Компьютерная вирусология ч. 1
$ The 8 Tunes ¦ ¦ ¦ ¦ ¦M ¦33 D2 B8 00 42 CD 21 72 26 81 7C ¦резидентным начинает играть одну из восьми ¦
(8 мелодий) ¦ ¦ ¦ ¦ ¦F ¦Scan /D v66+ (СП 7-90) /*только удаление*/¦народных немецких мелодий. Затем через ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦некоторый (случайный) интервал играет другую¦
¦ ¦ ¦ ¦ ¦ ¦ ¦меловию и т.д. ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦*# Solano 2000, ¦ RC-2000 ¦Sol¦1¦ ¦D ¦Abv Se ¦США (Солано, штат Калифорния): март 1990, ¦
¦ Dyslexia 2.01 ¦ ¦ ¦ ¦ ¦M ¦12 75 0E 2E 8B 0E 03 01 ¦Edward Winters ¦
¦ ¦ ¦ ¦ ¦ ¦DR¦3K ¦После заражения выполнение некоторых програм¦
¦ ¦ ¦ ¦ ¦ ¦T ¦(((((((((((((((((((((((((((((((((((((( ¦блокируется из-за ошибок в вирусе. Заражен- ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦ная DISKCOPY при запуске выдает сообщение ¦
¦ ¦ ¦ ¦ ¦F ¦Scan /D v66+ (СП 7-90) /*только удаление*/¦ "invalid drive specification" ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦Байты 1168-1952 зараженного файла содержат ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦символ '(' (28h) ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦Возможно вирус случайным образом переставля-¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ет числовые последовательности в видеопамяти¦
¦ ¦ ¦ ¦ ¦ ¦ ¦монитора или меняет атрибуты цвета символов ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦*$ Halloechen ¦RCE-2011 ¦ ¦2¦<¦D ¦Itp-tp Se ¦Западная Германия: октябрь 1989, ¦
¦ Virus ¦ ¦ ¦ ¦ ¦M1¦8C D0 8B D4 BC 02 00 36 8B 0E ¦Christoff Fischer ¦
¦ ¦ ¦ ¦ ¦M2¦C8 E3 9F DD 9F CA 8D 6D 6E 77 ¦Заражаются файлы, имеющие год и месяц созда-¦
¦ ¦ ¦ ¦ ¦ +¦8C D0 8B D4 BC 02 00 36 8B 0E ¦ния не совадающие с текущим месяцом и годом.¦
¦ ¦ ¦ ¦ ¦ ¦ ¦При запуске зараженных файлов портится ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦содержимое буфера клавиатуры ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦*# Wolfman ¦RCE-2064 ¦ ¦ ¦ ¦D ¦ Cy ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦M ¦FB 58 44 75 04 E9 7B 01 EA CC ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
2086, ¦RCE-2086 ¦Ier¦2¦ ¦D ¦Cy Ihc-tp Mt Tosb ¦март 1988 ¦
*# Fu Manchu ¦ ¦ ¦ ¦ ¦M1¦72 45 4D 48 4F 72 ¦При каждом 16-м заражении перехватывается ¦
(Фу Манчу), ¦ ¦ ¦ ¦ ¦M2¦26 C7 06 FC 03 F3 A4 26 C6 06 ¦таймер и через случайный промежуток времени ¦
$ FU-Manchu A, ¦ ¦ ¦ ¦ ¦C ¦E1CD2180FCE1731680FC047211B4DDBF ¦на экран выдается сообщение (в теле хранится
2080 ¦ ¦ ¦ ¦ ¦I ¦8ED0BC200950B8230250CBFC062E8C062C0 ¦в перекодированном виде): ¦
¦ ¦ ¦ ¦ ¦ ¦02E8C0634002E8C0638002E8C063C008CC0 ¦ The World will hear from me again !!! ¦
¦ ¦ ¦ ¦ ¦T ¦sAXrEMHOr ¦и инициируется теплая презагрузка ¦
¦ ¦ ¦ ¦ ¦F ¦Scan /D v66+ (СП 7-90) /*только удаление*/¦(по некоторым сведениям сообщение выдается ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦при "теплой презагрузке"(CTRL-ALT-DEL) ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦После 1 августа 1989 года вирус отслеживает ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦содержимое буфера клавиатуры и добавляет ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦издевательские комментарии к именам некото- ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦вых западных политиков. Поскольку коммента- ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦рии добавляются в буфер клавиатуры они могут¦
