 Enciclopedia AVX

Mai jos aveti o lista a criteriilor de consultare dupa care pot urma
subcriterii si topice (detalii despre virusi, termeni de glosar).
RoWildList
Toti virusii
Tara de origine
Loc de rezidenta
Topul virusilor
Mod de manifestare
Caracteristici
Mod de infectare
Dimensiunea
Tinta infectiei
Glosar


 RoWildList

RoWildList este lista virusilor foarte raspanditi in Romania.
Ea poate fi consultata prin Internet in forumul de la adresa
www.softwin.ro, fiind realizata de specialisti din toata tara in
cercetarea virusilor.
Modificarile din RoWildList, februarie 1999, fata de Enciclopedia
AVX sunt descrise in fisierul "citeste.txt".
AntiCAD.3004
AntiCAD.3012
BackForm
BackFormat.2000
BadCom.600
BadSectors.3147
BadSectors.3428
Bashar.670
Better World
Boot.437
Breath.34571
Burglar
Cascade.1701
Chaos.1181.B
Datacrime.1168
Defo
Destructor
DiskBoomer.576
Dumb.4722
Equals
Green_Caterpillar.1575.A
Hare.7610
Hare.7750
Hare.7786
HTML.Prepend
Jerusalem.1808.CT.A
Junkie.1027.A
Kaczor
Leonard.1194
MultiAni
One_Half.3544
Padania
Parity_Boot.B
Plastique
Porcupine.3008
Porcupine.3012
Quicky
Rabbit
Ripper
Sampo
Stoned.Empire.Monkey
Stoned.I
Stoned.Kiev
Stoned.Michelangelo
Tentacle
Tequila
Triple_Five.556
W95.CIH
WM.Appder
WM.CAP
WM.Colors.A
WM.Concept
WM.Inexist
WM.Johnny.A
WM.MDMA
WM.Npad
WM.Wazzu.A
WM.Wazzu.C
WM.Wazzu.X
XM.Laroux
Zipper


 AntiCAD.3004

Virusul produce efecte sonore.
Virusul verifica daca este rezident inmemorie daca AX=5678h
Dimensiunea memoriei ocupate:
3248 o.
Virusul verifica daca este rezident inmemorie daca AX=5678h
Spatiul ocupat pe disc:
3004 o.
Virusul verifica daca este rezident inmemorie daca AX=5678h
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
08
09
13
21
Efecte distructive:
Contine cod care ar putea sterge fisiere.
Comentarii:
Virusul infecteaza cind fisierele sint executate. Sterge atributele fisierelor. Virusul pentru a putea actiona , caculatorul gazda trebuie sa aiba instalat DOS versiunea 2 sau mai mult.


 AntiCAD.3012

Virusul produce efecte sonore.
La fiecare 4.5 minute produce un zgomot.
Spatiul ocupat pe disc:
3012 o.
La fiecare 4.5 minute produce un zgomot.
Originea geografica:
Taiwan
Data aparitiei: Iulie 1991
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Efecte distructive:
Supra-scrie cu gunoi in driver-ele A si B, pe toate pistele capului 0. Deasemenea pe primul si al doilea disc de pe hard sint supra-scrise cu "gunoi" toate capetele si toate pistele.
Conditii de declansare a efectelor distructive:
Virusul actioneaza cind este executat programul AUTOCAD.
Comentarii:
Este rezident in memorie.


 BackForm

Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Comentarii:
Nu este rezident in memorie.


 BackFormat.2000

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 BadCom.600

Spatiul ocupat pe disc:
600 o.
Mesaje afisate de virus:
Uneori afiseaza mesajul: "Text:Bad COM format."
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Nu este rezident in memorie. Infecteaza direct , un fisier o singura data. A fost raportat pentru prima oara la 21 Martie 1996.


 BadSectors.3147

Pseudonime:
Bad Sectors-3147
BadSec.3147
Spatiul ocupat pe disc:
3147 o.
Originea geografica:
Romania
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Comentarii:
Virusul este rezident in memorie. Cind este in memorie, virusul ascunde lungimea fisierelor infectate. El marcheaza sectoare de disc ca fiind defecte, micsorind astfel capacitatea discului. Cind se boot-eaza de pe o discheta sau un hard disc infectat, virusul va activa in memorie. Infecteaza boot-ul hard discului, deci este un virus multiinfector. Nu este criptat. Contine un "payload", care se activeaza intimplator sau intr-un moment predeterminat.


 BadSectors.3428

Spatiul ocupat pe disc:
3428 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Comentarii:
Virusul este rezident in memorie. Foloseste tehnici de ascundere.


 Bashar.670

Pseudonime:
Uruguay 3/4/5
Uruguay
Bashar Teg
Spatiul ocupat pe disc:
670 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Comentarii:
Virusul poate infecta fisierele care se transfera intr-o retea. Cind un program infectat este lansat virusul va infecta imediat alte fisiere. Nu foloseste tehnici de ascundere. Nu este criptat. Virusul nu poate sa faca altceva decit sa se inmulteasca.


 Better World

Pseudonime:
Fellowship
Spatiul ocupat pe disc:
1019 o.
Mesaje neafisate dar continute de corpul virusului:
"This message is dedicated to all fellow PC usurs on Earth Towards A Better Tomorrow And A Better Place To Live In."
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Efecte distructive:
Virusul poate sa supra-scrie sfirsitul fisierului original.
Comentarii:
Virusul este rezident in memorie. Numele lui deriva din textul care il contine.


 Boot.437

Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
Acest pattern va localiza virusul atat pe hatd si floppy discuri, cat si in memorie.
Dimensiunea memoriei ocupate:
1 ko.
Acest pattern va localiza virusul atat pe hatd si floppy discuri, cat si in memorie.
Spatiul ocupat pe disc:
437 o.
Acest pattern va localiza virusul atat pe hatd si floppy discuri, cat si in memorie.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 1/0/3 pe un floppy de 360 KO.
- Pista/capul/sectorul 1/0/5 pe un floppy de 720 KO.
- Pista/capul/sectorul 1/0/13 pe un floppy de 1.2 MO.
- Pista/capul/sectorul 1/0/17 pe un floppy de 1.44 MO.
ntreruperi interceptate:
13
Efecte distructive:
Nu se manifesta distructiv.
Modul de autodetectare a virusului pe disc:
Sase bytes aflati la offset-ul 100h, din sector, sunt comparati cu codul virusului.
Comentarii:
Dupa cum arata WildList, Boot.437 este un virus reusit. Codul sau, desi eficient, demonstreaza ineficiente care pot indica o perioada de invatare din partea autorului. Virusul nu poarta cu sine nici un fel de trigger sau 'payload', multumindu-se doar sa infecteze si sa replice. Eliminare virusului: pentru hard disc, se face FDISK/MBR; pentru dischete, salvarea oricaror fisiere necesare (care nu vor fi afectate de virus), apoi formatare.


 Breath.34571

Pseudonime:
Breath-3457
Spatiul ocupat pe disc:
3457 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Romania
Mesaje neafisate dar continute de corpul virusului:
"TBMEMXXXTBCHKXXXTBDSKXXXTBFILXXXVDS TB RAV SCAN F-FP CLEAN MSAV NOD VS GUARD AVIX V3 *.COM *.EXE ANTIVIR.DAT CHKLIST.MS Starting MS-DOS... Ce e aia, MS.DOS ? Apasati tasta ANY Now is time to Breath.2 ! (DCB-1997-Romania, NOT Bulgaria ! ) Stay cool, nothing goona hapen, just breath ! ".
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul este rezident in memorie, si va infecta orice fisier COM sau EXE care este accesat. Nu foloseste tehnici de ascundere dar este greu de depistat pentru ca este polimorfic. Dezinfectia fisierelor infectate este imposibila. La data de 7 August, virusul rescrie tabela de partitii cu o instructiune care face saltul la rutinele POST din memoria ROM (care efectueaza verificarea anumitor componente la pornirea calculatorului).


 Burglar

Virusul produce efecte vizuale.
NB: acest virus este polimorfic, fara nici un fel de pattern hexa in cadrul fisierelor.
Virusul produce blocaje ale PC-ului.
Virusul modifica data si ora fisierelor infectate.
NB: acest virus este polimorfic, fara nici un fel de pattern hexa in cadrul fisierelor.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
NB: acest virus este polimorfic, fara nici un fel de pattern hexa in cadrul fisierelor.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3260 o.
NB: acest virus este polimorfic, fara nici un fel de pattern hexa in cadrul fisierelor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
NB: acest virus este polimorfic, fara nici un fel de pattern hexa in cadrul fisierelor.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Una dintre problemele cele mai dificile in razboiul impotriva virusilor este polimorfismul. Se cunoaste foarte bine ca task-ul, pentru a adapta un scanner antivirus cu scopul de a detecta noii virusi polimorfici, este foarte complex; cu mult mai complicat decat adaptarea scanner-ului la detectarea a zeci de noi virusi nepolimorfici. Insa cum virusii polimorfici continua sa tot vina, folosind noi motoare, aducand noi probleme. Ultimul din aceasta secventa este Burglar. Burglar este primul (si pentru moment, singurul) care sa folosesca PME - 'Phantasie Mutation Engine'. Acest motor contine urmatorul text intern:

PME v1.01 (C ) Feb 1995 By Burglar

Aceasta conduce la un singur lucru, faptul ca atat virusul cat si motorul au fost scrise de una si aceeasi persoana. Din punct de vedere tehnic, motorul nu aduce nici un fel de surprize. El genereaza o simpla bucla de decriptare (XOR).
Mesaje afisate de virus:
Hello! This is [Super Virus-2] ... written by Burglar in Taipei, Taiwan ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
ntreruperi interceptate:
21
03
Virusul intercepteaza Int 21h pentru a infecta fisierele. Obtine si salveaza vectorul Int 13h, folosind aceasta valoare in rutina de infectare. In functie de data sistem, virusul intercepteaza si Int 08h (timer-ul) pentru rutina trigger.
Conditii de declansare a infectarii:
In zilele in care data este egala cu numarul lunii (1 ianuarie, 2 Februarie...), virusul intercepteaza Int 08h si afiseaza un mesaj care clipeste, in partea de sus a ecranului. Exista un bug: virusul suprascrie adresa originala a handler-ului Int 08h, in timpul infectiei urmatorului fisier si, ca rezultat, calculatorul se blocheaza.
Modul de autodetectare a virusului in memorie:
Virusul returneaza DCBAh in registrul AX ca raspuns la apelul 'Are you there?' (Int 21h, AX=ABCDh).
Modul de autodetectare a virusului pe disc:
Adauga 100 ani la marcajul pentru data al fisierului.
Comentarii:
Burglar foloseste o metoda neobisnuita pentru a face ca sistemul sa para necorupt: el suprascrie handler-ul Int 21h cu primii 10 bytes din doua instructiuni FAR JMP. In mod uzual, virusii folosesc metoda 'restore/overwrite-back' pentru a impacheta handler-ele in timpul instalarii. Apoi, ei receptioneaza controlul din codul impachetat inainte de a reveni la handler-ul original. In continuare, virusii suprascriu din nou aceeasi bytes din handler si iau controlul la urmatorul apel al intreruperii. Burglar nu restaureaza codul pentru Int 21h atunci cand revine in handler-ul original. El foloseste o alta metoda: inainte de impachetare, virusul copiaza bytes-ii suprascrisi in codul handler-ului Int 21h al virusului. La apeluri Int 21h, virusul executa acest cod in handler-ul sau si trece controlul codului original Int21h. Eliminare: in conditii de sistem, curat, se identifica si se inlocuiesc fisierele infectate.


 Cascade.1701

Pseudonime:
1701
1701-A
Austrian 2
Blackjack
Falling letters
Falling Tears
Fall
Autumn Leaves
Second Austrian
Autumn
Waterfall
Russian
Hailstorm
Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
1701 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Originea geografica:
Germany
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Se adauga la fisierele COM de mica dimensiune - 3bytes, si la COMMAND.COM. Nu intentioneaza sa infecteze masinile care au mesajul de copyright IBM, dar bug-urile continute in cod fac ca testul de copyright sa esueze, nefunctionand corespunzator.
Raspandirea virusului:
Foarte raspandit.
Efecte nedistructive:
Efectele nu sunt pagubitoare, si nu foarte evidente, ca urmare este dificil de detectat. Dar, poate provoca probleme in retelele Novell. Virusul original a fost proiectat astfel incat sa evite infectarea IBM PC-urilor adevarate ("true-blue").
Modul de autodetectare a virusului in memorie:
Valoarea FFh din registrul AL returneaza valoarea 55AAh in registrul DI atunci cand functia DOS 4Bh este apelata; (aceasta nu va provoca probleme in retelele Novell).
Modul de autodetectare a virusului pe disc:
Virusul verifica primii trei bytes ai fisierului pentru instructiunea "branch" pe care virusul o va plasa acolo daca fisierul era infectat. (Din moment ce aceasta infectie depinde atat de lungimea programului cat si de cea a virusului, cele doua variante ale acestuia - 1701 si 1704 - nu se vor recunoaste unul pe altul, astfel Şincat ambele variante ar putea infecta acelasi fisier in acelasi timp.)
Comentarii:
Simptome: Daca luna sistemului este cuprinsa intre 1 Octombrie si 31 Decembrie, si anul sistem este fie 1980, fie 1988, iar utilizatorul detine un adaptor CGA sau VGA, se va activa un display cascada, la intervale aleatoare, dar nu mai mult de un minut. In unele variante ulterioare ale produsului, orice luna si an vor fi pe placul sau. Display-ul cascada consta in caractere "cazatoare" pe coloana caracterelor, oprindu-se sa se "odihneasca" langa primul caracter intalnit in acea coloana. Daca sunt lasate neperturbate, toate caracterele de pe ecran se vor acumula sub forma unui munte la baza ecranului. Se va putea auzi si un click de la speaker, de fiecare data cand caracterul "loveste" baza ecranului. Prima data cand se afiseaza ceva, virusul actioneaza pe o coloana; mai tarziu, la fiecare afisare consecutiva, numarul de coloane afectate este multiplicat printr-un numar aleator, cuprins intre 1 si 3, pana cand este implicat, eventual, tot ecranul. Virusul se raspandeste bine deoarece aceste simptome nu sunt afisate in mod normal. Intreruperi utilizate: INT 10, 21/00, 21/25, 21/2A, 21/30, 21/35, 21/3D, 21/3E, 21/3F, 21/40, 21/4200, 21/4301, 21/4202, 21/43, 21/48, 21/49, 21/4B, 21/50, 21/57. Propagare: Virusul infecteaza la INT 21/4B. El se ataseaza la sfarsitul fisierelor COM. Primii trei bytes ai programului sunt stocati in virus si inlocuiti printr-o instrunctiune branch la inceputul virusului. De notat ca activarea se produce la un moment aleator dupa infectare - la maximum de cinci minute.


 Chaos.1181.B

Pseudonime:
Spyer
Faust
Chaos
Spyer
Chaos-1181
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Se crede a ca a fost atasat la software-ul importat din Hong Kong, desi infectia ar fi putut surveni dupa importare.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Dimensiunea memoriei ocupate:
1184 o.
Se crede a ca a fost atasat la software-ul importat din Hong Kong, desi infectia ar fi putut surveni dupa importare.
Originea geografica:
Honk Kong
Se crede a ca a fost atasat la software-ul importat din Hong Kong, desi infectia ar fi putut surveni dupa importare.
Mesaje afisate de virus:
"Chaos!!! Another Masterpiece of Faust..." ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Infecteaza fisierele COM (dar nu si COMMAND.COM) si cele EXE la apelul functiei Load-and-Execute.

Regiunea geografica: England ; la data: 1/7/91
ntreruperi interceptate:
09
13
21
24
Efecte distructive:
Pagubele sunt substantiale: scrie pe disc un garbage aleator, la locatii alese aleator. Virusul testeaza sa vada daca exista fisiere EXE pentru a le infecta, uitandu-se dupa valori identice pentru prima si ultima litera a extensiei; totusi, ne putem astepta la probleme pentru fisierele avand extensia SYS. Omniprezenta codului virusului poate indica date corupte care n-ar mai putea fi reparate.
Modul de autodetectare a virusului in memorie:
O valoare 0E7h, plasata in registrul AH, returneaza o valoare 7Bh in registrul AH daca este lansata o cerere de intrerupere 21h.
Modul de autodetectare a virusului pe disc:
Cuvantul aflat la offset-ul 41 (zecimal) de la sfarsitul fisierului este verificat pentru a detecta o infectie precedenta; (aceasta este valoarea-cuvant care va fi decrementata cu 4 la fiecare instalare efectuata in intervalul 25-31 Decembrie inclusiv, iar acest proces de decrementare este ratiunea infectarii multiple din acea saptamana, atat timp cat semnatura virusului se tot schimba.)
Comentarii:
Mesajul text encriptat este decriptat si afisa, daca sunt indeplinite urmatoarele conditii: (1) ziua din (fiecare) luna este a 13-a si (2) au fost introduse 100 de tastari, iar (3a) cererea de acces la disc (orice apel la INT 13h) este intre 247h si 256h, in timpul dintre lunile Ianuarie pana in Iulie (inclusiv), sau (3b) cererea de acces la disc este intre a 2-a si a 5-a zi, in timpul lunilor Angust pana in Noiembrie (inclusiv). Dupa mesaj, calculatorul se blocheaza. In intervalul 25-31 Decembrie inclusiv, din fiecare an, semnatura de autoidentificare este modificata de fiecare datş, la fiecare instalare a virusului, rezultand o infectie multipla a fisierelor tinta din timpul acelei saptamani. Pe 1 Ianuarie, cea mai recenta semnatura devine cea folosita anterior lui 25 Decembrie. Atributele fisierelor sunt colectate, stocate si resetate pentru a permite scrierea.


 Datacrime.1168

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1168 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
'DATACRIME VIRUS' 'RELEASED: 1 MARCH 1989' ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Comentarii:
Virusul apare ca atasandu-se la sfarsitul fisierelor COM, care cresc in lungime cu 1168 bytes. Primii trei bytes ai programului sunt stocati in virus si inlocuiti printr-un salt la inceputul virusului. Virusul va cauta prin intreaga structura a directoarelor de pe discuri, in ordinea C, D, A, B, dupa un fisier COM, altul decat COMMAND.COM. De asemenea, va ignora fisierul COM care are a saptea litera din nume D. Daca data este 12 Octombrie a fiecarui an, virusul va afisa mesajul: 'DATACRIME VIRUS' 'RELEASED: 1 MARCH 1989'.


 Defo

Pseudonime:
FD622
Mesaje afisate de virus:
Uneori afiseaza masajul: 'Runtime error'
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Defo este un virus tipic care infecteaza sectorul de boot. A fost raportat ca fiind in libertate in 1996.


 Destructor

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1150 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Mesaje neafisate dar continute de corpul virusului:
DESTRUCTOR V4.00 © 1990 by
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DiskBoomer.576

Pseudonime:
Diskboomer-576
Baron.576
Dboom576
Spatiul ocupat pe disc:
576 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Romania
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
In fiecare zi de 17, indiferent de luna, virusul suprascrie discul C cu codul sau, si va aparea un mesaj de copyright.
Comentarii:
Nu foloseste tehnici de ascundere. Nu este criptat.


 Dumb.4722

Pseudonime:
Dumb-4722
Spatiul ocupat pe disc:
4722 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Comentarii:
Este rezident in memorie. Nu prezinta un "payload" ci doar se inmulteste. Este greu de depistat deoarece este polimorfic. Pentru a scapa de virus, fisierele infectate trebuiesc sterse, apoi reinstalate.


 Equals

Pseudonime:
Supervisor-1448
Supervisor.1448
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1448 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Nu foloseste tehnici de ascundere.


 Green_Caterpillar.1575.A

Pseudonime:
1575
Virusul produce efecte vizuale.
Este rezident
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / 4Ch
Conditii de declansare a infectarii:
Cind un fisier care a fost infectat mai mult de doua luni este executat, COMMAND. COM este deja infectat iar acolo se afla o copie a virusului rezident in memorie.
Comentarii:
Virusul blocheaza functiile de cautare de fisiere din DOS, si infecteaza fisierele cind este folosita comanda DIR din DOS. Fisierele infectate sint determinate de virus sa nu mai functioneze normal.


 Hare.7610

Pseudonime:
Krsna
HDEuthanasia
Virusul produce blocaje ale PC-ului.
Campul secundelor din marca de timp este setat la valoarea 34.
Virusul modifica data si ora fisierelor infectate.
Campul secundelor din marca de timp este setat la valoarea 34.
Virusul este prost scris (are erori).
Dimensiunea memoriei ocupate:
9 ko.
Campul secundelor din marca de timp este setat la valoarea 34.
Spatiul ocupat pe disc:
7610 o.
Campul secundelor din marca de timp este setat la valoarea 34.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Rutinele de criptare polimorfice folosesc date aleatoare pentru a creea header-ul catorva instante ale virusului: consecutiv, replicile lui Hare create pe un PC vor avea bucle de criptare similare. Datorita unui bug, efectul nu este tocmai ceea ce a dorit/intentionat autorul virusului, insa buclele polimorfice vor varia totusi.
Mesaje afisate de virus:
"HDEusthanasia" by Demon Emperor: Hare Krasna, here, here... ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Virusul nu infecteaza fisierele al caror nume se potriveste cu pattern-urile TB*.*, F-*.*, IV*.*, CH*.* sau COMMAND*.* si nici pe cele al caror nume contine litera V.
Raspandirea virusului:
Virus comun.
ntreruperi interceptate:
13
16
1B
1C
21
24
28
Conditii de declansare a infectarii:
Pe data de 22 August/Septembrie imprima mesaje si incearca sa stearga discurile cu date nesemnificative (gunoaie).
Modul de autodetectare a virusului in memorie:
Int 13h , AX=5445h, se asteapta sa returneze AX=4554h. Int 21h, AX=FE23h, se asteapta sa returneze AX=000Dh.
Modul de autodetectare a virusului pe disc:
Cuvantul aflat la offset-ul 102h din BS, minus cel aflat la offset-ul 100h trebuie sa dea valoarea CCFFh.
Comentarii:
Hare este un virus multi-partitie; este lent-polimorfic si contine rutine de anti-debugging. Este criptat atat in cadrul fisierelor, cat si al sectoarelor de boot infectate (Virusii care se autoencripteaza in sectorul de boot sunt deja uzuali). Pentru moment, Hare este unul dintre cei mai lungi virusi non-Windows, dintre cei care circula. In ciuda catorva tehnici noi si interesante, afisate de Hare.7610, virusul poseda ceva bug-uri. In general, este instabil, iar replicile sale nu se vor executa intotdeauna corespunzator (aceasta include si infectiile MBR), ducand la blocarea masinii. De asemenea, trigger-ul distructiv esueaza adesea. Totusi, este de considerat/retinut faptul ca virusul Hare circula in natura si se raspandeste. Astfel, el a fost depistat in Canada, Russia, Netheland, Switzerland, UK si USA: se pare ca atingerea unei distribuiri atat de intinse s-a realizat prin Internet. Nota: Au fost descoperite doua variante ale virusului Hare.7610 si anume: Hare.7750 si Hare.7786. Pe masura ce bug-ul se fixeaza, variantele vor modifica aleator (la una din saisprezece boot-ari ale sistemului) sectorul de date. Aceasta inseamna ca algoritmul polimorfic se va schimba periodic pe orice calculator dat. Hare.7750 a fost distribuit via unor grupuri Usenet: alt.cracks, alt.crackers. alt.sex si alt.comp.shareware. Eliminarea virusului: se identifica si se inlocuiesc fisierele infectate. Se formateaza dischetele infectate. Se inlocuieste MBR-ul dard discului cu o copie curata (FDISK /MBR nu trebuie folosit, pentru ca discul va deveni neboot-abil).


 Hare.7750

Dimensiunea memoriei ocupate:
7750 o.
Mesaje afisate de virus:
In data de 22 August si 22 Septembrie afiseaza mesajul: 'HDEuthanasia-v2 by Demon Emperor: Hare Krsna, hare, hare. '
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- Infecteaza MBR-ul de pe hard disc.
Efecte distructive:
Modifica unele sectoare de pe harddisc.
Comentarii:
Este un virus multiinfector,rezident in memorie. Foloseste tehnici de ascundere si este polimorf. Se poate feri de unii antivirusi. Distrugerile provocate pot face sistemul neboot-abil.


 Hare.7786

Dimensiunea memoriei ocupate:
7786 o.
Originea geografica:
Slovenia
Mesaje afisate de virus:
In data de 22 August si 22 Septembrie afiseaza mesajul:' "HD Euthanasia-v3" by Demon Emperor: Hare , Krsna, hare hare,… '
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
Comentarii:
Este un virus multiinfector. Este rezident in memorie, se ascunde,este polimorfic si se fereste de antivirusi.


 HTML.Prepend

Pseudonime:
HTML.Internal
Spatiul ocupat pe disc:
1670 o.
Comentarii:
Este un virus de Visual Basic Script care infecteaza HTM si HTML. Virusul infecteaza un sistem daca are instalat Internet Explorer 4.0 (sau mai mult). Virusul nu poate infecta doar deschizind o pagina HTML. Pentru ca virusul sa actioneze , aceasta pagina trebuie salvata si incarcata loca cu un browser care "cunoaste" Visual Basic Script cu setarile de securitate dezactivate. Virusul va infecta local , cu o probabilitate de 1 la 6 fiecare fisier HTM sau HTML din directorul curent sau directorul parinte. Nu infectaza in directorul radacina. Verifica daca URL-ul fisierului incepe cu "file:<< Spatiul ocupat pe disc:
473 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Raspandirea virusului:
Rapoarte nesemnificative.
Comentarii:
Identificatori asignati de diverse scanner-e: Cheyenne: ZU1
ESaSS: Hungarian.473
Frisk: Hungarian.473
H+BEDV: Hungarian-482 (B)
McAfee: ZU1 [ZU1]
NORMAN: Hungarian 473
S&S: Hungarian-473 Eicar ID: bd53642c
Replicare: apare ca infectand atunci cand fisierele sunt incarcate si executate. Muta pointerul de fisiere. Citeste fisiere. Scrie in fisiere. Inchide fisierele. Obtine si seteaza atributele. Obtine data fisierului. Simptome: scrie caractere in mod TTY, efectele ar putea fi activate in functie de data. Verifica daca data este 0 Iunie. De retinut: Acces dubios la fisiere. Alocare suspicioasa a memoriei. Programul foloseste o modalitate nestandard de cautare si/sau alocare a memoriei. Programul intercepteaza incarcarea de software, pentru infectare. Acceseaza discul in scriere. Programul scrie pe disc fara a folosi DOS. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Foloseste apel intrerupere DOS nedocumentat. Face determinare EXE/COM. Programul verifica daca fisierul este EXE sau COM, avand nevoie de aceasta pentru a infecta programul. Revine in punctul de intrare. Contine cod pentru a restarta programul dupa ce modificarile din punctul de intrare au fost efectuate. Deci, caracteritici uzuale ale virusilor.


 Jerusalem.1808.CT.A

Pseudonime:
Jerusalem.1808
JERU-A
Captain Trip
Dimensiunea memoriei ocupate:
1792 o.
Spatiul ocupat pe disc:
1808 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21
08
Efecte distructive:
Virusul contine cod care poate sterge fisiere.
Comentarii:
Virusul infectaza cind fisierele sint incarcata si executate. Poate infecta fisiere care sint in executie din orice director. Distruge atributele dar nu si cele 'read-only'. Este un infector rapid. Ca virusul sa actioneze , sistemul trebuie sa aiba instalat Dos 2 sau mai mult. Este rezident in memorie. Este polimorfic.


 Junkie.1027.A

Pseudonime:
Junkie
JUNKIE.A
Dimensiunea memoriei ocupate:
2256 o.
Spatiul ocupat pe disc:
2000 o.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
ntreruperi interceptate:
08
10
21
Efecte distructive:
Nu se manifesta distructiv.
Conditii de declansare a infectarii:
Nu are conditii de declansare a infectiei.
Comentarii:
Junkie este un virus rezonabil cu infectie multipla asupra fisierelor COM, MBR-urilor de pe hard disc si sectoarelor de boot de pe floppy disc.Virusul devine rezident numai cind calculatorul este pornit de pe un sector de boot. In forma Com actioneaza numai ca dropper pentru forma MBR nefacind nimic altceva. Pe hard disc doua extra sectoare de cod sint stocate pe prima pista iar pe floppy disc sint puse la sfirsitul acesteia si nefiind protejat se pot scrie date peste acestea. Codul virusului este criptata intr-o forma primara. Junkie infecteaza orice fisier COM atunci cind este deschis sau executat.Daca un scanner de virusi nu a gasit Junkie, atunci el ar putea infecta toate fisierele COM ale sistemului. Oricum acest virus este prea batrin si nu mai reprezinta o problema reala. Mai exista o serie de variante care sint periculoase si pot duce chiar la formatarea hard discului. Modifica anul fisierului infectat astfel anul devine 20nn. Este rezident in memorie. Verifica rezidenta punind valoarea 0C0h in registrul ah, dupa care apeleaza INT 21h. Virusul este rezident daca registrul ax=1234h.


 Kaczor

Pseudonime:
Pieck.4444
Catzar
Virusul produce efecte vizuale.
In a treia zi din Martie, ecranul va avea un tremurat rapid.
Originea geografica:
Polonia
Mesaje afisate de virus:
Cind este tastat cuvintul "kaczor" virusul dezinfecteaza MBR-ul si afiseaza textul: ' Zrobione. '. Daca se tasteaza cuvintul "test" va afisa mesajul: ' Wersja Kodowanie Licznik HD '
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Kaczor este un multiinfector care infecteaza MBR-ul si fisierele cind sint rulate. Dupa o noua boot-are va rezida in memorie de unde va infecta orice fisier EXE care este accesat sau executat. Daca un fisier EXE este accesat de pe hard disc atunci virusul il va dezinfecta. Sint unele probleme cu fisierele infectate de pe un floppy 3.5".


 Leonard.1194

Pseudonime:
Leonard-1194
Leon.1194
Leonard.GR
Spatiul ocupat pe disc:
1194 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Este rezident in memorie. Cind un un fisier infectat este lansat, virusul se va instala in sistemul de operare, de unde va infecta orice fisier care se executa sau care este accesat. Nu foloseste tehnici de ascundere si nu este criptat.


 MultiAni

Pseudonime:
La multi ani
Originea geografica:
Romania
Mesaje afisate de virus:
In luna Decembrie, la un moment dat afiseaza: 'La multi ani La multi ani La multi ani'
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
Efecte distructive:
Distrugerile nu sint asa de grave, remedierea constind doar in refacerea sectorului de boot.
Comentarii:
Virusul functioneaza numai pe un sistem cu DOS 5 pina la 6.22 sau Windows 95 respectiv NT. Cind virusul se afla intr-un sistem care are instalat DOS, va putea sa se raspindeasca mai departe dar in celelalte cazuri 'NU'. Sectorul de boot infectat se poate reface prin comanda: "SYS C:"(pentru cazul cind este instalat DOS). Cind este instalat Windows, se salveaza MS DOS dupa care se aplica comanda "SYS C:". Cind este instalat Windows NT se recomanda un antivirus.


 One_Half.3544

Pseudonime:
One Half
OneHalf.3544
ONE HALF
Mesaje afisate de virus:
Poate sa afiseze mesaj sau sa produca unele efecte vizuale.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Efecte distructive:
Virusul face calculatorul sa ruleze mai incet si va produce distrugeri (medii) asupra programelor.
Comentarii:
Virusul infecteaza fisierele cind sint incarcate si executate. Suprascrie fisierele si creaza un fisier de 262621 bytes. Virusul contine cod care il face sa nu devina o tinta pentru scanner-ele de virusi. Poate sa adauge un numar variabil de bytes la fisierul infectat.


 Padania

Mesaje neafisate dar continute de corpul virusului:
“Padania_Libera”
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Padania este un virus nedaunator, rezident tn memorie. El se agata tn memoria Windows, legându-se de chemarile IFS si API ale sistemului si interceptând fisierele EXE la deschidere. Un scurt cod de intrare al virusului este scris tn antetul fisierului PE. Virusul infecteaza fisierele tn doua moduri, tn functie de structura fisierului. Daca ultima parte a fisierului este partea de relocari “reloc”, virusul doar suprascrie aceasta parte (sectiune numita Padania) si sterge informatia de relocare din antetul PE. În celalalt caz virusul adauga o noua parte la sfârsitul fisierului, rescirindu-si codul tn acest loc. Ppentru a prelua controlul atunci când fisierul infectat este executat, virusul utilizeaza doua tehnici: fie modifica adresa de autostart a programului, fie ataseaza codului programului instructiunea JMP_Virus. În cel din urma caz virusul nu primeste controlul imediat ce programul infectat este rulat, ci numai când partea atasata a programului primeste controlul (ceva tn genul virusilor EPO, virusi de obturare a punctului de intrare). Un element important este faptul ca virusul nu se manifesta tn nici un fel, ci doar contine sirurile de caractere “Padania_Libera”


 Parity_Boot.B

Mesaje afisate de virus:
Dupa aproximativ o ora de la boot-are virusul va afisa mesajul: "PARITY CHECK", dupa care sistemul se opreste.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
Comentarii:
Cind sistemul se boot-eaza de pe o discheta infectata virusul se va incarca in memorie si va infecta hard discul respectiv dischetele care vor fi folosite ulterior. Virusul a aparut in Decembrie 1995. Este rezident in memorie.


 Plastique

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4096 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Porcupine.3008

Mesaje afisate de virus:
" For cryin'out loud ! My circuits are haunted by the ghost of a porcupine "
Mesaje neafisate dar continute de corpul virusului:
" FARSIDE virus 1.00 © Windom Earle ROMANIA "
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Comentarii:
Este un virus simplu care infecteaza EXE si COM. Este rezident in memorie.


 Porcupine.3012

Mesaje afisate de virus:
" This program has been infected with a nondestructive virus ! For antivirus call (034).32.09.87 (with CHRIS)
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.


 Quicky

Spatiul ocupat pe disc:
1376 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AX
13
Efecte distructive:
Distrugerile sint minore. Ar putea fi mai mari insa sint unele defecte in virus care nu permit acest lucru.
Comentarii:
Virusul infecteaza fisierele in momentul cind sint inchise, exceptie facind fisierele protejate la scriere. Verifica daca este rezident in memorie astfel: pune valoarea C000h in registrul AX si daca se returneaza valoarea 76F3h inseamna ca este rezident, daca "NU" va va rezida. Tehnica de ascundere nu este deosebita.


 Rabbit

Spatiul ocupat pe disc:
546 o.
Comentarii:
Acesti virusi infecteaza Windows 95, Windows 98 si Windows NT dar ce trebuie mentionat este ca ei contin nucleul unui virus multiplatforma, ceea ce inseamna ca in viitor va fi posibil ca acesti virusi sa reuseasca sa se raspindeasca si sub alte sisteme de operare. Cea mai periculoasa trasatura a virusului de script este capacitatea de a se raspindi pe Internet, de vreme ce multe browser-re moderne executa scripturile infectate pe calculatoarele din retea (chiar daca aceste scripturi sint pe server-ul de web). Rabbit in cele trei versiuni (A,B siC) este un virus simplu care suprascrie toate scripturile din catalogul de cache al browser-ului local si le copiaza pe desk-topurile calculatorului, de vreme ce directorul implicit este chiar desk-topul calculatorului. Cind se intimpla acest lucru, desktop-ul se umple cu icon-uri de la scripturile infectate, facind vizibila prezenta virusului. Aceasta tehnica nu este noua, ea a fost prima oara folosita la virusi de UNIX, la sfirsitul anilor '80. Cei mai cunoscuti astfel de virusi au fost "Christmas Tree", "HI.Com" si "Wank Worm". Variantele A si B ale virusului sint mai simple. Creaza fisierul "The CodeBreakers.URL". In data de 15 a fiecarei luni va incerca sa faca o conectare la adresa http:<< Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8444 o.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.


 Ripper

Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.


 Sampo

Dimensiunea memoriei ocupate:
6 ko.
Aparitie: 1991
Originea geografica:
Filipine, Manila
Aparitie: 1991
Mesaje neafisate dar continute de corpul virusului:
SAMPO "Project X", Copyright © 1991 by the SAMPO X-Team. All rights reserved. University Of The East Manila.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
Efecte distructive:
Cind se incearca distrugerea virusului Telefonica.A.
Modul de autodetectare a virusului in memorie:
Compara 27 bytes din cod cu continutul memoriei superioare.
Comentarii:
Virusul este rezident in memorie. Este ascuns pe hard disc dar nu si pe discheta. Verifica daca este tastat Ctrl-Alt-Del si simuleaza reboot-area, virusul raminind astfel rezident. In data de 30 Noiembrie, la aproximativ 2 ore de la pornirea calculatorului afiseaza un mesaj (criptat) care este decriptat caracter cu caracter. Daca incearca sa infecteze o discheta protejata la scriere, Sampo decripteaza o imagine a virusului Telefonica.A, pe care i-l contine in codul sau. Astfel operatorul va fi informat ca sectorul de boot al dischetei este infectat de Telefonica.A, cind de fapt acesta este curat. Cind utilizatorul face o copie a sectorului de boot a unei dischete protejate la scriere pe un calculator infectat sau cind doar se foloseste un program ca DISKCOPY, atunci sectorul de boot a copiei va fi infectat cu Telefonica.A.


 Stoned.Empire.Monkey

Pseudonime:
Monkey
Spatiul ocupat pe disc:
512 o.
Originea geografica:
Edmonton, Canada
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Este un virus clasic de boot. Este rezident in memorie. In memoria "Top" (640K) va ocupa 1K. In mod normal cind se verifica dimensiunea acesteia, prin comanda DOS CHKDSK sau MEM, calculatorul va raspunde 639K, pentru ca 1K este folosit in problemele interne, astfel cind sistemul este infectat raspunsul poate fi 639K sau 638K. Virusul nu a fost facut sa distruga date. El scrie la intimplare zonele de pe disc non-DOS.


 Stoned.I

Pseudonime:
NYB
B1
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Dimensiunea memoriei ocupate:
1 ko.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Stoed.I este un virus de boot. Sistemul este infectat cind se boot-eaza de pe o discheta infectata. Odata instalat , virusul va infecta orice discheta curata care nu este protejata la scriere. Cind un floppy disc este accesat sint sanse de 1/512 ca virusul sa fie activat.


 Stoned.Kiev

Pseudonime:
Kiev
Epbr
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Este rezident in memorie. Sistemul infectat cu acest virus va raporta cu 2K mai putina memorie. Virusul infecteaza boot-ul hardului, iar o copie a zonei in care se instaleaza virusul este incarcata la locatia cilindru 0, fata 0, sector 06.


 Stoned.Michelangelo

Pseudonime:
Michelangelo
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
1 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/7 pe un hard disc.
- Pista/capul/sectorul 0/1/3 pe un floppy de 360 KO.
- Pista/capul/sectorul 0/1/14
Raspandirea virusului:
Virus comun. Regiunea geografica: South Africa ; la data: 8/16/93
ntreruperi interceptate:
13
Efecte distructive:
Suprascrierea hard discului de la 0/0/1 la 255/3/17.
Conditii de declansare a efectelor distructive:
Date = 06th March
Conditii de declansare a infectarii:
Int 13h
Modul de autodetectare a virusului pe disc:
(M,F)BR[0..3] = E9h ACh 00h F5h
Comentarii:
Cu adevarat raspandit; virusul loveste serios, in fiecare an si asta de mai bine de cativa ani deja. Michelangelo s-a nascut langa Florenta, la 6 Martie 1475. Selectarea numelui lui nu a fost prea inspirata/fericita, dat fiind faptul ca virusul este extrem de popular prin media - un exemplu este si lucrarea lui P.D. Ducklin, prezentata&publicata cu ocazia Conferintei EICAR, Decembrie 1992, tinuta la Munich. De notat faptul ca paguba este realizata prin apelui INT 13h, facuta la momentul boot-ului, catre real-mode BIOS. Daca se intampla ca masina infectata sa execute ceva de genul OS/2, Unix sau Novell, ei bine... este foarte rau!


 Tentacle

Mesaje afisate de virus:
Uneori cind este apelata o icoana aceasta devine o imagine cu textul "Tentacle".
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Efecte distructive:
Unele programe nu mai pot sa ruleze dupa infectie.
Comentarii:
Este un virus de fisier. A fost semnalat pentru prima oara in libertate in martie 1996 in Franta si Marea Britanie. Virusul infecteaza fisierele EXE din Windows 3.1x din directorul curent. Nu este rezident in memorie.


 Tequila

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
3 ko.
Spatiul ocupat pe disc:
2468 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 11
21 / 12
13 / 02
13 / 03
Modul de penetrare a virusului:
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor. ; numarul de octeti constanti din decriptor este 2
Mesaje afisate de virus:
"Welcome to T.TEQUILA's latest production.

Contact T.TEQUILA/P.o.Box 543/6312 St'hausen/Switzerland

Loving thoughts to L.I.N.D.A

BEER and TEQUILA forever ! "

"Execute: mov ax, FE03 / int 21. Key to go on!" ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
Ultimele 6 sectoare ale primei partitii DOS descrise in tabela de partitii MBR.
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: South Africa ; la data: 9/16/93
ntreruperi interceptate:
13
1C
21 / 11
21 / 12
21 / FE02
21 / FE03
24
Efecte nedistructive:
Afisarea unor fractali pe ecran, mesajul text din partea autorilor.
Conditii de declansare a efectelor nedistructive:
Executarea programului infectat in aceeasi zi a lunii in care s-a produs infectia, dar ceva mai tarziu 3 sau mai multe luni dupa.
Efecte colaterale:
Virusul distruge ultimele 6 sectoare ale primei partitii DOS din tabela de partitii.
Conditii de declansare a infectarii:
FindFirstFCB, FindNextFCB
Citerii de infectare: Filetype = EXE,
EXEloadSize = EXEfileSize,
"SC" necontinut in Filename,
"V" necontinut in Filename
Modul de autodetectare a virusului in memorie:
INT 21h/AX=FE02h -> AX=01FDh
Modul de autodetectare a virusului pe disc:
file[12h..13h] {checksum} -- este unul din seturile de 32 de valori posibile.
Comentarii:
Tequila ar putea fi descris ca o actiune de cercetare anti-virus. Contine o gramada de "caracteristici". Tequila detine tehnici de armare relativ slabe: codul de decriptare este deopotriva si cheia de decriptare; setarea unui breakpoint in afara decriptarii esueaza deoarece instructiunea breakpoint devine alterata; setarea din cadrul decriptorului inainte de returnarea controlului catre codul decriptor provoaca erori in decriptare. Tequil este un virus bipartitie, adica infecteaza atat MBR cat si fisiere EXE; el foloseste trasarea pentru a gasi punctul de intrare INT 13h; el este ascuns/furisat (stealth), pentru a ascunde atat inregistrarea partitiei infectate, cat si cresterea in dimensiune a fisierelor .EXE; el este polimofic atunci cand infecteaza fisierele (dar nu este polimorfic cand infeteaza MBR). Una din rutinele sale de pagube transitorii are rolul de a calcula si afisa fractalul de joasa rezolutie. Afisarea fractalului este realizata atunci cand un program infectat este executat dupa cel putin trei luni dupa ce a fost infectat, in aceeasi zi din luna in care s-a produs infectarea. Trei luni mai tarziu, fractalul va apare la terminarea programului. Fisierele care contin in numele lor caracterele "SC" sau "V" sunt lasate deoparte; fisierele care sunt tratate cu o anumita rutina de autoverificare la integritate, au autoverificarea stricata. Atunci cand infecteaza MBR-ul, Tequila cauta tabela de partitii MBR a primei partitii DOS. Dimensiunea acestei partitii este redusa cu 6 sectoare, iar aceste 6 sectoare sunt folosite ca spatiu de ascundere de catre virus. Orice exista anterior in aceste sectoare este pierdut iremediabil. Tequila marcheaza indicatia temporala a fisierelor infectate cu o valoare 62 plasata in campul secundelor. Aceasta informatie este folosita de rutina de ascundere pentru a decide, in timpul cautari directorului cu FindFirstMBC/FindNextMCB, atunci cand extrage 2468bytes din dimensiunea raportata a fisierului. Totusi, nu se realizeaza nici un fel de ascundere in timpul accesului la fisiere. Mai mult, virusul furnizeaza si un apel de intrerupere care-l va instrui pentru a se descrie pe sine. Astfel, un INT 21h, AX=FF03h va produce mesajul "T.TEQUILA" afisat. Autorul sau autorii acestui virus trebuie sa fi fost relativ tineri. "*No-one* can drink Beer and Tequila forever!"


 Triple_Five.556

Pseudonime:
Triple Five.556
T555-556
Triple_5
Triple5.556
Anthrax*
Tripl-556
Spatiul ocupat pe disc:
556 o.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Nu se manifesta distructv.
Comentarii:
Virusul este un infector rapid. Infecteaza numai in directorul curent. Nu modifica atributele fisierelor si nu poate infecta fisierele marcate 'read only'. Virusul este criptat astfel doua copii ale sale sint 4% identice. A fost semnalat pentru prima oara la 8 Ianuarie 1998.


 W95.CIH

Pseudonime:
Win95.CIH
CIH
W95.CIH
W95/CIH.1003
WIN95:CIH 1.x
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Efecte distructive:
In data de 26 Aprilie poate sa determine pierderea drive-lor de pe hard.
Conditii de declansare a infectarii:
Se declanseaza in ziua de 26 Aprilie, unele variante pe 26 Iunie sau in ziua de 26 ale unei luni.
Comentarii:
Virusul infecteaza Fisierele executabile din Windows 95. Cind un program infectat este rulat virusul va rezida in memorie. Are dimensiune de ~1K. Fisierele infectate au aceesi lungime cu cele originale pentru ca virusul verifica locurile goale din fisier dupa care se "sparge" si se instaleaza in aceste locuri. Incearca sa supra scrie FlashBIOS-ul si apoi supra scrie hard discul. Virusul CIH reprezinta un nou tip de amanintare. Fiind capabil sa supra scrie BIOS-ul unor calculatoare, acesta va necesita schimbarea chip-ului BIOS


 WM.Appder

Pseudonime:
Word97Macro/Appder
W97M.Appder
W97M/Appder
Comentarii:
Este un virus de Word. Nu foloseste mecanisme de ascundere. In cele mai multe cazuri , fisierele infectate pot fi recuperate. Cind documentul infectat este deschis pentru a 20-a oara, unele variante ale virusului va sterge : C:\DOC\*.EXE, C:\DOC\*.COM , C:\WINDOWS\*.EXE , C:\INDOWS\SYSTEM\*.TTF si C:\WINDOWS\SYSTEM\*.FOT.


 WM.CAP

Pseudonime:
CAP
WinWord.CAP
WM/Cap
WM/CAP.A
Mesaje neafisate dar continute de corpul virusului:
'C.A.P: Un virus social..y ahora digital.. "j4cKy Qw3rTy" (jqw3rty@hotmail.com). Venezuela, Maracay, Dic 1996. P.D. Que haces gochito ? Nunca seras Simon Bolivar..Bolsa ! '
Comentarii:
Este un virus de macro alcatuit din 10 macro-uri: CAP, AutoExec, AutoOpen, FileOpen, FileSave, AutoClose, FileClose, FileSaveAs, ToolsMacro, FileTemplates (aproximativ 215 linii si 3926 de caractere.). Macro-ul CAP include cod care il face sa se fereasca de erori. Seteaza optiunile pentru salvarea documentelor. Face sa nu mai apara unele meniuri din Word. Pentru a le reface trebuie sters Normal.dot. Celelalte macro-uri ale virusului apeleaza CAP. Exceptie face ToolsMacro si FileTemplates care ascunde meniul [Macro…] din [Tools] menu cind un fisier infectat este incarcat , prevenind situatia ca utilizatorul sa poata vedea macrou-rile virusului.


 WM.Concept

Pseudonime:
MW:Concept
WM/Concept
Winword.Concept
CONCEPT
Macro.Word.Concept
WordMacro/Concept
Comentarii:
Este un virus de Word, alcatuit din 5 macro-uri: AAAZAO, AAAZFS, AutoOpen, FileSaveAs si PayLoad. Este primul virus multi-platform. A aparut in Iuluie 1995. Functioneaza pe sisteme care are instalat MicosoftWord pentru Windows 6.x, 7.x, 95 si NT. Deasemena functioneaza pe un Word pentru Macintosh 6.x. Virusul se executa de fiecare data cind documentul infectat este deschis si va infecta NORMAL.DOT. Daca virusul gaseste vreun macro PayLoad sau FileSave As i-si opreste actiunea. Daca "NU", va infecta si va afisa o fereastra care contine numarul "1" si "OK". Acest fenomen se va intimpla doar la infectia initiala. Vor fi infectate ulterior toate documentele create cu "SaveAs". Macro-ul PayLoad contine textul: " Sub MAIN REM That's enough to prove my poin End Sub ". Prezenta virusului poate fi dovedita cu ajutorul comenzii Macro din meniu. Daca exista un macro cu numele AAAZFS atunci virusul este prezent in sistem. Ca o masura de prevenire (inainte de o ipotetica infectie) se creaza un macro cu numele PayLoad. Cind virusul va incerca sa infecteze , considera sistemul deja infectat, dar aceasta reprezinta o solutie provizorie.


 WM.Inexist

Pseudonime:
MW:Inexist-A:Fr
WordMacro/Inexist.A
WM/Inexist.a
Winword.Fraissn
Macro.Word.Inexist
Mesaje neafisate dar continute de corpul virusului:
'Warning, don't change anything.'
Comentarii:
Inexist este un simplu virus de macro care actioneaza numai in varianta franceza a Word-ului. Are un numar de 3 macro-uri: AutoOpen, FichierEnregistrer, FichierEnregistrerSous. Sistemul este infectat cind este deschis un document care contine virusul, iar documentele sint infectate cind sint salvate.


 WM.Johnny.A

Pseudonime:
Maccro.Word.Johny.A
Winword.Johny
WM/Johny.A
JOHNNY.A
Johnny
WordMacro/Boom
Comentarii:
Este un virus de Word, alcatuit din 6 macro-uri: AutoOpen, Presentv, Presentw, Presntz, AutoClose, vGojohnny. Marimea macrourilor este 3393 Bytes in fisierele .doc si 4955 Bytes in global template. A aparut in Ianuarie 1996. Cind fisierul contaminat este deschis, virusul va infecta NORMAL.DOT, de unde va infecta documentele salvate cu "FileSave" sau "FileSaveAs". Johnny creaza un nou document cu urmatorul continut; "NAIPESVOH REHM" dupa care afiseaza un mesaj in status bar; "Starting Autosave". Pentru aputea fi descoperi mai greu virusul dezactiveaza intrebarea Word-ului care este pusa inaintea salvarii unui document in Normal.Dot .


 WM.MDMA

Pseudonime:
MDMA
Winword.MDMA
WordMacro.MDMA
WinWord.Mdma
Mesaje afisate de virus:
' You are infected with MDMA_DMV. Brought to you by MDMA (Many Deliquent Modern Anarchists) '
Efecte distructive:
In prima zi a fiecarei luni, pe un sistem cu WinNT instalat va sterge toate fisierele din directorul curent si fisierul c:\shmk. Intr-un sistem cu Windows 3.1 virusul va sterge fisierul c:\shmk si va suprascrie C:\AUTOEXEC.BAT cu urmatoarele ; @echo off: deltree /y c: ; @echo You have just been phucked over by a virus . Pentru Windows95, virusul sterge fisierele c:\shmk, c:\windows\*.hlp, si c:windows\system\*.clp si activeaza in Registry Stickykeys si HighContrast. Dezactiveaza login scripts pentru intrarea in retea.
Comentarii:
Este un virus de word, alcatuit dintr-un singur macro, AutoClose. Are 94 de linii si 2271 de caractere. A aparut in Februarie 1997.


 WM.Npad

Pseudonime:
Npad
Winword.Npad
NPAD
MW:Npad-A
Originea geografica:
Indonesia
Aparitie: a fost semnalat pentru prima oara la 20 Decembrie 1996.
Mesaje afisate de virus:
Dupa un numar de 23 de multiplicari afiseaza textul: 'D0EUNPAD94, v.2.21, © Maret 1996, Bandung,Indonesia Macro MsWord virus, multiplatform, multi versi '
Comentarii:
Npad este un virus de Word, alcatuit dintr-un singur macro (AutoOpen) cu aproximativ 92 de linii si 2106 de caractere. Este independent de versiunea dupa limba a Word-ului. Macro-ul AutoOpen este criptat si nu poate fi vazut cu meniul Tools/Macro. Se pare ca a fost scris de acelasi autor care a scris virusul Bandung. Include cod care il face sa se fereasca de erori. Virusul infecteaza de fiecare data cind este deschis un document cu AutoOpen.


 WM.Wazzu.A

Pseudonime:
Wazzu
WinWord.Wazzu
WORD.WAZZU
MW:Wazzu-A
Originea geografica:
U.S.A.
Aparitie: 6 August 1996
Comentarii:
Este un virus de Word care infecteaza Microsoft Word Templates. Este alcatuit dintr-un singur macro si are dimensiunea de 631 bytes. Cind un template infectat este deschis virusul copiaza de obicei macro-ul in NORMAL.DOT. Astfel orice document deschis va fi infectat. Cind se deschide un document sint 3 din 5 sanse ca un cuvint (la intimplare) sa fie mutat in alta parte in respectivul document. De asemenea cu sanse 1/4 cuvintul "word" va fi introdus in acel document intr-un loc intimplator.


 WM.Wazzu.C

Pseudonime:
WAZZU
Wazzu.C
WinWord.Wazzu
WordMacro/Wazzu
Comentarii:
Este un virus de Word, alcatuit dintr-un singur macro, AutoOpen care are 31 de linii si 694 de caractere. Se poate manifesta in versiunile Word din toate limbile. A fost semnalat prima oara in libertate in primavara din 1996 in SUA. Virusul modifica continutul documentului infectat, deplasind unele cuvinte si inserind textul "wazzu". Acest cuvint este porecla universitatii Washington State University.


 WM.Wazzu.X

Pseudonime:
MW:Wazzu-X
WM/Wazzu.X
WordMacro/Wazzu.X
Wazzu.X
Macro.Word.Wazzu.X
Winword.Wazzu-X
Wazzu.X
Mesaje neafisate dar continute de corpul virusului:
" The Meat Grinder virus - Thanks to Kermit the Frog, and kermit the Protocol ".
Comentarii:
Este un virus de Word alcatuit dintr-un singur macro, AutoOpen care are in jur de 29 de linii si 801 de caractere. A aparut in Februarie 1997. Infecteaza de fiecare data cind se deschide un document cu AutoOpen. Virusul contine cod care il face sa fie operational in orice versiune de limba a Word-ului. Deasemenea poate evita erorile care ar putea datorita prezentei sale.


 XM.Laroux

Pseudonime:
ExcelMacro/Laroux
Excel.Laroux
PLDT
Comentarii:
Virusul Laroux a aparut in Iulie 1996, la un an dupa aparitia primului virus de Word. A fost scris in limbajul Visual Basic. Este capabil se opereze in Excel, versiunile 5.x si 7.x sub Windows 3.x, Windows 95 si Windows NT. Poate de asemenea opera in versiunile Excel-ului din germana si franceza. Virusul nu poate opera in Excel pentru Macintosh sau Excel 3.x sau 4.x pentru Windows. Virusul este alcatuit din doua macro-uri, auto_open si check_files. Macro-ul auto_open se executa de fiecare data cind o pagina infectata este deschisa, urmat de executia macro-ului check_files care determina calea de start a Excel-ului. Daca nici un fisier in calea de start nu are numele PERSONAL.XLS, atunci virusul va crea unul, care va contine un modul numit "laroux". PERSONAL.XLS este numele dat implicit fisierelor din Excel. Astfel pot exista fisiere cu acest nume chiar daca sistemul nu este infectat de Laroux. Calea de start este setata implicit \MSOFFICE\EXCEL\XLSTART dar poate fi schimbata din meniul Tools/Options/General/Alternate Startup File. Se vor semnala erori cind virusul incearca sa infecteze documente protejate la scriere. Acest virus nu este distructiv si nu contine cod care sa determine un anume tip de manifestare.


 Zipper

Dimensiunea memoriei ocupate:
2779 o.
Mesaje neafisate dar continute de corpul virusului:
'Dec 3 92 is my 20th birthday (V6) '
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul a aparut in 1992. Este rezident in memorie. Foloseste unle tehnici de ascundere si are un polimorfism slab.


