Dis is only BEGIN... Win95 & her lamers must die!
Searching... SEEK & DESTROY
There can be only one ...
MME.Ssr.19834 выводит следующий текст:
!!! ALARM WARNING DANGER APPROACHING !!!
Hacker-fucker TSR shit or Any Virus Detected !!!
Anyone who wants to fuck Revenge is Naivnij Man
With best Wishes to E.Kaspersky !
Now I'm CURELESS !!! SND Used !!! Rules !!!
In future versions I will add :
1. Protected Mode Decryptor [SF0rCE]
(Web,try to emul IT :)))) )
2. UniversalAntiDetector
3. Must Die: Lamers,Webs & other...
4. And other BUGs,GLUKs & SHITs !
Dis is Continue... Win95 & her lamers must die!
Searching... SEEK & DESTROY
There can be only one ...
Периодически "трясут" экран или выводят текст:
T H I S I S
Ю±± ±±±±± Ю±±
Ю±±±ЯЯЯЫ±± Ь±±±±± Ю±± Ю±± Ь±±±±± Ю±± ±±±± ±±±± ±± Ь±±±±±
Ы±±± Ю±±Ю±±ЯЯЫ±± Ю±± Ю±± Ю±±ЯЯЫ±± Ю±±±ЯЯЫ±±Ю±±ЯЯЯ±±± Ю±±ЯЯЫ±±
Ю±±± Ю±± Ю±± Ю±± Ы± Ю±± Ю±± Ю±± Ю±± Ю±±Ю±± Ю±± Ю±± Ю±±
Ы±±±±±±± Ю±±±±±±± Ю±± Ю±± Ю±±±±±±± Ю±± Ю±± Ы±±±±±±±Ю±±±±±±±
Ю±±± Ю±± Ю±±±ЯЯЯ Ю±± Ю± Ю±±±ЯЯЯ Ю±± Ю±± ЯЯ±±±±±Ю±±±ЯЯЯ
Ю±± Ы±± Ы±± ± Ю±±Ю± Ы±± ± Ю±± Ю±± ЯЯЯЫ± Ы±± ±
Ы±± Ы±± Ы±±±±± Ю±± Ы±±±±± Ю±± Ю±± ± Ю±± Ы±±±±±
Ю±±± Ы±± ЯЯЯЯ ЯЯ ЯЯЯЯ ЯЯ ЯЯ ±± Ю±± ЯЯЯЯ
Ы±± Ы±± Ю±±±±±±
ЯЯЯ Ы±± ЯЯЯЯЯ
Ы±±
O F S T A I N L E S S S T E E L R A T
После чего появляется еще один текст:
····щщщ Revenge virus v 1.01 released at 20.04.96 щщщ····
····щщщ Copyright (c) 1996-97 2 Rats Techno Soft щщщ····
····щщщ Written by щщщ····
····щщщ Stainless Steel Rat щщщ····
И после этого текста вирусы уничтожают случайный сектор логического
диска C:. Вирусы удаляют файлы, имеющие расширения PAR,PIF,ICO,WEB,°°°,
PAS,BAS,AVB,FRQ,311,312,TPU,GIF,JPG,NLM,STM, MOD, CPP, DOT, подставляя
вместо имени текст "Шит !". Не заражают файлы, содержащие в своем имени
буквосочетания (по 2 символа на имя) из строки: DRAIADCOHIAVWIKEUSGD.
При трассировке резидентной копии, вирусы выводят текст и "вешают"
систему:
И долго он INT`ы трассировал...
Теперь я грустный терминал !
