Îïèñàíèÿ âèðóñîâ
lives...
The Judgement Day has come!
Your system has been terminated.
Yeke.2425 çàïèñûâàåò â ñåêòîðà äèñêåò ïðîãðàììíûé êîä, êîòîðûé âûâîäèò
íà ýêðàí òåêñò "This system has been terminated.".
Yerg.120, 126
Íåîïàñíûå ðåçèäåíòíûå âèðóñû. Èìåþò ñòðîêó "Yerg?".
Yom.529
Ìîæåò èçìåíèòü ñèñòåìíóþ äàòó è âûâåñòè ñîîáùåíèå "yesterday once
more".
Zabootovka (1-3)
Ñîäåðæàò òåêñò "ÇàBOOTîâêà".
Zappa
Îïàñíûé çàãðóçî÷íûé âèðóñ. 4 äåêàáðÿ âûâîäèò òåêñò "Dedicated to
ZAPPA..." è óíè÷òîæàåò ñåêòîðà ïåðâîãî æåñòêîãî äèñêà.
Zarin.669
Îïàñíûé íåðåçèäåíòíûé âèðóñ. 11 è 23 ÷èñëà çàïèñûâàåò â boot-ñåêòîð
äèñêà C: òðîÿíñêóþ ïðîãðàììó, ôîðìàòèðóþùóþ 3 ðàçà ðàçíûìè ñïîñîáàìè
ïåðâóþ äîðîæêó äèñêà C:. Ïîñëå çàïèñè "òðîÿíöà" âèðóñ âûâîäèò òåêñò:
"Andy Said:Zarin`iS dangerous!".
ZeroBug.1536
Íåîïàñíûé ðåçèäåíòíûé âèðóñ. Èíîãäà çàïóñêàåò ðîæèöó (ASCII 1), êîòîðàÿ
äâèãàåòñÿ íà ýêðàíå è ñòèðàåò âñå ñèìâîëû '0'.
Zhengxi.7271, 7307, 7313
Íåîïàñíûå ðåçèäåíòíûå ïîëèìîðôíûå ñòåëñ-âèðóñû. Èíôèöèðîâàííûå ôàéëû
ñîäåðæàò äâà "äëèííûõ" ïîëèìîðôíûõ ðàñøèôðîâùèêà. Ïåðâûé äåêðèïòîð
ðàñøèôðîâûâàåò îñíîâíîå òåëî âèðóñà è âòîðîé äåêðèïòîð, ïîñëå ÷åãî
îòäàåò óïðàâëåíèå âòîðîìó äåêðèïòîðó, êîòîðûé ïðîäîëæàåò ðàñøèôðîâûâàòü
îñíîâíîé âèðóñíûé êîä. Ðàñøèôðîâêà ïðîèçâîäèòñÿ íå ïîñëåäîâàòåëüíî áàéò
çà áàéòîì èëè ñëîâî çà ñëîâîì, à ïðîèçâîëüíûìè "ïðûæêàìè" ïî âñåìó òåëó
âèðóñà. Ïðè ïîëó÷åíèè óïðàâëåíèÿ îñíîâíîé âèðóñíûé êîä ïåðåõâàòûâàåò
INT 01 è òðàññèðóåò îðèãèíàëüíûé îáðàáîò÷èê INT 21h. Äàííàÿ òðàññèðîâêà
ïðîèçâîäèòñÿ äëÿ ïîèñêà îïðåäåëåííîé ïîñëåäîâàòåëüíîñòè áàéò,
ïðèñóòñòâóþùèõ, êàê ïðàâèëî, âî âñåõ âåðñèÿõ DOS. Ïðè íàõîæäåíèè äàííîé
ïîñëåäîâàòåëüíîñòè áàéò âèðóñ âíåäðÿåò â îðèãèíàëüíûé îáðàáîò÷èê INT
21h êîñâåííûé ìåæñåãìåíòíûé CALL íà "äëèííûé" ïðÿìîé JUMP, íàõîäÿùèéñÿ
òàêæå â îðèãèíàëüíîì îáðàáîò÷èêå. Äàííûé JUMP óêàçûâàåò íà âèðóñíûé
îáðàáîò÷èê INT 21h.  äàëüíåéøåì ðåçèäåíòíàÿ êîïèÿ ìîæåò "ïåðåìåùàòüñÿ"
ïî ðàçëè÷íûì ñåãìåíòàì ïàìÿòè, â òîì ÷èñëå, è â îáëàñòè UMB. Ïîñëå
ïåðåõâàòà INT 21h âèðóñ ñòðîèò äâà ïîëèìîðôíûõ ðàñøèôðîâùèêà äëÿ
âîññòàíîâëåíèÿ èñõîäíûõ 22 áàéò çàãîëîâêà èíôèöèðîâàííîãî EXE-ôàéëà.