 Toti virusii

_1885
_613
_667
04h.609
04h.635
10past3
10past3.b
17 Decembrie
2up.6000
33.525
3APA3A.a
3APA3A.b
3tunes.1784
3Y.853
4on.1346
4res
5lo.1024
66c.612
7son.284
7son.332
7son.334
7son.350
84
8888
8ball
8tunes
92_69.1148
99percents
A&A
Abal.758
Abba.9849
Abbas.1320
ABC
ABC.2378
ABCD
Abraxas-3
Abraxas.1170
Abraxas.1171
Abraxas.1200
Abraxas.1214
Abraxas.1304
Abraxas.Cleton.1508
Abraxas.Cleton.1518
Abraxas_II.1520
Abraxas_II.2011
Acapulco.1971
Accept.3619
Accept.3773
Ache.338
Ache.352
Acme
ACV.1342
Acvt.1243
Ada.2600
Adin.1488
Adin.3026
Adolf.475
Adrenalin.571
Advent.2764
Advent.3551
Advent.Cookie.2232
AE-BUG
AEP.626
Agena.723
Agiplan.1536
Ahasverus.1244
Aids Information Kit Trojan
Aids.552
Aids.872
AIDS_II
Aircop
Aiw.572
AJ.391
Akuku-649
Akuku.1111
Akuku.649
Akuku.886
Alabama
Alameda.A
Albania.429
Albania.506
Albania.575
Albania.606
Albanian.1991
Alex
Alex&Solo.512
Alex.368
ALEX.599
Alex.818
Alfons.1344
Algerian.1400
Alia.1023
Alia.8087
Alia.Prodigy
Alien-3
Alien.1356
Alien.1976
All.1818
Alpha.4000
Alpha743
Am.604
Am.743
AM_II.1281
AM97/Accessiv
Aman.10716
AmazonQueen.468
AmazonQueen.479
AmazonQueen.500
Ambulance
Ambulance.795
Ambulance.796
AMILIA
Amoeba.1392
Amoeba.2367
AMSV.443
Amt.3000
Amt.4000
Amz.1110
Amz.600
Amz.682
Amz.789
Amz.801
Anarchy.2048
Anarchy.9382
Anarchy.9594
Ancient
Andreev.805
Andrew.634
Andromada
ANDROMEDA.1024a
ANDROMEDA.1024b
ANDROMEDA.1024c
Andromeda.1140
ANDROMEDA.1536a
ANDROMEDA.1536b
ANDROMEDA.725
ANDROMEDA.758
ANDROMEDA.800
Andryushka.3536
Andryushka.3568
Angarsk
Angarsk.238
Angel.1000
Angelina
Annyit.656
ANSI bomb generator Trojan
Ansi.881
Ansibomb
Anthrax
Antibase.1900
AntiCAD.3004
AntiCAD.3012
Anticmos.A
AntiEXE
AntiGUS.1570
Antimit.770
Antimon.1450
AntiPascal.400
AntiPascal.407
AntiPascal.440
AntiPascal.480
AntiPascal.529
AntiPascal.605
ANTIPRINT
AntiSabados.815
ANTISCAN. 814
Antiscan.508
AntiTrace.2122
AntiTurbo.A
Ap.272
Apocalipse.1685
Apparition.254
Apparition.700
Appelscha.2161
April1st.AntiD
April1st.COM
April1st.COM.1000
April1st.COM.941
April1st.EXE
Arab.834
Aragorn.1522
Arale.1526
Arara.1038
Arara.1375
ARCV-9
Arcv.1060
Arcv.1072
Arcv.1172
Arcv.1208
Arcv.335
Arcv.475
Arcv.541
Arcv.562
Arcv.570
Arcv.571
Arcv.639
Arcv.657
Arcv.664
Arcv.670
Arcv.679
Arcv.693
Arcv.718
Arcv.745
Arcv.773
Arcv.795
Arcv.795.b
Arcv.826
Arcv.827
Arcv.839
Arcv.916
Arcv.916.b
Arcv.965
Arcv.986
Arcv.Alpha.743
Arcv.Anna.742
Arcv.Anna.745
Arcv.Benoit
Arcv.Dennis.874
Arcv.Dennis.897
Arcv.Ice.159
Arcv.Ice.199
Arcv.Ice.224
Arcv.Ice.250
Arcv.Ice.330
Arcv.Ice.642
Arcv.Ice.678
Arcv.Joanna.911
Arcv.Joanna.912
Arcv.Mcwhale
Arcv.More.649
Arcv.Zaphod.399
Are_There
Areopag.480
Argentina.1206
Argentina.1249
Ari.1962
ARIANA
Arianna.2864
Arianna.3375
Arianna.3426
ArjVirus
ARKA
Armagedon.1074
Armagedon.1079.F
Arriba.1590
Arusiek.817
Asexual
Ash.270
Ash.280
Ash.712
Ash.737
Ash.743
Ash.817
Ash.Pizza.1602
Ash.Pizza.1604
Ash.Riot.441
Ash.Riot.449
Ash.Riot.451
Asmodeous.1160
Asmodeous.1343
Asmodeous.1833
Asp.472
Asp.633
Assassin.4834
Assassin_II.959
Astra.472
Astra.498
Astra.510
Astra.521
Astra.7821
Astra_II.1010
Astra_II.1556
Astra_II.505
Astra_II.882
Astra_II.927
Astra_II.976
Atas.1268
Atas.3215
Atas.3233
Atas.3321
Atas.384
Atas.400
Athens 1561
Athens.1463
Athens.1510
Athens.1561
Atomant.2143
Atomic.232
Atomic.350
Atomic.371
Atomic.480
Atomic.831
Attention.393
Attention.629
Aurea.653
Aurea.768
Australian.1014
Australian.1024
Australian.1024.b
Australian.1033
Australian.1035
Australian.1135
Australian.1149
Australian.1179
Australian.118
Australian.122
Australian.142
Australian.143
Australian.147
Australian.150
Australian.153
Australian.162
Australian.187
Australian.205
Australian.213
Australian.215
Australian.217
Australian.221
Australian.229
Australian.231
Australian.268
Australian.273
Australian.306
Australian.338
Australian.369
Australian.369b
Australian.377
Australian.424
Australian.440
Australian.482
Australian.543
Australian.550
Australian.615
Australian.635
Australian.673
Australian.714
Australian.726
Australian.784
Australian.819
Australian.AIH.352
Australian.AIH.588
Australian.AIH.591
Australian.AIH.762
Australian.AIH.972
Australian.Comic.1068
Australian.Demo.3896
Australian.Judy.1050
Australian.Kuang.718
Australian.Lipo.290
Australian.Little.152
Australian.Little.153
Australian.Little.155
Australian.Middle.1041
Australian.Middle.1169
Australian.Middle.491
Australian.Oil.579
Australian.SDir.550
Australian.Twelve.279
Australian.Twelve.284
Australian.Twelve.297
Australian.Twelve.305
Australian.Twelve.306
Australian.Twelve.310
Australian.Twelve.312
Australian.Twelve.315
Australian.Twelve.320
AV_CK.508
Ava.550
Ava.600
Avalanche.2818
Avalanche.2831
Avatar.Acid.670
Avatar.Acid.674
Avatar.BigBang
Avatar.Dichotomy.863
Avatar.K-rad.561
Avispa.2048
Avv.1667
Avv.2300
Aztech.1200
Azusa
B3
Baba.350
Baba.353
Baba.356
Bach.498
Backfont.1172
Backfont.765
Backfont.821
Backfont.896
Backfont.900
Backfont.905
BackForm
BackFormat.2000
BackFormat.2345
Backtime.1234
Backtime.496
Backtime.512
Backtime.528
Bad.389
Badboy.1000
Badboy.1001
Badboy.1074
Badboy.991
Badboy.Lubec
Badboy.MadSatan
Badboy.Riot.1049
Badboy.Riot.1054
BadCom.600
BadCommand.967
Badguy.208
Badguy.265
BadSector.3422
BadSector.3428
BadSectors.3147
BadSectors.3428
Bailey.270
Bailey.334
Bailey.380
Bait.425
Ball.691
Bamestra
Banana
Bandersnatch
Baph.1536
Barcelona
Barrotes.1194
Barrotes.1310
Barrotes.840
Barrotes.849
Barrotes.Tecla.1303
Barrotos.1310
Basedrop
Bashar.670
Basilisk.1639
Bastard.1979
Bat.282
Bat.Naive.4894
Bat.Pot
Bat.Skul
Bat.Winstart
Bat.Xop
Bat.Zep
Bat.Zop_b
Bat2Exec.1644
Batman.186
BatVir94
Beaches.1091
Beast
Beast-II
Beavis.671
Bebe.1004
Bebe.486
Beda.1301
Beda.1530
Beda.883
BedBug.1160
Beep.2000
Beer
Beer.2473
Beer.2620
Beer.2794
Beer.2850
Beer.2984
Beer.3164
Beer.3192
Beer.3307
Beer.3399
Beer.3490
Beer.645
Beethoven
Beijing
Belorussia.459
Bengal.1170
Bengal.846
Bengal.863
Benoit
Berserker.3537
Berserker.3561
Bert
BestWishes.1024
BestWishes.970
BetaBoys.441
BetaBoys.450
BetaBoys.457
BetaBoys.459
BetaBoys.538
BetaBoys.575
BetaBoys.615
Better World
Beware.442
BFD
BFD-B
BigMouse.1007
BigMouse.900
BigMouse.998
BigV.1441
BillBoard.835
Billy.836
Bios.2048
Bishop.2855
Bishop.4517
BIT_ADDICT
BitAddict.1175
BitAddict.1190
BitAddict.1458
BitAddict.1459
BitAddict.1601
BitAddict.477
BitAddict.512.a
BitAddict.512.b
BitAddict.979
Bizarre.2716
Black.1000
Blackjec.230
Blackjec.231
Blackjec.232
Blackjec.235
Blackjec.236
Blackjec.246
Blackjec.247
Blackjec.252
Blackjec.256
Blackjec.267
Blackjec.272
Blackjec.276
Blackjec.281
Blackjec.284
Blackjec.287
Blackjec.292
Blackjec.300
Blackjec.301
Blackjec.307
Blackjec.358
Blackjec.363
Blackjec.369
Blackjec.374
Blackjec.378
Blackjec.427
Blackjec.440
Blackjec.441
Blackmonday
BlackWind
Blah.3379
Blah.3385
Blava.787
Blaze.284
Blink.501
Blinker.512
Bljec
Bljec-1
Blood.418
Bloodlust
Bloodlust.302
BLOODY-WARRIO
BloodyWarrior
BlueNine.925
Bob
Bob.718
Bobas.754
Bobo.1355
Bobo.1363
Bobo.427
Bobo.530
Bog.233
BOGUS
Bolek.1326
Bomb.1942
Bomber
Bonny.1000
Boobs.4461
BOOJUM
Boot-c
Boot.437
Bootache.2048
BootCOM.357
BootCOM.512
BootCOM.Peanut.443
BootCOM.Peanut.444
BootCOM.Peanut.445
BootCOM.PureText
BootEXE.331
BootEXE.443
BootEXE.451
BootEXE.452
BootEXE.Stalker.310
BootEXE.Stalker.320
Bops.900
Border.781
Bow
Boxes.1086
BOYS
Boys.500
Boza
BRAIN2
Bravo!.502
Breath.34571
Breeder.5152
Broadcast.1987
BrokenHeart.445
Brother-2
Brother_300
Brothers.2045
Bruces.417
Bryansk.673
Bua
Bubonic.2181
Budo.1000
Budo.890
BuenDia.816
Bug.1497
Bug.920
Bung 142
Bupt
Bupt_9146
Burger.1310
Burger.382
Burger.398
Burger.405
Burger.498
Burger.505
Burger.509
Burger.512
Burger.536
Burger.560
Burger.Pirates.609
BURGER_560-8
Burglar
Burglar.1150.A
Burma.409
Burma.442
Burma.563
Burma.756
Butt.461
BWME.Diease.989
BWME.FMS.1001
BWME.SnowBird
BWME.Test.1287
BWME.Twelve.1378
Byway
C0m.263
C1992.1536
CANNA615
Cannibal.1312
Cantando.857
Caos.716
Capicua.511
Cara
Cara.1024
Carbuncl
Carbuncle.621
Carbuncle.622
Career.446
Career.697
Carioca.951
Cartier.1056
Cas-927
Cascade.1491
Cascade.1621
Cascade.1661
Cascade.1699
Cascade.1701
Cascade.1702
Cascade.1704
Cascade.1706
Cascade.691
Cascade.792
Cascade.927
Casino.2330
CASTEGGI
Caterpillar
Catholic.1129
Catphish.701
Caz.1159
CAZ.1159.b
Caz.1204
CCBB.1410
CCBB.2221
CCC.381
CCCP.510
Cd.2161
CeCe.1994
CeCe.1998
Cerberus.1533
Cfsk.918
CGA Driver Trojan
Cha.2391
Chad.751
Chameleon.1231
Chameleon.1246
Chameleon.1256
Chameleon.1260
Chameleon.1639
Chameleon.1840
Chameleon.1948
Chameleon.Casper.1190
Chameleon.Casper.1200
Chameleon.Casper.1440
Chang.1759
Chaos.1181
Chaos.1181.B
Chaos.1241
ChaosYears.1837
ChaosYears.2005
Chcc.2662
ChDir.422
ChDir.523
CheckSum.1232
CheckSum.1233
CheckSum.1569
CheckSum.3022
Cheeba.1683
Cheeba.1691
Chemist.265
Cheval
Chill.544
China.1831
ChineFish
Chinese_Fish
Chips.877
Cholera.1497
Chris.463
Christ.483
Christmas.1539
Christmas.1694
Christmas.600
Christmas.868
Chukcha.554
Chukcha.838
CIBERTECH
Cinderella.390
Cinderella.779
Cinderella.B
Cinderella_II
Civil.6656
Civil.6672
Civilwar.126
Civilwar.144
Civilwar.158
Civilwar.166
Civilwar.212
Civilwar.213
Civilwar.244
Civilwar.245
Civilwar.281
Civilwar.282
Civilwar.351
Civilwar.444
Civilwar.580
Civilwar.599
Civilwar.602
Civilwar.611
Civilwar.631
Civilwar.901
Civilwar.Antidaf.561
Civilwar.Dad.503
Civilwar.Insane.186
Civilwar.Insane.197
Civilwar.IronButterfly
Civilwar.Rabbit.292
Civilwar.Ratboy.269
Civilwar.Ratboy.289
Civilwar.Ratboy.303
Civilwar.Ratboy.306
Civilwar.Ratboy.513
Civilwar.Ratboy.545
Civilwar.Ratboy.671
Cj.304
CK
Cli&Hlt.1345
Clinton.654
CLME.Ming.1528
CLME.Ming.1952
Clock.A
Clone.546
Clone.833
Close.656
Close.960
Cls.853
CMDR
CNTV
Cobra.400
Codewar.2048
Codezero.576
Coffee Shop 3
CoffeeShop
Coffeeshop.1568
Coito.644
COL_MAC
Collor.878
Commy.1014
Como.1786
Como.2019
Companion.100
Companion.101
Companion.131
Companion.228
Companion.246
Companion.247
Companion.261
Companion.3351
Companion.83
Companion.85
Companion.87
Companion.8736
Companion.88
Companion.89
Companion.92
Companion.923
Companion.AIH.823
Companion.FlyV.633
Companion.Gif.681
Companion.Gif.685
Companion.TrekWar.547
Compat
Comsysexe.2711
Comsysexe.2954
Comsysexe.8045
COMVIRUS 1.0
Comvirus.321
Congratilations
Cookie.653
Cookie.722
CopCom.286
CopCom.287
CopyProtected
CorporateLife.1929
CorporateLife.1937
Cossiga.859
Cossiga.883
Costeau.512
CPSU.2535
Cpw.1459
Cpw.1527
Cracky.546
Cracky.596
Crash.543
Crash.600
Crawly.6624
Crazy Boot
Crazy.1402
Crazy.1445
Crazy_Nine
CrazyEddie
CrazyFrog.1477
CrazyPriest
Crepate.1944
Crepate.2910
Crew.1967
Crew.2048
Criminal.2615
Croatia.1535
Crooked.979
Crucifixion.a
Crucifixion.b
CRUMBLE
Cruncher.2092
Cruncher.4000
Cruncher.4800
Crusher
Csf.240
Csl.381
Csl.457
Csl.517
CSSR.528
Cumple.1249
Curse.400
Cvirus
CYBER
CYBER101
Cybercide.1288
Cybercide.1307
Cybercide.1309
Cybercide.1321
Cybercide.2229
Cybercide.2256
Cyberloard.200
Cyberloard.381
CyberTech.1066
CyberTech.1076
CyberTech.1215
CyberTech.1228
CyberTech.1313
CyberTech.222
CyberTech.439
CyberTech.444
CyberTech.454
CyberTech.501
CyberTech.503
CyberTech.552
CyberTech.647
CyberTech.664
CyberTech.914
D-TINY
Dada.1356
Daemaen.1894
Daemaen.2041
Daemaen.2048
Daisy
Dalian.1366
DAMAGE-B
Dame
DAME.Lame
DAME.Trigger
Damir.878
DAN.1500
DAN.AntiEnter.1092
DARK AVENGER. 1800.A
Dark_Avenger.1800.A
Dark_Avenger.1801
Darkend
Darkend.1188
DarkFiber.423
DarkLord.921
Darkray.1525
Darth.201
Darth.255
Darth.344
Darth.409
Darth.411
Darth_Vader
DARV.1024
Das_Boot
Dashel.1804
Data-Rape-2.0
Datacrime
Datacrime II
Datacrime.1168
Datacrime.1280
Datacrime.1480
Datacrime.1514
DataFire.1080
DataLock
Datalock.1000
Datalock.1043
Datalock.920
Davis
DBCE.3403
DBF.1115
DBF.990
Dead.1119
Dead.1362
Dead.1364
Dead.1374
Dead.790
Death.1001
DeathBoy.640
DeathBoy.893
DeathDragon.499
Deathrider.729
Dec_Year
Dec3rd.1333
December_17th
Defo
Dei.1456
Dei.1526
Dei.1634
Dei.1780
Dei.1792
Dei.1948
Deicide.1335
Deicide.2404
Deicide.2405
Deicide.2569
Deicide.2570
Deicide.358
Deicide.359
Deicide.622
Deicide.623
Deicide.665
Deicide.666
Deicide.693
Deicide_II.2045_1
Deliver.BlueShark.1771
Deliver.Digi.3547
DELWIN.1759
Dementia
Dementia.4207
Democracy.3806
Democracy.3959
Demolited.1585
Demon.348
Demon.355
Demonhyak.270
Demonhyak.272
Dennis.689
Denzuk.1
Desperado
DEST1
Destructor
Devastator.174
Devil's_Dance
Devil.941
DewDZ
DHeart.452
DHeart.649
Diablo_Boot
Diamond.1024
Diamond.1050
Diamond.1063
Diamond.1100
Diamond.444
Diamond.465
Diamond.485
Diamond.568
Diamond.584
Diamond.594
Diamond.602
Diamond.606
Diamond.607
Diamond.608
Diamond.609
Diamond.614
Diamond.620
Diamond.621
Diamond.624
Diamond.626
Diamond.891
Diamond.978
Diamond.David
Diamond.Greemlin.1146
Diamond.Lucifer.1086
Diamond.RockSteady.666
Dicker.400
DIE LAMER
Die.385
Die.666
Die_Hard
Die_Lamer.1090
DieHard2
Diehard2.4000
Digger.1000
Digger.1475
Digger.1512
Dillinger.547
Dima.1024
Dir II.A
Dir.522
DIR2-910
DirDropper.1577
DirDropper.1686
DirFiller.1409
DirII.1024
DirII.2048
DirII.Dragon
DirII.TheHndv
Dirty.483
DirVirus.691
DirVirus.760
Dis.1024
DiskBoomer.576
DiskFull.1871
DiskWasher
Dismember
DKiller.Clouds.588
DKiller.Clouds.657
DKiller.Clouds.718
DKiller.DK.693
DKiller.DK2.269
Dlsu.477
DM.310
DM.330
DM.400.a,b,c
DM.674
DMV.B
Dodo.2456
Doom.1240
Doom.1504
Doomsday.715
Doomsday.733
Dos.184
Dos7.342
Dos7.376
Dos7.419
Doshunter.483
Dosver.2062
Dot.944
Dowcipas.2303
Dowcipas.2464
DPN.623
DR&ET.1710
Dracula.827
Dream.2000
Dream.2012
Drop.1131
Drwatson.1503
DS.512
DSCE.Demo.2957
DSME.Apex.2685
DSME.Connie.a
DSME.Connie.b
DSME.DemoVirus
DSME.Teacher
DSU.1414
DSU.1422
Dudley
Dumb.4722
Dune.Divide
Dutch_Tiny.163
Dutch_Tiny.177
Dutch_Tiny.180
Dutch_Tiny.191
Dutch_Tiny.251
Dutch_Tiny.263
Dutch_Tiny.284
Dutch_Tiny.286
Dutch_Tiny.311
Dutch_Tiny.312
Dutch_Tiny.Brenda
Dutch_Tiny.Kennedy
Dutch_Tiny.Stigmata
Dutch_Tiny.Wild.287
Dutch_Tiny.Wild.289
Dwi.1051
Dy.278
Dzino.1000
E266.1072
Eader.2000
EAF0.638
EAF0.655
EAF0.656
EAF0.687
EAF0.737
Eagle.7705
EAR
EARLE. 1244
Earle.3006
Easy.200
Ebola.3000
Ecu
ECW.570
Ed
Eddie.1028
Eddie.1459
Eddie.1530
Eddie.1687
Eddie.1693
Eddie.1797
Eddie.1799
Eddie.1800
Eddie.1801
Eddie.1813
Eddie.2000
Eddie.2100
Eddie.651
Eddie.Alexander
Eddie.Apa.1843
Eddie.Apa.2104
Eddie.Father
Eddie.Jasper
Eddie.Jerico.a
Eddie.Jerico.b
Eddie.Korea
Eddie.Major
Eddie.Oliver
Eddie.Psko
Eddie.Satan.1800
Eddie.Shyster
Eddie.Sign
Eddie.Uriel
EDS.692
Egg
Egg.1000
Egg.833
Eight_Tunes
Ein-Volk
Einstein.878
Einvolk.521
Einvolk.526
Einvolk.640
Ekoterror
Elaine.1127
Elena.730
Eliza.1194
Em.1303
EM.1303
EMF.404
Emmie.2604
Emmie.2620
Emmie.2702
Emmie.2823
Emmie.3097
Emorph.1696
Empire.A
EMS.411
EMS.427
Enculator.1089
Enculator.Turbo.1366
End-of
EndOf.783
EndOf.788
Enet-613
Eno-2430
ENOLA
Enola.1864
Enola.2430
Enterprise.625
Equals
Error.628
ErrorInc.260
ErrorInc.393
ErrorInc.465
ErrorVirus.1223
ES.400
Espacio.8444
Espacio.8458
Espacio.8486
Espacio.8491
Espacio.8498
Este.303
Etc.700
Eupm.1731
Europe.421
Europe.424
EVC.161
Evilgen
Evolution.2761
Evolution.2770
Exe_Bug.A
Exe_Bug.Hooker
ExeBug.a,c
ExeHeader.222
ExeHeader.223
ExeHeader.384
ExeHeader.394
ExeHeader.396
ExeHeader.418
ExeHeader.440
ExeHeader.Bane.256
ExeHeader.Bob.448
ExeHeader.Bosco
ExeHeader.Dragon.400
ExeHeader.Funked.400
ExeHeader.HeaderBug.324
ExeHeader.Hobbit.416
ExeHeader.Mike.252
ExeHeader.Mike.256
ExeHeader.Ming.359
ExeHeader.Mz1.384
ExeHeader.Olya.398
ExeHeader.Pure.429
ExeHeader.Pure.439
ExeHeader.Pure.440
ExeHeader.Pure.441
ExeHeader.Pure.449
ExeHeader.Pure.De'buger.427
ExeHeader.SkidRow.415
ExeHeader.SkidRow.432
ExeHeader.VVM.204
ExeHeader.VVM.205
ExeHeader.XAM.278
Exile.255
Exit.376
Experiment.416
Experiments.755
Explode
Explorer.3063
Explosion
Exterminate
Exterminator
Exterminator.b
F_word.377
F1.337
F3.1901
F4.1403
Face.2521
Faerie.276
Faerie.286
Faerie.349
Faggot.1009
Fago_t2
Fair.2083
Fans.560
Fasolo.149
Fasolo.176
FastKiller.481
FatherMac.1360
FatherMac.1445
FatherMac.1470
FatherMac.1495
FatherMac.1496
FatherMac.1536
FatherMac.789
FatherMac.836
FatherMac.838
FatherMac.USA.797
FatherVirus.456
FaxFree.1024
FaxFree.1536
FaxFree.Abstract.1024
FaxFree.Darkover.1536
FaxFree.Fago_t2
FaxFree.Mecojoni
FaxFree.Mosquito
FaxFree.Pinniz
FaxFree.Pisello.1024
FaxFree.Pisello.1536
FaxFree.Sultan.2766
FaxFree.Topo
FaxFree.Tower
Fdate1111.537
Fdate1111.570
Fear.1823
FeelBad.1124
Feist.670
Feliz.658
Fellow.1019
Fewster.1781
FF_Char.1000
FFFF.432
FFFF.440
Fgt.651
Fichv.2.1.903
Fichv.896
Fichv.897
Fichv.903
Fifo.300
FileHider.1057
FileHider.1067
FileHider.789
Find.512
Find.600
Find.666
Find.BigX.610
FindMe.608
FindMe.695
Fingers.1322
Finnish.357
Finnish.709
Fire.2682
Fish#6
Fisher.1100
Fisher.2420
Fission.517
Fist.403
Fist.625
Fist.650
Fist.652
Fist.683
Fist.692
Fist.696
Fist.709
Fist.711
Fist.732
Fist.838
Fist.839
Fist.846
Fist.855
Fist.862
Fistik.1280
FITW
Flagyll.316
Flagyll.318
Flagyll.369
Flagyll.371
Flash.688
Flash.695
Flex.491
Flip.2153
Flip.2343
Flip.2365
Flip.Madrid
Flood.304
Flower.883
Flue.1179
Fly.1796
Fm.765
Forger.1000
Form
FORM. A
Form.A
Fr.1013
Freak.938
Fred.657
Freddy.1870
Freddy.2271
FreddySoft.1663
Freew.692
Frida.538
Friday13.408
Friday13.416
Friday13.417
Friday13.456
Friday13.540
Friday13.613
Friday13.623
Friends.1361
Frodo
FrodoSoft.458
FrodoSoft.563
FrodoSoft.590
FrodoSoft.633
FrodoSoft.656
Frogalley.1500
Froll.1665
Frz.1567
Fumble.712
Fumble.801
Fumble.867
Funeral.900
Funeral.921
Futhark.968
Future.3180
Fva.1635
Galeocerdo.600
Galya.500
Gambler.288
Game.1053
Game.1065
GCAE.Demo.2520
GCAE.Demo.2915
Geek.450
GeldWash.1497
Geliyor.1356
GencVir.1000
Genesis.217
Genesis.226
Genesis.238
Genesis.295
Geodesic.666
Gergana.182
Gergana.222
Gergana.300
Gergana.450
Gergana.512
Germ.255
GetLost.734
Ghh.482
Ghost.1447
Ghostball.2351
GI.2765
Gidra.469
Gidra.502
Gidra.505
Ginger.2691
Ginger.2774
Ginger.Orsam.2620
Ginger.Orsam.2624
Gippo.1000
Gippo.1030
Gippo.1039
Gippo.1050
Gippo.1234
Gippo.1242
Gippo.1249
Gippo.901
Gippo.944
Gipro.504
Girl.2273
Girls.1829
Gkchp.800.a
Gkchp.800.b
Gle.848
Glemp.877
Gliss.1247
Gnat.753
Gnat.756
Goblin.1199
Goblin.1759
Godzina.1024
Goga
GoldBug
Gollum.644
Gondor.3072
GoodBye.839
GoodThursday
Goomba.987
Gorlovka
Gotcha.1781
Gotcha.605
Gotcha.607
Gotcha.627
Gotcha.641
Gotcha.732
Gotcha.879
Gotcha.881
Gotcha.906
Gotyou.5052
Grapje.1039
Green.1036
Green_Caterpillar.1575.A
Green_Stripe
GreenCaterpillar
GreenMonster
Greetings.1024
Grog.1007
Grog.1072
Grog.1146
Grog.1200
Grog.1349
Grog.1603
Grog.1635
Grog.1641
Grog.202
Grog.2075
Grog.2825
Grog.283
Grog.304
Grog.377
Grog.456
Grog.474
Grog.480
Grog.488
Grog.495
Grog.512
Grog.518
Grog.547
Grog.557
Grog.566
Grog.647
Grog.660
Grog.666
Grog.757
Grog.765
Grog.794
Grog.796
Grog.886
Grog.902
Grog.903
Grog.926
Grog.990
Grog.Crackers
Groovie
Grozny.999
Grune
Grunt.344
Grunt.346
Grunt.359
Grunt.427
Grunt.473
Grunt.529
GS.525
GT-Spoof.1131
GTM.727
GTM.BewareBug.1436
GTM.BewareBug.1446
GTM.BewareBug.1528
GTM.BewareBug.1643
Guess.928
Guess.928.b
Guppy.152
GV.2856
GV.2865
Gvirus.653
GWorld.314
GYNX.1000
Gyro.512
Gysium.3563
Ha!
Ha.311
Hack.130
HackMaster.1197
Hafen.1191
Hafen.1640
Hafen.1641
Hafen.1689
Hafen.781
Hafen.809
Hafen.818
Haifa.2352
Halka.1000
Halka.474
Halka.720
Halley.7856
Hallochen
Hamster.546
Hannibal.970
Happy.412
HappyNewYear
Harakiri.5488
Hard.662
Hare.7610
Hare.7750
Hare.7786
Harmless.1082
Hary.981
Hate
Hate.971
Hdzz.566
Headcrash.1067
Heevahava.514
Hehehe.331
Heja.511
Heja.623
Helicopter.777
Hello.731
HelloUser.365
HelloUser.545
HelloUser.547
Helloween.1063
Helloween.1182
Helloween.1227
Helloween.1288
Helloween.1376
Helloween.1376b
Helloween.1384
Helloween.1447
Helloween.1839
Helloween.1888
Helloween.2470
HellSpawn.1141
Hero.394
Hero.506
Hey_You
HH&HH.4087
HH&HH.4091
HH&HH.4093
HH.1024
Hi.460
Hi.802
Hi.802
Hi.892
Hi.895
Hi.924
Hide.709
Hide_and_Seek
Hidenowt
Hider.1782
Hider.2169
Highlander.477
Highlander.478
Hiperion.154
Hiperion.249
Hitch.1238
Hitch.1247
Hitler.4808
HLLC.12304
HLLC.14880
HLLC.5472
HLLC.7952
HLLC.8224
HLLC.9261
HLLC.Aids.8064
HLLC.April1st
HLLC.Arj.7952
HLLC.Bolek.8096
HLLC.Cornucopia
HLLC.Crawen.8306
HLLC.Crawen.8516
HLLC.Cumulus
HLLC.Dope.4870
HLLC.Dope.5219
HLLC.Enrico
HLLC.Evenbeep
HLLC.Globe.5150
HLLC.Globe.6610
HLLC.Happy.LZ
HLLC.Happy.PK
HLLC.IdoMoshe
HLLC.Lanc.7376
HLLC.PC-Alive.8902
HLLC.ScreenAllive
HLLC.Tree2.14186
HLLC.Unvisible
HLLC.Worm.16412
HLLC.Worm.16850
HLLC.Worm.17690
HLLC.Worm.Frust
HLLC.Worm.Icommand
HLLC.Worm.Runme.10832
HLLC.Worm.Runme.5008
HLLC.Xmas.15264
HLLO.10842
HLLO.187Killa
HLLO.3008
HLLO.3522
HLLO.4032
HLLO.4240
HLLO.4317
HLLO.4372
HLLO.4734
HLLO.4830
HLLO.4870
HLLO.5488
HLLO.6144
HLLO.6286
HLLO.6544
HLLO.7392
HLLO.Aids.13847
HLLO.Aids.13952
HLLO.Crash.7227
HLLO.FU.8608
HLLO.JJJ.3816
HLLO.Joker
HLLO.Kamikaze
HLLO.Messanger
HLLO.Nazi.4240
HLLO.Nova
HLLO.NumOne
HLLO.Ostraboo
HLLO.Picked
HLLO.Ruf
HLLO.Tu.4752
HLLP.10304
HLLP.10460
HLLP.15392
HLLP.16470
HLLP.3072.a
HLLP.3072.b
HLLP.3678
HLLP.3680
HLLP.3779
HLLP.3966
HLLP.4075
HLLP.4109
HLLP.4288
HLLP.5000
HLLP.5444
HLLP.5602
HLLP.5792
HLLP.5824
HLLP.5938
HLLP.7296
HLLP.7408
HLLP.7529
HLLP.7808
HLLP.7940
HLLP.Animus.a
HLLP.Animus.b
HLLP.Bdaagwa
HLLP.Ceib.4629
HLLP.Dupalec
HLLP.Halloween
HLLP.Kasienka.8192
HLLP.Linda
HLLP.Nazi.4415
HLLP.Nazi.5984
HLLP.Nazi.6128
HLLP.NotFound.6176
HLLP.Rangel.5000
HLLP.Rsw.5846
HLLP.Runner.9312
HLLP.Sauron.4568
HLLP.Ukazna
HLLP.Viper.7792
HLLP.Voodoo
HLLP.Vova.12560
HLLP.Vova.8896
HLLP.Vova.9904
HLLP.VVC.8304
HLLP.Wizard.3677
Hm.828
Hochiminh
Holiday.2900
Holiday.3000
Holms.6161
Honey.1027
Honey.666
Horns
Horror.1112
Horror.1137
Horror.1182
Horse.1154.a,b
Horse.1158
Horse.1160
Horse.1576
Horse.1594
Horse.1610
Horse.1776
Horse.2248
House.11636
HS.903
HS.982
HTML.Enel.3787
HTML.Prepend
Hungarian.473
Hungarian.482
Hwang.1509
HWF.937
Hybrid.1306
Hydra_II.1162
Hydra_II.1649
Hymn.1865
Hymn.1962
Hymn.2144
Hypervisor.3120
Hypervisor.3128
Hzp.512
I_am.635
I_Owe.261
Ibex
Ice.734
Icelandic.1(656)
Icelandic.2
Ienez.1428
Ieronim.1020
Ieronim.1024
Ieronim.1082
Ieronim.1166
Ieronim.1492
Ieronim.1596
Ieronim.512
Ieronim.560
Ieronim.570
Ieronim.600
Ieronim.Condom
Ignorance
Ilja.1704
Ill.1016
Imi.1536.a
Imi.1536.bcdef
Imi.1538
Imi.1656
Incom
Industrial.1841
Infector.822
Infiltrator.304
Info.1355
Inoculator.1819
Int_FF
Int12
Int13
Int5
Int78
Int83.1061
Int83.522
Int83.584
Int83.690
Int83.706
Int83.768
Int83.800
Int83.855
Int83.864
Int83.880
Int86.500
Internal.1381
Internal.1459
Intrep.1092
Intrep.946
Intruder.1312
Intruder.1317
Intruder.1319
Intruder.1326
Intruder.1331
Intruder.1336
Intruder.1353
Intruder.1355
Intruder.1440
Intruder.1555
Intruder.1967
Intruder.1988
Intruder.2336
Invader
Invisible
Invisible.b
Invol.1314
Invol.1401
Ionkin.231
Ionkin.2372
Iper.1062
Iron.188
IronMaiden
Istanbul.1312
Istanbul.1349
Itavir.3187
Itv.449
Itv.454
J&M
J.S. Bach
Jabb.1000
Jabb.615
Jabb.812
Jabber.334
Jackal.3118
Jackal.3120
Jackel.654
Jackel.713
James.356
Jd.158
Jd.276
Jd.356
Jd.392
Jd.448
Jd.460
Jeff.812
Jerk.1077
Jerusalem
Jerusalem II
Jerusalem.1237
Jerusalem.1244
Jerusalem.1264
Jerusalem.1511
Jerusalem.1530
Jerusalem.1730
Jerusalem.1747
Jerusalem.1767
Jerusalem.1807
Jerusalem.1808.CT.A
Jerusalem.1808.GreenCaterpillar
Jerusalem.1813
Jerusalem.1962
Jerusalem.2000
Jerusalem.2187
Jerusalem.2432
Jerusalem.662
Jerusalem.998
Jerusalem.Anarkia
Jerusalem.Atb.2389
Jerusalem.Australian
Jerusalem.Bupt.1367
Jerusalem.Cookie.2472
Jerusalem.CVEX.5120
Jerusalem.CVEX.6144
Jerusalem.CVEX.6400
Jerusalem.d
Jerusalem.Dengue
Jerusalem.Discom
Jerusalem.Distrutto
Jerusalem.Exciter
Jerusalem.f
Jerusalem.Fumanchu.2076
Jerusalem.Fumanchu.2080
Jerusalem.g
Jerusalem.Hack.2064
Jerusalem.Haha.1733
Jerusalem.Hermanos.2015
Jerusalem.Hermanos.2777
Jerusalem.Kylie
Jerusalem.Maroccan
Jerusalem.Math
Jerusalem.MBR
Jerusalem.Mule
Jerusalem.Naita.1646
Jerusalem.Pipi.1536
Jerusalem.Pipi.1552
Jerusalem.Plastique.2224
Jerusalem.Plastique.3004
Jerusalem.Plastique.3012
Jerusalem.ProtPC.2223
Jerusalem.Rambo
Jerusalem.Roger.2000
Jerusalem.Roger.2128
Jerusalem.Rulis.1639
Jerusalem.Satan.1540
Jerusalem.Satan.1719
Jerusalem.Scott.1716
Jerusalem.Scott.2126
Jerusalem.Skism
Jerusalem.Smile.2576
Jerusalem.Solano
Jerusalem.Standard
Jerusalem.Standard.sUMsDos
Jerusalem.Subliminal
Jerusalem.Sunday
Jerusalem.Sunday.II
Jerusalem.Sunday.Satan
Jerusalem.sURIV.3.00.##00054
Jerusalem.Taiwan.2576
Jerusalem.Taiwan.2900
Jerusalem.Taiwan.3088
Jerusalem.Taiwan.3454
Jerusalem.Timor
Jerusalem.Tobacco.2900
Jerusalem.Totoro.1536
Jerusalem.Viajero
Jerusalem.Xed.1238
Jerusalem.ZipEater
Jesus.1215
Jesus.1258
Jmp.2153
Jocker.1371
Joe.1089
Joe.589
Joke.1068
Joker
Joker01
Joker3.1084
Jolter.2197
Jos.1000
Joshi
Judgement.390
Julia.1000
Julia.1027
July13
July13.b
Jump.466
Jumper
June12th
June16
Junior.224
Junkie.1027
Junkie.1027.A
Justice
Jvirus.2267
K_Hate.1128
Ka.863
Kaczor
Kaczor.4444
Kak.391
Kalah.499
Kali.641
Kaos4.697
Karin.1134
Karlik.1666
Karol.1000
Kaszana.1848
Kaszana.1920
Kaszana.1992
KbrBug.1568
KbrBug.1596
KbrBug.1720
KbrBug.2662
KbrBug.895
KbrError.1268
Kbrflags.1024
Keelung.2808
Keeper.Acid.694
Keeper.China.777
Keeper.Enemy.644
Keeper.Fly.1036
Keeper.Massacre.775
Kela.1171
Kela.1735
Kela.1904
Kela.2002
Kela.2010
Kela.2018
Kela.2099
Kela.2520
Kela.2530
Kela.690
Kela.823
Kemerovo
Kernel.608
KEY PRESS. 1232.A
Keybug.980
KeyKapture.1071
KeyKapture.1074
KeyKapture.1075
KeyKapture.1077
Keypress.1000
Keypress.1199
Keypress.1212
Keypress.1216
Keypress.1216
Keypress.1216.a
Keypress.1232.A
Keypress.1236
Keypress.1250
Keypress.1479
Keypress.1495
Keypress.1600
Keypress.1728
Keypress.935
Keypress.BBS
Keypress.Ufo
Khai.1835
Khizhnjak.1011
Khizhnjak.1269
Khizhnjak.306
Khizhnjak.377
Khizhnjak.419
Khizhnjak.444
Khizhnjak.469
Khizhnjak.490
Khizhnjak.509
Khizhnjak.515
Khizhnjak.565
Khizhnjak.586
Khizhnjak.632
Khizhnjak.676
Khizhnjak.692
Khizhnjak.692.b
Khizhnjak.696
Khizhnjak.719
Khizhnjak.731
Khizhnjak.749
Khizhnjak.753
Khizhnjak.782
Khizhnjak.823
Khizhnjak.846
Khizhnjak.875
Khizhnjak.Areg.822
Khizhnjak.Areg.847
Khizhnjak.DeathLord.752
Khizhnjak.DeathLord.933
Khizhnjak.Hallo.496
Khizhnjak.Hallo.726
Khizhnjak.Hallo.751
Khizhnjak.Hallo.759
Khizhnjak.Hallo.765
Khizhnjak.Hallo.962
Khizhnjak.Happy.743
Khrusha.1505
Ki.962
Kid.393
Kid.434
Kiev.2048
Killer.964
Kinnison
Kipa.1084
Kirti.2000
Kiss.1006
Kiss.1015
Kit.2384
Kiwi.550
KKV2.923
Klepavka.881
Klf.356
Knight.1136
Ko.407
Ko.408
Ko.408.b
Kode4.281
Kode4.282
Kode4.285
Kode4.287
Kode4.399
Kohntark.K-CMOS.931
Kohntark.K-CMOS.937
Kohntark.Kompanion.268
Koko.1780
Kolumna.2048
Komar.691
Komar.692
Kommuna.801
Komsom.1000
Konkoor.1746
Konkoor.1844
Konkoor.1933
KoreaStranger
Kot.900
Krnl.2078
KSV.1128
KSV.1144
Kthulhu.512
Kukac.448
Kukac.512
Kuku.448
Kurgan.1624
Kurgan.1654
Kurgan.919
Kurgan.939
Kurgan.948
Kwok.1618
KWZ.797
Kyokushinkai
Kyokushinkai.Kysia.1536
KYZ
Lady.873
Lame.173
Lame.207
Lame.435
Lame.538
Lame.98
LamersSuprise
LamersSuprise.1318
Lapidario.787
Larry.491
Larry.497
Late.248
Later.959
Later.981
Laufwerk
Lazy.720
LazyToday.1203
Lct.599
Lct.602
Lct.762
Lcv.864
Leathal.722
Leech
Leech.1024
Leech.Tazta.1008
Leech.Warrier.768
Lego.1000
Lehigh
Lemming.2144
Lemming.2146
Lemming.2151
Lemming.2160
Lenin
Lenin.943
Leningrad.1944
Leningrad.2000
Leningrad.543
Leonard.1194
Leproso.1221
Leprosy.1207
Leprosy.1818
Leprosy.1992
Leprosy.321
Leprosy.350
Leprosy.370
Leprosy.47857
Leprosy.5120
Leprosy.5370
Leprosy.562
Leprosy.571
Leprosy.585
Leprosy.591
Leprosy.595
Leprosy.600
Leprosy.625
Leprosy.647
Leprosy.664
Leprosy.666
Leprosy.666.c
Leprosy.736
Leprosy.800
Leprosy.808
Leprosy.81
Leprosy.814
Leprosy.907
Leprosy.946
Leprosy.BadBrains.554
Leprosy.BadBrains.570
Leprosy.BadCommand.281
Leprosy.Beavis.201
Leprosy.Busted.570
Leprosy.Busted.572
Leprosy.Echo.425
Leprosy.Flood.999
Leprosy.Jas.792
Leprosy.Lubec.731
Leprosy.Merci.308
Leprosy.Misery.664
Leprosy.Morrison.870
Leprosy.Oss.591
Leprosy.Peace_SA.777
Leprosy.Riot.666
Leprosy.Riot.808
Leprosy.Sandra.534
Leprosy.Sandra.535
Leprosy.Sandra.551
Leprosy.Sandra.573
Leprosy.Sandra.579
Leprosy.Sandra.606
Leprosy.Sandra_II.1356
Leprosy.Sandra_II.1809
Leprosy.Sector.827
Leprosy.Seneca.381
Leprosy.Seneca.483
Leprosy.Seneca.493
Leprosy.Skism.1992
Leprosy.Spam.1306
Leprosy.Taz.1973
Leprosy.Taz.2197
Leprosy.Taz.2209
Leprosy.Taz.2276
Leprosy.YH.880
Lesson.189
Lesson.208
Letter_H.446
Level.4870
Lhb.1989
Li.1178
Li.1413
Lib.4000
Liberty.1170
Liberty.a
Liberty.b
Linda.517
Line.908
LionKing.3531
Lip.286
Lisbon
Literak.936
LittBrother.276
LittBrother.299
LittBrother.300
LittBrother.301
LittBrother.307
LittBrother.321
LittBrother.349
LittBrother.361
LittBrother.385
Little.Red
LittleBrother.321
Littlegirl.1004
Littlegirl.1008
LoadError
LoadHigh.1467
Lockup.2969
Loki.1228
Loki.1234
Loki.1237
Loki.971
Loki.973
Lokjaw.1050
Lokjaw.1052
Lokjaw.1053
Lokjaw.493
Lokjaw.499
Lokjaw.507
Lokjaw.518
Lokjaw.520
Lokjaw.808
Lokjaw.894
Lokjaw.898
Lokjaw.Firefly.1087
Lokjaw.Firefly.1106
Lokjaw.Kenson.573
Lokjaw.Kenson.887
Lokjaw.Pfeiffer.1203
Lokjaw.Scramble.1253
Lokjaw.Scramble.1256
Lomza
LordZer0.372
Loren.1374
Loren.1387
Lost.2878
LostFriend.882
LoveChild.2710
LoveChild.488
Loz.1018
Loz.1023
Loz.1882
Loz.1915
Loz.1922
Loz.1940
Loz.1958
Loz.2269
Loz.2435
Loz.2968
Loz.693
LptOff.256
LptOff.271
LSD.1600
Lseek.1461
Lubak.466
Lunacy.2513
Lunacy.2865
Lunch.1756
Lunch_II.404
Lurid.699
Lurid.733
LV.477
Lyceum.1788
Lyceum.1800
Lyceum.1832
Lyceum.1888
Lyceum.1901
Lyceum.1950
Lyceum.1975
Lyceum.737
Lyceum.930
Lyceum.944
M5VP2.1678
Maaike
Mabuhay
Mabuhay.2660
Mabuhay.2695
Macaroni.1480
Macedonia.400
Macgyver.2803
Macgyver.2824
Macgyver.3160
Macgyver.4112
Macgyver.4480
Macgyver.4643
Macgyver.4645
MadCobra.1118
Made.255
Made.334
Madismo.6007
MadSatan.1019
MadSatan.19033
MadSatan.2060
MadSatan.2876
MadSatan.3839
MadSatan.599
MadSatan.639
MadSatan.647
MadSatan.9849
MadSatan.King.1424
MadSatan.King.2175
MadWill.2400
Mag.239
Mag.254
Magda.512
Magdzie.1056
Magdzie.1114
Major.1644
Malaga.2610
Malign.575
Malign.630
Malmsey.1703
Malmsey.495
Malmsey.806
Manowar.592
Manu.4096
Manuel.1155
Manuel.1388
Manuel.777
Manuel.814
Manuel.840
Manuel.858
Manuel.876
Manuel.937
Manuel.957
Manuel.995
Manzon
Manzon.1414
Marawi.2828
Maresme.1062
Marian.700
Marky.478
Marzia.Baracuda
Marzia.Demian
Marzia.DV.2048
Marzia.Minosse
Marzia.Pasiphae
Marzia.Petunia
Marzia.Pisello
Marzia.WW.2048
Matura.1626
Maus.1888
Maverick.1536
Mayak.2339
Mayak.2370
Mayak.513
Maze
Maze.985
MBRExe
MBRExe.b
MD.354
MD.498
MD.499
MD.557
MDS.331
MegaBug.546
Mel.1536
MemLapse.294
MemLapse.323
MemLapse.366
MemLapse.375
MemLapse.385
MemLapse.406
MemLapse.407
MemLapse.449
MemLapse.465
MemLapse.605
MemLapse.787
MemLapse.820
MemLapse.839
MemLapse.845
Mephisto.2.1000
Mephisto.3.914
Mephisto.3.928
Mephisto.3.937
Mephisto.3.938
Mephisto.4.815
Mephisto.5.1242
Mephisto.5.510
Mephisto.5.615
Mephisto.6.654
Metallica.1103
Metallica.1129
Metallica.1536
Metallica.1739
Metallica.400
Metallica.500
Mface.1441
MG
Mgn.2048
Mgn.2560
Mgn.3000
MGTU.273
MGUL.1953
MGUL.1962
MGUL.925
MGUL.950
MH.757
Mich_II.924
Michfile.1236
Mickie.1100
Microbi.312
Miky.2350
Milan.Antinazi
Milan.Naziskin.270
Milan.Naziskin.335
Milan.Naziskin.903
Milan.Sabrina.175
Milan.Verbatim.289
Milena.1160
MiliKK.1020
Mindless.418
Mindless.423
Mindless.429
Ming.1017
Ming.491
Mini.101
Mini.108
Mini.109
Mini.110
Mini.115
Mini.117
Mini.120
Mini.123.a
Mini.123.b
Mini.125
Mini.127.a
Mini.127.b
Mini.129
Mini.130
Mini.132
Mini.139
Mini.143
Mini.150
Mini.158
Mini.163
Mini.176
Mini.178
Mini.189
Mini.195
Mini.200
Mini.203
Mini.207
Mini.212
Mini.218
Mini.233
Mini.247
Mini.300
Mini.71
Mini.81
Mini.84
Mini.93
Mini.94
Mini.99
MiniHHHH.246
Minimax
Minosse.3072
Minsk.1075
Mirage.1322
Mirage.1331
Miras.640
Mirea.1086
Mirea.1766
Mirea.1773
Mirea.1813
Mirea.958
Mirea_II.4157
Mirror.1056
Mirror.4130
Mirror.482
Mirror.924
MISis
Miss-D.1360
Mithrandir.450
Mithrandir.496
Mithrandir.694
Mix.1618
Mix.1636
Mix.2280
MJ.1513
MKWorm.715
MLTI.830
MME.Demo
MME.WhoNoName
MMIR.Das_Boot
MMIR.Extasy
MMIR.Ravage
Mnemonix.100%
Mnemonix.A-bomb.878
Mnemonix.Atomic.425
Mnemonix.Cmagic.2015
Mnemonix.Cmagic.2243
Mnemonix.Dementia.1027
Mnemonix.Dementia.512
Mnemonix.Dementia.609
Mnemonix.Descendants
Mnemonix.DI.1173
Mnemonix.ESP.519
Mnemonix.LoTek
Mnemonix.Moonlight.319
Mnemonix.Neuropath.928
Mnemonix.Oracle
Mnemonix.Sugar
Mnemonix.Vicious
Moctezuma.2208
Moctezuma.2416
Mohova.659
Mombasa.3568
Monarch.1040
Monday.499
Monika.1314
Monika.686
Monkey.979
Monkey.B
Mono.1063
MonteCarlo.1483
MonteCarlo.1541
Moose.353
Moose.468
Moose.631
Mordor.1104
Mordor.1110
Mordor.538
Morgot.823
Morse.1060
Mosquito.768
MPS.469
MPS.640
MPS.654
MPS.682
MPS.754
MPTI.1536
MR-FAMILY
MR.962
Mr_D.1536
Mr_D.1569
Mr_G.314
Mr_G.388
Mr_Gu.545
Mr_Gu.635
Mr_Twister.239
MRTI.577
MrTwister.12288
MrTwister.16384
Mrvirus.508
MS.748
Mshark.373
Mshark.378
Mshark.889
Msk.272
MSTU.513
MSTU.533
MSU.271
MSU4.2000
MTE
Mte-Small.Mega
Mte-Small.Sepultura
MtE.Coffeeshop
MtE.CrackerBack
MtE.Darkness
MtE.Darkstar
MtE.Dedicated
MtE.Destructor
MtE.Dewy
MtE.Encroacher
MtE.Fear
MtE.Groove
MtE.Insuff
MtE.Lct
MtE.Ludwig
MtE.Mother
MtE.Pcweevil
MtE.Pogue
MtE.Questo
MtE.Spawn
Mtz.1907
Mtz.2624
Mtz.971
Mtz.Pink.4510
Mtz.Pink.5081
Multi.2560.a
Multi.2560.b
MultiAni
Mummy.1364
Mummy.1399
Mummy.1489
Munich.2355
Murderer.3670
Murphy.1008
Murphy.1040
Murphy.1277
Murphy.1399
Murphy.1417
Murphy.1477
Murphy.1480
Murphy.1521
Murphy.1614
Murphy.1841
Murphy.950
Murphy.Amilia
Murphy.Badtaste
Murphy.Bhak
Murphy.David.1173
Murphy.Delirium.1638
Murphy.Delirium.1659
Murphy.Delirium.1752
Murphy.Delirium.1778
Murphy.Delirium.1780
Murphy.Delirium.1788
Murphy.Digger
Murphy.Grog
Murphy.IV.1650
Murphy.Lock
Murphy.Migram.1219
Murphy.Migram.1221
Murphy.Napalm
Murphy.Nuke
Murphy.Pest
Murphy.Torment
Murphy.Woodstock.1219
MutaGen.090.Agent
MutaGen.095.Agent
MutaGen.100.Agent
MutaGen.100.Garden
MutaGen.100.Secret
MutaGen.100.Test
MutaGen.110.Agent.a
MutaGen.110.Agent.b
MutaGen.110.CF.2055
MutaGen.110.HiTek
MutaGen.12.Agent.1810
MutaGen.12.Agent.1874
MutaGen.13.Agent.1918
MutaGen.13.Agent.1982
MutaGen.20.Agent.2204
MutaGen.20.Agent.3040
Mutant.1680
Mutant.1744
Mutator.307
Mutator.459
Mutator.780
MutInt.680
MutInt.688
MutInt.694
MVF.1866
MVF.1896
MW.Swlabs
Mws.788
Mx.335
MyChild.1000
MzBoot.464
MZV.333
N-Xeram.1664
N8FALL
Nanite.332
Narcosis.1431
Natas.4740
Natas.4744
Natas.4746
Natas.4766
Natas.4774
Natas.4988
Nazgul.266
Nculi.1688
Necropolis
Necros.1164
NED.Nukehard
NED.Tester
Neko.1964
Neko.1990
Neko.2697
NetBios.4340
Neurobasher
Neuroquila
NeverMind
NeverMind.838
NeverOne.442
NewAids.1041
Newgen.1054
NewModel.533
NewYear.1356
Nexiv_Der
NextGen.2304
Ng.1036
Ng.706
Ng.914
Nguyen.1740
Nie.1664
Nigeb.890
Night.2048
NightFall.4480
NightFall.4518
NightFall.4519
NightFall.5765
NightFall.Companion
NightKnight
Nina.1560
Nina.1600
Nina.1614
Nina.256
Nines.705
Nines.706
Nines.776
Ninja.1376
Nipple.208
Nobock.440
Nocopy.3685
Nocopy.3695
NoFrills.1422
NoFrills.813
NoFrills.815
NoFrills.840
NoFrills.843
NoFrills.Bungus.1422
NoFrills.Bungus.1483
NoFrills.Dudley
NoFrills.Kcat.1358
Nomenklatura
Noon.1163
NopM.494
Normal.763
Norway.673
Nosmoking.1000
Nosmoking.1575
Nostardamus
Not.586
Nothing
Nov7.482
NoWin.2576
Nr.300
Ntit.1254
Ntit.1578
NTMY.1722
NTU.Amour.3312
NTU.T4.2138
NTZ.397
Nuke.1680
Nuke.Awake
Nuke.Bob.1110
Nuke.Bob.1117
Nuke.Clock
Nuke.DC00l.1811
Nuke.Deadpool
Nuke.Elvis
Nuke.Howard.967
Nuke.Jac.991
Nuke.LoneWolf
Nuke.Marauder
Nuke.Marauder.855
Nuke.Ministry
Nuke.Nuke5.478
Nuke.Pox.1482
Nuke.Pox.1487
Nuke.Pox.1686
Nuke.Pox.1708
Nuke.Pox.1722
Nuke.Pox.1723
Nuke.Pox.1726
Nuke.Pox.1800
Nuke.Pox.1844
Nuke.Pox.609
Nuke.Pox.630
Nuke.Pox.955
Nuke.Pox.963
Nuke.Sirius.402
Nuke.Testing
Number_of_the_Beast
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Nutcracker.AB2
Nutcracker.AB3
Nutcracker.AB4
Nutcracker.AB5
Nutcracker.AB6
Nutcracker.AB7
NV.732
Nygus.163
Nygus.195
Nygus.227
Nygus.278
Nygus.295
Nygus.397
Nygus.752
Nygus.757
Oeur.3072
Ohlala.1895
Ohlala.1960
Ohm.777
OldScribe.8588
Olexy.1864
Omi.986
One_Half.3544
OneHalf.3544
OneHalf.3570
OneHalf.3577
Ontario.1024
Ontario.512
Ooops.368
Oops.600
OopsTmp.1087
Open.1183
Open.1569
Open.1581
Orchid.120
Orchid.311
Orchid.351
Oropax
Oscar
Osiris.299
Ostap.322
Otti.932
Otto.415
Otto.640
Oulu.1008
Ouse.591
Overkill.1191
Overkill.1308
Overkill.1385
Override.1380
Override.1428
Oxan.710
Oxana.1419
Oxana.1555
Oxana.1653
Oxana.1654
Oxana.1719
P&C.855
Pac-Man.Blinky
Pac-Man.Clyde
Padania
Pages.421
Pages.498
PAN. 667
Pandora.1536
Panic.398
Paramon.917
Parasite.1024
Parasite.1132
Parasite.901
Parasite.903
Paris
Parity.441
Parity_Boot
Parity_Boot.B
ParityError.621
ParityError.686
Particle.690
Pathhunt.1231
Pathogen_SMEG
Patoruzu.1024
Patoruzu.931
Patsy.571
Patsy.697
Pcbb.1141
Pcbb.1656
Pcbb.1658
Pcbb.1658.b
Pcbb.1701
Pcbb.1800
Pcbb.2277
Pcbb.3072
Pcbb.J4j.1129
Pcbb.J4j.1273
Pcbb.J4j.833
Pcflu.2112
Pcflu.2134
Pcflu.2141
Pcflu.2156
Pcflu.763
Pcflu.802
Pcvrs.1904
PD.1070
Pdp.1477
Pdp.1564
Pdp.822
Peace.2064
Peacekeeper
PeaceKeeper.a
PeaceKeeper.b
Peach.887
Peasant.1243
Penetrator.984
Penza.1210
Penza.700
Pepper.529
Perfume.731
Perfume.765
Peter
Peterburg.529
Phalcon.Emo
Phantasmagoria
Phantom.2201
Phantom1
Phi
Phoenix
Phoenix.2000
Phoenix.Evil
Phoenix.Live.a
Phoenix.Live.b
Phoenix.Proud
Phone.688
Phonix.927
Phx.1289
Phx.1336
Phx.823
Phx.965
Piaf.1859
Piazolla.874
Picket.1034
Picket.843
Pieces.1374
Pieck.2016
Pifpaf.760
Ping_Pong
Pirat.380
Pirate.1344
Pit.492
Pit.611
Pitch.593
Pixel.1268
Pixel.1271
Pixel.200
Pixel.215
Pixel.251
Pixel.257
Pixel.275
Pixel.277
Pixel.283
Pixel.295
Pixel.296
Pixel.299
Pixel.342
Pixel.343
Pixel.345
Pixel.739
Pixel.740
Pixel.761
Pixel.779
Pixel.837
Pixel.846
Pixel.847.abc
Pixel.850
Pixel.851
Pixel.852
Pixel.854
Pixel.877
Pixel.892
Pixel.897
Pixel.899
Pixel.936
Pixel.Cheef.297
Pixel.Cheef.300
Pixel.Hydra.340
Pixel.Hydra.342
Pixel.Hydra.343
Pixel.Hydra.368
Pixel.Hydra.372
Pixel.Hydra.391
Pixel.Hydra.403
Pixel.Hydra.495
Pixel.Hydra.736
Pixel.Pixie.812
Pixel.Rosen.131
Pixel.Self.457
Pixel.Self.550
Pizelun.3599
PL006.480
Plagiarist
Plague.2647
Planters.360
Plastique
Platov.1644
Playboy.1039
Plovdiv.1000
Plovdiv.800
Plovdiv.984
Plutto.602
PM.733
PME.Burglar
PMT.867
Poem.1825
Pojer.1919
Pojer.1935
Pojer.1941
Pojer.1949
Polifemo.736
Polifemo.906
Polimer.512
Poloneise.2402
Poloneise.2502
Poloneise.812
PoorMan.1168
Porcupine.3008
Porcupine.3012
Porridge.1384
Positron
Poss.2175
Poss.2367
Poss.2438
Poss.2443
Poss.2446
PowePump
PowePump.b
Powertrip.423
Ppsp.1526
Prague.604
Pray.579
Pray.587
Predator
Predator.1063
Predator.1072
Predator.1137
Predator.1148
Predator.1154
Predator.1195
PREDATOR.2448
Pregnant.1199
Press.1024
Prime.580
Print_Screen_Boot.A
Printer.778
Printerceptor
PrintMonster
Pro-Alife.3423
Problem.734
Problem.845
Problem.854
Problem.856
Problem.863
Prohibit.1500
Protect.1157
Protect.1196
Protect.1323
Protect.1355
Proto.695
Prudents.1205
PS-MPC.Joshua
PS_MPC
PS_MPC.DemoEXE
Psycho.723
Psyco.804
Puke.393
Pulce.1840
Put.1939
Pux.1295
Pyramid.457
Pysk.1536
QRRY
Quadratic.1283
Quadratic.981
Quadratic.986
Quake.518
Quake.960
Quandary
Quicky
Quiet.2048
Quit.555
Qumak.1028
Qumak.1079
Qumak.1161
Quox
Rabbit
Radish.8444
Radish.8466
Radyum.1072
Radyum.448
Radyum.503
Radyum.509
Radyum.519
Radyum.698
Radyum.707
Radyum.860
Rael.3211
Rainbow
Rainbow.2351
Rajaat.287
Rajaat.443
Rajaat.518
Rajaat.679
Rajaat.700
Rajaat.731
Rajaat.RTFM.871
Randall.3072
Ranger.290
Rape.1882
Rape.2877
Rape.2887
Rape.486
Rape.500
Rape.575
Rape.747
Raptor.1800
Rasek.1489
Rasek.1490
Rasek.1492
Rat.615
Rattler.1536
Raubkopie.2219
Rauser.164
Rauser.250
Ravage
Raving.2300
Rb91.899
RDA.Fighter.5871
RDA.Fighter.5969
RDA.Fighter.7408
Realize.498
Rebel.1509
ReBoot.715
ReedCat.920
Rencodes.4206
Renegade.1176
Reset.352
Reset.503
Rest.1588
Retaliator
Retribution
Revenge.1127
Reverse.948
Rex.1637
Rider.577
Riluttanza.689
Riot.1202
Riot.1203
Riot.278
Riot.279
Riot.281
Riot.282
Riot.309
Riot.355
Riot.392
Riot.428
Riot.441
Riot.444
Riot.723
Riot.724
Riot.789
Riot.Aladdin.886
Riot.BadReligion.278
Riot.BadReligion.381
Riot.Caffeine.366
Riot.CarpeDiem.1012
Riot.CarpeDiem.1033
Riot.CarpeDiem.469
Riot.CarpeDiem.472
Riot.Coke.535
Riot.Conjurer.270
Riot.Conjurer.300
Riot.Conjurer.433
Riot.Conjurer.TNG.181
Riot.Conjurer.TNG.277
Riot.Conjurer.TNG.312
Riot.Conjurer.VCC.269
Riot.Conjurer.VCC.408
Riot.Conjurer.VCC.586
Riot.DDeath.1062
Riot.DDeath.1153
Riot.DDeath.958
Riot.DDeath.963
Riot.Digital.1354
Riot.Digital.822
Riot.Digital.823
Riot.Doom.449
Riot.Enemy.757
Riot.Eternity.562
Riot.Eternity.565
Riot.Eternity.584
Riot.Eternity.599
Riot.Eternity.600
Riot.Evil.769
Riot.Evil.786
Riot.Face.565
Riot.Fire.473
Riot.Immortal.265
Riot.Immortal.353
Riot.Immortal.377
Riot.Immortal.510
Riot.Immortal.550
Riot.Insine.1026
Riot.Keyb.667
Riot.Keyb.756
Riot.Keyb.873
Riot.Maria.1118
Riot.Maria.1126
Riot.Marked.354
Riot.Mega.506
Riot.Moonlite.458
Riot.Moonlite.465
Riot.Multi.791
Riot.Multi.813
Riot.Multiplex.815
Riot.Multiplex.821
Riot.Overdoze.470
Riot.Overdoze.472
Riot.Psychosis.1195
Riot.Radiation.737
Riot.Ravage.393
Riot.RedMercury.823
Riot.RedMercury.825
Riot.Salamander.888
Riot.Stioxyl.390
Riot.Sturm.410
Riot.Sturm.411
Riot.sUMsDos.472
Riot.Tornado.461
Riot.Tower.411
Riot.TTT.1063
Riot.TTT.712
Riot.TTT.840
Riot.Uniq.308
RIP.3214
Rip.699
Ripper
Ritzen.1087
Ritzen.1098
Ritzen.1112
RM
RMC.1551
Rmdc.608
Rmdc.622
Rmdc.623
RMNS
RMNS.325
RMNS.456
RMNS.651
RMNS.736
RMNS.MW.Man.297
RMNS.MW.Woman.353
Robal.2048
Rodolf.4096
Rogue.1208
Rogue.1213
Rom.331
Rom.397
RP. DECEMBER 17th
RTL.805
Rubbit.1018
Rubbit.2060
Rubbit.3811
Rubbit.3839
Rubbit.681
Ruchawi.2560
Runtime.365
Russel.1200
Russel.1235
Russel.3072
Russian_Flag
Rust.1710
Ryazan.512
Rz.160
S_BUG.FRUITFLY.LITTLE_LOC
S5.1253
Sadam.919
Sadist.1209
Sair.1150
Sampo
Sandy.1376
Sarampo.1371
Sarampo.1470
Saratoga.632
Saratoga.642
Saratoga.656
Sarov.1000
Sarov.1200
Sarov.1400
Satan-Bug
Satanic.1345
SatBug
SatBug.1568
SatBug.FruitFly
Satria.A
Satria.B
Saturday14
Sauron.1088
Sauron.375
Sayha.1000
SayNay
School.403
Scity.678
Scity.713
Scity.928
Scitzo.1285
Scitzo.1329
Scitzo.1337
Scorpio.1000
Scoundrel.3323
Scratch.554
Screaming_Fist.927
Scrunch.420
SeaCat.160
Seagull.448
Search.1589
Search.198
Search.205
Search.208
Search.226
Search.253
Search.288
Search.302
Search.305
Search.309
Search.323
Search.330
Search.350
Search.354
Search.357
Search.360
Search.377
Search.413
Search.437
Search.478
Search.512
Search.512.b
Search.549
Search.778
Search.984
Search.Taurus
Seat.1614
Seat.1868
Seat.2389
Selectron.1112
Selectron.1258
Semtex.1000
Semtex.515
Semtex.619
Semtex.686
Seneca.392
Sentinel.4625
Sentinel.4636
Sentinel.5173
Sentinel.5402
Sformat.699
Sfrust.632
Shadow.1200
Shadow.635
Shadow.723
Shadowgard
Shake
Shaker.373
Shaker.409
Shaman.251
Shame.1455
Shanghai.848
ShareFun
Shark.1027
Shark.1283
Shaware.502
She_Has
Shifter.758
Shifter.760
Shifter.983
Shimmer.a
Shimmer.b
Shine.640
Shiny.921
Shiny.934
Shira-2048
Shirley.4096
Shirley.Vivaldi.4096
ShitMan.441
Shizol.500
Shutdown.644
Shutdown.698
Sibylle.853
Sibylle.858
Sidewinder
SIGN.615
Signed.1008
Signed.979
Signed.980
Signed.982
Signs.720
Silence.555
Silicon.1019
Silly.2256
SillyC.101
SillyC.103
SillyC.106
SillyC.1063
SillyC.111
SillyC.113
SillyC.122
SillyC.124
SillyC.127
SillyC.128
SillyC.138
SillyC.139
SillyC.140
SillyC.155
SillyC.162
SillyC.163
SillyC.166
SillyC.169
SillyC.174
SillyC.179
SillyC.181
SillyC.184
SillyC.190
SillyC.200
SillyC.217
SillyC.241
SillyC.254
SillyC.257
SillyC.258
SillyC.264
SillyC.281
SillyC.290
SillyC.302
SillyC.304
SillyC.306
SillyC.310
SillyC.331
SillyC.339
SillyC.343
SillyC.386
SillyC.451
SillyC.468
SillyC.486
SillyC.498
SillyC.511
SillyC.553
SillyC.563
SillyC.626
SillyC.657
SillyC.857
SillyC.91
SillyC.96
SillyC.97
SillyE.1024
SillyE.1147
SillyE.943
SillyE.ExeBeta
SillyOCE.277
SillyOR.DOS5.102
SillyOR.DOS5.109
SillyOR.DOS5.60
SillyOR.DOS5.66
SillyOR.DOS5.68
SillyOR.DOS5.69
SillyOR.DOS5.74
SillyOR.DOS5.77
SillyOR.DOS5.98
SillyOR.DOS5.99
SillyORC.144
SillyORCE.101
SillyORCE.200
SillyORCE.67
SillyORCE.71
SillyRC.122
SillyRC.125
SillyRC.131
SillyRC.164
SillyRC.169
SillyRC.172
SillyRC.178
SillyRC.200
SillyRC.230
SillyRC.239
SillyRC.240
SillyRC.261
SillyRC.264
SillyRC.330
SillyRC.357
SillyRC.403
SillyRC.414
SillyRC.524
SillyRC.563
SillyRC.66
SillyRCE.263
SillyRCE.266
SillyRCE.307
SillyRCE.374
SillyRCE.484
SillyRE.2304
SillyRE.323
SillyRE.512
Silver.1547
Silver.1644
Silver.1874
Silver.2071
Silver.2218
Silver.8101
Sily.745
Simple
Simulation
Sinep
Singapore.521
Singapore.910
Sink.400
Sirius.1070
Sirius.400
Sirius.430
Sirius.615
Sirius.640
Sirius.720
Sirius.975
Sirius.Alive.2283
Sirius.Alive.3400
Sirius.Alive.4000
Sirius.Annihilator.272
Sirius.Annihilator.304
Sirius.Annihilator.357
Sirius.Annihilator.379
Sirius.Annihilator.390
Sirius.Annihilator.412
Sirius.Annihilator.711
Sirius.Mem.1187
Sirius.Mem.1201
Sirius.Mem.1203
Sirius.Mem.1217
Siskin.1017
Siskin.948
Sistor.1000
Sistor.1149
Sistor.2225
Sistor.2380
Sistor.2605
Sistor.2630
Sistor.3009
Sk.1004
Sk.1147
Sk.626
Sk.992
Skater.1021
Skater.664
Skater.977
Skew.445
Skew.458
Skew.469
SkyNet.1448
SlamTilt.703
Slash.457
Slava.492
Slavery.929
Slayer.2638
Slovakia.1056
Slovakia.1351
Slovakia.1356
Slovakia.1629
Slovakia.1698
Slovakia.1956
Slovakia.2041
Slovakia.2387
Slovakia.906
Slovakia.Silvia5
SlovakiaII.3854
SlovakiaII.Happy
Slow.1716
Slowlite
Slubdestr.1024
Slugger.288
Small.100
Small.104
Small.108
Small.110
Small.114
Small.118
Small.119
Small.122
Small.122.b
Small.123
Small.124
Small.125
Small.127
Small.128
Small.129
Small.130
Small.130.b
Small.131
Small.132
Small.140
Small.144
Small.145.a
Small.145.b
Small.146
Small.149
Small.150
Small.157
Small.160
Small.178
Small.185
Small.187
Small.59
Small.65
Small.76
Small.80
Small.86
Small.92
SmartCock.512
Smeg.Pathogen
Smeg.Queeg
Smeg.Queeg.c
Smeg.v0_3.Demo.a
Smeg.v0_3.Demo.b
Smile.4304
Smile.4320
Smiley.1983
Smvb.1023
Smvb.1100
Smvb.708
Snotkop.479
Socha.753
SoFar.841
Sofia.432
Sofia.528
SofiaTerminator.1369
SofiaTerminator.839
SofiaTerminator.887
SofiaTerminator.899
Solar.100
Solar.102
Solar.122
Soldier.545
Soldier.557
Something.658
Sonik.854
Sov.1193
Sov.1205
Sova.4060
Spanish Trojan
Spanish.1417
Spanska.4250
Spanz.639
Sparkling.705
Sparse.3840
Spawn1.346
Spectral.601
Spectral.907
Spellbound.1164
Spellbound.1806
Sphinx.2751
Split.250
Spring.640
Spring.768
Sql.953
Squawk.852
Squeaker.1091
Srp.2248
Srp.2306
SSH.2770
SSH.2944
Ssi.1428
Ssi.623
Ssi.905
Ssi.Uncle.1377
Ssi.Uncle.1410
SSR
Staf.2083
Stahlpla.750
Star.486
Stardot.600
Starship
Stasi.1728
Stealth_Boot.C
Sterculius.240
Sterculius.266
Sterculius.273
Sterculius.280
Sterculius.428
Sterculius.440
Steryd.399
Stimp.248
Stink.1251
Stink.1254
Stink.1270
Stink.1273
Stink.1283
Stoned
Stoned, Standard
Stoned.Angelina
Stoned.Azusa.A
Stoned.Bunny.A
Stoned.Empire.Monkey
Stoned.I
Stoned.June_4th
Stoned.Kiev
Stoned.Manitoba
Stoned.Michelangelo
Stoned.No_INT.Vincent
Stoned.Spirit
Stoned.Standard
Storm.1153
Storm.1163
Storm.1172
Storm.1217
Storm.1218
Storm.1219
Storyteller
Stranger.734
Striker.461
Stsv.200
Stunning.1234
Stupid.1355
Stupidus.1504
Su
Subconsious.212
Subconsious.476
Suicide.2048
Sundevil.691
Sundevil.762
SuperVirus.1175
Susan.571
Susenka.862
SVC.1064
SVC.1689
SVC.1740
SVC.2695
SVC.2936
SVC.3103.a
SVC.3103.b
SVC.3112
SVC.3241
SVC.4644
SVC.4661
SVC.4677
SVC.Piter.1228
Sveta.309
Svin.252
Svir.512
Svirus.322
Swalker.1266
Swastika.442
Swiss Boot
Switch.855
Sword.794
Sylvia
Sylvia.1321
Sylwia.734
Synergy.288
Syrian.241
Syrian.412
Sze.314
Sze.351
T_Power.Cowa
T_Power.Zarma.2232
T_Power.Zarma.2389
T555
Tabulero.2048
Tack.411
Tack.449
Tack.460
Tack.477
Tadihno.971
Tai -Pan.666
Tai-Pan.438
TaiPan.434
TaiPan.438
TaiPan.Doom2.666
Taiwan.677
Taiwan.708
Taiwan.743
Taiwan.752
Tajfun.250
Tajfun.593
TalkHead.519
Tamanna.1857
Tankard.493
Tankard.556
Tashkent.490
Tashkent.509
Taz.1014
Taz.987
Taz.995
Teacher.2000
TeaForTwo.1024
Techno.1123
Technomaniac
TEH.647
Telefonica.3429
Telefonica.3700
Telefonica.3784
TenBytes.1411
TenBytes.1514
Tenerife.1707
Tentacle
Tequila
Tequila.5volt
Tequila.c
Tequila.d
Teraz.2717
Teraz.4004
Terminator.1501
Terminator.2294
Terminator.3275
Terminator.3490
Terminator.3549
Terminator.526
Terminator.918
TerraX.1027
Terror
Tetris.552
Thanksgiving
ThatsAll.618
TheBestOne.1281
TheClick.291
TheDraw.2267
TheDraw.6530
TheRat
TheWanderer
Tigre.1800
Tim.1600.a
Tim.1600.b
Time.1046
Time.1067
TimerJack.1106
Timid.245
Timid.288
Timid.289
Timid.290
Timid.297
Timid.298
Timid.299
Timid.300
Timid.301
Timid.302
Timid.303
Timid.305
Timid.306
Timid.313
Timid.320
Timid.330
Timid.371
Timid.382
Timid.421
Timid.513
Timid.526
Timid.557
Tina.826
Tiny.124
Tiny.126
Tiny.128
Tiny.133
Tiny.134
Tiny.137
Tiny.138
Tiny.143.a
Tiny.143.b
Tiny.154
Tiny.158
Tiny.159
Tiny.160
Tiny.162
Tiny.163
Tiny.167
Tiny.198
Tiny.212
Tiny.229
Tiny.234
Tiny.320
Tiny.330
Tiny.340
Tiny.352
Tiny.Fred
Tired.1740
Tiso.1279
Tiso.846
Tiso.940
Titanium.844
TME.643
Tmtm.441
Todor.1993
Tokio.1068
Tokyo.1258
Tony.338
Topa.2456
Topa.2476
Topa.2520
Torm.205
Torm.263
Torm.358
Torm.360
Tormentor.425
Tormentor.475
Tormentor.476
Toxic.171
Toxic.208
TPE.AEP
TPE.Bosnia
TPE.CivilWar.1979
TPE.CivilWar.1994
TPE.CivilWar.2049
TPE.CivilWar.2222
TPE.Gambit
TPE.Girafe
TPE.Girafe.d
TPE.Kela.4568
TPE.Lamer
TPE.Little
TPE.Nazis
TPE.Poet
TPVO
Tpworm.12969
Traceback.2930
Traceback.3029
Traceback.3066
Trakia.1070
Trakia.561
Trakia.570
Trakia.653
Trance.1721
Trash.512
TrashSoft.1024
Traveller.1220
Traven.512
Tremor
Trickster
Trieda.851
Triple_Five.556
Trivial.102
Trivial.123
Trivial.125
Trivial.127
Trivial.128
Trivial.128.b
Trivial.143
Trivial.145
Trivial.157
Trivial.178
Trivial.194
Trivial.200
Trivial.202
Trivial.207
Trivial.22
Trivial.229
Trivial.23
Trivial.25
Trivial.26
Trivial.27
Trivial.28
Trivial.29
Trivial.30
Trivial.31
Trivial.32
Trivial.33
Trivial.33.b
Trivial.330
Trivial.34
Trivial.342
Trivial.346
Trivial.36
Trivial.36.bcd
Trivial.37
Trivial.39
Trivial.40
Trivial.42
Trivial.43
Trivial.44
Trivial.45
Trivial.46
Trivial.50
Trivial.53
Trivial.54
Trivial.64
Trivial.66
Trivial.67
Trivial.68
Trivial.75
Trivial.82
Trivial.85
Trivial.89
Trivial.92
Trivial.99
Trivial.Anarchy.146
Trivial.Anarchy.469
Trivial.Banana.139
Trivial.Diddler.91
Trivial.Exe2Win.116
Trivial.Exec.161
Trivial.Exec.162
Trivial.Fire.206
Trivial.FTW.101
Trivial.FTW.192
Trivial.Hot.130
Trivial.Kode4.129
Trivial.Kode4.131
Trivial.Kode4.90
Trivial.Ratboy.50
Trivial.Ratboy.80
Trivial.Tom.59
Trivial.Vootie.66
Trivial.Vsafe.72
Trivial.ZZ.127
TrJP.1067
Troi.322
Troi.512
Tron.754
Trust.2356
Try.1074
TS.1418
Tu.2500
Tu.482
Tu28.535
Tula.1480
Tula.417
Tula.419
Tula.593
Tula.635
Tumen.1092
Tumen.1242
Tumen.1255
Tumen.1663
TurboVirus.1919
Turkish.604
Turn.557
Turn.571
TV.730
TVED.Trurl.789
Tver.308
Tver.532
Tver.776
Twelve Tricks Trojan
Twer.1000
Twin.351
Twister.1015
Twister.1767
Twister.451
Twister.863
U.524
Uck.475
Uddy.2617
Uestc.888
Ufa.1201
Ugur.1297
Ugur.1320
Ultra.5700
Unashamed
Unashamed.B
UNCARING. 1054
Unerase.329
Unexe.425
Ungame.766
Ungame.770
Unhandled.424
Union.1449
Unknown.1111
Unknown.1293
Urfin.317
Urkel
Uruguay.1
Uruguay.2
Uruguay.2313
Uruguay.2379
Uruguay.2456
Uruguay.2623
Uruguay.3
Uruguay.4
Uruguay.4268
Uruguay.4879
Uruguay.4906
Uruguay.5
Uruguay.6262
Uruguay.6344
Uruguay.6396
Uruk.300
Uruk.361
Uruk.394
Uruk.427
UsePascal.2406
USSR.414
UVR.3919
V-Sign
V.1014
V.1024
V.1099
V.1121
V.1125
V.1241
V.1253
V.1308
V.1319
V.1320
V.1345
V.1376
V.1385
V.1391
V.1441
V.1443
V.1663
V.1689
V.1792
V.1798
V.1827
V.1876
V.2000
V.2048
V.2330
V.2371
V.2435
V.2653
V.267
V.3000
V.302
V.343
V.359
V.376
V.384
V.388
V.394
V.416
V.439
V.439.b
V.450
V.475
V.486
V.491
V.492
V.509
V.516
V.550
V.572
V.573
V.6000
V.623
V.633
V.670
V.696
V.699
V.702
V.707
V.713
V.723
V.736
V.738
V.743
V.756
V.767
V.814
V.825
V.894
V.928
V.934
V.935
V.944
V.945
V.985
V_Sign
V163
V3Scan.1633
VACSINA.04
VACSINA.05
VACSINA.06
VACSINA.10
Valentine.600
Vampiro.1000
Vampirus.1499
Vandor.1024
Vbasic
VCL.Diogene
VCM.493
VCode.1633
VCode.1886
VCode.2246
VCode.2262
VCode.2540
VCOMM.633
VCOMM.636
VCOMM.637
VCS.Manta
VCS.Paranoimia
VCS.Ruf
VD.568
Vdv.390
Vdv.853
Vector.441
Velvet
Vengeance.252
Vengeance.390
Vengeance.435
Vengeance.613
Vengeance.639
Vengeance.656
Vengeance.723
Veronika.1549
Version.705
Verwolf.3308
VFSI
Vic.399
Vic.793
VICE.01.FireCide
VICE.01.Sample
VICE.02.FireCide
VICE.02.IceBurn
VICE.02.IceMelt
VICE.03.FireCide
VICE.03.One13th
VICE.04.One13th
VICE.05.Code
Vico.1000
Vico.500
Victor.2442
Vienna .535
VIENNA, 480
Vienna.1000
Vienna.1006
Vienna.1014
Vienna.1032
Vienna.1059
Vienna.1239
Vienna.1881
Vienna.217
Vienna.304
Vienna.311
Vienna.318
Vienna.348
Vienna.353
Vienna.361
Vienna.367
Vienna.377
Vienna.415
Vienna.435
Vienna.457
Vienna.458
Vienna.462
Vienna.466
Vienna.483
Vienna.486
Vienna.494
Vienna.500
Vienna.507
Vienna.518
Vienna.520
Vienna.526
Vienna.533
Vienna.534
Vienna.539
Vienna.547
Vienna.561
Vienna.565
Vienna.573
Vienna.574
Vienna.582
Vienna.583
Vienna.585
Vienna.600
Vienna.604
Vienna.608
Vienna.610
Vienna.612
Vienna.618
Vienna.620
Vienna.622
Vienna.623
Vienna.625
Vienna.627
Vienna.634
Vienna.637
Vienna.644
Vienna.645
Vienna.646
Vienna.648
Vienna.660
Vienna.662
Vienna.670
Vienna.679
Vienna.680
Vienna.700
Vienna.709
Vienna.716
Vienna.726
Vienna.730
Vienna.732
Vienna.733
Vienna.742
Vienna.744
Vienna.757
Vienna.758
Vienna.767
Vienna.774
Vienna.776
Vienna.777
Vienna.778
Vienna.810
Vienna.822
Vienna.827
Vienna.833
Vienna.849
Vienna.851
Vienna.909
Vienna.939
Vienna.943
Vienna.961
Vienna.988
Vienna.Ambalama.493
Vienna.BigPiter
Vienna.BNB.429
Vienna.ByteWarrior
Vienna.Choinka.A
Vienna.Feliz
Vienna.Feliz.923
Vienna.Monxla.B
Vienna.Oscar
Vienna.Pivi.454
Vienna.Pivi.568
Vienna.SPb.641
Vienna.Violator.2262
Vienna.Violator.5286
Vienna.Violator.5302
Vienna.Violator.5305
Vienna.Violator.779
Vienna.Violator.801
Vienna.Violator.803
Vienna.Violator.821
Vienna.Violator.843
Vienna.Violator.957
Vienna.Violator.969
Vienna.Viperize
Viking.1000
Viking.1000.b
Viking.1000.c
Viking.1400
Viking.1600
Viking.2000
Viking.700
Viking.700.b
Viking.Mixtura.1000
Vinchuca.925
Vindicator.734
Vinnitsa.1620
Vinnitsa.1658
Violetta.3840
Viper.840
VirDem.1336
VirDem.1542
VirDem.463
VirDem.601
VirDem.792
VirDem.824
Viresc
Virogen.1520
Virogen.1535
Virogen.1673
Virogen.1680
Virogen.BombTrack.2054
Virogen.BombTrack.2349
Virogen.Drunk.2117
Virogen.Offspring.1130
Virogen.Offspring.1134
Virogen.Offspring.1138
Virogen.Offspring.1294
Virogen.Offspring.1555
Virogen.Offspring.711
Virogen.PinWorm.2040
Virogen.PinWorm.2150
Virogen.PinWorm.2371
Virogen.PinWorm.2566
Virogen.PinWorm.2585
Virogen.PinWorm.2780
Virogen.Simplex.504
Virogen.Simplex.507
Viros.429
Virus.286
Virus101
Virus90
VirusB.1000
VirusC.496
VirusDead.2308
ViRuZ.729.A
Visite.232
VIV.524
Vivisex.683
VLAD.1221
VLAD.Antipode.1087
VLAD.Antipode.802
VLAD.August
VLAD.Daddy.1093
VLAD.Daddy.1117
VLAD.Dir.653
VLAD.Hemlock.3183
VLAD.Idle.692
VLAD.Idle.696
VLAD.Insert.273
VLAD.MegaStealth
VLAD.MonAmi.1059
VLAD.MonAmi.1066
VLAD.Monkeys.288
VLAD.Mummy.471
VLAD.Neither.591
VLAD.Prodigy.393
VLAD.QMagic.436
VLAD.Replicator.651
VLAD.Replicator.655
VLAD.Republic.1206
VLAD.Sister.792
VLAD.Tasha.2042
VME_1.Demo
VME_2.Demo
Vodka.560
Voice.1495
Void.2304
Void_Poem
Volkov.1684
Voronezh.1536
Voronezh.1584
Voronezh.1600
Voronezh.370
Voronezh.600
Voronezh.650
Vote.1000
VP.909
Vriest.1280
VS-II.1000
VS.2790
VS.3900
VS.612
VVM
Vzpomen.1400
W.559
W95.CIH
W95.Marburg.A
W97M.Calandar.A
W97M.Change.A
W97M.Frenzy.A
W97M.KLA.A
W97M.NightShade.A
W97M.Opim.A
Walker.3846
Wally.1029
Wally.981
Wanderer.400
Warez.1341
Waria.479
Warlock.1817
Warrior.1024
Warsaw.850
Wasp.1655
Wave.454
Weirdo.555
Wench.2537
Werehere.836
WestUkrain.274
Whale.9216
Wilbur.512
WildFire.2222
WildThing.555
WildThing.557
WildThing.567
Wildy.354
Willow.1870
Willow.2013
Win.AEP.a
Win.AEP.b
Win.Twitch
Win.Vir_1_4
Winlamer
WINSTART
Winsurf
Wintiny
WinWord.Concept
Winword.Concept
WinWord.Nuclear
Wirusek.2723
Wisconsin.815
Witch.1140
Witch.1400
Witcode.966
Wizard.268
Wizard.495
WM./Mental.A
WM.Alien-A
WM.Alliance.A
WM.Andry.A
WM.Appder
WM.Archer.a
WM.Armadillo
WM.Atom
WM.Badboy.A
WM.Bandung.A
WM.Bandung.B
WM.Bandung.C
WM.Bandung.D
WM.Bandung.E
WM.Bandung.I
WM.Beeper.A
WM.Birthday.A:De
WM.Birthday.A:De
WM.Black.A
WM.Boom.A:De
WM.Buero
WM.CAP
WM.Cartman
WM.Colors.A
WM.Concept
WM.Copycap
WM.CountTen.A
WM.CVCK1.A
WM.Dance.A
WM.Daniel.A
WM.Dark.A
WM.Date
WM.DMV.A
WM.Easy.A
WM.Envader.A
WM.Fury.A
WM.Gangsterz
WM.Goldfish.A
WM.GoldSecret.A
WM.Haggis.A
WM.Hark
WM.Hassle.A
WM.Helper
WM.Hitman.A
WM.Horn.A
WM.Hot
WM.Hunter.A
WM.Hybrid
WM.Hyper
WM.Illiterate.A
WM.Imposter
WM.Inexist
WM.Innuendo.A
WM.Irish
WM.Italian.A
WM.Ivana
WM.Jaja.A
WM.Johnny.A
WM.JunkFace.A
WM.Kerranga.A
WM.Lazy.A
WM.Lordsatan
WM.Lucy.A
WM.Lunar.A
WM.Lunch.B
WM.MadDog.A
WM.MDMA
WM.Mercy.A
WM.Minimal
WM.Mota.A
WM.Munch.A
WM.Nottice
WM.Npad
WM.Oblom.A
WM.Ordo
WM.Outlaw.C
WM.Panjang.A
WM.Phardera
WM.Plushad.A
WM.Reflex.A
WM.Saver.A
WM.Simple.A
WM.Smiley
WM.Socks.A
WM.Spiral
WM.Spooky
WM.Strezz.A
WM.Sunbeam.A
WM.Talon
WM.Tedious.A
WM.Terror.A
WM.Twister
WM.TwoLines
WM.Viva
WM.Volcano.A
WM.Wallpaper.A
WM.Wazzu.A
WM.Wazzu.C
WM.Wazzu.X
WM.Wompie.A
WM/Fake.A
WM/Niknat
WM/Nuclear.A
WM97/Chack-B
WM97/NoNo-A
WMA.678
Wolfman.2064
Wonder.7424
Word.1069
Word.1085
Word.1387
Word.1391
Word.1485
Word.1503
Worm!.913
Wormsign.1710
Write.474
Wrzod.1043
Wvp.782
WW.217
WXYZ
X97M.Import.A
Xabaras.1972
Xak.3132
Xam.797
Xandu.2385
XEP.1355
XF.Paix
Xibin
XM.Extras
XM.Laroux
XorA.1024
XPEH.3600
XPEH.3840
XPEH.3872
XPEH.3904
XPEH.4752
XPEH.4768
XPEH.5488
XPEH.5792
XPEH.5840
Xph.1010
Xph.1029
Xph.1032
Xph.1100
Xph.1943
Xtac.1564
Xtc.2153
Xuxa.1037
Xuxa.1096
Xuxa.1405
Xuxa.1413
Xuxa.1656
XVXH.322
XVXH.462
XVXH.514
xxxxxx
Yafo.328
Yam.3596
Yam.3599
Yang.2528
Yankee.1049
Yankee.1150
Yankee.1202
Yankee.1256
Yankee.17
Yankee.18
Yankee.19
Yankee.1905
Yankee.21
Yankee.2189
Yankee.22
Yankee.2433
Yankee.2505
Yankee.2561
Yankee.26
Yankee.27
Yankee.2881
Yankee.2895
Yankee.29
Yankee.2968
Yankee.2974
Yankee.2A
Yankee.2C
Yankee.2D
Yankee.2E
Yankee.3045
Yankee.3096
Yankee.Estonia.1716
Yankee.Flip.2167
Yankee.Wobble
YanShort.1624
YanShort.1835
YanShort.1961
YanShort.Bandit
YanShort.Enigma
YanShort.Vote.1961
YanShort.Wizard
YB.2277
YB.2328
YB.2330
YB.299
YB.316
YB.402
YB.425
YB.426
YB.466
YB.647
Yeke.1076
Yeke.1204
Yellow.1361
YMP.NiceDay
Yog.794
Youth.580
Youth.640
Zamoy.587
Zapper.1121
Zed.287
Zelentsov.379
Zero2o
Zerobug.1536
ZeroDivide.604
Zerohunter.412
Zerohunter.415
Zhengxi
ZHT-4CV.1867
Zhugeliang.4784
Zipper
Zipper.2779
Zirate.1687
Ziuck.1279
Ziuck.1372
Zmiana.1224
Zmt.262
Zmt.365
Zoid.1759
Zol.316
Zol.799
Zombie.747
Zortech.836
Zu.473
Zulu.1390
Zxx.600
Zz.429


