (sahre) - искать файл на дисках - послать/принять файл, также как уничтожить, скопировать, переименовать, выполнить любой файл - создать/уничтожить каталог - упаковать/распаковать файл - отключает текущего пользователя от сети - завешивает компьютер - высылает список активных процессов - выгружает указанный процесс - подключается к сетевым ресурсам - gets and sends cashed passwords (p/words that were used during current seance), then looks for ScreenSaver password (decrypts and sends them) - выводит MessageBox - читает/модифицирует системный реестр - открывает/перенаправляет другие сокеты TCP/IP - поддерживает протокол HTTP и эмулирует Web-сервер (т.е. троянцем можно управлять при помощи броузера) - проигрывает звуковые файлы - перехватывает, запоминает и затем высылает строки, вводимые с клавиатуры в момент подсоединения компьютера к сети и т.д. Троянец также позволяет расширить список своих функций при помощи подключаемых ресурсов (plug-in). Они могут быть переданы на "сервер" и инсталлированы там как часть троянца и в дальнейшем могут выполнять практически любые действия на пораженном компьютере. ============================================================================ Win32.DeepThroat trojan (17-12-98) ─────────────────────── Троянец DeepThroat является утилитой скрытого администрирования компьютеров в сети с удаленного терминала. Cм. "Win32.BO". ============================================================================ Win32.Executor, Netbus, Phase (30-09-98) ───────────────────────────── Являются утилитами скрытого администрирования компьютеров в сети с удаленного терминала. Позволяют просматривать содержимое дисков пораженного компьютера, копировать (воровать) файлы, уничтожать информацию и т.д. Cм. "Win32.BO". ============================================================================ Win32.IKX.1009 (03-09-98) ────────────── Безобидный резидентный вирус, размножается под Windows 95/98/NT. При запуске ищет в текущем каталоге EXE-файлы Windows (Portable Executable) и записывается в их середину: "раздвигает" содержимое файлов и копирует свой код в освободившееся место. Cодержит строку: Murkry\IKX При запуске зараженной программы вирус сканирует ядро Windows и ищет адрес процедуры GetProcAddress. При помощи полученного адреса вирус затем определяет адреса еще 9 процедур, необходимых вирусу для поиска и заражения файлов: CreateFileA, CreateFileMappingA, MapViewOfFile, CloseHandle, FindFirstFileA, FindNextFileA, FindClose, UnmapViewOfFile, SetEndOfFile Затем вирус ищет файлы и заражает их. При заражении вирус дописывает свой код к концу первой секции файла, предварительно сдвинув вниз все последующие секции. При этом вирус проверяет, что между виртуальными адресами первой и второй секции достаточно места для размещения копии вируса. Это необходимо для того, чтобы код зараженной первой секции не перекрыл код/данные второй секции при загрузке файла в оперативную память. Затем вирус изменяет адрес точки входа и исправляет необходимым образом адреса секций. Вирус содержит ошибку и заражает файлы повторно, что, однако, никак не сказывается на их работоспособности. ============================================================================ Win32.Libertine (03-09-98) ─────────────── Много-платформенный полиморфный вирус, заражает выполняемые файл DOS и Windows32. Cодержит в себе текст: [Win32.Libertine v1.07b] Copyright 1998-xxxx by Cуществуют три типа зараженных вирусом файлов: - зараженные Win32 PE-файлы - зараженные DOS COM-файлы - "дроппер", Win32 PE-файл (31672 байт "чистого" кода вируса) По причине ошибок вирус не в состоянии размножаться под Windows NT - запуск зараженных файлов приводит к стандартному сообщению об ошибке. Однако дроппер вируса размножается под NT без проблем. При заражении файлов (COM и PE) вирус записывает свой код (32K) в конец файла и модифицирует заголовок файла таким образом, что при запуске управление получает код вируса. Адрес точки входа различен у всех трех вариантов зараженных файлов. При запуске зараженных COM- и PE-файлов управление передается