При старте программы, содержащей в своем имени сочетание символов ID
(AIDSTEST.EXE) вирусы выводят на экран текст "А не пора ли г-ну
Лозинскому на пенсию !". MME.Ssr.19834 выводит другой текст: "Ты еще не
выбpосил этот suxx на помойкy ?! :)".Резидентные копии вирусов содержат
всевозможные манипуляции со "врезкой" в оригинальный обработчик INT 21h
двух байт вызова INT ACh, который в свою очередь вызывает INT ABh,
который возвращает управление INT 21h через INT 2Ah... В общем, все это
оставляет чрезвычайно гнетущее впечатление от чрезмерных потуг
господина вирусописателя... Для обмана резидентных мониторов вирусы
используют некоторый прием по изменению расширения имени файла, которое
восстанавливается из ядра DOS с помощью INT 2Ah. Файлы, упакованные
PKLITE, вирус заражает нетрадиционным способом - корректируется
стартовый код распаковщика PKLITE таким образом, что управление должно
попасть на участок кода, выводящий текст "Not enough memory" и
завершающий работу программы. Но вирус внедряет в данный участок кода
переход на собственное зашифрованное тело. MME.Ssr.19834 использует в
коде расшифровщика инструкции 386 процессора. Также MME.Ssr.19834 при
заражении некоторых файлов считывает 4000h байт данного файла в буфер и
пытается найти следующие последовательности байт 0B4h,??, 0CDh, 21h или
0B8h,??,??,0CDh,21h (вызов прерывания DOS 21h с некоторыми значениями в
регистрах AH или AX) и изменяет данные последовательности байт в строку
с первым байтом 0F0h. Далее следуют зашифрованные по некоторому
алгоритму значения регистров AH или AX. Резидентная копия вируса
"перехватывает" INT 6 (invalid opcode - неправильная команда). При
выполнении инструкции, имеющей первый байт команды - 0F0h, системой
генерируется INT 6, который контролируется вирусом. В результате вирус
расшифровывает значение регистра AH или AX, записывает в память,
откуда "пришла" несуществующая команда, правильный первый байт команды,
значение регистра и вызов INT 21h (0CDh, 21h). Т.о., при наличии в
памяти резидентной копии вируса MME.Ssr.19834, все "разрушенные"
программы будут работать нормально, а при отсутствии вируса, скорее
всего они "завесят" систему.Вирусы содержат огромное количество ошибок,
из-за которых "нормальная их жизнедеятельность" практически невозможна.
Вирусы содержат тексты:
Hi Hacker! Welcome to Hell
Move over, I said move over Hey, hey, hey, clear the way
There's no escape from my authority - I tell you -
Gimme the prize, just gimme the prize
Save me,save me
Give me your WEBs, let me squeeze them in my hands, Your puny scaners,
Your so-called heuristics analyzers, I'll eat them whole before
I'm done, The battle's fought and the game is won,
I am the one the only one, I am the god of kingdom come,
- THERE CAN BE ONLY ONE -
I'M GOING SLIGHTLY MAD
Don't lose your header
Just very slightly mad !
I'm the invisible man
Now you DiE !
Crazy Little Thing Called PkLite
StealthedMetamorphicCrazyForcedSynthesatedRandomMegaLayerEncryption
ProgressionMutationEngineGenerator
Я мстю ,и мстя моя ужасна... № S.S.R.
BUGS INSIDE
RandomEncryptionSynthezator № S.S.R. 1996-97
THE STAINLESS STEEL RAT MUTATION ENGINE v 1.21 beta
І±°(c) S.S.R. 1996-97°±І
MME v 2.00 № S.S.R. 1996-97
Metamorphic Mutation Engine v 2.00 (C) Stainless Steel Rat 1996-97
It's C00LEST Engine &К
MME.Ssr.19071 также содержит еще один текст:
--------------------
Notes:
А тепеpь about DR.web...
Ламеpство! Как меня обозвали?! MME.Ssr.18xxx !
ТРЕБУЮ ПЕРЕИМЕHОВАHИЯ В MME.SSRME.RES.REVENGE.xxxxx !
Толи дебагеpы все обломал,толи %-) или это наъезд ?!
А как меня лечат:
Дополнение к 311 - мало того,что MMESsr'ом nam'ает (где точка?),
Так еще и F8.А ноpмальный апгpейд на свой Emul слабо поставить !
Да,еще:класный AidsBest полyчается - сигнатypy в MME нашел и pад,
Он даже на демкy MME pyгается:MMESsr.18xxx - полный тоpч !
Мне наплевать,но почемy длина с декpиптоpом ?
Virlist не видел,но yже обидно:мне одномy ВиpТех толкать,
А так обослали...
Помните:Мстя бyдет yжасной !
S.S.R. 12.09.1996 time:18.11
P.S. Инф к pазмышлению - автоpy 15 лет и это только начало...
--------------------
Orign:NUkE HiM A11 ! BIG NAWOROT BUGS INSIDE
MME.Ssr.19834 также содержит следующие тексты:
StealthedMetamorphicCrazyForcedSynthesatedRandomMegaLayerEncryption
ProgressionMutationEngineSeekAndDestroyerGenerator
Паyтиныч !
Пеpеименовать не захотел,да ! Ты сам этого хотел !
