¦ ¦
¦ ¦
АДДДДДДДДДДДДДДДДДДДДДДДДДДЩ
Getto.2000
Опасный резидентный полиморфный вирус. 8, 16 и 24 числа месяца может
удалить файлы C:\IO.SYS, C:\MSDOS.SYS, C:\CONFIG.SYS и вывести текст:
DOS/4GW Professional Protected Mode Run-time Version 1.95
Copyright (c) Rational Systems, Inc. 1990-1993
Getto Virus Version 1.0с Copyright (C) 1995,96 by Geci Пllat
This Getto requirest 80286 or better processor
Formating Hard Disk #1 [...................]
Formating Hard Disk #2 [...................]
Ready.
gEtTo Always the Best! MS-SUX Destroyer
Содержит текст "Tested with F-Prot v2.22 and TBAV700".
Gexa.2324
Неопасный резидентный полиморфный вирус. Устанавливает свою резидентную
копию в область UMB. При старте программы, начинающейся на AIDS - вирус
выводит текст "Не поможет!". При вводе с клавиатуры слова "gexa ",
вирус помещает в буфер клавиатуры фразу "- i am here!", при вводе
"yalta " - фразу "- nice town..!" и обезвреживает при этом свой
резидентный обработчик INT 21h.
Ginger.2691
Незначительно отличается от Ginger.2774 (см. ниже). Сохраняет адрес
оригинального Boot-сектора, но только головку и сектор. Значение же
цилиндра не проверяет, считая, что он всегда должен быть - 0. Если же
значение цилиндра отличается от нуля, то загрузка операционной системы
с жесткого диска на таком компьютере становится невозможной.
Ginger.2774
Файлово-загрузочный стелс-вирус. При запуске зараженной программы
корректирует MBR, устанавливая адрес активного Boot-сектора на
цилиндр-0, головка-0, сектор-2. Старый адрес Boot-сектора не сохраняет,
считая что он всегда должен располагаться по адресу цилиндр-0,
головка-1, сектор-1. Начиная с сектора 2 записывает в 6 секторов свой
код. Содержит текстовые строки: "You can't catch the Gingerbread
Man!", "Bad Seed - Made in OZ", "10/23/92".
Ginger.Orsam.2624
Дальнейшее развитие Ginger.2774. Содержит строки "You can't catch the
Gingerbread Man!" и "Orsam - Made in OZ".
Girl.1036
Опасный нерезидентный вирус. 3 июля пытается считать загрузочный сектор
диска A:, создает файл A:\BOOT.SEC, записывает в данный файл 512 байт
содержимое оригинального загрузочного сектора и записывает в данный
сектор код, который при загрузке системы с такого диска выводит на
экран текст "I YOU GIRL IN GREEN!".
Girls.1829
Неопасный нерезидентный вирус. Иногда завешивает систему. Может вывести
текст: "I love you, girls ! You are so beautiful !".
Globus.1742
Неопасный резидентный вирус. Создает файл C:\REKLAMA.TXT, в котором
помещает рекламу некой фирмы "ГЛОБУС-ПЛЮС" из г. Иваново. Несколько
странная роль участия в данной области рекламы компьютерного вируса.
Gloomy.2000
Неопасный резидентный вирус. Вирус перехватывает INT 8 и через каждые
24 секунды устанавливает новые значения регистров DAC монитора. В
результате создается впечатление, что экран монитора медленно "гаснет".
Gluck.761
Oпасный резидентный вирус. Удаляет файлы CHCKLIST.MS. В 0 часов выводит
текст "You iave a щGLUCKщ!!!" и "трясет" экран. При старте программы
*WEB.EXE выводит текст "Error reading fat!" и завершает ее работу.
Goblin.1759
Неопасный резидентный файлово-загрузочный стелс-вирус. Иногда "мигает"
экраном. Содержит строку "DELWIN".
Goddamn.302
Содержит строку "Goddamn Butterflies".