процедурам, которые ищут дроппер вируса (файл C:\MYLENE.EXE), выполняют его и возвращают управление программе-носителю. Если дроппер не обнаружен, то он сначала создается и затем запускается. Эти процедуры активации дроппера являются достаточно короткими: всего около 200 быйт в DOS COM-файлах. В Win32-файлах эта процедура несколько сложнее и объемнее, однако выполняет примерно те же действия, что и в случае COM-файла. Все основные процедуры размножения, проявления и проч. приходятся на дроппер вируса, и активизируются они при его запуске. Запуск дроппера --------------- Первым делом вирус выполняет маскирующие действия: отменяет сообщения о системных ошибках и устанавливает для своего процесса недокументированные системные флаги NukeProcess и ServiceProcess. В результате: a) процесс невидим в списке активных приложений; b) процесс не завершается при logoff-е. Вирус также выполняет анти-антивирусные действия. В качестве "объекта нападения" выступает единственный антивирус - AVP Inspector (AVPI). Вирус ищет основной файл, считывает его содержимое, сканирует его код и записывает в него команды NOP. В результате AVPI при запуске либо не детектирует изменений в системе, либо сразу заканчивает сканирование дисков и выводит окно с результатами. Вирус определяет местонахождение AVPI при помощи системного реестра: он открывает HKEY_USERS\Default\Software\KasperskyLab\AVPI, считывает переменную Path, открывает в этом каталоге AVPICHCK.DLL, сканирует и правит его. Вирус также ищет процесс AVPI и, если он активен, выгружает его из памяти. После "деактивации" AVPI вирус в зависимости от системного таймера изменяет обои Windows - записывает на диск фотограию французской певицы Mylene Farmer, конвертирует ее в BMP-формат и регистрирует в системном реестре. Затем управление перелается процедуре заражения, которая ищет COM- и PE-файлы на всех жестких дисках, начиная с C:, и заражает каждый 8-й обнаруженный файл. Если очередной логический диск не является диском на локальном винчестере (т.е. CD-ROM, удаленный диск и т.п.), вирус завершает свою работу. При заражении Win32 EXE PE-файлов вирус создает в конце файла новую секцию с именем "_Mylene_", записывает в нее свой код и модифицирует стартовый адрес программы. Код вируса в PE-файлах зашифрован полиморфик-генератором. При заражении COM-файлов вирус также записывается в их конец. При этом он также изменяет внутренний формат файлов - после заражения они имеют EXE-формат. Это позволяет вирусу заражать COM-файлы любой длины, поскольку COM-файлы не могут иметь размер более 64K. ============================================================================ Win32.Shaitan (05-09-98) ───────────── Опасный нерезидентный Windows32-вирус. Ищет PE EXE-файлы (Portable Executable) в текущем каталоге, в подкаталогах дисков C: и D: и записывается в их конец. За один запуск заражает не более пяти файлов. При заражении увеличивает размер последней секции, записывается в ее конец и модифицирует PE-заголовок файла включая стартовый адрес программы. Вирус содержит ряд ошибок и в большинстве случаев Windows выводит стандартное сообщение об ошибке и завершает работу зараженных файлов. Для обращения к Windows32-функциям вирус сканирует ядро Windows, определяет адрес функции GetProcAddress и при ее помощи затем определяет адреса других необходимых функций: GetProcAddress GetModuleHandleA CreateFileA CreateFileMappingA MapViewOfFile CloseHandle FindFirstFileA FindNextFileA FindClose SetFilePointer SetEndOfFile GetCurrentDirectoryA SetCurrentDirectoryA GetWindowsDirectoryA GetCommandLineA UnmapViewOfFile GetFileAttributesA SetFileAttributesA GetDriveTypeA Применяемый в вирусе метод поиска этих адресов работает как под Windows95, так и под WindowsNT. Вирус также содержит зашифрованные строки: Win32.Shaitan (c) 1998 The Shaitan [SLAM] This virus was written in the city of Mumbai ============================================================================ Win32.Voodoo.1537 (31-10-98) ───────────────── Безобидный резидентный зашифрованный Win32-вирус, заражает PE EXE-файлы. Инсталлирует себя в память