Ïðè çàðàæåíèè ôàéëà âèðóñ øèôðóåò äàííûå áàéòû ñ ïîìîùüþ ïîëèìîðôíûõ
ìåõàíèçìîâ, îñíîâàííûõ íà íåêîòîðûõ ñëó÷àéíûõ ñòàðòîâûõ çíà÷åíèÿõ. Ïðè
âîññòàíîâëåíèè äàííûõ áàéòîâ âèðóñ òàêæå èñïîëüçóåò äàííûå ïîëèìîðôíûå
ìåõàíèçìû. Äëÿ ôàéëîâ, èíôèöèðîâàííûõ îïèñàííûì âûøå ìåòîäîì, àêòèâíûé
ðåçèäåíòíûé âèðóñ èñïîëüçóåò ñòåëñ-àëãîðèòìû. Íî òàêæå âèðóñ èñïîëüçóåò
åùå îäèí âàðèàíò çàðàæåíèÿ EXE-ôàéëîâ, äëèíà êîòîðûõ áîëüøå 32K. Ïðè
çàðàæåíèè òàêèõ ôàéëîâ âèðóñ ñ÷èòûâàåò 6144 áàéò, ñëåäóþùèõ ñðàçó çà
EXE-çàãîëîâêîì è ïûòàåòñÿ íàéòè ïîñëåäîâàòåëüíîñòü áàéò, îáû÷íî
èñïîëüçóåìûõ â ïðîöåäóðàõ, íàïèñàííûõ íà ÿçûêàõ âûñîêîãî óðîâíÿ. Åñëè
äàííûå áàéòû íàéäåíû, òî âèðóñ ïðîèçâîäèò íåêîòîðûå äîïîëíèòåëüíûå
ïðîâåðêè è âíåäðÿåò âìåñòî áàéò ïðîöåäóðû 84 áàéòà ñîáñòâåííîãî êîäà,
ñîõðàíèâ ïðåäâàðèòåëüíî îðèãèíàëüíûé ïðîãðàììíûé êîä, øèôðóåò
ïîëèìîðôíûì ìåòîäîì îñíîâíîé âèðóñíûé êîä, êîòîðûé çàïèñûâàåò â êîíåö
ôàéëà-æåðòâû. Âíåäðåííûé â ñåðåäèíó ïðîãðàììû êîä èç 84 áàéò, ïðè
ïîëó÷åíèè óïðàâëåíèÿ, îïðåäåëÿåò èìÿ ñòàðòîâàâøåé ïðîãðàììû,
óñòàíàâëèâàåò óêàçàòåëü íà ñìåùåíèå âèðóñíîãî òåëà â ôàéëå, ñ÷èòûâàåò
èç íåãî 112 áàéò êîäà â îáëàñòü ïðîãðàììíîãî ñòåêà, ðàñøèôðîâûâàåò åãî
è ïåðåäàåò åìó óïðàâëåíèå. Äàííûé 122-áàéòíûé êîä ñ÷èòûâàåò èç ôàéëà
èñõîäíûå 84 áàéòà ïðîãðàììíîé ïðîöåäóðû â èõ "çàêîííîå" ìåñòî è òàêæå
ðàñøèôðîâûâàåò èõ. Çàòåì âèðóñ ïûòàåòñÿ ïîëó÷èòü ñâîáîäíûé áëîê ïàìÿòè,