¦ ¦ ¦ ¦ ¦ ¦ ¦попасть в редактируемый текст. ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦*# V2100, ¦RCE-2100 ¦DAv¦1¦<¦D ¦Cy Seo To ¦Болгария: июль 1990 ¦
¦ Uscan Virus ¦ ¦!!!¦ ¦ ¦DR¦u 4K ¦Более поздний штамм RCE-2000. Распространял-¦
¦ ¦ ¦ ¦ ¦ ¦DP¦2100 < LenCE ¦ся с помощью троянской версии антивирусной ¦
¦ ¦ ¦ ¦ ¦ ¦M ¦1F 75 14 8B 41 1A 8B 71 1C 2D ¦программы USCAN по некоторым европейским ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦электронным бюллетеням. При этом в самом ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦UCAN вирус был "спрятан" так, что не детек- ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦тировался контекстным поиском. Исполнение ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦вирусоносителя ведет к его инсталляции в ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦старшие адреса с уменьшением системной памя-¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ти на 4K (по типу бутвируса). В системах ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦инфицированных вирусом отмечаются ошибки при¦
¦ ¦ ¦ ¦ ¦ ¦ ¦распрделении файлов и сращивание файлов ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦*# Flip ¦RCEBP-2343¦ ¦ ¦ ¦D ¦Cy Ml To ¦Западная Германия: июль 1990 ¦
¦ ¦ ¦ ¦ ¦ ¦DR¦u3062 ¦Заражает MBR и бутсектов винчестера. Инстал-¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦лируется по типу бутвируса ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
*#$ Ghost Virus ¦ CP-2351 ¦Ven¦1¦ ¦D ¦Cy Ds62 Li ¦Исландия, сентябрь 1989, Fridric Skulason. ¦
(Привидение), ¦ ¦ ¦ ¦ ¦M1¦90 EA 59 EC 00 F0 90 90 ¦При выполнении зараженной программы вирус ¦
2351 ¦ ¦ ¦ ¦ ¦M2¦5E 81 C6 5A 04 B8 01 02 ¦ищет очередную жертву в текущем каталоге, ¦
* Ghost Versi- ¦ ¦ ¦ ¦ ¦C ¦04B44FCD217302EB9F8B847400241F3C ¦заражает ее, а затем заражает бутсектор ¦
on of DOS-62 ¦ ¦ ¦ ¦ ¦ ¦ ¦диска А бутовой троянской программой ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦аналогичной вирусу Bx1-1C (Ping-Pong), ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦лишенной способности к саморазмножению. ¦
¦ ¦ ¦ ¦ ¦F ¦Scan /D v66+ (СП 7-90) /*только удаление*/¦Уничтожает каждый 8-й заражаемый файл. ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦*# Victor ¦ RCE-2458 ¦ ! ¦2¦<¦D ¦Cy Itp-tp Se To Zo ¦СССР ??: май 1990 ¦
¦ (Виктор) ¦ ¦ ¦ ¦ ¦HR¦21 ¦Заражает примерно одну из 10 запускаемых ¦
¦ ¦ ¦ ¦ ¦ ¦DR¦h 3072 ¦файлов. Приращение по данным П.Хофман варь- ¦
¦ ¦ ¦ ¦ ¦ ¦M ¦74 26 80 FC 5B 74 21 80 FC 39 ¦ируется от 2443 до 2458 ¦
¦ ¦ ¦ ¦ ¦ ¦C ¦BBF00FCD21890E860081F9C1FE75 ¦ ¦
¦ ¦ ¦ ¦ ¦T1¦Victor V1.0 The Incredible High ¦ ¦
¦ ¦ ¦ ¦ ¦ +¦ Performance Virus ¦ ¦
¦ ¦ ¦ ¦ ¦T2¦Enhanced versions available soon. ¦ ¦
¦ ¦ ¦ ¦ ¦T3¦This program was imported from USSR. ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦Thanks to Ivan." ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦* Doom2 ¦RCE-2504 ¦ ¦ ¦ ¦D ¦Cn ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦M ¦B9 AF 04 BF 29 01 2E A0 0B 01 2E ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦* Virus-101 ¦RCE-2560 ¦Ven¦1¦ ¦D ¦An Cy Dn K11 Li Mc ¦ США(Вашингтон), конец 1989 ¦