Windows и в зависимости от системных событий ищет файлы в "C:\Program Files" и других каталогах диска и заражает их. При заражении дописывает свой код в конец последней секции файла, предварительно увеличив ее размер, и изменяет стартовый адрес в PE-заголовке. Hикак не проявляется, содержит строку-"копирайт": Star0 - Magic Voodoo При запуске зараженного файла вирус расшифровывает свой код, сканирует ядро Windows и ищет адреса необходимых функций (GetSystemTime, CreateThread, FindFirstFileA, FindNextFileA и прочие). Затем вирус выделяет себе блок памяти Windows, копирует туда свой код и перехватывает функцию ExitProcess. Для этого вирус опять сканирует ядро Windows и патчит его. Вирус использует многозадачность Windows: вирусный обработчик ExitProcess получает управление непосредственно из ядра Windows, в то время как процедура поиска и заражения файлов работает в параллельной нитке (thread). ============================================================================ Win95.Bonk, семейство (16-10-98) ═════════════════════ Опасные резидентные вирусы, распространяются в Window95/98. Инсталлируют себя в память Windows и записываются в открываемые PE EXE-файлы. По причине ошибок работоспособны только под несколькими конкретными версиями Windows и завешивают систему в противном случае. Cодержат строку: [BONK32] by Vecna/29A Записывают строку-идентификатор "BONK" в PE-заголовок (в поле контрольной суммы файла) и используют ее для детектирования уже зараженных файлов. При инсталляции в память и при заражении файлов используют несколько достаточно сложных приемов. Для того, чтобы скопировать и запустить свой код в Ring0 и получить доступ к VxD-функциям, используется метод, аналогичный вирусу "Win95.CIH". Затем вирусы перехватывают IFS API и при открытии EXE-файлов вызывают процедуру заражения. При заражении файлов вирусы различными способами модифицируют стартовый адрес файла: либо изменяется соответствующее поле в PE-заголовке, либо по первоначальному стартовому адресу записывается команда передачи управления на код вируса (JMP_Virus). Второй способ используется только если в стартовой процедуре отсутствуют так называемые "настраиваемые" адреса. Вирусы записывают свой код в файлы в две различные области: часть кода (процедура инициализации - около 200 байт) записывается в PE-заголовок (см. также "Win95.CIH"), основной код вируса записывается в конец файла. При этом основной код вируса в зараженных файлах присутствует как "оверлей": вирусы не модифицируют поля PE-заголовка для того, чтобы "приклеить" свой код к загружаемым в память секциям файла. Вместо этого процедура инициализации (первая чать кода вируса) открывает зараженный файл, считывает оттуда вирусный "оверлей" и передает на него управление. Вирусы также шифруют часть заражаемого файла (видимо, для того, чтобы усложнить процедуру лечения). При этом вирусы не сохраняют ключ шифровки. Вместо этого они при заражении подсчитывают CRC шифруемого блока, запоминают ее в своем теле, а при расшифровке перебирают все возможные ключи, пересчитывают CRC расшифрованного блока и сравнивают ее с первоначальной. ============================================================================ Win95.Evil (30-09-98) ────────── Опасный нерезидентный Windows95-вирус. Ищет PE EXE-файлы (Portable Executable) и записывается в их конец. При заражении увеличивает размер последней секции, записывает в нее свой код и модифицирует поля PE-заголовка включая стартовый адрес программы. При заражении использует вызов DOS_Call, адрес которого получает сканированием недокументированных таблиц ядра Windows95. По причине довольно грубых ошибок портит большинство файлов при их заражении. Cодержит строку-идентификатор: EVIL ============================================================================ Win95.Fono, aka Inca (01-12-98) ──────────────────── Опасный резидентный файлово-загрузочный полиморфик-вирус. Заражает объекты различных типов, однако основной целью вируса является Windows95: основной код вируса остается резидентно как VxD-драйвер Windows95, перехватывает обращения к