 Tara de origine

Bulgaria
Canada
Germania
Israel
Italia
Polonia
Romania
Taiwan
USA
Rusia


 Bulgaria

Antibase.1900
AntiPascal.400
AntiPascal.605
DirVirus.691
Horse.1154.a,b
Murphy.1521
Number_of_the_Beast
Phoenix.Live.a
Phoenix.Live.b
Phoenix.Proud
Pixel.345
Vienna.353
Vienna.367
Yankee.2881


 Canada

Datalock.920
Empire.A
Ontario.512
Stoned.Empire.Monkey
Vienna.Violator.2262


 Germania

Ambulance.796
Cascade.1701
Cd.2161
Christmas.1539
Clock.A
Eight_Tunes
Fish#6
Flip.2343
Gliss.1247
Hallochen
Hate
KEY PRESS. 1232.A
Keypress.1232.A
Mummy.1399
Twelve Tricks Trojan
V163
Vbasic
WM.Birthday.A:De
WM.Birthday.A:De
WM.Boom.A:De
WM.Buero
WM.Hunter.A
WM.Smiley
WM.Spooky
WM.Terror.A


 Israel

April1st.COM
Frodo
Jerusalem.Standard.sUMsDos
Jerusalem.sURIV.3.00.##00054
Jumper
Mix.1618
Mix.1636
Necropolis


 Polonia

Joker
Kaczor


 Romania

_1885
_613
AE-BUG
Alex
Alia.1023
Alia.8087
Alia.Prodigy
ANTISCAN. 814
AntiTurbo.A
BadSectors.3147
Breath.34571
December_17th
DiskBoomer.576
Dune.Divide
EARLE. 1244
Earle.3006
Hi.802
J&M
Jos.1000
Lenin
MR-FAMILY
MultiAni
PAN. 667
Pirat.380
RP. DECEMBER 17th
UNCARING. 1054
VIENNA, 480


 Taiwan

Aircop
AntiCAD.3012
ChineFish
Chinese_Fish
Taiwan.677


 USA

Aids Information Kit Trojan
Alameda.A
Asexual
BootEXE.452
Chameleon.1260
Jerusalem
Jerusalem.Sunday
Kinnison
Leprosy.666
Lokjaw.493
PS_MPC
Virus90
WM.Alliance.A
WM.DMV.A
WM.Wazzu.A


 Rusia

Blackjec.230
Feist.670
LoveChild.488
Voronezh.600
WM.Hot


 Loc de rezidenta

Tabela de intreruperi
Intr-un bloc de control al memoriei
In buffere DOS
Rezident in memoria LOW
Rezident in memoria superioara
Rezident in memoria HIGH
In memoria video
In memoria extinsa
In memoria expandata


 Tabela de intreruperi

Ache.338
Ache.352
Adolf.475
AmazonQueen.468
AmazonQueen.479
AmazonQueen.500
Astra.472
Astra.498
Astra.510
Astra.521
Australian.187
Beast-II
Chemist.265
Chris.463
Cinderella.390
Cinderella.B
Csf.240
Csl.381
Csl.457
Csl.517
Curse.400
DM.310
DM.330
DM.400.a,b,c
ExeHeader.223
ExeHeader.Bane.256
ExeHeader.Bob.448
ExeHeader.Mike.252
ExeHeader.Mike.256
ExeHeader.Ming.359
Exile.255
Exit.376
FFFF.432
FFFF.440
Fifo.300
Geek.450
GWorld.314
Heja.511
Hero.394
Hero.506
Hzp.512
James.356
Judgement.390
Junior.224
Klf.356
Ko.407
Ko.408
Ko.408.b
Larry.491
Larry.497
LoveChild.488
LptOff.256
LptOff.271
Macedonia.400
Mag.239
Mag.254
Magda.512
Mayak.513
Metallica.400
Metallica.500
MG
Microbi.312
MISis
MMIR.Extasy
MMIR.Ravage
MRTI.577
Puke.393
Pyramid.457
Quake.518
Riot.278
Riot.279
Riot.281
Riot.282
Riot.392
Riot.Ravage.393
Riot.Tower.411
Ryazan.512
Sauron.375
Shaker.373
Shizol.500
SillyOR.DOS5.60
SillyOR.DOS5.66
SillyOR.DOS5.68
SillyORC.144
SillyRC.125
SillyRC.164
SillyRC.169
SillyRC.172
SillyRC.178
SillyRC.230
SillyRC.239
SillyRC.240
SillyRC.357
SillyRC.66
SillyRCE.263
SillyRCE.266
SillyRCE.307
SillyRE.323
Skew.445
Skew.458
Skew.469
Slash.457
Small.100
Small.104
Small.108
Small.110
Small.114
Small.118
Small.119
Small.122
Small.122.b
Small.123
Small.124
Small.125
Small.127
Small.128
Small.129
Small.130
Small.130.b
Small.131
Small.132
Small.140
Small.144
Small.145.a
Small.145.b
Small.146
Small.149
Small.150
Small.157
Small.160
Small.178
Small.185
Small.59
Small.65
Small.76
Small.80
Small.86
Small.92
SoFar.841
Sofia.432
Sofia.528
Solar.100
Solar.102
Solar.122
Sterculius.240
Sterculius.266
Sterculius.273
Sterculius.280
Sterculius.428
Sterculius.440
Tiny.128
Tony.338
Troi.322
Troi.512
Unhandled.424
Uruk.300
Uruk.361
Uruk.394
Uruk.427
V.359
V.492
Vdv.390
Vector.441
Virus.286
VLAD.Dir.653
VLAD.Monkeys.288
Wave.454
Wizard.268
Write.474
Zerohunter.412
Zerohunter.415


 Intr-un bloc de control al memoriei

AntiTurbo.A


 In buffere DOS

AV_CK.508
Beast
BitAddict.1175
BitAddict.1190
BitAddict.1458
BitAddict.1459
BitAddict.1601
BitAddict.512.a
BitAddict.512.b
BitAddict.979
Capicua.511
Costeau.512
ExeHeader.418
ExeHeader.Olya.398
ExeHeader.SkidRow.415
ExeHeader.SkidRow.432
Int13
Int86.500
V.516


 Rezident in memoria LOW

8tunes
Abba.9849
Acapulco.1971
Accept.3619
Accept.3773
Acvt.1243
Ada.2600
AEP.626
All.1818
April1st.AntiD
April1st.COM
April1st.COM.1000
April1st.COM.941
April1st.EXE
Arab.834
Arale.1526
Arcv.639
Arcv.Ice.642
Arcv.Ice.678
Are_There
Argentina.1206
Argentina.1249
Armagedon.1074
Armagedon.1079.F
Athens 1561
Avispa.2048
Azusa
Bad.389
BadCommand.967
Barcelona
Bat.Naive.4894
Batman.186
Beep.2000
Blackmonday
Bomber
Border.781
Boxes.1086
Breeder.5152
BrokenHeart.445
Budo.1000
Budo.890
Bug.1497
Carioca.951
Casino.2330
Cfsk.918
Chaos.1181
Chaos.1241
ChineFish
Christmas.1694
CLME.Ming.1952
Clone.833
Companion.100
Companion.101
Companion.131
Companion.83
Companion.85
Companion.87
Companion.88
Companion.89
Companion.92
Companion.AIH.823
Cumple.1249
DarkFiber.423
Devil's_Dance
Dicker.400
DirVirus.691
DirVirus.760
DiskWasher
Drwatson.1503
DSCE.Demo.2957
Einstein.878
Emorph.1696
EVC.161
ExeHeader.222
ExeHeader.VVM.204
ExeHeader.VVM.205
F1.337
Fago_t2
FatherMac.1360
FatherMac.1445
FatherMac.1470
FatherMac.1495
FatherMac.1496
FatherMac.1536
FatherMac.789
FatherMac.836
FatherMac.838
FatherMac.USA.797
FaxFree.1536
FaxFree.Abstract.1024
FaxFree.Darkover.1536
FaxFree.Fago_t2
FaxFree.Mecojoni
FaxFree.Mosquito
FaxFree.Pinniz
FaxFree.Pisello.1024
FaxFree.Pisello.1536
FaxFree.Sultan.2766
FaxFree.Topo
FaxFree.Tower
Fellow.1019
Fichv.2.1.903
Fichv.896
Fichv.897
Fichv.903
Fingers.1322
Flood.304
Forger.1000
Freddy.1870
Friends.1361
Galya.500
Gambler.288
GI.2765
Gkchp.800.a
Greetings.1024
Grune
Guppy.152
Hary.981
Hate
Hate.971
Headcrash.1067
Hey_You
Highlander.477
Highlander.478
HLLC.Lanc.7376
HLLP.10304
HLLP.4288
Imi.1536.a
Imi.1536.bcdef
Imi.1538
Imi.1656
Invader
Jabb.615
Jabb.812
Jerusalem
Jerusalem II
Jerusalem.1237
Jerusalem.1244
Jerusalem.1264
Jerusalem.1511
Jerusalem.1530
Jerusalem.1730
Jerusalem.1747
Jerusalem.1767
Jerusalem.1807
Jerusalem.1813
Jerusalem.1962
Jerusalem.2000
Jerusalem.2187
Jerusalem.2432
Jerusalem.662
Jerusalem.998
Jerusalem.Anarkia
Jerusalem.Atb.2389
Jerusalem.Australian
Jerusalem.Bupt.1367
Jerusalem.Cookie.2472
Jerusalem.CVEX.5120
Jerusalem.CVEX.6144
Jerusalem.CVEX.6400
Jerusalem.d
Jerusalem.Dengue
Jerusalem.Discom
Jerusalem.Distrutto
Jerusalem.Exciter
Jerusalem.f
Jerusalem.Fumanchu.2076
Jerusalem.Fumanchu.2080
Jerusalem.g
Jerusalem.Hack.2064
Jerusalem.Haha.1733
Jerusalem.Hermanos.2015
Jerusalem.Hermanos.2777
Jerusalem.Kylie
Jerusalem.Maroccan
Jerusalem.Math
Jerusalem.Mule
Jerusalem.Naita.1646
Jerusalem.Pipi.1536
Jerusalem.Pipi.1552
Jerusalem.Plastique.2224
Jerusalem.Plastique.3004
Jerusalem.Plastique.3012
Jerusalem.ProtPC.2223
Jerusalem.Rambo
Jerusalem.Roger.2000
Jerusalem.Roger.2128
Jerusalem.Rulis.1639
Jerusalem.Satan.1540
Jerusalem.Satan.1719
Jerusalem.Scott.1716
Jerusalem.Scott.2126
Jerusalem.Skism
Jerusalem.Smile.2576
Jerusalem.Solano
Jerusalem.Standard
Jerusalem.Subliminal
Jerusalem.Sunday
Jerusalem.Sunday.Satan
Jerusalem.Taiwan.2576
Jerusalem.Taiwan.2900
Jerusalem.Taiwan.3088
Jerusalem.Taiwan.3454
Jerusalem.Timor
Jerusalem.Tobacco.2900
Jerusalem.Totoro.1536
Jerusalem.Viajero
Jerusalem.Xed.1238
Jerusalem.ZipEater
Jmp.2153
June12th
Khizhnjak.490
Khrusha.1505
Konkoor.1746
Konkoor.1844
Konkoor.1933
Kwok.1618
LoadHigh.1467
Lockup.2969
Lunacy.2513
Lunacy.2865
Mabuhay
Mabuhay.2660
Mabuhay.2695
MadSatan.19033
MadSatan.2876
MadSatan.639
MadSatan.9849
MadSatan.King.1424
MadSatan.King.2175
Malaga.2610
Marawi.2828
Mich_II.924
Miky.2350
Mirage.1322
Mirage.1331
Miss-D.1360
MJ.1513
Mnemonix.Atomic.425
Moctezuma.2208
Monarch.1040
Mordor.1104
Mordor.1110
Mordor.538
MPS.682
MPS.754
MSU4.2000
Mummy.1364
Mummy.1399
Mummy.1489
Murderer.3670
Necros.1164
Ng.1036
Ng.706
Ng.914
Nocopy.3685
Nocopy.3695
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB7
Omi.986
Oops.600
OopsTmp.1087
Oropax
Pandora.1536
Paramon.917
Patoruzu.1024
Pcvrs.1904
Peterburg.529
Phantom1
Piaf.1859
Piazolla.874
Planters.360
Plastique
PMT.867
Poss.2175
Poss.2367
Poss.2438
Poss.2443
Poss.2446
Printerceptor
Quiet.2048
Rael.3211
Rauser.164
Rauser.250
Rencodes.4206
Revenge.1127
Riot.355
Riot.Enemy.757
Riot.Marked.354
Rom.331
Rom.397
Russian_Flag
Sauron.1088
Shirley.4096
Shirley.Vivaldi.4096
SillyOR.DOS5.74
SillyORCE.101
SillyORCE.200
SillyORCE.67
SillyORCE.71
SillyRC.122
Slayer.2638
Slow.1716
Smvb.1023
Smvb.1100
Smvb.708
Spanish.1417
SSH.2770
SSH.2944
Storyteller
Stupidus.1504
Su
SuperVirus.1175
Susan.571
Syrian.241
Syrian.412
Tabulero.2048
Terminator.1501
Terminator.3490
Terminator.526
Terminator.918
TerraX.1027
TheBestOne.1281
Topa.2456
Topa.2476
Topa.2520
Traceback.2930
Traceback.3029
Traceback.3066
Tron.754
Trust.2356
TV.730
Twelve Tricks Trojan
Twin.351
UVR.3919
V.1253
V.1376
V.1385
V.1663
V.1827
V.2371
V.394
V.702
V.736
VCode.1633
VCode.2246
VCode.2262
Victor.2442
Vinchuca.925
Violetta.3840
Virogen.Offspring.711
VLAD.Mummy.471
Voronezh.370
Vriest.1280
VVM
W.559
Willow.1870
Willow.2013
Wolfman.2064
Xtac.1564
Xuxa.1405
Xuxa.1413
Yang.2528
Yellow.1361
Zero2o
Zerobug.1536
Zhugeliang.4784


 Rezident in memoria superioara

Asexual
Beavis.671
ExeHeader.Funked.400


 Rezident in memoria HIGH

8ball
ABC
Aircop
ANTIPRINT
ARCV-9
ARIANA
Beer
Beijing
Benoit
Bert
BOOJUM
Bow
Brother_300
Bung 142
CANNA615
Cara.1024
Cas-927
CASTEGGI
CAZ.1159.b
Chinese_Fish
Dark_Avenger.1800.A
Dark_Avenger.1801
Darkend
Data-Rape-2.0
December_17th
Denzuk.1
Diamond.David
Ecu
Ed
Egg
Eight_Tunes
Ekoterror
End-of
Evilgen
ExeHeader.Pure.429
ExeHeader.Pure.439
ExeHeader.Pure.440
ExeHeader.Pure.441
ExeHeader.Pure.449
ExeHeader.Pure.De'buger.427
Form.A
GoldBug
Hungarian.482
Leech
Little.Red
Monkey.B
Neuroquila
OneHalf.3577
PS_MPC
Shimmer.a
Shimmer.b
Unashamed.B
V_Sign
WINSTART
Xibin


 In memoria video

Apparition.254
Apparition.700
BitAddict.477
I_Owe.261
Nipple.208
Star.486
Synergy.288


 In memoria extinsa

EMS.411
EMS.427
Silicon.1019


 Mod de manifestare

Alterare date
Produce blocaje
Modifica data fisierului
Produce sunete
Produce efecte video
Produce distrugeri temporare
Produce distrugeri permanente
Are efecte colaterale
Reinfecteaza fisierul


 Alterare date

2up.6000
66c.612
8888
99percents
ABC.2378
Abraxas.1170
Abraxas.1171
Abraxas.1200
Abraxas.1214
Abraxas.1304
Abraxas.Cleton.1508
Abraxas.Cleton.1518
Abraxas_II.2011
Accept.3619
Accept.3773
Acvt.1243
Ada.2600
Adrenalin.571
Agena.723
Agiplan.1536
Ahasverus.1244
Aids.552
Alien.1356
Alien.1976
Amoeba.1392
Amoeba.2367
AMSV.443
Amz.1110
Amz.600
Amz.789
Amz.801
Andreev.805
Andrew.634
ANDROMEDA.1024b
ANDROMEDA.1024c
Andromeda.1140
ANDROMEDA.1536a
ANDROMEDA.758
Andryushka.3536
Andryushka.3568
Ansi.881
Ansibomb
Anthrax
Antimit.770
AntiPascal.400
AntiPascal.407
AntiPascal.440
AntiPascal.480
AntiPascal.529
AntiPascal.605
Antiscan.508
Apocalipse.1685
Arab.834
Arianna.2864
Arianna.3375
Arianna.3426
Ash.743
Ash.817
Ash.Pizza.1602
Ash.Pizza.1604
Ash.Riot.441
Ash.Riot.449
Ash.Riot.451
Asmodeous.1160
Asmodeous.1343
Asmodeous.1833
Astra_II.1010
Astra_II.1556
Astra_II.505
Astra_II.882
Astra_II.927
Astra_II.976
Atomic.232
Atomic.371
Atomic.480
Aurea.653
Aurea.768
Australian.Middle.1041
Australian.SDir.550
Ava.600
Avalanche.2818
Avalanche.2831
Avatar.Acid.670
Avatar.Acid.674
Avatar.BigBang
Aztech.1200
Bach.498
Backfont.765
BackFormat.2345
Badboy.1000
Badboy.1001
Badboy.1074
BadCommand.967
Badguy.208
Badguy.265
Bailey.270
Bailey.380
Barrotes.1194
Barrotes.1310
Barrotes.840
Barrotes.849
Bastard.1979
Bat.Skul
Bat2Exec.1644
Beaches.1091
Beast-II
Beda.1530
Beer.3164
Beer.3192
Beer.3307
Beer.3399
Beer.3490
Berserker.3537
Berserker.3561
BestWishes.1024
BestWishes.970
BetaBoys.457
BetaBoys.459
BetaBoys.538
Beware.442
BigMouse.998
Bishop.2855
Bishop.4517
BitAddict.1458
BitAddict.1459
BitAddict.1601
BitAddict.477
BitAddict.512.a
BitAddict.512.b
Blackjec.300
Blackjec.301
Blackjec.307
Blackmonday
BlackWind
Blaze.284
Bloodlust.302
BloodyWarrior
Bobas.754
Bobo.1355
Bobo.1363
Bomb.1942
Bops.900
BrokenHeart.445
Bruces.417
Bubonic.2181
Budo.1000
Budo.890
Burger.382
Burger.398
Burger.405
Burger.498
Burger.505
Burger.509
Burger.512
Burger.536
Burger.560
Burger.Pirates.609
Burma.409
Burma.442
Burma.563
Burma.756
Butt.461
C0m.263
Carbuncle.621
Carbuncle.622
Cartier.1056
Cascade.1491
Cascade.691
Cascade.792
Casino.2330
Caz.1159
Caz.1204
Chameleon.Casper.1190
Chameleon.Casper.1200
Chameleon.Casper.1440
Chang.1759
Chaos.1181
Chaos.1181.B
Chaos.1241
ChaosYears.1837
ChaosYears.2005
Chcc.2662
ChDir.422
ChDir.523
Chill.544
Chips.877
Christmas.1539
Cinderella.779
Civil.6656
Civil.6672
Civilwar.444
Civilwar.Antidaf.561
Civilwar.Rabbit.292
Civilwar.Ratboy.513
Civilwar.Ratboy.545
Civilwar.Ratboy.671
Cj.304
Clinton.654
CLME.Ming.1952
Close.656
Close.960
Collor.878
Comsysexe.2711
Congratilations
Cookie.653
Cookie.722
CopCom.286
CopCom.287
CopyProtected
Cossiga.859
Cpw.1459
Cpw.1527
Cracky.596
CrazyEddie
CrazyPriest
Crepate.1944
Crepate.2910
Criminal.2615
Croatia.1535
Cybercide.1288
Cybercide.1307
Cybercide.1309
Cybercide.1321
Cybercide.2229
Cybercide.2256
Cyberloard.381
Darkend.1188
Darth.201
Darth.255
Darth.344
Darth.409
Darth.411
Dashel.1804
Datacrime.1168
Datacrime.1280
Datacrime.1480
Datacrime.1514
DataFire.1080
Datalock.1043
DBF.1115
Dead.1362
Dead.1364
Dead.1374
Dead.790
Deathrider.729
Deicide.665
Deicide.666
Deliver.BlueShark.1771
Deliver.Digi.3547
Demolited.1585
Demonhyak.270
Demonhyak.272
Denzuk.1
Desperado
Devastator.174
Devil.941
DewDZ
Diamond.1063
Diamond.1100
Diamond.Greemlin.1146
Diamond.RockSteady.666
Die_Lamer.1090
DirDropper.1577
DirDropper.1686
DirFiller.1409
DirII.Dragon
DirVirus.691
DirVirus.760
Dis.1024
DiskFull.1871
Dlsu.477
DM.400.a,b,c
DM.674
Doom.1240
Doom.1504
Doomsday.715
Doomsday.733
Doshunter.483
DR&ET.1710
Drwatson.1503
Dwi.1051
Eader.2000
Eddie.1530
Eddie.1687
Eddie.1693
Eddie.1797
Eddie.1799
Eddie.1800
Eddie.1801
Eddie.1813
Eddie.2000
Eddie.2100
Eddie.Jasper
Eddie.Korea
Eddie.Major
Eddie.Oliver
Eddie.Psko
Eddie.Satan.1800
Eddie.Shyster
Eddie.Sign
Eddie.Uriel
Einvolk.521
Einvolk.526
Elaine.1127
Elena.730
Eliza.1194
Em.1303
Emmie.2823
Emmie.3097
Enola.1864
Enola.2430
Eupm.1731
EVC.161
Evolution.2761
Evolution.2770
ExeBug.a,c
ExeHeader.394
ExeHeader.396
ExeHeader.Bosco
ExeHeader.Olya.398
Exile.255
Faggot.1009
Fago_t2
Fasolo.149
Fasolo.176
FastKiller.481
FatherMac.1536
FaxFree.1536
FaxFree.Darkover.1536
FaxFree.Fago_t2
FaxFree.Mecojoni
FaxFree.Mosquito
FaxFree.Pinniz
Fdate1111.570
Fear.1823
FFFF.432
Fichv.896
Fichv.897
Fichv.903
Find.666
Flagyll.316
Flagyll.318
Flagyll.369
Flagyll.371
Flip.2153
Flip.2343
Flip.2365
Flip.Madrid
Flood.304
Flower.883
Forger.1000
Freddy.1870
Freddy.2271
Freew.692
Friday13.408
Friday13.416
Friday13.417
Friday13.456
Friday13.623
Frodo
Frogalley.1500
Frz.1567
Galya.500
Gambler.288
Game.1053
Game.1065
Geek.450
GeldWash.1497
Ghh.482
Girl.2273
Gkchp.800.a
Glemp.877
Goga
GoodThursday
Gotyou.5052
Green.1036
GreenMonster
Grog.202
Grog.377
Grog.456
Grog.557
Grog.647
Grog.660
Grog.903
Grune
Grunt.344
Grunt.346
Grunt.359
Grunt.427
Grunt.473
Grunt.529
GWorld.314
Gyro.512
HackMaster.1197
Haifa.2352
Halka.474
Harakiri.5488
Hard.662
Hate
Hate.971
Hdzz.566
Heevahava.514
HH.1024
Highlander.477
HLLC.Cornucopia
HLLC.Dope.5219
HLLC.Enrico
HLLO.10842
HLLO.187Killa
HLLO.3008
HLLO.3522
HLLO.4032
HLLO.4240
HLLO.4317
HLLO.4372
HLLO.4734
HLLO.4830
HLLO.4870
HLLO.5488
HLLO.6144
HLLO.6286
HLLO.6544
HLLO.7392
HLLO.Aids.13847
HLLO.Aids.13952
HLLO.FU.8608
HLLO.JJJ.3816
HLLO.Joker
HLLO.Kamikaze
HLLO.Messanger
HLLO.Nazi.4240
HLLO.Nova
HLLO.NumOne
HLLO.Ostraboo
HLLO.Picked
HLLO.Ruf
HLLO.Tu.4752
HLLP.16470
HLLP.4075
HLLP.Ukazna
Honey.1027
Horror.1112
Horror.1137
Horror.1182
House.11636
HS.903
HS.982
Hungarian.482
Hybrid.1306
Hymn.1865
Hymn.1962
Hymn.2144
Ienez.1428
Ieronim.1492
Ieronim.1596
Int83.522
Int83.584
Int83.690
Int83.706
Int83.768
Int83.800
Int83.855
Int83.864
Int83.880
Intruder.1336
Intruder.2336
Invader
Invisible
Invisible.b
Invol.1314
Invol.1401
IronMaiden
Itavir.3187
J.S. Bach
Jackal.3118
Jackal.3120
Jackel.713
Jd.448
Jd.460
Jeff.812
Jerusalem
Jerusalem.1530
Jerusalem.1730
Jerusalem.1767
Jerusalem.1807
Jerusalem.1813
Jerusalem.1962
Jerusalem.2000
Jerusalem.2187
Jerusalem.Anarkia
Jerusalem.Australian
Jerusalem.CVEX.5120
Jerusalem.CVEX.6144
Jerusalem.CVEX.6400
Jerusalem.d
Jerusalem.Dengue
Jerusalem.Distrutto
Jerusalem.Exciter
Jerusalem.f
Jerusalem.g
Jerusalem.Haha.1733
Jerusalem.Hermanos.2015
Jerusalem.Hermanos.2777
Jerusalem.MBR
Jerusalem.Plastique.3004
Jerusalem.Plastique.3012
Jerusalem.ProtPC.2223
Jerusalem.Rambo
Jerusalem.Rulis.1639
Jerusalem.Satan.1719
Jerusalem.Subliminal
Jerusalem.Sunday
Jerusalem.Sunday.Satan
Jerusalem.Taiwan.2576
Jerusalem.Taiwan.2900
Jerusalem.Taiwan.3454
Jerusalem.Tobacco.2900
Jerusalem.Xed.1238
Jerusalem.ZipEater
Jocker.1371
Joe.1089
Joshi
July13
July13.b
June16
Junior.224
Justice
Jvirus.2267
Keeper.China.777
Keeper.Fly.1036
Keeper.Massacre.775
Kela.2010
Kernel.608
Keypress.1000
Keypress.935
Khizhnjak.565
Khizhnjak.632
Khizhnjak.719
Khizhnjak.DeathLord.752
Khizhnjak.DeathLord.933
Kid.434
Killer.964
Knight.1136
Ko.407
Kode4.399
Kohntark.K-CMOS.931
Kohntark.K-CMOS.937
Koko.1780
Konkoor.1746
Konkoor.1844
Konkoor.1933
Kuku.448
Kyokushinkai
Lady.873
Lapidario.787
Leech.1024
Leech.Tazta.1008
Lego.1000
Lehigh
Leprosy.1207
Leprosy.1818
Leprosy.1992
Leprosy.321
Leprosy.350
Leprosy.370
Leprosy.47857
Leprosy.5120
Leprosy.5370
Leprosy.562
Leprosy.571
Leprosy.585
Leprosy.591
Leprosy.595
Leprosy.600
Leprosy.625
Leprosy.647
Leprosy.664
Leprosy.666
Leprosy.666.c
Leprosy.736
Leprosy.800
Leprosy.808
Leprosy.81
Leprosy.814
Leprosy.907
Leprosy.946
Leprosy.BadBrains.554
Leprosy.BadBrains.570
Leprosy.BadCommand.281
Leprosy.Beavis.201
Leprosy.Busted.570
Leprosy.Busted.572
Leprosy.Echo.425
Leprosy.Flood.999
Leprosy.Jas.792
Leprosy.Lubec.731
Leprosy.Merci.308
Leprosy.Misery.664
Leprosy.Morrison.870
Leprosy.Oss.591
Leprosy.Peace_SA.777
Leprosy.Riot.666
Leprosy.Riot.808
Leprosy.Sandra.534
Leprosy.Sandra.535
Leprosy.Sandra.551
Leprosy.Sandra.573
Leprosy.Sandra.579
Leprosy.Sandra.606
Leprosy.Sandra_II.1356
Leprosy.Sandra_II.1809
Leprosy.Sector.827
Leprosy.Seneca.381
Leprosy.Seneca.483
Leprosy.Seneca.493
Leprosy.Skism.1992
Leprosy.Spam.1306
Leprosy.Taz.1973
Leprosy.Taz.2197
Leprosy.Taz.2209
Leprosy.Taz.2276
Leprosy.YH.880
Liberty.a
Liberty.b
Linda.517
LionKing.3531
Lip.286
LittBrother.361
Littlegirl.1004
Littlegirl.1008
LoadError
LoadHigh.1467
Lockup.2969
Lokjaw.1050
Lokjaw.1052
Lokjaw.1053
Lokjaw.493
Lokjaw.499
Lokjaw.507
Lokjaw.518
Lokjaw.520
Lokjaw.894
Lokjaw.Firefly.1087
Lokjaw.Firefly.1106
Lokjaw.Kenson.573
Lomza
Loren.1374
Loren.1387
Lost.2878
LoveChild.2710
LoveChild.488
Loz.1018
Loz.1023
Loz.1958
Loz.2968
LSD.1600
Lseek.1461
Lunch.1756
Lyceum.944
Madismo.6007
Magda.512
Malmsey.495
Manuel.1155
Manuel.840
Manuel.937
Manuel.957
Manuel.995
Maresme.1062
Marzia.DV.2048
Marzia.Minosse
Marzia.Petunia
Marzia.WW.2048
Maus.1888
Maverick.1536
Mayak.513
Maze.985
MegaBug.546
Metallica.1536
MGUL.1953
MGUL.1962
MGUL.925
MGUL.950
Milan.Antinazi
Milan.Naziskin.270
Milan.Naziskin.335
Milan.Naziskin.903
Milan.Sabrina.175
Milan.Verbatim.289
Mindless.418
Mindless.423
Mindless.429
Minosse.3072
Minsk.1075
Mirror.482
MJ.1513
MLTI.830
MMIR.Ravage
Moctezuma.2208
Moctezuma.2416
Mombasa.3568
Monarch.1040
Monday.499
Monika.1314
Monika.686
Mono.1063
MonteCarlo.1483
MonteCarlo.1541
Mordor.1104
Mordor.1110
MPTI.1536
MR.962
MrTwister.12288
MrTwister.16384
MS.748
Msk.272
MtE.CrackerBack
MtE.Dedicated
MtE.Destructor
MtE.Encroacher
MtE.Groove
MtE.Lct
MtE.Questo
Mummy.1364
Mummy.1399
Mummy.1489
Munich.2355
Murderer.3670
Murphy.1008
Murphy.1040
Murphy.1841
Murphy.Badtaste
Murphy.Bhak
Murphy.David.1173
Murphy.Delirium.1659
Murphy.Delirium.1752
Murphy.Delirium.1778
Murphy.Delirium.1780
Murphy.Delirium.1788
Murphy.IV.1650
Murphy.Migram.1219
Murphy.Migram.1221
Murphy.Napalm
Murphy.Pest
Murphy.Torment
Murphy.Woodstock.1219
MutaGen.100.Garden
MutaGen.100.Secret
Mutator.307
Mutator.459
Mutator.780
MutInt.680
MutInt.688
MutInt.694
N-Xeram.1664
Nanite.332
Narcosis.1431
Natas.4740
Natas.4744
Natas.4746
Natas.4766
Natas.4774
Natas.4988
NED.Nukehard
Neko.1964
Neko.1990
NetBios.4340
NewAids.1041
Nguyen.1740
Nigeb.890
Night.2048
NightKnight
Nina.1600
Nines.776
Ninja.1376
Nomenklatura
Nostardamus
Nov7.482
Nr.300
NTU.Amour.3312
NTZ.397
Nuke.1680
Nuke.Clock
Nuke.LoneWolf
Nuke.Marauder.855
Nuke.Pox.609
Nuke.Pox.955
Nuke.Pox.963
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Oeur.3072
Ohm.777
OneHalf.3544
OneHalf.3570
OneHalf.3577
Ooops.368
Open.1569
Open.1581
Oscar
Otti.932
Ouse.591
Panic.398
Parasite.1132
Parasite.901
Parasite.903
Paris
ParityError.621
ParityError.686
Particle.690
Pcbb.1656
Pcbb.1658
Pcvrs.1904
Pdp.1477
Pdp.1564
Pdp.822
PeaceKeeper.a
PeaceKeeper.b
Peasant.1243
Penetrator.984
Perfume.731
Perfume.765
Phoenix
Phoenix.2000
Phoenix.Evil
Phoenix.Proud
Phonix.927
Phx.1289
Phx.1336
Phx.965
Picket.1034
Picket.843
Pirate.1344
Pixel.275
Pixel.299
Pixel.345
Pixel.740
Pixel.846
Pixel.847.abc
Pixel.852
Pixel.877
Pixel.897
Pixel.899
Pixel.936
Pixel.Cheef.297
Pixel.Cheef.300
Pixel.Hydra.340
Pixel.Hydra.342
Pixel.Hydra.343
Pixel.Hydra.368
Pixel.Hydra.372
Pixel.Hydra.391
Pixel.Hydra.403
Pixel.Hydra.495
Pixel.Hydra.736
Planters.360
Plastique
Platov.1644
Plovdiv.1000
Plovdiv.800
Plovdiv.984
Plutto.602
Poem.1825
PoorMan.1168
Poss.2175
Poss.2367
Poss.2438
Poss.2443
Poss.2446
Printerceptor
Pro-Alife.3423
Prudents.1205
Psycho.723
Pux.1295
Qumak.1079
Qumak.1161
Radish.8444
Radish.8466
Rael.3211
Rape.1882
Rape.2877
Rape.2887
Rape.486
Rape.500
Rape.575
Rape.747
Rasek.1489
Rasek.1490
Rasek.1492
Rattler.1536
Raving.2300
Rb91.899
RDA.Fighter.5871
RDA.Fighter.5969
RDA.Fighter.7408
Rencodes.4206
Rest.1588
Revenge.1127
Rider.577
Riot.309
Riot.355
Riot.428
Riot.723
Riot.724
Riot.789
Riot.Aladdin.886
Riot.BadReligion.278
Riot.BadReligion.381
Riot.Caffeine.366
Riot.CarpeDiem.1012
Riot.CarpeDiem.469
Riot.CarpeDiem.472
Riot.DDeath.1062
Riot.DDeath.1153
Riot.Digital.1354
Riot.Digital.822
Riot.Digital.823
Riot.Eternity.584
Riot.Eternity.599
Riot.Eternity.600
Riot.Face.565
Riot.Immortal.550
Riot.Insine.1026
Riot.Keyb.667
Riot.Keyb.756
Riot.Keyb.873
Riot.Maria.1118
Riot.Maria.1126
Riot.Marked.354
Riot.Moonlite.458
Riot.Moonlite.465
Riot.Multi.791
Riot.Multi.813
Riot.Multiplex.815
Riot.Multiplex.821
Riot.RedMercury.823
Riot.RedMercury.825
Riot.Sturm.410
Riot.Sturm.411
Riot.sUMsDos.472
Riot.Tornado.461
Riot.TTT.1063
Riot.TTT.712
Riot.Uniq.308
RIP.3214
Rogue.1208
Rogue.1213
Ruchawi.2560
Russel.1200
Russel.1235
Sair.1150
Sandy.1376
Satanic.1345
SatBug.FruitFly
Saturday14
Sauron.1088
Sayha.1000
Search.330
Search.377
Search.413
Search.437
Search.549
Seneca.392
Sformat.699
Sfrust.632
Shadow.1200
Shadow.635
Shadow.723
Shadowgard
Shame.1455
Shanghai.848
Shark.1027
Shark.1283
Shutdown.644
Shutdown.698
Sibylle.853
Sibylle.858
Signed.979
Signed.980
Signed.982
Silly.2256
SillyC.103
SillyC.1063
SillyC.281
SillyE.1024
SillyOCE.277
SillyOR.DOS5.102
SillyOR.DOS5.109
SillyOR.DOS5.60
SillyOR.DOS5.66
SillyOR.DOS5.68
SillyOR.DOS5.69
SillyOR.DOS5.74
SillyOR.DOS5.77
SillyOR.DOS5.98
SillyOR.DOS5.99
SillyORC.144
SillyORCE.101
SillyORCE.200
SillyORCE.67
SillyORCE.71
SillyRC.524
SillyRE.323
Silver.1547
Silver.1644
Silver.1874
Silver.2071
Silver.2218
Silver.8101
Singapore.910
Sirius.Alive.2283
Sirius.Mem.1187
Sirius.Mem.1201
Sirius.Mem.1203
Sirius.Mem.1217
Sk.1004
Sk.1147
Sk.626
Sk.992
Skew.458
Slayer.2638
Slugger.288
Smeg.Pathogen
Smeg.Queeg
Smeg.Queeg.c
SoFar.841
SofiaTerminator.1369
SofiaTerminator.839
Soldier.545
Soldier.557
Something.658
Sonik.854
Sova.4060
Spanish.1417
Sphinx.2751
Split.250
Stasi.1728
Stranger.734
Stupid.1355
Sundevil.691
Sundevil.762
SuperVirus.1175
Susan.571
Susenka.862
SVC.2936
SVC.4644
SVC.4661
SVC.4677
Switch.855
Syrian.241
Syrian.412
Tadihno.971
Taiwan.677
Taiwan.708
Taiwan.743
Taiwan.752
TalkHead.519
Taz.1014
Taz.987
Taz.995
Telefonica.3429
Telefonica.3700
Telefonica.3784
TenBytes.1411
TenBytes.1514
Tequila.d
Teraz.4004
Terminator.1501
Terminator.2294
Terminator.3490
Terminator.918
Tetris.552
TheBestOne.1281
TheDraw.2267
TheDraw.6530
TheWanderer
Tim.1600.a
Timid.320
Timid.371
Timid.382
Timid.421
Timid.513
Timid.526
Timid.557
Tina.826
Tiny.330
Tiny.Fred
Todor.1993
Topa.2456
Topa.2476
Topa.2520
Tormentor.475
Tormentor.476
Toxic.171
TPE.Lamer
Trakia.653
Trance.1721
Trickster
Trivial.102
Trivial.123
Trivial.125
Trivial.127
Trivial.128
Trivial.128.b
Trivial.143
Trivial.145
Trivial.157
Trivial.178
Trivial.194
Trivial.200
Trivial.202
Trivial.207
Trivial.22
Trivial.229
Trivial.23
Trivial.25
Trivial.26
Trivial.27
Trivial.28
Trivial.29
Trivial.30
Trivial.31
Trivial.32
Trivial.33
Trivial.33.b
Trivial.330
Trivial.34
Trivial.342
Trivial.346
Trivial.36
Trivial.36.bcd
Trivial.37
Trivial.39
Trivial.40
Trivial.42
Trivial.43
Trivial.44
Trivial.45
Trivial.46
Trivial.50
Trivial.53
Trivial.54
Trivial.64
Trivial.66
Trivial.67
Trivial.68
Trivial.75
Trivial.82
Trivial.85
Trivial.89
Trivial.92
Trivial.99
Trivial.Anarchy.146
Trivial.Anarchy.469
Trivial.Banana.139
Trivial.Diddler.91
Trivial.Exe2Win.116
Trivial.Exec.161
Trivial.Exec.162
Trivial.Fire.206
Trivial.FTW.101
Trivial.FTW.192
Trivial.Hot.130
Trivial.Kode4.129
Trivial.Kode4.131
Trivial.Kode4.90
Trivial.Ratboy.50
Trivial.Ratboy.80
Trivial.Tom.59
Trivial.Vootie.66
Trivial.Vsafe.72
Trivial.ZZ.127
Trust.2356
TS.1418
Tula.1480
Tula.419
Tula.593
Tula.635
Tumen.1092
TV.730
TVED.Trurl.789
U.524
Uddy.2617
Ufa.1201
Ugur.1297
Ugur.1320
Ultra.5700
Unexe.425
Unknown.1111
Unknown.1293
UVR.3919
V.1014
V.1024
V.1099
V.1121
V.1241
V.1253
V.1308
V.1319
V.1376
V.1385
V.1391
V.1443
V.1792
V.2371
V.384
V.492
V.509
V.573
V.6000
V.670
V.696
V.894
V.928
Vbasic
VCM.493
VCode.1886
VCode.2540
VCS.Manta
VCS.Paranoimia
VCS.Ruf
Vdv.853
Vector.441
Vengeance.252
Vengeance.390
Vengeance.435
Vengeance.723
Veronika.1549
VICE.05.Code
Victor.2442
Vienna .535
Vienna.1014
Vienna.348
Vienna.353
Vienna.367
Vienna.435
Vienna.520
Vienna.533
Vienna.573
Vienna.582
Vienna.583
Vienna.585
Vienna.604
Vienna.618
Vienna.620
Vienna.623
Vienna.637
Vienna.648
Vienna.662
Vienna.670
Vienna.679
Vienna.680
Vienna.716
Vienna.730
Vienna.742
Vienna.744
Vienna.767
Vienna.774
Vienna.833
Vienna.849
Vienna.851
Vienna.909
Vienna.943
Vienna.Oscar
Vienna.Pivi.568
Vienna.SPb.641
Vienna.Violator.2262
Vienna.Violator.5286
Vienna.Violator.5302
Vienna.Violator.5305
Vienna.Violator.779
Vienna.Violator.801
Vienna.Violator.803
Vienna.Violator.821
Vienna.Violator.843
Vienna.Violator.957
Vienna.Violator.969
Vinchuca.925
Vinnitsa.1620
Vinnitsa.1658
Viper.840
VirDem.463
Virogen.BombTrack.2054
Virogen.BombTrack.2349
Visite.232
Vivisex.683
VLAD.1221
VLAD.August
Voronezh.1536
Voronezh.1584
W.559
Wally.1029
Wally.981
Warez.1341
Warrior.1024
Warsaw.850
Wasp.1655
WestUkrain.274
WildFire.2222
Willow.1870
Willow.2013
Wisconsin.815
Witch.1140
Witch.1400
Witcode.966
Wolfman.2064
Wonder.7424
Word.1069
Word.1085
Word.1387
Word.1391
Word.1485
Word.1503
Wormsign.1710
Write.474
Xabaras.1972
Xak.3132
XEP.1355
XorA.1024
XPEH.3840
XPEH.3872
XPEH.3904
XPEH.4768
XPEH.5488
Xph.1010
Xph.1032
Xph.1100
Xph.1943
Xtac.1564
Xtc.2153
XVXH.462
XVXH.514
Yang.2528
YanShort.1835
YanShort.Bandit
YanShort.Enigma
Zapper.1121
Zoid.1759
Zombie.747
Zu.473
Zxx.600


 Produce blocaje

Arriba.1590
Burglar
Christmas.1539
Darkend.1188
December_17th
DewDZ
Hare.7610
Icelandic.1(656)
Icelandic.2
Joshi
Mix.1636
Murphy.1521
Number_of_the_Beast
Nutcracker.AB1.Antarex
Nutcracker.AB2
Peacekeeper
Phoenix.Live.b
Phoenix.Proud
Russian_Flag
Satria.B
V_Sign
Xibin
Zerobug.1536


 Modifica data fisierului

10past3
10past3.b
7son.284
Akuku.1111
Amoeba.1392
AntiPascal.480
AntiPascal.605
Arcv.679
Arcv.Anna.742
Are_There
Arriba.1590
Athens.1561
Blood.418
Burglar
Cara
Caz.1159
CAZ.1159.b
Caz.1204
Chad.751
Chameleon.1260
Cinderella.B
Cinderella_II
Close.656
Cossiga.883
Cpw.1459
Darkend.1188
Deicide.666
Deicide.693
Devil's_Dance
DewDZ
Diamond.David
Diamond.Lucifer.1086
DirVirus.691
Dismember
Drop.1131
Dudley
EMF.404
Europe.421
Exe_Bug.A
F1.337
Fgt.651
Fichv.903
FileHider.789
FITW
Flip.2343
Gippo.1242
Gotcha.1781
GTM.BewareBug.1446
Hallochen
Hare.7610
Helloween.1839
Hide_and_Seek
Highlander.477
Horse.1154.a,b
Horse.1776
Hungarian.482
Icelandic.2
J.S. Bach
Jerusalem II
Jerusalem.1767
Jerusalem.1808.GreenCaterpillar
Jerusalem.Standard.sUMsDos
Jerusalem.Sunday
Jerusalem.Sunday.II
Keypress.1232.A
Keypress.1495
Kthulhu.512
Lenin
Leningrad.543
Lisbon
LittleBrother.321
MadSatan.647
Malaga.2610
Maze
Mirage.1331
MMIR.Das_Boot
MMIR.Extasy
MMIR.Ravage
MutaGen.100.Garden
N8FALL
Nexiv_Der
Number_of_the_Beast
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Nutcracker.AB2
Nutcracker.AB7
Phx.965
Pirat.380
Pixel.345
Positron
Rainbow
RM
Runtime.365
Shira-2048
SillyRC.200
Siskin.948
SSR
Stoned.No_INT.Vincent
Taiwan.677
Telefonica.3700
Tequila
Uruguay.4
Uruguay.4879
Uruguay.5
Uruguay.6262
Uruguay.6344
V.814
Vienna.353
Vienna.367
Vienna.623
Vienna.733
Vienna.822
Vienna.Choinka.A
Vienna.Violator.2262
Vienna.Viperize
Virus101
Warlock.1817
Yankee.Wobble
Zerobug.1536


 Produce sunete

3APA3A.b
3tunes.1784
8tunes
Abraxas-3
Abraxas.1170
Abraxas.1171
Abraxas.1200
Abraxas.1214
Abraxas.1304
Abraxas.Cleton.1508
Abraxas.Cleton.1518
Acapulco.1971
Acme
Advent.2764
AIDS_II
Akuku.1111
AM_II.1281
Ambulance
Ambulance.795
Ambulance.796
Anarchy.9382
Ancient
Andryushka.3536
Andryushka.3568
AntiCAD.3004
AntiCAD.3012
Arcv.Dennis.874
Arcv.Dennis.897
Atas.3215
Atas.3233
Atas.3321
Beep.2000
Beer.2473
Beer.2620
Beer.2794
Beer.2850
Beer.2984
Beer.3164
Beer.3192
Beer.3307
Beer.3399
Beer.3490
Beethoven
Bios.2048
BRAIN2
Broadcast.1987
Byway
Cascade.1701
CeCe.1994
CeCe.1998
Christmas.868
CK
Companion.923
Comsysexe.8045
Crawly.6624
Crucifixion.a
Crucifixion.b
Cybercide.2229
Cybercide.2256
Deliver.BlueShark.1771
Deliver.Digi.3547
DirII.TheHndv
DSME.Apex.2685
Espacio.8444
Espacio.8458
Espacio.8486
Espacio.8491
Espacio.8498
FatherMac.1445
FatherMac.1470
FatherMac.1495
FatherMac.1496
FatherMac.838
Fly.1796
Form
Froll.1665
Funeral.900
Funeral.921
Gippo.1039
Gippo.1234
Gippo.1242
Gippo.1249
Girls.1829
GoodBye.839
GYNX.1000
Hi.895
Hider.2169
Hitch.1238
Hitch.1247
Hitler.4808
Holms.6161
Horse.1154.a,b
Hymn.1865
Hymn.1962
Hymn.2144
Imi.1656
Int83.584
Intruder.1440
Intruder.1988
Invader
Invisible
Jackel.654
Jerusalem.Kylie
Jerusalem.Maroccan
Jerusalem.Mule
Jerusalem.Plastique.2224
Jerusalem.Plastique.3004
Jerusalem.Plastique.3012
Jerusalem.Smile.2576
Jerusalem.Taiwan.2576
Jerusalem.Taiwan.2900
Jerusalem.Taiwan.3088
Jerusalem.Tobacco.2900
Jerusalem.Totoro.1536
Jesus.1215
Jesus.1258
June12th
Kak.391
Karlik.1666
Keelung.2808
Kthulhu.512
Leningrad.1944
Leningrad.2000
Little.Red
LV.477
Mabuhay
Mabuhay.2660
Mabuhay.2695
Macgyver.2803
Macgyver.2824
Macgyver.4480
MadSatan.19033
MadSatan.2060
MadSatan.3839
MadSatan.King.1424
MadSatan.King.2175
Manuel.1388
Mayak.2339
Mayak.2370
Mnemonix.Cmagic.2015
Mnemonix.Cmagic.2243
Morse.1060
Mosquito.768
MtE.Mother
MtE.Pogue
Murphy.1277
Murphy.950
Mutant.1680
Mutant.1744
Necros.1164
Night.2048
Noon.1163
Nutcracker.AB1.Antarex.A
Ohlala.1895
Ohlala.1960
Olexy.1864
Oropax
Parasite.1132
Parasite.901
Parasite.903
Pitch.593
Pizelun.3599
Plastique
Pojer.1919
Pojer.1935
Pojer.1941
Pojer.1949
Poloneise.2402
Poloneise.2502
Prohibit.1500
Proto.695
Pulce.1840
Riot.Digital.822
Riot.Digital.823
Riot.Tower.411
Rust.1710
Selectron.1112
Selectron.1258
Shadow.635
Shadow.723
Shira-2048
Sirius.Alive.2283
Sirius.Annihilator.711
Sirius.Mem.1187
Sirius.Mem.1201
Sirius.Mem.1203
Sirius.Mem.1217
Siskin.1017
Siskin.948
Slavery.929
Smile.4304
Smile.4320
Squawk.852
Squeaker.1091
Srp.2248
SSR
Stunning.1234
Taz.995
Techno.1123
Technomaniac
Tenerife.1707
TheClick.291
Time.1046
Time.1067
Tu.2500
Tumen.1242
Tumen.1255
Tumen.1663
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.5
V.1125
V.1798
V.2653
V.756
VACSINA.04
VACSINA.05
VACSINA.06
VACSINA.10
Vampirus.1499
Vienna.1006
Vienna.733
Vienna.Feliz.923
Vienna.Violator.2262
VS.2790
VS.3900
Wrzod.1043
Xibin
Xuxa.1405
Xuxa.1413
Yankee.17
Yankee.18
Yankee.19
Yankee.1905
Yankee.21
Yankee.22
Yankee.2505
Yankee.26
Yankee.27
Yankee.2881
Yankee.29
Yankee.2A
Yankee.2C
Yankee.2D
Yankee.2E
Yankee.Estonia.1716
YanShort.1961
YanShort.Wizard
Yeke.1076
Yeke.1204
Zhugeliang.4784


 Produce efecte video

10past3.b
2up.6000
3APA3A.a
3Y.853
7son.284
7son.332
7son.334
7son.350
8888
92_69.1148
99percents
A&A
Abal.758
Abba.9849
Abbas.1320
ABC.2378
Abraxas.1170
Abraxas.1171
Abraxas.1200
Abraxas.1214
Abraxas.1304
Abraxas.Cleton.1508
Abraxas.Cleton.1518
Abraxas_II.1520
Abraxas_II.2011
ACV.1342
Adrenalin.571
Advent.2764
Advent.Cookie.2232
Agiplan.1536
Aids.552
Akuku.1111
Akuku.649
Akuku.886
Alabama
Albanian.1991
Alex.818
Algerian.1400
Alien.1976
All.1818
Alpha.4000
Am.743
Aman.10716
AmazonQueen.479
AmazonQueen.500
Ambulance
Ambulance.795
Ambulance.796
AMILIA
Amoeba.1392
Amz.682
Anarchy.9382
Anarchy.9594
Ancient
Andreev.805
Andromeda.1140
ANDROMEDA.800
Andryushka.3536
Andryushka.3568
Angel.1000
Annyit.656
Ansi.881
Ansibomb
Antibase.1900
AntiGUS.1570
Antimit.770
Antiscan.508
AntiTrace.2122
Apocalipse.1685
April1st.COM
April1st.COM.1000
April1st.COM.941
April1st.EXE
Aragorn.1522
Arale.1526
Arcv.1060
Arcv.1072
Arcv.1172
Arcv.1208
Arcv.562
Arcv.570
Arcv.571
Arcv.639
Arcv.657
Arcv.664
Arcv.670
Arcv.693
Arcv.718
Arcv.795
Arcv.826
Arcv.827
Arcv.916
Arcv.965
Arcv.986
Arcv.Alpha.743
Arcv.Anna.742
Arcv.Anna.745
Arcv.Benoit
Arcv.Dennis.874
Arcv.Dennis.897
Arcv.Ice.330
Arcv.Ice.642
Arcv.Ice.678
Arcv.Joanna.911
Arcv.Joanna.912
Arcv.Mcwhale
Arcv.More.649
Arcv.Zaphod.399
Are_There
Argentina.1206
Argentina.1249
Ari.1962
Arianna.2864
Arianna.3375
Arianna.3426
Arriba.1590
Ash.712
Ash.737
Ash.743
Ash.817
Ash.Pizza.1602
Ash.Pizza.1604
Assassin.4834
Astra.472
Astra.498
Astra.510
Astra.521
Astra.7821
Astra_II.505
Astra_II.882
Astra_II.927
Atas.1268
Atas.3215
Atas.3233
Atas.3321
Atas.384
Atas.400
Atomant.2143
Atomic.232
Atomic.350
Atomic.371
Atomic.480
Atomic.831
Attention.629
Aurea.653
Aurea.768
Australian.1024
Australian.1179
Australian.369
Australian.482
Australian.543
Australian.Demo.3896
Australian.Judy.1050
Australian.Middle.1041
Avatar.K-rad.561
Avv.1667
Avv.2300
Backfont.1172
Backfont.900
Backfont.905
Backtime.512
Bad.389
Badboy.1000
Badboy.1001
Badboy.1074
Badboy.991
Badboy.MadSatan
Badboy.Riot.1049
Badboy.Riot.1054
Bailey.270
Bailey.380
Ball.691
Bandersnatch
Barcelona
Barrotes.1310
Barrotes.840
Barrotes.849
Basilisk.1639
Bastard.1979
Bat.Naive.4894
Beaches.1091
Beavis.671
Bebe.1004
Beda.1301
Beda.883
BedBug.1160
Beer.2473
Beer.2620
Beer.2794
Beer.2850
Beer.2984
Beer.3164
Beer.3192
Beer.3307
Beer.3399
Beer.3490
Beer.645
Beethoven
Berserker.3537
Berserker.3561
BetaBoys.450
BetaBoys.615
BigMouse.1007
BigMouse.900
BigV.1441
Bishop.2855
Bishop.4517
BitAddict.477
BitAddict.512.a
Black.1000
Blackjec.300
Blackjec.301
Blackjec.307
BlackWind
Blink.501
Blinker.512
Blood.418
Bobas.754
Bobo.1363
Bobo.427
Bobo.530
Bolek.1326
Bomb.1942
Boobs.4461
Border.781
Boxes.1086
BRAIN2
Bravo!.502
Breeder.5152
Broadcast.1987
BrokenHeart.445
Bruces.417
Bubonic.2181
Budo.1000
Budo.890
BuenDia.816
Bug.1497
Bug.920
Burger.1310
Burglar
Burma.409
Burma.442
Burma.563
Burma.756
Byway
C0m.263
Cannibal.1312
Cantando.857
Cara.1024
Cartier.1056
Cascade.1491
Cascade.1621
Cascade.1661
Cascade.1699
Cascade.1701
Cascade.1702
Cascade.1704
Cascade.1706
Cascade.691
Cascade.792
Cascade.927
Casino.2330
Caterpillar
Caz.1159
Caz.1204
CCBB.2221
CCCP.510
Cd.2161
CeCe.1994
CeCe.1998
Cerberus.1533
Cfsk.918
Chad.751
Chaos.1181
Chaos.1241
ChaosYears.1837
ChaosYears.2005
China.1831
Chips.877
Chris.463
Christ.483
Christmas.1539
Christmas.1694
Christmas.600
Christmas.868
Chukcha.554
Chukcha.838
Cinderella.779
Civil.6656
Civil.6672
Civilwar.212
Civilwar.213
Civilwar.444
Civilwar.611
Civilwar.Antidaf.561
Civilwar.Dad.503
Civilwar.Insane.186
Civilwar.Insane.197
Cli&Hlt.1345
Clinton.654
CLME.Ming.1528
CLME.Ming.1952
Clone.546
Clone.833
Close.656
Close.960
Cls.853
Codewar.2048
Codezero.576
Coffeeshop.1568
Collor.878
Como.1786
Como.2019
Comvirus.321
Cookie.653
Cookie.722
CopCom.286
CopCom.287
CopyProtected
Cossiga.859
Cossiga.883
CPSU.2535
Cpw.1459
Cracky.546
Crash.543
Crash.600
Crawly.6624
CrazyPriest
Crew.1967
Crew.2048
Criminal.2615
Crooked.979
Crucifixion.a
Crucifixion.b
Cruncher.4800
Crusher
CSSR.528
Cumple.1249
Cybercide.2229
Cybercide.2256
CyberTech.1066
CyberTech.1076
CyberTech.1215
CyberTech.1228
CyberTech.503
Dada.1356
Dalian.1366
DAN.1500
DAN.AntiEnter.1092
Darkend.1188
DarkFiber.423
Darkray.1525
DARV.1024
Datacrime.1168
Datacrime.1280
Datacrime.1480
Datacrime.1514
DataFire.1080
Davis
DBCE.3403
Death.1001
DeathDragon.499
Deathrider.729
Dec3rd.1333
December_17th
Dei.1456
Dei.1526
Dei.1634
Dei.1780
Dei.1792
Dei.1948
Deicide.1335
Deicide.2404
Deicide.2405
Deicide.2569
Deicide.2570
Deicide.622
Deicide.623
Deicide.665
Deicide.666
Deicide.693
Deliver.BlueShark.1771
Deliver.Digi.3547
Dementia
Dementia.4207
Democracy.3806
Democracy.3959
Demolited.1585
Denzuk.1
Devil's_Dance
Devil.941
DHeart.452
DHeart.649
Diamond.1024
Diamond.1050
Diamond.1100
Diamond.Greemlin.1146
Diamond.Lucifer.1086
Die.666
DieHard2
Digger.1000
Digger.1475
Digger.1512
Dillinger.547
Dima.1024
DirII.TheHndv
Dis.1024
DiskFull.1871
DKiller.Clouds.588
DKiller.Clouds.657
Dlsu.477
Dodo.2456
Doomsday.715
Doomsday.733
Doshunter.483
Dowcipas.2303
Dowcipas.2464
Dracula.827
Drop.1131
DSME.Apex.2685
DSU.1422
Dutch_Tiny.251
Dutch_Tiny.Brenda
Dutch_Tiny.Kennedy
Dutch_Tiny.Wild.287
Dutch_Tiny.Wild.289
Dwi.1051
Dzino.1000
E266.1072
EAF0.655
EAF0.656
Ebola.3000
ECW.570
Eddie.Alexander
Eddie.Apa.1843
Eddie.Apa.2104
Eddie.Jasper
EDS.692
Einvolk.521
Einvolk.526
Eliza.1194
Emmie.2604
Emmie.2620
Emmie.2702
Emmie.2823
Emmie.3097
Emorph.1696
Enola.1864
Enola.2430
Enterprise.625
Equals
ErrorVirus.1223
ES.400
Espacio.8444
Espacio.8458
Espacio.8486
Espacio.8491
Espacio.8498
Etc.700
Europe.421
Europe.424
EVC.161
Evolution.2761
Evolution.2770
ExeHeader.440
ExeHeader.SkidRow.415
ExeHeader.SkidRow.432
Exile.255
Explorer.3063
Explosion
Exterminate
Face.2521
Faggot.1009
Fago_t2
Fair.2083
FastKiller.481
FatherMac.1445
FatherMac.1470
FatherMac.1495
FatherMac.789
FatherMac.836
FatherMac.838
FatherVirus.456
FaxFree.Darkover.1536
FaxFree.Fago_t2
FaxFree.Mecojoni
FaxFree.Sultan.2766
FaxFree.Tower
Fear.1823
FeelBad.1124
Feliz.658
Fellow.1019
Fewster.1781
FFFF.440
FileHider.1057
FileHider.1067
FindMe.695
Fingers.1322
Fish#6
Fistik.1280
Flash.688
Flash.695
Flex.491
Flip.2153
Flip.2343
Flip.2365
Flip.Madrid
Flood.304
Flower.883
Flue.1179
Freak.938
Freew.692
Frida.538
Friday13.540
Friday13.613
Friends.1361
Frodo
Frogalley.1500
Froll.1665
Galya.500
GeldWash.1497
Gergana.450
Gergana.512
Germ.255
GetLost.734
Ghostball.2351
GI.2765
Gippo.1000
Gippo.1030
Gippo.1039
Gippo.1050
Gippo.1234
Gippo.1242
Gippo.1249
Gippo.901
Gippo.944
Girl.2273
Girls.1829
Gle.848
Glemp.877
Gliss.1247
Gnat.753
Goblin.1199
Goblin.1759
Godzina.1024
Gollum.644
Gondor.3072
GoodThursday
Gotcha.1781
Grapje.1039
Green.1036
Green_Caterpillar.1575.A
Grog.1007
Grog.1072
Grog.1146
Grog.1603
Grog.1635
Grog.202
Grog.283
Grog.304
Grog.377
Grog.474
Grog.495
Grog.518
Grog.557
Grog.647
Grog.660
Grog.666
Grog.757
Grog.765
Grog.794
Grog.886
Grog.902
Grog.Crackers
Grozny.999
Grunt.359
GTM.727
GTM.BewareBug.1436
GTM.BewareBug.1446
GTM.BewareBug.1528
GTM.BewareBug.1643
Guess.928
GV.2856
GV.2865
Gvirus.653
Ha!
Ha.311
Hack.130
Hafen.1191
Hafen.809
Haifa.2352
Halka.1000
Halka.720
Happy.412
HappyNewYear
Harakiri.5488
Hard.662
Hary.981
Hate.971
Headcrash.1067
Hehehe.331
Heja.511
Helicopter.777
HelloUser.365
HelloUser.545
HelloUser.547
Helloween.1063
Helloween.1376
Helloween.1376b
Helloween.1384
Helloween.1447
Helloween.1888
Helloween.2470
HellSpawn.1141
Hero.394
Hero.506
HH&HH.4087
HH&HH.4091
HH&HH.4093
Hi.892
Hi.924
Hide.709
Hider.1782
Hider.2169
Highlander.477
Highlander.478
HLLC.9261
HLLC.Aids.8064
HLLC.April1st
HLLC.Cornucopia
HLLC.Crawen.8306
HLLC.Crawen.8516
HLLC.Happy.LZ
HLLC.Happy.PK
HLLC.IdoMoshe
HLLC.Worm.17690
HLLO.4240
HLLO.5488
HLLO.6144
HLLO.6544
HLLO.7392
HLLO.FU.8608
HLLO.Nova
HLLO.NumOne
HLLO.Ostraboo
HLLO.Picked
HLLO.Tu.4752
HLLP.10460
HLLP.5000
HLLP.5792
HLLP.Animus.b
HLLP.Dupalec
HLLP.NotFound.6176
HLLP.Runner.9312
HLLP.Ukazna
HLLP.VVC.8304
HLLP.Wizard.3677
Hochiminh
Holiday.2900
Holiday.3000
Honey.1027
Honey.666
Horror.1112
Horror.1137
Horror.1182
Horse.1776
Hwang.1509
HWF.937
Hydra_II.1162
Hydra_II.1649
Hymn.1865
Hymn.1962
Hymn.2144
I_am.635
Ice.734
Ieronim.1020
Ieronim.1024
Ieronim.1082
Ieronim.1166
Ieronim.1492
Ieronim.1596
Ieronim.512
Ieronim.560
Ieronim.570
Ieronim.600
Ieronim.Condom
Ill.1016
Imi.1536.a
Imi.1536.bcdef
Imi.1538
Imi.1656
Incom
Industrial.1841
Infector.822
Inoculator.1819
Internal.1381
Internal.1459
Invader
Invisible
Invisible.b
Invol.1314
Invol.1401
Ionkin.2372
Iron.188
Itv.449
Jabb.1000
Jabb.615
Jabb.812
Jabber.334
Jeff.812
Jerk.1077
Jerusalem.1530
Jerusalem.1730
Jerusalem.1767
Jerusalem.2000
Jerusalem.2432
Jerusalem.Atb.2389
Jerusalem.Bupt.1367
Jerusalem.Cookie.2472
Jerusalem.CVEX.5120
Jerusalem.CVEX.6144
Jerusalem.CVEX.6400
Jerusalem.Distrutto
Jerusalem.Fumanchu.2076
Jerusalem.Fumanchu.2080
Jerusalem.Hack.2064
Jerusalem.Haha.1733
Jerusalem.Hermanos.2015
Jerusalem.Hermanos.2777
Jerusalem.Maroccan
Jerusalem.Math
Jerusalem.Naita.1646
Jerusalem.Pipi.1536
Jerusalem.Pipi.1552
Jerusalem.Roger.2000
Jerusalem.Roger.2128
Jerusalem.Skism
Jerusalem.Subliminal
Jerusalem.Sunday
Jerusalem.Sunday.Satan
Jerusalem.sURIV.3.00.##00054
Jerusalem.Timor
Jerusalem.Xed.1238
Jesus.1215
Joke.1068
Joker01
Joker3.1084
Jolter.2197
Joshi
Judgement.390
Julia.1000
Julia.1027
July13
July13.b
June12th
Jvirus.2267
Kaczor
Kaczor.4444
Kak.391
Kali.641
Karin.1134
Karlik.1666
KbrBug.2662
KbrError.1268
Keeper.Acid.694
Keeper.Fly.1036
Kela.2099
Kela.2520
Kela.2530
Kela.690
Keypress.1216
Keypress.1236
Keypress.1250
Keypress.1479
Keypress.1600
Keypress.Ufo
Khai.1835
Khizhnjak.1011
Khizhnjak.1269
Khizhnjak.676
Khizhnjak.692
Khizhnjak.731
Khizhnjak.749
Khizhnjak.753
Khizhnjak.782
Khizhnjak.823
Khizhnjak.846
Khizhnjak.875
Khizhnjak.Areg.822
Khizhnjak.Areg.847
Khizhnjak.DeathLord.752
Khizhnjak.Hallo.496
Khizhnjak.Hallo.751
Khizhnjak.Hallo.759
Khizhnjak.Hallo.765
Khizhnjak.Hallo.962
Khizhnjak.Happy.743
Khrusha.1505
Kid.393
Kiev.2048
Kirti.2000
Klepavka.881
Knight.1136
Ko.408.b
Kode4.399
Koko.1780
Kolumna.2048
Kommuna.801
Konkoor.1746
Konkoor.1844
Konkoor.1933
Kot.900
Krnl.2078
KSV.1128
KSV.1144
Kthulhu.512
Kukac.512
Kuku.448
Kurgan.1624
Kurgan.1654
Kurgan.919
Kurgan.939
Kurgan.948
Kwok.1618
Kyokushinkai.Kysia.1536
Lady.873
Lame.173
LamersSuprise
LamersSuprise.1318
Lapidario.787
Larry.491
Larry.497
Late.248
Later.959
Later.981
LazyToday.1203
Leathal.722
Leech.1024
Leech.Tazta.1008
Lego.1000
Lenin.943
Leproso.1221
Leprosy.1207
Leprosy.1818
Leprosy.1992
Leprosy.47857
Leprosy.5120
Leprosy.562
Leprosy.571
Leprosy.585
Leprosy.591
Leprosy.595
Leprosy.600
Leprosy.625
Leprosy.647
Leprosy.664
Leprosy.666
Leprosy.736
Leprosy.907
Leprosy.946
Leprosy.BadBrains.570
Leprosy.BadCommand.281
Leprosy.Busted.570
Leprosy.Busted.572
Leprosy.Echo.425
Leprosy.Jas.792
Leprosy.Merci.308
Leprosy.Misery.664
Leprosy.Morrison.870
Leprosy.Oss.591
Leprosy.Peace_SA.777
Leprosy.Riot.666
Leprosy.Seneca.381
Leprosy.Seneca.483
Leprosy.Seneca.493
Leprosy.Skism.1992
Leprosy.Spam.1306
Leprosy.Taz.1973
Leprosy.Taz.2197
Leprosy.Taz.2209
Leprosy.Taz.2276
Leprosy.YH.880
Level.4870
Lhb.1989
Li.1178
Liberty.1170
Linda.517
Line.908
LionKing.3531
Lip.286
LittBrother.385
LoadError
LoadHigh.1467
Lockup.2969
Lokjaw.1050
Lokjaw.1052
Lokjaw.1053
Lokjaw.493
Lokjaw.499
Lokjaw.507
Lokjaw.518
Lokjaw.520
Lokjaw.808
Lokjaw.894
Lokjaw.898
Lokjaw.Kenson.887
Loren.1374
Loren.1387
Lost.2878
LoveChild.2710
Loz.1018
Loz.1023
Loz.2968
Loz.693
LSD.1600
Lunacy.2513
Lunacy.2865
Lunch.1756
Lyceum.1788
Lyceum.1800
Lyceum.1832
Lyceum.1888
Lyceum.1901
Lyceum.1950
Lyceum.1975
Lyceum.737
Lyceum.930
M5VP2.1678
Mabuhay
Mabuhay.2660
Mabuhay.2695
Macaroni.1480
Macedonia.400
Macgyver.3160
Macgyver.4645
MadCobra.1118
Madismo.6007
MadSatan.1019
MadSatan.19033
MadSatan.2060
MadSatan.2876
MadSatan.3839
MadSatan.639
MadSatan.9849
MadSatan.King.1424
MadSatan.King.2175
MadWill.2400
Magda.512
Magdzie.1056
Magdzie.1114
Malaga.2610
Malign.575
Malign.630
Malmsey.1703
Malmsey.495
Malmsey.806
Manu.4096
Manuel.1155
Manuel.1388
Manuel.777
Manuel.814
Manuel.840
Manuel.858
Manuel.876
Manuel.937
Manuel.957
Manuel.995
Marawi.2828
Maresme.1062
Marky.478
Marzia.WW.2048
Mel.1536
Mephisto.5.1242
Mephisto.5.510
Mephisto.5.615
Metallica.1103
Metallica.1129
Metallica.1536
Metallica.1739
Mface.1441
Mgn.2048
Mgn.2560
Mgn.3000
Mich_II.924
Microbi.312
Miky.2350
Milan.Verbatim.289
MiliKK.1020
Ming.491
Mini.109
Mini.129
Mini.233
Mirage.1322
Mirage.1331
Miras.640
Mirea_II.4157
Mirror.1056
Mirror.482
Mirror.924
Mix.1618
Mix.1636
Mix.2280
MKWorm.715
Moctezuma.2416
Mombasa.3568
Monarch.1040
Monday.499
Monkey.979
MonteCarlo.1483
MonteCarlo.1541
Mordor.1104
Mordor.1110
Mr_D.1536
Mr_D.1569
Mr_Gu.545
MrTwister.12288
MrTwister.16384
MS.748
Mte-Small.Mega
Mte-Small.Sepultura
MtE.Coffeeshop
MtE.CrackerBack
MtE.Destructor
MtE.Dewy
MtE.Groove
MtE.Mother
Mtz.1907
Mtz.2624
Mtz.971
Mtz.Pink.5081
Munich.2355
Murderer.3670
Murphy.1399
Murphy.1417
Murphy.1477
Murphy.1480
Murphy.1521
Murphy.1614
Murphy.1841
Murphy.Amilia
Murphy.Badtaste
Murphy.David.1173
Murphy.Delirium.1638
Murphy.Delirium.1659
Murphy.Delirium.1752
Murphy.Delirium.1778
Murphy.Delirium.1780
Murphy.Delirium.1788
Murphy.Digger
Murphy.Grog
Murphy.IV.1650
Murphy.Lock
Murphy.Migram.1219
Murphy.Migram.1221
Murphy.Napalm
Murphy.Nuke
Murphy.Pest
MutaGen.100.Garden
MutaGen.100.Secret
MutaGen.100.Test
Mutator.780
MVF.1866
MVF.1896
N-Xeram.1664
Nculi.1688
Necros.1164
NED.Tester
Neko.1964
Neko.1990
Neko.2697
Neurobasher
NewAids.1041
Newgen.1054
NewYear.1356
Ng.706
Nguyen.1740
Nigeb.890
Night.2048
NightFall.4480
NightFall.4518
NightFall.4519
NightFall.5765
Ninja.1376
Nobock.440
NoFrills.1422
NoFrills.Bungus.1422
NoFrills.Bungus.1483
Normal.763
Norway.673
Nosmoking.1000
Nosmoking.1575
Nostardamus
Nov7.482
Nuke.DC00l.1811
Nuke.Deadpool
Nuke.Elvis
Nuke.Howard.967
Nuke.Jac.991
Nuke.Pox.630
Nutcracker.AB1
Nutcracker.AB1.Antarex.A
Oeur.3072
Ohlala.1895
Ohlala.1960
OldScribe.8588
Olexy.1864
Omi.986
OneHalf.3544
OneHalf.3570
OneHalf.3577
Ooops.368
Oops.600
OopsTmp.1087
Open.1183
Open.1569
Open.1581
Osiris.299
Otto.640
Oulu.1008
Overkill.1191
Overkill.1308
Overkill.1385
Override.1380
Override.1428
Oxan.710
Oxana.1419
Oxana.1555
Oxana.1653
Oxana.1654
Oxana.1719
Pac-Man.Blinky
Pac-Man.Clyde
Pages.421
Pages.498
Pandora.1536
Parasite.1024
Parasite.1132
Parity.441
ParityError.621
ParityError.686
Patoruzu.1024
Patoruzu.931
Patsy.571
Patsy.697
Pcbb.1141
Pcbb.1656
Pcbb.1658
Pcbb.1658.b
Pcbb.1701
Pcbb.1800
Pcbb.2277
Pcbb.3072
Pcvrs.1904
Peace.2064
PeaceKeeper.a
PeaceKeeper.b
Peasant.1243
Penetrator.984
Pepper.529
Perfume.731
Perfume.765
Phantasmagoria
Phantom.2201
Phantom1
Phone.688
Phonix.927
Piaf.1859
Pieces.1374
Pieck.2016
Ping_Pong
Pixel.1268
Pixel.1271
Pixel.275
Pixel.296
Pixel.299
Pixel.343
Pixel.345
Pixel.740
Pixel.779
Pixel.846
Pixel.847.abc
Pixel.850
Pixel.851
Pixel.852
Pixel.877
Pixel.897
Pixel.899
Pixel.936
Pixel.Cheef.297
Pixel.Cheef.300
Pixel.Hydra.340
Pixel.Hydra.342
Pixel.Hydra.343
Pixel.Hydra.368
Pixel.Hydra.372
Pixel.Hydra.391
Pixel.Hydra.403
Pixel.Hydra.495
Pixel.Hydra.736
Pixel.Self.457
Pixel.Self.550
Pizelun.3599
Planters.360
Plastique
Platov.1644
PME.Burglar
Poem.1825
Pojer.1919
Pojer.1935
Pojer.1941
Pojer.1949
Polimer.512
PoorMan.1168
Porridge.1384
Poss.2175
Poss.2367
Poss.2438
Poss.2443
Poss.2446
PowePump
PowePump.b
Powertrip.423
Pray.579
Pray.587
Pregnant.1199
Press.1024
Prime.580
Pro-Alife.3423
Protect.1323
Protect.1355
Psyco.804
Pulce.1840
Put.1939
Pyramid.457
Pysk.1536
Quadratic.1283
Quadratic.981
Quadratic.986
Quake.518
Quake.960
Quiet.2048
Radish.8444
Radish.8466
Radyum.1072
Rael.3211
Rape.1882
Rape.2877
Rape.2887
Rape.486
Rape.500
Rape.575
Rape.747
Raptor.1800
Rauser.250
Raving.2300
RDA.Fighter.7408
Rebel.1509
Rencodes.4206
Renegade.1176
Rest.1588
Retaliator
Retribution
Revenge.1127
Riluttanza.689
Riot.1202
Riot.1203
Riot.355
Riot.428
Riot.723
Riot.724
Riot.Aladdin.886
Riot.CarpeDiem.1012
Riot.CarpeDiem.1033
Riot.CarpeDiem.469
Riot.CarpeDiem.472
Riot.Coke.535
Riot.Conjurer.270
Riot.Conjurer.300
Riot.Conjurer.433
Riot.Conjurer.TNG.277
Riot.Conjurer.TNG.312
Riot.Conjurer.VCC.408
Riot.Conjurer.VCC.586
Riot.Digital.1354
Riot.Eternity.584
Riot.Fire.473
Riot.Immortal.265
Riot.Immortal.353
Riot.Immortal.377
Riot.Immortal.510
Riot.Immortal.550
Riot.Insine.1026
Riot.Maria.1118
Riot.Maria.1126
Riot.Marked.354
Riot.Mega.506
Riot.Moonlite.458
Riot.Moonlite.465
Riot.Psychosis.1195
Riot.Radiation.737
Riot.Tower.411
Riot.TTT.1063
Riot.TTT.840
RIP.3214
Rip.699
RMC.1551
Robal.2048
Rodolf.4096
Rogue.1208
Rogue.1213
Rom.331
Rom.397
RTL.805
Rubbit.2060
Rubbit.3811
Rubbit.3839
Ruchawi.2560
Runtime.365
Russian_Flag
Sadam.919
Sair.1150
Sandy.1376
Sarampo.1371
Sarampo.1470
Satanic.1345
Satria.A
Satria.B
Sauron.1088
Sayha.1000
Scoundrel.3323
Scrunch.420
Seagull.448
Search.305
Seat.1614
Seat.1868
Seat.2389
Selectron.1112
Selectron.1258
Semtex.1000
Semtex.686
Seneca.392
Sfrust.632
Shadow.1200
Shadowgard
Shaker.373
Shaker.409
Shaman.251
Shame.1455
Shanghai.848
Shark.1027
Shark.1283
Shifter.983
Shine.640
Shiny.921
Shiny.934
ShitMan.441
Shutdown.644
Shutdown.698
Sibylle.853
Sibylle.858
Sidewinder
Signed.979
Signed.980
Signed.982
Signs.720
Silicon.1019
Silly.2256
SillyC.1063
SillyC.553
SillyE.1024
SillyOCE.277
SillyORCE.200
Silver.1547
Silver.1644
Silver.1874
Silver.2071
Silver.2218
Silver.8101
Sily.745
Simulation
Singapore.521
Singapore.910
Sirius.Alive.4000
Sirius.Annihilator.357
Sirius.Annihilator.379
Sirius.Annihilator.390
Sirius.Annihilator.412
Sirius.Annihilator.711
Sirius.Mem.1187
Sirius.Mem.1201
Sirius.Mem.1203
Sirius.Mem.1217
Sistor.2225
Sistor.2380
Sistor.2605
Sistor.2630
Sistor.3009
Sk.1004
Sk.1147
Sk.626
Sk.992
Skater.1021
Skater.977
Skew.445
Skew.469
SkyNet.1448
SlamTilt.703
Slavery.929
Slovakia.1351
Slovakia.1356
Slovakia.1629
Slovakia.1698
Slovakia.1956
Slovakia.2041
Slovakia.2387
Slovakia.Silvia5
SlovakiaII.3854
SlovakiaII.Happy
Slugger.288
SmartCock.512
Smeg.Pathogen
Smeg.Queeg
Smeg.Queeg.c
Smeg.v0_3.Demo.a
Smeg.v0_3.Demo.b
Smiley.1983
SoFar.841
SofiaTerminator.839
Sonik.854
Sov.1193
Sov.1205
Sparkling.705
Spectral.601
Spectral.907
Spellbound.1164
Spellbound.1806
Sphinx.2751
Spring.768
Srp.2306
SSH.2770
SSH.2944
Staf.2083
Stahlpla.750
Starship
Stasi.1728
Steryd.399
Stimp.248
Stink.1251
Stink.1254
Stink.1270
Stink.1273
Stink.1283
Storm.1153
Storm.1163
Storm.1172
Storm.1217
Storm.1218
Storm.1219
Storyteller
Stunning.1234
Stupidus.1504
Subconsious.476
Suicide.2048
Sundevil.691
Sundevil.762
Susan.571
Susenka.862
SVC.Piter.1228
Sveta.309
Swastika.442
Syrian.241
Syrian.412
Tabulero.2048
Tack.411
Tack.449
Tack.460
Tack.477
Tadihno.971
Taiwan.677
Taiwan.708
Taiwan.743
Taiwan.752
TalkHead.519
Tamanna.1857
Tashkent.490
Tashkent.509
Taz.1014
Teacher.2000
Techno.1123
Technomaniac
Tequila
Tequila.c
Teraz.4004
Terminator.1501
Terminator.2294
Terminator.3275
Terminator.526
Terminator.918
TerraX.1027
ThatsAll.618
TheDraw.2267
TheDraw.6530
Tigre.1800
Tim.1600.b
Timid.298
Timid.299
Timid.300
Timid.301
Timid.302
Timid.303
Timid.305
Timid.313
Timid.320
Timid.330
Tiny.330
Tired.1740
Tiso.1279
Tiso.846
Tiso.940
Tmtm.441
Topa.2476
Topa.2520
Tormentor.425
TPE.Bosnia
TPE.Gambit
TPE.Girafe
TPE.Girafe.d
TPE.Kela.4568
TPE.Lamer
Tpworm.12969
Traceback.2930
Traceback.3029
Traceback.3066
Trance.1721
Traveller.1220
Traven.512
Tremor
Trickster
Trieda.851
Trivial.123
Trivial.127
Trivial.128
Trivial.143
Trivial.145
Trivial.157
Trivial.202
Trivial.207
Trivial.229
Trivial.330
Trivial.342
Trivial.346
Trivial.92
Trivial.Anarchy.469
Trivial.Diddler.91
Trivial.Exe2Win.116
Trivial.Exec.161
Trivial.Exec.162
Trivial.Fire.206
Trivial.FTW.192
Trivial.Kode4.129
Trivial.Kode4.131
Trivial.Kode4.90
Trivial.Tom.59
Trivial.ZZ.127
Tron.754
Trust.2356
Tu.2500
Tu28.535
Tula.417
Tumen.1242
Tumen.1255
Tumen.1663
TurboVirus.1919
Turn.557
Turn.571
Tver.532
Tver.776
Uddy.2617
Unashamed
Ungame.766
Ungame.770
Unhandled.424
Union.1449
Unknown.1111
Unknown.1293
Uruguay.1
Uruguay.2313
Uruguay.2379
Uruguay.2456
Uruguay.2623
Uruguay.4268
Uruguay.4879
Uruguay.4906
Uruguay.6262
Uruguay.6344
Uruguay.6396
Uruk.300
Uruk.394
Uruk.427
UsePascal.2406
UVR.3919
V-Sign
V.1014
V.1241
V.1443
V.1827
V.1876
V.2000
V.2653
V.343
V.633
V.707
V.736
V.934
V.944
V_Sign
Valentine.600
Vampiro.1000
Vandor.1024
VCS.Manta
VCS.Paranoimia
VCS.Ruf
VD.568
Vdv.390
Vdv.853
Vengeance.435
Vengeance.613
Vengeance.639
Vengeance.656
Vengeance.723
Veronika.1549
VFSI
VICE.02.IceBurn
VICE.02.IceMelt
Vico.1000
Vico.500
Vienna.1000
Vienna.1032
Vienna.1881
Vienna.600
Vienna.732
Vienna.733
Vienna.757
Vienna.774
Vienna.776
Vienna.778
Vienna.810
Vienna.827
Vienna.833
Vienna.849
Vienna.851
Vienna.909
Vienna.943
Vienna.961
Vienna.988
Vienna.BigPiter
Vienna.ByteWarrior
Vienna.Feliz
Vienna.Feliz.923
Vienna.Violator.2262
Vienna.Violator.5286
Vienna.Violator.5302
Vienna.Violator.5305
Vienna.Violator.779
Vienna.Violator.801
Vienna.Violator.803
Vienna.Violator.821
Viking.1000
Viking.1600
Viking.2000
Vinchuca.925
Vindicator.734
VirDem.1336
VirDem.1542
VirDem.601
VirDem.792
VirDem.824
Virogen.1673
Virogen.1680
Virogen.Drunk.2117
Virogen.Offspring.1130
Virogen.Offspring.1134
Virogen.Offspring.1138
Virogen.Offspring.1294
Virogen.Offspring.1555
Virogen.Offspring.711
Viros.429
Virus.286
Virus101
Virus90
VirusB.1000
VirusC.496
Visite.232
Vivisex.683
VLAD.MegaStealth
Vodka.560
Voice.1495
Void.2304
Volkov.1684
Voronezh.650
Vote.1000
VP.909
Vriest.1280
Walker.3846
Wally.1029
Wally.981
Warez.1341
Waria.479
Wasp.1655
Wave.454
Weirdo.555
Wench.2537
Werehere.836
Whale.9216
Wilbur.512
WildThing.555
WildThing.557
WildThing.567
Win.Twitch
WinWord.Concept
WinWord.Nuclear
Wirusek.2723
Witch.1140
Witch.1400
Witcode.966
Wizard.268
Wizard.495
Wolfman.2064
Wormsign.1710
Wrzod.1043
Xabaras.1972
Xandu.2385
XPEH.5792
XPEH.5840
Xuxa.1096
Xuxa.1656
Yafo.328
Yam.3596
Yam.3599
Yang.2528
Yankee.2189
Yankee.2561
Yankee.Estonia.1716
Yankee.Flip.2167
YanShort.1835
YB.402
Yeke.1076
Yeke.1204
Yellow.1361
Yog.794
Zamoy.587
Zelentsov.379
Zero2o
Zerobug.1536
Zirate.1687
Ziuck.1279
Ziuck.1372
Zmiana.1224
Zol.799
Zu.473
Zulu.1390
Zz.429