GoldBug (1-5)
Опасные полиморфные файлово-загрузочные стелс-вирусы-спутники. Заражают
MBR жесткого диска, Boot-сектора дискет емкостью 1.2M и *.EXE-файлы,
создавая вирусы-спутники с именем EXE-файла. Сам же EXE-файл
переименовывают в файл со своим прежним именем, но без расширения.
Размещают свою TSR-копию в области HMA-памяти. Перехватывают INT 13h,
21H, 2Fh (и INT 10h на этапе инсталляции с инфицированного диска, для
контроля за загрузкой DOS в HMA-память). Содержат текстовые строки
"CHKLIST????" и "1O7=0SLMTA". Последнюю строку в обратном порядке, при
заражении EXE-файлов, вирусы могут послать в модемный порт -
ATMLS0=7O1. Удаляют файлы CHKLIST???? в директории заражаемого
EXE-файла. Удаляют программы при их старте, содержащие в своем имени
предпоследнюю букву "A" и последнюю букву, значение ASCII кода которой
меньше 79 (4Bh) "O". Например, при запуске программа SCAN.EXE будет
удалена вирусами GoldBug.
Gorinich.776
Неопасный резидентный вирус. Содержит зашифрованную строку "Zmey
Gorinich v0.04".
Gorlovka.1022
Неопасный резидентный вирус. Для COM-файлов внедряется в область
повторяющихся байт кода или данных, не изменяя длины инфицированной
программы. Содержит текст "GORLOVKA9101".
Gosha.1831
Опасный резидентный вирус. Внедряется в середину файлов, имеющих
длины 54619, 52925, 47845 (разные версии COMMAND.COM). 4 марта и 7
ноября уничтожает содержимое текущего флоппи-диска или первого жесткого
диска. Содержит текст "GOSHA".
Gotcha.605
Неопасный резидентный вирус. Содержит строку "GOTCHA!".
GreenMonster.711, 784, 839
Опасные резидентные вирусы. Периодически пытаются отформатировать одну
дорожку гибких дисков. Содержат текст "Green Monster. I"m happy".
Grace.1346
Неопасный резидентный вирус. Внедряет свой код в середину и конец
файлов. Иногда может вывести текст "Have a nice piss-up!" или "Have a
DOS!". Содержит тексты "-[Grace] by TДLФN 94-", "You make me sick I
make viruses".
GraveLion.2250
Неопасный резидентный файлово-загрузочный полиморфный вирус. При старте
инфицированной программы заражает MBR, изменяя в ней ссылку на первый
загрузочный сектор, и подставляет вместо этого адреса ссылку на свой
загрузчик. При старте программ, имена которых заканчиваются на B, F и
T (а также при нажатии на Ctrl-Alt-Del) вирус удаляет в MBR ссылку на
свой код, по окончании работы этих программ опять заражает MBR.Содержит
текст "[Бычий Цепень] v1.0 Copyright (c) 1995 Grave Lion". Иногда при
ошибке в процессе загрузки может вывести текст "Access to Hard Drive
denied...".
Gregory.996
Очень опасный нерезидентный вирус. Из-за ошибки разрушает файлы при
заражении. Может вывести текст "<Григорий-01.2>".
Gremlin.1405
Неопасный резидентный полиморфный вирус. Содержит следующие тексты:
[ Gremlin 1.04 / AVL ]
[ Как видите, г-н Данилов, обмануть Ваш эвристический анализатор не так
уж и трудно... ]
KREG 1.01 / AVL
Gripe.1985
Неопасный резидентный полиморфный вирус. Не заражает файлы,начинающиеся
на TB, SC, CL, F-, MS, NA. Содержит текст "ViRUS GRiPE by dEMETH KNOX
(17/03/95, ARGENTINA)".
Grog.495
3 числа до 12 часов изменяет символ '(' ASCII 40 на символ с
вертикальной надписью "GROG". Содержит тексты:
Gg CHAR2GROG (C) '93 by GROG - Italy
_/\(*,*)/\_ _/\*,*/\_ _\*,*/_
Grog.2075
Опасный шифрованный вирус. Уничтожает файлы CHKLIST.CPS. Содержит
текстовые строки:
>>4/93<<
GROG v4.0 (C) '93 by GROG - Italy
Grog v4.0 is here! HaHaHa!