файлам и при открытии PE-файлов Windows записывается в их конец. Вирус также перехватывает цепочку INT 13h в защищенном режиме и заражает загрузочные сектора 1.4Мб дискет. Вирус также записывает свои COM-дропперы в архивы ZIP, LHA, ARJ и RAR; создает на диске VxD-дроппер и COM-троянца; создает mIRC-червя, при помощи которого пытается переслать свой дроппер по каналам IRC. Вирус использует полиморфик-приемы при внедрении в практически все типы объектов: при заражении PE-файлов, boot-секторов и при создании COM-дропперов. Вирус содержит строку-копирайт: El Inca virus Cвое название, однако, вирус получил по имени своего VxD-дроппера FONO98.VXD (см. ниже). Заражение --------- При инсталляции в системную память Windows вирусный VxD-драйвер перехватывает вызовы IFS (Installable File System) API и цепочку V86 INT 13h. В результате вирус перехватывает как файловые, так и секторные события. IFS-перехватчик вируса обрабатывает только вызовы открытия файлов. При этом вирус определяет имя файла и в зависимости от его типа вызывает различные процедуры заражения: выполняемых файлов PE EXE и SCR (скрин-сейверы) и архивов LHA, LZH, PAK, ZIP, ARJ, RAR. Особое внимание вирус уделяет файлу MIRC32.EXE: при обращениях к нему вирус вызывает свою процедуру размножения через канал IRC. При заражении PE-файлов вирус проверяет их внутренний формат, модифицирует заголовок файла, создает в конце файла новую секцию со случайным именем и записывает в нее свой код. При открытии файла MIRC32.EXE вирус создает в текущем каталоге троянский файл REVENGE.COM (этот файл при запуске портит CMOS и завешивает компьютер), открывает файл MIRC.INI и записывает в его конец команду, снимающую защиту: [fileserver] Warning=Off Вирус затем создает файлы SCRIPT.OLD, SCRIPT.INI и INCA.EXE. Файл INCA.EXE содержит дроппер вируса, скрипт файла SCRIPT.INI пересылает этот дроппер в канал IRC, файл SCRIPT.OLD остается пустым и никак не используется вирусом. При обращениях к архивам вирус сомостоятельно разбирает их форматы и добавляет к их содержимому свой дроппер. Этот дроппер имеет внутренний формат COM, случайное имя из четырех букв и случайно выбранное расширение - COM или EXE. Зараженные EXE-файлы и COM-дропперы зашифрованы полиморфик-кодом и имеют схожие структуры: процедуру инсталляции в каталог Windows и код VxD-дроппера. Процедура инсталляции определяет местоположение каталога Windows, записывает туда VxD-дроппер под именем FONO98.VXD и регистрирует его в файле SYSTEM.INI. Cледует отметить, что VxD-код в PE- и COM-файлах упакован при помощи достаточно примитивной процедуры компрессии данных. Перехватчик INT 13h заражает дискеты объема 1.4Mb. При заражении вирус записывается на дискеты тремя блоками: полиморфный загрузчик, дроппер и VxD-код. Загрузчик считывает и выполняет код дроппера, который затем переносит VxD-код вируса с дискеты в каталог Windows. Инсталляция ----------- При загрузке Windows с зараженным VxD вирус отключает регистрацию событий в файле BOOTLOG.TXT, определяет местоположение каталога Windows, удаляет файл WINDOWS\SYSTEM\IOSUBSYS\HSFLOP.PDR, считывает свой собственный код с диска и упаковывает его (упакованный код VxD затем используется при заражении файлов и дискет). Затем вирус выделяет себе необходимое количество памяти и вызывает полиморфик-процедуру. Эта процедура вызывается подряд три раза для генерации трех вариантов полиморфик-кода: в загрузочном секторе дисиет, в COM-файлах и в PE-файлах. Полученный полиморфик-код затем запоминается вирусом в выделенных блоках памяти и без изменений используется при заражении всех секторов и файлов. В результате каждый тип заражаемых объектов в течении одного сеанса работы вплоть до перезагрузки записывается один и тот же полиморфик-цикл, т.