 Produce distrugeri temporare

10past3
Aircop
Alameda.A
Ambulance.796
ANTISCAN. 814
AntiTurbo.A
April1st.COM
Arcv.Anna.742
Arriba.1590
Asexual
Athens 1561
Athens.1561
Azusa
Barrotes.1310
Bonny.1000
BootEXE.451
Bupt_9146
Cascade.1701
Chad.751
Chameleon.1260
ChineFish
Chinese_Fish
Cinderella.B
Cinderella_II
Coffee Shop 3
CoffeeShop
Cossiga.883
Cruncher.2092
Cruncher.4000
Darkend.1188
Datalock.920
Dec_Year
Deicide.693
Denzuk.1
DewDZ
Earle.3006
Eight_Tunes
Ein-Volk
Empire.A
Exe_Bug.A
Fgt.651
FileHider.789
Fish#6
Form
FORM. A
Form.A
Gippo.1000
Gippo.1242
Gippo.901
Gnat.756
Gotcha.1781
GreenCaterpillar
GTM.BewareBug.1446
Hi.802
Horns
Iper.1062
Jerusalem.Standard
Jos.1000
Joshi
June12th
Kalah.499
KEY PRESS. 1232.A
Keypress.1216
Keypress.1232.A
Kthulhu.512
KYZ
Lenin
Little.Red
Maaike
MISis
Monika.686
MutaGen.100.Garden
N8FALL
NeverMind
Peter
Phi
Phx.965
Raptor.1800
Runtime.365
Satria.B
Stoned, Standard
Stoned.Azusa.A
Stoned.June_4th
Stoned.Standard
Sylvia
TaiPan.438
Techno.1123
Tequila
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.4879
Uruguay.5
Uruguay.6262
Uruguay.6344
V_Sign
Vbasic
Velvet
VIENNA, 480
Virus101
ViRuZ.729.A
Void_Poem
WM/Nuclear.A
Yankee.2881
YMP.NiceDay


 Produce distrugeri permanente

_1885
_613
ABC
ABCD
Acme
AE-BUG
Aids Information Kit Trojan
Aircop
Akuku-649
Alameda.A
Alfons.1344
Alien-3
Ambulance
AMILIA
Ancient
Andromada
Angarsk
ANSI bomb generator Trojan
Anthrax
AntiCAD.3004
AntiCAD.3012
AntiPascal.400
AntiPascal.605
ANTIPRINT
ANTISCAN. 814
ARCV-9
ARIANA
ARKA
B3
BadCom.600
Bamestra
Banana
Baph.1536
Barrotes.1310
Benoit
Bert
Better World
BFD
BFD-B
BIT_ADDICT
Bljec-1
Bloodlust
BLOODY-WARRIO
BOGUS
BOOJUM
Boot.437
Bow
BOYS
BRAIN2
Breath.34571
Brother_300
Bung 142
BURGER_560-8
Burglar.1150.A
CANNA615
Carbuncl
Carbuncle.622
CASTEGGI
Chaos.1181.B
ChineFish
Christmas.1539
CIBERTECH
Cinderella_II
Close.656
CMDR
COL_MAC
Cpw.1459
Crazy Boot
Cvirus
CYBER
D-TINY
Daisy
DAMAGE-B
Dame
Darkend
Darkend.1188
Data-Rape-2.0
Datacrime
Datacrime II
DataLock
December_17th
DELWIN.1759
DEST1
Devil's_Dance
DIE LAMER
DIR2-910
DiskBoomer.576
Dune.Divide
Ecu
Ed
Egg
Ekoterror
EM.1303
End-of
Enet-613
Eno-2430
ENOLA
Equals
Evilgen
Exe_Bug.A
Exe_Bug.Hooker
Explode
Fichv.2.1.903
Fichv.903
Flip.2343
Frodo
Gippo.1000
Gippo.901
Gotcha.879
Gotcha.881
GreenCaterpillar
Grune
Hallochen
Hare.7750
Hate
Hi.802
Highlander.477
Horse.1776
Hungarian.482
Ibex
Icelandic.1(656)
Icelandic.2
Invisible
Iper.1062
J&M
J.S. Bach
Jerusalem
Jerusalem.1808.CT.A
Jerusalem.Fumanchu.2080
Jerusalem.Standard
Jerusalem.Standard.sUMsDos
Jerusalem.sURIV.3.00.##00054
Joker
Jos.1000
Jumper
Junkie.1027.A
Kalah.499
Leech
Leonard.1194
Leprosy.666
Lisbon
Lokjaw.493
LoveChild.488
Maze
Monika.686
MTE
MultiAni
Mummy.1399
MutaGen.100.Garden
Nomenklatura
One_Half.3544
Padania
Pathogen_SMEG
Peter
Phoenix.Live.a
Phoenix.Live.b
Phoenix.Proud
QRRY
Quicky
Ravage
RM
RP. DECEMBER 17th
Sampo
Stardot.600
Stoned
Stoned.Michelangelo
Su
Susan.571
Tai-Pan.438
Taiwan.677
Telefonica.3700
Tentacle
Thanksgiving
Todor.1993
Triple_Five.556
Trivial.99
Urkel
VCL.Diogene
Vienna.353
Vienna.534
Vienna.623
Vienna.Viperize
VirDem.792
ViRuZ.729.A
Void_Poem
W95.CIH
Warlock.1817
WM.Alien-A
WM.Alliance.A
WM.Andry.A
WM.Archer.a
WM.Bandung.A
WM.Bandung.B
WM.Bandung.D
WM.Black.A
WM.Boom.A:De
WM.Buero
WM.Fury.A
WM.Goldfish.A
WM.Illiterate.A
WM.Jaja.A
WM.MDMA
WM.Panjang.A
WM.Plushad.A
WM.Socks.A
WM.Tedious.A
WM/Fake.A
WM/Nuclear.A
Xibin
Zerobug.1536
Zipper


 Are efecte colaterale

Alia.1023
Alia.8087
Alia.Prodigy
ANTISCAN. 814
Arcv.Anna.742
Bonny.1000
ChineFish
Cinderella.B
Cinderella_II
Cossiga.883
Darkend.1188
Datalock.920
DELWIN.1759
DewDZ
DiskWasher
Drop.1131
EARLE. 1244
Earle.3006
EMF.404
Exe_Bug.A
Exe_Bug.Hooker
F1.337
Fichv.2.1.903
Fichv.903
FileHider.789
Gippo.1242
GTM.BewareBug.1446
Ibex
Int13
Iper.1062
June12th
Kalah.499
Kthulhu.512
Mabuhay
Maze
MMIR.Extasy
MMIR.Ravage
NeverMind
PREDATOR.2448
RM
Runtime.365
Satan-Bug
Shira-2048
SillyRC.200
Slowlite
Stoned.No_INT.Vincent
T555
Telefonica.3700
Tequila
UNCARING. 1054
V163
Velvet
ViRuZ.729.A
Void_Poem
Warlock.1817
WXYZ


 Reinfecteaza fisierul

ANDROMEDA.1024a
Astra.472
Astra.7821
Batman.186
BatVir94
BitAddict.1175
BitAddict.1190
BitAddict.1458
BitAddict.1459
BitAddict.1601
BitAddict.979
Boys.500
Civilwar.126
Daemaen.2048
DarkLord.921
Devil.941
Dutch_Tiny.284
Dutch_Tiny.286
Eddie.1813
FaxFree.Tower
Freak.938
Hello.731
HLLP.Linda
Int86.500
Jackel.713
Jerusalem
Jerusalem.1807
Jerusalem.d
Jerusalem.f
Jerusalem.g
Jerusalem.Standard
Jerusalem.Standard.sUMsDos
Kode4.399
Kuku.448
Lame.207
Leningrad.543
Maresme.1062
Mini.101
Mini.115
Mini.120
Mini.125
Mini.130
Mini.81
Mini.84
Mini.94
Monarch.1040
Monkey.979
MS.748
Mutant.1680
Mutant.1744
Phoenix.Live.a
Phoenix.Proud
Pixel.1268
Pixel.277
Pixel.299
Pixel.739
Pixel.761
Pixel.847.abc
Pixel.852
Pixel.877
Pixel.936
Prague.604
Radyum.503
Riot.Coke.535
Rodolf.4096
SeaCat.160
Shadow.635
Shadow.723
Shutdown.698
SillyC.128
SillyC.162
SillyC.163
SillyC.166
SillyC.190
SillyRC.125
SillyRE.2304
Small.128
Small.80
Snotkop.479
Timid.313
TurboVirus.1919
Turkish.604
Twister.1767
V.1385
V.945
Vengeance.613
Vengeance.639
Vengeance.656
Vienna.526
Vienna.561
Vienna.757
Virus101
Virus90
Vriest.1280
YanShort.Vote.1961


 Caracteristici

Tip companion
Foloseste tehnici de ascundere
Este polimorf
Foloseste tehnici de autoprotectie
Tip dropper
Este un Cal Troian
Este un vierme
Afiseaza mesaje
Contine mesaje (neafisate)
Se autodetecteaza in memorie
Se autodetecteaza pe disc


 Tip companion

Acme
AIDS_II
Australian.Kuang.718
BrokenHeart.445
Bug.1497
Bug.920
Carbuncle.621
Carbuncle.622
Clone.546
Clone.833
Companion.100
Companion.101
Companion.131
Companion.228
Companion.246
Companion.247
Companion.261
Companion.3351
Companion.83
Companion.85
Companion.87
Companion.8736
Companion.88
Companion.89
Companion.92
Companion.923
Companion.AIH.823
Companion.FlyV.633
Companion.Gif.681
Companion.Gif.685
Companion.TrekWar.547
Crawly.6624
GetLost.734
GoldBug
Grog.1603
Halley.7856
HellSpawn.1141
HLLC.12304
HLLC.14880
HLLC.5472
HLLC.7952
HLLC.8224
HLLC.9261
HLLC.Aids.8064
HLLC.April1st
HLLC.Arj.7952
HLLC.Bolek.8096
HLLC.Cornucopia
HLLC.Crawen.8306
HLLC.Crawen.8516
HLLC.Cumulus
HLLC.Dope.4870
HLLC.Dope.5219
HLLC.Enrico
HLLC.Evenbeep
HLLC.Globe.5150
HLLC.Globe.6610
HLLC.Happy.LZ
HLLC.Happy.PK
HLLC.IdoMoshe
HLLC.Lanc.7376
HLLC.PC-Alive.8902
HLLC.ScreenAllive
HLLC.Tree2.14186
HLLC.Unvisible
HLLC.Worm.16412
HLLC.Worm.16850
HLLC.Worm.17690
HLLC.Worm.Frust
HLLC.Worm.Icommand
HLLC.Worm.Runme.10832
HLLC.Worm.Runme.5008
HLLC.Xmas.15264
KeyKapture.1071
KeyKapture.1074
KeyKapture.1075
KeyKapture.1077
KKV2.923
Kohntark.Kompanion.268
Laufwerk
LittBrother.276
LittBrother.299
LittBrother.300
LittBrother.301
LittBrother.307
LittBrother.321
LittBrother.349
LittBrother.361
LittBrother.385
LittleBrother.321
LoadHigh.1467
Lokjaw.493
Lokjaw.499
Lokjaw.507
Lokjaw.518
Lokjaw.520
Lokjaw.808
Lokjaw.894
Lokjaw.898
Lokjaw.Kenson.573
Lokjaw.Kenson.887
Maaike
Mithrandir.450
Mithrandir.496
Mnemonix.Atomic.425
Mnemonix.ESP.519
Murderer.3670
MutaGen.100.Test
NightFall.Companion
Pac-Man.Clyde
PMT.867
PowePump
PowePump.b
Printerceptor
Rajaat.287
Rajaat.443
Rencodes.4206
TerraX.1027
TPE.Gambit
Virogen.1520
Virogen.1535
Virogen.1673
Virogen.1680
Virogen.Offspring.1130
Virogen.Offspring.1134
Virogen.Offspring.1138
Virogen.Offspring.1294
Virogen.Offspring.1555
Virogen.Offspring.711
VLAD.Mummy.471
Void.2304
Vote.1000
Weirdo.555
Win.Twitch


 Foloseste tehnici de ascundere

_667
10past3
10past3.b
5lo.1024
7son.284
84
8tunes
Aids Information Kit Trojan
AIDS_II
Aircop
Akuku.1111
Alameda.A
Alia.1023
Alia.Prodigy
AM97/Accessiv
Ambulance.796
Amoeba.1392
Angelina
ANSI bomb generator Trojan
Anthrax
Anticmos.A
AntiEXE
AntiPascal.400
AntiPascal.605
ANTISCAN. 814
AntiTurbo.A
Arcv.679
Arcv.Anna.742
Are_There
Arriba.1590
Asexual
Azusa
Bamestra
Barrotes.1310
Beijing
Blackmonday
Blood.418
BlueNine.925
Bonny.1000
Boot-c
Breeder.5152
Bupt
Bupt_9146
BURGER_560-8
Byway
Cara
Cara.1024
Carbuncle.622
Cascade.1701
CAZ.1159.b
Caz.1204
Chad.751
ChineFish
Chinese_Fish
Cinderella.B
Cinderella_II
Close.656
CoffeeShop
COMVIRUS 1.0
Cossiga.883
Cpw.1459
Crazy_Nine
Cruncher.2092
Cruncher.4000
CyberTech.664
Dark_Avenger.1800.A
Dark_Avenger.1801
Darkend.1188
Datalock.920
Dec_Year
December_17th
Dei.1780
Deicide.666
Deicide.693
Deicide_II.2045_1
DELWIN.1759
Denzuk.1
Devil's_Dance
DewDZ
Diamond.David
Diamond.Lucifer.1086
DieHard2
DirII.1024
DirVirus.691
DiskWasher
Dismember
Drop.1131
Dudley
Dune.Divide
Earle.3006
Eight_Tunes
EMF.404
Empire.A
ENOLA
Exe_Bug.A
Exe_Bug.Hooker
F1.337
Fgt.651
Fichv.903
FileHider.789
Fish#6
FITW
Flip.2343
Form
Frodo
Gippo.1000
Gippo.1242
Gippo.901
Gliss.1247
Gnat.756
Green_Caterpillar.1575.A
GreenCaterpillar
Grune
GTM.BewareBug.1446
Hallochen
Helloween.1839
Hey_You
Highlander.477
Horse.1154.a,b
Horse.1776
Hungarian.473
Hypervisor.3120
Ibex
Icelandic.1(656)
Icelandic.2
Int13
Invisible
Iper.1062
J&M
Jerusalem
Jerusalem II
Jerusalem.1767
Jerusalem.1808.GreenCaterpillar
Jerusalem.Discom
Jerusalem.Standard
Jerusalem.Standard.sUMsDos
Jerusalem.Sunday
Jerusalem.Sunday.II
Jerusalem.sURIV.3.00.##00054
Joker
Jos.1000
Joshi
June12th
Junkie.1027.A
Kalah.499
Keypress.1216
Keypress.1232.A
Keypress.1495
Kinnison
Kthulhu.512
KYZ
Leech
Lenin
Leningrad.543
Leprosy.666
Lisbon
Little.Red
LittleBrother.321
LoveChild.488
Mabuhay
MadSatan.647
Malaga.2610
Maze
Mirage.1331
MISis
MMIR.Das_Boot
MMIR.Extasy
MMIR.Ravage
Monika.686
Mummy.1399
Murphy.1521
MutaGen.100.Garden
N8FALL
Necropolis
NeverMind
Nomenklatura
Number_of_the_Beast
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Nutcracker.AB3
Nutcracker.AB4
Nutcracker.AB5
Nutcracker.AB6
Nutcracker.AB7
OneHalf.3577
Pathogen_SMEG
Peacekeeper
Peter
Phi
Phoenix.Live.a
Phoenix.Live.b
Phx.965
Pirat.380
PREDATOR.2448
PS-MPC.Joshua
QRRY
Quandary
Quox
Rainbow
Raptor.1800
Ravage
Reverse.948
Russian_Flag
S_BUG.FRUITFLY.LITTLE_LOC
Satan-Bug
Satria.A
Satria.B
She_Has
SillyRC.200
Slowlite
Spanish Trojan
SSR
Stoned
Stoned.Angelina
Stoned.Michelangelo
Stoned.No_INT.Vincent
Stoned.Standard
Su
Susan.571
T555
TaiPan.438
Techno.1123
Tequila
Twelve Tricks Trojan
Unashamed
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.4879
Uruguay.5
Uruguay.6262
Uruguay.6344
V.1376
V163
VCL.Diogene
Velvet
ViRuZ.729.A
Void_Poem
VVM
W95.CIH
Warlock.1817
WM.Badboy.A
WM.Copycap
WXYZ
Xibin
Yankee.Wobble
Yellow.1361
YMP.NiceDay
Zerobug.1536
Zhengxi


 Este polimorf

_667
10past3
10past3.b
5lo.1024
84
Aids Information Kit Trojan
AIDS_II
Akuku.1111
Alameda.A
Alia.1023
Alia.8087
Alia.Prodigy
Ambulance.796
Amoeba.1392
ANSI bomb generator Trojan
Anthrax
AntiEXE
AntiPascal.400
AntiPascal.480
AntiPascal.605
Arcv.679
Arcv.Anna.742
Are_There
Arriba.1590
Asexual
Athens 1561
Athens.1561
Azusa
Barrotes.1310
Beijing
Blackmonday
Blood.418
Bonny.1000
Breeder.5152
Bupt_9146
Burglar
Byway
Cara
Cara.1024
Carbuncle.622
Cascade.1701
Caz.1159
CAZ.1159.b
Caz.1204
Cd.2161
CeCe.1998
CGA Driver Trojan
Chad.751
Chameleon.1260
ChineFish
Chinese_Fish
Cinderella.B
Cinderella_II
Close.656
Coffee Shop 3
CoffeeShop
Cossiga.883
Cpw.1459
Crazy_Nine
Cruncher.2092
Cruncher.4000
DARK AVENGER. 1800.A
Dark_Avenger.1800.A
Dark_Avenger.1801
Darkend.1188
Datalock.920
Dec_Year
Dei.1780
Deicide.666
Deicide.693
Deicide_II.2045_1
DELWIN.1759
Dementia
Denzuk.1
Devil's_Dance
DewDZ
Diamond.David
Diamond.Lucifer.1086
DieHard2
DirII.1024
DirVirus.691
DiskWasher
Dismember
Drop.1131
Dudley
Dune.Divide
Eight_Tunes
EM.1303
EMF.404
Empire.A
Europe.421
Exe_Bug.A
Exe_Bug.Hooker
F1.337
Fgt.651
Fichv.903
FileHider.789
Fish#6
FITW
Flip.2343
Form
Gippo.1000
Gippo.1242
Gippo.901
Gliss.1247
Gnat.756
Gotcha.1781
Gotcha.881
GreenCaterpillar
Grune
GTM.BewareBug.1446
Hallochen
Hare.7610
Hate
Helloween.1839
Hey_You
Hide_and_Seek
Highlander.477
Horns
Horse.1154.a,b
Horse.1776
Hungarian.473
Hungarian.482
Ibex
Icelandic.1(656)
Icelandic.2
Int13
Invisible
Iper.1062
J.S. Bach
Jerusalem
Jerusalem II
Jerusalem.1767
Jerusalem.1808.CT.A
Jerusalem.1808.GreenCaterpillar
Jerusalem.Discom
Jerusalem.Standard
Jerusalem.Standard.sUMsDos
Jerusalem.Sunday
Jerusalem.Sunday.II
Jerusalem.sURIV.3.00.##00054
Joker
Joshi
June12th
Junkie.1027.A
Kalah.499
KEY PRESS. 1232.A
Keypress.1216
Keypress.1232.A
Keypress.1495
Kinnison
Kthulhu.512
KYZ
Leech
Leningrad.543
Leprosy.666
Lisbon
Little.Red
LittleBrother.321
Maaike
Mabuhay
Manzon
Maze
MISis
MMIR.Das_Boot
MMIR.Extasy
MMIR.Ravage
Monika.686
Mummy.1399
MutaGen.100.Garden
N8FALL
NeverMind
Nexiv_Der
Nomenklatura
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Nutcracker.AB2
Nutcracker.AB7
OneHalf.3544
OneHalf.3577
PAN. 667
Pathogen_SMEG
Peacekeeper
Peter
Phalcon.Emo
Phi
Phx.965
PREDATOR.2448
PS-MPC.Joshua
QRRY
Quox
Rainbow
Raptor.1800
Reverse.948
RM
Runtime.365
S_BUG.FRUITFLY.LITTLE_LOC
Satan-Bug
Satria.A
Satria.B
She_Has
Shira-2048
SillyRC.200
Slowlite
SSR
Stoned, Standard
Stoned.Bunny.A
Stoned.Michelangelo
Stoned.No_INT.Vincent
Stoned.Standard
Su
Susan.571
T555
TaiPan.438
Techno.1123
Tequila
Todor.1993
Triple_Five.556
Trivial.99
Unashamed
UNCARING. 1054
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.4879
Uruguay.5
Uruguay.6262
Uruguay.6344
V_Sign
V163
VCL.Diogene
Velvet
Vienna.Monxla.B
Virogen.1520
Virogen.1535
ViRuZ.729.A
Void_Poem
VVM
Warlock.1817
Winword.Concept
WXYZ
Yankee.Wobble
Yellow.1361
YMP.NiceDay
Zhengxi


 Foloseste tehnici de autoprotectie

_667
10past3
10past3.b
5lo.1024
84
AIDS_II
Akuku.1111
Alameda.A
Alia.1023
Alia.8087
Alia.Prodigy
Ambulance.796
Amoeba.1392
ANSI bomb generator Trojan
Anthrax
AntiEXE
AntiPascal.400
AntiPascal.605
ANTISCAN. 814
AntiTurbo.A
Arcv.679
Arcv.Anna.742
Arriba.1590
Asexual
Athens.1561
Azusa
Barrotes.1310
Beijing
Blackmonday
Blood.418
Bonny.1000
BootEXE.451
Breeder.5152
Bupt_9146
Cara
Cara.1024
Carbuncle.622
Cascade.1701
Caz.1159
CAZ.1159.b
Chad.751
ChineFish
Chinese_Fish
Cinderella_II
Close.656
Coffee Shop 3
CoffeeShop
Cossiga.883
Cpw.1459
Cruncher.4000
CyberTech.664
Dark_Avenger.1800.A
Dark_Avenger.1801
Darkend.1188
Datalock.920
Dec_Year
December_17th
Deicide.666
Deicide.693
Deicide_II.2045_1
DELWIN.1759
Denzuk.1
Devil's_Dance
DewDZ
Diamond.David
Diamond.Lucifer.1086
DirII.1024
DirVirus.691
Dismember
Drop.1131
Dudley
Dune.Divide
Earle.3006
Eight_Tunes
EMF.404
Empire.A
Europe.421
Exe_Bug.A
Exe_Bug.Hooker
F1.337
Fgt.651
Fichv.903
FileHider.789
FITW
Flip.2343
Form
Gippo.1000
Gippo.1242
Gippo.901
Gliss.1247
Gnat.756
Gotcha.1781
GreenCaterpillar
Grune
GTM.BewareBug.1446
Hallochen
Hate
Helloween.1839
Hey_You
Highlander.477
Horns
Hungarian.473
Hungarian.482
Ibex
Icelandic.1(656)
Icelandic.2
Int13
Invisible
Iper.1062
J&M
J.S. Bach
Jerusalem
Jerusalem II
Jerusalem.1767
Jerusalem.Discom
Jerusalem.Standard
Jerusalem.Standard.sUMsDos
Jerusalem.Sunday
Jerusalem.Sunday.II
Jerusalem.sURIV.3.00.##00054
Joker
Jos.1000
Joshi
June12th
Kalah.499
Keypress.1216
Keypress.1232.A
Keypress.1495
Kthulhu.512
KYZ
Leech
Lenin
Leningrad.543
Leprosy.666
Lisbon
LittleBrother.321
Maaike
Mabuhay
Maze
MISis
MMIR.Das_Boot
MMIR.Extasy
Monika.686
Mummy.1399
MutaGen.100.Garden
NeverMind
Nomenklatura
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Nutcracker.AB2
Nutcracker.AB3
Nutcracker.AB4
Nutcracker.AB5
Nutcracker.AB6
Nutcracker.AB7
OneHalf.3544
Pathogen_SMEG
Peacekeeper
Peter
Phi
Phx.965
PREDATOR.2448
PS-MPC.Joshua
QRRY
Quox
Raptor.1800
Reverse.948
RM
Runtime.365
S_BUG.FRUITFLY.LITTLE_LOC
Satan-Bug
Satria.A
Satria.B
She_Has
Shira-2048
SillyRC.200
Slowlite
Stoned.Bunny.A
Stoned.Michelangelo
Stoned.No_INT.Vincent
Stoned.Standard
Su
Susan.571
T555
TaiPan.438
Techno.1123
Tequila
Trivial.99
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.4879
Uruguay.5
Uruguay.6262
Uruguay.6344
V163
VCL.Diogene
Velvet
ViRuZ.729.A
Void_Poem
VVM
Warlock.1817
WXYZ
Yankee.Wobble
Yellow.1361
YMP.NiceDay


 Tip dropper

Cara
Crazy_Nine
Dementia
DirDropper.1577
DirDropper.1686
Screaming_Fist.927
Twelve Tricks Trojan
WINSTART
WM/Nuclear.A
Zhengxi


 Este un Cal Troian

Aids Information Kit Trojan
ANSI bomb generator Trojan
CGA Driver Trojan
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Nutcracker.AB2
Nutcracker.AB4
Nutcracker.AB5
Nutcracker.AB7
Twelve Tricks Trojan


 Este un vierme

8ball
MKWorm.715
Shimmer.a
Shimmer.b
TME.643


 Afiseaza mesaje

10past3.b
7son.284
Abraxas-3
AE-BUG
Aids Information Kit Trojan
AIDS_II
Aircop
Akuku-649
Akuku.1111
Alex
ALEX.599
Alien-3
Alpha743
AmazonQueen.479
AmazonQueen.500
Amoeba.1392
Antibase.1900
April1st.COM
Arcv.679
Arcv.Anna.742
Arriba.1590
BadCom.600
Barrotes.1310
BIT_ADDICT
Bob
Boza
Breeder.5152
Bua
Bung 142
Burglar
Byway
CANNA615
Cara
Cara.1024
Caz.1159
Cd.2161
CGA Driver Trojan
Chad.751
Chaos.1181.B
ChineFish
Chinese_Fish
Christmas.1539
CIBERTECH
Cinderella_II
Clock.A
Close.656
CNTV
CoffeeShop
COMVIRUS 1.0
Cossiga.883
Cpw.1459
CRUMBLE
Cvirus
Daisy
Dame
Datacrime II
Datacrime.1168
Datacrime.1480
Datacrime.1514
Datalock.920
December_17th
Defo
Deicide.666
Deicide.693
Deicide_II.2045_1
DELWIN.1759
Dementia
Devil's_Dance
DewDZ
DIE LAMER
DieHard2
DiskWasher
DMV.B
Dune.Divide
EAR
Earle.3006
Empire.A
Europe.421
Exe_Bug.A
Exe_Bug.Hooker
Explode
Explosion
Fish#6
FITW
Frodo
Gippo.1000
Gippo.1242
Gippo.901
Groovie
GTM.BewareBug.1446
Hare.7610
Hare.7750
Hare.7786
Hate
Helloween.1376
Hey_You
Highlander.477
Hungarian.482
Invisible
Jerusalem.Fumanchu.2080
Joker
Jos.1000
Joshi
June12th
Kaczor
Kalah.499
Kinnison
Kthulhu.512
Leech
Leningrad.543
Leprosy.666
Leprosy.Merci.308
Maaike
Mabuhay
Monika.686
MultiAni
MutaGen.100.Garden
N8FALL
Neuroquila
Nutcracker.AB5
Nutcracker.AB7
One_Half.3544
OneHalf.3544
Parity_Boot
Parity_Boot.B
Pathogen_SMEG
Peter
Pirat.380
Porcupine.3008
Porcupine.3012
PS-MPC.Joshua
Raptor.1800
Ravage
RMC.1551
Rogue.1208
RP. DECEMBER 17th
Runtime.365
SayNay
Spanish Trojan
Spanska.4250
SSR
Stoned, Standard
Stoned.June_4th
Stoned.Standard
Su
Susan.571
Swiss Boot
Sylvia
Techno.1123
Tentacle
Tequila
TPVO
Twelve Tricks Trojan
Unashamed
Urkel
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.4879
Uruguay.5
Uruguay.6262
Uruguay.6344
Vbasic
VCL.Diogene
Virus90
ViRuZ.729.A
Void_Poem
Vote.1000
W97M.Calandar.A
W97M.Change.A
W97M.Frenzy.A
W97M.KLA.A
W97M.NightShade.A
WM.Alien-A
WM.Alliance.A
WM.Andry.A
WM.Archer.a
WM.Armadillo
WM.Badboy.A
WM.Bandung.A
WM.Bandung.B
WM.Bandung.C
WM.Bandung.D
WM.Birthday.A:De
WM.Birthday.A:De
WM.Black.A
WM.Cartman
WM.Dance.A
WM.DMV.A
WM.Easy.A
WM.Gangsterz
WM.Goldfish.A
WM.GoldSecret.A
WM.Hassle.A
WM.Helper
WM.Hitman.A
WM.Hunter.A
WM.Hybrid
WM.Illiterate.A
WM.Imposter
WM.Innuendo.A
WM.Italian.A
WM.Jaja.A
WM.JunkFace.A
WM.Lordsatan
WM.Lucy.A
WM.Lunar.A
WM.Lunch.B
WM.MDMA
WM.Mercy.A
WM.Minimal
WM.Munch.A
WM.Npad
WM.Oblom.A
WM.Phardera
WM.Reflex.A
WM.Saver.A
WM.Simple.A
WM.Smiley
WM.Spooky
WM.Strezz.A
WM.Talon
WM.Terror.A
WM.Volcano.A
WM.Wallpaper.A
WXYZ
X97M.Import.A
XF.Paix
YMP.NiceDay


 Contine mesaje (neafisate)

_667
5lo.1024
Aircop
Alia.1023
Alia.8087
AmazonQueen.468
AmazonQueen.479
AmazonQueen.500
Angelina
Anthrax
AntiPascal.400
AntiPascal.480
AntiPascal.605
AntiTurbo.A
April1st.COM
Arcv.679
Arcv.Anna.742
Are_There
Armagedon.1074
Assassin.4834
Baba.353
Baph.1536
Better World
BLOODY-WARRIO
BlueNine.925
Breath.34571
Bua
Bupt_9146
Byway
Cara.1024
Carbuncle.622
CeCe.1998
Chad.751
Coffee Shop 3
CoffeeShop
Cossiga.883
Cpw.1459
Cvirus
Darkend.1188
Datalock.920
Dei.1780
Deicide.693
DELWIN.1759
Dementia
Destructor
DewDZ
Diablo_Boot
DirVirus.691
Dudley
EARLE. 1244
Earle.3006
Elaine.1127
EMF.404
Exe_Bug.Hooker
Fichv.2.1.903
Fichv.903
Fish#6
FITW
Form
FORM. A
Form.A
Ghostball.2351
Gippo.1000
Gippo.1242
Gippo.901
Gnat.756
Gotcha.1781
Gotcha.879
Gotcha.881
Grune
Hallochen
Hdzz.566
Helloween.1839
Highlander.477
Horns
Horse.1154.a,b
Hypervisor.3120
Hypervisor.3128
Int13
Invisible
Istanbul.1349
J&M
J.S. Bach
Jerusalem.1767
Jerusalem.Fumanchu.2080
Jerusalem.Standard.sUMsDos
Jerusalem.Sunday
Jerusalem.sURIV.3.00.##00054
Jos.1000
Kali.641
Karol.1000
KEY PRESS. 1232.A
Keypress.1232.A
Lenin
Leningrad.543
Leprosy.666
Leprosy.Merci.308
LittleBrother.321
Lokjaw.493
LoveChild.488
MadSatan.647
Major.1644
Manzon
Maze
Mirage.1331
Mix.1618
Mix.1636
MMIR.Extasy
MMIR.Ravage
MTE
Mummy.1399
Murphy.1521
MutaGen.100.Garden
MW.Swlabs
NeverMind
Nexiv_Der
Nomenklatura
Number_of_the_Beast
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Nutcracker.AB7
NV.732
Ohlala.1960
OneHalf.3544
OneHalf.3577
Ontario.512
Padania
PAN. 667
Pathogen_SMEG
Peacekeeper
Phalcon.Emo
Phantom.2201
Phx.965
Pixel.345
Porcupine.3008
Positron
PREDATOR.2448
PS-MPC.Joshua
Rainbow
Reverse.948
RM
RMNS
Rogue.1213
S_BUG.FRUITFLY.LITTLE_LOC
Sampo
Satan-Bug
Satria.A
SayNay
She_Has
Shira-2048
SillyC.138
SillyC.174
SillyC.190
Sofia.432
Sofia.528
Spanish Trojan
SSR
Stoned, Standard
Stoned.Angelina
Stoned.Bunny.A
Stoned.Spirit
Stoned.Standard
Su
Susan.571
T555
Tai -Pan.666
TaiPan.438
Techno.1123
Telefonica.3700
Thanksgiving
Trivial.31
Trivial.99
Trivial.Banana.139
Twelve Tricks Trojan
V.2435
V.699
Vbasic
Velvet
VIENNA, 480
Vienna.507
Vienna.534
Vienna.623
Vienna.Viperize
Violetta.3840
Virogen.1520
Virogen.1535
ViRuZ.729.A
VVM
Warlock.1817
Winlamer
WM.Armadillo
WM.Bandung.A
WM.Birthday.A:De
WM.Black.A
WM.CAP
WM.Cartman
WM.CVCK1.A
WM.Dance.A
WM.Daniel.A
WM.Dark.A
WM.Envader.A
WM.GoldSecret.A
WM.Haggis.A
WM.Hassle.A
WM.Helper
WM.Hitman.A
WM.Hot
WM.Hunter.A
WM.Hybrid
WM.Illiterate.A
WM.Imposter
WM.Inexist
WM.Irish
WM.JunkFace.A
WM.Lazy.A
WM.Lordsatan
WM.Lunar.A
WM.Lunch.B
WM.MadDog.A
WM.Mercy.A
WM.Oblom.A
WM.Phardera
WM.Plushad.A
WM.Spiral
WM.Spooky
WM.Strezz.A
WM.Sunbeam.A
WM.Talon
WM.Twister
WM.Volcano.A
WM.Wazzu.X
WM.Wompie.A
WM/Fake.A
WM/Niknat
WXYZ
Xibin
Zerobug.1536
Zhengxi
Zipper


 Se autodetecteaza in memorie

Aircop
Alia.8087
Alia.Prodigy
ANTISCAN. 814
Bonny.1000
BootEXE.451
BootEXE.452
Burglar
Cascade.1701
Chaos.1181.B
CNTV
CoffeeShop
Cpw.1459
Cruncher.2092
Cruncher.4000
Darth_Vader
Datalock.920
Dec_Year
DELWIN.1759
Dementia
DieHard2
Dune.Divide
EARLE. 1244
Earle.3006
Eight_Tunes
F1.337
Fichv.903
FITW
Gnat.756
Gotcha.1781
GreenCaterpillar
Hare.7610
Helloween.1839
Hey_You
Hi.802
Horns
Invisible
Iper.1062
Jerusalem II
Jerusalem.Standard
Jerusalem.sURIV.3.00.##00054
Jos.1000
June12th
Keypress.1216
KYZ
Little.Red
Lokjaw.493
LoveChild.488
Mabuhay
Manzon
Maze
Mix.1618
MMIR.Ravage
Monika.686
Mummy.1399
Necropolis
NeverMind
Nomenklatura
OneHalf.3544
Ontario.512
Pathogen_SMEG
Peacekeeper
Phoenix.Proud
Phx.965
Positron
PREDATOR.2448
Quox
Raptor.1800
Reverse.948
RMNS
Sampo
Satan-Bug
Screaming_Fist.927
Shira-2048
SillyRC.200
Skew.458
SSR
Su
Susan.571
T555
TaiPan.438
Telefonica.3700
Tequila
UNCARING. 1054
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.4879
Uruguay.5
Uruguay.6262
Uruguay.6344
V.1376
V_Sign
V163
Void_Poem
Warlock.1817
WINSTART
WM/Nuclear.A


 Se autodetecteaza pe disc

_667
Aircop
Akuku.1111
Alia.8087
Alia.Prodigy
Angelina
AntiTurbo.A
April1st.COM
Bonny.1000
Boot.437
BootEXE.451
Bua
Burglar
Byway
Cascade.1701
Caz.1204
Chaos.1181.B
ChineFish
CNTV
CoffeeShop
Cpw.1459
Cruncher.2092
Cruncher.4000
Darth_Vader
Datalock.920
Dec_Year
DELWIN.1759
Dementia
DieHard2
DirII.1024
DiskWasher
Dune.Divide
Earle.3006
EM.1303
Exe_Bug.A
Exe_Bug.Hooker
FITW
Form
Gippo.1242
Gippo.901
Gnat.756
Gotcha.1781
GreenCaterpillar
GTM.BewareBug.1446
Hare.7610
Helloween.1839
Hey_You
Hi.802
Horns
Ibex
Int13
Invisible
Iper.1062
J&M
J.S. Bach
Jerusalem II
Jerusalem.Standard
Jerusalem.Standard.sUMsDos
Jerusalem.sURIV.3.00.##00054
Jos.1000
Joshi
Jumper
June12th
Kalah.499
Keypress.1216
Keypress.1495
Kthulhu.512
KYZ
Lenin
Lisbon
Little.Red
LoveChild.488
Mabuhay
Maze
MISis
Mix.1618
MMIR.Ravage
Monika.686
Monkey.B
Necropolis
NeverMind
Nexiv_Der
Nomenklatura
Nutcracker.AB7
OneHalf.3544
Ontario.512
PAN. 667
Pathogen_SMEG
Peacekeeper
Peter
Phx.965
Pirat.380
Positron
PREDATOR.2448
PS-MPC.Joshua
QRRY
Quandary
Quox
Rainbow
Raptor.1800
Reverse.948
RMNS
Runtime.365
Russian_Flag
Satan-Bug
Satria.A
Satria.B
SayNay
Screaming_Fist.927
She_Has
Shira-2048
SillyRC.200
Skew.458
Slowlite
SSR
Stoned, Standard
Stoned.Michelangelo
Stoned.No_INT.Vincent
Stoned.Standard
Su
Susan.571
T555
TaiPan.438
Techno.1123
Telefonica.3700
Tequila
Unashamed
Unashamed.B
UNCARING. 1054
V163
Velvet
Vienna.353
ViRuZ.729.A
Void_Poem
VVM
Warlock.1817
Win.Twitch
Winlamer
WM/Nuclear.A
WXYZ
YMP.NiceDay
Zerobug.1536
Zhengxi


 Mod de infectare

Folosind FindFirst / FindNext
Interceptand FindFirst / FindNext


 Folosind FindFirst / FindNext

_667
4res
66c.612
7son.332
7son.334
7son.350
92_69.1148
99percents
Abal.758
Abraxas.1170
Abraxas.1171
Abraxas.1200
Abraxas.1214
Abraxas.1304
Abraxas.Cleton.1508
Abraxas.Cleton.1518
Abraxas_II.1520
Abraxas_II.2011
Adrenalin.571
Advent.2764
Advent.3551
Advent.Cookie.2232
Aids.872
Akuku.1111
Akuku.649
Akuku.886
Albania.429
Albania.506
Albania.575
Albania.606
Alex&Solo.512
Alex.368
ALEX.599
Alex.818
Ambulance.795
Ambulance.796
Amz.1110
Amz.600
Amz.682
Amz.789
Amz.801
Andromeda.1140
Angarsk.238
Angel.1000
Ansi.881
Antimit.770
Antimon.1450
AntiPascal.400
AntiPascal.407
AntiPascal.440
AntiPascal.480
AntiPascal.529
AntiPascal.605
Antiscan.508
Aragorn.1522
Arara.1038
Arara.1375
Arcv.335
Arcv.475
Arcv.541
Arcv.562
Arcv.570
Arcv.571
Arcv.657
Arcv.664
Arcv.670
Arcv.679
Arcv.693
Arcv.745
Arcv.826
Arcv.839
Arcv.965
Arcv.Alpha.743
Arcv.Anna.742
Arcv.Anna.745
Arcv.Ice.159
Arcv.Ice.199
Arcv.Ice.224
Arcv.Ice.250
Arcv.Ice.330
Arcv.Mcwhale
Arcv.Zaphod.399
Ari.1962
ArjVirus
Ash.270
Ash.280
Ash.712
Ash.737
Ash.743
Ash.817
Ash.Pizza.1602
Ash.Pizza.1604
Ash.Riot.441
Ash.Riot.449
Ash.Riot.451
Assassin.4834
Atas.384
Atas.400
Atomic.232
Atomic.350
Atomic.371
Atomic.480
Atomic.831
Attention.629
Aurea.653
Aurea.768
Australian.118
Australian.122
Australian.142
Australian.143
Australian.147
Australian.150
Australian.153
Australian.162
Australian.369
Australian.369b
Avatar.BigBang
Avv.1667
Avv.2300
Bach.498
Badguy.208
Badguy.265
Bailey.270
Bailey.334
Bailey.380
Bait.425
Bat.282
Bat.Pot
Bat.Skul
Bat.Xop
Bat.Zep
Bat.Zop_b
Bat2Exec.1644
BatVir94
Beaches.1091
Bebe.1004
Bebe.486
BetaBoys.441
BetaBoys.457
BetaBoys.459
BetaBoys.538
Beware.442
BillBoard.835
Billy.836
Bishop.2855
Bishop.4517
Black.1000
Blackjec.230
Blackjec.231
Blackjec.232
Blackjec.235
Blackjec.236
Blackjec.246
Blackjec.247
Blackjec.252
Blackjec.256
Blackjec.267
Blackjec.272
Blackjec.276
Blackjec.281
Blackjec.284
Blackjec.287
Blackjec.292
Blackjec.300
Blackjec.301
Blackjec.307
Blackjec.358
Blackjec.363
Blackjec.369
Blackjec.374
Blackjec.378
Blackjec.427
Blackjec.440
Blackjec.441
BlackWind
Blaze.284
Blood.418
Bloodlust.302
Bob.718
Bog.233
Boobs.4461
Bops.900
Boys.500
Bruces.417
Bryansk.673
BuenDia.816
Bug.920
Burger.1310
Burger.382
Burger.398
Burger.405
Burger.498
Burger.505
Burger.509
Burger.512
Burger.536
Burger.560
Burger.Pirates.609
Burma.409
Burma.442
Burma.563
Burma.756
BWME.Diease.989
BWME.FMS.1001
BWME.SnowBird
BWME.Twelve.1378
C0m.263
Cantando.857
Carbuncle.621
Carbuncle.622
Cartier.1056
CCCP.510
Chad.751
Chameleon.1231
Chameleon.1246
Chameleon.1256
Chameleon.1260
Chameleon.1639
Chameleon.1840
Chameleon.1948
Chameleon.Casper.1190
Chameleon.Casper.1200
Chameleon.Casper.1440
Chcc.2662
Chips.877
Christmas.1539
Christmas.600
Chukcha.554
Chukcha.838
Civilwar.126
Civilwar.144
Civilwar.158
Civilwar.166
Civilwar.212
Civilwar.213
Civilwar.244
Civilwar.245
Civilwar.281
Civilwar.282
Civilwar.444
Civilwar.Antidaf.561
Civilwar.Dad.503
Civilwar.Insane.186
Civilwar.Insane.197
Civilwar.IronButterfly
Civilwar.Rabbit.292
Civilwar.Ratboy.269
Civilwar.Ratboy.289
Civilwar.Ratboy.303
Civilwar.Ratboy.306
Civilwar.Ratboy.513
Civilwar.Ratboy.545
Civilwar.Ratboy.671
Clinton.654
CLME.Ming.1528
Clone.546
Cobra.400
Codezero.576
Collor.878
Commy.1014
Como.1786
Como.2019
Companion.228
Companion.246
Companion.247
Companion.261
Companion.3351
Companion.8736
Companion.923
Comvirus.321
Congratilations
Cookie.653
Cookie.722
CopCom.286
CopCom.287
CopyProtected
Cossiga.859
Cossiga.883
Crash.543
Crash.600
Crawly.6624
CrazyEddie
CrazyPriest
Crew.1967
Crew.2048
Crooked.979
CSSR.528
Cyberloard.200
Cyberloard.381
CyberTech.1066
CyberTech.1076
CyberTech.1215
CyberTech.1228
CyberTech.222
CyberTech.439
CyberTech.444
CyberTech.454
CyberTech.501
CyberTech.503
CyberTech.552
CyberTech.664
DAME.Lame
DAN.1500
DARV.1024
Dashel.1804
Datacrime.1168
Datacrime.1280
Datacrime.1480
Datacrime.1514
DataFire.1080
DBF.1115
DBF.990
Death.1001
DeathBoy.640
DeathBoy.893
DeathDragon.499
Deathrider.729
Deicide.1335
Deicide.2404
Deicide.2405
Deicide.2569
Deicide.2570
Deicide.358
Deicide.359
Deicide.622
Deicide.623
Deicide.665
Deicide.666
Deicide.693
Demon.348
Demon.355
Demonhyak.270
Demonhyak.272
Devastator.174
DHeart.452
DHeart.649
Digger.1475
Digger.1512
Dillinger.547
Dima.1024
DirDropper.1577
DirDropper.1686
DKiller.Clouds.588
DKiller.Clouds.657
DKiller.Clouds.718
DKiller.DK.693
DKiller.DK2.269
Dlsu.477
DM.674
Doomsday.715
Doomsday.733
Dos.184
Dos7.342
Dos7.376
Dos7.419
Dot.944
DS.512
DSME.Apex.2685
DSME.DemoVirus
Dutch_Tiny.163
Dutch_Tiny.177
Dutch_Tiny.180
Dutch_Tiny.191
Dutch_Tiny.251
Dutch_Tiny.263
Dutch_Tiny.284
Dutch_Tiny.286
Dutch_Tiny.311
Dutch_Tiny.312
Dutch_Tiny.Brenda
Dutch_Tiny.Kennedy
Dutch_Tiny.Stigmata
Dutch_Tiny.Wild.287
Dutch_Tiny.Wild.289
Dy.278
Dzino.1000
Eader.2000
EAF0.638
EAF0.655
EAF0.656
EAF0.687
EAF0.737
Eagle.7705
ECW.570
EDS.692
Einvolk.521
Einvolk.526
Einvolk.640
Elena.730
Eliza.1194
Em.1303
Enculator.Turbo.1366
ErrorInc.260
ErrorInc.393
ErrorInc.465
ES.400
Este.303
Etc.700
Experiment.416
Experiments.755
Exterminator
Exterminator.b
F_word.377
Faerie.276
Faerie.286
Faerie.349
Faggot.1009
Fasolo.149
Fasolo.176
FastKiller.481
Fdate1111.537
Fdate1111.570
FeelBad.1124
Fewster.1781
Fgt.651
FindMe.608
FindMe.695
Fist.403
Flower.883
Flue.1179
Freak.938
Freew.692
Friday13.408
Friday13.416
Friday13.417
Friday13.456
Friday13.540
Friday13.613
Friday13.623
FrodoSoft.458
FrodoSoft.563
FrodoSoft.590
FrodoSoft.633
FrodoSoft.656
Froll.1665
Fumble.712
Fumble.801
Fumble.867
Galeocerdo.600
GCAE.Demo.2520
GCAE.Demo.2915
Genesis.217
Genesis.226
Genesis.238
Genesis.295
Gergana.182
Gergana.222
Gergana.300
Gergana.450
Gergana.512
GetLost.734
Ghostball.2351
Gidra.469
Gidra.502
Gidra.505
Gippo.1000
Gippo.1030
Gippo.1050
Gippo.1242
Gippo.1249
Gippo.901
Gippo.944
Gipro.504
Girls.1829
Gkchp.800.b
Glemp.877
Gliss.1247
Goga
Gollum.644
GoodThursday
Gotyou.5052
Grapje.1039
Green.1036
Grog.1072
Grog.1349
Grog.1603
Grog.1635
Grog.1641
Grog.202
Grog.283
Grog.304
Grog.377
Grog.456
Grog.474
Grog.480
Grog.488
Grog.495
Grog.518
Grog.547
Grog.557
Grog.566
Grog.647
Grog.660
Grog.757
Grog.794
Grog.796
Grog.886
Grog.903
Grog.926
Grog.Crackers
Grunt.344
Grunt.346
Grunt.359
Grunt.427
Grunt.473
Grunt.529
Gyro.512
Gysium.3563
Ha.311
Hafen.1191
Hafen.1640
Hafen.1641
Hafen.1689
Hafen.781
Hafen.809
Hafen.818
Halka.1000
Halka.474
Halka.720
Halley.7856
Hamster.546
Happy.412
Harakiri.5488
Heevahava.514
Hehehe.331
HelloUser.365
HelloUser.545
HelloUser.547
Hide.709
Hider.1782
Hider.2169
HLLC.12304
HLLC.14880
HLLC.5472
HLLC.7952
HLLC.8224
HLLC.9261
HLLC.Aids.8064
HLLC.April1st
HLLC.Arj.7952
HLLC.Bolek.8096
HLLC.Cornucopia
HLLC.Crawen.8306
HLLC.Crawen.8516
HLLC.Cumulus
HLLC.Dope.4870
HLLC.Dope.5219
HLLC.Enrico
HLLC.Evenbeep
HLLC.Globe.5150
HLLC.Globe.6610
HLLC.Happy.LZ
HLLC.Happy.PK
HLLC.IdoMoshe
HLLC.Lanc.7376
HLLC.PC-Alive.8902
HLLC.ScreenAllive
HLLC.Tree2.14186
HLLC.Unvisible
HLLC.Worm.16412
HLLC.Worm.16850
HLLC.Worm.17690
HLLC.Worm.Frust
HLLC.Worm.Icommand
HLLC.Worm.Runme.10832
HLLC.Worm.Runme.5008
HLLC.Xmas.15264
HLLO.10842
HLLO.187Killa
HLLO.3008
HLLO.3522
HLLO.4032
HLLO.4240
HLLO.4317
HLLO.4372
HLLO.4734
HLLO.4830
HLLO.4870
HLLO.5488
HLLO.6144
HLLO.6286
HLLO.6544
HLLO.7392
HLLO.Aids.13847
HLLO.Aids.13952
HLLO.Crash.7227
HLLO.FU.8608
HLLO.JJJ.3816
HLLO.Joker
HLLO.Kamikaze
HLLO.Messanger
HLLO.Nazi.4240
HLLO.Nova
HLLO.NumOne
HLLO.Ostraboo
HLLO.Picked
HLLO.Ruf
HLLO.Tu.4752
HLLP.10460
HLLP.15392
HLLP.16470
HLLP.3072.a
HLLP.3072.b
HLLP.3678
HLLP.3680
HLLP.3779
HLLP.3966
HLLP.4075
HLLP.4109
HLLP.5000
HLLP.5444
HLLP.5602
HLLP.5792
HLLP.5824
HLLP.5938
HLLP.7296
HLLP.7408
HLLP.7529
HLLP.7808
HLLP.7940
HLLP.Animus.a
HLLP.Animus.b
HLLP.Bdaagwa
HLLP.Ceib.4629
HLLP.Dupalec
HLLP.Halloween
HLLP.Kasienka.8192
HLLP.Linda
HLLP.Nazi.4415
HLLP.Nazi.5984
HLLP.Nazi.6128
HLLP.NotFound.6176
HLLP.Rangel.5000
HLLP.Rsw.5846
HLLP.Runner.9312
HLLP.Sauron.4568
HLLP.Ukazna
HLLP.Viper.7792
HLLP.Voodoo
HLLP.Vova.12560
HLLP.Vova.8896
HLLP.Vova.9904
HLLP.VVC.8304
HLLP.Wizard.3677
Honey.1027
Honey.666
House.11636
Hwang.1509
HWF.937
Hybrid.1306
I_am.635
Ill.1016
Incom
Industrial.1841
Infector.822
Int12
Internal.1381
Internal.1459
Intrep.1092
Intrep.946
Intruder.1312
Intruder.1317
Intruder.1319
Intruder.1326
Intruder.1331
Intruder.1336
Intruder.1353
Intruder.1355
Intruder.1440
Intruder.1555
Intruder.1967
Intruder.1988
Intruder.2336
Ionkin.231
Ionkin.2372
Iper.1062
Iron.188
IronMaiden
Itavir.3187
Itv.449
Itv.454
Jabber.334
Jeff.812
Jerk.1077
Jesus.1215
Jesus.1258
Joe.1089
Joe.589
Joke.1068
July13
July13.b
June16
K_Hate.1128
Kak.391
Kali.641
Kaos4.697
Karin.1134
Kaszana.1848
Kaszana.1920
Kaszana.1992
KbrError.1268
Keeper.China.777
Kemerovo
Khizhnjak.1011
Khizhnjak.1269
Khizhnjak.306
Khizhnjak.377
Khizhnjak.419
Khizhnjak.444
Khizhnjak.469
Khizhnjak.509
Khizhnjak.515
Khizhnjak.565
Khizhnjak.586
Khizhnjak.632
Khizhnjak.676
Khizhnjak.692
Khizhnjak.692.b
Khizhnjak.696
Khizhnjak.719
Khizhnjak.731
Khizhnjak.749
Khizhnjak.753
Khizhnjak.782
Khizhnjak.823
Khizhnjak.846
Khizhnjak.875
Khizhnjak.Areg.822
Khizhnjak.Areg.847
Khizhnjak.DeathLord.752
Khizhnjak.DeathLord.933
Khizhnjak.Hallo.496
Khizhnjak.Hallo.726
Khizhnjak.Hallo.751
Khizhnjak.Hallo.759
Khizhnjak.Hallo.765
Khizhnjak.Hallo.962
Khizhnjak.Happy.743
Kid.393
Kid.434
Kirti.2000
Knight.1136
Kode4.281
Kode4.282
Kode4.285
Kode4.287
Kode4.399
Kohntark.K-CMOS.931
Kohntark.K-CMOS.937
Kohntark.Kompanion.268
Kommuna.801
Kthulhu.512
Kuku.448
Lame.173
Lame.207
Lame.435
Lame.538
Lame.98
LamersSuprise
LamersSuprise.1318
Lapidario.787
Late.248
Laufwerk
Lct.599
Lct.602
Lct.762
Lcv.864
Leathal.722
Lenin.943
Leprosy.1207
Leprosy.1818
Leprosy.1992
Leprosy.321
Leprosy.350
Leprosy.370
Leprosy.47857
Leprosy.5120
Leprosy.5370
Leprosy.562
Leprosy.571
Leprosy.585
Leprosy.591
Leprosy.595
Leprosy.600
Leprosy.625
Leprosy.647
Leprosy.664
Leprosy.666
Leprosy.666.c
Leprosy.736
Leprosy.800
Leprosy.808
Leprosy.81
Leprosy.814
Leprosy.907
Leprosy.946
Leprosy.BadBrains.554
Leprosy.BadBrains.570
Leprosy.BadCommand.281
Leprosy.Beavis.201
Leprosy.Busted.570
Leprosy.Busted.572
Leprosy.Echo.425
Leprosy.Flood.999
Leprosy.Jas.792
Leprosy.Lubec.731
Leprosy.Merci.308
Leprosy.Misery.664
Leprosy.Morrison.870
Leprosy.Oss.591
Leprosy.Peace_SA.777
Leprosy.Riot.666
Leprosy.Riot.808
Leprosy.Sandra.534
Leprosy.Sandra.535
Leprosy.Sandra.551
Leprosy.Sandra.573
Leprosy.Sandra.579
Leprosy.Sandra.606
Leprosy.Sandra_II.1356
Leprosy.Sandra_II.1809
Leprosy.Sector.827
Leprosy.Seneca.381
Leprosy.Seneca.483
Leprosy.Seneca.493
Leprosy.Skism.1992
Leprosy.Spam.1306
Leprosy.Taz.1973
Leprosy.Taz.2197
Leprosy.Taz.2209
Leprosy.Taz.2276
Leprosy.YH.880
Lesson.189
Lesson.208
Lip.286
Little.Red
Lomza
Lost.2878
LSD.1600
Lseek.1461
Lubak.466
Lunch.1756
Lunch_II.404
Lurid.699
Lurid.733
M5VP2.1678
Made.255
Made.334
Madismo.6007
Malmsey.1703
Malmsey.495
Marky.478
Maus.1888
MD.354
MD.498
MD.499
MD.557
Mel.1536
MemLapse.294
MemLapse.323
MemLapse.366
MemLapse.375
MemLapse.406
MemLapse.407
MemLapse.449
Mephisto.2.1000
Mephisto.3.914
Mephisto.3.928
Mephisto.3.937
Mephisto.3.938
Mephisto.4.815
Metallica.1536
MGTU.273
Milan.Antinazi
Milan.Naziskin.270
Milan.Naziskin.335
Milan.Naziskin.903
Milan.Sabrina.175
Milan.Verbatim.289
Mindless.418
Mindless.423
Mindless.429
Ming.1017
Ming.491
Mini.101
Mini.108
Mini.109
Mini.110
Mini.115
Mini.117
Mini.120
Mini.123.a
Mini.123.b
Mini.125
Mini.127.a
Mini.127.b
Mini.129
Mini.130
Mini.132
Mini.139
Mini.143
Mini.150
Mini.158
Mini.163
Mini.176
Mini.178
Mini.189
Mini.195
Mini.200
Mini.203
Mini.207
Mini.212
Mini.218
Mini.233
Mini.247
Mini.300
Mini.71
Mini.81
Mini.84
Mini.93
Mini.94
Mini.99
MiniHHHH.246
Minimax
Miras.640
Mirea_II.4157
MKWorm.715
MME.Demo
MME.WhoNoName
Mnemonix.Dementia.1027
Mnemonix.Dementia.512
Mnemonix.Dementia.609
Mnemonix.LoTek
Mnemonix.Sugar
Monday.499
Monkey.979
Moose.353
Moose.468
Moose.631
MPS.469
MPS.640
MPS.654
Mr_G.314
Mr_G.388
Mr_Twister.239
MrTwister.12288
MrTwister.16384
Mrvirus.508
MS.748
Mshark.373
Mshark.378
Msk.272
MSTU.513
MSTU.533
MSU.271
MtE.CrackerBack
MtE.Darkstar
MtE.Dedicated
MtE.Destructor
MtE.Dewy
MtE.Encroacher
MtE.Fear
MtE.Insuff
MtE.Lct
MtE.Ludwig
MtE.Mother
MtE.Pcweevil
MtE.Questo
MtE.Spawn
Mtz.971
Munich.2355
MutaGen.090.Agent
MutaGen.095.Agent
MutaGen.100.Agent
MutaGen.100.Garden
MutaGen.100.Secret
MutaGen.100.Test
MutaGen.110.Agent.a
MutaGen.110.HiTek
MutaGen.12.Agent.1810
MutaGen.13.Agent.1918
MutaGen.20.Agent.2204
N-Xeram.1664
Nanite.332
Nazgul.266
NED.Nukehard
NED.Tester
NeverOne.442
NewAids.1041
Newgen.1054
Nie.1664
Nobock.440
Norway.673
Nosmoking.1000
Nosmoking.1575
Ntit.1254
Ntit.1578
NTZ.397
Nuke.1680
Nuke.Awake
Nuke.Bob.1110
Nuke.Bob.1117
Nuke.Clock
Nuke.DC00l.1811
Nuke.Deadpool
Nuke.Elvis
Nuke.Howard.967
Nuke.Jac.991
Nuke.LoneWolf
Nuke.Marauder
Nuke.Marauder.855
Nuke.Ministry
Nuke.Sirius.402
Nutcracker.AB7
Nygus.163
Nygus.195
Nygus.227
Nygus.278
Nygus.295
Nygus.397
Ohlala.1895
Ohlala.1960
OldScribe.8588
Ooops.368
Orchid.120
Orchid.311
Orchid.351
Oscar
Osiris.299
Otti.932
Otto.415
Otto.640
Oulu.1008
Ouse.591
Overkill.1191
Overkill.1308
Override.1380
Override.1428
Pac-Man.Blinky
Pac-Man.Clyde
Panic.398
Parasite.1024
Parasite.1132
Parasite.901
Parasite.903
Paris
Parity.441
ParityError.621
ParityError.686
Particle.690
Pathhunt.1231
PD.1070
Pepper.529
Phantasmagoria
Phone.688
Pirat.380
Pit.492
Pit.611
Pitch.593
Pixel.1268
Pixel.1271
Pixel.200
Pixel.215
Pixel.251
Pixel.257
Pixel.275
Pixel.277
Pixel.283
Pixel.295
Pixel.296
Pixel.299
Pixel.342
Pixel.343
Pixel.345
Pixel.739
Pixel.740
Pixel.761
Pixel.779
Pixel.837
Pixel.846
Pixel.847.abc
Pixel.850
Pixel.851
Pixel.852
Pixel.854
Pixel.877
Pixel.892
Pixel.897
Pixel.899
Pixel.936
Pixel.Cheef.297
Pixel.Cheef.300
Pixel.Hydra.340
Pixel.Hydra.342
Pixel.Hydra.343
Pixel.Hydra.368
Pixel.Hydra.372
Pixel.Hydra.391
Pixel.Hydra.403
Pixel.Hydra.495
Pixel.Hydra.736
Pixel.Pixie.812
Pixel.Rosen.131
Pixel.Self.457
Pixel.Self.550
PL006.480
Playboy.1039
Plutto.602
Polifemo.736
Polifemo.906
Polimer.512
PoorMan.1168
Porridge.1384
PowePump
PowePump.b
Press.1024
Prime.580
PrintMonster
Prudents.1205
Psycho.723
Psyco.804
Put.1939
Quake.960
Qumak.1028
Qumak.1161
Radish.8444
Radish.8466
Radyum.1072
Radyum.448
Radyum.503
Radyum.509
Radyum.519
Radyum.698
Radyum.707
Radyum.860
Rajaat.RTFM.871
Randall.3072
Ranger.290
Rape.575
Rat.615
Raubkopie.2219
Raving.2300
Rb91.899
Realize.498
ReBoot.715
ReedCat.920
Retaliator
Rider.577
Riluttanza.689
Riot.1202
Riot.1203
Riot.309
Riot.428
Riot.723
Riot.724
Riot.789
Riot.Aladdin.886
Riot.BadReligion.278
Riot.BadReligion.381
Riot.Caffeine.366
Riot.CarpeDiem.469
Riot.CarpeDiem.472
Riot.Coke.535
Riot.Conjurer.270
Riot.Conjurer.300
Riot.Conjurer.433
Riot.Conjurer.TNG.181
Riot.Conjurer.TNG.277
Riot.Conjurer.TNG.312
Riot.Conjurer.VCC.269
Riot.Conjurer.VCC.408
Riot.Conjurer.VCC.586
Riot.Doom.449
Riot.Eternity.562
Riot.Eternity.565
Riot.Eternity.584
Riot.Eternity.599
Riot.Eternity.600
Riot.Face.565
Riot.Fire.473
Riot.Immortal.265
Riot.Immortal.353
Riot.Immortal.377
Riot.Immortal.510
Riot.Immortal.550
Riot.Maria.1118
Riot.Maria.1126
Riot.Mega.506
Riot.Moonlite.458
Riot.Moonlite.465
Riot.Multiplex.815
Riot.Multiplex.821
Riot.Psychosis.1195
Riot.Radiation.737
Riot.RedMercury.823
Riot.RedMercury.825
Riot.Stioxyl.390
Riot.Sturm.410
Riot.Sturm.411
Riot.Tornado.461
Riot.TTT.1063
Riot.TTT.712
Riot.TTT.840
Riot.Uniq.308
Ruchawi.2560
Runtime.365
Sadist.1209
Sandy.1376
SatBug.FruitFly
SayNay
School.403
Scity.678
Scity.713
Scrunch.420
SeaCat.160
Search.1589
Search.198
Search.205
Search.208
Search.226
Search.253
Search.288
Search.302
Search.305
Search.309
Search.323
Search.330
Search.350
Search.354
Search.357
Search.360
Search.377
Search.413
Search.437
Search.478
Search.512
Search.512.b
Search.549
Search.778
Search.984
Search.Taurus
Seneca.392
Sfrust.632
Shadow.635
Shadow.723
Shadowgard
Shaman.251
Shame.1455
Shine.640
Shutdown.644
Shutdown.698
SIGN.615
Signed.1008
Signed.979
Signed.980
Signed.982
Silly.2256
SillyC.101
SillyC.103
SillyC.106
SillyC.1063
SillyC.111
SillyC.113
SillyC.122
SillyC.124
SillyC.127
SillyC.128
SillyC.138
SillyC.139
SillyC.140
SillyC.155
SillyC.162
SillyC.163
SillyC.166
SillyC.169
SillyC.174
SillyC.179
SillyC.181
SillyC.184
SillyC.190
SillyC.200
SillyC.217
SillyC.241
SillyC.254
SillyC.257
SillyC.258
SillyC.264
SillyC.281
SillyC.290
SillyC.302
SillyC.304
SillyC.306
SillyC.310
SillyC.331
SillyC.339
SillyC.343
SillyC.386
SillyC.451
SillyC.468
SillyC.486
SillyC.498
SillyC.511
SillyC.553
SillyC.563
SillyC.626
SillyC.657
SillyC.857
SillyC.91
SillyC.96
SillyC.97
SillyE.1024
SillyE.1147
SillyE.943
SillyE.ExeBeta
SillyOCE.277
Silver.1547
Silver.1644
Silver.1874
Silver.2071
Silver.2218
Silver.8101
Simple
Simulation
Singapore.521
Singapore.910
Sirius.400
Sirius.430
Sirius.615
Sirius.640
Sirius.720
Sirius.Annihilator.272
Sirius.Annihilator.304
Sirius.Annihilator.357
Sirius.Annihilator.379
Sirius.Annihilator.390
Sirius.Annihilator.412
Sirius.Annihilator.711
SlamTilt.703
Slavery.929
Slovakia.1056
Slovakia.1351
Slovakia.1356
Slovakia.1629
Slovakia.1698
Slovakia.1956
Slovakia.2041
Slovakia.2387
Slovakia.906
Slovakia.Silvia5
Slugger.288
SmartCock.512
Smeg.v0_3.Demo.a
Smeg.v0_3.Demo.b
Smiley.1983
Snotkop.479
Sonik.854
Spanz.639
Sparkling.705
Spawn1.346
Spectral.601
Spellbound.1164
Spellbound.1806
Split.250
Srp.2248
Srp.2306
Staf.2083
Stahlpla.750
Stasi.1728
Steryd.399
Stimp.248
Stink.1251
Stink.1254
Stink.1270
Stink.1273
Stink.1283
Striker.461
Stsv.200
Suicide.2048
Sveta.309
Svir.512
Svirus.322
Swastika.442
Switch.855
Sylvia
Sylvia.1321
Sze.314
Sze.351
Tack.411
Tack.449
Tack.460
Tack.477
Taiwan.677
Taiwan.708
Taiwan.743
Taiwan.752
Tajfun.250
TalkHead.519
Tashkent.490
Tashkent.509
Techno.1123
Technomaniac
Terminator.3549
TheClick.291
TheDraw.2267
TheDraw.6530
Timid.245
Timid.288
Timid.289
Timid.290
Timid.297
Timid.298
Timid.299
Timid.300
Timid.301
Timid.302
Timid.303
Timid.305
Timid.306
Timid.313
Timid.320
Timid.330
Timid.371
Timid.382
Timid.421
Timid.513
Timid.526
Timid.557
Tina.826
Titanium.844
Tmtm.441
Todor.1993
Tokio.1068
Tokyo.1258
Torm.205
Torm.263
Torm.358
Torm.360
Toxic.171
Toxic.208
TPE.AEP
TPE.CivilWar.1979
TPE.CivilWar.1994
TPE.CivilWar.2222
TPE.Little
TPE.Nazis
Tpworm.12969
Traven.512
Trieda.851
Trivial.102
Trivial.123
Trivial.125
Trivial.127
Trivial.128
Trivial.128.b
Trivial.143
Trivial.145
Trivial.157
Trivial.178
Trivial.194
Trivial.200
Trivial.202
Trivial.207
Trivial.22
Trivial.229
Trivial.23
Trivial.25
Trivial.26
Trivial.27
Trivial.28
Trivial.29
Trivial.30
Trivial.31
Trivial.32
Trivial.33
Trivial.33.b
Trivial.330
Trivial.34
Trivial.342
Trivial.346
Trivial.36
Trivial.36.bcd
Trivial.37
Trivial.39
Trivial.40
Trivial.42
Trivial.43
Trivial.44
Trivial.45
Trivial.46
Trivial.50
Trivial.53
Trivial.54
Trivial.64
Trivial.66
Trivial.67
Trivial.68
Trivial.75
Trivial.82
Trivial.85
Trivial.89
Trivial.92
Trivial.99
Trivial.Anarchy.146
Trivial.Anarchy.469
Trivial.Banana.139
Trivial.Diddler.91
Trivial.Exe2Win.116
Trivial.Exec.161
Trivial.Exec.162
Trivial.Fire.206
Trivial.FTW.101
Trivial.FTW.192
Trivial.Hot.130
Trivial.Kode4.129
Trivial.Kode4.131
Trivial.Kode4.90
Trivial.Ratboy.50
Trivial.Ratboy.80
Trivial.Tom.59
Trivial.Vootie.66
Trivial.Vsafe.72
Trivial.ZZ.127
Tu28.535
Turkish.604
TVED.Trurl.789
Twer.1000
Uck.475
Ufa.1201
Unexe.425
Union.1449
Unknown.1111
Unknown.1293
USSR.414
V.1024
V.1121
V.1308
V.1319
V.1443
V.1792
V.2000
V.2435
V.267
V.376
V.384
V.416
V.439.b
V.450
V.509
V.573
V.633
V.696
V.743
V.756
V.767
V.928
V.944
Valentine.600
Vampiro.1000
Vandor.1024
Vbasic
VCM.493
VCode.1886
VCode.2540
VCOMM.633
VCOMM.636
VCOMM.637
VCS.Manta
VCS.Paranoimia
VCS.Ruf
VD.568
Vdv.853
Vengeance.252
Vengeance.390
Vengeance.435
Vengeance.613
Vengeance.639
Vengeance.656
Vengeance.723
Verwolf.3308
VFSI
Vienna .535
Vienna.1000
Vienna.1006
Vienna.1014
Vienna.1032
Vienna.1059
Vienna.1239
Vienna.1881
Vienna.217
Vienna.304
Vienna.311
Vienna.318
Vienna.348
Vienna.353
Vienna.361
Vienna.367
Vienna.377
Vienna.415
Vienna.435
Vienna.457
Vienna.458
Vienna.462
Vienna.466
Vienna.483
Vienna.486
Vienna.494
Vienna.500
Vienna.507
Vienna.518
Vienna.520
Vienna.526
Vienna.533
Vienna.534
Vienna.539
Vienna.547
Vienna.561
Vienna.565
Vienna.573
Vienna.574
Vienna.582
Vienna.583
Vienna.585
Vienna.600
Vienna.604
Vienna.608
Vienna.610
Vienna.612
Vienna.618
Vienna.620
Vienna.622
Vienna.623
Vienna.625
Vienna.627
Vienna.634
Vienna.637
Vienna.644
Vienna.645
Vienna.646
Vienna.648
Vienna.660
Vienna.662
Vienna.670
Vienna.679
Vienna.680
Vienna.700
Vienna.709
Vienna.716
Vienna.726
Vienna.730
Vienna.732
Vienna.733
Vienna.742
Vienna.744
Vienna.757
Vienna.758
Vienna.767
Vienna.774
Vienna.776
Vienna.777
Vienna.778
Vienna.810
Vienna.822
Vienna.827
Vienna.833
Vienna.849
Vienna.851
Vienna.909
Vienna.939
Vienna.943
Vienna.961
Vienna.988
Vienna.Ambalama.493
Vienna.BigPiter
Vienna.BNB.429
Vienna.ByteWarrior
Vienna.Feliz
Vienna.Feliz.923
Vienna.Oscar
Vienna.Pivi.454
Vienna.Pivi.568
Vienna.SPb.641
Vienna.Violator.2262
Vienna.Violator.5286
Vienna.Violator.5302
Vienna.Violator.5305
Vienna.Violator.779
Vienna.Violator.801
Vienna.Violator.803
Vienna.Violator.821
Vienna.Violator.843
Vienna.Violator.957
Vienna.Violator.969
Viper.840
VirDem.1336
VirDem.1542
VirDem.463
VirDem.601
VirDem.792
VirDem.824
Virus101
Virus90
VirusB.1000
Visite.232
Vivisex.683
VLAD.Neither.591
VLAD.Prodigy.393
VME_1.Demo
VME_2.Demo
Vote.1000
VP.909
Vzpomen.1400
Wally.1029
Wally.981
Warez.1341
Waria.479
Warrior.1024
Warsaw.850
Wench.2537
Werehere.836
WestUkrain.274
Wilbur.512
WildThing.555
WildThing.557
WildThing.567
Win.AEP.a
Win.AEP.b
Win.Twitch
Win.Vir_1_4
Winlamer
Wintiny
Wisconsin.815
Witch.1140
Witch.1400
Wonder.7424
Wormsign.1710
Wrzod.1043
WW.217
Xabaras.1972
Xtc.2153
XVXH.322
XVXH.462
XVXH.514
Yafo.328
YanShort.1624
YanShort.1835
YanShort.1961
YanShort.Bandit
YanShort.Enigma
YanShort.Vote.1961
YanShort.Wizard
YB.2277
YB.2328
YB.2330
YB.299
YB.316
YB.402
YB.425
YB.426
YB.466
YB.647
Zamoy.587
Zapper.1121
Zhengxi
ZHT-4CV.1867
Zol.316
Zol.799
Zz.429