(âîçìîæíî â îáëàñòè UMB) è ÷èòàåò èç èíôèöèðîâàííîãî ôàéëà â ýòîò áëîê
ïàìÿòè ïîëèìîðôíîçàøèôðîâàííûé îñíîâíîé âèðóñíûé êîä è ïåðåäàåò åìó
óïðàâëåíèå. Ïîñëå ñîáñòâåííîé ðàñøèôðîâêè âèðóñ ïåðåõâàòûâàåò INT 21h,
îïèñàííûì âûøå ñïîñîáîì è âîçâðàùàåò óïðàâëåíèå ïðîãðàììå-
âèðóñîíîñèòåëþ. Ò.î., âèðóñ èç òàêîé èíôèöèðîâàííîé ïðîãðàììû ìîæåò
"âûïðûãíóòü", ìîæåò "íå âûïðûãíóòü" èëè "âûïðûãíóòü" ïðè îïðåäåëåííûõ
óñëîâèÿõ, íàïðèìåð, ïðè çàäàíèè îïðåäåëåííîãî êëþ÷à â êîìàíäíîé ñòðîêå.
Äëÿ òàêèõ èíôèöèðîâàííûõ ôàéëîâ ñòåëñ-àëãîðèòì âèðóñà íå ðàáîòàåò.
Ò.ê., äëÿ ôàéëîâ èíôèöèðîâàííûõ ïåðâûì ñïîñîáîì, âèðóñ "âêëþ÷àåò"
ñòåëñ-ìåõàíèçì, òî, íàïðèìåð, ïðè àðõèâèðîâàíèè çàðàæåííûõ EXE-ôàéëîâ â
àðõèâíûõ ôàéëàõ îêàæóòñÿ óæå "çäîðîâûå" ôàéëû. Íî àâòîð âèðóñà
ïðåäóñìîòðåë è ýòîò âàðèàíò. Ïðè çàïóñêå íåêîòîðûõ àðõèâàòîðîâ (ARJ,
ZIP,..) äëÿ àðõèâàöèè ôàéëîâ âèðóñ ñîçäàåò ôàéë ñî ñëó÷àéíûì èìåíåì îò
2 äî 5 áóêâ è ðàñøèðåíèåì COM, è çàïèñûâàåò â íåãî ñâîþ ïîëèìîðôíóþ
êîïèþ.  ðåçóëüòàòå àðõèâíûé ôàéë, íàðÿäó ñ "èçëå÷åííûìè" EXE-ôàéëàìè
áóäåò ñîäåðæàòü è COM-ôàéë ñ òåëîì âèðóñà. Ïðè çàïóñêå òàêîãî ôàéëà
áóäåò âûâåäåíî ñîîáùåíèå "Abnormal program termination".Âèðóñû ñîäåðæàò
òåêñò:
The Virus/DOS 0.54 Copyright (c) 1995 Zhengxi Ltd
Warning! This program for internal use only!
Äëÿ ïîñòðàäàâøèõ îò äàííîãî âèðóñà ïðèâîæó èìÿ èõ ñîçäàòåëÿ:
Äåíèñ Ïåòðîâ 2:5030/287.14.
