Компьютерная вирусология ч. 1
¦ ¦ ¦ ¦ ¦18¦Insert tractor toilet paper into printer. ¦ ¦
¦ ¦ ¦ ¦ ¦F ¦Scan /D v66+ (СП 7-90) /*только удаление*/¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦* 12 Tricks ¦ ¦ ¦ ¦ ¦ ¦ ¦Проявления неизвестны ¦
¦ Trojan ¦ ¦ ¦ ¦ ¦M1¦64 02 31 94 42 01 D1 C2 4E 79 F7 ¦ ¦
¦ ¦ ¦ ¦ ¦M2¦E4 61 8A E0 0C 80 E6 61 (* версия-B*) ¦ ¦
¦ ¦ ¦ ¦ ¦C ¦64 02 31 94 42 01 D1 C2 4E 79 F7 ¦ ¦
¦ ¦ ¦ ¦ ¦F ¦Scan /D v66+ (СП 7-90) /*только удаление*/¦ ¦
ДДДДДДДДДДДДДДДДД†ДДДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
Cookie ¦RCE-nnnn ¦ ¦1¦ ¦ ¦ ¦Выдача на экран сообщения I WANT ¦
(Печенье), ¦ ¦ ¦ ¦ ¦ ¦ ¦COOKIE (я хочу печенья). Только ввод ¦
Cookie Monster¦ ¦ ¦ ¦ ¦ ¦ ¦с клавиатуры слова COOKIE позволяет ¦
(Печеньевое ¦ ¦ ¦ ¦ ¦ ¦ ¦продолжить работу с программой. Неко- ¦
Чудовище) ¦ ¦ ¦ ¦ ¦ ¦ ¦торые штаммы этого вируса стирают ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦файлы при неправильном ответе ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДДБДДДДДДДДДДБДДДБДБДБДДБДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДБДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДЩ
ПРИЛОЖЕНИЕ 4
Классификационная таблица бутовых вирусов, известных по литературе на 1.08.90
ДДДДДДДДДДДДДДДДДДВДДДДДДДДВДДДВДВДВДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДВДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД¬
¦Класси- ¦ Г ¦Р¦Д¦ Дескриптор, сигнатуры и фаги ¦ ¦
Неформальные ¦фикаци- ¦ р ¦а¦иГДДВДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ Страна и дата обнаружения, ¦
названия ¦онный ¦ у ¦с¦н¦В ¦ ¦ фамилия исследователя обнаружевшего ¦
¦код ¦ п ¦п¦а¦и ¦ Значение ¦ и изолировавшего вирус (если известны), ¦
¦вируса ¦ п ¦р¦м¦д ¦ ¦ вызываемые эффекты ¦
¦ ¦ а ¦о¦к¦ ¦ ¦ ¦
¦ ¦ ¦с¦а¦ ¦ ¦ ¦
¦ ¦ ¦т¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДДД†ДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
$ Yale (Йельский),¦ WB-hh ¦Ala¦1¦ ¦D ¦ L512 S39.8.0 ¦США(Меррит-колледж, Калифорния): 04.87 ¦
* Alameda(Аламеда), ¦ ¦ ¦ ¦DR¦u 1K ¦Первый бутовый вирус, "выжывавший" при теплой переза-¦
Merrit, ¦ ¦ ¦ ¦ ¦M ¦B4 00 CD 13 72 0D B8 01 ¦грузке. Хвост вируса состоит только из оригинального ¦
Peking (Пекин), ¦ ¦ ¦ ¦ ¦I ¦BB40008EDBA11300F7E32DE0078EC00 ¦бутсектора и записывается по абсолютному адресу ¦
Seoul (Сеул) ¦ ¦ ¦ ¦ ¦+ ¦E1F81FF56347504FF0EF87D ¦39/8/0. Если этот сектор распределен какому-нибудь ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦файлу, то содержащаяся в нем информация уничтожается.¦
¦ ¦ ¦ ¦ ¦ ¦ ¦Если нет, то при распределении оригинальный ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦(неинфицированный) бутсектор будет уничтожен и при ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦перезагрузке машина зависнет. Оригинальная версия ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦работоспособна только на PC/XT (код содержит недопус-¦