 Interceptand FindFirst / FindNext

04h.609
04h.635
5lo.1024
7son.284
Accept.3619
Accept.3773
Alabama
Albanian.1991
ANDROMEDA.1024a
ANDROMEDA.725
ANDROMEDA.758
Andryushka.3536
Andryushka.3568
Anthrax
Apparition.700
Astra.472
Astra.498
Astra.510
Astra.521
Astra.7821
Astra_II.1010
Astra_II.1556
Astra_II.976
Australian.Oil.579
Australian.SDir.550
BadSector.3422
BadSector.3428
Beer.2473
Beer.2620
Beer.2794
Beer.2850
Beer.2984
Beer.3164
Beer.3192
Beer.3307
Beer.3399
Beer.3490
Bolek.1326
Brothers.2045
Budo.1000
Budo.890
Bug.1497
Burglar
Casino.2330
Cerberus.1533
ChDir.422
ChDir.523
Chemist.265
Civilwar.351
Cracky.546
Cracky.596
Criminal.2615
Cybercide.1288
Cybercide.1307
Cybercide.1309
Cybercide.1321
Cybercide.2229
Cybercide.2256
Dec3rd.1333
Devil.941
Diehard2.4000
DirVirus.691
DirVirus.760
Doom.1240
Doom.1504
Dune.Divide
Enculator.1089
EndOf.783
EndOf.788
ErrorVirus.1223
Explorer.3063
Fichv.896
Fichv.897
Fichv.903
Fifo.300
FITW
Forger.1000
Fred.657
Freddy.1870
Freddy.2271
Friends.1361
Frogalley.1500
Girl.2273
Gondor.3072
GreenCaterpillar
Grog.2075
Grog.2825
GTM.727
GTM.BewareBug.1436
GTM.BewareBug.1446
GTM.BewareBug.1528
GTM.BewareBug.1643
Haifa.2352
Headcrash.1067
Hi.924
Hidenowt
Highlander.477
Highlander.478
Holms.6161
Invol.1314
Invol.1401
Joker3.1084
Kbrflags.1024
Keeper.Fly.1036
Kernel.608
Konkoor.1746
Konkoor.1844
Konkoor.1933
Kot.900
Kyokushinkai
Kyokushinkai.Kysia.1536
Lady.873
Lhb.1989
LittBrother.276
LittBrother.299
LittBrother.300
LittBrother.301
LittBrother.307
LittBrother.321
LittBrother.349
LittBrother.361
LittBrother.385
LV.477
Macedonia.400
Macgyver.2803
Macgyver.2824
Malaga.2610
Malign.575
Malign.630
MG
Mich_II.924
Mirror.924
Mnemonix.Vicious
Mombasa.3568
Monarch.1040
Mr_Gu.545
Mr_Gu.635
Murderer.3670
MVF.1866
MVF.1896
N8FALL
Ng.1036
Ng.706
Ng.914
Nina.1560
Nina.1600
Nina.1614
Oeur.3072
Olexy.1864
Oropax
Pcbb.1141
Pcbb.1656
Pcbb.1658
Pcbb.1701
Pcbb.J4j.1129
Pcbb.J4j.1273
Pcbb.J4j.833
Pizelun.3599
Platov.1644
Plovdiv.1000
Plovdiv.800
Plovdiv.984
Ppsp.1526
Pulce.1840
Quake.518
Rael.3211
Rajaat.443
Revenge.1127
Rex.1637
RIP.3214
Sadam.919
Sarov.1000
Sarov.1200
Sarov.1400
Shake
Shanghai.848
Sidewinder
Sk.1004
Sk.1147
Sk.626
Sk.992
SoFar.841
Spanish.1417
Sphinx.2751
SSH.2770
SSH.2944
SSR
Stupid.1355
Susan.571
Terminator.1501
Terminator.3275
Terminator.918
Traceback.2930
Traceback.3029
Traceback.3066
Trakia.1070
Trance.1721
Traveller.1220
Uddy.2617
Uestc.888
V.1099
V.1385
V.2330
V.3000
V.6000
V.623
Version.705
Victor.2442
Viking.1600
Viking.2000
Virogen.1520
Virogen.1535
Virogen.1673
Virogen.1680
Virogen.Offspring.1130
Virogen.Offspring.1134
Virogen.Offspring.1138
Virogen.Offspring.1294
Virogen.Offspring.1555
Virogen.Offspring.711
VLAD.Replicator.651
VLAD.Replicator.655
Winsurf
Yog.794
Zero2o


 Dimensiunea

Mai putin de 499 octeti
Intre 500 si 999 octeti
Intre 1000 si 1999 octeti
Intre 2000 si 3999 octeti
Peste 4000 de octeti


 Mai putin de 499 octeti

84
Bonny.1000
Cinderella.B
Cpw.1459
EMF.404
FORM. A
LittleBrother.321
MISis
MMIR.Extasy
MMIR.Ravage
Runtime.365
Russian_Flag
SillyRC.200
Skew.458
Stoned, Standard
V163
Velvet
Vote.1000
WINSTART
WXYZ


 Intre 500 si 999 octeti

10past3
10past3.b
Ambulance.796
Arcv.679
Arcv.Anna.742
Beijing
Chad.751
Close.656
Cossiga.883
CyberTech.664
Dec_Year
Devil's_Dance
DewDZ
DirII.1024
DirVirus.691
F1.337
Fgt.651
Fichv.2.1.903
Fichv.903
FileHider.789
Gnat.756
Gotcha.879
Gotcha.881
Hey_You
Horns
Int13
Maaike
Monika.686
Nomenklatura
Reverse.948
Su
Susan.571
TaiPan.438
VVM


 Intre 1000 si 1999 octeti

Aircop
Alameda.A
Angelina
AntiTurbo.A
Arriba.1590
Asexual
Azusa
Barrotes.1310
Boot.437
Chaos.1181.B
Cinderella_II
Dark_Avenger.1801
Darkend.1188
Diamond.David
Diamond.Lucifer.1086
DiskWasher
Eight_Tunes
Exe_Bug.A
Exe_Bug.Hooker
Gotcha.1781
GreenCaterpillar
GTM.BewareBug.1446
Hi.802
Horse.1154.a,b
Horse.1776
Ibex
Jerusalem II
Jerusalem.1808.CT.A
Jerusalem.Standard
Jos.1000
Keypress.1216
KYZ
Manzon
Maze
MMIR.Das_Boot
Monkey.B
MutaGen.100.Garden
NeverMind
Phi
Phx.965
QRRY
Quox
RM
Satria.A
Stoned.Azusa.A
Stoned.Bunny.A
Stoned.I
Unashamed
Void_Poem
Zerobug.1536


 Intre 2000 si 3999 octeti

5lo.1024
AntiCAD.3004
ARIANA
Athens.1561
BLOODY-WARRIO
Cascade.1701
Caz.1159
Cd.2161
ChineFish
Cruncher.2092
Datalock.920
DELWIN.1759
Drop.1131
Dune.Divide
EARLE. 1244
Empire.A
Fish#6
Flip.2343
Form
Form.A
Helloween.1839
Hungarian.482
Icelandic.2
Invisible
J&M
Jerusalem.Standard.sUMsDos
June12th
Junkie.1027.A
Mabuhay
Mix.1636
Ontario.512
Phoenix.Proud
Rainbow
Raptor.1800
Screaming_Fist.927
Stoned.June_4th
Stoned.Michelangelo
Stoned.No_INT.Vincent
Stoned.Standard
Telefonica.3700
Tequila
Thanksgiving
UNCARING. 1054
V_Sign
Warlock.1817
Xibin
Yankee.Wobble
YMP.NiceDay
Zipper


 Peste 4000 de octeti

Alia.1023
Alia.8087
Alia.Prodigy
ANTISCAN. 814
Are_There
Athens 1561
Breeder.5152
Cara
CoffeeShop
Cruncher.4000
Dudley
Earle.3006
Frodo
Hare.7610
Hare.7750
Hare.7786
Joshi
Necropolis
Nexiv_Der
OneHalf.3544
Pathogen_SMEG
Peter
Phoenix.Live.a
PREDATOR.2448
Sampo
Satan-Bug
She_Has
Shira-2048
T555
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.4879
Uruguay.5
Uruguay.6262
Uruguay.6344


 Tinta infectiei

Fisierul command.com
Executabile
COM
EXE
SYS
OVR
Structuri DOS
DIR
MBR_
FBR
Fisiere de comenzi
BAT
Fisiere de cod
OBJ
LIB


 Fisierul command.com

Akuku.1111
Amoeba.1392
Anthrax
AntiPascal.400
AntiPascal.480
AntiPascal.605
Bastard.1979
Bomb.1942
Cara.1024
Cascade.1701
Caz.1159
CAZ.1159.b
Caz.1204
Chameleon.1260
Christmas.1539
COMVIRUS 1.0
Cpw.1459
Dark_Avenger.1800.A
Dark_Avenger.1801
Devil's_Dance
Diamond.David
Diamond.Lucifer.1086
DirVirus.691
Europe.421
Feist.670
Fichv.2.1.903
Fish#6
Flip.2343
Frodo
Gotcha.879
Gotcha.881
Grog.304
Grune
Hallochen
Hey_You
Hide_and_Seek
Horse.1154.a,b
Horse.1776
Hungarian.473
Hungarian.482
J.S. Bach
Jerusalem.Discom
Keypress.1232.A
Kinnison
Leech
Lehigh
Leningrad.543
Leprosy.666
Lesson.189
Lesson.208
Little.Red
LoveChild.488
LV.477
Malaga.2610
Murphy.1521
Ontario.512
Peasant.1243
Phantom.2201
Phoenix.Live.a
Pixel.345
Radish.8444
Radish.8466
SillyC.1063
Siskin.948
Socha.753
Taiwan.677
Thanksgiving
Traceback.2930
Trivial.99
Tumen.1092
Vbasic
Vienna.353
Vienna.367
Vienna.507
Vienna.534
Vienna.733
Vienna.822
Vienna.Monxla.B
Vienna.Viperize
Violetta.3840
VirDem.792
Virus90
Voronezh.600
Vote.1000
VP.909
Yellow.1361
Zerobug.1536


 COM

_1885
10past3
10past3.b
2up.6000
3tunes.1784
3Y.853
4res
66c.612
84
8888
8ball
8tunes
A&A
Abal.758
Abba.9849
Abbas.1320
ABC.2378
Abraxas.1170
Abraxas.1171
Abraxas.1200
Abraxas.1214
Abraxas.1304
Abraxas.Cleton.1508
Abraxas.Cleton.1518
Abraxas_II.1520
Abraxas_II.2011
Acapulco.1971
Accept.3619
Accept.3773
Acvt.1243
Ada.2600
Adin.3026
Adolf.475
Adrenalin.571
AEP.626
Agena.723
Agiplan.1536
Aids.872
Akuku-649
Akuku.1111
Akuku.886
Albania.429
Albania.506
Albanian.1991
Alex
Alex&Solo.512
Alex.368
ALEX.599
Alfons.1344
Alien-3
Alien.1356
Alien.1976
All.1818
Alpha.4000
Alpha743
Am.604
Am.743
AM_II.1281
AmazonQueen.468
AmazonQueen.479
AmazonQueen.500
Ambulance
Ambulance.795
Ambulance.796
AMILIA
Amoeba.1392
Amoeba.2367
AMSV.443
Anarchy.2048
Ancient
Andrew.634
Andromada
ANDROMEDA.1024b
ANDROMEDA.1024c
Andromeda.1140
ANDROMEDA.1536a
ANDROMEDA.1536b
ANDROMEDA.725
ANDROMEDA.758
ANDROMEDA.800
Angarsk
Angarsk.238
Angel.1000
Ansibomb
Anthrax
AntiCAD.3004
AntiCAD.3012
Antimit.770
Antimon.1450
AntiPascal.400
AntiPascal.407
AntiPascal.440
AntiPascal.480
AntiPascal.529
AntiPascal.605
ANTIPRINT
AntiSabados.815
AntiTrace.2122
AntiTurbo.A
Ap.272
Apocalipse.1685
Apparition.254
Apparition.700
Appelscha.2161
April1st.AntiD
April1st.COM
April1st.COM.1000
April1st.COM.941
Aragorn.1522
ARCV-9
Arcv.1060
Arcv.1172
Arcv.1208
Arcv.335
Arcv.475
Arcv.639
Arcv.657
Arcv.670
Arcv.718
Arcv.745
Arcv.773
Arcv.795
Arcv.839
Arcv.916
Arcv.965
Arcv.986
Arcv.Alpha.743
Arcv.Anna.742
Arcv.Anna.745
Arcv.Dennis.874
Arcv.Dennis.897
Arcv.Ice.159
Arcv.Ice.199
Arcv.Ice.224
Arcv.Ice.250
Arcv.Ice.330
Arcv.Ice.642
Arcv.Ice.678
Arcv.Joanna.911
Arcv.Joanna.912
Arcv.More.649
Arcv.Zaphod.399
Are_There
Areopag.480
Argentina.1206
Argentina.1249
ARKA
Armagedon.1074
Armagedon.1079.F
Arriba.1590
Arusiek.817
Asexual
Asmodeous.1160
Asmodeous.1343
Asmodeous.1833
Asp.472
Asp.633
Assassin_II.959
Astra_II.1010
Astra_II.1556
Astra_II.505
Astra_II.882
Astra_II.927
Astra_II.976
Atas.1268
Atas.3215
Atas.3233
Atas.3321
Athens 1561
Athens.1561
Atomant.2143
Atomic.232
Atomic.350
Atomic.371
Atomic.480
Atomic.831
Attention.393
Attention.629
Aurea.653
Aurea.768
Australian.1014
Australian.1024
Australian.1024.b
Australian.1033
Australian.1035
Australian.1135
Australian.1149
Australian.1179
Australian.118
Australian.122
Australian.142
Australian.143
Australian.147
Australian.150
Australian.153
Australian.162
Australian.187
Australian.205
Australian.213
Australian.215
Australian.217
Australian.221
Australian.229
Australian.231
Australian.268
Australian.273
Australian.306
Australian.338
Australian.369
Australian.369b
Australian.377
Australian.424
Australian.440
Australian.482
Australian.543
Australian.550
Australian.615
Australian.635
Australian.673
Australian.714
Australian.726
Australian.784
Australian.819
Australian.AIH.352
Australian.AIH.588
Australian.AIH.591
Australian.AIH.762
Australian.AIH.972
Australian.Comic.1068
Australian.Demo.3896
Australian.Judy.1050
Australian.Lipo.290
Australian.Little.152
Australian.Little.153
Australian.Little.155
Australian.Middle.1041
Australian.Middle.1169
Australian.Middle.491
Australian.Oil.579
Australian.SDir.550
Australian.Twelve.279
Australian.Twelve.284
Australian.Twelve.297
Australian.Twelve.305
Australian.Twelve.306
Australian.Twelve.310
Australian.Twelve.312
Australian.Twelve.315
Australian.Twelve.320
Avalanche.2818
Avalanche.2831
Avatar.Acid.670
Avatar.Acid.674
Avatar.BigBang
Avatar.Dichotomy.863
B3
Baba.350
Baba.353
Baba.356
Bach.498
BackForm
BackFormat.2000
BackFormat.2345
Backtime.1234
Backtime.496
Backtime.512
Backtime.528
Bad.389
Badboy.1000
Badboy.1001
Badboy.1074
Badboy.991
Badboy.Lubec
Badboy.MadSatan
Badboy.Riot.1049
Badboy.Riot.1054
BadCom.600
BadCommand.967
Badguy.208
Badguy.265
BadSectors.3147
BadSectors.3428
Bailey.380
Ball.691
Banana
Bandersnatch
Baph.1536
Barcelona
Barrotes.1194
Barrotes.1310
Barrotes.840
Barrotes.849
Barrotes.Tecla.1303
Barrotos.1310
Bashar.670
Basilisk.1639
Bat2Exec.1644
Beast
Beast-II
Bebe.1004
Bebe.486
Beda.1301
Beda.1530
Beda.883
BedBug.1160
Beep.2000
Beer
Beethoven
Belorussia.459
Bengal.1170
Bengal.846
Bengal.863
Benoit
Berserker.3537
Berserker.3561
Bert
BestWishes.1024
BestWishes.970
BetaBoys.441
BetaBoys.450
BetaBoys.457
BetaBoys.459
BetaBoys.538
BetaBoys.575
BetaBoys.615
Beware.442
BigV.1441
BillBoard.835
Bios.2048
Bishop.2855
Bishop.4517
BIT_ADDICT
BitAddict.1175
BitAddict.1190
BitAddict.477
BitAddict.512.a
BitAddict.512.b
BitAddict.979
Bizarre.2716
Blackjec.230
Blackjec.231
Blackjec.236
Blackjec.246
Blackjec.247
Blackjec.252
Blackjec.256
Blackjec.267
Blackjec.272
Blackjec.281
Blackjec.284
Blackjec.300
Blackjec.301
Blackjec.307
Blackjec.363
Blackjec.378
Blackmonday
Blaze.284
Blink.501
Blinker.512
Bljec
Bljec-1
Blood.418
Bloodlust
Bloodlust.302
BLOODY-WARRIO
BloodyWarrior
BlueNine.925
Bob
Bob.718
Bobo.1363
Bobo.427
Bobo.530
Bomber
Bonny.1000
Boobs.4461
Bootache.2048
BootCOM.357
BootCOM.512
BootCOM.Peanut.443
BootCOM.Peanut.444
BootCOM.Peanut.445
BootEXE.451
BootEXE.452
Border.781
Bow
Boxes.1086
BOYS
Boys.500
BRAIN2
Bravo!.502
Breath.34571
Breeder.5152
Broadcast.1987
Brother-2
Bruces.417
Bua
Bubonic.2181
Budo.1000
Budo.890
Bug.1497
Bug.920
Bung 142
Burger.1310
Burger.382
Burger.398
Burger.405
Burger.498
Burger.505
Burger.509
Burger.512
Burger.536
Burger.560
Burger.Pirates.609
BURGER_560-8
Burglar
Burma.409
Burma.442
Burma.563
Burma.756
Butt.461
BWME.Test.1287
C0m.263
C1992.1536
CANNA615
Cannibal.1312
Caos.716
Capicua.511
Cara
Cara.1024
Career.446
Career.697
Carioca.951
Cartier.1056
Cas-927
Cascade.1491
Cascade.1621
Cascade.1661
Cascade.1699
Cascade.1701
Cascade.1702
Cascade.1704
Cascade.1706
Cascade.691
Cascade.792
Cascade.927
Casino.2330
CASTEGGI
Caterpillar
Catholic.1129
Caz.1159
CAZ.1159.b
Caz.1204
CCBB.1410
CCBB.2221
CCCP.510
CeCe.1994
CeCe.1998
Cerberus.1533
Cfsk.918
Chad.751
Chameleon.1231
Chameleon.1246
Chameleon.1256
Chameleon.1260
Chameleon.1639
Chameleon.1840
Chameleon.1948
Chameleon.Casper.1190
Chameleon.Casper.1200
Chameleon.Casper.1440
Chang.1759
Chaos.1181
Chaos.1181.B
Chaos.1241
ChaosYears.1837
ChaosYears.2005
Chcc.2662
ChDir.422
ChDir.523
CheckSum.1232
CheckSum.1233
CheckSum.1569
CheckSum.3022
Chemist.265
China.1831
Chips.877
Cholera.1497
Chris.463
Christ.483
Christmas.1539
Christmas.600
Christmas.868
Chukcha.838
CIBERTECH
Cinderella.390
Cinderella.779
Cinderella.B
Cinderella_II
Civilwar.126
Civilwar.144
Civilwar.158
Civilwar.166
Civilwar.212
Civilwar.213
Civilwar.244
Civilwar.245
Civilwar.281
Civilwar.282
Civilwar.351
Civilwar.444
Civilwar.580
Civilwar.599
Civilwar.602
Civilwar.611
Civilwar.631
Civilwar.901
Civilwar.Antidaf.561
Civilwar.Insane.186
Civilwar.Insane.197
Civilwar.IronButterfly
Civilwar.Rabbit.292
Civilwar.Ratboy.269
Civilwar.Ratboy.289
Civilwar.Ratboy.303
Civilwar.Ratboy.306
Civilwar.Ratboy.513
Civilwar.Ratboy.545
Civilwar.Ratboy.671
Cj.304
CK
Cli&Hlt.1345
Clinton.654
Cls.853
CMDR
CNTV
Cobra.400
Codewar.2048
Codezero.576
Coffee Shop 3
CoffeeShop
Coito.644
COL_MAC
Collor.878
Commy.1014
Companion.100
Companion.101
Companion.83
Companion.85
Companion.87
Companion.88
Companion.89
Companion.92
Companion.Gif.681
Companion.Gif.685
Comsysexe.2711
Comsysexe.2954
Comsysexe.8045
COMVIRUS 1.0
Comvirus.321
Cookie.653
Cookie.722
CopCom.286
CopCom.287
CopyProtected
CPSU.2535
Cpw.1459
Cracky.546
Crash.543
Crash.600
Crazy.1402
Crazy.1445
CrazyEddie
CrazyPriest
Crepate.1944
Crepate.2910
Crew.1967
Crew.2048
Criminal.2615
Croatia.1535
Crucifixion.a
Crucifixion.b
CRUMBLE
Cruncher.2092
Cruncher.4000
Cruncher.4800
Crusher
Csf.240
Csl.381
Csl.457
Csl.517
CSSR.528
Cumple.1249
Curse.400
Cvirus
CYBER
CYBER101
Cybercide.1288
Cybercide.1307
Cybercide.1309
Cybercide.1321
Cybercide.2229
Cybercide.2256
Cyberloard.200
Cyberloard.381
CyberTech.664
D-TINY
Daemaen.1894
Daemaen.2041
Daemaen.2048
DAME.Lame
DAME.Trigger
Damir.878
DAN.1500
DAN.AntiEnter.1092
Dark_Avenger.1800.A
Dark_Avenger.1801
Darkend.1188
DarkLord.921
Darth.201
Darth.255
Darth.344
Darth.409
Darth.411
Darth_Vader
Das_Boot
Data-Rape-2.0
Datacrime
Datacrime II
Datacrime.1168
Datacrime.1280
DataFire.1080
DataLock
Datalock.1000
Datalock.1043
Datalock.920
DBCE.3403
Dead.1119
Dead.790
Death.1001
DeathDragon.499
Deathrider.729
Dec_Year
Dec3rd.1333
Dei.1456
Dei.1526
Dei.1634
Dei.1780
Dei.1792
Dei.1948
Deicide.1335
Deicide.2404
Deicide.2405
Deicide.2569
Deicide.2570
Deicide.358
Deicide.359
Deicide.622
Deicide.623
Deicide.665
Deicide.666
Deicide.693
Deicide_II.2045_1
Dementia
Dementia.4207
Democracy.3806
Democracy.3959
Demolited.1585
Demon.348
Demon.355
Demonhyak.270
Demonhyak.272
DEST1
Destructor
Devastator.174
Devil's_Dance
Devil.941
DewDZ
DHeart.649
Diamond.1024
Diamond.1050
Diamond.1063
Diamond.1100
Diamond.444
Diamond.465
Diamond.485
Diamond.568
Diamond.584
Diamond.594
Diamond.602
Diamond.606
Diamond.607
Diamond.608
Diamond.609
Diamond.614
Diamond.620
Diamond.621
Diamond.624
Diamond.626
Diamond.891
Diamond.978
Diamond.David
Diamond.Greemlin.1146
Diamond.Lucifer.1086
Diamond.RockSteady.666
Dicker.400
Die.385
Die.666
Die_Hard
DieHard2
Digger.1000
Dillinger.547
Dima.1024
Dir II.A
Dir.522
DIR2-910
DirDropper.1577
DirDropper.1686
DirII.1024
DirII.2048
DirII.Dragon
DirII.TheHndv
Dirty.483
DirVirus.691
DirVirus.760
DiskBoomer.576
DiskFull.1871
Dismember
DKiller.Clouds.588
DKiller.Clouds.657
DKiller.Clouds.718
DKiller.DK.693
DKiller.DK2.269
Dlsu.477
DM.310
DM.400.a,b,c
DM.674
Dodo.2456
Doom.1240
Doom.1504
Doomsday.715
Doomsday.733
Dos.184
Dos7.342
Dos7.376
Dos7.419
Doshunter.483
Dot.944
Dowcipas.2303
Dowcipas.2464
DPN.623
DR&ET.1710
Dream.2000
Dream.2012
Drop.1131
DS.512
DSCE.Demo.2957
DSME.Apex.2685
DSME.DemoVirus
DSME.Teacher
DSU.1414
DSU.1422
Dudley
Dumb.4722
Dune.Divide
Dutch_Tiny.284
Dzino.1000
EAR
Earle.3006
Easy.200
ECW.570
Ed
Eddie.1028
Eddie.1459
Eddie.1530
Eddie.1687
Eddie.1693
Eddie.1797
Eddie.1799
Eddie.1800
Eddie.1801
Eddie.1813
Eddie.2000
Eddie.2100
Eddie.651
Eddie.Alexander
Eddie.Apa.1843
Eddie.Apa.2104
Eddie.Father
Eddie.Jasper
Eddie.Jerico.a
Eddie.Jerico.b
Eddie.Korea
Eddie.Major
Eddie.Oliver
Eddie.Psko
Eddie.Satan.1800
Eddie.Shyster
Eddie.Sign
Eddie.Uriel
EDS.692
Egg.1000
Egg.833
Eight_Tunes
Ein-Volk
Einvolk.521
Einvolk.526
Einvolk.640
Ekoterror
Elaine.1127
Elena.730
Eliza.1194
Em.1303
EMF.404
Emmie.2604
Emmie.2620
Emmie.2702
Emmie.2823
Emmie.3097
Emorph.1696
EMS.411
EMS.427
End-of
EndOf.783
EndOf.788
Enet-613
Eno-2430
ENOLA
Enterprise.625
Equals
ErrorInc.260
ErrorInc.393
ErrorInc.465
ES.400
Espacio.8444
Espacio.8458
Espacio.8486
Espacio.8491
Espacio.8498
Este.303
Etc.700
Eupm.1731
Europe.421
Europe.424
EVC.161
Evilgen
Exile.255
Exit.376
Experiment.416
Explode
Explosion
Exterminate
Exterminator
Exterminator.b
F_word.377
F1.337
F3.1901
F4.1403
Faerie.276
Faerie.286
Faerie.349
Faggot.1009
Fair.2083
Fans.560
Fasolo.149
Fasolo.176
FatherVirus.456
Fear.1823
Feliz.658
Fewster.1781
Fgt.651
Fichv.2.1.903
Fichv.896
Fichv.903
Fifo.300
FileHider.1057
FileHider.1067
FileHider.789
FindMe.608
FindMe.695
Fingers.1322
Finnish.357
Finnish.709
Fire.2682
Fish#6
Fisher.1100
Fisher.2420
Fission.517
Fist.403
Fist.625
Fist.650
Fist.652
Fist.683
Fist.855
Fist.862
Fistik.1280
FITW
Flash.688
Flash.695
Flex.491
Flip.2153
Flip.2343
Flip.2365
Flip.Madrid
Flood.304
Flue.1179
Fly.1796
Freak.938
Freew.692
Frida.538
Friday13.408
Friday13.416
Friday13.417
Friday13.456
Friday13.540
Friday13.613
Friday13.623
Frodo
FrodoSoft.458
Frogalley.1500
Froll.1665
Frz.1567
Fumble.712
Fumble.801
Fumble.867
Futhark.968
Galeocerdo.600
Gambler.288
GCAE.Demo.2520
GCAE.Demo.2915
Geek.450
Geliyor.1356
GencVir.1000
Geodesic.666
Gergana.182
Gergana.222
Gergana.300
Gergana.450
Gergana.512
Germ.255
GetLost.734
Ghh.482
Ghost.1447
Ghostball.2351
GI.2765
Gidra.469
Gidra.502
Gidra.505
Ginger.2691
Ginger.2774
Ginger.Orsam.2620
Ginger.Orsam.2624
Girl.2273
Girls.1829
Gkchp.800.a
Gkchp.800.b
Glemp.877
Gliss.1247
Goga
GoodBye.839
GoodThursday
Goomba.987
Gorlovka
Gotcha.1781
Gotcha.605
Gotcha.607
Gotcha.627
Gotcha.641
Gotcha.732
Gotcha.879
Gotcha.881
Gotcha.906
Grapje.1039
Green.1036
Green_Caterpillar.1575.A
GreenCaterpillar
GreenMonster
Greetings.1024
Grog.1072
Grog.1146
Grog.1200
Grog.1349
Grog.1603
Grog.202
Grog.2075
Grog.283
Grog.456
Grog.474
Grog.480
Grog.495
Grog.518
Grog.547
Grog.557
Grog.566
Grog.666
Grog.794
Grog.796
Grog.902
Grog.903
Grog.926
Grog.990
Grog.Crackers
Grozny.999
Grune
Grunt.344
Grunt.346
Grunt.359
Grunt.427
Grunt.473
Grunt.529
GS.525
GTM.727
GTM.BewareBug.1436
GTM.BewareBug.1446
GTM.BewareBug.1528
GTM.BewareBug.1643
Guess.928
Guess.928.b
Guppy.152
GV.2856
GV.2865
Gvirus.653
GWorld.314
GYNX.1000
Gyro.512
Gysium.3563
Ha!
Ha.311
Hack.130
HackMaster.1197
Hafen.1640
Hafen.1641
Hafen.1689
Haifa.2352
Halka.1000
Halka.720
Hallochen
Hannibal.970
Happy.412
HappyNewYear
Harakiri.5488
Hard.662
Hare.7610
Hare.7750
Hare.7786
Hary.981
Hate
Hate.971
Hdzz.566
Headcrash.1067
Hehehe.331
Heja.511
Heja.623
Helicopter.777
HelloUser.365
HelloUser.545
HelloUser.547
Helloween.1182
Helloween.1227
Helloween.1288
Helloween.1376
Helloween.1376b
Helloween.1384
Helloween.1447
Helloween.1839
Helloween.1888
Helloween.2470
Hero.506
Hey_You
HH&HH.4087
HH&HH.4091
HH&HH.4093
Hide.709
Hide_and_Seek
Hidenowt
Hider.1782
Hider.2169
Highlander.477
Highlander.478
Hiperion.154
Hiperion.249
Hitch.1238
Hitch.1247
Hitler.4808
HLLC.Cornucopia
HLLC.Globe.5150
HLLC.Globe.6610
HLLC.Lanc.7376
HLLC.Tree2.14186
HLLC.Worm.17690
HLLO.10842
HLLO.3522
HLLO.4032
HLLO.4317
HLLO.4734
HLLO.4830
HLLO.4870
HLLO.5488
HLLO.6286
HLLO.7392
HLLO.Aids.13847
HLLO.Aids.13952
HLLO.JJJ.3816
HLLO.NumOne
HLLO.Ostraboo
HLLO.Ruf
HLLP.10304
HLLP.10460
HLLP.15392
HLLP.16470
HLLP.3072.a
HLLP.3072.b
HLLP.3678
HLLP.3680
HLLP.3779
HLLP.4075
HLLP.4288
HLLP.5824
HLLP.7296
HLLP.7408
HLLP.7808
HLLP.7940
HLLP.Animus.a
HLLP.Animus.b
HLLP.Bdaagwa
HLLP.Ceib.4629
HLLP.Dupalec
HLLP.Halloween
HLLP.Kasienka.8192
HLLP.Linda
HLLP.Nazi.4415
HLLP.Nazi.5984
HLLP.Nazi.6128
HLLP.NotFound.6176
HLLP.Rsw.5846
HLLP.Ukazna
HLLP.Viper.7792
HLLP.Voodoo
HLLP.Vova.12560
HLLP.Vova.8896
HLLP.Vova.9904
HLLP.VVC.8304
Hm.828
Hochiminh
Holiday.2900
Holiday.3000
Horror.1137
Horse.1154.a,b
Horse.1158
Horse.1160
Horse.1576
Horse.1594
Horse.1610
Horse.1776
Horse.2248
Hungarian.473
Hungarian.482
Hwang.1509
HWF.937
Hybrid.1306
Hymn.1865
Hymn.1962
Hymn.2144
Hypervisor.3120
Hypervisor.3128
Ice.734
Ieronim.1020
Ieronim.1024
Ieronim.1082
Ieronim.512
Ieronim.560
Ieronim.570
Ieronim.600
Ieronim.Condom
Ignorance
Ilja.1704
Ill.1016
Imi.1536.bcdef
Imi.1538
Imi.1656
Incom
Industrial.1841
Infector.822
Infiltrator.304
Info.1355
Inoculator.1819
Int_FF
Int13
Int78
Int86.500
Intrep.1092
Intrep.946
Invader
Invisible
Invisible.b
Iron.188
IronMaiden
Istanbul.1312
Istanbul.1349
Itv.449
Itv.454
J.S. Bach
Jabb.1000
Jabb.615
Jabb.812
Jackal.3118
Jackal.3120
Jackel.654
Jackel.713
James.356
Jd.158
Jd.276
Jd.356
Jd.392
Jd.448
Jd.460
Jerk.1077
Jerusalem
Jerusalem II
Jerusalem.1237
Jerusalem.1244
Jerusalem.1264
Jerusalem.1511
Jerusalem.1530
Jerusalem.1730
Jerusalem.1747
Jerusalem.1767
Jerusalem.1807
Jerusalem.1808.CT.A
Jerusalem.1808.GreenCaterpillar
Jerusalem.1813
Jerusalem.1962
Jerusalem.2000
Jerusalem.2187
Jerusalem.2432
Jerusalem.662
Jerusalem.998
Jerusalem.Anarkia
Jerusalem.Atb.2389
Jerusalem.Australian
Jerusalem.Bupt.1367
Jerusalem.Cookie.2472
Jerusalem.CVEX.5120
Jerusalem.CVEX.6144
Jerusalem.CVEX.6400
Jerusalem.d
Jerusalem.Dengue
Jerusalem.Discom
Jerusalem.Distrutto
Jerusalem.Exciter
Jerusalem.f
Jerusalem.Fumanchu.2076
Jerusalem.Fumanchu.2080
Jerusalem.g
Jerusalem.Hack.2064
Jerusalem.Haha.1733
Jerusalem.Hermanos.2015
Jerusalem.Hermanos.2777
Jerusalem.Kylie
Jerusalem.Maroccan
Jerusalem.Math
Jerusalem.MBR
Jerusalem.Mule
Jerusalem.Naita.1646
Jerusalem.Pipi.1536
Jerusalem.Pipi.1552
Jerusalem.Plastique.2224
Jerusalem.Plastique.3004
Jerusalem.Plastique.3012
Jerusalem.ProtPC.2223
Jerusalem.Rambo
Jerusalem.Roger.2000
Jerusalem.Roger.2128
Jerusalem.Rulis.1639
Jerusalem.Satan.1540
Jerusalem.Satan.1719
Jerusalem.Scott.1716
Jerusalem.Scott.2126
Jerusalem.Skism
Jerusalem.Smile.2576
Jerusalem.Standard
Jerusalem.Standard.sUMsDos
Jerusalem.Subliminal
Jerusalem.Sunday
Jerusalem.Sunday.II
Jerusalem.Sunday.Satan
Jerusalem.sURIV.3.00.##00054
Jerusalem.Taiwan.2576
Jerusalem.Taiwan.2900
Jerusalem.Taiwan.3088
Jerusalem.Taiwan.3454
Jerusalem.Timor
Jerusalem.Tobacco.2900
Jerusalem.Totoro.1536
Jerusalem.Viajero
Jerusalem.ZipEater
Jmp.2153
Jocker.1371
Joe.1089
Joe.589
Joke.1068
Joker
Joker01
Joker3.1084
Jolter.2197
Jos.1000
Judgement.390
Julia.1000
Julia.1027
Jump.466
June12th
June16
Junior.224
Junkie.1027
Junkie.1027.A
Jvirus.2267
Kak.391
Kalah.499
Karin.1134
Karlik.1666
Karol.1000
Kaszana.1848
Kaszana.1920
Kaszana.1992
KbrBug.1568
KbrBug.1596
KbrBug.1720
KbrBug.2662
KbrBug.895
KbrError.1268
Keeper.China.777
Keeper.Fly.1036
Keeper.Massacre.775
Kela.1171
Kela.1735
Kela.1904
Kela.2002
Kela.2010
Kela.2018
Kela.2099
Kela.2520
Kela.2530
Kela.690
Kela.823
Kemerovo
Kernel.608
KEY PRESS. 1232.A
Keybug.980
Keypress.1000
Keypress.1199
Keypress.1212
Keypress.1216
Keypress.1216
Keypress.1216.a
Keypress.1232.A
Keypress.1236
Keypress.1250
Keypress.1479
Keypress.1495
Keypress.1600
Keypress.1728
Keypress.935
Keypress.BBS
Keypress.Ufo
Khai.1835
Khizhnjak.1011
Khizhnjak.1269
Khizhnjak.306
Khizhnjak.377
Khizhnjak.419
Khizhnjak.444
Khizhnjak.490
Khizhnjak.509
Khizhnjak.515
Khizhnjak.565
Khizhnjak.586
Khizhnjak.632
Khizhnjak.676
Khizhnjak.692
Khizhnjak.692.b
Khizhnjak.696
Khizhnjak.719
Khizhnjak.731
Khizhnjak.749
Khizhnjak.753
Khizhnjak.782
Khizhnjak.823
Khizhnjak.846
Khizhnjak.875
Khizhnjak.Areg.822
Khizhnjak.Areg.847
Khizhnjak.DeathLord.752
Khizhnjak.DeathLord.933
Khizhnjak.Hallo.496
Khizhnjak.Hallo.726
Khizhnjak.Hallo.751
Khizhnjak.Hallo.759
Khizhnjak.Hallo.765
Khizhnjak.Hallo.962
Khizhnjak.Happy.743
Ki.962
Kid.393
Kid.434
Killer.964
Kinnison
Kipa.1084
Kirti.2000
Klepavka.881
Klf.356
Knight.1136
Ko.407
Ko.408.b
Kode4.281
Kode4.282
Kode4.285
Kode4.287
Kode4.399
Koko.1780
Kolumna.2048
Komar.691
Komar.692
Kommuna.801
Komsom.1000
Konkoor.1746
Konkoor.1844
Konkoor.1933
Kthulhu.512
Kukac.448
Kukac.512
Kuku.448
Kwok.1618
KWZ.797
KYZ
Lady.873
Lame.173
Lame.207
Lame.435
Lame.538
Lame.98
Lapidario.787
Larry.491
Larry.497
Late.248
Later.959
Later.981
Lazy.720
LazyToday.1203
Lct.599
Lct.602
Lct.762
Lcv.864
Leech
Leech.Warrier.768
Lego.1000
Lemming.2144
Lemming.2146
Lemming.2151
Lemming.2160
Lenin
Leningrad.1944
Leningrad.2000
Leningrad.543
Leonard.1194
Leproso.1221
Leprosy.1207
Leprosy.1818
Leprosy.350
Leprosy.370
Leprosy.562
Leprosy.571
Leprosy.585
Leprosy.591
Leprosy.595
Leprosy.600
Leprosy.625
Leprosy.647
Leprosy.664
Leprosy.666
Leprosy.666.c
Leprosy.736
Leprosy.946
Leprosy.BadBrains.554
Leprosy.BadBrains.570
Leprosy.Busted.570
Leprosy.Busted.572
Leprosy.Jas.792
Leprosy.Lubec.731
Leprosy.Merci.308
Leprosy.Misery.664
Leprosy.Morrison.870
Leprosy.Oss.591
Leprosy.Peace_SA.777
Leprosy.Riot.666
Leprosy.Sandra.534
Leprosy.Sandra.535
Leprosy.Sandra.551
Leprosy.Sandra.573
Leprosy.Sandra.579
Leprosy.Sandra.606
Leprosy.Sandra_II.1356
Leprosy.Sandra_II.1809
Leprosy.Seneca.483
Leprosy.Seneca.493
Leprosy.Spam.1306
Leprosy.Taz.1973
Leprosy.Taz.2197
Leprosy.Taz.2209
Leprosy.Taz.2276
Letter_H.446
Lhb.1989
Li.1178
Li.1413
Liberty.1170
Liberty.a
Liberty.b
Linda.517
LionKing.3531
Lip.286
Lisbon
Literak.936
LittBrother.276
LittBrother.299
LittBrother.300
LittBrother.301
LittBrother.307
LittBrother.321
LittBrother.349
LittBrother.361
LittBrother.385
Little.Red
Littlegirl.1004
Littlegirl.1008
LoadError
LoadHigh.1467
Lockup.2969
Loki.1228
Loki.971
Loki.973
Lokjaw.1050
Lokjaw.1052
Lokjaw.1053
Lokjaw.Firefly.1087
Lokjaw.Firefly.1106
Lokjaw.Pfeiffer.1203
Lokjaw.Scramble.1253
Lokjaw.Scramble.1256
Lomza
LordZer0.372
Loren.1374
Loren.1387
Lost.2878
LoveChild.2710
LoveChild.488
Loz.2435
Loz.693
LptOff.256
LptOff.271
Lubak.466
Lunch.1756
Lunch_II.404
Lurid.699
Lurid.733
Lyceum.1975
Maaike
Mabuhay
Mabuhay.2660
Mabuhay.2695
Macaroni.1480
Macedonia.400
Macgyver.4112
MadCobra.1118
MadSatan.2060
MadSatan.3839
MadSatan.599
MadSatan.639
MadSatan.647
MadSatan.9849
MadWill.2400
Mag.239
Mag.254
Malign.575
Malmsey.495
Malmsey.806
Manowar.592
Manu.4096
Manuel.1155
Manuel.1388
Manuel.777
Manuel.814
Manuel.840
Manuel.858
Manuel.876
Manuel.937
Manuel.957
Manuel.995
Manzon
Manzon.1414
Marawi.2828
Marian.700
Marky.478
Marzia.Minosse
Matura.1626
Maus.1888
Mayak.2339
Mayak.2370
Mayak.513
Maze
Maze.985
MD.354
MD.498
MD.499
MD.557
MDS.331
MegaBug.546
MemLapse.294
MemLapse.323
MemLapse.375
MemLapse.385
MemLapse.406
MemLapse.465
MemLapse.605
MemLapse.787
MemLapse.820
MemLapse.839
MemLapse.845
Mephisto.2.1000
Mephisto.3.914
Mephisto.3.928
Mephisto.3.937
Mephisto.3.938
Mephisto.5.1242
Mephisto.5.510
Mephisto.5.615
Metallica.1103
Metallica.1129
Metallica.1739
Mface.1441
MG
Mgn.2048
Mgn.2560
Mgn.3000
MGTU.273
MGUL.1953
MGUL.1962
MGUL.925
MGUL.950
MH.757
Mich_II.924
Michfile.1236
Microbi.312
Miky.2350
Milan.Antinazi
Milan.Naziskin.903
Milan.Sabrina.175
Milan.Verbatim.289
MiliKK.1020
Mindless.418
Mindless.423
Mindless.429
Ming.1017
Ming.491
Mini.101
Mini.108
Mini.109
Mini.110
Mini.115
Mini.117
Mini.120
Mini.123.a
Mini.123.b
Mini.125
Mini.127.a
Mini.127.b
Mini.129
Mini.130
Mini.132
Mini.139
Mini.143
Mini.150
Mini.158
Mini.163
Mini.176
Mini.178
Mini.189
Mini.195
Mini.200
Mini.203
Mini.207
Mini.212
Mini.218
Mini.233
Mini.247
Mini.300
Mini.71
Mini.81
Mini.84
Mini.93
Mini.94
Mini.99
MiniHHHH.246
Minimax
Minsk.1075
Mirage.1322
Mirage.1331
Miras.640
Mirea.1086
Mirea.1766
Mirea.1773
Mirea.1813
Mirea.958
Mirror.4130
Mirror.482
Miss-D.1360
Mithrandir.694
Mix.2280
MJ.1513
MKWorm.715
MLTI.830
MME.Demo
MME.WhoNoName
MMIR.Das_Boot
MMIR.Extasy
MMIR.Ravage
Mnemonix.100%
Mnemonix.A-bomb.878
Mnemonix.Cmagic.2015
Mnemonix.Cmagic.2243
Mnemonix.Dementia.512
Mnemonix.Dementia.609
Mnemonix.Descendants
Mnemonix.DI.1173
Mnemonix.LoTek
Mnemonix.Moonlight.319
Mnemonix.Neuropath.928
Mnemonix.Oracle
Mnemonix.Sugar
Mnemonix.Vicious
Moctezuma.2208
Moctezuma.2416
Mombasa.3568
Monarch.1040
Monday.499
Monika.1314
Monika.686
Monkey.979
Mono.1063
Moose.353
Mordor.1104
Mordor.1110
Mordor.538
MPS.469
MPS.640
MPS.654
MPS.754
MPTI.1536
MR-FAMILY
MR.962
Mr_G.314
Mr_G.388
Mr_Twister.239
MRTI.577
Mrvirus.508
MS.748
Mshark.373
Mshark.378
Mshark.889
MSTU.513
MSTU.533
MTE
Mte-Small.Mega
Mte-Small.Sepultura
MtE.Darkness
MtE.Dedicated
MtE.Dewy
MtE.Groove
MtE.Ludwig
MtE.Pcweevil
MtE.Spawn
Mtz.971
Multi.2560.a
Multi.2560.b
Mummy.1399
Munich.2355
Murderer.3670
Murphy.1399
Murphy.950
Murphy.David.1173
Murphy.Digger
MutaGen.090.Agent
MutaGen.095.Agent
MutaGen.100.Agent
MutaGen.100.Garden
MutaGen.100.Test
MutaGen.110.Agent.a
MutaGen.110.Agent.b
MutaGen.110.CF.2055
MutaGen.110.HiTek
MutaGen.12.Agent.1810
MutaGen.12.Agent.1874
MutaGen.13.Agent.1918
MutaGen.13.Agent.1982
MutaGen.20.Agent.2204
MutaGen.20.Agent.3040
Mutant.1680
Mutant.1744
Mutator.307
Mutator.459
Mutator.780
MutInt.680
MutInt.688
MutInt.694
MVF.1866
MVF.1896
Mws.788
MyChild.1000
MZV.333
N8FALL
Nanite.332
Narcosis.1431
Natas.4740
Natas.4744
Natas.4746
Natas.4766
Natas.4774
Natas.4988
Nazgul.266
Necropolis
NED.Nukehard
NED.Tester
NetBios.4340
NeverMind
NeverMind.838
NeverOne.442
Newgen.1054
NewModel.533
NewYear.1356
Nexiv_Der
Nguyen.1740
Nigeb.890
Night.2048
NightFall.4480
NightFall.4518
NightFall.4519
NightFall.5765
Nina.1560
Nina.1600
Nina.1614
Nina.256
Nines.705
Nines.706
Nines.776
Nipple.208
Nobock.440
NoFrills.Kcat.1358
Nomenklatura
Noon.1163
NopM.494
Normal.763
Norway.673
Nosmoking.1000
Nosmoking.1575
Not.586
Nothing
Nov7.482
NoWin.2576
Nr.300
Ntit.1254
Ntit.1578
NTMY.1722
NTZ.397
Nuke.1680
Nuke.Awake
Nuke.Bob.1110
Nuke.Bob.1117
Nuke.Clock
Nuke.DC00l.1811
Nuke.Deadpool
Nuke.Elvis
Nuke.Howard.967
Nuke.Jac.991
Nuke.Marauder
Nuke.Marauder.855
Nuke.Ministry
Nuke.Nuke5.478
Nuke.Pox.1686
Nuke.Pox.1708
Nuke.Pox.1722
Nuke.Pox.1723
Nuke.Pox.1726
Nuke.Pox.1800
Nuke.Pox.1844
Nuke.Pox.609
Nuke.Pox.630
Nuke.Pox.955
Nuke.Pox.963
Nuke.Sirius.402
Number_of_the_Beast
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Nutcracker.AB2
Nutcracker.AB3
Nutcracker.AB4
Nutcracker.AB5
Nutcracker.AB6
NV.732
Nygus.163
Nygus.195
Nygus.227
Nygus.278
Nygus.295
Nygus.397
Nygus.752
Nygus.757
Ohm.777
One_Half.3544
Ontario.1024
Ontario.512
Ooops.368
Oops.600
OopsTmp.1087
Orchid.120
Orchid.311
Orchid.351
Oropax
Oscar
Osiris.299
Otti.932
Otto.415
Otto.640
Oulu.1008
Overkill.1191
Overkill.1385
Oxan.710
P&C.855
Pac-Man.Blinky
Pages.421
Pages.498
PAN. 667
Panic.398
Parasite.1024
Parasite.1132
Parasite.901
Parasite.903
Parity.441
ParityError.621
ParityError.686
Particle.690
Pathhunt.1231
Pathogen_SMEG
Patsy.571
Patsy.697
Pcbb.1656
Pcbb.1658
Pcbb.2277
Pcbb.3072
Pcbb.J4j.1129
Pcbb.J4j.1273
Pcflu.2112
Pcflu.2156
Pcflu.763
Pcflu.802
Pcvrs.1904
Pdp.822
Peacekeeper
Peach.887
Penza.1210
Penza.700
Pepper.529
Perfume.731
Perfume.765
Phalcon.Emo
Phantasmagoria
Phantom.2201
Phantom1
Phoenix
Phoenix.2000
Phoenix.Evil
Phoenix.Proud
Phone.688
Phonix.927
Phx.1289
Phx.1336
Phx.823
Phx.965
Piaf.1859
Piazolla.874
Picket.1034
Picket.843
Pifpaf.760
Pirat.380
Pit.492
Pit.611
Pitch.593
Pixel.1268
Pixel.1271
Pixel.200
Pixel.215
Pixel.251
Pixel.257
Pixel.275
Pixel.277
Pixel.283
Pixel.295
Pixel.296
Pixel.299
Pixel.342
Pixel.343
Pixel.345
Pixel.739
Pixel.740
Pixel.761
Pixel.779
Pixel.837
Pixel.846
Pixel.847.abc
Pixel.850
Pixel.851
Pixel.852
Pixel.854
Pixel.877
Pixel.892
Pixel.897
Pixel.899
Pixel.936
Pixel.Cheef.297
Pixel.Cheef.300
Pixel.Hydra.340
Pixel.Hydra.342
Pixel.Hydra.343
Pixel.Hydra.368
Pixel.Hydra.372
Pixel.Hydra.391
Pixel.Hydra.403
Pixel.Hydra.495
Pixel.Hydra.736
Pixel.Pixie.812
Pixel.Rosen.131
Pixel.Self.457
Pixel.Self.550
Plagiarist
Plague.2647
Planters.360
Plastique
Playboy.1039
Plovdiv.1000
Plovdiv.800
Plovdiv.984
Plutto.602
PM.733
PME.Burglar
Poem.1825
Pojer.1919
Pojer.1935
Pojer.1941
Pojer.1949
Polifemo.736
Polifemo.906
Polimer.512
Poloneise.812
PoorMan.1168
Porcupine.3008
Porcupine.3012
Porridge.1384
Positron
Poss.2175
Poss.2367
Poss.2438
Poss.2443
Poss.2446
Powertrip.423
Prague.604
Pray.579
Pray.587
Predator
Predator.1195
PREDATOR.2448
Pregnant.1199
Prime.580
Printer.778
PrintMonster
Protect.1157
Protect.1196
Protect.1323
Protect.1355
Proto.695
PS_MPC
Psyco.804
Puke.393
Pux.1295
Pyramid.457
Pysk.1536
Quadratic.1283
Quadratic.981
Quadratic.986
Quiet.2048
Quit.555
Qumak.1028
Qumak.1079
Qumak.1161
Radyum.1072
Radyum.448
Radyum.503
Radyum.509
Radyum.519
Radyum.698
Radyum.707
Radyum.860
Rainbow
Rainbow.2351
Rajaat.518
Rajaat.RTFM.871
Ranger.290
Rasek.1489
Rasek.1490
Rasek.1492
Rat.615
Raubkopie.2219
Rauser.164
Rauser.250
Raving.2300
Rb91.899
Realize.498
ReBoot.715
Revenge.1127
Reverse.948
Riluttanza.689
Riot.1202
Riot.1203
Riot.278
Riot.279
Riot.281
Riot.282
Riot.309
Riot.355
Riot.392
Riot.441
Riot.444
Riot.789
Riot.Aladdin.886
Riot.Caffeine.366
Riot.CarpeDiem.1012
Riot.CarpeDiem.1033
Riot.CarpeDiem.469
Riot.CarpeDiem.472
Riot.Conjurer.270
Riot.Conjurer.300
Riot.Conjurer.433
Riot.Conjurer.TNG.181
Riot.Conjurer.TNG.277
Riot.Conjurer.TNG.312
Riot.Conjurer.VCC.269
Riot.Conjurer.VCC.408
Riot.Conjurer.VCC.586
Riot.DDeath.1062
Riot.DDeath.1153
Riot.DDeath.958
Riot.DDeath.963
Riot.Digital.1354
Riot.Digital.822
Riot.Digital.823
Riot.Enemy.757
Riot.Evil.769
Riot.Evil.786
Riot.Fire.473
Riot.Immortal.265
Riot.Immortal.353
Riot.Immortal.377
Riot.Immortal.550
Riot.Keyb.667
Riot.Keyb.756
Riot.Keyb.873
Riot.Maria.1118
Riot.Maria.1126
Riot.Marked.354
Riot.Mega.506
Riot.Moonlite.458
Riot.Moonlite.465
Riot.Multi.791
Riot.Multi.813
Riot.Multiplex.815
Riot.Multiplex.821
Riot.Overdoze.470
Riot.Overdoze.472
Riot.Psychosis.1195
Riot.Ravage.393
Riot.Salamander.888
Riot.Stioxyl.390
Riot.sUMsDos.472
Riot.Tornado.461
Riot.Tower.411
Riot.Uniq.308
RIP.3214
Rip.699
Ritzen.1087
Ritzen.1098
Ritzen.1112
RMC.1551
RMNS
RMNS.325
RMNS.456
RMNS.651
RMNS.736
RMNS.MW.Man.297
RMNS.MW.Woman.353
Robal.2048
Rodolf.4096
Rogue.1208
Rogue.1213
Rom.331
Rom.397
RTL.805
Rubbit.1018
Rubbit.2060
Rubbit.3811
Rubbit.3839
Rubbit.681
Runtime.365
Rz.160
S_BUG.FRUITFLY.LITTLE_LOC
S5.1253
Sadam.919
Sair.1150
Sarampo.1371
Sarampo.1470
Satan-Bug
Satanic.1345
SatBug
SatBug.1568
Saturday14
Sauron.375
Sayha.1000
SayNay
School.403
Scity.678
Scity.713
Scitzo.1285
Scitzo.1329
Scitzo.1337
Scorpio.1000
Scoundrel.3323
Scratch.554
Screaming_Fist.927
Scrunch.420
SeaCat.160
Seagull.448
Search.1589
Search.198
Search.205
Search.208
Search.226
Search.253
Search.288
Search.302
Search.305
Search.309
Search.323
Search.330
Search.350
Search.354
Search.357
Search.360
Search.377
Search.413
Search.437
Search.478
Search.512
Search.512.b
Search.549
Search.984
Search.Taurus
Seat.1614
Semtex.1000
Semtex.515
Semtex.619
Semtex.686
Sentinel.4625
Sentinel.4636
Sentinel.5173
Sentinel.5402
Sformat.699
Sfrust.632
Shadow.1200
Shadow.635
Shadow.723
Shadowgard
Shake
Shaker.373
Shaker.409
Shaman.251
Shanghai.848
Shaware.502
Shifter.758
Shifter.760
Shifter.983
Shiny.921
Shiny.934
Shira-2048
ShitMan.441
Shizol.500
Shutdown.644
Shutdown.698
Silence.555
Silly.2256
SillyC.122
SillyC.124
SillyC.127
SillyC.128
SillyC.138
SillyC.139
SillyC.140
SillyC.155
SillyC.162
SillyC.163
SillyC.166
SillyC.174
SillyC.179
SillyC.181
SillyC.184
SillyC.190
SillyC.200
SillyC.217
SillyC.241
SillyC.281
SillyC.290
SillyC.302
SillyC.304
SillyC.306
SillyC.310
SillyC.331
SillyC.386
SillyC.451
SillyC.468
SillyC.498
SillyC.511
SillyC.553
SillyC.857
SillyC.91
SillyC.96
SillyC.97
SillyOCE.277
SillyORC.144
SillyORCE.101
SillyORCE.200
SillyORCE.67
SillyORCE.71
SillyRC.122
SillyRC.125
SillyRC.131
SillyRC.164
SillyRC.169
SillyRC.172
SillyRC.178
SillyRC.200
SillyRC.230
SillyRC.239
SillyRC.240
SillyRC.261
SillyRC.264
SillyRC.330
SillyRC.357
SillyRC.403
SillyRC.414
SillyRC.524
SillyRC.66
SillyRCE.263
SillyRCE.266
SillyRCE.307
SillyRCE.374
SillyRCE.484
Silver.1547
Silver.1644
Silver.1874
Silver.2071
Silver.2218
Silver.8101
Simple
Simulation
Sinep
Singapore.521
Singapore.910
Sirius.1070
Sirius.400
Sirius.430
Sirius.615
Sirius.640
Sirius.720
Sirius.975
Sirius.Annihilator.272
Sirius.Annihilator.357
Sirius.Annihilator.379
Sirius.Mem.1187
Sirius.Mem.1201
Sirius.Mem.1203
Sirius.Mem.1217
Siskin.1017
Siskin.948
Sistor.2225
Sistor.2380
Sistor.2605
Sistor.2630
Sistor.3009
Sk.1004
Sk.1147
Sk.626
Sk.992
Skater.1021
Skater.664
Skater.977
Skew.458
SlamTilt.703
Slava.492
Slavery.929
Slayer.2638
Slovakia.1056
Slovakia.1351
Slovakia.1356
Slovakia.1698
Slovakia.906
SlovakiaII.3854
Slow.1716
Slubdestr.1024
Slugger.288
Small.100
Small.104
Small.108
Small.110
Small.114
Small.118
Small.119
Small.122
Small.122.b
Small.123
Small.124
Small.125
Small.127
Small.128
Small.129
Small.130
Small.130.b
Small.131
Small.132
Small.140
Small.144
Small.145.a
Small.145.b
Small.146
Small.149
Small.150
Small.157
Small.160
Small.178
Small.185
Small.187
Small.59
Small.65
Small.76
Small.80
Small.86
Small.92
SmartCock.512
Smile.4304
Smile.4320
Smvb.1023
Smvb.1100
Smvb.708
Socha.753
Sofia.432
Sofia.528
SofiaTerminator.1369
SofiaTerminator.839
SofiaTerminator.887
SofiaTerminator.899
Soldier.545
Soldier.557
Something.658
Sov.1193
Sov.1205
Sova.4060
Spanish Trojan
Spanska.4250
Spanz.639
Sparkling.705
Sparse.3840
Spectral.601
Spectral.907
Spellbound.1164
Spellbound.1806
Split.250
Spring.640
Spring.768
Sql.953
Squawk.852
Squeaker.1091
SSH.2770
SSH.2944
Ssi.1428
Ssi.623
Ssi.905
Ssi.Uncle.1377
Ssi.Uncle.1410
SSR
Staf.2083
Stahlpla.750
Star.486
Sterculius.240
Sterculius.266
Sterculius.273
Sterculius.280
Sterculius.428
Sterculius.440
Stimp.248
Stink.1251
Stink.1254
Stink.1270
Stink.1273
Stink.1283
Stranger.734
Striker.461
Stsv.200
Stupid.1355
Stupidus.1504
Subconsious.212
Subconsious.476
Sundevil.691
Sundevil.762
Susenka.862
SVC.1064
SVC.1689
SVC.1740
SVC.2695
SVC.2936
SVC.3103.a
SVC.3103.b
SVC.3112
SVC.3241
SVC.4644
SVC.4661
SVC.4677
SVC.Piter.1228
Sveta.309
Svin.252
Svirus.322
Swalker.1266
Swastika.442
Sword.794
Sylvia
Sylvia.1321
Sylwia.734
Synergy.288
Syrian.241
Syrian.412
Sze.314
Sze.351
T555
Tack.411
Tack.449
Tack.460
Tack.477
Tadihno.971
Taiwan.677
Taiwan.708
Taiwan.743
Taiwan.752
Tajfun.250
TalkHead.519
Tamanna.1857
Tankard.493
Tankard.556
Tashkent.490
Tashkent.509
Taz.1014
Taz.987
Taz.995
Techno.1123
Technomaniac
TEH.647
Telefonica.3429
Telefonica.3700
Telefonica.3784
TenBytes.1411
TenBytes.1514
Teraz.2717
Teraz.4004
Terminator.1501
Terminator.2294
Terminator.526
Terminator.918
TerraX.1027
Tetris.552
Thanksgiving
ThatsAll.618
TheDraw.6530
TheWanderer
Tigre.1800
Tim.1600.a
Tim.1600.b
TimerJack.1106
Timid.245
Timid.288
Timid.289
Timid.290
Timid.297
Timid.298
Timid.299
Timid.300
Timid.301
Timid.302
Timid.303
Timid.305
Timid.306
Timid.313
Timid.330
Timid.371
Timid.382
Tina.826
Tiny.124
Tiny.126
Tiny.128
Tiny.133
Tiny.134
Tiny.137
Tiny.138
Tiny.143.a
Tiny.143.b
Tiny.154
Tiny.158
Tiny.159
Tiny.160
Tiny.162
Tiny.163
Tiny.167
Tiny.198
Tiny.212
Tiny.229
Tiny.234
Tiny.320
Tiny.330
Tiny.340
Tiny.352
Tiny.Fred
Tired.1740
Tiso.1279
Tiso.846
Tiso.940
Tmtm.441
Todor.1993
Tony.338
Topa.2456
Topa.2476
Topa.2520
Tormentor.425
Tormentor.475
Tormentor.476
Toxic.171
Toxic.208
TPE.AEP
TPE.CivilWar.1979
TPE.CivilWar.1994
TPE.CivilWar.2049
TPE.CivilWar.2222
TPE.Kela.4568
TPE.Little
TPE.Nazis
TPVO
Traceback.2930
Traceback.3029
Traceback.3066
Trakia.1070
Trakia.561
Trakia.570
Tremor
Triple_Five.556
Trivial.123
Trivial.125
Trivial.127
Trivial.128
Trivial.143
Trivial.194
Trivial.200
Trivial.202
Trivial.207
Trivial.229
Trivial.25
Trivial.32
Trivial.33
Trivial.330
Trivial.34
Trivial.342
Trivial.346
Trivial.36
Trivial.40
Trivial.42
Trivial.43
Trivial.44
Trivial.45
Trivial.46
Trivial.50
Trivial.53
Trivial.64
Trivial.67
Trivial.82
Trivial.85
Trivial.89
Trivial.92
Trivial.99
Trivial.Anarchy.146
Trivial.Anarchy.469
Trivial.Banana.139
Trivial.Diddler.91
Trivial.Exec.161
Trivial.Exec.162
Trivial.FTW.101
Trivial.FTW.192
Trivial.Hot.130
Trivial.Kode4.129
Trivial.Kode4.131
Trivial.Kode4.90
Trivial.Ratboy.50
Trivial.Ratboy.80
Trivial.Tom.59
Trivial.ZZ.127
TrJP.1067
Troi.322
Tron.754
Trust.2356
Try.1074
TS.1418
Tu.2500
Tu.482
Tu28.535
Tula.1480
Tula.417
Tula.419
Tula.593
Tula.635
Tumen.1092
Tumen.1242
Tumen.1255
Tumen.1663
TurboVirus.1919
Turkish.604
Turn.557
Turn.571
TV.730
TVED.Trurl.789
Tver.308
Twelve Tricks Trojan
Twister.1015
Twister.1767
Twister.451
Twister.863
U.524
Uck.475
Uestc.888
Ufa.1201
Ugur.1297
Ugur.1320
Ultra.5700
UNCARING. 1054
Unerase.329
Unexe.425
Ungame.766
Ungame.770
Unhandled.424
Urfin.317
Uruguay.1
Uruguay.2
Uruguay.2313
Uruguay.2379
Uruguay.2456
Uruguay.2623
Uruguay.3
Uruguay.4
Uruguay.4268
Uruguay.4879
Uruguay.4906
Uruguay.5
Uruguay.6262
Uruguay.6344
Uruguay.6396
Uruk.300
Uruk.361
Uruk.394
Uruk.427
UsePascal.2406
USSR.414
V.1014
V.1024
V.1099
V.1121
V.1125
V.1241
V.1253
V.1320
V.1385
V.1441
V.1663
V.1689
V.1792
V.1798
V.1876
V.2000
V.2330
V.2371
V.2435
V.2653
V.267
V.3000
V.302
V.359
V.376
V.384
V.388
V.394
V.416
V.439
V.439.b
V.450
V.475
V.486
V.491
V.516
V.6000
V.623
V.670
V.696
V.699
V.707
V.713
V.723
V.736
V.825
V.894
V.934
V.944
V.945
V.985
V163
V3Scan.1633
VACSINA.04
VACSINA.05
VACSINA.06
VACSINA.10
Valentine.600
Vampirus.1499
VCL.Diogene
VCM.493
VCode.1633
VCode.2246
VCode.2262
VCS.Manta
VCS.Paranoimia
VCS.Ruf
VD.568
Vdv.390
Vdv.853
Vector.441
Velvet
Vengeance.252
Vengeance.390
Vengeance.435
Vengeance.613
Vengeance.639
Vengeance.656
Vengeance.723
Version.705
VFSI
Vic.399
Vic.793
VICE.01.FireCide
VICE.01.Sample
VICE.02.FireCide
VICE.02.IceBurn
VICE.02.IceMelt
VICE.03.FireCide
VICE.03.One13th
VICE.04.One13th
VICE.05.Code
Vico.1000
Vico.500
Victor.2442
Vienna .535
Vienna.1000
Vienna.1006
Vienna.1014
Vienna.1032
Vienna.1059
Vienna.1239
Vienna.1881
Vienna.217
Vienna.304
Vienna.311
Vienna.318
Vienna.348
Vienna.353
Vienna.361
Vienna.367
Vienna.377
Vienna.415
Vienna.435
Vienna.457
Vienna.458
Vienna.462
Vienna.466
Vienna.483
Vienna.486
Vienna.494
Vienna.500
Vienna.507
Vienna.518
Vienna.520
Vienna.526
Vienna.533
Vienna.534
Vienna.539
Vienna.547
Vienna.561
Vienna.565
Vienna.573
Vienna.582
Vienna.583
Vienna.585
Vienna.600
Vienna.604
Vienna.608
Vienna.610
Vienna.612
Vienna.618
Vienna.620
Vienna.622
Vienna.623
Vienna.625
Vienna.627
Vienna.634
Vienna.637
Vienna.644
Vienna.645
Vienna.646
Vienna.648
Vienna.660
Vienna.662
Vienna.670
Vienna.679
Vienna.680
Vienna.700
Vienna.709
Vienna.716
Vienna.726
Vienna.730
Vienna.732
Vienna.733
Vienna.742
Vienna.744
Vienna.757
Vienna.758
Vienna.767
Vienna.774
Vienna.776
Vienna.777
Vienna.778
Vienna.810
Vienna.822
Vienna.827
Vienna.833
Vienna.849
Vienna.851
Vienna.909
Vienna.939
Vienna.943
Vienna.961
Vienna.988
Vienna.Ambalama.493
Vienna.BigPiter
Vienna.BNB.429
Vienna.Choinka.A
Vienna.Feliz
Vienna.Feliz.923
Vienna.Monxla.B
Vienna.Oscar
Vienna.Pivi.454
Vienna.Pivi.568
Vienna.SPb.641
Vienna.Violator.5286
Vienna.Violator.5302
Vienna.Violator.5305
Vienna.Violator.779
Vienna.Violator.801
Vienna.Violator.803
Vienna.Violator.821
Vienna.Violator.843
Vienna.Violator.957
Vienna.Violator.969
Vienna.Viperize
Viking.1000
Viking.1000.b
Viking.1000.c
Viking.1400
Viking.1600
Viking.2000
Viking.700
Viking.700.b
Viking.Mixtura.1000
Vindicator.734
Vinnitsa.1620
Vinnitsa.1658
Violetta.3840
Viper.840
VirDem.1336
VirDem.1542
VirDem.463
VirDem.601
VirDem.792
VirDem.824
Virogen.1520
Virogen.1535
Virogen.1673
Virogen.1680
Virogen.BombTrack.2054
Virogen.BombTrack.2349
Virogen.Offspring.1130
Virogen.Offspring.1134
Virogen.Offspring.1138
Virogen.Offspring.1294
Virogen.Offspring.1555
Virogen.Simplex.504
Virogen.Simplex.507
Viros.429
Virus.286
VirusB.1000
VirusC.496
ViRuZ.729.A
Visite.232
VIV.524
Vivisex.683
VLAD.Insert.273
VLAD.MegaStealth
VLAD.Monkeys.288
VLAD.Prodigy.393
VLAD.Tasha.2042
VME_1.Demo
VME_2.Demo
Voice.1495
Void_Poem
Voronezh.1536
Voronezh.1584
Voronezh.1600
Voronezh.370
Voronezh.600
Voronezh.650
Vote.1000
VP.909
Vriest.1280
VS.2790
VS.3900
VS.612
Vzpomen.1400
Walker.3846
Wally.1029
Wally.981
Wanderer.400
Warez.1341
Waria.479
Warlock.1817
Warsaw.850
Wasp.1655
Werehere.836
WestUkrain.274
Whale.9216
WildFire.2222
WildThing.555
WildThing.557
WildThing.567
Wildy.354
Wirusek.2723
Wisconsin.815
Wizard.268
Wizard.495
WM/Nuclear.A
Wolfman.2064
Word.1069
Word.1085
Word.1387
Word.1391
Word.1485
Word.1503
Wrzod.1043
Wvp.782
WW.217
Xabaras.1972
Xak.3132
Xam.797
XPEH.3600
XPEH.3840
XPEH.3872
XPEH.3904
XPEH.4752
XPEH.4768
XPEH.5488
XPEH.5792
XPEH.5840
Xph.1010
Xph.1029
Xph.1032
Xph.1100
Xph.1943
Xtac.1564
Xtc.2153
Xuxa.1037
Xuxa.1096
Xuxa.1405
Xuxa.1413
Xuxa.1656
Yafo.328
Yam.3596
Yam.3599
Yang.2528
Yankee.1049
Yankee.1150
Yankee.1202
Yankee.1256
Yankee.17
Yankee.18
Yankee.19
Yankee.1905
Yankee.21
Yankee.2189
Yankee.22
Yankee.2433
Yankee.2505
Yankee.2561
Yankee.26
Yankee.27
Yankee.2881
Yankee.2895
Yankee.29
Yankee.2968
Yankee.2974
Yankee.2A
Yankee.2C
Yankee.2D
Yankee.2E
Yankee.3045
Yankee.3096
Yankee.Estonia.1716
Yankee.Flip.2167
Yankee.Wobble
Yellow.1361
Yog.794
Youth.580
Youth.640
Zamoy.587
Zapper.1121
Zed.287
Zelentsov.379
Zero2o
Zerohunter.412
Zerohunter.415
Zhengxi
Zipper
Zirate.1687
Zmiana.1224
Zmt.262
Zmt.365
Zol.316
Zol.799
Zombie.747
Zortech.836
Zu.473
Zulu.1390
Zz.429