Zherkov.1922, 2435, 2968, 2970
Íåîïàñíûå ðåçèäåíòíûå âèðóñû. Zherkov.2345 íà êîìïüþòåðàõ ñ ïðîöåññîðîì
386 è âûøå ïûòàåòñÿ áëîêèðîâàòü îòëàäêó. Zherkov.2968,2970 ïåðèîäè÷åñêè
âûâîäÿò íà ýêðàí òåêñò:
ÜÜÜÜÜÜÜÜ ÜÜÜ ÜÜÜ ÜÜÜ ÜÜÜ
ÛÛÛ ÛÛÛ ÛÛÛ ÜÜÜÜ ÛÛÛ ÜÜÜÜÜÜÜÜÜÛÛÛÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÛÛÛÜÜ
ÛÛÛ ÛÛÛ ÜÜÜ ÜÜÜÜÜÛÛÛ ÜÜÜÜÜÜÜÜ ÛÛÛ ÜÜÜÜÜÜÜÜ ÜÜÜÜÜÜÜÜ ÛÛÛ
ÛÛÛÜÜÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ßßß ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ßßß ÛÛÛ
ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ßßßßßÛÛÛ ÛÛÛ ÛÛÛÜÜÛÛÛ ßßßßßÛÛÛ ÛÛÛ
ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÜÜÜ ÛÛÛ ÛÛÛ ÛÛÛ
ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛÜÜÛÛÛ ÛÛÛÜÜÛÛÛ ÛÛÛ ÛÛÛÜÜÛÛÛ ÛÛÛÜÜÛÛÛ ÛÛÛ
ÛÛÛßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßßß ÛÛßßßßßßßßß
ÛÛÛ ÛÛÛßÛÛÛ ÛÛÛßÛÛÛ ÛÛÛßßßß ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛ ÛÛÛßÛÛÛ
ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛßÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ Û ÛÛÛ ÛÛÛßÛÛÛ ÛÛÛÜÛÛÛ
ÛÛÛ ÛÛÛÜÛÛÛ ÛÛÛÜÛÛÛ ÛÛÛÜÛÛÛ ÛÛÛÜÛÛÛ ÛÛÛÜÛÜÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ ÛÛÛ
ÜÜÜÜÜÜÜÜÜÜÜ ÛÛÛ ÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÛÛÛ ÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜÜ
ZhugeLiang.4784, 5976
Íåîïàñíûå ðåçèäåíòíûå ïîëèìîðôíûå âèðóñû. ZhugeLiang.4784 10 èþíÿ
ïåðèîäè÷åñêè èçäàåò "ìóçûêàëüíûå" çâóêè. Íå çàðàæàþò ôàéëû: COMMAND,
IBM, TB, EMM386, SETVER, MSCDEX, CHKDSK, SCANDISK, XCOPY, BACKUP,
MSBACKUP, PKZIP, ARJ, LHA, RAR, TELIX, COMMO. Ñîäåðæàò òåêñòû:
ZhugeLiang.4784:
ZhugeLiang v1.0b Written by Zhuge Jin on May 1., 1995 .
Made in Taiwan. Today is my Birthday 64/05/01 ! Oh! Yeah!
ZhugeLiang.5976:
ZhugeLiang v2.0 by Zhuge Jin in Taipei, 1995.
Zipper.2779 (1-3)
Íåîïàñíûé ðåçèäåíòíûé âèðóñ. Ïåðâûì äåëîì ïûòàåòñÿ çàðàçèòü ôàéëû
\COMMAND.COM, \DOS\FORMAT.COM. Âíóòðè ñåáÿ ñîäåðæèò ZIP-àðõèâ ñ ôàéëîì
ZIPPER.ASM. Ïðè òðàíñëÿöèè äàííîãî èñõîäíîãî òåêñòà (ZIPPER.ASM)
ïîëó÷àåòñÿ íåîïàñíûé ðåçèäåíòíûé âèðóñ Zipper.303. Zipper.2779 ñîäåðæèò
òåêñò ">>*>> Use PKUNZIP *.EXE immediately! <<*<<".