MBIOMDOSSCANLEANPROTCPAV
Не заражает файлы, имеющие сочетания букв из последней строки.
Grog.2825
Опасный шифрованный вирус. Уничтожает файлы ANTI-VIR.DAT, CHKLIST.*,
\NAV_._NO Содержит текстовые строки:
-=ЁGROG v5.0 (C) '93 by GROG - ItalyЁ=-
IBMBIOIBMDOSSCAN CLEAN F-PROT CPAV MSAV NAV
Не заражает файлы, имеющие сочетания букв из последней строки.
Grog.4ever.1200
Неопасный полиморфный вирус. В инфицированных программах может изменить
строку "Microsoft" (если таковая имеется) на строку "Grog*Soft". Данная
строка будет изменена только в памяти, и если эта строка выводится на
экран, то вместо названия известной фирмы будет выведена
строка-копирайт вируса из Италии. Вирус также содержит текстовые строки:
-=ЁGROG 4EVER!Ё=-
_/\<+>,<+>/\_
>>2/93<<
GROG v3.1 (C) '93 by GROG - Italy
Microsoft C:\COMMAND.COM
Grog.Bog.233
Неопасный нерезидентный вирус. Ищет MS-Windows EXE-файлы и внедряется в
их код, работающий под DOS. Обычно Windows EXE-файлы имеют код, который
выполняется только в DOS и служит для того, чтобы сообщать пользователю
о том, что данная программа должна работать под управлением MS-Windows.
Как правило, данный код состоит из строки типа "This program requires
Microsoft Windows." и нескольких инструкций ассемблера, выводящих
данный текст на экран и возвращающих управление обратно в среду DOS.
Данные инструкции выглядят, обычно, так:
POP DX ; указатель на строку о необходимости Windows
PUSH CS
POP DS
MOV AH,9
INT 21h ; вывод сообщения на экран
MOV AX,4C01h
INT 21h ; окончание работы и выход в DOS
Вирус Grog.Bog.233 считывает 256 начальных байт DOS-кода и ищет в них
строку "Win". Если строка найдена, то вирус ищет последние 3 байта
указанного выше DOS-кода (4C CD 21). Если данные байты найдены, вирус
записывает 233 байт своего кода, начиная с последнего вызова INT 21h.
Таким образом DOS-код после этого выглядит следующим образом:
MOV AH,9
INT 21h ; вывод сообщения на экран
MOV AX,4C01h
CALL $+3 ; вместо окончания работы и выхода в DOS - код вируса
POP BP
При запуске под MS-Windows такой файл будет работать как обычно, т.к.,
DOS-код в этом случае не получает управления. При запуске же из DOS
программа расскажет о необходимости присутствия MS-Windows, после чего
вирус начнет искать очередную жертву. Содержит текстовую строку "BOG
(C) '93 by GROG - Italy".
Grog.Hop
Производит поиск и заражение *.COM файлов только на дисках A: и B:.
Внедряется в середину файла, в область повторяющихся байт, используя
для записи в файл на гибких дисках INT 40h. Содержит тексты:
HopHopHop (c) '93 By GROG - Italy
"Guida alla Corsa"
Capitolo primo
Come correre al modo dei conigli.
Hop Hop Hop
Hop Hop Hop
Grog.Metafora
Неопасный нерезидентный вирус-спутник. Производит поиск *.COM файлов,
переименовывает их в файлы с такими же именами, но с расширением EXE,
и создает соответствующие им файлы с расширением COM, содержащими
вирусный код. 29 февраля выводит на экран текст:
ЪНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДН¬
¦ <^> JoeMetafora (C) '93 by GROG - Italy <^> ¦
АНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНДНЩ
28 февраля выводит другое сообщение:
-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=
Il velario della notte avviluppava gli amanti fuggitivi.
Ad onta delle minacce di gravi cimenti, oceani di affetto li avevano tenuti