 EXE

_1885
_613
2up.6000
3tunes.1784
4on.1346
4res
5lo.1024
8tunes
99percents
Abba.9849
Abbas.1320
ABC
ABC.2378
Abraxas-3
Abraxas.1170
Abraxas.1171
Abraxas.1200
Abraxas.1214
Abraxas.1304
Abraxas.Cleton.1508
Abraxas.Cleton.1518
Acapulco.1971
Accept.3619
Accept.3773
Ache.338
Ache.352
ACV.1342
Adin.3026
Advent.2764
Advent.3551
Advent.Cookie.2232
AE-BUG
Agena.723
Ahasverus.1244
Aids.552
AJ.391
Akuku.1111
Akuku.886
Alabama
Albanian.1991
Alex
Alfons.1344
Algerian.1400
Alia.1023
Alia.8087
Alia.Prodigy
Alien-3
Alien.1356
Alien.1976
All.1818
Alpha.4000
AM_II.1281
Aman.10716
AmazonQueen.468
AmazonQueen.479
AmazonQueen.500
AMILIA
Amoeba.1392
Amoeba.2367
Amt.3000
Amt.4000
Amz.682
Anarchy.2048
Andreev.805
Andrew.634
ANDROMEDA.1024a
ANDROMEDA.1024b
ANDROMEDA.1024c
ANDROMEDA.1536a
ANDROMEDA.1536b
Annyit.656
Anthrax
AntiCAD.3004
AntiCAD.3012
AntiGUS.1570
AntiPascal.605
ANTIPRINT
ANTISCAN. 814
Apocalipse.1685
Appelscha.2161
April1st.EXE
Aragorn.1522
Arcv.1060
Arcv.541
Arcv.562
Arcv.570
Arcv.571
Arcv.679
Arcv.693
Arcv.795.b
Arcv.916.b
Arcv.965
Arcv.Benoit
Arcv.Dennis.874
Arcv.Dennis.897
Are_There
Arianna.2864
Arianna.3375
Arianna.3426
Arriba.1590
Arusiek.817
Asexual
Asmodeous.1160
Asmodeous.1343
Asmodeous.1833
Assassin_II.959
Astra_II.1010
Astra_II.1556
Astra_II.927
Athens 1561
Athens.1561
Atomant.2143
Australian.1014
Australian.1024.b
Australian.1033
Australian.1035
Australian.1149
Australian.205
Australian.AIH.352
Australian.AIH.591
Australian.AIH.972
Australian.Kuang.718
AV_CK.508
Ava.550
Avalanche.2818
Avalanche.2831
Avatar.Acid.670
Avatar.Acid.674
Avatar.Dichotomy.863
Avatar.K-rad.561
Avispa.2048
Aztech.1200
Backfont.1172
Backfont.765
Backfont.821
Backfont.896
Backfont.900
Backfont.905
BackForm
BackFormat.2000
BackFormat.2345
BadSectors.3147
BadSectors.3428
Bailey.270
Bailey.334
Bailey.380
Bamestra
Baph.1536
Barrotes.1194
Barrotes.1310
Barrotes.Tecla.1303
Barrotos.1310
Basedrop
Basilisk.1639
Bastard.1979
Bat2Exec.1644
Beaches.1091
Beavis.671
Beda.1530
BedBug.1160
Beep.2000
Beer
Beethoven
Bengal.1170
Bengal.846
Bengal.863
Berserker.3537
Berserker.3561
Bert
BestWishes.1024
BestWishes.970
Better World
BigMouse.1007
BigMouse.900
BigMouse.998
Bios.2048
BitAddict.1175
BitAddict.1190
BitAddict.979
Blackmonday
Blaze.284
BLOODY-WARRIO
BloodyWarrior
Bobas.754
Bolek.1326
BOOJUM
Bootache.2048
BootEXE.331
BootEXE.443
BootEXE.451
BootEXE.452
BootEXE.Stalker.310
BootEXE.Stalker.320
Bow
Boza
BRAIN2
Breath.34571
Breeder.5152
Broadcast.1987
BrokenHeart.445
Brother_300
Bubonic.2181
Budo.1000
Budo.890
BuenDia.816
Bug.1497
Bug.920
Burger.498
Burger.505
Burger.509
Burger.512
Burglar
Burma.409
Burma.442
Burma.563
Burma.756
BWME.Test.1287
C1992.1536
CANNA615
Cannibal.1312
Carbuncle.621
Carbuncle.622
CASTEGGI
Caterpillar
Catphish.701
Caz.1159
CAZ.1159.b
Caz.1204
CCC.381
CeCe.1994
CeCe.1998
Chang.1759
Chaos.1181
Chaos.1181.B
Chaos.1241
ChaosYears.1837
ChaosYears.2005
Chcc.2662
ChDir.523
CheckSum.1569
CheckSum.3022
China.1831
Cholera.1497
Christ.483
Christmas.1694
Christmas.868
Cinderella.779
Cinderella_II
Civilwar.901
Cj.304
CK
Cli&Hlt.1345
Clinton.654
CLME.Ming.1528
CLME.Ming.1952
Clone.546
Clone.833
Close.656
Close.960
Cls.853
CNTV
Codewar.2048
Coffee Shop 3
CoffeeShop
Coito.644
COL_MAC
Companion.100
Companion.101
Companion.131
Companion.228
Companion.246
Companion.247
Companion.261
Companion.3351
Companion.83
Companion.85
Companion.87
Companion.8736
Companion.88
Companion.89
Companion.92
Companion.923
Companion.AIH.823
Companion.FlyV.633
Companion.Gif.681
Companion.Gif.685
Companion.TrekWar.547
Comsysexe.2711
Comsysexe.2954
Comsysexe.8045
COMVIRUS 1.0
Cossiga.859
Cossiga.883
Costeau.512
CPSU.2535
Cpw.1459
Crawly.6624
CrazyEddie
CrazyPriest
Crepate.2910
CRUMBLE
Cruncher.4000
Cruncher.4800
Curse.400
Cvirus
CYBER
CYBER101
Cyberloard.381
Dada.1356
Daemaen.1894
Daemaen.2041
Daemaen.2048
Daisy
Dalian.1366
DAME.Trigger
DARK AVENGER. 1800.A
Dark_Avenger.1801
Darkend
Darkend.1188
DarkLord.921
Das_Boot
Dashel.1804
Data-Rape-2.0
Datacrime II
DataLock
Datalock.1000
Datalock.1043
Datalock.920
Davis
DBCE.3403
Dead.1119
Deathrider.729
Dec3rd.1333
Dei.1456
Dei.1526
Dei.1634
Dei.1780
Dei.1792
Dei.1948
Dementia
Dementia.4207
Democracy.3806
Democracy.3959
Dennis.689
Destructor
Diamond.1024
Diamond.1050
Diamond.1063
Diamond.1100
Diamond.444
Diamond.465
Diamond.485
Diamond.568
Diamond.584
Diamond.594
Diamond.602
Diamond.606
Diamond.607
Diamond.608
Diamond.609
Diamond.614
Diamond.620
Diamond.621
Diamond.624
Diamond.626
Diamond.891
Diamond.978
Diamond.David
Diamond.Greemlin.1146
Diamond.Lucifer.1086
Diamond.RockSteady.666
Die.385
Die.666
Die_Hard
Die_Lamer.1090
DieHard2
Digger.1000
Dima.1024
Dir II.A
DIR2-910
DirII.1024
DirII.2048
DirII.Dragon
DirII.TheHndv
Dis.1024
DiskFull.1871
DKiller.DK.693
Doom.1240
Doom.1504
Dowcipas.2303
Dowcipas.2464
DR&ET.1710
Dracula.827
Dream.2000
Dream.2012
Drop.1131
DS.512
DSCE.Demo.2957
DSME.Teacher
DSU.1414
DSU.1422
Dudley
Dumb.4722
Dwi.1051
Eader.2000
Eagle.7705
EAR
EARLE. 1244
Earle.3006
Ebola.3000
Ecu
Ed
Eddie.1028
Eddie.1459
Eddie.1530
Eddie.1687
Eddie.1693
Eddie.1797
Eddie.1799
Eddie.1800
Eddie.1801
Eddie.1813
Eddie.2000
Eddie.2100
Eddie.651
Eddie.Alexander
Eddie.Apa.1843
Eddie.Apa.2104
Eddie.Father
Eddie.Jasper
Eddie.Jerico.a
Eddie.Korea
Eddie.Major
Eddie.Oliver
Eddie.Psko
Eddie.Satan.1800
Eddie.Shyster
Eddie.Sign
Eddie.Uriel
Egg
Egg.1000
Egg.833
Eight_Tunes
Einstein.878
Elaine.1127
Em.1303
EM.1303
Enculator.Turbo.1366
Eno-2430
ENOLA
Error.628
ErrorVirus.1223
Espacio.8444
Espacio.8458
Espacio.8486
Espacio.8491
Espacio.8498
Eupm.1731
EVC.161
Evilgen
Evolution.2761
Evolution.2770
ExeBug.a,c
ExeHeader.222
ExeHeader.223
ExeHeader.384
ExeHeader.394
ExeHeader.396
ExeHeader.418
ExeHeader.440
ExeHeader.Bane.256
ExeHeader.Bob.448
ExeHeader.Bosco
ExeHeader.Dragon.400
ExeHeader.Funked.400
ExeHeader.HeaderBug.324
ExeHeader.Hobbit.416
ExeHeader.Mike.252
ExeHeader.Mike.256
ExeHeader.Ming.359
ExeHeader.Mz1.384
ExeHeader.Olya.398
ExeHeader.Pure.429
ExeHeader.Pure.439
ExeHeader.Pure.440
ExeHeader.Pure.441
ExeHeader.Pure.449
ExeHeader.Pure.De'buger.427
ExeHeader.SkidRow.415
ExeHeader.SkidRow.432
ExeHeader.VVM.204
ExeHeader.VVM.205
ExeHeader.XAM.278
Experiments.755
Explosion
Exterminate
F3.1901
F4.1403
Fair.2083
FastKiller.481
FaxFree.1024
FaxFree.Abstract.1024
FaxFree.Darkover.1536
FaxFree.Fago_t2
FaxFree.Mecojoni
FaxFree.Mosquito
FaxFree.Pinniz
FaxFree.Pisello.1024
FaxFree.Pisello.1536
FaxFree.Topo
FaxFree.Tower
Fdate1111.537
Fdate1111.570
Fellow.1019
FF_Char.1000
Fichv.897
Find.512
Find.600
Find.666
Find.BigX.610
Fingers.1322
Fire.2682
Fish#6
Fisher.2420
Fission.517
Fist.855
Fist.862
Fistik.1280
FITW
Flagyll.316
Flagyll.318
Flagyll.369
Flagyll.371
Flash.688
Flash.695
Flip.2153
Flip.2343
Flip.2365
Flip.Madrid
Flood.304
Flower.883
Fly.1796
Fm.765
Forger.1000
FORM. A
Friends.1361
Frodo
Frz.1567
Fva.1635
Game.1053
Game.1065
Geek.450
GeldWash.1497
Geliyor.1356
Geodesic.666
GetLost.734
Ghost.1447
Ginger.2691
Ginger.2774
Ginger.Orsam.2620
Ginger.Orsam.2624
Gippo.1000
Gippo.1030
Gippo.1039
Gippo.1050
Gippo.1234
Gippo.1242
Gippo.1249
Gippo.901
Gippo.944
Girl.2273
Girls.1829
Gkchp.800.a
Gkchp.800.b
Gle.848
Gnat.753
Gnat.756
Godzina.1024
Goga
GoldBug
GoodBye.839
Goomba.987
Gorlovka
Gotcha.1781
Gotcha.627
Gotcha.732
Gotcha.879
Gotcha.881
Gotcha.906
Gotyou.5052
Green.1036
Green_Caterpillar.1575.A
GreenCaterpillar
Grog.1007
Grog.1072
Grog.1146
Grog.1635
Grog.1641
Grog.2075
Grog.488
Grog.512
Grog.557
Grog.666
Grozny.999
GTM.BewareBug.1446
Guess.928
Guess.928.b
Ha!
HackMaster.1197
Hafen.1191
Hafen.1640
Hafen.1641
Hafen.1689
Hafen.781
Hafen.809
Hafen.818
Haifa.2352
Halley.7856
Hallochen
Harakiri.5488
Hare.7610
Hare.7750
Hare.7786
Harmless.1082
Hate
Hate.971
Heevahava.514
Hello.731
Helloween.1063
Helloween.1182
Helloween.1227
Helloween.1288
Helloween.1376
Helloween.1376b
Helloween.1384
Helloween.1447
Helloween.1839
Helloween.1888
Helloween.2470
HellSpawn.1141
Hero.394
Hero.506
Hey_You
Hi.460
Hi.802
Hi.802
Hi.892
Hi.895
Hi.924
Hidenowt
Hider.1782
Hider.2169
HLLC.14880
HLLC.5472
HLLC.7952
HLLC.8224
HLLC.9261
HLLC.Aids.8064
HLLC.April1st
HLLC.Arj.7952
HLLC.Bolek.8096
HLLC.Cornucopia
HLLC.Crawen.8306
HLLC.Crawen.8516
HLLC.Cumulus
HLLC.Dope.4870
HLLC.Dope.5219
HLLC.Enrico
HLLC.Evenbeep
HLLC.Globe.5150
HLLC.Happy.LZ
HLLC.Happy.PK
HLLC.PC-Alive.8902
HLLC.ScreenAllive
HLLC.Tree2.14186
HLLC.Unvisible
HLLC.Worm.16412
HLLC.Worm.16850
HLLC.Worm.17690
HLLC.Worm.Frust
HLLC.Worm.Icommand
HLLC.Worm.Runme.10832
HLLC.Worm.Runme.5008
HLLC.Xmas.15264
HLLO.10842
HLLO.187Killa
HLLO.3008
HLLO.3522
HLLO.4032
HLLO.4240
HLLO.4317
HLLO.4372
HLLO.4734
HLLO.4830
HLLO.4870
HLLO.5488
HLLO.6144
HLLO.6286
HLLO.6544
HLLO.7392
HLLO.Crash.7227
HLLO.FU.8608
HLLO.Joker
HLLO.Kamikaze
HLLO.Messanger
HLLO.Nazi.4240
HLLO.Nova
HLLO.Ostraboo
HLLO.Picked
HLLO.Tu.4752
HLLP.10304
HLLP.15392
HLLP.16470
HLLP.3072.a
HLLP.3072.b
HLLP.3678
HLLP.3680
HLLP.3779
HLLP.3966
HLLP.4075
HLLP.4109
HLLP.4288
HLLP.5000
HLLP.5444
HLLP.5602
HLLP.5792
HLLP.5824
HLLP.5938
HLLP.7296
HLLP.7408
HLLP.7529
HLLP.7808
HLLP.Animus.a
HLLP.Animus.b
HLLP.Bdaagwa
HLLP.Ceib.4629
HLLP.Dupalec
HLLP.Halloween
HLLP.Kasienka.8192
HLLP.Linda
HLLP.Nazi.4415
HLLP.Nazi.6128
HLLP.NotFound.6176
HLLP.Rangel.5000
HLLP.Rsw.5846
HLLP.Runner.9312
HLLP.Sauron.4568
HLLP.Ukazna
HLLP.Viper.7792
HLLP.Voodoo
HLLP.Vova.12560
HLLP.VVC.8304
HLLP.Wizard.3677
Hm.828
Hochiminh
Holiday.2900
Holiday.3000
Horror.1137
Horse.1154.a,b
Horse.1776
House.11636
Hungarian.482
Hwang.1509
HWF.937
Hydra_II.1649
Hymn.1865
Hymn.1962
Hymn.2144
Hypervisor.3120
Hypervisor.3128
Hzp.512
Icelandic.1(656)
Icelandic.2
Ienez.1428
Ieronim.1166
Ieronim.1492
Ignorance
Imi.1536.a
Imi.1536.bcdef
Imi.1538
Imi.1656
Info.1355
Inoculator.1819
Int_FF
Int12
Intrep.1092
Intrep.946
Invader
Invisible
Invisible.b
Invol.1314
Invol.1401
Istanbul.1312
Istanbul.1349
Itavir.3187
Jabb.812
Jackal.3118
Jackal.3120
Jerk.1077
Jerusalem
Jerusalem II
Jerusalem.1237
Jerusalem.1244
Jerusalem.1264
Jerusalem.1511
Jerusalem.1530
Jerusalem.1730
Jerusalem.1747
Jerusalem.1767
Jerusalem.1807
Jerusalem.1808.CT.A
Jerusalem.1813
Jerusalem.1962
Jerusalem.2000
Jerusalem.2187
Jerusalem.2432
Jerusalem.998
Jerusalem.Anarkia
Jerusalem.Atb.2389
Jerusalem.Australian
Jerusalem.Bupt.1367
Jerusalem.Cookie.2472
Jerusalem.CVEX.5120
Jerusalem.CVEX.6144
Jerusalem.CVEX.6400
Jerusalem.d
Jerusalem.Dengue
Jerusalem.Discom
Jerusalem.Distrutto
Jerusalem.Exciter
Jerusalem.f
Jerusalem.Fumanchu.2076
Jerusalem.Fumanchu.2080
Jerusalem.g
Jerusalem.Hack.2064
Jerusalem.Haha.1733
Jerusalem.Hermanos.2777
Jerusalem.Kylie
Jerusalem.Math
Jerusalem.MBR
Jerusalem.Mule
Jerusalem.Naita.1646
Jerusalem.Pipi.1536
Jerusalem.Pipi.1552
Jerusalem.Plastique.2224
Jerusalem.Plastique.3004
Jerusalem.Plastique.3012
Jerusalem.ProtPC.2223
Jerusalem.Rambo
Jerusalem.Roger.2000
Jerusalem.Roger.2128
Jerusalem.Rulis.1639
Jerusalem.Satan.1540
Jerusalem.Satan.1719
Jerusalem.Scott.1716
Jerusalem.Scott.2126
Jerusalem.Skism
Jerusalem.Smile.2576
Jerusalem.Standard
Jerusalem.Standard.sUMsDos
Jerusalem.Sunday
Jerusalem.Sunday.Satan
Jerusalem.sURIV.3.00.##00054
Jerusalem.Taiwan.2576
Jerusalem.Taiwan.2900
Jerusalem.Taiwan.3088
Jerusalem.Taiwan.3454
Jerusalem.Timor
Jerusalem.Tobacco.2900
Jerusalem.Totoro.1536
Jerusalem.Viajero
Jerusalem.Xed.1238
Jerusalem.ZipEater
Jmp.2153
Jocker.1371
Joker
Joker01
Jolter.2197
Julia.1000
Julia.1027
June12th
Jvirus.2267
Ka.863
Kaczor
Karlik.1666
KbrBug.1568
KbrBug.1596
KbrBug.1720
KbrBug.2662
Keelung.2808
Keeper.Acid.694
Keeper.Enemy.644
Kela.1171
Kela.1735
Kela.1904
Kela.2002
Kela.2010
Kela.2018
Kela.2099
Kela.2520
Kela.2530
KEY PRESS. 1232.A
Keybug.980
KeyKapture.1071
KeyKapture.1074
KeyKapture.1075
KeyKapture.1077
Keypress.1000
Keypress.1199
Keypress.1212
Keypress.1216
Keypress.1216
Keypress.1216.a
Keypress.1232.A
Keypress.1236
Keypress.1250
Keypress.1479
Keypress.1495
Keypress.1600
Keypress.1728
Keypress.935
Keypress.BBS
Keypress.Ufo
Khrusha.1505
Kiev.2048
Kipa.1084
Kiwi.550
KKV2.923
Kohntark.Kompanion.268
Koko.1780
Kolumna.2048
Komar.691
Komar.692
Komsom.1000
Krnl.2078
KSV.1128
KSV.1144
Larry.491
Larry.497
Later.959
Later.981
Laufwerk
LazyToday.1203
Lego.1000
Lemming.2144
Lemming.2146
Lemming.2151
Lemming.2160
Leonard.1194
Leprosy.1992
Leprosy.321
Leprosy.370
Leprosy.47857
Leprosy.5120
Leprosy.5370
Leprosy.562
Leprosy.571
Leprosy.585
Leprosy.591
Leprosy.595
Leprosy.600
Leprosy.625
Leprosy.647
Leprosy.664
Leprosy.666
Leprosy.736
Leprosy.800
Leprosy.808
Leprosy.814
Leprosy.907
Leprosy.946
Leprosy.Busted.570
Leprosy.Busted.572
Leprosy.Echo.425
Leprosy.Flood.999
Leprosy.Jas.792
Leprosy.Misery.664
Leprosy.Morrison.870
Leprosy.Oss.591
Leprosy.Riot.666
Leprosy.Riot.808
Leprosy.Sandra.534
Leprosy.Sandra.535
Leprosy.Sandra.551
Leprosy.Sandra.573
Leprosy.Sandra.579
Leprosy.Sandra.606
Leprosy.Sandra_II.1356
Leprosy.Sandra_II.1809
Leprosy.Sector.827
Leprosy.Seneca.381
Leprosy.Seneca.483
Leprosy.Seneca.493
Leprosy.Skism.1992
Leprosy.Taz.1973
Leprosy.Taz.2197
Leprosy.Taz.2209
Leprosy.Taz.2276
Leprosy.YH.880
Lhb.1989
Lib.4000
Liberty.a
Liberty.b
Linda.517
LionKing.3531
Little.Red
LittleBrother.321
Littlegirl.1004
Littlegirl.1008
LoadHigh.1467
Lockup.2969
Loki.1228
Lokjaw.493
Lokjaw.499
Lokjaw.507
Lokjaw.518
Lokjaw.520
Lokjaw.808
Lokjaw.894
Lokjaw.898
Lokjaw.Kenson.573
Lokjaw.Kenson.887
Lomza
Loren.1374
Loren.1387
LostFriend.882
LoveChild.2710
Loz.2435
Lseek.1461
Lunacy.2513
Lunacy.2865
Mabuhay
Mabuhay.2660
Mabuhay.2695
Macaroni.1480
Macgyver.2803
Macgyver.2824
Macgyver.4112
MadCobra.1118
Madismo.6007
MadSatan.1019
MadSatan.19033
MadSatan.2060
MadSatan.3839
MadSatan.9849
MadSatan.King.1424
MadSatan.King.2175
MadWill.2400
Magda.512
Magdzie.1056
Magdzie.1114
Major.1644
Malmsey.1703
Malmsey.806
Manowar.592
Manu.4096
Manzon
Marawi.2828
Marian.700
Marzia.Demian
Marzia.Minosse
Matura.1626
Mayak.2339
Mayak.2370
Mayak.513
Maze
Maze.985
MBRExe
MBRExe.b
MemLapse.407
MemLapse.449
MemLapse.605
MemLapse.787
MemLapse.820
MemLapse.839
MemLapse.845
Mephisto.4.815
Mephisto.6.654
Metallica.1103
Metallica.1129
Mgn.2048
Mgn.2560
Mgn.3000
MGUL.1953
MGUL.1962
MGUL.925
MGUL.950
Miky.2350
Minosse.3072
Minsk.1075
Mirage.1322
Mirage.1331
Mirea.1086
Mirea.1766
Mirea.1773
Mirea.1813
Mirea.958
Mirror.1056
Mirror.4130
Mirror.924
Mithrandir.450
Mithrandir.496
Mix.1618
Mix.1636
Mix.2280
MMIR.Das_Boot
MMIR.Ravage
Mnemonix.Atomic.425
Mnemonix.DI.1173
Mnemonix.ESP.519
Mnemonix.LoTek
Mnemonix.Oracle
Mnemonix.Vicious
Moctezuma.2208
Moctezuma.2416
Mohova.659
Monarch.1040
Monika.1314
Monkey.979
MonteCarlo.1483
MonteCarlo.1541
Moose.468
Moose.631
Morgot.823
Morse.1060
MPS.682
MPS.754
MPTI.1536
MR.962
Mr_D.1536
Mr_D.1569
Mshark.889
Msk.272
MSTU.513
MSTU.533
MTE
Mte-Small.Mega
Mte-Small.Sepultura
MtE.Coffeeshop
MtE.Darkness
MtE.Groove
MtE.Insuff
Multi.2560.a
Multi.2560.b
Mummy.1364
Mummy.1399
Mummy.1489
Murderer.3670
Murphy.1399
Murphy.Amilia
Murphy.Badtaste
Murphy.David.1173
Murphy.Torment
MutaGen.100.Garden
MutaGen.110.CF.2055
MutaGen.110.HiTek
MutaGen.20.Agent.3040
Mutant.1680
Mutant.1744
Mutator.307
Mx.335
MyChild.1000
MzBoot.464
N8FALL
Nanite.332
Narcosis.1431
Natas.4740
Natas.4744
Natas.4746
Natas.4766
Natas.4774
Natas.4988
Necropolis
Necros.1164
Neko.1964
Neko.1990
Neko.2697
NetBios.4340
Neurobasher
Neuroquila
NewYear.1356
Nguyen.1740
Night.2048
NightFall.4480
NightFall.4518
NightFall.4519
NightFall.5765
NightFall.Companion
Nina.1560
Nina.1600
Nina.1614
Nocopy.3685
Nocopy.3695
Nomenklatura
Noon.1163
Normal.763
NoWin.2576
NTU.T4.2138
Nuke.Nuke5.478
Nuke.Pox.1686
Nuke.Pox.1708
Nuke.Pox.1722
Nuke.Pox.1723
Nuke.Pox.1726
Nuke.Pox.1800
Nuke.Pox.1844
Nuke.Pox.955
Nuke.Pox.963
Nuke.Testing
Nutcracker.AB1
Nutcracker.AB1.Antarex
Nutcracker.AB1.Antarex.A
Nutcracker.AB2
Nutcracker.AB3
Nutcracker.AB4
Nutcracker.AB5
Nutcracker.AB6
Nutcracker.AB7
Nygus.752
Nygus.757
Ohm.777
Olexy.1864
Omi.986
One_Half.3544
Ontario.1024
Ontario.512
Oscar
Oxana.1419
Oxana.1555
Oxana.1653
Oxana.1654
Oxana.1719
Pac-Man.Clyde
Pandora.1536
Paramon.917
Paris
Pathhunt.1231
Pathogen_SMEG
Pcbb.1656
Pcbb.1658
Pcbb.2277
Pcbb.3072
Pcflu.2112
Pcflu.2134
Pcflu.2141
Pcflu.2156
Pcvrs.1904
Peace.2064
Peacekeeper
Peach.887
Peasant.1243
Penetrator.984
Penza.1210
Penza.700
Phantom1
Phoenix
Phoenix.2000
Phoenix.Evil
Phone.688
Phonix.927
Phx.1289
Phx.1336
Phx.823
Phx.965
Piaf.1859
Pieces.1374
Pieck.2016
Pifpaf.760
Pirate.1344
Plague.2647
Planters.360
Plastique
Playboy.1039
Plovdiv.1000
Plovdiv.984
PME.Burglar
PMT.867
Pojer.1919
Pojer.1935
Pojer.1941
Pojer.1949
Poloneise.2402
Poloneise.2502
Poloneise.812
Porcupine.3008
Porcupine.3012
Poss.2175
Poss.2367
Poss.2438
Poss.2443
Poss.2446
PowePump
PowePump.b
Predator
PREDATOR.2448
Printer.778
Printerceptor
Pro-Alife.3423
Problem.734
Prohibit.1500
Protect.1157
Protect.1196
Protect.1323
Protect.1355
Prudents.1205
PS_MPC
PS_MPC.DemoEXE
Puke.393
Put.1939
Pux.1295
Pysk.1536
Quadratic.1283
Quadratic.981
Quadratic.986
Quake.518
Quicky
Quit.555
Rainbow
Rainbow.2351
Rajaat.287
Rajaat.443
Raptor.1800
Rasek.1489
Rasek.1490
Rasek.1492
Rauser.164
Rauser.250
Rebel.1509
Rencodes.4206
Reset.503
Rest.1588
Reverse.948
Riot.278
Riot.355
Riot.392
Riot.789
Riot.Coke.535
Riot.DDeath.1062
Riot.DDeath.1153
Riot.DDeath.958
Riot.DDeath.963
Riot.Enemy.757
Riot.Marked.354
Riot.Ravage.393
Riot.Tower.411
Ritzen.1087
Ritzen.1098
Ritzen.1112
RMC.1551
Rmdc.608
Rmdc.622
Rmdc.623
Robal.2048
Rodolf.4096
Rogue.1208
Rogue.1213
Rubbit.2060
Rubbit.3811
Rubbit.3839
Ryazan.512
Sadist.1209
Sair.1150
Sandy.1376
Sarampo.1371
Sarampo.1470
Saratoga.632
Saratoga.642
Saratoga.656
Satan-Bug
SatBug
Saturday14
Sauron.1088
Sayha.1000
Scitzo.1285
Scitzo.1329
Scitzo.1337
Scorpio.1000
Scoundrel.3323
Scratch.554
Screaming_Fist.927
Seat.1614
Selectron.1112
Selectron.1258
Seneca.392
Sentinel.4625
Sentinel.4636
Sentinel.5173
Sentinel.5402
Shadow.1200
Shadowgard
Shark.1027
Shark.1283
Shifter.758
Shifter.760
Shifter.983
Shimmer.a
Shimmer.b
Shiny.921
Shiny.934
Shira-2048
Shirley.4096
Shirley.Vivaldi.4096
Sibylle.853
Sibylle.858
Signed.1008
Signed.979
Signed.980
Signed.982
Silicon.1019
Silly.2256
SillyC.486
SillyE.1147
SillyE.943
SillyE.ExeBeta
SillyOCE.277
SillyORCE.101
SillyORCE.200
SillyORCE.67
SillyORCE.71
SillyRCE.263
SillyRCE.266
SillyRCE.307
SillyRCE.374
SillyRCE.484
SillyRE.2304
SillyRE.323
SillyRE.512
Silver.1547
Silver.1644
Silver.1874
Silver.2071
Silver.2218
Silver.8101
Sily.745
Siskin.1017
Siskin.948
Sistor.2225
Sistor.2380
Sistor.2605
Sistor.2630
Sistor.3009
Skew.445
Skew.469
SkyNet.1448
Slash.457
Slayer.2638
Slovakia.1629
Slovakia.1956
Slovakia.2041
Slovakia.2387
Slovakia.Silvia5
SlovakiaII.3854
SlovakiaII.Happy
Slow.1716
Slowlite
Small.122.b
Smile.4304
Smile.4320
Smiley.1983
SofiaTerminator.1369
Solar.100
Solar.102
Solar.122
Sonik.854
Sova.4060
Spanish Trojan
Spanish.1417
Spanska.4250
Spawn1.346
Spring.640
Spring.768
Squawk.852
Squeaker.1091
Srp.2248
Srp.2306
Ssi.1428
Ssi.905
Ssi.Uncle.1377
Ssi.Uncle.1410
SSR
Stardot.600
Sterculius.428
Sterculius.440
Stoned, Standard
Storyteller
Stupidus.1504
Su
SuperVirus.1175
Susan.571
SVC.1064
SVC.1689
SVC.1740
SVC.2695
SVC.2936
SVC.3103.a
SVC.3103.b
SVC.3112
SVC.3241
SVC.4644
SVC.4661
SVC.4677
SVC.Piter.1228
Svir.512
Sword.794
Syrian.241
Syrian.412
Tabulero.2048
Tai -Pan.666
Tai-Pan.438
TaiPan.434
TaiPan.438
TaiPan.Doom2.666
Tajfun.593
Tamanna.1857
Teacher.2000
Telefonica.3429
TenBytes.1411
TenBytes.1514
Tentacle
Tequila
Tequila.5volt
Tequila.c
Tequila.d
Teraz.2717
Teraz.4004
Terminator.2294
Terminator.3549
TerraX.1027
TheBestOne.1281
TheDraw.2267
TheDraw.6530
TheRat
TheWanderer
Tigre.1800
Tim.1600.a
Tim.1600.b
Time.1046
Time.1067
TimerJack.1106
Tiny.124
Tiny.Fred
Tired.1740
Tiso.1279
Todor.1993
Tokio.1068
Tokyo.1258
Topa.2456
Topa.2476
Topa.2520
TPE.Gambit
TPE.Kela.4568
TPE.Lamer
TPVO
Tpworm.12969
Traceback.2930
Traceback.3029
Traceback.3066
Trakia.1070
Trakia.561
Trakia.570
Trakia.653
Trash.512
TrashSoft.1024
Tremor
Trickster
Trivial.102
Trivial.157
Trivial.Exe2Win.116
Troi.512
Trust.2356
TS.1418
Tula.1480
TurboVirus.1919
TV.730
Tver.532
Tver.776
Twin.351
Uddy.2617
Uestc.888
Ugur.1297
Ugur.1320
Ultra.5700
Ungame.766
Ungame.770
Uruguay.1
Uruguay.2
Uruguay.2313
Uruguay.2379
Uruguay.2456
Uruguay.2623
Uruguay.3
Uruguay.4
Uruguay.4268
Uruguay.4879
Uruguay.4906
Uruguay.5
Uruguay.6262
Uruguay.6344
Uruguay.6396
UsePascal.2406
V.1014
V.1099
V.1320
V.1376
V.1391
V.1441
V.1443
V.1663
V.1689
V.1798
V.1827
V.1876
V.2048
V.2330
V.2371
V.2653
V.3000
V.343
V.384
V.394
V.416
V.509
V.550
V.572
V.6000
V.743
V.756
V.814
V.825
V.945
V.985
V3Scan.1633
VACSINA.04
VACSINA.05
VACSINA.06
VACSINA.10
Vampirus.1499
VCode.1633
VCode.1886
VCode.2246
VCode.2262
VCode.2540
VICE.01.FireCide
VICE.01.Sample
VICE.02.FireCide
VICE.02.IceBurn
VICE.02.IceMelt
VICE.03.FireCide
VICE.03.One13th
VICE.04.One13th
VICE.05.Code
Victor.2442
Viking.1000
Viking.1000.b
Viking.1000.c
Viking.1400
Viking.1600
Viking.2000
Viking.700
Viking.700.b
Viking.Mixtura.1000
Vinnitsa.1620
Vinnitsa.1658
Viper.840
Virogen.1520
Virogen.1535
Virogen.1673
Virogen.1680
Virogen.BombTrack.2054
Virogen.BombTrack.2349
Virogen.Offspring.1130
Virogen.Offspring.1134
Virogen.Offspring.1138
Virogen.Offspring.1294
Virogen.Offspring.1555
Virogen.Offspring.711
Virogen.Simplex.504
Virogen.Simplex.507
VirusDead.2308
ViRuZ.729.A
VLAD.MonAmi.1059
VLAD.MonAmi.1066
VLAD.Mummy.471
VLAD.QMagic.436
VLAD.Replicator.651
VLAD.Replicator.655
VLAD.Tasha.2042
Vodka.560
Voice.1495
Void.2304
Volkov.1684
Voronezh.1536
Voronezh.1584
Voronezh.1600
Voronezh.600
VS-II.1000
VS.2790
VS.3900
VVM
W.559
W95.CIH
Walker.3846
Warlock.1817
Weirdo.555
Wench.2537
Whale.9216
WildFire.2222
Willow.1870
Willow.2013
Win.AEP.a
Win.AEP.b
Win.Twitch
Win.Vir_1_4
Winsurf
Wintiny
Witch.1140
Witch.1400
Wizard.495
WM/Nuclear.A
Wolfman.2064
Wonder.7424
Word.1069
Word.1085
Word.1387
Word.1391
Word.1485
Word.1503
Worm!.913
Write.474
Xabaras.1972
Xam.797
XEP.1355
XorA.1024
XPEH.3600
XPEH.3840
XPEH.3872
XPEH.3904
XPEH.4752
XPEH.4768
XPEH.5488
XPEH.5792
XPEH.5840
Xph.1010
Xph.1029
Xph.1032
Xph.1100
Xph.1943
Xtac.1564
Xtc.2153
Xuxa.1656
Yang.2528
Yankee.1049
Yankee.1150
Yankee.1202
Yankee.1256
Yankee.17
Yankee.18
Yankee.19
Yankee.1905
Yankee.21
Yankee.2189
Yankee.22
Yankee.2433
Yankee.2505
Yankee.2561
Yankee.26
Yankee.27
Yankee.2881
Yankee.2895
Yankee.29
Yankee.2968
Yankee.2974
Yankee.2A
Yankee.2C
Yankee.2D
Yankee.2E
Yankee.3045
Yankee.3096
Yankee.Estonia.1716
Yankee.Flip.2167
Yankee.Wobble
Yeke.1076
Yeke.1204
Yellow.1361
Zapper.1121
ZeroDivide.604
Zhengxi
Zipper
Zirate.1687
Zmiana.1224
Zoid.1759
Zortech.836
Zxx.600


 SYS

Alpha.4000
Astra.472
Astra.498
Astra.510
Astra.521
Astra.7821
Astra_II.1556
Bootache.2048
CCBB.2221
Comsysexe.2711
Comsysexe.2954
Comsysexe.8045
Daemaen.1894
Daemaen.2041
Daemaen.2048
Dark_Avenger.1800.A
Dark_Avenger.1801
Explorer.3063
Face.2521
Fish#6
Ignorance
Invol.1314
Invol.1401
Jerusalem.Fumanchu.2080
Jerusalem.sURIV.3.00.##00054
Mayak.2339
Mayak.2370
Multi.2560.a
Multi.2560.b
Nina.1560
Nina.1600
Nina.1614
Nutcracker.AB2
Plague.2647
SVC.4644
SVC.4661
SVC.4677
Terminator.3275
VLAD.Hemlock.3183


 OVR

Dark_Avenger.1800.A
Dark_Avenger.1801
Eight_Tunes
Fish#6
Flip.2343
Frodo
Hungarian.482
Jerusalem
Jerusalem.Fumanchu.2080
Jerusalem.Sunday
Jerusalem.sURIV.3.00.##00054
Ontario.512
Vbasic
Virus101
Warlock.1817


 DIR

CAZ.1159.b
DirII.1024


 MBR_

17 Decembrie
ABCD
Angelina
Anthrax
AntiCAD.3012
Anticmos.A
AntiEXE
Are_There
Arianna.2864
Arianna.3375
Arianna.3426
Azusa
Baph.1536
Beijing
Blah.3379
Blah.3385
BOGUS
Boot-c
Boot.437
BootCOM.357
BootCOM.512
BootCOM.Peanut.443
BootCOM.Peanut.444
BootCOM.Peanut.445
BootEXE.331
BootEXE.452
BootEXE.Stalker.310
BootEXE.Stalker.320
Bupt
ChineFish
Chinese_Fish
Civil.6656
Civil.6672
Codewar.2048
Crazy Boot
Crazy_Nine
CrazyEddie
Crepate.1944
Crepate.2910
Daemaen.1894
Daemaen.2041
Daemaen.2048
Das_Boot
December_17th
Defo
DELWIN.1759
Diablo_Boot
DiskWasher
Ekoterror
Empire.A
Exe_Bug.A
Exe_Bug.Hooker
ExeBug.a,c
FITW
Flip.2153
Flip.2343
Flip.2365
Flip.Madrid
Form.A
Ginger.2691
Ginger.2774
Ginger.Orsam.2620
Ginger.Orsam.2624
Goblin.1199
Goblin.1759
GoldBug
Hare.7610
Hare.7750
Hare.7786
Ibex
Ignorance
Invisible
Invisible.b
J&M
Jackal.3118
Jackal.3120
Jerusalem.MBR
Joshi
Jumper
Junkie.1027
Junkie.1027.A
Kaczor
Kaczor.4444
Kyokushinkai
Kyokushinkai.Kysia.1536
Macgyver.4112
Marzia.Baracuda
Marzia.Demian
Marzia.DV.2048
Marzia.Pasiphae
Marzia.Petunia
Marzia.Pisello
Marzia.WW.2048
MISis
MJ.1513
Monkey.B
MzBoot.464
Narcosis.1431
Natas.4740
Natas.4744
Natas.4746
Natas.4766
Natas.4774
Natas.4988
Neurobasher
Neuroquila
NTMY.1722
Nutcracker.AB2
Nutcracker.AB6
Nutcracker.AB7
Oeur.3072
OneHalf.3544
OneHalf.3570
OneHalf.3577
Parity_Boot
Parity_Boot.B
Peter
Phi
Pieck.2016
Ping_Pong
Predator
PREDATOR.2448
Print_Screen_Boot.A
QRRY
Quox
Rainbow
Rainbow.2351
Rajaat.518
Rasek.1489
Rasek.1490
Rasek.1492
Ravage
RDA.Fighter.7408
Ripper
RM
Russian_Flag
Sampo
Screaming_Fist.927
She_Has
Smile.4304
Smile.4320
Spanish Trojan
Sphinx.2751
Starship
Stealth_Boot.C
Stoned
Stoned.Angelina
Stoned.Azusa.A
Stoned.Bunny.A
Stoned.Empire.Monkey
Stoned.I
Stoned.June_4th
Stoned.Kiev
Stoned.Manitoba
Stoned.Michelangelo
Stoned.No_INT.Vincent
Stoned.Spirit
Stoned.Standard
Telefonica.3429
Telefonica.3700
Telefonica.3784
Tequila
Tequila.c
Tequila.d
Thanksgiving
Unashamed
Unashamed.B
Urkel
V-Sign
V.1253
V.6000
V_Sign
Viresc
VLAD.MegaStealth
Xibin
Yang.2528
YMP.NiceDay


 FBR

Aircop
Alameda.A
Angelina
Anthrax
AntiEXE
Are_There
Azusa
Beijing
Boot.437
Bootache.2048
BootCOM.PureText
BootEXE.451
BootEXE.452
Bupt_9146
ChineFish
Chinese_Fish
Codewar.2048
Crazy_Nine
Crepate.1944
Crepate.2910
Daemaen.1894
Daemaen.2041
Daemaen.2048
December_17th
DELWIN.1759
Denzuk.1
DiskWasher
Empire.A
Exe_Bug.A
Exe_Bug.Hooker
ExeBug.a,c
FITW
Form
Form.A
GoldBug
Hare.7610
Ibex
Ignorance
Invader
J&M
Joshi
Junkie.1027
Keypress.Ufo
Kiev.2048
Liberty.a
Liberty.b
Macgyver.4112
Malaga.2610
MISis
MJ.1513
Monkey.B
MzBoot.464
Narcosis.1431
Natas.4740
Natas.4744
Natas.4746
Natas.4766
Natas.4774
Natas.4988
Nexiv_Der
Nutcracker.AB2
Nutcracker.AB7
Pac-Man.Blinky
Peter
Phi
Ping_Pong
Plastique
Predator
PREDATOR.2448
Printerceptor
QRRY
Quandary
Quox
Rainbow
Rainbow.2351
Rasek.1489
Rasek.1490
Rasek.1492
RM
Russian_Flag
She_Has
Shimmer.a
Shimmer.b
Stoned.Azusa.A
Stoned.Bunny.A
Stoned.June_4th
Stoned.Michelangelo
Stoned.No_INT.Vincent
Stoned.Standard
Telefonica.3429
Telefonica.3700
Telefonica.3784
Thanksgiving
Unashamed
V.1253
V.6000
V_Sign
Virus101
VLAD.MegaStealth
Voronezh.600
WXYZ
Xibin


 BAT

Bat.282
Bat.Naive.4894
Bat.Pot
Bat.Skul
Bat.Winstart
Bat.Xop
Bat.Zep
Bat.Zop_b
Batman.186
BatVir94
Blah.3379
Blah.3385
FORM. A
Shimmer.a
Shimmer.b
Snotkop.479
Stoned, Standard
WINSTART


 OBJ

Shifter.758
Shifter.760
Shifter.983
Zhengxi


 Glosar

Algoritm
Algoritm simetric
Analiza riscului
Analiza
Analiza euristica
Ascundere
Atac activ
Atac pasiv
AVScan
Backup
Bloc al memoriei superioare
Bomba
Bomba cu ceas
Bomba logica
Bomba scrisoare
Cal troian
Cale de acces
CARO
CERT
Compactare fisier
Confidentialitate
CPAV
CRC
Crima informatica
Criptanaliza
Criptare
Criptare simetrica
Decriptare
DES
Detectie
Dezasamblare
Dezinfectie
Dr.Solomon's AntiVirus Toolkit
Encriptare
Encriptare asimetrica
Encriptare fisier
F-Prot
Fals negativ
Fals pozitiv
Fisier corupt
Fisier infectat
IBM AntiVirus
Imunizare
Infectie prin suprapunere
Infectare
Infectarea memoriei
Infector
Infector MBR
Infectori de sistem
Inocula
Incarcare la cald
Incarcare la rece
Intrerupere
Kit pentru construirea virusilor
MAC
MBR
McAfee SCAN
MCB
Motor de mutatii
MSAV
Norton AntiVirus
Politica de securitate
Program
Program automodificabil
Program daunator
Program de scanare
Protectia datelor
Protectie la copiere
Protectie la incarcare
Protectie la scriere
RAM
Razboinic
Recuperare
SAU-exclusiv
Scut
Sectoare ascunse
Sectoare defecte
Sectorul de incarcare principal
Securitate
Semnatura unui virus
Shareware
Software antivirus
Software de dezinfectie
Software de monitorizare a virusilor
Statie fara discheta
Suma de control
Suma de control criptata
Tabel de alocare a fisierelor
Tabela de partitii
Text cifrat
Text primar
ThunderBYTE AntiVirus
TSR
Tunneling
UMB
Validare
Vi-Spy
Vierme
Virogen
Virusi nerezidenti [n memorie
Virusi rezidenti in memorie
Virus
Virus al sectorului de boot
Virus atasat
Virus Bulletin
Virus critic
Virus cu suprascriere
Virus de legatura
Virus detasabil
Virus invizibil
Virus multipartitie
Virus nerezident
Virus insotitor
Virus insotitor
Virus parazit
Virus polimorf
Virus rezident


 Algoritm

Algoritm
Set de reguli care specifica o metoda de realizare a unui task (de exemplu, un algoritm de encriptare).


 Algoritm simetric

Algoritm simetric
Un algoritm in care cheia utilizata pentru encriptare este identica cu cheia utilizata pentru decriptare. DES este cel mai bun algoritm de encriptare simetrica, cunoscut.


 Analiza riscului

Analiza riscului
În analiza riscului, tehnica clasica este de a evalua costul in termenii probabilitatii evenimentelor si a costurilor asociate acestor evenimente. Înmultind costul unui atac cu probabilitatea atacului, se obtine 'pierderea asteptata' (estimata). Apoi, pentru fiecare mijloc de aparare propus, multiplicaând probabilitatea atacului cu apararea existenta prin costul atacului, extragâand din costul lipsei de aparare, se obtine o reducere a pierderii estimate. Daca costul apararii este mai mic decâat pierderea estimata, atunci apararea este eficienta din punctul de vedere al costului. Aceasta tehnica merge pentru situatiile cunoscute bine, dar nimic din ce este necesar nu se cunoaste pentru analiza riscului in cazul virusilor informatici.


 Analiza

Analiza
Cautare sistematica a virusilor si detectarea efectelor produse de acestia.


 Analiza euristica

Analiza euristica
Tehnica antivirus folosita de unele programe de scanare prin care se analizeaza codul programului pentru a detecta instructiuni specifice virusilor. Aceasta tehnica nu cauta doar semnaturi obisnuite, ea examineaza si codul programului pentru a detecta instructiuni specifice virusilor. Multi dintre virusi infraâng insa analiza euristica evitaând prin modul in care sunt construiti, secventele de instructiuni care ar putea declansa o alarma euristica.


 Ascundere

Ascundere
Termen folosit pentru a desemna tehnicile folosite de anumiti virusii care incearca sa scape de detectie. De exemplu, un lucru pe care-l pot face virusi rezidenti este sa intercepteze comenzile (functiile) DOS de tip DIR si sa raporteze dimensiunile originale ale fisierelor, si nu cele modificate datorita atasarii virusului. Tehnicile SPAWNING si FILE JUMPER reprezinta astfel de metode, fiind insa cu mult mai avansate. Marea majoritate a virusilor actuali folosesc tehnici de ascundere.


 Atac activ

Atac activ
Atac asupra unui sistem prin care se introduc informatii false in sistem sau corup informatiile deja existente in sistem. (v. atac pasiv).


 Atac pasiv

Atac pasiv
Un atac asupra unui sistem prin care se extrag informatii, insa nu se introduc si nici nu se strica vreo informatie (v. 'atac activ').


 AVScan

AVScan
AVSCan este un produs freeware, distribuit de H+BEDV, putâand fi transferat si din Virus Forum, aflat in CompuServe. Scanner-ul actioneaza ca material publicitar pentru pachetul antivirus al firmei - AntiVir IV, care spre deosebire de AVScan, este disponibil doar in Germana. În general, trece bine testele, scapand doar câate un virus.


 Backup

Backup
Copie a datelor unui calculator folosita pentru refacerea datelor in cazul pierderii, ratacirii, coruperii sau stergerii acestora.


 Bloc al memoriei superioare

Bloc al memoriei superioare
Memoria aflata intre 640k si 1024k imediat peste memoria conventionala de 640k.


 Bomba

Bomba
Un mecanism viral care provoaca intentionat distrugerea datelor. "Bomb" este de fapt ceea ce face faima virusilor. Pentru utilizator, efectele pot varia de la unele amuzante (de exemplu, toate literele de pe ecran "cad" la baza acestuia) mergaând paâna la catastrofe (cum ar fi stergerea toturor fisierelor de pe hard disc).


 Bomba cu ceas

Bomba cu ceas
O bomba logica setata pentru a actiona la un anumit moment de timp.


 Bomba logica

Bomba logica
O bomba care provoaca stricaciuni atunci caând este indeplinita o conditie cum ar fi, de exemplu, prezenta sau absenta unui nume de fisier pe disc.


 Bomba scrisoare

Bomba scrisoare
O bomba logica continuta in posta electronica, care va actiona (trigger) atunci caând posta este citita.


 Cal troian

Cal troian
Este un program a carui executie produce efecte secundare nedorite, in general, neanticipate de utilizator. Printre altele, poate da o aparenta de functionare normala. Probabil ca cel mai bun exemplu de un astfel de program este Aids Information Kit Trojan.


 Cale de acces

Cale de acces
Serie de nume de directoare permitâand accesul la locul de memorare/stocare al unui fisier pe un disc.


 CARO

CARO
(Computer Anti-virus Researcher Organisation) Organizatie a celor mai reputati experti din lume care se ocupa cu standardizarea clasificarii virusilor.


 CERT

CERT
Computer Emergency Response Team - Inseamna "echipe de interventie in caz de urgenta pe calculator" si sunt grupuri avaând responsabilitatea pregatirii unei organizatii in cazul problemelor de urgenta din domeniul calculatoarelor, incluzâand in mod tipic cazul virusilor. Echipa CERT este in mod tipic responsabila cu educarea organizatiei in domeniul virusilor, instruind indivizii pentru actiunile pe care vor trebui sa le faca, determinâand precautiile tehnice imediate si asiguraând conditiile ca factorul uman si sistemul tehnic sa opereze corespunzator. Atunci câand se produce o urgenta, aceste echipe, de obicei, coordoneaza efortul de aparare.


 Compactare fisier

Compactare fisier
Compactarea unui fisier printr-un proces de recodificare a structurii sale intr-o forma mai scurta. Trebuie sa fie reversibila.


 Confidentialitate

Confidentialitate
Proces de asigurare a faptului ca datele nu sunt expuse celor neautorizati sa le vada. Este cunoscut si ca secret.


 CPAV

CPAV
CPAV este un antivirus, produs de firma Central Point, avaând identificarea virusilor sectorului de boot inclus in setul de test. Unul din misterele care mai inexplicabile si confuze provind acest produs este faptul ca, desi configurat pentru a permite accesul in retea, utilizatorul nu poate accesa nici un drive extern sau dispozitiv. Produsul se executa foarte incet atunci când este vorba de drive-uri infectate. În termeni de viteza si detectie, CPAV este undeva in spatele scenei.


 CRC

CRC
Control Redundant Ciclic - Se poate traduce prin "Control Redundant Ciclic" si este o metoda matematica folosita pentru verificarea integritatii datelor. Este o forma de suma de control, bazata pe teoria polinoamelor de lungime maxima. Desi mai sigur decaât o simpla suma de control, CRC-ul nu ofera totusi o adevarata securitate criptografica.


 Crima informatica

Crima informatica
Aceasta are doua intelesuri: Orice crima mediata de calculator; sau orice crima care ataca un sistem de calcul ca parte a procesului de comitere a crimei. Întelesul utilizat in oricare dintre aceste situatii particulare, depinde de context si nu este intotdeauna foarte clar.


 Criptanaliza

Criptanaliza
Studiul unui sistem encriptat avaând intentia de a detecta vreun defect sau slabiciuni in algoritmul de encriptare.


 Criptare

Criptare
Un proces de codificare a informatiei astfel incaât sa nu poata fi inteleasa de persoanele neautorizate.


 Criptare simetrica

Criptare simetrica
Forma de criptare care utilizeaza acceasi cheie, atat pentru criptare, cat si pentru decriptare. Algoritmul cel mai raspandit pentru criptare simetrica este DES.


 Decriptare

Decriptare
Decriptarea este procesul de transformare a unei informatii criptate inapoi in forma initiala.


 DES

DES
Data Encripted Standard - Standard de encriptare a datelor, un algoritm pentru criptare/decriptare de date, de 64 biti utilizâand o cheie de 56 biti. Este mult folosit in domeniul financiar.


 Detectie

Detectie
Scanarea memoriei si discurilor unui calculator pentru a indica schimbari care pot semnala prezenta unui virus.


 Dezasamblare

Dezasamblare
Proces pentru a deduce cum lucreaza ceva fara a avea acces la detaliile de proiectare.


 Dezinfectie

Dezinfectie
Metoda de distrugere a unui virus pentru a nu se mai propaga sau a nu mai produce stricaciuni in sistem.


 Dr.Solomon's AntiVirus Toolkit

Dr.Solomon's AntiVirus Toolkit
Despre acest produs, se pot spune putine . Este in mod constant un produs bun, ceea ce l-a desemnat pe merit ca unul din benchmark-urile de referinta pentru testarea altor produse antivirus. Totusi, nu este nici dintre cele mai rapide si mai exacte, aceasta pozitie fiind uzurpata de TBAV.


 Encriptare

Encriptare
Algoritm de encriptare.


 Encriptare asimetrica

Encriptare asimetrica
Encriptare care permite utilizarea unei chei de encriptare diferita de cheia utilizata pentru decriptare. RSA este cel mai raspaândit algoritm de encriptare asimetrica.


 Encriptare fisier

Encriptare fisier
Transformarea continutului unui fisier (text clar) intr-o forma neinteligibila prin intermediul unei anumite forme de sistem de criptare sau de manevrare.


 F-Prot

F-Prot
Frisk Software are reputatia de a produce un scanner de virusi de calitate ridicata. F-Prot dispune de un scanner excelent pentru oricare set de instrumente antivirus. În Anglia, el este un produs de piata si suportat de firma Reflex Magnetics, desi ultimele sale versiuni continua sa fie disponibile prin CIX si CompuServe, ca si prin ftp-uri anonime, de pe câateva posturi Internet. De asemenea, acum este disponibia si o versiune non-shareware, care adauga, printre multe altele, si caracteristici de detectie euristica. Este recomandat pentru perfomantele sale excelente.


 Fals negativ

Fals negativ
Un eveniment existent neraportat (exemplu: un virus prezent nedetectat).


 Fals pozitiv

Fals pozitiv
Un eveniment neexistent raportat ca existent (exemplu: raportarea prezentei unui virus care de fapt nu este prezent).


 Fisier corupt

Fisier corupt
Un fisier care a fost stricat (ca urmare a actiunii unui virus sau datorita altor cauze hardware sau software).


 Fisier infectat

Fisier infectat
Un fisier contaminat cu un virus informatic.


 IBM AntiVirus

IBM AntiVirus
Pe lâanga faptul ca scaneaza discul de fiecare data câand se executa produsul, IBM AntiVirus mentine si o baza de date pentru checksum-ul tuturor fi]ierelor de pe disc si scaneaza doar fisierele care s-au modificat. Aceasta inseamna ca produsul este lent la scanarea discului prima data, dar cu mult mai rapid la scanari succesive. Este cu o clasa peste MSAV.


 Imunizare

Imunizare
Tehnica prin care se adauga unui program executabil, o portiune de cod, pentru a asigura verificarea sa, astfel incaât suma de control sa fie verificata inainte ca programul propriu-zis sa se execute. Orice modificare facuta programului poate fi deci verificata si executia refuzata. Aceasta tehnica provoaca multe probleme deoarece ea interfera adesea cu programul pe care incearca sa-l protejeze.


 Infectie prin suprapunere

Infectie prin suprapunere
Contaminarea unui fisier cu un virus continâand cod de program auxiliar care este incarcat de catre programul principal.


 Infectare

Infectare
Contaminarea unui calculator cu un virus informatic.


 Infectarea memoriei

Infectarea memoriei
Contaminarea memoriei de catre un virus informatic. Singurul mod sigur de a elimina infectia memoriei este repornirea sistemului de pe o discheta curata si apoi curatarea sursei de infectie.


 Infector

Infector
Este un virus care infecteaza fisierele executabile (i.e. fisierele .EXE ]i .COM).


 Infector MBR

Infector MBR
Este un virus care suprascrie MBR-ul unui hard disc (v. Sector ascuns). De obicei, MBR este primul sector al unui drive hard ]i contine infomatii critice pentru sistem, cum ar fi un pointer la tabelul de partitii. MBR nu este parte a [nsu]i sistemului de operare, dar initializeaza secventa de [ncarcare a sistemului de operare. Înfectând MBR-ul, un virus ascuns poate patrunde [ntr-un sistem chiar [nainte de [ncarcarea acestuia ]o astfel, majotitatea software-ului antivirus devine activ. Infectorii MBR "puri" replica ]i se raspândesc prin infectarea [nregistrarilor de [ncarcare ale altor discuri (v. viru]i multipartitie).


 Infectori de sistem

Infectori de sistem
Virusi care infecteaza fisierele sau zone din sistemul de operare.


 Inocula

Inocula
Actiunea de generare a unei amprente (o informatie de control) a unui fisier. Este suficient apoi sa se compare aceasta amprenta cu alta calculata ulterior pentru a detecta alterarea eventuala a fisierului de catre un virus.


 Incarcare la cald

Incarcare la cald
Pornirea unui calculator aflat in stare de functionare, sub DOS, prin apasarea secventei de taste .


 Incarcare la rece

Incarcare la rece
Pornirea unui calculator prin punerea sa sub tensiune.


 Intrerupere

Intrerupere
Un mecanism de baza din sistemul de operare, prin care un proces poate atrage imediat atentia unitatii centrale (procesorului), de obicei pentru ca acesta sa trateze o cerere urgenta din partea unui dispozitiv extern. Tabelul de intreruperi din procesoarele 8086 se incarca in zona de 1Kb de la inceputul memoriei .


 Kit pentru construirea virusilor

Kit pentru construirea virusilor
Este o colectie de instrumente proiectate pentru a asista producerea virusilor. Exemple:VCS (Virus Connection Set), VCL (Virus Creation Laboratory), PS-MPC (Phalcon/Skism Mass Produced Code generator), IVP (Instant VirusProtection kit), G2 (Second Generation in Virus Creation).


 MAC

MAC
Message Authentication Code - Cod de autentificare a mesajului, o suma de control criptografica pentru mesaje. Spre deosebire de o semnatura digitala, un MAC necesita cunos]terea unei chei secrete pentru verificare.


 MBR

MBR
Master Boot Record - Primul sector fizic al unui hard disc (sector 1, cap 1, pista 0) care este incarcat si executat atunci caând este pornit calculatorul. Contine tabela de partitii si codul care trebuie incarcat si executat pentru a lansa sectorul de incarcare al partitiei active. Este punctul comun de atac al virusilor sectorului de incarcare.


 McAfee SCAN

McAfee SCAN
Este cel mai cunoscut produs antivirus in U.S.A. Noua sa infatisare stil-window incearca sa revitalizeze un produs instabil. Disponibilitatea sa ca produs shareware si garanteaza supravietuirea. Totusi, utilizatorii care considera cu seriozitate detectia virusilor ar fi bine sa se orienteze spre alte alternative.


 MCB

MCB
(Memory Control Block) structura folosita in mecanismul de alocare a memoriei in MS-DOS.


 Motor de mutatii

Motor de mutatii
Este un mecanism (pentru care s-au construit chiar si instrumente software) care permite crearea de virusi polimorfi. Acesti virusi sunt mai greu de detectat deoarece fiecare copie a lor arata diferit decat celelalte copii. O consecinta a mutatiilor care caracterizeaza virusii polimorfi este ca acestia nu pot fi identificati, simplu, printr-o semnatura.


 MSAV

MSAV
MSAV este produsul antivirus Microsoft, marcaând inceputul unei noi ere in domeniul prevenirii virusilor (cel putin asa s-a spus utilizatorilor). Incluzâand software antivirus in sistemul de operare, Microsoft a sperat sa asigure o protectie minima pentru toti utilizatorii. Produsul s-a dovedit a fi un subset al CPAV-ului de la Central Point. Faptul ca este un scanner rezonabil de rapid nu impresioneaza, el recunoaste majoritatea virusilor obisnuiti, fiind astfel un adaos util pentru DOS, dar este greu de recomandat utilizarea lui pe sistemele in care prevenirea este mai degraba o obligatie, decâ un un lux.


 Norton AntiVirus

Norton AntiVirus
Ca multe alte produse de scanare, Norton AntiVirus lasa de dorit prin inabilitatea sa de a detecta anumiti virusi - de altfel, motivul principal pentru care un scanner este cumparat.


 Politica de securitate

Politica de securitate
Politica de securitate este un set de reguli, principii si practici care determina modul in care acestea sunt implementate intr-o organizatie. Ea trebuie sa mentina principiile politicii generale de securitate ale organizatiei respective.


 Program

Program
O secventa precisa de instructiuni specificand care este actiunea pe care calculatorul ar trebui sa o realizeze. Adesea, termenul de 'software' este folosit pentru a descrie un program de calculator.


 Program automodificabil

Program automodificabil
Program care schimba deliberat propriul sau cod, pentru a se proteja impotriva virusilor sau copierii ilegale, facâand astfel dificila validarea sa prin mijloace conventionale.


 Program daunator

Program daunator
Un termen colectiv pentru programe cu efecte de stergere sau alte efecte neanticipate (de exemplu, cal troian, bomba logica, viermi).


 Program de scanare

Program de scanare
Program antivirus care cauta fisiere infectate analizâand secvente identificabile ca apartinâand unor virusi cunoscuti (asa numitele 'semnaturi' de virusi). Programele de scanare au diverse limitari printre care cea mai importanta este faptul ca ele nu pot cauta decat virusi deja identificati, cunoscuti.


 Protectia datelor

Protectia datelor
Un grup de tehnici utilizat pentru a mentine trei aspecte necesare datelor: confidentialitate, integritate si disponibilitate.


 Protectie la copiere

Protectie la copiere
O metoda care face dificila (daca nu imposibila) realizarea unor copii ale unui program. Protectia la copiere incearca sa previna furtul sau pirateria software.


 Protectie la incarcare

Protectie la incarcare
Metoda utilizata pentru a preveni patrunderea/spargerea masurilor de securitate instalate pe un hard disc la incarcarea calculatorului de pe un floppy disc.


 Protectie la scriere

Protectie la scriere
Un mecanism care protejeaza fisierele sau discurile impotriva schimbarii lor.


 RAM

RAM
Random Access Memory - Memorie cu acces randomizat, in care se poate scrie sau din care se poate citi cu viteza sporita. Este câat se poate de normal de a incarca programele de pe disc in memorie pentru a fi apoi executate. Sistemul de operare are grija de a aloca RAM-ul programelor executabile.


 Razboinic

Razboinic
Un individ ale carui interese, motivate de ratiuni benigne sau rautacioase, tintesc 'patrunderea in sistemele de calculator'. De asemenea, cuvaântul hacker este folosit si pentru a desemna pe cineva care produce cantitati imense de software profitabil. Cele doua intelesuri sunt complet distincte si adesea confundate.


 Recuperare

Recuperare
Recuperarea in urma unui atac viral semnifica, in primul rand, eliminarea virusului de discurile floppy si hard infectate, iar apoi, recuperarea fata de efectele colaterale ale virusului (cum ar fi, restaurarea datelor din fisierele sau de pe discul afectat).


 SAU-exclusiv

SAU-exclusiv
O abreviere pentru cunoscuta operatie logica SAU-exclusiv. O functie SAU-exclusiv este definita ca avaând valoarea TRUE atunci caând oricare ar dintre conditiile de intrare (dar nu ambele), aceasta are valoarea TRUE.


 Scut

Scut
Program antivirus (v. si 'Software de monitorizare antivirus') care incearca sa prinda virusii prin modul in care acestia isi desfasoara activitatea (de exemplu, identificarea incercarilor de alterare a unor fisiere .EXE sau scrierea peste sectorul de incarcare al discului).


 Sectoare ascunse

Sectoare ascunse
Sectoarele ascunse ale unui disc se afla, in mod tipic, intre primul sector al primei piste (Main Boot Sector - MBR) si primul sector al celei de a doua piste. Deoarece aceste sectoare ascunse sunt ignorate de cele mai multe calculatoare DOS, unii virusi folosesc aceasta zona pentru a se ascunde acolo.


 Sectoare defecte

Sectoare defecte
În timpul formatarii unui disc MS-DOS, sectoarele sunt verificate, iar cele neutilizabile (cu defecte de ordin fizic) sunt marcate ca defecte si nu vor mai fi utilizate. Uneori, virusii eticheteaza ca defecte sectoare bune de pe disc pentru a-si ascunde, acolo, codul viral (fataâ de utilizatori si de sistemul de operare) .


 Sectorul de incarcare principal

Sectorul de incarcare principal
Primul sector fizic al unui hard disc (sector 1, cap 1, pista 0) care este incarcat si executat atunci caând este pornit calculatorul. El contine tabela de partitii, precum si codul care trebuie incarcat si executat pentru a lansa sectorul de incarcare al partitiei active. Este punct comun de atac al virusilor sectorului de incarcare.