Это война !!! Сначала доки наyчись писать (см AVPVE)!
В общем,HЕВОЗМОЖHОСТЬ ЛЕЧЕHИЯ оставляет гнетущее впечатление
от чрезмерных потуг господина вирлистописателя...
Exe-Pklite только в 3.13 накопал...Бедные юзеpы навеpное
тебя задолбали,а ? Как это:все УДАЛИЛ:),а он опять появился !
HУ ТЕПЕРЬ ВСЕ - ВАМ ВСЕМ МЕHЯ ТЕПЕРЬ ЛЕЧИТЬ СЛАБО:SND однако...
RES не отэмyлил - полyчи 32ReGs,@$%^, !
Revenge - Это даже не швабpа,а пылесос с ядеpной накачкой и
тypбо-наддyвом для твоей несчастной Паyтины и остальных ЗАSHITHИКОВ!
[остальные наезды поскипаны]
Уважаемый г-н Каспеpский ! Очень благодаpен за подpобное описание !
Мне очень понpавилось,thanks.Баги в доке есть но все pавно - КРУТО !
RES - не полимоpфный генеpатоp,а Randomer
По этомy поводy я yдалил .AVB из хоpошего списка ! Bestовые pегаpды и
pyлесы ! AVP - это кpyто,Web - real SUXX !
За баги и глюки не отвечаю (в особенности за чyжие)!
№ S.S.R.
P.S. remember:8086 - не 486,а emul - не TD386
При детектировании вируса MME.Ssr.19071 программа Dr.Web определяет его
в инфицированных файлах, как MME.Ssr.18273.
Mnemonix.A-Bomb
Неопасный резидентный шифрованный стелс-вирус. Заражает COM-файлы при
их старте или закрытии. При открытии инфицированных файлов, вирус
удаляет из них свой код. Содержит строку "[A-BOMB V1.0с] By Mnemonix
1994".
Mnemonix.BW.1027
Неопасный нерезидентный шифрованный вирус. Содержит текстовую строку
"[BW] [DP/4] Dementia Praecox MnemoniX '94".
Mnemonix.Esp
Неопасный полиморфный резидентный вирус-спутник. Содержит строку
"[ESP/Sixth Sense] by MnemoniX".
Mnemonix.LoTek.856
Содержит строку "[BW с] [Lo Tek] by MnemoniX".
Mnemonix.Neuropath
Неопасный резидентный полиморфный вирус. Создает файл, состоящий из 2
символов со значением 256 (FFh), в текущем каталоге. При открытии
файлов программами SCAN, CLEAN, вирус подставляет им созданные им файлы
FFFFh. Содержит строку "[Neuropath] MnemoniX".
Mnemonix.Sugar
14 числа выводит на экран строку "[C6H12O6] ". Имеет текстовую строку
"Blood Sugar by MnemoniX".
Moctezuma.2208, Moctezuma.2416
Очень опасные резидентные полиморфные вирусы. Перехватывают INT 08,
13h, 21h. При чтении или записи секторов через INT 13h изменяют два
случайных байта. INT 08 используют для создания холостых циклов.
Moctezuma.2208 иногда сдвигает квадрат размером 12x12 в левой части
экрана на 2 строки вверх. Содержат текст "Moctezuma's Revenge".
Moloch
Неопасный загрузочный полиморфный стелс-вирус. Изменяет некоторые поля
CMOS-памяти (?). Содержит строки:
OH-MY-GOD! Moloch (tm) is here!
Moloch is a trademark of SquiBoyz
Monarch.1040
Очень опасный шифрованный вирус. При старте инфицированного файла,
вирус производит поиск COM и EXE-файлов в текущем каталоге и заражает
их, причем EXE-файлы заражаются также, как и COM. В дальнейшем при
старте такого "бывшего" EXE-файла вирус выводит сообщение "Error in EXE
file". Если в текущем каталоге COM и EXE-файлов нет, либо они уже все
заражены, то вирус выводит сообщение "Bad command or file name",
"перехватывает" INT 21h и оставляет в памяти свою резидентную копию,
заражающую файлы при их открытии (f.3Dh INT 21h). Автором планировалось
заражение файлов и при запуске, переименовании, смене атрибутов,.. но в
данном месте допущена ошибка. Если размер файлов-жертв менее 666 байт
или больше 64000 байт (но менее, чем 64K - ошибка автора), то вирус