Zmiana.1024 (1,2), 1224, 1383
Ðåçèäåíòíûå øèôðîâàííûå âèðóñû.Zmiana.1024(1) â ïÿòíèöó 13 ÷èñëà ïîðòèò
ïîñëåäíèé áàéò MBR æåñòêîãî äèñêà, â ðåçóëüòàòå ÷åãî ñèñòåìà ïåðåñòàíåò
çàãðóæàòüñÿ ñ "âèí÷åñòåðà" è óñòàíàâëèâàåò ñèñòåìíóþ äàòó íà 25 äåêàáðÿ
1994 ãîäà. Zmiana.1224 èíîãäà âûâîäèò ñîîáùåíèå:
Info: zmiana rozmiaru programu !
Znosko.509, 1311, 1372, 1380, 1418, 1730
Äàííûå âèðóñû íàçâàíû òàê ïî òîé ïðè÷èíå, ÷òî âî âñåõ èñõîäíûõ òåêñòàõ,
êîíôèñêîâàííûõ áäèòåëüíîé îáùåñòâåííîñòüþ ó àâòîðà äàííûõ âèðóñîâ,
ñîäåðæàòñÿ ñëåäóþùèå òåêñòû:
;*************** virus 'Zarina Tamara'***************
;******* created by dima znosko ******
Î÷åíü îïàñíûå íåðåçèäåíòíûå (Znosko.1730 - øèôðîâàííûé) âèðóñû.Çàðàæàþò
COM (Znosko.1730 òàêæå EXE) ôàéëû íà âñåõ äèñêàõ âî âñåõ äîñòóïíûõ
êàòàëîãàõ çà îäèí ïðîõîä. Ïðè çàðàæåíèè ôàéëîâ èñïîëüçóþò ôàéëîâûå
ôóíêöèè FCB INT 21h. Znosko.1372, 1380 ïîñëå 19 ÷èñëà ìåñÿöà ðàçðóøàþò
âñå ôàéëû íà äèñêàõ. Znosko.1311, 1418 ïîñëå 11 ÷èñëà ìåñÿöà
ïåðåèìåíîâûâàþò âñå íàéäåííûå ôàéëû â ôàéëû ñ èìåíàìè òèïà AAAAAAAA,
BAAAAAAA, BBAAAAAA,... Znosko.1372, 1380, 1418 ñîäåðæàò òåêñò "Find
FizFuck". Ýòè âèðóñû îñòàâëÿþò ìåòêó ñâîåãî ïðåáûâàíèÿ íà äèñêàõ â âèäå
ôàéëîâ IMAGE.IDX èëè WSURC.DMA â êîðíåâîì êàòàëîãå.Ïðè íàõîæäåíèè òàêèõ
ôàéëîâ íà äèñêå âèðóñû ïîâòîðíûå ïîïûòêè çàðàæåíèÿ òàêîãî äèñêà
ïðèíèìàþò çíà÷èòåëüíî ðåæå. Znosko.1730 ïûòàåòñÿ íàéòè ôàéë
C:\WIN95\WRIVDR.CNF, è åñëè íàõîäèò åãî, òî ñ÷èòûâàåò 2000 áàéò ýòîãî
ôàéëà â ïàìÿòü è îòäàåò åìó óïðàâëåíèå ïî ñìåùåíèþ 0. Znosko.1730
ïûòàåòñÿ óíè÷òîæèòü ôàéëû *.CPP, *.BAK è *.C, çàïèñûâàÿ â íèõ òåêñò
"Ñpî÷íî îápàòèòåñü ê àäìèíèñòàòîó ñåòè.". Znosko.509 âûâîäèò íà ýêðàí
òåêñò "Zarina Tamara".