 Securitate

Securitate
Protectie impotriva unor comportari nedorite. Cea mai larg utilizata definitie pentru securitatea calculatorului este urmatoarea: Securitate = Confidentialitate + Integritate + Disponibilitate


 Semnatura unui virus

Semnatura unui virus
O secventa de octeti sau, mai complicat, o combinatie de secvente variabile, prin care programele antivirus incearca sa identifice virusii. Pe de alta parte, fiecare virus se autoidentifica, in general, pentru a evita sa infecteze de mai multe ori acelasi fisier. Identificatorul recunoscut de virus are sensul de ‘acest obiect este infectat, nu-l mai infectez’.


 Shareware

Shareware
Conceptul de shareware este foarte atractiv: utilizatorilor de calculatoare le este permis un numar nelimitat de copii ale unui software particular, precum si transferul acestuia altora interesati. Din nefericire, distributia shareware are acelea]i probleme ca si cele asociate cu software-ul obtinut prin BBS: utilizatorul nu este capabil sa trasese originea software-ului. Actualul cod de transmis putând fi copia unei copii a altei copii, iar la momentul caând ajunge la utilizatorul final, software-ul a putut sa fi fost deja infectat de mai multe ori, pe unul dintre multele calculatoare prin care a trecut in drumul lui.


 Software antivirus

Software antivirus
Produse software utilizate pentru a identifica si, adesea, pentru a furniza mijloacele necesare eliminarii virusilor de pe sistemele infectate. Adesea, acest proces este denumit 'curatare' sau 'dezinfectare'.


 Software de dezinfectie

Software de dezinfectie
Software care incearca sa indeparteze virusii de pe discurile infectate astfel incaât sa restaureze elementele infectate la starea lor anterioara. Dat fiind faptul ca adesea virusii sunt polimorfi (schimbati de o maniera subtila), software-ul de dezinfectie poate sa faca greseli, cu consecinte potential catastrofale pentru integritatea datelor. Detectia virusilor sectorului de incarcare este cu mult mai fezabila decaât cea a fisierelor executabile, iar utilizarea programelor de sistem (DEL, SYS, FDISK si FORMAT) reprezinta adesea o solutie preferabila.


 Software de monitorizare a virusilor

Software de monitorizare a virusilor
Pachete software care intercepteaza si controleaza I/O-urile de pe disc, incercand sa monitorizeze fie integritatea sistemului, fie sa detecteze 'activitatea virusilor. Din activitatea programelor antivirus pot rezulta si alarme false.


 Statie fara discheta

Statie fara discheta
Statiile fara drive floppy sunt PC-uri de sine statatoare, echipate adesea cu un hard disc, dar nu si cu un drive de floppy disc. Ratiunea din spatele acestei masuri este clara: daca utilizatorului nu dispune de mijloacele de a introduce un floppy disc pe ma]ina sa, i-ar fi imposibil sa infecteze statia de lucru. Dar, aceasta mentalitate 'fara floppy, fara disc' este buna paâna la o anumita limita.


 Suma de control

Suma de control
O valoare numerica obtinuta din octetii individuali ai unui fisier. Împreuna cu data crearii, marimea si atributele DOS ale fisierului, suma de control este memorata in fisiere de tip lista de control. De obicei, are lungimea de 32 sau 64 biti.


 Suma de control criptata

Suma de control criptata
O suma de control calculata utilizâand un algoritm de encriptare. Este imposibil sa realizezi o schimbare a datei astfel incâat sa ramâana suma de control neschimbata.


 Tabel de alocare a fisierelor

Tabel de alocare a fisierelor
File Allocation Table - Tabela de alocare a fisierelor folosita de sistemul de operare MS-DOS (dar nu numai) pentru a descrie acea parte a discului care contine informatii care refera locatiile fizice ale fisierelor pe disc.


 Tabela de partitii

Tabela de partitii
Un tabel de 64 biti aflat in sectorul principal de incarcare al unui hard disc, care contine informatii despre marimea, tipul (DOS, UNIX) si pozitia partitiilor de pe disc.


 Text cifrat

Text cifrat
Termen utilizat pentru a descrie text (sau date) care au fost anterior encriptate. (v. criptare.)


 Text primar

Text primar
Datele inainte de a fi criptate. Este opusul pentru 'text cifrat'.


 ThunderBYTE AntiVirus

ThunderBYTE AntiVirus
TBAV este un produs care s-a imbunatatit considerabil in ultimii ani. Nu numai ca a devenit cel mai rapid si mai exact, dar si-a imbunatatit deopotriva si interfata. În plus fata de scanner-ul excelent, utilizatorul poate adauga la produsul exitent propriile sale siruri hexa. Toate componentele sale variate pot fi acum apelate printr-un meniu central, TBAV, sau direct prin linia de comanda permitaând astfel flexibilitatea operatiei. Aceasta este complementata prin facilitatea de scanare a fisierelor folosind metoda euristica. Produsul se remarca prin scorurile maxime obtinute la toate testele, dar si prin rapiditatea sa - este cel mai rapid scanner. Toate acestea il recomanda pentru a fi inclus in kit-urile antivirus.


 TSR

TSR
Terminate and Stay Resident - Un termen utilizat pentru a descrie un program MS-DOS, de mici dimensiuni, care ramâane rezident in memorie dupa ce a fost executat. Un TSR poate fi reactivat fie printr-o secventa specifica de taste, fie printr-un semnal specific provenind de la un port de I/O.


 Tunneling

Tunneling
Tehnica speciala de patrundere, folosita de unii virusi pentru a nu fi depistati, in special de catre programele antivirus de tip 'shield' (v. 'Scut'). În acest scop, virusii folosesc o trasare speciala hardware, suportata de familia de procesoare 80x86 pentru a afla adresa efectiva a diverselor servicii sistem DOS si BIOS. În acest fel, virusul poate apela direct aceste servicii fara ca programul antivirus sa ia cunostinta de acest lucru.


 UMB

UMB
Upper Memory Block - Memoria aflata intre 640Kb si 1024Kb imediat peste memoria conventionala de 640Kb.


 Validare

Validare
Tehnica antivirus care stocheaza sau inregistreaza o suma de control (v. 'Suma de control') ca starea curenta a unui fisier program. Programul poate fi apoi comparat cu valoarea stocata si, daca nu sunt modificari in program, se presupune ca este OK sau validat. Adesea, programele de validare se numesc verificatoare de integritate.


 Vi-Spy

Vi-Spy
Vi-Spy este o referinta pentru produsele antivirus americane, atâat ca design caât si din punct de vedere al exactitatii. Este rapid si fiabil. Acestea, cuplate cu performatele bune ale componentei TSR, fac din Vi-Spy un competitor de considerat printre cele mai celebre nume.


 Vierme

Vierme
Un program care nu infecteaza alte fisiere, asa cum fac virusii, ci se multiplica in mai multe copii pe sistem si, mai ales, intr-un sistem distribuit de calcul.


 Virogen

Virogen
În lumea virusologilor informatici, este numele utilizat pentru a desemna scriitorii de virusi.


 Virusi nerezidenti [n memorie

Virusi nerezidenti [n memorie
Asa cum arata si numele, virusii nerezidenti in memorie nu ramâan activi in memorie dupa ce o aplicatie infectata a fost executata. Virusul opereaza dupa un simplu mecanism-sut si infecteaza doar executabilele atunci când un program infectat se executa. Comportarea tipica a unui astfel de virus este de a cauta un fisier gazda potrivit atunci caând fisierul infectat se executa, sa-l infecteze si apoi sa redea controlul programului gazda. Exemple: Vienna si Datacrime.


 Virusi rezidenti in memorie

Virusi rezidenti in memorie
Spre deosebire de cei nerezidenti in memorie, acestia se autoinstaleaza in memorie, astfel incaât, chiar mult timp dupa ce un program infectat a fost executat, ei pot incaâ sa infecteze un fisier, sa invoce o rutina trigger sau sa monitorizeze activitatea sistemului.


 Virus

Virus
Referit adesea ca un virus informatic, el este un program care se autocopiaza astfel incaât infecteaza parti din sistemul de operare si/sau programe executabile (v. 'virus al sectorului de boot' sau 'virus parazitic'). Probabil ca principala caracteristica pentru identificarea unui virus este accea ca se duplica fara acordul utilizatorului. Asa cum implica numele, analogia biologica este relativ buna pentru a descrie actiunea unui virus informatic in lumea reala.


 Virus al sectorului de boot

Virus al sectorului de boot
Tip de virus care distruge starea initiala a procesului de incarcare. El suprascrie sectorul boot al sistemului de operare. Un virus al sectorului de boot (incarcare) ataca fie sectorul de incarcare principal, fie sectorul de incarcare DOS de pe disc. Toti virusii sectorului de incarcare modifica intr-un anume fel continutul sectorului de boot. Modificarile sectorului de boot nu trebuie sa fie prea extinse: unii dintre cei mai noi astfel de virusi sunt capabili sa infecteze discul fix modificâand doar zece bytes din acest sector!


 Virus atasat

Virus atasat
Virus care isi ataseaza codul la cel existent al unui fisier executabil, nedistrugand codul original. Primul care se executa atunci cand se lanseaza fisierul infectat este virusul: Apoi, acesta se multiplica, face sau nu ceva rau, dupa care reda controlul codului original si permite programului sa se execute normal, in continuare. Acesta este modul de actiune al unui "virus clasic".


 Virus Bulletin

Virus Bulletin
Este cea mai importanta revista internationala dedicata raportarii si analizei virusilor. De la lansarea sa in iulie 1989, VB a monitorizat noile dezvoltari din domeniul programarii virusilor si a evaluat cele mai actualizate instrumente si tehnici pentru combaterea amenintarii reprezentate de virusi.


 Virus critic

Virus critic
Un virus care poate provoca stricaciuni catastrofale in sistem sau propagarea infectiei in timpul unei operatii de scanare.


 Virus cu suprascriere

Virus cu suprascriere
Un virus care pur si simplu se inscrie peste codul unui fisier executabil fara a incerca sa pastreze codul original al fisierului infectat. În cele mai multe cazuri, fisierul infectat devine neutilizabil. Cei mai multi virusi de acest fel sunt virusi vechi, primitivi, existâand insa si exceptii.


 Virus de legatura

Virus de legatura
Un virus care modifica intrarile din tabela director pentru a conduce la corpul virusului. Ca si virusii atasati, virusii de legatura ei nu modifica continutul insusi al fisierelor executabil, dar altereaza structura de directorului, legaând primul pointer de cluster al intrarii de director corespunzatoare fisierelor executabile la un singur cluster continâand codul virusului. Odata ce s-a executat codul virusului, el incarca fisierul executabil citind corect valoarea cluster-ului de start care este stocata in alta parte.


 Virus detasabil

Virus detasabil
Un virus care se dezlipeste el insusi de fisierul infectat exact inaintea deschiderii sau executiei acestuia si i se reataseaza atunci câand programul este inchis sau se termina. Aceasta tehnica este foarte eficienta impotriva multor programe de scanare si scheme de validare deoarece programul de scanare va vedea un fisier "curat" si va considera ca totul este in regula. Aceasta este o tehnica de ascundere (stealth).


 Virus invizibil

Virus invizibil
Un virus care isi ascunde prezenta sa atâat fata de utilizatori, caât si fata de programele antivirus, de obicei, prin interceptarea serviciilor de intreruperi.


 Virus multipartitie

Virus multipartitie
Un virus care infecteaza atat sectorul de boot, caât si fisierele executabile, avaând caracteristicile specifice ataât ale virusilor sectorului de incarcare, caât si ale celor paraziti. Acest tip de virus se ataseaza la fisierele executabile, dar isi va plasa codul si in sistemul de operare, de obicei in MBR si in sectoarele ascunse. Astfel, un virus cu infectie multipla devine activ daca un fisier infectat este executat sau daca PC-ul este incarcat de pe un disc infectat.


 Virus nerezident

Virus nerezident
Opusul virusului rezident. Asa cum arata si numele, virusii nerezidenti in memorie nu raman activi in memorie dupa ce programul infectat a fost executat. Virusul opereaza dupa un mecanism simplu si infecteaza doar executabilele atunci cand un program infectat se executa. Comportatea tipica a unui asftel de virus este de a cauta un fisier gazda potrivit atunci cand fisierul infectat se executa, sa-l infecteze si, apoi, sa redea controlul programului gazda.


 Virus insotitor

Virus insotitor
Un virus care infecteaza fisiere EXE prin crearea unui fisier COM avaând acelasi nume si continand codul viral. El speculeaza o anumita caracteristica a sistemului DOS prin care, daca doua programe (unul fiind de tip .EXE si celalalt de tip .COM) au acelasi nume, atunci se executa mai intai fisierul .COM.


 Virus parazit

Virus parazit
Un virus informatic care se ataseaza de alt program si se activeaza atunci caând programul este executat. El poate sa se ataseze fie la inceputul programului, fie la sfâarsitul sau, ori poate chiar sa suprascrie o parte din codul programului. Infectia se raspandeste, de obicei, atunci cand fisierul infectat este executat. Clasa virusilor parazitici poate fi separata in doua: virusii care devin rezidenti in memorie dupa executie si cei nerezidenti. Virusii rezidenti in memorie tind sa infecteze alte fisiere pe masura ce acestea sunt accesate, deschise sau executate. Virusii care nu devin rezidenti, in general, gasesc un fisier neinfectat si-l infecteaza inainte de a returna controlul programului gazda.


 Virus polimorf

Virus polimorf
Virus criptat automodificabil. Un virus polimorfic adauga aleator bytes de tip "garbage" (gunoi) la codul de decriptare si/sau foloseste metode de criptare/decriptare pentru a preveni existenta unor secvente constante de bytes. Rezultatul net este un virus care poate avea o infatisare diferita in fiecare fisier infectat, facaând astfel mult mai dificila detectarea lui cu un scanner.


 Virus rezident

Virus rezident
Spre deosebire de cei nerezidenti in memorie, se autoinstaleaza in memorie, astfel incat, chiar mult timp dupa ce un program infectat a fost executat, ei pot inca sa infecteze un fisier, sa invoce o rutina 'trigger' (de declansare a unui anumite actiuni) sau sa monitorizeze activitatea sistemului. Aproape toti virusii care infecteaza MBR-ul sunt virusi rezidenti. In general, virusii rezidenti 'agata' codul sistemului de operare.


 Alien.1356

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mini.132

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
132 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.247

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
237 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirea.1766

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1766 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mix.2280

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2280 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mnemonix.Dementia.609

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
609 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Monika.1314

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1314 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 3 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MPS.469

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
469 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MrTwister.12288

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
12288 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 MtE.CrackerBack

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2858 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 MtE.Spawn

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6574 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Murphy.1277

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1277 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.Delirium.1778

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1778 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.100.Agent

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1461 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mutator.307

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
307 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nanite.332

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
332 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Neko.2697

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2697 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 AMILIA

Virusul produce efecte vizuale.
Pe ecran va aparea o "fata" zimbitoare in diferite locuri intre orele 4 si 5 P.M.
Spatiul ocupat pe disc:
1614 o.
Pe ecran va aparea o "fata" zimbitoare in diferite locuri intre orele 4 si 5 P.M.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AX=4B00h
24
Efecte distructive:
Daca este Duminica va aparea mesajul :"Amilia I virii-[NUKE] 1991 By Rock Steady/NUKE", dupa cara sistemul se opreste.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "Nu" o va face interceptind INT 21h. Se executa apoi fisierul original. Astfel va infecta fiecare fisier EXE sau COM "curat" care se executa. Prin interceptarea INT 24h, virusul nu va fi divulgat cind infecteaza fisiere protejate la scriere.


 Nguyen.1740

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1740 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nines.776

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
776 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Noon.1163

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1161 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 NTU.T4.2138

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2138 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Nuke.Nuke5.478

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
478 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Number_of_the_Beast

Pseudonime:
666
V512
512
Virusul produce blocaje ale PC-ului.
Lungimea codului virusului este de 509 bytes, insa este rotunjit cu inca trei bytes "semnatura" 666, pentru a face ca lungimea sa fie excat 512 bytes (exact un sector).
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Lungimea codului virusului este de 509 bytes, insa este rotunjit cu inca trei bytes "semnatura" 666, pentru a face ca lungimea sa fie excat 512 bytes (exact un sector).
Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
Spatiul ocupat pe disc:
512 o.
Lungimea codului virusului este de 509 bytes, insa este rotunjit cu inca trei bytes "semnatura" 666, pentru a face ca lungimea sa fie excat 512 bytes (exact un sector).
Tehnici de ascundere:
Sunt folosite.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Lungimea codului virusului este de 509 bytes, insa este rotunjit cu inca trei bytes "semnatura" 666, pentru a face ca lungimea sa fie excat 512 bytes (exact un sector).
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
Bulgaria
Lungimea codului virusului este de 509 bytes, insa este rotunjit cu inca trei bytes "semnatura" 666, pentru a face ca lungimea sa fie excat 512 bytes (exact un sector).
Mesaje neafisate dar continute de corpul virusului:
666 ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Virusul infecteaza fisiere .COM, precum si orice alt fisier a carui extensie incepe cu .CO; acestea ar putea include fisiere COBOL, care de obicei au extensia .COB. In plus, fisierul trebuie sa aibe lungimea cuprinsa in intervalul inchis [512, 65023 ]. Virusul incearca sa infecteze COMMAND.COM, atunci cand este executat prima data. Cand un program infectat se executa prima data pe un sistem infectat (adica, un sistem pe care COMMAND.COM nu este infectat), programul gazda insusi nu va fi infectat, insa, la a doua executie, va fi infectat. Fisierele, care au atributul SYSTEM setat, nu vor fi infectate.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut
Raspandirea virusului:
Virus comun. Regiunea geografica: Argentina ; la data: 6/15/94
ntreruperi interceptate:
21 / 3E
21 / 4B
13
24
Comentarii:
Simptomele virusului: Unele programe vor refuza sa se execute sau sistemul se poate bloca. Unele masini, majoritatea software-ului de retea si unele limbaje de nivel de nivel inalt folosesc intreruperile gasite in IVT (Interrupt Vector Table), la offset-ul 7fh; acolo unde exista astfel de situatii, sistemul va esua deoarece virusul foloseste acea parte din IVT ca buffer, suprascriind toti ceilalti vectori de intrerupere. Daca orice alt program "reface" DOS INT 21h, virusul va reinfecta fisierul deja infectat. Daca un program infectat este copiat pe un sistem neinfectat, fisierul infectat va pierde continutul spatiului nefolosit original, aflat la sfarsitul fisierului si, in timp ce fisierul va continua sa contina virusul, el nu va mai realiza functia sa initiala. Pentru a infecta, virusul foloseste functia File CLOSE, ceea ce va provoaca o problema pentru programele de scanare simpla care examineaza un fisier prin deschiderea lui cu functii DOS I/O, deoarece odata scanarea realizata, fisierul este inchis si, daca un virus ca Number_of_the_Beast (666) este prezent atunci fisierul devine infectat.
De retinut: Daca virusul este in memorie, fisierele sunt citite ca neinfectate. Directorul nu arata niciodata cresterea in dimensiune, chiar daca virusul nu este in memorie. Sub DOS 3.3, virusul trece peste software-ul protejat la scriere.
Variante ale virusului sunt: a, f, g, h, x, a2, v.


 Nygus.397

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
397 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ooops.368

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
368 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Oulu.1008

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1008 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ParityError.686

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
686 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pcbb.J4j.1129

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1129 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 PeaceKeeper.a

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Phi

Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
1 sectoare.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13h

Modul de penetrare a virusului:
Virusul foloseste INT 13h pentru a accesa discul.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: Czech Republic ; la data: 7/8/93
ntreruperi interceptate:
13
Efecte nedistructive:
Face Scroll up window; Scrie caracterul '[
Conditii de declansare a infectarii:
Face boot de pe discul floppy infectat 13h/(CX=0001h, DX!=0080h)


 Picket.843

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
843 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Pixel.275

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
275 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Andrew.634

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
634 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.850

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
850 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Hydra.391

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
391 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Plovdiv.1000

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Poloneise.2502

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2502 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Prague.604

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
604 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Printerceptor

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
987 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 PS_MPC

Pseudonime:
Phalcon-Skism Mass Produced Code Generator
Virusul este scris intr-un limbaj de nivel inalt deci seamana cu programele scrise in acel limbaj.
Este rezident daca infecteaza fisierele COM, altfel (pentru EXE) nu este.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Este rezident daca infecteaza fisierele COM, altfel (pentru EXE) nu este.
Originea geografica:
U.S.A.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / All fcts.
Conditii de declansare a infectarii:
Toate apelurile de INT 21 din virusii rezidenti.
Comentarii:
Este un generator de virusi care creaza cod de asamblare pentru infectorii de fisiere nerezidenti; optional este auto-encriptat; numarul de bytes adaugati la fisiere depinde de optiunile de creeare si de rutina de infectare. Caracteristici principale: Detine peste 150 tehnici de criptare, generate aleator in timpul fiecarei rulari a lui PS_MPC; are suport pentru tratarea mesajelor de eroare critice Abort, Retry, Fail. Peste 20 de virusi au aparut ca fiind in mod cert produsi cu acest generator de virusi, ca de exemplu: Abraxas, ARCV, Joshua etc.


 Quandary

Pseudonime:
NewBoot_1
IHC
Parity-enc
Boot-c
Tehnici de ascundere:
Sunt folosite.
Capabilitati stealth limitate.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
Quandary infecteaza doar dischetele de 1.44MB.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/15 pe un hard disc.
- Pista/capul/sectorul 0/0/0 pe un floppy de 1.44 MO.
Raspandirea virusului:
In atentia cercetatorilor.
ntreruperi interceptate:
13
Modul de autodetectare a virusului pe disc:
Cuvantul aflat la offset-ul 1BBH este egal cu C928h.
Comentarii:
Quandary este un infector al sectorului de boot care circula prin natura. El infecteaza discurile hard si floppy. Foloseste o criptare modesta pentru a preveni detectia. In cazul unui acces reusit la disc, el verifica daca sectorul contine, in ultimii doi bytes ai sai, semnatura 55AAh: aceasta ar trebui sa apara in toate MBR-urile. Daca, pentru un motiv oarecare, MBS-ul duce lipsa de semnatura, hard discul PC-ului nu va fi infectat. Pe masura ce virusii evolueaza, Quandary nu se prea deosebeste de restul turmei. Programatorul care l-a creeat pare sa mai fi scris cel putin un virus, dar codul sau prezinta semnele lipsei de experienta, precum si lipsa intelegerii modului de lucru al unor instructiuni. Aceasta, insa, nu impiedica virusul sa circule si sa lucreze bine. Rutinele sale stealth nu-l protejeaza la suprascriere, virusul necontinand nici trigger, nici payload: probabil ca ar trebui sa fim recunoscatori pentru asta! Eliminare: pentru dischete, salvarea fisierelor dorite (care vor fi complet neinfectate) si, apoi, formatare. De folosit FDISK/MBR pentru a dezinfecta MBR-ul de pe drive-ul hard.


 Radyum.707

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
707 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rape.2887

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2887 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Rb91.899

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
899 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Reverse.948

Pseudonime:
Red_Spider
Reverse.A
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Micsoreaza MCB-ul curent si creeaza un nou MCB in spatiul eliberat, copiind marcajul MCB-ului original.
Dimensiunea memoriei ocupate:
61 paragrafe.
Spatiul ocupat pe disc:
948 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1 cu rotunjire la paragraf.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Var (doar campurile de date si mesaje)
Mesaje neafisate dar continute de corpul virusului:
"Red Spider Virus created by Garfied from Zielona Gora in Feb 1993",

"moc.dnammoc",

"exe.niamcn" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
- Suprascrie o zona de date de dimensiune constanta din cadrul fisierului
Data (COMMAND.COM)
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 12/14/93
ntreruperi interceptate:
21 / 4B00
21 / 43
21 / 56
21 / 3D
21 / DCBA
23
24
23h, 24h in timpul infectarii
Conditii de declansare a infectarii:
Load&Exec, FileOpen, GetSetAttrib, Rename. Criterii de infceatre: Infection criteria: Filelength >= 2000,
COMlength < 63500,
EXElength <= 512K,
EXEloadSize = EXEfileSize,
Filename <> "NCMAIN.EXE",
File[2Ch..2Fh] <> "Sell".
Modul de autodetectare a virusului in memorie:
INT 21h/DCBAh => AX=ABCDh
Modul de autodetectare a virusului pe disc:
File[12h..13h] {checksum in .EXE files} = ABCDh
Comentarii:
Este un infector rapid obisnuit avand un punct de interes: atunci cand infecteaza COMMAND.COM, virusul scrie corpul sau, incepand nu cu sfarsitul fisierului, ci inapoi ci 3C0h bytes fata de sfarsitul fisierului, acolo unde majoritatea versiunilor de COMMAND.COM au o zona de zero bytes. Sub DOD-uri precum DR-DOS 6.0, unde COMMAND.COM este "denumit" .EXE file, astfel de infectii sunt o idee proasta.


 Riot.723

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
723 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.Conjurer.TNG.277

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
277 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Eternity.584

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
584 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.Maria.1118

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1126 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Angelina

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Tehnici de ascundere:
Sunt folosite.
Mesaje neafisate dar continute de corpul virusului:
Greetings for ANGELINA!!!/ by Garfield/ Zielona Gora
In afara de caracteristica sa distinctiva de a circula prin natura, acest virus este o creatura complet neremarcabila continand un mesaj obisnuit, copilaresc, slab codificat si niciodata afisat. Ultima linie a mesajului apare si in virusul Reverse. 'Zielona Gora' este numele unui oras din Polonia, Polonezul pentru 'Green Hill'.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
ntreruperi interceptate:
13
Modul de autodetectare a virusului pe disc:
Daca sectorul de boot este infectat, atunci cuvantul de la offset-ul 00F0h este setat pe C680h .
Comentarii:
Atunci cand se boot-eaza de pe un floppy sau hard disc infectat, virusul reduce dimensiunea memorie disponibile cu 1KB, alterand valoarea de la locatia de memorie 0000:0413h din zona de date ROM BIOS. Apoi, se copiaza in aceasta zona rezervata.
In continuare, Angelina stocheaza adresa handler-ului original Int 13h in aceeasi zona unde este localizata si copia virusului. Apoi, este modificata intrarea din IVT (Interrupt Vector Table), facand ca handler-ul Int 13h sa pointeze un nou handler din zona rezervata. In final, virusul lanseaza un apel Int 19h (reboot-are soft), restartand procedura de boot, data aceasta insa cu noul handler Int 13h. De acum incolo, ori de cate ori se incearca citirea sectorului 1, pista 0, cilindrul 0 al discului (care este sectorul de boot pentru dischete si Master Boot Sector pentru hard disc), citirea este interceptata. Toate celelalte citiri si functii Int 13h sunt pasate direct handler-ului Int 13 h original.
Concluzii --> Angelina nu are caracteristici remarcabile. Acest virus exista doar pentru a se propaga si nu merita prea multa atentie.
Eliminare: In conditiile unui sistem curat, se foloseste comanda FDISK/MBR.


 Riot.RedMercury.825

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
825 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Ritzen.1098

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1098 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Rogue.1208

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1208 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
'DBF CHKLIST ??? Now you got a real virus ! I'm the ROGUE' ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Russian_Flag

Pseudonime:
Ekaterinburg
Virusul produce efecte vizuale.
Virusul produce blocaje ale PC-ului.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria LOW.
Dimensiunea memoriei ocupate:
328 o.
Tehnici de ascundere:
Sunt folosite.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/9 pe un hard disc.
- Pista/capul/sectorul 0/0/15 pe un floppy de 1.44 MO.
- Pista/capul/sectorul 0/0/5 pe un floppy de 720 KO.
ntreruperi interceptate:
13
Handler-ul intreruperilor de disc, al virusului, este invocat automat la fiecare acces la floppy sau la hard disc. Acesta permite virusului sa-si furnizeze propriile capabilitati stealth si sa se protejeze de a fi suprascris, ca si pentru a infecta alte discuri.

Atunci cand intervine mai multa activitate pe disc, Russian_Flag monitorizeaza cererile. Daca este vorba despre o cerere de citire, aceasta este realizata, dar, inainte ca rezultatul sa fie vazut pe ecran, Russian_Flag verifica pentru a vedea daca MBR a fost citit. Daca nu, controlul si informatiile cerute sunt returnate apelantului.

Daca s-a citit sectorul de boot, se verifica offset-ul 41h (valoarea 8ED2h), din datele returnate, pentru a vedea daca discul este infectat. În acest caz, Russian_Flag invoca o rutina de ascundere care regaseste sectorul de boot original, din locul unde a fost ascuns la momentul infectarii: acesta este transferat inapoi apelantului, facand ca PC-ul sa apara ca neinfectat.
Conditii de declansare a infectarii:
Daca data sistem este 19 August, din fiecare an, se declaseaza infectia.
Inainte ca Russian_Flag sa transfere controlul imaginii, virusul face un apel la procedura BIOS Get System Date Routine. Daca acest apel returneaza 19 August, din oricare an, virusul va actiona; altfel, controlul este transferat imaginii sectorului de boot legitim, aflat in asteptare, care a fost citit in prealabil, iar PC-ul va continua sa boot-eze ca normal. Rutina de 'payload', avand 33 bytes consta din trei mici bucle, care afiseaza trei benzi, colorate diferit, pe ecranul unui monitor color. Rezultatul este un afisat in trei culori (alb/albastru/rosu), reprezentand steagul rusesc, de unde si numele Russian_Flag. De indata ce acesta este afisat, virusul invoca functia BIOS getkey care va opri calculatorul pana cand este apasata o cheie. Atunci cand cheia este apasata, virusul continua iar controlul este transferat imaginii sectorului de boot legitim, ca in orice alta zi care nu are data de trigger.
Modul de autodetectare a virusului pe disc:
Se testeaza daca valarea cuvââantului aflat la offset-ul 41h, in sectorul de boot, este egal cu 8ED2h.
Comentarii:
Metoda standard pentru a localiza un virus al sectorului de boot este de a decrementa un cuvant, din memoria low, care controleaza volumul de memorie pe care PC-ul crede ca o are: virusul se localizeaza in spatiul 'lipsa'. Un PC la 640KB va crede ca are 639KB - codul folosit pentru a face asta fiind identificat de multe scanner-e. Pentru a preveni astfel de probleme, autorul virusul Russian_Flag este mai aventuros.
Primul segment al memoriei conventionale are 64KB. Virusul sta undeva pe la jumatate, offset-ul 7C00h, avand nevoie de 328 bytes in care sa rezide, cat timp PC-ul boot-eaza si in care sa stea cat timp PC-ul ruleaza. Autorul virusului Russian_Flag rezolva aceasta problema folosind spatiul ocupat de vectorii 'nefolositi' din tabelul de intreruperi.
Autorul virurului presupune ca vectorii 78h-CAh nu sunt folositi, ceea ce nu este adevarat intotdeauna. Acestia sunt proiectati ca disponibili pentru programatori - insa, nu credem ca asta s-a gandit si Microsoft. Russian_Flag se auto-copiaza in acesti vectori: din acest moment, daca o intrerupere, din intervalul respectiv, este generata sau inlantuita, PC-ul se va bloca.
De indata ce Russian_Flag si-a copiat imaginea, controlul trece copiei sale, la noua locatie. Apoi, este interceptat vectorul de intreruperi disc (13h), care va permite virusului sa monitorizeze toata activitatea discului.
Acum, Russian_Flag este instalat si trebuie sa permita PC-ul sa boot-eze normal. Face asta realizand un read al sectorului de boot de pe oricare floppy. Ratiunea este aceea ca virusul are nevoie sa simuleze (in ordine inversa) procesul de boot normal. Daca in drive se afla un floppy, sectorul de boot al acestuia va fi ultimul din memorie. Daca nu este prezent nici un floppy, citirea va esua, lasand imaginea sectorului de boot al hard discului in memorie.
In afara de tehnica folosita pentru tabelul vectorilor de intrerupere in care se ascunde, Russian_Flag are putine de spus fata de alti virusi care circula. Din fericire, cel care l-a scris s-a multumit doar cu un 'payload' vizual, mai degraba decat sa strice/rada discul. Data de declansare a infectiei pare corelata cu cea a unei lovituri de stat in Russia.
Eliminarea virusului: Se foloseste FDISK/MBR pentru a elimina virusul de pe hard disc. Fisierele necesare (cele neinfectate) sunt salvate de pe floppy; apoi se formateaza.


 Sarov.1000

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Scity.678

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
678 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.208

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
208 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.478

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
478 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Seneca.392

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
392 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Shanghai.848

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
848 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shirley.Vivaldi.4096

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4096 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Silly.2256

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2256 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.163

Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
163 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.290

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
290 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.626

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
626 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyOR.DOS5.69

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
69 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 AntiPascal.440

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
440 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyRC.178

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
178 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyRCE.307

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
307 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Singapore.521

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
521 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Annihilator.379

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
379 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sistor.3009

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3009 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Slayer.2638

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2638 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Slugger.288

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
288 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Small.130

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
130 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.59

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
59 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut
Comentarii:
Este un infector micut, care se pune in fata fisierului, se instaleaza in IVT si infecteaza fisierele printr-o instructiune de start 'jump near'.


 Smvb.1100

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Something.658

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
658 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Sphinx.2751

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2751 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 SSR

Pseudonime:
MME.Ssr
Virusul produce efecte sonore.
Acesta este apptern-ul hexa din memorie, insa pentru fisiere nu este posibil nici un pattern hexa.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Acesta este apptern-ul hexa din memorie, insa pentru fisiere nu este posibil nici un pattern hexa.
Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
Spatiul ocupat pe disc:
11 ko.
Acesta este apptern-ul hexa din memorie, insa pentru fisiere nu este posibil nici un pattern hexa.
Tehnici de ascundere:
Sunt folosite.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Virusul este encriptat cu trei motoare polimorfice, astfel ca, exista trei rutine de descriptare - fiecare bucla decriptand-o pe urmatoarea. In timpul decriptarii, decriptorii folosesc trucuri anti-debug si numeroase comenzi inutile, subrutine si salturi. Motoarele polimorfice folosite de virus contin urmatoarele texte:

RandomEncryptionSynthezator n S.S.R. 1996-97

THE STAINLESS STEEL RAT MUTATION ENGINE v 1.21 beta

ooo (c) S.S.R. 1996-97 oo

Metamorphic Mutation Engine v 2.00 (c)

Stainless Steel rat 1996-97

It's C00LEST Engine
Mesaje afisate de virus:
!!! ALARM WARNING DANGER APPROACHING !!!

Hacker-fucker TSR shit or Any Virus Detected !!!

!!! ALARM WARNING DANGER APPROACHING !!!

Hacker-fucker TSR shit or Any Virus Detected !!!

Anyone who wants to fuck Revenge is Naivnij Man

With best wishes & thanks to DialogScn

Emulation engine will have problems with this ZHOM

In future versions we will add :

1. Protected Mode Decryption [VME]

2. Adinf table Hacker-cracker

3. Destroy Files/Disks/CMOS/Printer/CDROM

4. Disk encryption and other BUGs, GLUKs & SHITs!

Dis is only BEGIN... Win95 & her lamers must die!

Searching... SEEK & DESTROY

There can be only one ... ; Mesajul continut de virus si afisat este criptat.
Mesaje neafisate dar continute de corpul virusului:
Give me your WEBs, let me squeeze them in my hands,

Your puny scanners,

Your so-called heuristics analysers,

I'll eat them whole before I'm done,

The battle's fought and the game is won,

I am the one the only one,

I am the god of kingdom come,

- THERE CAN BE ONLY ONE -

I'M GOING SLIGHTLY MAD

Just very slightly mad !

All dead...

THIS IS OF STAINLESS STEEL RAT

Revenge virus v 1.02 released at 22.04.96

Copyright (c) 1996-97 2 Rats Techno Soft

Written by Stainless Steel Rat

StealthedMetamorphicCrazyForcedSynthesatedRandom

MegaLayerEncryptionProgressionMutationEngineGenerator

S.S.R.

BUGS INSIDE ; Mesajul continut de virus si neafisat este criptat.
SSR contine cateva siruri text, care sunt continute in cateva rutine, din cadrul virusului, dupa cum urmeaza:

Locatie Sir-Text-

Inceputul virusului HiHacker!WelcometoHell

Rutina de instalare Move over, I said move over

Hey, hey hey, clear the way

There's no escape from my authority- I tell you

Infection routine Gimme the proze, just gimme the prize

Cod care scrie codul

encriptat ala virusului

in fisiere

Save me, save me

In header-ul EXE,

cod de procesare Don't lose your header

FindFirst/Next header I'm the invisible man

File deletion routine Now you DiE!

Rutina de procesare a

fisierelor PKLITEd Crazy Little Thing Called PkLite; SSR contine cateva siruri text, care sunt continute in cateva rutine, din cadrul virusului, dupa cum urmeaza:

Locatie Sir-Text-

Inceputul virusului HiHacker!WelcometoHell

Rutina de instalare Move over, I said move over

Hey, hey hey, clear the way

There's no escape from my authority- I tell you

Infection routine Gimme the proze, just gimme the prize

Cod care scrie codul

encriptat ala virusului

in fisiere

Save me, save me

In header-ul EXE,

cod de procesare Don't lose your header

FindFirst/Next header I'm the invisible man

File deletion routine Now you DiE!

Rutina de procesare a

fisierelor PKLITEd Crazy Little Thing Called PkLite
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
21
1C
Conditii de declansare a infectarii:
In codul virusului, exista cateva rutine de trigger. Handler-ul pentru Int 21h verifica urmatoarele functii DOS:
• FFh: FLU-SHOT monitor anti-virus ; verifica instalarea virusilor Jerusalem.Sunday, tumen si Hero
• ABCDh: verifica instalarea virusului PME.Burglar
• 4B53h: verifica instalarea virusilor Horse si One_Half
• CCCCh: 'no idea'
• DEADh: verifica instalarea catorva virusi diferiti.
Daca virusul detecteaza unul din apelurile la aceste functii, el apeleaza rutina d trigger : virusul difuzeaza un sunet (pe un 386 acesta este o sirena) si afiseaza o gramada de mesaje.
Modul de autodetectare a virusului in memorie:
Cuvââantul de la adresa 0000:0198h este setat la valoarea DEADh.
Modul de autodetectare a virusului pe disc:
Valoarea din campul secundelor, din marca de timp, este egal cu cea a lunii inmultita cu 2.
Comentarii:
Cand rutina de infectare inchide fisierul, SSR isi verifica contorul intern, care este incrementat la fiecare apel Int 1Ch. In functie de contor, virusul poate apela o a doua rutina de trigger (el avand mai multe astfel de rutine de actionare) care va afisa un mesaj ('This is the Revenge of Stainless Steel Rat') si asteapta apasarea tastei Esc. Apoi, el sterge ecranul, suprascrie aleator un sector de pe drive-ul C si opreste PC-ul. De asemenea, s-ar putea ca afisajul sa tremure. Totodata, virusul incearca sa traseze codul handler-ului Int 21h, caz in care afiseaza un mesaj in limba Rusa, corupe CMOS-ul (campul checksum) si opreste PC-ul. In timp ce infecteaza un fisier, virusul verifica numele fisierului - el nu infecteaza fisierele care se potrivesc cu urmatoarele pattern-uri: DR*.* (RDWEB), AI*.* (AIDSTEST), AD*.* (ADINF), HI*.* (HIEW), CO*.* (COOMAND.COM), AV*.* (AVP), WI*.* (WIN), KE*.* (?), US*.* (?), GD*.* (?). Atunci cand este executat un fisier, continand in numele sau sirul ?ID*.* (AIDSTEST), SSR afiseaza un mesaj in limba Rusa si opreste PC-ul. De asemenea, virusul verifica extensia fisierului cautat prin functiile DOS FindFirst/Next si sterge fisierele avand extensiile: PAR, PIF, ICO, WEB, PAS, BAS, AVB si FRQ. Apoi, forteaza functia Find sa returneze sirul 'shit!' in codificare Chirilica, in loc de numele fisierului.


 Stink.1251

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1251 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Stoned.No_INT.Vincent

Pseudonime:
Vincent
Virusul modifica data si ora fisierelor infectate.
Reduce 0000:0413 cu 2
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Reduce 0000:0413 cu 2
Dimensiunea memoriei ocupate:
2 ko.
Reduce 0000:0413 cu 2
Spatiul ocupat pe disc:
1 sectoare.
Reduce 0000:0413 cu 2
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: INT13 / 02
Stealth se aplica doar pentru hard disc, nu si floppy.; Stealth se aplica doar pentru hard disc, nu si floppy.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Reduce 0000:0413 cu 2
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Malta ; la data: 3/1/93
ntreruperi interceptate:
13 / 02
13 / 03
Efecte colaterale:
Intrari invalide pe floppy acolo unde sectorul de boot original este plasat de catre virus (Ca si Stoned)
Conditii de declansare a infectarii:
(Boot) & (MBR[0xD6]!=0x00 | MBR[0xD7]!=0x7C)
FBR: (INT13) & (AX==02) &
(FBR[0xD6]!=0x00 | FBR[0xD7]!=0x7C)
Modul de autodetectare a virusului pe disc:
(MBR [0xD6]==0x00) & (MBR [0xD7]==0x7C),
(FBR [0xD6]==0x00) & (MBR [0xD7]==0x7C)
Comentarii:
Identificat gresit de majoritatea scanner-elor ca fiind virusul Stoned.No_INT


 Su

Pseudonime:
Susan
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
864 o.
Spatiul ocupat pe disc:
571 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca orice virus care suprascrie.
Cum sunt infectate obiectele neconectate:
Infecteaza ca orice virus care suprascrie.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Bad command or file name"
Mesaje neafisate dar continute de corpul virusului:
"Susan", "*.*", "*.EXE", "DIR" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: United States ; la data: 4/28/93
ntreruperi interceptate:
2F / 10F
2F / AE00
2F / AE01
Efecte distructive:
Fisierele infectate sunt suprascrise si distruse. Stergerea tuturor fisierelor din directorul curent.
Conditii de declansare a efectelor distructive:
16 infectii incepand de la activare
Conditii de declansare a infectarii:
"(A single "DIR" issued) and (FindFirst -> DTA= uninfected .EXE file)"
Modul de autodetectare a virusului in memorie:
INT 2Fh;AX=010Fh -> AX=CS:[0103h]="Su"
Modul de autodetectare a virusului pe disc:
FileTime.Seconds=1Fh
Constrangeri necesare virusului pentru a functiona:
DOS>=3.30 (Bug: Verificare la DOS 3.03)
Comentarii:
Acest virus nu tine sub control programul infectat; in schimb, el termina cu mesajul care este mentionat. El foloseste INT21;AX05D00h pentru a sterge fisierele. Intreruperile interceptate (AH=0AEh) sunt apelate de COMMAND.COM, chiar inainte de executia comenzilor de la tastatura.


 April1st.COM

Pseudonime:
Suriv 1.01
April 1st
Israeli
Suriv1
April 1st COM
Suriv101
Jerusalem.Suriv.1_01
Vien6
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
897 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Originea geografica:
Israel
Mesaje afisate de virus:
APRIL 1ST HA HA HA YOU HAVE A VIRUS ; Mesajul continut de virus si afisat este criptat.
YOU HAVE A VIRUS!!! ; Mesajul continut de virus si afisat este criptat.
Primul mesaj este afisat pe data de 1 Aprilie, din fiecare an de dupa 1988. De 1 Aprilie, masina se blockeaza dupa afisarea primului mesaj. Pe orice alta data de dupa 1 Aprilie, 1988, virusul afiseaza al doilea mesaj inainte de terminarea normala.; Primul mesaj este afisat pe data de 1 Aprilie, din fiecare an de dupa 1988. De 1 Aprilie, masina se blockeaza dupa afisarea primului mesaj. Pe orice alta data de dupa 1 Aprilie, 1988, virusul afiseaza al doilea mesaj inainte de terminarea normala.
Mesaje neafisate dar continute de corpul virusului:
sURIV 1.01 ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Nu infecteaza COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut
Raspandirea virusului:
Foarte raspandit.
Efecte nedistructive:
Incetineste sistemul. Programele COM mai mari de 64382 bytes, anterior infectarii, nu se vor mai incarca.
Modul de autodetectare a virusului pe disc:
La offset-ul 3 se afla caracterele sU.


 SVC.3112

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3112 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sylvia.1321

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1321 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tadihno.971

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
971 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tashkent.490

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
490 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tetris.552

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
552 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Timid.288

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
288 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Timid.382

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
382 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.158

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
158 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiso.1279

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1279 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Torm.360

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
360 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 TPE.Lamer

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3340 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Traveller.1220

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1220 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Trivial.194

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
194 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.33.b

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
33 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.53

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
53 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.Little.155

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
155 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ava.550

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
550 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Baba.353

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
353 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'=>COMMAND.COM<='
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Este denumit dupa apelul: 'Are you there?', Int 21h returneaza AX=FACCh.


 Bad.389

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
389 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Barrotos.1310

Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.


 Budo.1000

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1000 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Burger.536

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
536 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Byway

Pseudonime:
DirII.TheHnd
DIR2.BYWAY
DIR.TheHnd
Virusul produce efecte sonore.
Acesta este pattern-ul hexa din memorie; pentru fisiere este urmatorul: 8BF0 * 8BFE * FD * 4974 * AD * 35 * AB + EB (printre cei 28h bytes de la inceputul fisierului).
Virusul produce efecte vizuale.
Tehnici de ascundere:
Sunt folosite.
Pentru a proteja lantul de clustere acolo unde este tinut corpul virusului, Byway creaza, in directorul root al discului infectat, un fisier lung de 2048 bytes, numit CHKLISTx.MSx. Caracterul 'x' din numele fisierului este un caracter neprintabil, al carui cod ASCII este '255' (0FFh), care este afisat pe ecran ca un spatiu. Fisierul are setul de atribute System, Hidden si ReadOnly, deci nu poate fi vazut prin comanda DIR. Totusi, folosind comanda DIR cu flag-urile '/ASH', fisierul poate fi vazut. Switch-ul '/A' forteaza DIR sa arate fisierele avand un set de atributele particulare; switch-ul '/SH' specifica respectiv System si Hidden. Deci, daca vedeti un fisier numit 'CHKLISTx.MSx' avand aceste atribute, calculatorul este infectat cu Byway!
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Acesta este pattern-ul hexa din memorie; pentru fisiere este urmatorul: 8BF0 * 8BFE * FD * 4974 * AD * 35 * AB + EB (printre cei 28h bytes de la inceputul fisierului).
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Acesta este pattern-ul hexa din memorie; pentru fisiere este urmatorul: 8BF0 * 8BFE * FD * 4974 * AD * 35 * AB + EB (printre cei 28h bytes de la inceputul fisierului).
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Mesaje afisate de virus:
'TRABAJEMOS TODOS POR VENEZUELA!!!' ; Mesajul continut de virus si afisat este criptat.
Atunci cand este actionat, Byway afiseaza o fraza scroll-abila, acompaniata de o melodie care ar putea foarte bine sa fie imnul national al Venezuelei. Fraza spune in Spaniola, 'Sa muncim toti pentru Venezuela!!!' sau ceva de genul acesta.; Atunci cand este actionat, Byway afiseaza o fraza scroll-abila, acompaniata de o melodie care ar putea foarte bine sa fie imnul national al Venezuelei. Fraza spune in Spaniola, 'Sa muncim toti pentru Venezuela!!!' sau ceva de genul acesta.
Mesaje neafisate dar continute de corpul virusului:
'' ; Mesajul continut de virus si neafisat este criptat.
'The-HndV' ; Mesajul continut de virus si neafisat este criptat.
Primul mesaj, usor alterat, da numele virusului Byway, desi sunt folosite si unle vatiatii (TheHnd).; Primul mesaj, usor alterat, da numele virusului Byway, desi sunt folosite si unle vatiatii (TheHnd).
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.
Raspandirea virusului:
In atentia cercetatorilor.
Cercetatorii de la S&S International privesc un numar tot mai mare de rapoarte tehnice privind Byway. Din nefericire, acestea confirma predictia cum ca virusul va deveni repede foarte raspandit - exact ca si "stramosul" (predecesorul) sau Dir_II.
Conditii de declansare a infectarii:
Incepand din 1996, daca ziua din luna este egala cu dublul numarului lunii plus doi (i.e. 4 Ianuarie, 6 Februarie, ..., 26 Decembrie), virusul declanseaza infectarea.
Modul de autodetectare a virusului pe disc:
Compara numarul clusterului de start cu cel al virusului.


 Cartier.1056

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1056 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Catholic.1129

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1129 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Chad.751

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Dimensiunea memoriei ocupate:
751 o.
Spatiul ocupat pe disc:
751 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"

______

/ \

| O O |

WW | | WW

( )

WOT!! No Anti - Virus

Software .....

"
Mesaje neafisate dar continute de corpul virusului:
"CHAD Against Damaging Viruses ... Save Our Software. 1992" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Raspandirea virusului:
Eradicat.
Efecte nedistructive:
Scrie pe ecran mesajul indicat mai sus si intra intr-o bucla.
Conditii de declansare a efectelor nedistructive:
Sa apartina celei dea zecea generatie a virusului.
Conditii de declansare a infectarii:
Atributul "normal" in directorul curent
Comentarii:
A zecea generatie este ultima produsa, deoarece scrie mesajul in loc sa infecteze. Schimba data si ora sistemului in "00-00-80 00:00".


 Csl.517

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
517 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 CyberTech.1076

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1076 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Daemaen.1894

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1894 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza drivere de dispozitive (.SYS).


 Darkend.1188

Virusul produce efecte vizuale.
Virusul produce blocaje ale PC-ului.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
1188 o.
Spatiul ocupat pe disc:
1188 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"(c) Dark End." ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Raspandirea virusului:
Eradicat.
ntreruperi interceptate:
21 / 4B
21 / E900
24
8
22
In timpul instalarii
Efecte nedistructive:
Virusul provoaca blocajul calculatorului.
Efecte distructive:
[1] Sterge unele fisiere dupa incarcarea lor; [2] Sterge fisierele dupa incarcare si infectare, [3] Scrie 30 de sectoare din memoria ecran pe drive-ul C: (int26h)
Efecte colaterale:
Virusul corupe fisiere de date.
Comentarii:
Cand este activ in date de15 octombrie, ecranul se sterge daca nu este in mod grafic, iar datele din unitatea C:\ sunt corupte. Contine textul "(C) Dark End". Nu se fac nici un fel de verificari privind excesul in dimensiune a fisierelor.


 Dead.1374

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1374 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 EAF0.655

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
655 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Eddie.1687

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1687 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Jerico.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Einvolk.521

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
521 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Empire.A

Pseudonime:
Evil Empire
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2 ko.
Tehnici de ascundere:
Sunt folosite.
Mecanismul stealth este urmatorul: atunci cand virusul este activ in memorie, orice cerere pentru MBR va fi interceptata de virus, iar MBR-ul real va fi cel returnat. Similar, orice incercare de a scrie in MBR va fi modificata intr-un reset de catre virus.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
Alberta, Canada
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"I'm becoming a little confused as to where the "evil empire" is these days. If we paid attention, if we cared, we would realize just how unethical this impending war with Iraq is, and how impure the American motives are for wanting to force it.

It is ironic that when Iran held American hostages, for a few lives the Americans were willing to drag negotiation on for months; yet when oil is held hostage, they are willing to sacrifice hundreds of thousands of lives, and refuse to negotiate ..." ; Mesajul continut de virus si afisat este criptat.
Mesajul nu va fi afisat la boot-are, ci mai de graba va fi actionat (trigger) de ceasul sistem.; Mesajul nu va fi afisat la boot-are, ci mai de graba va fi actionat (trigger) de ceasul sistem.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Efecte nedistructive:
Pagubele sunt minore. Floppy-urile HD pot experimenta "caderi" rezultate din stocarea a doua sectoare originale pe pista 0, cap1 sectoarele 2-3. Floppy-urile DD, avand peste 80 intrari de director, pot avea si ele probleme; care ar putea interveni chiar si dupa dezinfectarea lor daca directorul nu a fost restaurat. Hard discurile fara spatiu liber (pista 0, cilindrul 0) vor avea un sector din primul FAT suprascris.
Conditii de declansare a efectelor nedistructive:
Mesajul nu va fi afisat la boot-are, ci mai de graba va fi actionat (trigger) de ceasul sistem.
Comentarii:
Virus este encriptat in intregime. Se detecteaza cu CHKDSK (memoria totala este redusa cu 2K). Propagare: Virusul devine rezident dupa boot-area de pe un F.Boot sau MBR infectat. Ocupa topul memoriei. Virusul consta din doua sectoare, primul continand codul sau executabil si inlocuind MBR-ul sau F.Boot-ul. Pe floppy, inregistrarea de boot originala este stocata pe pista 0, cap 1 sector 2, iar mesajul este stocat in sectorul urmator, intr-o forma simpla encriptata. MBR-ul original este stocat pe cilindrul 0, cap 0, sector 6, avand mesajul in urmatorul sector. Virusul este un derivat din Stoned.Standard. Se elimina prin boot-area de pe o discheta sistem neinfectata si prin inlocuirea MBR-ului sau F.Boot-ului. Variante ale acestui virus sunt: 1, 2, Botany, A, B, C, D, #2, Canadian, Non-Canadian, U of A, UA, B.4, B1, Evil, D1, D2, Empire.B.


 ErrorInc.260

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
260 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Freddy.2271

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2271 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 FrodoSoft.633

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
633 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Game.1053

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1053 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Gergana.450

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
450 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Gippo.1030

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1030 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Gnat.753

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
753 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- La infectie, cand determina tipul fisierului, verifica si ZM.


 HLLC.9261

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
9261 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Happy.PK

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5882 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.187Killa

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
-17419 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Aids.13952

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
13952 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.15392

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
15392 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.5938

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5938 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.1808.GreenCaterpillar

Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1808 o.
Tehnici de ascundere:
Sunt folosite.
Indexul de ascundere: 7 (aproape de medie, reseteaza atributele, seteaza data fisierului, se ascunde in memorie, este encriptat, dezactiveaza handler-ul de erori).
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Raspandirea virusului:
In circulatie.
ntreruperi interceptate:
21
08
24
1C
Comentarii:
Identificatori asignati de diverse scanner-e: Cheyenne: Jerusalem
ESaSS: Jerusalem related
Frisk: Jerusalem.1808 -unknown?
H+BEDV: Jerusalem-USA
McAfee: 1575 [15xx]
NORMAN: Green Caterpillar
Norton: 1591
S&S: Green Caterpillar.a Eicar ID: ba729ac
Virusi corelati: Jerusalem-USA, Czech, Jerusalem #1, Jerusalem-Family #1, Jerusalem-Puerto #2, Jerusalem #10, Jerusalem #8, Frere Jacqu, Jerusalem #9, Friday-13th (B), Jerusalem #7, Caterpillar-1575, 1575 (B), 1575 (A), 1591 (A), 1591 (A). Replicare: infecteaza doar fisiere COM; are actiune directa, gaseste primul fisier neinfectat din director; deschide fisierele, muta pointerul de fisiere, citeste fisierele, scrie in fisiere, inchide fisierele; obtine si seteaza atributele; obtine si seteaza data fisierului.


 Jerusalem.d

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta. - Reinfecteaza fisierele de tip .EXE.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1715 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.MBR

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Jerusalem.Scott.2126

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2126 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Jerusalem.Tobacco.2900

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jos.1000

Pseudonime:
Jabber
Jabberwocky
Twilight
Jos_Iliescu
Virusul infecteaza interceptand apelurile DOS la fisiere.
Virusul se localizeaza in MCB-ul creat pentru executia fisierului gazda. Apoi, copiaza in memorie fisierul virusat, la adrese mai mari cu 500h inclusiv MCB-ul creat de DOS. In continuare, modifica MCB-urile, in conformitate cu noua lor functie (primul va trebui sa defineasca un bloc de 4F0h cu virusul si al doilea va fi al programului). In final, reface integritatea fisierului in memorie si ii da controlul pentru executia normala.
Loc de rezidenta:
Virusul este rezident in MCB.
Virusul se localizeaza in MCB-ul creat pentru executia fisierului gazda. Apoi, copiaza in memorie fisierul virusat, la adrese mai mari cu 500h inclusiv MCB-ul creat de DOS. In continuare, modifica MCB-urile, in conformitate cu noua lor functie (primul va trebui sa defineasca un bloc de 4F0h cu virusul si al doilea va fi al programului). In final, reface integritatea fisierului in memorie si ii da controlul pentru executia normala.
Dimensiunea memoriei ocupate:
1280 o.
Virusul se localizeaza in MCB-ul creat pentru executia fisierului gazda. Apoi, copiaza in memorie fisierul virusat, la adrese mai mari cu 500h inclusiv MCB-ul creat de DOS. In continuare, modifica MCB-urile, in conformitate cu noua lor functie (primul va trebui sa defineasca un bloc de 4F0h cu virusul si al doilea va fi al programului). In final, reface integritatea fisierului in memorie si ii da controlul pentru executia normala.
Spatiul ocupat pe disc:
1000 o.
Virusul se localizeaza in MCB-ul creat pentru executia fisierului gazda. Apoi, copiaza in memorie fisierul virusat, la adrese mai mari cu 500h inclusiv MCB-ul creat de DOS. In continuare, modifica MCB-urile, in conformitate cu noua lor functie (primul va trebui sa defineasca un bloc de 4F0h cu virusul si al doilea va fi al programului). In final, reface integritatea fisierului in memorie si ii da controlul pentru executia normala.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Virusul se localizeaza in MCB-ul creat pentru executia fisierului gazda. Apoi, copiaza in memorie fisierul virusat, la adrese mai mari cu 500h inclusiv MCB-ul creat de DOS. In continuare, modifica MCB-urile, in conformitate cu noua lor functie (primul va trebui sa defineasca un bloc de 4F0h cu virusul si al doilea va fi al programului). In final, reface integritatea fisierului in memorie si ii da controlul pentru executia normala.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
In Romania: EXTREMELY (Cuvantul "JOS" este frecvent). In strainatate: SLIGHTLY
Originea geografica:
Romania
Mesaje afisate de virus:
"Beware the Jabberwock, my son!

The jaws that bite, the claws that catch!

And hast thou slain the Jabberwock?

Come to my arms, my beamish boy!" ; Mesajul continut de virus si afisat este criptat.
" ILIESCU " ; Mesajul continut de virus si afisat este criptat.
1. La executia pas cu pas, urmat de blocarea sistemului, apare primul mesaj, care este criptat (xor 65h).

2. In conditii normale, v. Efecte nedistructive, apare mesajul " JOS ILIESCU ", criptat si el (xor A5).; 1. La executia pas cu pas, urmat de blocarea sistemului, apare primul mesaj, care este criptat (xor 65h).

2. In conditii normale, v. Efecte nedistructive, apare mesajul " JOS ILIESCU ", criptat si el (xor A5).
Mesaje neafisate dar continute de corpul virusului:
"JABBERWOCKY (^B), the first Romanian Political Virussian"

"Release date 12-22-1990"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut
Virusul se afla la inceputul fisierului. Inceputul original al acestuia se afla salvat la coada fisierului.
ntreruperi interceptate:
9
21 / 4B
21 / 4BFE
21 / 4BFF
Virusul intercepteaza Int 9 (pentru "Jos ILIESCU"), 21/4B00 (pentru virusare si impiedicarea executiei "dusmanilor"), 21/4BFE (pentru uz intern virus: devirusarea in memorie a fisierului incarcat, in vederea executiei, daca virusul este deja activ), 21/4BFF (tot pentru uz intern virus: auto-recunoastere).; Virusul intercepteaza Int 9 (pentru "Jos ILIESCU"), 21/4B00 (pentru virusare si impiedicarea executiei "dusmanilor"), 21/4BFE (pentru uz intern virus: devirusarea in memorie a fisierului incarcat, in vederea executiei, daca virusul este deja activ), 21/4BFF (tot pentru uz intern virus: auto-recunoastere).
Efecte nedistructive:
Dupa ce se apasa tastele 'J', 'O', 'S' si inca o a patra, nu conteaza cre, a patra tasta este inlocuita de sirul " ILIESCU ". Rezulta un binecunoscut slogan (anti)electoral.
Efecte distructive:
Depinde de opinia politica a operatorului.
Conditii de declansare a infectarii:
Exec and (LengthCOM > 3000 ) and (LengthCOM < 63000)
Modul de autodetectare a virusului in memorie:
INT_21; AX=4BFF -> AX=55AA
Modul de autodetectare a virusului pe disc:
File[0]=BB and File[1]=1E


 Lame.98

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
98 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leathal.722

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
722 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Leprosy.600

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
600 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Beavis.201

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
201 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Leprosy.Sandra.551

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
551 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Marzia.DV.2048

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 MD.354

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
354 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MemLapse.605

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
605 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Metallica.1129

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1129 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mich_II.924

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
924 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ming.1017

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1017 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.814

Virusul modifica data si ora fisierelor infectate.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
814 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Fisierele infectate au numarul minutelor, din marca de timp, setat pe 13. In loc sa foloseasca apelul 'Are you there?', virusul verifica valoarea 02CCh, la locatia 0000:02CCh.


 Valentine.600

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VCS.Paranoimia

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1077 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Verwolf.3308

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3308 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Vienna .535

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
535 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.367

Pseudonime:
VPH 367
367
Vienna
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
367 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Bulgaria
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Virusul a derivat din Vienna.648. Diferentele tin de optimizarea codului, virusul este mai mic, cei cinci bytes stricati, din fisierele infectate, sunt modificati. Virusul trece peste atributele read-only si hidden ale fisierelor. Cautarea path-ului functioneaza corect.


 VLAD.Sister.792

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VP.909

Pseudonime:
VP
Virusul produce efecte vizuale.
Virusul insereaza, in fiecare fisier infectat, 0 pana la 15 bytes de instructiuni NOP la inceputul virusului, pentru a se feri de scanner-e, si 909 bytes reprezentâand codul virusului.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
909 o.
Virusul insereaza, in fiecare fisier infectat, 0 pana la 15 bytes de instructiuni NOP la inceputul virusului, pentru a se feri de scanner-e, si 909 bytes reprezentâand codul virusului.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 15 cu rotunjire la paragraf.
Originea geografica:
England
Virusul insereaza, in fiecare fisier infectat, 0 pana la 15 bytes de instructiuni NOP la inceputul virusului, pentru a se feri de scanner-e, si 909 bytes reprezentâand codul virusului.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l


 W97M.Opim.A

Pseudonime:
MW97:Opim family
Word97Macro/Opim.A
W97M/Opim
Comentarii:
Este un virus de Word care are 6 macro-uri: AutoOpen, AutoClose, ToolsMacro, Toolscustomize, ViewVBcode, OPIM. Virusul dezactiveaza functia VirusProtection. Virusul se inmulteste cind documentele sint inchise sau de schise (AutoOpen sau AutoClose). Cind se intra in meniul Tools/Macro, seteaza pentru documentul curent parola "OPIM". In zilele de Luni , inlocuie cuvintul"the" cu "thee". Este un virus care se ascunde.


 Whale.9216

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
9216 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 16 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Wintiny

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
741 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.


 WM.Archer.a

Pseudonime:
MW:Archer-A
Winword.KillBMPs
WM/Archer
Mesaje afisate de virus:
Afiseaza o fereastra de dialog cu mesajul: "ArchFiend".
Efecte distructive:
Seteaza diferite parole pentru documente. Deschide fisierul C:\WINDOWS\FIEND.TXT dupa care distruge continutul acestuia. Modifica setarile pentru salvarea documentelor.
Comentarii:
Este un virus de Word care are 6 macro-uri: AutoExec, AutoOpen, FileOpen, ArchFiend, FileSaveAs, ToolsMacro . Sistemul este infectat cind un fisier care contine virusul este deschis cu AutoOpen sau FileOpen iar documentele sint infectate cind sint salvate cu FileSave As. A aparut in Iulie 1997.


 Yankee.2A

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2993 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 YB.2277

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2277 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Youth.640

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ziuck.1279

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1279 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 4res

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1049 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Abbas.1320

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1320 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Accept.3773

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3773 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Agena.723

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
723 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Albania.429

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
429 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.541

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
541 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.827

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
827 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Arcv.Ice.330

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
330 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arianna.3426

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3426 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Ash.Riot.441

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Astra_II.1556

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1556 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 Atomic.232

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
232 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.1179

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1179 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.231

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
231 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.714

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
714 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beaches.1091

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1091 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Beer.2984

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2984 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Bert

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
2294 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AH=4Bh
Efecte distructive:
Nu are efecte distructive.
Comentarii:
Interceptind intreruperea INT 21h virusul infecteaza fisierele EXE si COM care sint curate.


 BigMouse.998

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
998 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 BitAddict.979

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
979 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Blackjec.284

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
284 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blah.3379

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3379 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.
- Infecteaza MBR-ul de pe hard disc.


 Bobas.754

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
754 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 BootCOM.357

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
357 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 BOYS

Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Nu are efecte distructive.
Comentarii:
Virusul cauta fisiere EXE carora le schimba atributul in "SYSTEM"; cauta fisiere COM din directorul curent, apoi verifica daca au fost infectate. Fisierele vor fi infectate numai o singura data si vor fi schimbate atributele lor in "READ-ONLY". In final se executa fisierul original. Virusul nu intercepteaza INT24h in timpul infectiei fisierelor si astfel se va semnala eroare cind se incearca infectarea unui fisier protejat la scriere.


 ChaosYears.2005

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2005 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Chips.877

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
877 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civil.6672

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
6672 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 Civilwar.611

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
611 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Cj.304

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
304 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Codezero.576

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
576 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Companion.261

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
261 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Comsysexe.2711

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2711 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza drivere de dispozitive (.SYS).


 CPSU.2535

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2535 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Crepate.2910

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2910 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 Dei.1948

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1948 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DELWIN.1759

Pseudonime:
DelWin
Search
Venezuelan
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
6 sectoare.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii:
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Indonesia
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
DELWIN ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/1 TO 0/0/6 pe un hard disc.
Tehnici de protejare:
- Dezactiveaza INT1 si INT 3.
Raspandirea virusului:
Rapoarte nesemnificative. ; la data: 8/10/94
ntreruperi interceptate:
01
13
1C
21
24
Conditii de declansare a efectelor nedistructive:
((MBR-data-de infectare) AND 0723h) + (a 5-a zi, a 5-a luna)
Efecte distructive:
NU
Conditii de declansare a efectelor distructive:
NU
Efecte colaterale:
NU
Conditii de declansare a infectarii:
(Fisiere deschise sau executabile) si (Lungimea EXE > 3072)
Modul de autodetectare a virusului in memorie:
INT21h, AX=FD1Ch --> AX=02E3h
Modul de autodetectare a virusului pe disc:
MBR(1Eh, 1Fh) = 04h 02h
Constrangeri necesare virusului pentru a functiona:
NU


 Devil's_Dance

Pseudonime:
941
Alan Solomon
Devil
Devils Dance
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
941 o.
Originea geografica:
Mexico City, Mexico
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
DID YOU EVER DANCE WITH THE DEVIL IN THE

WEAK MOONLIGHT? PRAY FOR YOUR DISKS!! The Joker..Ha Ha

Ha Ha Ha Ha Ha Ha Ha Ha
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM.
Re-infecteaza pana cand ajunge atat de mare astfel incat sa nu mai incapa in memorie.
ntreruperi interceptate:
09
21
Intreruperi folosite: 11, 13/00, 13/03, 21/1A, 21/25, 21/2F, 21/35, 21/3D, 21/3E, 21/3F, 21/40, 21/4200, 21/4202, 21/4301, 21/48, 21/4A, 21/4E, 21/4F.
Efecte distructive:
Fisierele COM cresc. Data fiind modalitatea in care virusul Devil's Dance reinfecteaza, atunci cand un fisier COM care a fost reinfectat de mai multe ori la executie, fiecare copie de Devil's Dance va incerca sa infecteze toate fisierele COM din director, provocand incarcarea tot mai inceata a programului. Virusul rezident contorizeaza numarul de tastari. Astfel, dupa 5000 de tastari, el suprascrie MBR-ul (pista 0, cilinrul 0, sector 1) de pe primul hard disc. Intr-o alta varianta, virusul reactioneaza dupa 2500 de tastari, executand un reboot la cald, care va face ca Devil's Dance sa suprascrie primul sector de pe C: de dupa sectorul de boot, distrungand astfel o portiune din FAT.
Comentarii:
Odata ajuns rezident, daca se apasa Ctrl-Alt-Del, se va obtine mesajul "DID YOU EVER DANCE WITH THE DEVIL IN THE WEAK MOONLIGHT? PRAY FOR YOUR DISKS!! The Joker..Ha Ha Ha Ha Ha Ha Ha Ha Ha Ha". O alta varianta a acestui virus afiseaza mesajul: "Have you ever danced with the devil under the weak light of the moon? Pray for your disk!. The Joker....". Textul este afisat pe un background realizat cu caracterele "+-". Schimba atributele pozitiei cursorului atunci cand au fost apasate deja 10 chei. Culoarea textului va incepe sa se schimbe, alternand intre rosu, albastru, verde, galben etc. Culorile pot incepe sa se modifice imediat, dar textul va deveni tot mai colorat pe masura ce sunt introduse tot mai multe taste. Data/ora fisierului este resetata la momentul infectarii, iar alte atribute ale fisierului sunt resetate la valorile implicite. Pe scurt, nu va puteti lipsi de acesta! Devil's dance nu face prea multe pentru a se ascunde. El modifica marca data/ora al fiecarui fisier infectat cu data si ora momentului infectiei; el modifica culorile textului de pe ecran; reinfecteaza fisierele pana cand ajung prea mari pentru a mai fi executate; afiseaza un mesaj ciudat daca se apasa Ctrl-Alt-Del si sterge atributele fisier (precum read-only) in timpul infectiei restaurandu-le dupa. Cand Devil's Dance se incarca pentru prima data in memorie, el infecteaza fiecare fisier din directorul curent. Imediat ce acest virus este executat, el devine rezident in memorie. De fiecare data cand un COM este executat dupa ce a devenit rezident, acel fisier COM va creste in dimesiune cu 941 bytes. Acest virus va infecta in mod repetat fisierul pana cand acesta va deveni prea mare pentru a mai incapea in memorie.


 Diamond.602

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
602 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dicker.400

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 DirDropper.1577

Virusul este de fapt un "dropper"'.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1577 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DKiller.Clouds.657

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
657 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dos7.342

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
342 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DSCE.Demo.2957

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2957 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dutch_Tiny.263

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
263 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Evilgen

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
955 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21
09
Efecte distructive:
Uneori virusul distruge discul C. Formateaza dicul C de la cap 0, pista 0 la cap 0 pista 20h.
Conditii de declansare a efectelor distructive:
Daca ziua curenta este 24 si tasta "Delete" este apasata virusul se va declansa.
Comentarii:
Prin interceptia INT 21h se infecteaza fisiere "curate", iar prin INT 09h se verifica daca tasta "Del" este apasata. Data si timpul fisierelor infectate nu se modifica. Comanda DIR nu este relevanta pentru a gasi fisierele care au crescut in lungime. Memoria totala a sistemului este micsorata. COMMAND.COM din directorul radacina de pe discul C a fost infectat daca BX=9051h. Pointerii INT 21h si INT 09h sint asemanatori. Aceasta este versiunea 1.1. Mai exista si versiunea 2.0 unde marimea virusului este 963 bytes.


 ExeHeader.Dragon.400

Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
400 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.SkidRow.432

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
432 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 F3.1901

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1901 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 FatherMac.1495

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1495 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FaxFree.Pisello.1024

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fgt.651

Virusul modifica data si ora fisierelor infectate.
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Dimensiunea memoriei ocupate:
651 o.
Spatiul ocupat pe disc:
651 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .COM.
Raspandirea virusului:
Eradicat.
ntreruperi interceptate:
24
Efecte nedistructive:
Invalideaza configuratia CMOS (scrie 0FFh in byte-ul 0Eh)
Conditii de declansare a infectarii:
(1 fisier in directorul curent si unul din PATH) Filesize%64k < 63849
Comentarii:
Distruge informatiile setup din CMOS. Programele infectate contin textul "PSQRV/H".


 Finnish.357

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
357 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fist.732

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
732 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Flip.2343

Pseudonime:
2343
Omicron
Omicron 2
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
3064 o.
Spatiul ocupat pe disc:
2327 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
West Germany
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza (din greseala) overlay-urile (.OVR).
- Infecteaza DBR-ul de pe hard disc.
Nu va infecta F.Boot.
Raspandirea virusului:
Foarte raspandit. Regiunea geografica: UK ; la data: 6/15/94
Foarte raspandit. Regiunea geografica: Ireland ; la data: 6/15/94
ntreruperi interceptate:
01
10
13
1C
21
9F
Efecte distructive:
Poate provoca stricarea FAT-ului; ar putea corupe datele.
Comentarii:
Simptome: Plesneste text, cu susul in jos, pe un ecran EGA sau VGA. Efectul se produce in fiecare a doua zi dintr-o luna, intre orele 4 PM si 4:59PM. Seteaza secundele fisierelor infectate la 62. Virusul are doua variante. Sectoarele de boot sunt infectate intr-o maniera similara virusului Thanksgiving. Virusul Tequila este derivat din Flip. Propagare: Se adauga la MBR, descrescand dimensiunea partitiei cu sase sectoare. Se adauga COM-urilor. Se ataseaza sectoarelor de boot si fisierelor EXE prin mijloace standard. Infecteaza sectoarele de boot de pe hard disc mult in maniera lui V-1. Datorita unui bug, prima versiune de Flip nu este capabila sa infecteze sectoarele de boot de pe dischete. Virusul poate fi distribuit doar prin executarea unui fisier infectat de pe discheta sau prin copierea unui fisier infectat pe discheta. Identificatori asignati de diverse scanner-e: Cheyenne: Flip-2343
ESaSS: Flip
Frisk: Flip.2343
H+BEDV: Flip-COM/EXE #1
McAfee: Flip [Flip]
Norman NVC: Flip.2153.A/2343
Norton: Flip
S&S: Flip.2343 Eicar ID: ea819c16 Virusul este complet encriptat. Replicare: Una din analize raporteaza faptul ca virusul infecteaza doar fisiere COM, dar se cunosc si alte tipuri de fisiere care pot fi infectate de el. De retinut: Acces dubios la fisier, alocare suspicioasa a memoriei. Programul foloseste mijloace ne-standard pentru a cauta si/sau aloca memorie. Contine o rutina de decriptare. Aceasta este comun pentru virusi, dar si pentru software-ul de protectie. Programul intercepteaza software-ul la incarcare. Intercepteaza programele la incarcare pentru a infecta software-ul. Cod rezident in memorie. Programul poate sta rezident in memorie. Marcaj de timp incorect. Unii virusi folosesc acest marcaj pentru a indica fisierele infectate. Foloseste un apel de intrerupere DOS nedocumentat. Programul incearca sa verifice daca fisierul este un COM sau EXE, avand nevoie de aceasta pentru a infecta un program. Contine cod care poate fi utilizat pentru a suprascrie/muta cod program in memorie.