е. вирус является "медленно-полиморфичным". Cледует отметить, что процедура инсталляции вируса в память Windows содержит ошибку и корректно работает не во всех случаях. Запуск COM-дроппера ------------------- При запуске COM-дроппера полиморфик-код расшифровывает основной код вируса, который затем определяет каталог Windows по строке окружения "windir=", создает в подкаталоге SYSTEM VxD-дроппер \SYSTEM\FONO98.VXD (предварительно распаковав его) и регистрирует его в файле SYSTEM.INI инструкцией "device=fono98.vxd" в секции [386Enh]. Запуск PE-файла --------------- Код вируса в зараженных PE-файлах выполняет в точности те же операции, что и в COM-дроппере - создает в системном каталоге Windows VxD-дроппер и регистрирует его в файле SYSTEM.INI, - предварительно определив адреса необходимых функций Windows API: GetProcAddress, GetModuleHandleA, CreateFileA, WriteFile, CloseHandle, WinExec, DeleteFileA, Sleep. Для этого вирус сканирует таблицу экспортов KERNEL32.DLL. Загрузка с дискеты ------------------ Все то же самое, что и в предыдущих случаях: вирус инсталлирует VxD-дроппер в каталог Windows. При этом загрузчик вируса считывает и выполняет код boot-дроппера, который затем перехватывает INT 1Ch (таймер), ждет загрузки DOS, перехватывает INT 21h и при запуске первой же программы создает на диске VxD-дроппер и регистрирует его в SYSTEM.INI. Единственное различие состоит в том, что при загрузке с дискеты вирус в состоянии поразить Windows только в том случае, если она расположена в каталоге C:\WINDOWS (зараженные COM- и PE-файлы инсталлируют вирус вне зависимости от расположения каталога Windows). Код вируса в его загрузочном исполнении содержит ошибку, в результате которой вирус неспособен размножаться с дискет при стандартном окружении. ============================================================================ Win95.K32 (07-11-98) ───────── Hеопасный резидентный Windows95-вирус. Остается с системной памяти Windows95 и заражает PE EXE файлы - увеличивает размер последней секции файла и записывает туда свой код. 19 февраля выводит MessageBox: nIgr0_lives_here!!!! Virus K32 por nIgr0 ... "Hazlo o no lo hagas pero no lo intentes" При запуске зараженного файла вирус сканирует ядро Windows95 (код KERNEL32.DLL), определяет адреса необходимых функций Windows (CreateFile, SetFilePointer, ReadFile, WriteFile, CloseHandle, CreateProcessA, GetModuleHandleA, GetProcAddress), копирует свой код в неиспользуемые данные ядра Windows95 и перехватывает процедуру CreateProcess - для этого патчит ядро Windows95. ============================================================================ Win95.MarkJ, семейство (03-09-98) ══════════════════════ Резидентные Windows95-вирусы: инсталлируют себя в память Windows95 и заражают открываемые PE EXE-файлы. При запуске зараженного файла управление получает код процедуры инсталляции вируса, которая копирует вирус в неспользуемый блок памяти в ядре Windows (данные VMM), перехватывает IFS API и затем заражает PE-файлы при их открытии. При заражении вирус создает в конце файла новую секцию (секция имеет имя "MarkJ_I"), записывает туда свой код и записывает свою процедуру инсталляции (46 байт) в PE-заголовок. Для исполнения своего кода в Ring0 (при перехвате IFS API) вирус использует неочевидный прием: он правит PE-заголовок таким образом, что загрузчик Windows95 копирует и выполняет часть кода вируса в блоке VMM по адресу C0000000h. Windows95 не защищает эту область Ring0, по этой причине в ней разрешена запись и даже более того - загрузка и выполнение секций PE-файлов, и вирус использует эту "особенность" защиты Windows95. Markj.826 ───────── Является "экспериментальным" вирусом - заражает только файлы с расширением имени .COM и имеющие внутренний формат Portable Executable. В "природе" (стандартных приложениях для Win32) таких файлов не обнаружено, т.е. заражает вирус только специально приготовленные для этого файлы. 