Zombie.1922
Îïàñíûé ðåçèäåíòíûé çàøèôðîâàííûé âèðóñ. ßâëÿåòñÿ "ïðîäóêòîì
æèçíåäåÿòåëüíîñòè" âèðóñà Win95.Zombie. Íî â äàëüíåéøåì ìîæåò "æèòü
ñîáñòâåííîé ïîëíîöåííîé æèçíüþ". Win95.Zombie ñîçäàåò ôàéëû ZSetUP.EXE
â êîðíåâûõ êàòàëîãàõ èíôèöèðóåìûõ äèñêîâ. Ïðè çàïóñêå òàêîãî ôàéëà
ZSetUP.EXE âèðóñíûé êîä ïîëó÷àåò óïðàâëåíèå è ïûòàåòñÿ âûÿñíèòü ñìîæåò
ëè îí (âèðóñ) îòêðûòü íà çàïèñü RAM Shadow. Äàëåå ïðîèçâîäèòñÿ ïîïûòêà
íàéòè áëîê ñâîáîäíîé ïàìÿòè (íóëåâûõ áàéò) äëèíîé 2122 áàéòà â ñåãìåíòå
0C000h. Åñëè åìó ýòî íå óäàåòñÿ, òî âèðóñ âûÿñíÿåò àäðåñ ðàñïîëîæåíèÿ
ñèñòåìíîãî ôîíòà ðàçìåðîì 8x14. Åñëè äàííûé ôîíò íàõîäèòñÿ â ñåãìåíòå
0C000h, à òàêæå åñëè àäðåñ îðèãèíàëüíîãî îáðàáîò÷èêà INT 13h íàõîäèòñÿ
â ñåãìåíòå 0F000h, òî âèðóñ îòêðûâàåò RAM Shadow íà çàïèñü è çàïèñûâàåò
ñâîé êîä â îáëàñòü íóëåâûõ áàéò èëè â îáëàñòü ñèñòåìíîãî ôîíòà 8x14.
Çàòåì âèðóñ ìîäèôèöèðóåò îðèãèíàëüíûé îáðàáîò÷èê INT 13h, âíåäðÿÿ â
íåãî êîìàíäó ïåðåäà÷è óïðàâëåíèÿ íà ñîáñòâåííóþ ïðîöåäóðó. Ïîñëå ýòîãî
RAM Shadow "çàêðûâàåòñÿ" - çàïèñü â íåå ñòàíîâèòñÿ íåâîçìîæíîé. Ïðè
÷òåíèè ñåêòîðà (f.2 Int 13h) ñ íà÷àëüíîé ñèãíàòóðîé "MZ", âèðóñ
"ïåðåõâàòûâàåò" INT 21h, îáðàáîò÷èê êîòîðîãî çàðàæàåò â äàëüíåéøåì âñå
çàïóñêàåìûå èëè îòêðûâàåìûå íà ÷òåíèå èëè çàïèñü EXE-ôàéëû. Ïðè ÷òåíèè
ñåêòîðîâ, ñîäåðæàùèõ ýëåìåíòû êàòàëîãîâ èëè ôàéëîâ, âèðóñ ïðîèçâîäèò
ïîèñê ïîñëåäîâàòåëüíîñòè áàéò: ADINF, AIDS, AVP, WEB, DRWEB, °°°, CPP,
C, S-ICE, TD, DEBUG, WEB70801, CA.  ñëó÷àå íàõîæäåíèÿ òàêîâûõ âèðóñ
óñòàíàâëèâàåò â ïðî÷èòàííîì ñåêòîðå äëÿ íàéäåííîãî ýëåìåíòà ïåðâûé áàéò
0E5h - ïðèçíàê óäàëåííîãî ôàéëà è "çàáèâàåò" äàëüíåéøåå èìÿ íóëÿìè.
Òàêèì îáðàçîì, ïðè àêòèâíîì âèðóñå îïåðàöèîííàÿ ñèñòåìà íå áóäåò äàæå
ïîäîçðåâàòü î íàëè÷èè äàííûõ ôàéëîâ íà äèñêå. Âèðóñíûå îáðàáîò÷èêè INT
13h è INT 21h ïðè ïîëó÷åíèè óïðàâëåíèÿ "îòêðûâàþò" RAM Shadow,
ïðîèçâîäÿò ñâîè äåéñòâèÿ è îáðàòíî "çàêðûâàþò" RAM Shadow. Áåç