¦ ¦ ¦ ¦ ¦ ¦ ¦тимую для 80286/80386 команду) ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДДД†ДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦*# SF Virus ¦ WB-hh ¦Ala¦1¦~¦ ¦ ¦США(Калифорния): декабрь 1987 ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦Штамм вируса Alameda, имеющий фазу проявления после ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦заражения 100 дискет. При активации форматирует ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦дискету. Инфицирует только 360К дискеты. ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДДД†ДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦*# Golden Gate ¦ WB-hh ¦Ala¦1¦~¦ ¦ ¦США(Калифорния): 1988 ¦
¦ (Золотые ворота),¦ ¦ ¦ ¦ ¦ ¦ ¦Штамм вируса Alameda, имеющий фазу проявления при ¦
¦ Mazatlan, ¦ ¦ ¦ ¦ ¦ ¦ ¦достижении количества инфицированных дискет числа 500¦
¦ 500 Virus ¦ ¦ ¦ ¦ ¦ ¦ ¦Фаза проявления состоит в форматировании диска С. ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДДД†ДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
# Swap ¦ Dx1-hh ¦PP ¦1¦ ¦D ¦ L 740 ¦Израиль: август 1989 ¦
(Перестановка), ¦ ¦ ¦ ¦ ¦DR¦u 2K ¦Создает один псевдосбойный кластер на 39 треке секто-¦
$ Falling Letters ¦ ¦ ¦ ¦ ¦I ¦31C0CD13B80202B90627BA0001 ¦ра 6 и 7. Если эти сектора уже распределены, то вирус¦
Boot, ¦ ¦ ¦ ¦ ¦+ ¦BB00208EC3BB0001CD139A00010020 ¦не заражает дискету. В байтах B7h-E4h сектора 7 ¦
(Падающие буквы/ ¦ ¦ ¦ ¦ ¦M ¦CD 13 B8 02 02 B9 06 27 BA 00 01 ¦содержится сообщение T1. В зараженном бутсектора ¦
бутовый), ¦ ¦ ¦ ¦ ¦T1¦The Swapping-Virus. ¦стандартные текстовые собщения отсутствуют. ¦
* Israeli Boot, ¦ ¦ ¦ ¦ ¦ +¦ (C) June, 1989 by the CIA ¦ ¦
(Израильский ¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
бутовый), ¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДДД†ДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
* Typo ¦ Bx1-hh ¦PP ¦1¦ ¦D ¦ L512+xxx Sx1 Mn Wn ¦Израиль, июнь 1989 или конец 1988 ¦
(Опечатка), ¦ ¦ ¦ ¦ ¦DR¦u 2K ¦Израильская мутация вируса Bx1-1C(Ping-Pong). ¦
$ MisSpeller ¦ ¦ ¦ ¦ ¦M ¦24 13 55 AA ¦Вносит ошибки в данные передаваемые через параллель- ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦най порт (обычно к этому порту подключен принтер), ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦заменяя V на W, C на K, J на G и т.д. Цифры в числах ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦могут быть переставлены или заменены. ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦ ¦
ДДДДДДДДДДДДДДДДДД†ДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
* Chaos ¦ B-hh ¦ ¦1¦ ¦M ¦A1 49 43 68 41 4F 53 50 52 51 E8 ¦Великобритания (Кент): декабрь 1989 ¦
(Хаос) ¦ ¦ ¦ ¦ ¦T1¦Welcome to the New Dungeon ¦Имеющиеся сведения противоречивы. По одним вирус ¦
¦ ¦ ¦ ¦ ¦T2¦Chaos ¦повреждает файлы типа .PRT, по другим при активации ¦
¦ ¦ ¦ ¦ ¦T3¦Letz be cool guys ¦заполняет диск псевдосбойными кластерами. ¦
ДДДДДДДДДДДДДДДДДД†ДДДДДДДД†ДДД†Д†Д†ДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД†ДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДґ
¦* Korea ¦ D-hh ¦ ¦1¦ ¦M ¦8E D0 BC F0 FF FB BB 13 04 ¦Южная Корея(Сеул): март 1990 ¦
¦ (Корейский), ¦ ¦ ¦ ¦ ¦ ¦ ¦Хвост состоит из оригинального бутсектора и записыва-¦
LBC boot ¦ ¦ ¦ ¦ ¦ ¦ ¦ется в сектор 11 - последний сектор корневого катало-¦
¦ ¦ ¦ ¦ ¦ ¦ ¦га. При этом возможно затирание части каталога. ¦
¦ ¦ ¦ ¦ ¦ ¦ ¦Помимо размножения проявлений нет ¦