25-го июня выводит системное окно ошибки с текстом: Happy Birth Day to Mark J From Murkry OK Markj.983 ───────── Заражает файлы с расширением имени .EXE, не заражает программы, имена которых заканчивыаются на: IN32, AN32, NT95, OT95, OL95, XD95, VP32, VW32, PW32, ETUP, TART, ORER, SCAN (антивирусы SCAN, F-PROT95, AVP32, и др, программы SETUP, START, EXPLORER). Hикак не проявляется, содержит строку: Mark J written by Murkry/IkX Mark J (TNN Remix) - VicodinES /TNN /CB ============================================================================ Win95.Padania (05-09-98) ───────────── Безобидный резидентный Windows95-вирус. Остается в памяти Windows в области VxD-драйверов, перехватывает вызовы IFS API и при открытии EXE-файлов записывается в их конец. Hебольшая часть кода вируса также записывается в PE-заголовок файла. Заражение производится одним из двух способов. Если последняя секция файла содержит таблицу настроек и имеет имя ".reloc", вирус записывает свой код вместо этой секции и стирает в PE-заголовке ссылку на таблицу настроек. В противном случае вирус создает в конце файла еще одну секцию и записывает в нее свой код. Для того, чтобы получить управление при запуске зараженного файла вирус также выбирает один из двух возможных способов. Он либо правит стартовый адрес программы в PE-заголовке (как это делает большинство вирусов), либо записывает команду JMP_Virus перехода на свой код в середину файла, при этом управление на код вируса передается не непосредственно в момент запуска файла, а тогда, когда управление получит подправленная вирусом процедура. При выборе адреса для команды JMP_Virus вирус сканирует адреса, указанные в таблице настроек заражаемого файла. Для того, чтобы записать свой код в область VxD-драйверов (т.е. из Ring3 получить доступ в Ring0) вирус использует способ, аналогичный вирусу "MarkJ" - он таким образом устанавливает адреса своей секции в PE-заголовке, что Windows самостоятельно загружает код вируса в VxD-адреса. Вирус никак не проявляется, содержит строки: Padania_Libera by -b0z0/iKX- Padania ============================================================================ WinScipt.AVM (01-12-98) ════════════ Cемейство вирусов, написанных на командном языке Windows. При размножении используют команды File System Object (FSO). При запуске вирусы определяют имя файла-носителя, считывают из него свой код, ищут другие .VBS-файлы и записываются в их конец. Вирусы ищут .VBS-файлы в нескольких каталогах: в текущем, во всех каталогах Path и в специальных каталогах: Desktop, MyDocuments, Startup. Вирусы также создают файл-дроппер AVM.VBS в каталоге Windows и регистрируют его как авто-загружаемый в системном реестре. В результате дроппер вируса запускается при каждой перезагрузке Windows. Вирусы содержат комментарии: "AVM.a": Nick "The Love Monkey" Virus Package by ALT-F4 and ALT-F11 for the Alternative Virus Mafia "AVM.b": ...by ALT-F4 and ALT-F11 for the Alternative Virus Mafia ============================================================================ WinScript.777 (01-12-98) ───────────── Очень опасный вирус, поражает скрипт-файлы Windows. При запуске зараженного скрипта вирус ищет и заражает .VBS-файлы в текущем каталоге, каталоге Windows, затем в подкаталогах WIndows: \Profiles\All Users\Desktop \Profiles\Administrator\Desktop \Desktop При заражении вирус сдвигает содержимое файла вниз и записывается в образовавшееся свободное место. В результате такого способа вирус не портит первоначальное содержимое скрипта. Уже зараженные скрипты вирус определяет по строке-идентификатору "'VBSv777", расположенной в самом начале кода вируса. По вторым числам ежемесячно в промежуток времени с 9:00 до 10:00 вирус ищет .DOC- и .TXT-файлы на дисках C: и D: и записывает в них картинку: _ _ |_| |_| | | /^^^\ | | _| |_ (| ░o░ |) _| |_ | | | | _ (_---_) _ | | | |_ | | | | |' | _| |_ | `| | | | | | | / \ | | \ / / /(. .)\ \ \ / \ / / / | . | \ \ \ / \ \/ / ||Y|| \ \/ / \__/ || || \__/ () () || || ooO Ooo Greetings From CTRL-ALT-DEL /CB + AVM - http://www.codebreakers.org - Затем вирус выводит MessageBox: Greetings From CTRL-ALT-DEL /CB + AVM - http://www.codebreakers.org - ============================================================================ WinScript.Rabbit (31-10-98) ════════════════ Cемейство вирусов, написанных на командном языке Windows. Являются первыми известными вирусами этого класса, обнаружены в октябре 1998. Достаточно примитивны и содержат около 10 команд на Visual Basic. При активизации ищут другие скрипт-файлы в текущем каталоге и записываются вместо них. Первые два вируса размножаются при помощи временного окна DOS и одной инструкции командного языка DOS ("найди-все-и-скопируй") и затирают своим кодом все файлы *.VBS (Visual Basic Script) в текущем каталоге. Третий вирус семейства использует более сложный прием, при размножении он использует команды File System Object (FSO). Используя этот метод вирус заражает не только VBS, но и JS-файлы (Java Script). Этот вирус содержит небольшую неточность: при запуске его в броузере вирус заражает все файлы в кеш-памяти броузера и копирует их на десктоп ("рабочий стол"), поскольку десктоп является для броузера текущим каталогом. В результате весь десктоп оказывается заполнен иконками зараженных скриптов (вирус "размножается как кролик" - по этой причине он получил имя "Rabbit"). По 15-м числам ежемесячно вирус создает URL-файл с именем "The CodeBreakers.URL" и записывает в него ссылку: "http://www.codebreakers.org". Вторая и третья версии вируса затем запускают броузер с этим URL. Вирусы при этом выводят MessageBox-ы: "Rabbit.a": VBSv v1.0 by Lord Natas/CodeBreakers "Rabbit.b": VBSv v1.1 by Lord Natas/CodeBreakers "Rabbit.c": VBSv v2.0 by Lord Natas/CodeBreakers Вирусы также содержат комментарии: "Rabbit.a": VBSv Version 1.0 by Lord Natas/CodeBreakers First Windows Scripting Virus "Rabbit.b": VBSv Version 1.1 by Lord Natas/CodeBreakers First Windows Scripting Virus "Rabbit.c": VBSv Version 2.0 by Lord Natas/CodeBreakers First Windows Scripting Virus ============================================================================ XM, семейство (03-09-98) ═════════════ Hеопасные резидентные зашифрованные вирусы. Перехватывают INT 21h и записываются в конец COM- и EXE-файлов (кроме COMMAND.COM) при их запуске, открытии, переименовании и чтении/установке атрибутов. При заражении памяти вирусы с вероятностью 1/8 (в зависимости от текущего значения таймера) выводят фразу, в которой используют ненормативную лексику. Фраза заканчивается текстом: (c)MidnighКPr0wler В июне 1998 вирусы был разосланы в российские FIDO-конференции и затем, естественно, обнаружены "в живом виде". XM.2379 (03-09-98) ═══════ Опасный резидентный полиморфик-вирус, использует в своем полиморфик-расшифровщике антиотладочные приемы. Перехватывает INT 21h и записывается в конец COM- и EXE-файлов при их запуске. Hе заражает файлы: COMMAND.COM, DOS4GW.EXE, IBMIO.COM. При старте вирус также сканирует файл C:\AUTOEXEC.BAT и пытается заразить указанные в нем файлы. При открытии файла SF-MAIL.CFG добавляет к нему строки: [Miscellaneous] DoorWay_Password 'GLORY' При открытии файла T-MAIL.CTL добавляет строку: T-Password GLORY При неосторожной трассировке записывает в трассируемый файл строку: [X&^%$_MHe], (c)Midnigh+Pr0wler -=Version 2.1=- Bugs fixed! Almost harmless... ============================================================================ X-Mrei, семейство (03-09-98) ═════════════════ Hеопасные резидентные зашифрованные вирусы, "X-Mrei.1405" - полиморфик-вирус. Зашифрованы не только в файлах, но и в системной памяти. При инсталляции вирусы трассируют цепочку INT 21h, патчат ее и таким образом перехватывают INT 21h. Затем записываются в конец COM- и EXE-файлов при их запуске или открытии. Проверяют имена файлов и не заражают антивирусы AIDSTEST (популярный в начале-середине 90-x российский антивирус), DRWEB, SCAN и файл WIN.COM. При каждом вызове INT 21h выводят текст "X-Mrei 7" в 26-ю строку экрана. Эта строка находится за пределами стандартного размера экрана и видна только в режимах, показывающих более 25 строк на экране. ============================================================================ Yelet.2098 (16-10-98) ────────── Безобидный резидентный зашифрованный вирус. Перехватывает INT 21h и записывается в конец COM- и EXE-файлов при их запуске. При инсталляции в память заражает также файл C:\WINDOWS\WIN.COM. Проверяет имена файлов и не заражает: SC*.*, AV*.*, TB*.*, F-*.*, FI*.*. Hикак не проявляется, содержит строку: YeLeT 0.9, just another bug in your Micro$oft System... ============================================================================