 Gotcha.627

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
627 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Grog.1146

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1146 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Grog.495

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
495 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.926

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
926 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GTM.BewareBug.1446

Pseudonime:
Ganeu
Probabile: 1446, March 20th, The Bug, Avoid QBasic
Virusul produce efecte vizuale.
Marimea virusului pe disc este 1446 plus 1-15 octeti suplimentari in cazul fisierelor EXE.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Marimea virusului pe disc este 1446 plus 1-15 octeti suplimentari in cazul fisierelor EXE.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
1446 o.
Marimea virusului pe disc este 1446 plus 1-15 octeti suplimentari in cazul fisierelor EXE.
Spatiul ocupat pe disc:
1446 o.
Marimea virusului pe disc este 1446 plus 1-15 octeti suplimentari in cazul fisierelor EXE.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Marimea virusului pe disc este 1446 plus 1-15 octeti suplimentari in cazul fisierelor EXE.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
" Beware of the BUG !!! "
Encriptat in virus folosind "not".
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: The Netherlands ; la data: 8/10/95
ntreruperi interceptate:
21 / 4B
21 / 54
Efecte nedistructive:
Daca se activeaza, in timpul rutinei de infectare, virusul isi decripteaza mesajele(mai jos), le afiseaza si intra in bucla infinita.
Efecte colaterale:
NU
Conditii de declansare a infectarii:
21/4B
Acest virus controleaza functia EXEC, dar nu infecteaza fisierul in rulare. In schimb, el cauta in directorul curent (daca discul > B) fisiere neinfectate. Prima data examineaza fisiere COM, apoi EXE. Se opreste la prima gazda gasita si o infecteaza. Astfe,l se infecteaza cate un fisier la fiecare cerere de EXEC (daca este gasit un fisier neinfectat).
Modul de autodetectare a virusului pe disc:
Campul secundelor din Data Transfer Area este setat la valoarea 62.
Comentarii:
Subrutina de cautare a primului/urmatorului fisier EXE evita infectarea fisierelor "SCAN", "CLEA", sau "QBAS". Numele provine de la apelul de auto-recunoastere. Apelul este Dual, iar raspunsul este GtM!.
Alias-ul provine de la un sir de caractere, aflat la sfarsitul unui fisier infectat "Ga nEu", unde litera a are un circumflex, spatiul este FFh, iar litera E are un accent. Este un "sir" ciudat (non-string), bazat pe cod (ca si "PSQR") 47 83 FF 6E 90 7E sau:
inc di
cmp di,6E
nop
jnz


 HackMaster.1197

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1197 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Happy.412

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
412 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Heja.623

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
623 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Helloween.2470

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2470 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hide_and_Seek

Pseudonime:
Albania
Chrisj13 [Cj13]
Hide and seek
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM.
Comentarii:
Foloseste acelasi tip de encriptare simpla, prin XOR, ca si cea gasita in virusii VCL. Ca simptome: seteaza secundele fisierelor infectate la 62; efectele pot fi activate in functie de data. Acces dubios la fisiere. Contine o rutina de cautare pentru fisire executabile (.COM sau .EXE). Punct de intrare flexibil. Codul pare proiectat pentru a se lega la orice locatie dintr-un fisier executabil. Marcaj de timp incorect. Unii virusi folosesc acest macaj pentru a infecta fisierele. Determina daca este vorba de EXE/COM, pentru a putea infecta programul.


 HLLP.Nazi.6128

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6128 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Holiday.2900

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Horse.2248

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2248 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hypervisor.3128

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3128 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'SYS:SYSTEM/SYS:LOGIN/NET$BIND.SYS' ; Mesajul continut de virus si neafisat este criptat.
'NET$BVAL.SYS' ; Mesajul continut de virus si neafisat este criptat.
'NET$OBJ.SYS' ; Mesajul continut de virus si neafisat este criptat.
'NET$PROP.SYS' ; Mesajul continut de virus si neafisat este criptat.
'NET$VAL.SYS' ; Mesajul continut de virus si neafisat este criptat.
'GROUPS_I'M_IN' ; Mesajul continut de virus si neafisat este criptat.
'PASSWORD' ; Mesajul continut de virus si neafisat este criptat.
'IDENTIFICATION' ; Mesajul continut de virus si neafisat este criptat.
'The' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Este o varianta a virusului Hypervisor.3120.


 Ieronim.560

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Inoculator.1819

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1819 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Int86.500

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Intruder.1988

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1988 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Itv.454

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
454 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jd.448

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
448 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 K_Hate.1128

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1128 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 KbrBug.1720

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1720 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 36
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Kela.2018

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2018 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Keypress.1212

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1212 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 10 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.1269

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1269 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.719

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
719 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.Hallo.765

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
765 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 KKV2.923

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
923 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Kolumna.2048

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Kuku.448

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
448 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.YH.880

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
880 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Lisbon

Pseudonime:
648-Lisbon
Lisbon A
Virusul modifica data si ora fisierelor infectate.
Spatiul ocupat pe disc:
648 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
Lisbon, Portugal
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
A se vedea si:
Ghost.2351|_x
Efecte distructive:
Corupe unul din opt programe COM, suprascriind @AIDS, in primii cinci bytes.
Modul de autodetectare a virusului pe disc:
Marca de timp a unui fisier infectat este modificata: secundele sunt setate la 62.
Comentarii:
Propagare: Atunci cand un fisier infectat este executat, toate fisierele COM neinfectate din directorul curent, precum si toate fisierele din directoarele path-ului vor fi infectate sau stricate. Nu se produce nici o infectare daca fisierul neinfectat are dimensiunea mai mica de 10 bytes sau mai mare de 64,000 bytes. Virusul alege intre a infecta un fisier sau a-l stica, daca este indeplinita conditia IF (system seconds AND 58h) <> 0. Unul din opt fisiere este stricat, alte sapte sunt infectate. Datorita acestei rate ridicate de pagube, virusul va fi intotdeauna foarte rar. Virusul este eliminabil din fisierele nestricate prin suprascrierea primilor cinci bytes. Variante: a, b, c, d. Este derivat din: Vienna.648|_x. De retinut: Fisierele marcate read-only sau hidden sunt sarite. Virusul este foarte similar cu Vienna, exceptand urmatoarele: Ż Aproape fiecare cuvant din cadrul virusului a fost shift-at 1-2 bytes cu scopul de a evita programele specifice, care ar putea identifica/detecta virusul Vienna. Ż Foloseste un byte de trigger diferit. Ż Cei cinci bytes care strica sunt diferiti. Se poate trage concluzia ca s-a folosit codul sursa al virusului Vienna, modificat si reasamblat. Unele variante au aparut in Bulgaria. Acestea au fost modificate, fiind uneori denumite New Vienna. Schimbarile includ lungimea (435 bytes, 367 bytes, 354 bytes, 348 bytes) si pagubele provocate: hard discul este formatat. De asemenea, New Vienna adauga tratarea erorilor.


 LoadHigh.1467

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1467 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.894

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
894 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21
A se vedea si:
Lokjaw.493


 LoveChild.488

Pseudonime:
LoveChild
Love Child
Love [LC]
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
488 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
USSR
Mesaje neafisate dar continute de corpul virusului:
v2 (c) Flu System (R) and LoveChild in reward for software sealing.. ; Mesajul continut de virus si neafisat nu este criptat.
Acest text poate fi gasit la sfarsitul fisierelor COM infectate, precum si in memorie la adresa 0:1e0. Aceste siruri nu sunt afisate niciodata, si nici nu se folosesc, cu exceptia lui v2 (text care indica probabil versiunea virusului), folosit pentru a-si detecta prezenta in memorie. In general, s-a presupus ca textul 'sealing' contine o eroare tipografica si corect ar fi fost 'stealing'; aceasta ar putea fi explicatia pentru rumoarea care circula prin Decembrie 1990, cum ca Rusii au inceput sa utilizeze virusii pentru a-si proteja software-ul la copiere.; Acest text poate fi gasit la sfarsitul fisierelor COM infectate, precum si in memorie la adresa 0:1e0. Aceste siruri nu sunt afisate niciodata, si nici nu se folosesc, cu exceptia lui v2 (text care indica probabil versiunea virusului), folosit pentru a-si detecta prezenta in memorie. In general, s-a presupus ca textul 'sealing' contine o eroare tipografica si corect ar fi fost 'stealing'; aceasta ar putea fi explicatia pentru rumoarea care circula prin Decembrie 1990, cum ca Rusii au inceput sa utilizeze virusii pentru a-si proteja software-ul la copiere.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
ntreruperi interceptate:
21 / 4B
21 / 3D
21 / 56
21 / 3C
21 / 40
Efecte distructive:
Pagubele sunt substantiale. Daca este scris un fisier EXE (INT 21/40), virusul citeste un numar aleator, din clock-ul sistem si, 25% din timp, rescrie fisierul cu troian-ul sau LoveChild. Daca troian-ul se executa, acesta va scrie mizerii - 'garbage' - in sectoarele 1-16, de pe hard disc, incepand cu pista 0 si continuand pana la resetare, aceasta incluzand Master Boot Sector, FAT si directorul root. Astfel, orice fisier EXE care este copiat sau creeat, dupa ce virusul a fost activat, are 25% sanse sa fie corupt. Daca se creeaza un fisier (INT 21/3C), virusul apeleaza INT 21/39, 12,5% din timp, creand astfel un director, in schimb. Daca se deschide, se redenumeste sau se executa un fisier care nu este COM, (ah=3d/56/4b), virusul apeleaza INT 21/41 12,5% din timp, stergand astfel fisierul; astfel, fisierele EXE vor disparea treptat. Pagubele sunt actionate de orice scriere de fisier (precum copierea), orice creare, deschidere, executie sau redenumire. Un numar aleator, derivat din ceasul sistem, este folosit pentru a decide daca sa se realizeze sau nu pagubele respective.
Modul de autodetectare a virusului in memorie:
Sirurul text v2 este prezent la adresa 0000:01E0.
Modul de autodetectare a virusului pe disc:
Valoarea 0FBh, plasata in primul byte, indica infectie (cel putin asa se presupune).
Constrangeri necesare virusului pentru a functiona:
Infecteaza PC-urile care executa doar DOS 3.3, datorita existentei unui bug in corpul virusului. Pe alte versiuni DOS nu rezista, crapa.
Comentarii:
Predominanta: uneori, virusul se gaseste prin natura. In timpul infectarii, se intercepteaza INT 24h, prevenindu-se aparitia fatalului mesaj de eroare (Abort?, Retry?, Ignore?), atunci cand in drive-ul floppy se afla un disc protejat la scriere.
Propagare: Cand se executa un program infectat, virusul se adauga la fisierele COM, salvand primii 3bytes si plasand un byte de identificare ($fb) percum si un salt la aceasta locatie. De asemenea, lasa un cal troian LoveChild Trojan.


 Lubak.466

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
466 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lyceum.930

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
930 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MadCobra.1118

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1118 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mag.239

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
239 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Manuel.777

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
777 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Exe2Win.116

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
116 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 TrJP.1067

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1067 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tumen.1242

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1242 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Twister.1767

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1767 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ungame.766

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
766 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Uruguay.4268

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4268 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.1024

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.1689

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1689 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 V.376

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
376 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.573

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
573 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Vienna.533

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
533 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.618

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
618 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.680

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
680 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.778

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
778 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Choinka.A

Pseudonime:
Vienna 2
Lisbon
Vienna Father Christmas
VHP-623
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
623 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.


 Vienna.Violator.843

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
843 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vinnitsa.1658

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1658 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Virogen.Drunk.2117

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2117 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Virus.286

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
286 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 VLAD.Dir.653

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
653 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 WM.GoldSecret.A

Pseudonime:
MW:GoldSecret-A
WordMacro/GoldSecret.A
GoldSecret
Macro.Word.Goldsec
Originea geografica:
Jakarta, Indonesia
A aparut in februarie 1997.
Mesaje afisate de virus:
Afiseaza o fereastra de dialog cu titlul "The Full Powered by VisuLand Technology " si care are continutul " Virus: VisuaLand.WinWord

Author: Milky Wahyudi Widjaya

VRating: Make First WordMacro.virii (Concept)

Compiler: WordMacro in ToolsMacro

(C) 1983-1994 Microsft Corporation Copyright: (C) 1997 VisuaLand Technolgy

Utilities: VLWVG - VisuaLand Word Virus Generator 1.00

Created by Milky Wahyudi Widjaya (PresDir VL Last Update: 01-01-1997

VL Office: Visualand Technology (VISUALAND-DOM)

Jl. H. Marzuki No.37, RT 06/03

Jakarta, 11530

Indonesia

Dedication: - McNamara (Concept was created by you???)

- Eko Sulistiono (MD)

- All VirMarker in the World

Thank's: God "
Mesaje neafisate dar continute de corpul virusului:
Virusul adauga niste "informatii" in meniul "HELP": " About VisuaLand Technology...

OK, Concept was updated, please look VisuaLand.Winword. I hope

you easy study again, because VisuaLand is the best virii in 1997. If you

have have any comment, please email to me: visualand@visualand.com,

bye... VisuaLand Technology CyberWorld WebSite in

http:
Milky Wahyudi Widjaya - VisuaLand "
Comentarii:
Este un virus de Word care are 3 macro-uri: AutoOpen, VisuaLand, FileSaveAs. Sistemul este infectat cind un fisier care contine virusul este deschis cu AutoOpen , iar documentele sint infectate cind sint salvate cu FileSave As.


 WM.Italian.A

Pseudonime:
MW:Italian-A
WordMacro/Italian.A
WM/Italian.a
Winword.Italian.A
WM6.Italia
ITALIAN.A
Macro.Word.Italian.a
Mesaje afisate de virus:
In zilele 7, 13, 17 si 31 ale oricarei luni va afisa o casuta de dialog cu mesajul: " C Y B E R L O R D !! Your PC is infected by Word.Macro.ITALIAN Virus

Written Jan,1996. "
Comentarii:
Este un virus de Word care are trei maco-uri. Cind infecteaza NORMAL.DOT numele lor sint FileSalva, WordMacro1 si WordMacro2. Cind infecteaza fisiere sint: FileMacro, FileChiudi si FileEsci. Nu este polimorfic.


 WM.Munch.A

Pseudonime:
MW:Munch-A
WordMacro/Munch.A
WM/Munch.a
Mesaje afisate de virus:
In Septembrie in Europa sau in a 9-a zi a fiecarei luni in SUA, virusul afiseaza la baza ecranului di Word urmatorul mesaj: "Whose turn is it to get the munchies in? .
Comentarii:
Este un virus simplu de Word care are doua macro-uri. Numele acestora depinde de ce anume infecteaza astfel: daca infecteaza documente se vor numi AutoOpen si Macro1, iar daca infecteaza NORMAL.DOT se vor numi AutoOpen si Macro10. Fisierele sint infectate cind sint deschise. In cele mai multe cazuri datele din fisierele infectate pot fi recuperate. In afara faptului ca afiseaza un mesaj, virusul nu mai face altceva decit sa se inmulteasca. A fost semnalat prima oara in Octombrie 1997.


 WM.Strezz.A

Pseudonime:
MW:Sterzz-A
WM/Strezz
WordMacro/Strezz.A
WinWord.STREZZ
Mesaje afisate de virus:
Cind un document infectat este tiparit, virusul adauga textul : "STRESS '97

Special for my love by

The Free Hackers

Viroright (C) 1997 Internation Virus Research

If you have bugs, please call me and don't stress for it! I will back laler! ", dupa care afiseaza mesajul : "[IVR] - Internation Virus Research

You are STREZZ now, I'm sorry for it! "
Mesaje neafisate dar continute de corpul virusului:
\\--------------------------------
\\ Virus : STREZZ.WinWord
\\ Author : Dark Love & Lady Love
\\ -------------------------------
\\--------------------------------
\\ Virus : STREZZ.WinWord
\\ Author : Dark Love & Lady Love
\\ -------------------------------
\\--------------------------------
\\ Virus : STREZZ.WinWord
\\ Author : Dark Love & Lady Love
\\ -------------------------------Comentarii:
Este un virus de Word care are 3 macrouri: AutoOpen, FilePrint, FileSaveAs. Normal.Dot este infectat cind un fisier care contine virusul este deschis cu AutoOpen iar fisierele sint infectate cind sint salvate cu nume noi (FileSaveAs) sau cind sint tiparite (FilePrint). Pentru a nu putea fi observat, virusul dezactiveaza functiile meniului care ar putea face acest lucru. A aparut in februarie 1997.


 WM/Nuclear.A

Pseudonime:
WinWord.Alert
WordMacro.Alert
WW6Alert
WinWord.Nuclear
WordMacro.Nuclear
Nuclear
Virusul este de fapt un "dropper"'.
Pattern-uri gasite in fisierele DOC --> urmatoarele siruri sunt vizibile, atat in upper-case cat si imprimate: AutoExec, AutoOpen, FileSaveAs, FilePrint, FilePrintDefault, InsertPayload, Payload, DropSuriv, FileExit.
Virusul este prost scris (are erori).
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.
Este un infector de fisiere Microsoft Word. Creaza un infector de fisiere executabile PH33R (virus COM, EXE si NewEXE). adauga mesajul in timpul listarii documentelor, corupe fisiere sistem DOS. In timpul infectiei, virusul verifica numele fisierelor tintindu-le doar pe cele avand extensia CO?, EX?, DL?, excluzandu-le pe cele care corespund pattern-urilor *.86.*, *AV.*, *DV.*, *AN.* si *OT.*.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21
In corpul virusului, exista doua handler-e Int 21. Primul este activ daca virusul s-a auto-instalat in memoria DOS; al doilea, sub Windows. Pentru a intercepta executia fisierelor, ambele verifica urmatoarele: Exec (AX=4B00h), Open (AH=6Ch), si Get Attributes (AH=43h). In plus, handler-ul DOS intercepteaza functia Extended Open/Create (AH=6Ch), si handler-ul Windows intercepteaza Open (AH=3Dh).
Efecte nedistructive:
Primul efect pe care-l recunoaste utilizatorul este provocat de macro-ul InsertPayload, care este apelat atunci cand documentul este imprimat. Virusul verifica timer-ul sistem, si daca contorul secundelor este mai mare de 55, atunci virusul adauga urmatoarele linii de text la documentul de imprimat: "And finally I would like to say:
STOP ALL FRENCH NUCLEAR TESTING IN THE PACIFIC!
Deoarece documentul ocupa mai mult de un ecran, in multe din cazuri, mesajul nu va fi vizibil in timpul imprimarii - este plasat in afara ecranului. Dragalas efect, nimic de zis! mai ales cand se trimit fisiere via fax-server (caz in care documentele sunt imprimate in coada fax-server). Totusi, acesta este textul cu care cei care au analizat virusul, si probabil ca toti cei care nu agreaza virusii, sunt de acord 100%.
Efecte distructive:
Urmatoarea rutina trigger este realizata apeland macro-ul Payload: atat macro-ul AutoExec cat si AutoOpen fac aceasta in timpul executiei. Macro-ul Payload verifica data sistem, si daca este 5 Aprilie, realizeaza cateva actiuni distructive. Este cat se poate de clar faptul ca virusul incearca sa distruga IO.SYS, MSDOS.SYS si COMMAND.COM. Totusi, el cade vitima atat codificarii "labartate" cat si unui bug din WordBasic. Bug-ul WordBasic se manifesta in timpul incercarii de a sterge atributele DOS ale fisierelor - se pare ca nu este capabil sa stearga atributul System [Acest bug este unul dintre putinele care pot fi denumite, in mod legitim, ca fiind o caracteristica. N.T.], determinand ca incercari succesive de a deschide fisierul (cu scopul de a-l trunchia) sa esueze. Acest macro termina cu o eroare de codificare, deoarece incercarea de a deschide MSDOS.SYS foloseste parametri gresiti. Acum, apare pe ecran o caseta de dialog, probabil pentru a alerta utilizatorul. Tot ce a reusit macro-ul sa faca inainte de a crapa, este de a schimba setarea atributelor Hidden si ReadOnly din C:\IO.SYS. Bineinteles, daca atributele din C:\IO.SYS nu sunt standard pentru DOS, macro-ul a reusit in incercarea sa de a-l trunchia, insa va esua/crapa la MSDOS.SYS.
Modul de autodetectare a virusului in memorie:
Auto-recunoastere in procesorul de texte Word: verifica prezenta unui macro AutoExec.
Modul de autodetectare a virusului pe disc:
Auto-recunoastere in documente Word: Nu verifica fisierele, insa infecteaza fiecare fisier atunci cand se selecteaza File/SaveAs.
Comentarii:
Metodele de detectie si dezinfectie pentru virusul Word merg si pentru Nuclear. Lista macro-urilor din meniul Tools/Macro trebuie este verificata pentru cele 9 nume de macro-virusi listate in continuare. Prezenta acestor macro-uri inseamna ca, deja, calculatorul este infectat. Puteti scan-a discul (fisiere DOC si DOT) cautand urmatoarele siruri ASCII: AutoExec AutoOpen FileSaveAs FilePrint FilePrintDefault InsertPayload Payload DropSuriv FileExit PAYLOAD AUTOEXEC AUTOOPEN FILEEXIT DROPSURIV FILEPRINT FILESAVEAS INSERTPAYLOAD FILEPRINTDEFAULT . Singura modalitate resonabila de protectie impotriva acestui virus este dezafectarea macro-ului AutoOpen, folosind sistemul macro Word 'DisableAutoMacro'.


 Wvp.782

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
782 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 XPEH.3872

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3872 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 128 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Xuxa.1405

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1405 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Yankee.18

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1760 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Alien.1976

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1976 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mini.139

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
139 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.300

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirea.1773

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1773 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MJ.1513

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1513 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mnemonix.Descendants

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
552 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Monika.686

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
686 o.
Spatiul ocupat pe disc:
686 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 3521
21 / 2521
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
HEART,'Monika',HEART ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: Czech republic ; la data: 11/24/93
ntreruperi interceptate:
21 / 25
21 / 35
21 / 4B00
Efecte nedistructive:
Textul 'Monika' este afisat pe ecran.
Conditii de declansare a efectelor nedistructive:
(Day=8) AND (Month=10)
Efecte distructive:
Acelasi text 'Monika' este scris peste discul implicit.
Conditii de declansare a efectelor distructive:
(Day=8) AND (Month=10)
Conditii de declansare a infectarii:
(Exec) AND (LengthCOM>1834) AND (LengthCOM<64843)
Modul de autodetectare a virusului in memorie:
INT_21; AX=DC28h -> AX=1973h
Modul de autodetectare a virusului pe disc:
FILE[729h..72Ah] = ADh 19h
Constrangeri necesare virusului pentru a functiona:
Raspandire - Nu
Pagube - DOS <= 3.30 (Foloseste vechiul stil int 26h)
Pagube - CPU >= 286 (Foloseste shr bx,const)


 MPS.640

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MrTwister.16384

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
16384 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .INI.


 MtE.Darkness

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3321 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mtz.1907

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1907 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Murphy.1399

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1399 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Murphy.Delirium.1780

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1780 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.100.Garden

Virusul produce efecte vizuale.
+ decriptor
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
+ decriptor
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Dimensiunea memoriei ocupate:
1703 o.
+ decriptor
Spatiul ocupat pe disc:
1703 o.
+ decriptor
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
+ decriptor
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor. ; numarul de octeti constanti din decriptor este 1
Mesaje afisate de virus:
"Not enough memory."

"I need 4K more to start myself!"

"F**K PEARL JAM!!!!LONG LIVE TECHNO!!!!"
Mesaje neafisate dar continute de corpul virusului:
"[Garden]"

"This is Garden V1.0.Very simple virus.New version will be better!!!" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.

Regiunea geografica: Malta ; la data: 7/7/94
Efecte nedistructive:
(1) Afiseaza urmatoarele:
"Not enough memory." (2) Afiseaza urmatoarele: "I need 4K more to start myself!"
Efecte distructive:
Redenumeste C:\COMMAND.COM in C:\GARDEN.COM si afiseaza mesajul "F**K PEARL JAM!!!!LONG LIVE TECHNO!!!!"
Conditii de declansare a infectarii:
Infecteza cand se executa.
Comentarii:
Dupa ce au fost suprascrise trei fisiere, virusul va sari intr-un director parinte si va infecta din nou, repetitiv. Nu suprascrie fisiere care se portrivesc cu ???MA??.??? si ??OS.???, astfel ca nu infecteaza COMMAND.COM sau 4DOS.COM. Pentru polimorfismul, virusul foloseste biblioteca MutaGen.


 Mutator.459

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
459 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Narcosis.1431

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1431 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 NetBios.4340

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4340 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Amoeba.1392

Pseudonime:
Amoeba
1392
Amoeba 1392
Khetapunk
Virusul produce efecte vizuale.
A fost semnalat in Martie 1990, la Scoala superioara SMA Ketapang (Khetaphunk sau Khetapunk) din Indonezia.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
A fost semnalat in Martie 1990, la Scoala superioara SMA Ketapang (Khetaphunk sau Khetapunk) din Indonezia.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
A fost semnalat in Martie 1990, la Scoala superioara SMA Ketapang (Khetaphunk sau Khetapunk) din Indonezia.
Loc de rezidenta:
Virusul este rezident in MCB.
Virusul este rezident, incarcandu-se in memoria superioara. (Unele sanner-e indica virus nerezident.)
Spatiul ocupat pe disc:
1392 o.
A fost semnalat in Martie 1990, la Scoala superioara SMA Ketapang (Khetaphunk sau Khetapunk) din Indonezia.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tehnici de ascundere:
Sunt folosite.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
A fost semnalat in Martie 1990, la Scoala superioara SMA Ketapang (Khetaphunk sau Khetapunk) din Indonezia.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
A fost semnalat in Martie 1990, la Scoala superioara SMA Ketapang (Khetaphunk sau Khetapunk) din Indonezia.
Originea geografica:
Indonesia
A fost semnalat in Martie 1990, la Scoala superioara SMA Ketapang (Khetaphunk sau Khetapunk) din Indonezia.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
SMA KHETAPUNK - Nouvel Band A.M.O.E.B.A by PrimeSoft Inc. ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Fisierele COM mai mari de 512 bytes si mai mici de 60K. (Unele scanner-e indica ca doar fisierele COM sunt infectate.)
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
ntreruperi interceptate:
10
1C
21
Comentarii:
Variante ale virusului: una dintre acestea adauga 1813 bytes (COM), 1808 bytes (EXE). Virusul poate suprascrie primii 1089 bytes ai fisierelor COM. Simptome: fisierele infectate au data schimbata pentru a reflecta timpul infectarii. Este legat de alti virusi ca: Amoeba #1, Khetapunk, Amoeba #4, Amoeba #2, Amoeba #3, Amoeba-2. Note: Atunci cand Amoeba, sau 1392 cum i se mai spune, infecteaza un fisier, el modifica data fisierului, in director, fixand-o la data infectarii. Atunci cand infecteaza un fisier COM, el suprascrie primii 1809 bytes ai fisierului, plasand codul original la sfarsit si adaugand alti 303 bytes. S-ar putea ca uneori sa blocheze masina, datorita bug-urilor pe care le are. Pe monitoare CGA, s-ar putea sa afiseze mesajul pe linia 26. Mesajul nu va fi afisat pe alte tipuri de monitoare. Contine cod pentru a restarta programul dupa ce modificarile de la punctul de intrare au fost efectuate.


 Nie.1664

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1664 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Ninja.1376

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1376 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 NopM.494

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
494 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 NTZ.397

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
397 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.1482

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1482 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Nutcracker.AB1

Virusul produce efecte vizuale.
Pattern hexa in memorie.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Pattern hexa in memorie.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii:
Familia virusului:
Nutcracker
Pattern hexa in memorie.
Mesaje neafisate dar continute de corpul virusului:
1995 ; Mesajul continut de virus si neafisat nu este criptat.
Nutcracker ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
8
A se vedea si:
Nutcracker.AB7
Comentarii:
Nutcracker.AB1 is polimorfic si parazit. Virusul infecteaza fisierele COM si EXE la Execute, Open, Rename sau la orice alt acces la atributele fisierului. La infectare, converteste fisierele EXE in format COM. Daca este suportat efectul de improspatare video, virusul intercepteaza Int 8h (timer), activand/dezactivand acest efect la fiecare apel, ceea ce produce un efect nu tocmai similar interferentei. Atunci cand infecteaza, mai intai copiaza, la sfarsitul fisierului, o sectiune a programului (pe care o encripteaza) si-si plaseaza corpul in mijlocul fisierului tinta, peste sectiunea de cod copiata.


 Nygus.752

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
752 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Oops.600

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ouse.591

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
591 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Pages.421

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
421 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Particle.690

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
690 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pcbb.J4j.1273

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1273 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 PeaceKeeper.b

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3820 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Phoenix

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1704 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pieces.1374

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1374 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.277

Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
277 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Andromada

Spatiul ocupat pe disc:
1140 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.


 Pixel.851

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
851 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Hydra.403

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
403 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Plovdiv.800

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Poloneise.812

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
812 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pray.579

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
579 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 PrintMonster

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
853 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 PS_MPC.DemoEXE

Pseudonime:
DemoEXE
PS_MPC.Demo_EXE
PS_MPC.Demoexe
PS_MPC_006
Cheesy
Spatiul ocupat pe disc:
381 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.


 Radyum.860

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
860 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rape.486

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
486 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 RDA.Fighter.5871

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5871 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Rex.1637

Virusul este prost scris (are erori).
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1637 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.724

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
724 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.Conjurer.TNG.312

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
312 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Eternity.599

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
599 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.Maria.1126

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1126 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Annyit.656

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.Salamander.888

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
888 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ritzen.1112

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1112 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Rogue.1213

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1213 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'DBF CHKLIST ??? Now you got a real virus ! I'm the ROGUE' ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Rust.1710

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1710 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Sarov.1200

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Scity.713

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
713 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.226

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
226 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.512

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sentinel.4625

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4625 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 ShareFun

Pseudonime:
Share The Fun
You have GOT to see this
Comentarii:
Este un virus de word. Se bazeaza pe WordMacro/Wazzu. Se remarca in mod special, pentru ca se raspindeste prin Internet. De fiecare data cind un fisier infectat este deschis va exeista 25% sanse ca virusul sa fie activat. Daca Microsoft Mail este in derulare virusul va incerca sa trimita e-mail-uri catre trei adrese (luate la intimplare) din lista de adrese. Subiectul mesajului va fi: " You have GOT to see ". Mesajul nu contine text. Virusul va fi atast de un fisier (DOC1.DOC). Daca destinatarul e-mail-ului actioneaza dublu-click pe partea atasata a documentului, acesta va fi infectat de virus. De mentionat ca nu este vorba de un virus de e-mail. El se raspindeste cu ajutorul acestuia dar este activat numai cind se executa fisierul atasat. Virusul contine cod pentru a se proteja, asfel daca utilizatorul incearca sa-l analizeze folosind Tools/Macro sau File/Templates, acesta va infecta Normal.Dot. Virusul a fost semnalat pentru prima oara in libertate in Februarie 1997 in SUA.


 ShitMan.441

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.101

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
101 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 SillyC.166

Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
169 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.302

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
302 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.657

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
657 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyOR.DOS5.74

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
74 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 AntiPascal.480

Pseudonime:
Anti-Pascal II-C
Anti-Pascal_II
Anti-Pascal_II.480.A
AntiPas-480
Fam3 [F3]
Anti-Pascal
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
480 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
*.com, ????????bak,

????????p?? ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
ntreruperi interceptate:
24
Intreruperi utilizate: 21/0E, 21/19, 21/13, 21/1A, 21/3D, 21/3E, 21/3F, 21/40, 21/4200, 21/4202, 21/4301, 21/47, 21/4E, 21/5701, 25, 26.
Comentarii:
Este corelat/legat cu virusii: AntiPas-480, Pascal-480, Anti-Pascal (B), Anti-Pascal (R1); Anti_Pascal.II.400. Replicare: infecteaza doar fisiere COM, gasind primul fisier neinfectat din director.


 SillyRC.200

Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului. adresa 0060:0000
Dimensiunea memoriei ocupate:
200 o.
Spatiul ocupat pe disc:
200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .COM.
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: Siberia, Russia ; la data: 7/1/94
ntreruperi interceptate:
21 / 4b00
Efecte colaterale:
Eroarea "Write protect" ar putea fi afisata la executia unui program de pe o discheta protejata la scriere. Un calculator infectat ar putea sa se blocheze.
Conditii de declansare a infectarii:
Exec and (Length > 200 ) and (Length < 64K)
Modul de autodetectare a virusului in memorie:
[0060:0000] = 2F ( DAS instruction, '/' ASCII )
Modul de autodetectare a virusului pe disc:
File[0] = 2F
Constrangeri necesare virusului pentru a functiona:
(CPU >= 286) and (DOS >= 2.0) and VGA
(or EGA ? )
Comentarii:
Virusul incepe cu instructiunea DAS (2F='/') si foloseste byte-ul pentru autorecunoastere, atat in memorie, cat si in fisiere. Astfel ca, a fost foarte tentant de a-l denumi virusul 'Slash'. Fisierele care incep cu 4D ('M') nu sunt infectate ('MZ'). Virusul foloseste 200 de bytes din segmentul absolut BE00 ca buffer I/O in timp ce infecteaza un fisier. Segmetul este a 6-a pagina de text video pe VGA. Nu se stie ce se intampla pe EGA. Virusul nu face nici un fel de verificari pentru actualul adaptor video instalat - totusi, ar putea sa blocheze pe monocrom, CGA etc. Virusul foloseste 286+ de instructiuni specifice: PUSHA, POPA, PUSH imm8, PUSH imm16 - si totusi, nu va merge pe 8088/8086. Un esantion infectat a fost trimis de la Novosibirsk, Rusia unde virusul infectase deja cateva calculatoare.


 SillyRCE.374

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
374 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Singapore.910

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
910 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Annihilator.390

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
390 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Sk.1004

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1004 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Slovakia.1056

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1056 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Small.100

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.130.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
130 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.65

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
65 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smvb.708

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
708 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sonik.854

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
854 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Split.250

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
250 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Staf.2083

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2083 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Stink.1254

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1254 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Stoned.Spirit

Spatiul ocupat pe disc:
512 o.
Mesaje neafisate dar continute de corpul virusului:
Contine un text necriptat : " SPIRIT © MW ".
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Virusul este rezident in memorie unde foloseste tehnici de ascundere. Dezasamblarea sa este mai dificila. Sistemul va raporta cu 2K mai putin din memoria conventionala. Pe hard, virusul "muta"sectorul original de boot la cilindru 0, fata 0, sector 0.


 Subconsious.212

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
212 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 April1st.COM.1000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SVC.3241

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3241 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sylwia.734

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
734 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tai -Pan.666

Pseudonime:
Tai-Pan-666
Doom.II.Death
Doom.666
Taipan.666
Tai-Pan.666.A
Spatiul ocupat pe disc:
666 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
Acest text este situat la sfirsitul fisierului ; "Text: Illegal DOOM II signature Your version of DOOM2.EXE matches the illegal RAZOR release of DOOM2 Say bye-bye HD The programmer of DOOM II DEATH is in no way affiliated with ID software. ID software is in no way affiliated with DOOM II DEATH."
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Comentarii:
Virusul este rezident in memorie. Nu foloseste mecanisme de ascundere. In cele mai multe cazuri fisierele infectate trebuiesc reparate integral. A fost semnalat prima oara la 19 Decembrie 1994.


 Tashkent.509

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
509 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Thanksgiving

Pseudonime:
AntiCad
1253
V-1
V1253
Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
Dimensiunea memoriei ocupate:
2128 o.
Spatiul ocupat pe disc:
1253 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Originea geografica:
Austria
Mesaje neafisate dar continute de corpul virusului:
V-1 ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM.
Infecteaza şsi fisierele a caror extensie incepe ce "C". Atunci cand infecteaza MBR-ul, virusul stocheaza inregistrarea de boot originala pe pista 0, cilindrul 0, sectorul 4. Cand infecteaza sectorul de boot al unui floppy, virusul formateaza o extra-pista, stocand acolo inregistrarea de boot originala. Fişsierele COM sunt infectate la executie.
ntreruperi interceptate:
08
13
21
60
Efecte distructive:
Pagubele sunt substantiale. Pe data de Noiembrie 23, 1990 sau mai tarziu, virusul va scrie pe discuri un 'garbage' atunci cand se executa un program infectat. De indata ce virusul a inceput sa suprascrie o discheta, singura modalitatea de a opri activitatea este de a scoate calculatorul de sub tensiune. FORMAT.COM poate afecta drive-urile nespecificate in linia de comanda.


 Timid.289

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
289 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Timid.421

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
431 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Tiny.159

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
159 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiso.846

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
846 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tormentor.425

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
425 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 TPE.Little

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1758 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Traven.512

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Trivial.200

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
200 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.330

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
330 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.54

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
54 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Australian.Middle.1041

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1041 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ava.600

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Baba.356

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Badboy.1000

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bailey.270

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
270 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Basedrop

Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Comentarii:
Sint 25% sanse ca virusul sa caute un fisiere EXE curat din directorul curent, dupa care il infecteaza.(Doar unul o singura data). Alte 25% sanse sa faca cele de mai sus dupa care "spune" utilizatorului se introduca cuvintul "SLVAKIA". Odata ce sa introdus acest cuvint virusul se va termina. 50% sint sanse ca virusul sa nu faca nimic. Nu se manifesta distructiv.


 Budo.890

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
890 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Burger.560

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
560 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 C0m.263

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
263 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cas-927

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
931 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AX=4B00h
1C
28
cccccccccccc
Comentarii:
Virusul intercepteaza: INT 21h pentru a verifica daca este deja rezident in memorie de unde odata rezolvata aceasta problema va infecta fisierele COM a caror lungime este mai mica 63500 bytes, INT 28h pentru a verifica daca ziua curenta este Duminica, Marti, Joi sau Simbata iar timpul este 11:11:11. si daca "Da" intercepteaza INT 1Ch determinind prin asta transformarea caracterelor mari de pe ecran in caractere mici. Lungimea fisierului infectat creste cu 855 bytes.


 Catphish.701

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
701 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Chameleon.1231

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1231 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 638
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CSSR.528

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
528 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CyberTech.1215

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1215 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Daemaen.2041

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2041 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza drivere de dispozitive (.SYS).


 DarkFiber.423

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
423 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Datacrime.1280

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1280 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
24


 Dead.790

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
790 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 EAF0.656

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Eddie.1693

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1693 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Korea

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1947 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Einvolk.526

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
526 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 EMS.411

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in memoria extinsa.
Spatiul ocupat pe disc:
411 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 ErrorInc.393

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
393 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FreddySoft.1663

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1663 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 FrodoSoft.656

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Game.1065

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1065 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Gergana.512

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Gippo.1039

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1039 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Gnat.756

Virusul infecteaza interceptand apelurile DOS la fisiere.
Zona ocupata pe disc este cuprinsa in intervalul 756-771.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
832
Zona ocupata pe disc este cuprinsa in intervalul 756-771.
Spatiul ocupat pe disc:
756 o.
Zona ocupata pe disc este cuprinsa in intervalul 756-771.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 15 cu rotunjire la paragraf.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Zona ocupata pe disc este cuprinsa in intervalul 756-771.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Zona ocupata pe disc este cuprinsa in intervalul 756-771.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
"GNAT 1.0" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Germany ; la data: 7/23/93
ntreruperi interceptate:
1C
21 / 4B00
21 / 4B02
24
24(cat timp este in INT 21)
Efecte nedistructive:
Efecte oglinda pe ecran, pe vertical si pe orizontal.
Conditii de declansare a efectelor nedistructive:
(Date = Oct. 11.) AND (BIOS_timer_low = 0FFFFh) AND cel putin o noua infectie in acea zi
Conditii de declansare a infectarii:
(Exec OR Load w/o Exec) AND (memw[0000h:004Eh] <= 0300h)
{SEG(INT 13)<=0300h} AND (file[4] >= 1) {Length>=512} AND (file[4] = ((Length SHR 9)+(1; IF Length MOD 512 = 0)))
Modul de autodetectare a virusului in memorie:
memw[0000h:0086h] > 0350h {SEG(INT 21) > 0350h}
Modul de autodetectare a virusului pe disc:
(file[0014h] = 03h) AND (file[0015h] = 01h) {EXE-IP = 0103h}
Comentarii:
Seteaza atributul de r/w al fisierului pentru infectare; restaureaza atributele initiale ale fisierului, date & time dupa infectare; intercepteaza atributele prin acces direct la memorie; in timpul rularii lui INT 21h ISR, stocheaza temporar vectorul INT 21 salvat la infectie inapoi in IVT; isi modifica usor codul; cheia de en/decriptare este byte-ul cel mai putin semificativ din noua valoare CS din header-ul fisierului EXE; nici face un apel TSR, doar sare la sfarsitul programului original.


 HLLC.Aids.8064

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8064 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.IdoMoshe

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6896 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".


 HLLO.3008

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3008 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Crash.7227

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7227 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.16470

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
16470 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.7296

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7296 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.1813

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1813 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Dengue

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2646 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Mule

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4112 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Skism

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1808 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Totoro.1536

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Joshi

Pseudonime:
Happy Birthday Joshi
Joshua
Virusul produce efecte vizuale.
FloppyDrive = 0 sau 1,
HardDrive = 128 sau 129
Virusul produce blocaje ale PC-ului.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
FloppyDrive = 0 sau 1,
HardDrive = 128 sau 129
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
FloppyDrive = 0 sau 1,
HardDrive = 128 sau 129
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
6 ko.
FloppyDrive = 0 sau 1,

HardDrive = 128 sau 129
Spatiul ocupat pe disc:
8 sectoare.
FloppyDrive = 0 sau 1,

HardDrive = 128 sau 129
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13
13h/02h, 13h/03h, 13h/0Ah, 13h/0Bh, Ctrl-Alt-Del; 13h/02h, 13h/03h, 13h/0Ah, 13h/0Bh, Ctrl-Alt-Del
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
FloppyDrive = 0 sau 1,
HardDrive = 128 sau 129
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
FloppyDrive = 0 sau 1,
HardDrive = 128 sau 129
Originea geografica:
India
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
'Type "Happy Birthday Joshi" !' ; Mesajul continut de virus si afisat este criptat.
Au existat un numar de variante care modificau sau adaugau mesaje. Intr-ul din acestea, mesajul afisa "Don't expect any presents".; Au existat un numar de variante care modificau sau adaugau mesaje. Intr-ul din acestea, mesajul afisa "Don't expect any presents".
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0.0.2-9 pe un hard disc.
- Pista/capul/sectorul 80.0.1-8 pe un floppy de 1.2 MO.
- Pista/capul/sectorul 80.0.1-8 pe un floppy de 1.44 MO.
- Pista/capul/sectorul 40.0.1-8 pe un floppy de 360 KO.
- Pista/capul/sectorul 40.0.1-8 pe un floppy de 720 KO.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 9/16/93
ntreruperi interceptate:
13 / 02
13 / 03
13 / 04
13 / 0A
13 / 0B
21 / 48
21 / 49
21 / 4A
21 / 2A
21 / 2B
21 / 2C
21 / 2D
08
09
Efecte nedistructive:
Afisarea ecranului; utilizatorul trebuie sa tasteze "Happy Birthday Joshi" pentru a recapata controlul masinii.
Conditii de declansare a efectelor nedistructive:
Month = January si DayOfMonth = 5
Conditii de declansare a infectarii:
Int13Read, Int13Write, Int13Verify
Modul de autodetectare a virusului pe disc:
Handler-ul INT 13h (servicii disc ROM BIOS) verifica daca discul este infectat prin verificarea 1 344 bytes din primul sector de pe disc, impotriva unei copii a virusului sectorului de boot original, incarcat in tipul procesului de boot-are; o corespondenta indica o infcetare anterioara.
Constrangeri necesare virusului pentru a functiona:
Rutina de afisare presupune video color
Comentarii:
Joshi este un virus de boot, greoi, avand scriere si citire ascunsa. Locul sau de ascundere pe floppy-uri este o extra-pista pe care o formateaza, pentru scopurile sale - exceptie facand atunci cand presupune ca orice disc cu 15 sectoare per pista are doar 40 de piste. Asta inseamna ca o "extra" pista de pe floppy-urile de 720KB este de fapt a 40-cea, deci oricare ar fi datele de acolo, ele se pierd la infectare. Joshi memoreaza Interrupt Vector Table (IVT) in timpul boot-arii. Apoi, intercepteaza INT 09h si urmareste un Ctrl-Alt-Del. Daca cele trei tastari fatidice s-au produs, virusul copiaza IVT-ul de la momentul boot-ului inapoi la locul sau si lanseaza un INT 09h, asteptand astfel introducerea unui "re-IPL" fara un reboot complet. Virusul este astfel, aparent, capabil sa supravietuiasca unui boot la cald -- desi acest truc blocheaza multe PC-uri. De asemenea, Joshi capteaza INT 08h si-l foloseste pentru a monitoriza starea vectorului INT 21h in timpul boot-ului. Odata ce se pare ca DOS este activ si se executa, INT 21h este interceptat. Apoi, ori de cate ori una din intreruperile DOS este apelata (alocarea memoriei, serviciile date/time sunt interceptate), virusul verifica daca data este 5 Januarie. Daca da, atunci ecranul este setat in mod text 40x25; este afisat un ecran complet cyan, cuprinzand mesajul 'Type "Happy Birthday Joshi"!'. Odata acest ordin executat (exact -- orice eroare de tastare va obliga la reluare), controlul este recapatat. Ctrl-Alt-Del nu are nici un efect in timpul tastarii mesajului de felicitare.


 LamersSuprise

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1282 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Leech

Pseudonime:
Topler
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
The leech live ..., April 1991 The Topler ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Raspandirea virusului:
In circulatie.
ntreruperi interceptate:
13
24
Intreruperi utilizate: 10/0E, 20, 21/19, 21/30, 21/32, 21/34, 21/35, 21/3E, 21/62, 26, 2F.
Efecte distructive:
Sunt periculoase: scrie, in mod absolut, sectoare de pe drive!
Comentarii:
Identificatori asiginati de diverse scanner-e:
Cheyenne: Leech
ESaSS: Leech
Frisk: Leech (?)
H+BEDV: Leech #3
McAfee: Leech [Leech]
NORMAN: Leech
Norton: Leech
S&S: This virus is like Leech
Virusi corelati: Leech #3, Leech #4, Leech #2, Leech #1, Leech-Dropper.
Replicare: Deschide si inchide fisiere.
Simptome: scrie caracterele in mod TTY.
Note: Acces suspicios la fisiere. Contine o rutina de decriptare. Aceasta este comun pentru virusi, dar si pentru software-ul de protectie. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se lega la orice locatie dintr-un fisier executabil. Ceva uzual pentru virusi. Programul intercepteaza incarcarea de software pentru a-l putea infecta. Acces in scriere la disc. Programul scrie pe disc fara a folosi DOS. Contine jump suspect construit. Punctul de intrare este via jump-uri inlżantuite sau indirecte. Face determinare EXE/COM, pentru a sti ce fisier sa infecteze. Revine in punctul de intrare. Contine cod pentru a restarta programul, dupa ce modificarile din punctul de intrare au fost efectuate.


 Leproso.1221

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1221 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.625

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
625 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Busted.570

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
570 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Sandra.573

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
573 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Marzia.Minosse

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MD.498

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
498 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MemLapse.787

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
787 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Metallica.1536

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Michfile.1236

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1236 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ming.491

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
492 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.825

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
825 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vampiro.1000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 VCS.Ruf

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1077 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VFSI

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
436 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VIENNA, 480

Pseudonime:
Vienna.480
Spatiul ocupat pe disc:
480 o.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Mesaje neafisate dar continute de corpul virusului:
'The days…19 nov 1988-LENIN'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Se pune la sfirsitul fisierului si modifica inceputul acestuia asa incit sa se execute mai intii el, apoi programul cerut. Modul de salt la inceputul virusului nu se face cu JMP, ci cu PUSH adresa virus urmat de RET.
Efecte nedistructive:
In momentul virusarii, schimba data PC in 19 nov 1988. Intre orele 14:00 si 15:00, fisierele virusate nu pot fi executate dar, de virusat, viruseaza.
Conditii de declansare a infectarii:
Sa se execute un fisier virusat si in subdirectorul curent sau in radacina sa existe un fisier nevirusat cu extensia COM si lungimea intre 512 si 64000


 Vienna.377

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
377 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VLAD.Tasha.2042

Virusul este prost scris (are erori).
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2042 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 3 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Vriest.1280

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1280 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Walker.3846

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3846 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Wilbur.512

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 WinWord.Concept

Pseudonime:
Word prank macro
Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .DOC.
Infecteaza documente MS Word (fisiere .DOT si .DOC).
Comentarii:
Winword.Concept este un virus remarcabil de prietenos, care infecteaza fericit platformele. Intr-adevar, daca Macintosh, MS-DOS, Windows NT executa MS Word, poate deveni infectat. Astfel, cei care folosesc interfete mail care utilizeaza aplicatia Word, pot obtine virusul citind posta electronica. Afirmatia ca 'nu putem obtine un virus citind posta electronica' este falsa. Putem. Probabil ca denumind tehnica folosita de virus ca 'un concept nou' nu este prea clara Stiam ca acest tip de vulnerabilitate din limbajele macro va fi, mai devreme sau mai tarziu exploatata. Probabil ca ar trebui sa ne consideram norocosi ca acest virus nu are efecte distructive de tipul 'payload'. Aparent, neintentionat rautacios, Winword.Concept introduce totusi o noua amenintare. In trecut, puteam vedea infectori rapizi, polimorfici, ascunsi. Acest virus foloseste, mai de graba, o tehnica incredibil de simpla pentru a replica si pentru a se ascunde de utilizator, odata ce un fisier a ajuns infectat. Aparitia acestui virus prezinta elaboratorilor de produse anti-virus o schimbarea in implementarea detectarii - decat sa se raspandeasca prin infectarea celor mai traditionale tipuri de coduri 'executabile', virusul se adauga ca un mic macro la template-urile Word. Aceasta permite virusului sa infecteze si sa se raspandeasca utilizand fisiere cu orice extensie, atat timp cat sunt in format Word. Fiecare document este un potential purtator de cod care reprezinta instructiuni 'executabile' in mediul Word. Totusi, aceasta nu explica cum ajung aceste instructiuni sa se execute. La urma urmelor, daca un document contine un set de macro-uri, ele por fi executate explicit, nu-i asa? Gresit. AutoOpen=AutoInfect
In configurarea sa implicita, ori de cate ori Word deschide un document, el cauta prezenta unui macro numit AutoOpen si executa continutul sau. Aceasta se intampla fara ca utilizatorul sa fie intrebat sau alertat, in mod uzual, fiind un proces transparent. Utilizatorul este constient doar ca a deschis cu succes un alt document; un alt triumf al epocii calculatoarelor. In cazul lui Winword.Concept, macro-ul AutoOpen verifica mai intai daca virusul este deja activ pe calculator, verificand, in mediul respectiv, prezenta macro-ul numit 'PayLoad'. Daca este prezent, executia aborteaza. A doua verificare este facuta pentru prezenta unui macro numit 'FileSaveAs'; daca este gasit, virusul seteaza un flag intern si, din nou, aborteaza infectia. Daca aceste teste sunt trecute, virusul adauga patru noi macro-uri la 'global document template'-ul utilizatorului. Acesta este stocat intr-un fisier numit NORMAL.DOT. In timpul infectiei, virusul afiseaza o caseta de dialog, continand ceea ce pare a fi un contror de infectare, dar care afiseaza numarul '1', indiferent cate infectii au fost genearte. De indata ce pe aceasta caseta de mesaj s-a facut click, virusul este rezident macro-ului sau 'boostrap' se termina. Odata rezident, codul virusului este activat ori de cate ori utilizatorul incearca sa salveze un fisier, folosind 'FileSaveAs'. Ori de cate ori selecteaza aceasta optiune, virusul creaza un macro AutoOpen, in noul document si copiaza, in acesta, continutul macro-ului AAAZAO. De asemenea, sunt create si copiate in noul document si macro-urile AAAZFS, AAAZAO si PayLoad. Astfel, codul virusului se adauga la toate documentele care sunt stocate cu File/Save As, fiind gata si in asteptarea raspandirii, atunci cand documentul este trimis unui utilizator care nu banuieste nimic. Exista doua lucrui care nu valoreaza nimic: macro-ul numit 'PayLoad' nu se executa niciodata si contine doare urmatoarele linii de text: Sub MAIN
REM That's enough to prove my point
End Sub
Verificarea daca o copie de Word contine, sau nu, deja virusul este triviala. Exista alte modalitati de a detecta acest virus in fisiere. Una este de a adauga siruri-virus definite de utilizator, in programele anti-virus care au aceasta caracteristica. Utilizatorul poate adauga 41 41 5A 41 4F' si/sau '3A 41 41 41 5A 46 53', scanand toate fisierele. Aceste siruri de scanat sunt reprezentari hexa ale sirurilor ASCII ':AAAZAO' si ':AAAZFS', ele putant fi gasite in orice document ce contine acel text. Din moment ce fisierele .DOT si .DOC nu sunt, in mod tipic scanate, este important de tinut minte sa fie adaugate la lista tipurilor de fisiere care trebuie scanate. O modalitate definitiva de a determina daca documentul este sau nu infectat este de a-l deschide utilizand Word, desi este neproductiv. Fisierele infectate pot fi restaurate in mod manual, dupa cele neinfectate. Concluzii: Problema; Solutia --> Tehnicile folosite de acest virus sunt atat de simple incat si un idiot le-ar putea folosi pentru a construi virusi similari. Daca istoria este un indicator, ne putem astepta sa vedem tot mai multi virusi de acest tip. Date fiind usurinta de creare si de modificare, se impune o solutie pe termen lung, pentru aceasta amenintare generala. Asa cum se poate vedea, calea cea mai buna este prevenirea/alertarea utilizatorilor privind setarile globale. Din moment ce aceasta nu previne raspandirea unui astfel de virus, va furniza utilizatorilor a oarece atentionare inainte de reconfigurarea aplicatiei lor.


 WM.Armadillo

Pseudonime:
MW:Armadillo
WordMacro/Armadillo
Armadillo
WM/Armadillo
WinWord.StepByStep
Mesaje afisate de virus:
In ziua de Joi afiseaza o fereastra de dialog cu urmatorul masaj: " Liven up Monday with an Armadillon! ".
Mesaje neafisate dar continute de corpul virusului:
Check if AutoExec macro already exists.
Comentarii:
Este un virus de Word care are patru macro-uri : Autoexec, FileSaveAs, AutoOpen, ToolsMacro. Cind este accesat macro-ul Tools/Macro, virusul insereaza 10000 de string-uri "Armadillon Macro?" in documentul activ. Nu se ascunde. Nu este polimorf. De cele mai multe ori documentele infectate pot fi reparate. A aparut la data de 20 Martie 1997.


 Yankee.2C

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2881 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 YB.2328

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2328 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zamoy.587

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
587 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ziuck.1372

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1372 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 _1885

Spatiul ocupat pe disc:
1885 o.
Originea geografica:
Romania
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21
08
Efecte distructive:
Fisierele cu extensia EXE vor fi distruse in timpul link-editarii.
Comentarii:
Virusul verifica de mai multe ori pe secunda daca la adresa 729H din segmentul de date la programului, este o valoare mai mare ca 2. Daca "DA" va fi copiata in memoria ecran o zona de memorie (care reprezinta o imagine). Dupa aceea, calculatorul va fi blocat.


 5lo.1024

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"92.05.24.5lo.2.23"
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
21 / 4B
21 / 4C
Constrangeri necesare virusului pentru a functiona:
Pentru a fi infectate, fisierele trebuie sa nu fie read-only.
Comentarii:
Exista un breakpoint int3 chiar inainte ca virusul sa se localizeze la adresa rezidenta.


 ABC

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
2912 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AX=4B00h
24
1C
16
Efecte distructive:
Cind data sistemului este in ziua 14 iar virusul este in memorie de 55 de minute, va distruge datele de pe hard disc.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "nu", o va face prin interceptarea INT 21h, INT 1Ch, INT 16h. Se executa apoi fisierul original. Astfel va infecta toate fisierele EXE care se executa cu exceptia celor cu lungimea mai mica de 20K. Prin interceptia INT 24h, virusul se acopera cind infecteaza fisiere protejate la scriere.


 Ache.338

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
338 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Agiplan.1536

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Albania.506

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
506 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.562

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
562 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.839

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
839 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.Ice.642

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
642 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ArjVirus

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5000 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .ARJ.


 Ash.Riot.449

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
449 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Astra_II.505

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
505 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Atomic.350

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
350 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.118

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
118 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.268

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
268 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.726

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
726 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beast

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Beer.3164

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3164 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 BestWishes.1024

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 BigV.1441

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bizarre.2716

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2716 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Blackjec.287

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
287 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Blah.3385

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3385 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.
- Infecteaza MBR-ul de pe hard disc.


 Bobo.1355

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1355 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 BootCOM.512

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Boys.500

Virusul produce modificari in sistem.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Chcc.2662

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2662 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cholera.1497

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1497 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.126

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
126 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.631

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
631 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CK

Virusul produce efecte sonore.
Virusul intercepteaza INT 13h, si dupa un timp calculatorul va produce niste sunete.
Spatiul ocupat pe disc:
1163 o.
Virusul intercepteaza INT 13h, si dupa un timp calculatorul va produce niste sunete.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AX=4B00
24
13
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "Nu" va intercepta INT 21h si va deveni rezident. Apoi se executa programul original. Va infecta fiecare fisier "curat" EXE sau COM care se executa. Intercepteaza INT 24h pentru a nu fi divulgat cind executa fisiere protejate la scriere.


 Coffee Shop 3

Pseudonime:
Girafe
Originea geografica:
Amsterdam, Netherlands
Mesaje neafisate dar continute de corpul virusului:
[ MK / Trident ]. Amsterdam = COFFEESHOP! ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Efecte nedistructive:
In majoritatea cazurilor, fisierele COM nu sunt infectate deoarece auto-recunoasterea codului testeaza doar primul byte cel mai semnificativ, iar valoarea cautata poate rezulta dintr-o varietate de optiuni de codificare.
Comentarii:
Virusul contine un text criptat: [ MK / Trident ]. Amsterdam = COFFEESHOP! care apare in clar in codul decriptat. Virusul nu va infecta fisierele al caror nume incepe cu literele "CO", "SC", "CL", "VS", "NE", "HT", "TB", "VI", "FI", "GI", "RA", "FE", "MT", "BR", sau "IM". (Unul sau mai multe programe al caror nume incepe cu una din literele acestea, realizeaza o auto-verificare la executie si, ca urmare, vor detecta infectia.) Criptarea este foarte complexa, incluzand doua metode de criptare. Codul sursa contine comentariul: "CoffeeShop VIRUS version 3 Use MASM 4.0 to compile this source" (alte asambloare s-ar putea sa nu produca acelasi rezultat). In zilele de Vineri, daca campul secundelor al clock-ului sistem este 0, atunci cand se executa un fisier infectat, o rutina trigger va afisa mesajul: "LEGALIZE CANNABIS", cu caractere bloc, in culorile rosu, alb si albastru, plus o reprezentare grafica a unei frunze verzi de "cannabis".


 Companion.3351

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3351 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Comsysexe.2954

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2954 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza drivere de dispozitive (.SYS).


 Cpw.1459

Pseudonime:
X1
X2
X3
X4
X5
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
7C0h
Spatiul ocupat pe disc:
1459 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Modul de penetrare a virusului:
Virusul foloseste direct apeluri din ROM BIOS cu scopul de a accesa discul.

Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
" ! Feliz Cumpleanos CPW ! "
Primul caracter ! este inversat, ~ este peste n.
Mesaje neafisate dar continute de corpul virusului:
"Este programa fue hecho en Chile en 1992 por CPW."
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
16 / 00
21 / 3D00
21 / 43
21 / 4B
24
Efecte distructive:
NU
Conditii de declansare a efectelor distructive:
NU
Modul de autodetectare a virusului in memorie:
(0:3FFh) == FBh
Modul de autodetectare a virusului pe disc:
Fisier (EOF-3) == "LS"
Constrangeri necesare virusului pentru a functiona:
NU


 Crew.1967

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1967 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Deicide.1335

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1335 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dementia

Pseudonime:
Dementia2
Virusul este de fapt un "dropper"'.
Acesta este pattern-ul hexa din fisiere; in memorie, este urmatorul: 9CFC 80FC 3E75 0B81 FB92 1475 05BB 7617 9DCF 80FC 3D75 663C
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Acesta este pattern-ul hexa din fisiere; in memorie, este urmatorul: 9CFC 80FC 3E75 0B81 FB92 1475 05BB 7617 9DCF 80FC 3D75 663C
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Dementia VxBBS .....
Rutina trigger receptioneaza controlul in timpul executiei lui CALLFAST.COM. Acest fisier este dropper-ul infectat, plasat in arhivele ZIP. Atunci cand este executat, dropper-ul afiseaza reprezentare grafica, care ocupa tot ecranul, cu cuvantul Dementia, de unde isi si trage numele.
Mesaje neafisate dar continute de corpul virusului:
!#TEMP#! REQUEST.IVARECEIPT.IVACALLFAST.COM *.* Dementia]

Copyright 1993 Necrodoft enterprises - All rights reserved

I am the man that walks alone

And when I'm walking a dark road

At right of strolling through to change

When the light begins to change

I sometimes feel a little strange

A little anxious when it's dark ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
ntreruperi interceptate:
21
24
Intercepteaza Int 21h pentru a infecta fisierele COM, EXE, ZIP si pentru 'ascunderea' fisierelor. In timpul infectarii, Dementia intercepteaza Int 24h pentru a preveni mesajele de eroare DOS in timp ce incearca sa scrie pe discuri protejate la scriere, dar nu obtine si nu sterge atributele fisierelor. Ca rezultat, virusul nu poate infecta fisierele avand atributul read-only.
Modul de autodetectare a virusului in memorie:
Apeluri 'Are you there', Int 21h, AH=3Eh, BX=1492h. Codul TSR returneaza 1776h in registrul BX.
Modul de autodetectare a virusului pe disc:
Auto-recunoastere in fisiere COM/EXE: verifica campul secundele din marca de timp. Fisierele infectate au marcat acest camp cu 01h secunde. Auto-recunoastere in fisierele ZIP: verifica arhiva ZIP pentru prezenta fisierului CALLFAST.COM.
Comentarii:
Scanarea in interiorul fisierelor arhivate si comprimate nu reprezinta inca o caracteristica standard a scanner-elor de virusi; totusi, numarul virusilor care folosesc compresia creste an de an. La acest tip de virusi, il putem adauga si cel numit Dementia. Infectorul isi trage numele dintr-un sir-text intern, precum si din efectul video care afiseaza mesajul despre Dementia VxBBS. Virusul expandeaza lista formatelor de arhiva intelese de unii virusi, pentru a include ZIP. Atunci cand acceseaza fisiere ZIP, Dementia plaseaza in arhiva un 'dropper' infectat. Cand este despachetata, se constata ca arhiva include un extra fisier, numit CALLFAST.COM: acesta contine rutina pentru efectul video al virusului, infectata cu codul virusului. O alta caracteristica a acestui virus este aceea ca el poate 'fura' fisiere de pe un calculator infectat. Virusul intercepteaza arhivele ZIP la deschiderea fisierului si verifica continutul lor pentru a cerere speciala la fisier. Daca este prezent, virusul adauga fisierele listate in cerere la acel fisier ZIP - de fapt, 'furandu-le' de pe PC-ul infectat! Folosind aceasta caracteristica, este posibil sa treaca pentru unele tipuri de protectie ale calculatorului: se pare ca acest virus a fost creat special in aceast scop. Pentru a sparge protectia sistemelor, trebuie obtinute fisierele cheie (sau parolele). Pentru a obtine aceasta, este necesar, pur si simplu sa infecteze calculatorul, sa puna un fisier ZIP special pe acel calculator, apoi sa ia inapoi acel fisier ZIP. In cazul unui BBS, este usor: se incarca ZIP-ul si se transfera pe calculator. Deci, o problema pentru operatorii BBS... Dementia este un infector rezident, parazit, infectand fisiere COM si EXE. Adauga un vierme (dropper) la fisierele ZIP. Este encriptat. Eliminare: in conditii de sistem curat, se identifica si se inlocuiesc fisierele. Se verifica fisierele ZIP daca contin CALLFAST.COM, REQUEST.IVA si RECEIPT.IVA.


 Devil.941

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
941 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Diamond.606

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
606 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DIE LAMER

Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1136 o.
Mesaje afisate de virus:
"_=*@DIE_LAMER@*=_"
ntreruperi interceptate:
21
Efecte distructive:
Distruge unele date din floppy disc. Cind un program anti-virus gaseste acest virus, acesta din urma va scrie gunoi pe floppy disc dar poate cu usurinte sa modifice executarea mai multor rutine distructive cum ar fi formatarea hard discului.
Comentarii:
Cind se executa un program infectat de DIE LAMER, virusul va verifica mai intii daca este rezident in memorie (verifica daca la adresa 0:4F2h este valoarea 3232h). Daca nu este atunci va rezida.


 DirDropper.1686

Virusul este de fapt un "dropper"'.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1686 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DKiller.Clouds.718

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
718 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dos7.376

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
376 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DSME.Apex.2685

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2685 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dutch_Tiny.284

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
284 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Evolution.2761

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2761 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Funked.400

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul cauta memorie libera in jurul limitei de 640KB si se instaleaza acolo.
Spatiul ocupat pe disc:
425 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.VVM.204

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
204 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 F4.1403

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1403 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 FatherMac.1496

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1496 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FaxFree.Pisello.1536

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fichv.2.1.903

Pseudonime:
903
CHV 2.1
Fich [FCH]
Fich-V #3
FICHV 2.1,903
Fichv.2.1
Fichv_2.1
Loc de rezidenta:
Virusul este rezident ca un TSR.
Este rezident, foloseste 1264 bytes, se incarca in memoria low.
Dimensiunea memoriei ocupate:
903 o.
Este rezident, foloseste 1264 bytes, se incarca in memoria low.
Originea geografica:
Franta
Mesaje neafisate dar continute de corpul virusului:
***FICHV 2.1 vous a eu*****... ; Mesajul continut de virus si neafisat nu este criptat.
Acest mesaj se afla la distanta de 693bytes se sub puntul de intrare INT 21; Acest mesaj se afla la distanta de 693bytes se sub puntul de intrare INT 21
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM.
A se vedea si:
Fich-V #3
Fich-V-2.1 (A)
Fich-V-2.1 (B)
Fich-V #1
Fichv-2.0
Efecte distructive:
Pagubele sunt substantiale. Atunci cand este activat, el va suprascrie primele 6 sectoare de pe pista 0, cap1, de pe drive-ul curent. Aceasta va include in mod normal o inregistrare de boot si ceva din FAT-ul de pe hard disc.
Conditii de declansare a efectelor distructive:
Conditii de declˇansare a actiunii virusului: executia unui program infectat in timpul lunii Martie a fiecarui an.
Efecte colaterale:
Un prim efect colateral: virusul nu verifica lungimea maxima a fisierului de infectat, astfel incat fisierele infectate ar putea deveni mai mari de 65535 bytes si deci nu se vor mai putea executa. Al doilea efect colateral: virusul suprascrie la locatia de memorie 6000:0; sunt, deci, posibile conflicte (crahuri) cu alte TSR-uri.


 Finnish.709

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
709 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fist.838

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
838 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Flip.2365

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2365 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Gotcha.641

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
641 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Grog.1200

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.512

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Grog.990

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
990 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GTM.BewareBug.1528

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1528 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hafen.1191

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1191 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HappyNewYear

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
562 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Helicopter.777

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
777 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HellSpawn.1141

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1141 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Hidenowt

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1741 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.NotFound.6176

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6176 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Holiday.3000

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 House.11636

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
11636 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Hzp.512

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Ieronim.570

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
570 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Int_FF

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Internal.1381

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1381 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Intruder.2336

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2336 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 J&M

Pseudonime:
April_15th
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
La accesul pe discheta, folosind int 13h, dupa efectuarea operatiei normale, citeste sectorul de boot, verifica daca este virusat si daca nu, il salveaza si-l inlocuieste cu virusul.
Dimensiunea memoriei ocupate:
2 ko.
La accesul pe discheta, folosind int 13h, dupa efectuarea operatiei normale, citeste sectorul de boot, verifica daca este virusat si daca nu, il salveaza si-l inlocuieste cu virusul.
Spatiul ocupat pe disc:
512 o.
La accesul pe discheta, folosind int 13h, dupa efectuarea operatiei normale, citeste sectorul de boot, verifica daca este virusat si daca nu, il salveaza si-l inlocuieste cu virusul.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
La accesul pe discheta, folosind int 13h, dupa efectuarea operatiei normale, citeste sectorul de boot, verifica daca este virusat si daca nu, il salveaza si-l inlocuieste cu virusul.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
La accesul pe discheta, folosind int 13h, dupa efectuarea operatiei normale, citeste sectorul de boot, verifica daca este virusat si daca nu, il salveaza si-l inlocuieste cu virusul.
Originea geografica:
Romania
Mesaje neafisate dar continute de corpul virusului:
"J&M" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/6 pe un hard disc.
- Pista/capul/sectorul 0/1/14 pe un floppy de 1.44 MO.
- Pista/capul/sectorul 0/1/14 pe un floppy de 1.2 MO.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Romania ; la data: 4/15/96
ntreruperi interceptate:
13
Efecte distructive:
Formateaza MBR-ul, autodistrugandu-se.
Conditii de declansare a efectelor distructive:
15 Aprilie, detectat prin Int 1Ah.
Modul de autodetectare a virusului pe disc:
Verifica daca, la offset-ul 1BBh, din cadrul sectorului, exista sirul 'J&'.
Comentarii:
Virusul are o parte criptata prin XOR cu 0FFh, dar nu este polimorf.


 Jd.460

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
460 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ka.863

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
863 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 KbrBug.2662

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2662 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 36
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Kela.2099

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2010 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Keypress.1216

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1216 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 10 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.306

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
306 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.731

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
731 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.Hallo.962

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
962 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Klepavka.881

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
881 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Komar.691

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
691 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Kurgan.1624

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1624 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lesson.189

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
189 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.


 Literak.936

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
936 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Lockup.2969

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2969 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.898

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
898 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21
A se vedea si:
Lokjaw.493


 Loz.1018

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1018 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Lunacy.2513

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2513 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Lyceum.944

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
944 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Made.255

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
255 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Mag.254

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
254 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Manuel.814

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
814 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Exec.161

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
161 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Troi.322

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
322 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tumen.1255

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1255 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Twister.451

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
451 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ungame.770

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
770 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Uruguay.4879

Pseudonime:
Uruguvau
Uruguay.6
Virusul produce efecte vizuale.
(2520h=252P)
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
(2520h=252P)
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
9504 o.
(2520h=252P)
Spatiul ocupat pe disc:
4879 o.
(2520h=252P)
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 11
21 / 12
21 / 4202
21 / 4C
21 / 4E
21 / 4F
21/11

21/12

21/4202

21/4C

21/4E

21/4F; 21/11

21/12

21/4202

21/4C

21/4E

21/4F
Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
(2520h=252P)
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
- Ascunde punctul de intrare.
Mesaje afisate de virus:
"'Uruguay-#6' Virus

Programmed in Montevideo (URUGUAY) by F3161. 11/92.

This is a research virus - DO NOT DISTRIBUTE." ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Tehnici de protejare:
- Foloseste nivele de criptare multiple.

; la data: 1/31/94
Nu a fost vazut niciodata in natura!
ntreruperi interceptate:
01
09
13
21 / 4B00
21 / 3D
21 / 6C
24
2A
2A (doar pentru a restaura controlul peste INT_21 daca s-a pierdut)
A se vedea si:
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.5
Uruguay.7
Uruguay.8
Efecte nedistructive:
Virusul arata pe ecran continutul mesajului afisat, folosind serviciul BIOS INT_10/0E. Imprimarea este intarziata si dureaza cateva secunde. Ea este acompaniata de tonuri muzicale aleatoare, calculate folosind codul ASCII al caracterelor imprimate.
Conditii de declansare a efectelor nedistructive:
(ExecInfected and (byte[0:46C]=0)) or WarmReboot
Conditii de declansare a infectarii:
(Exec or ((Open or OpenCreate) and (*.COM or *.EXE))) and
(Size>200h and Size= (FileYear<2000) and
not (COMMAND.COM or SC*.* or *V*.* or F-*.*)
Modul de autodetectare a virusului in memorie:
INT_21;AX=3032;DX=1234 -> AX=5678
Comentarii:
Fisierele EXE infectate sunt comutate in COM, iar codul virusului este adaugat la sfarsitul fisierului, intr-o forma encriptata. Fisierul incepe cu capul virusului. Dimensiunea capului este de 63h bytes - transferandu-se controlul la coada virusului (unde se afla decriptorul si encriptorul corpului virusului, ambele atasate la sfarsitul fisierului infectat). Uruguay.6 foloseste trei tipuri de control al transferului de la cap la coada. 1. E9 offset; 2. PUSH offset; 3. MOV reg.offset, JMP reg. Cand un program infectat primeste controlul, virusul se copiaza in segment, in topul memoriei conventionale utilizate. Memoria disponibila pentru DOS este redusa. Daca calculatorul are 640K, puteti calcula usor codul segmentului virusului (MEMORY_SIZE=252para, CS=A000-252=9DAE; veti obtine 9DAD daca UMB este utilizat, deoarece topul paragrafului va fi BFFF, si nu A000). Dupa decriptarea corpului sau, virusul restaureaza startul fisierului infectat (63h bytes) si, daca fisierul era EXE, face el relocarile necesare. Apoi, codul este mutat jos, in memorie, deoarece nu mai este nevoie de header-ul EXE. Virusul Uruguay.6 intercepteaza DOS INT_21 rescriind startul rutinei de service DOS in segmentul DOS cu FAR JMP la codul viral. Segmentul DOS este definit ca utilizand INT_2F/1203. Virusul marcheaza fisierele infectate modificand marca de timp (INT_21/57). Anul crearii este orig_file_year+100. Uruguay.6 supravietuieste relansarii la cald via Ctrl-Alt-Del. El intercepteaza INT_08 si INT_09, restaureaza unele intreruperi de nivel jos, dezafecteaza utilizarea A20, seteaza modul video pe text, reseteaza controller-ul de intreruperi si tastatura si, dupa toate acestea, apeleaza INT_19. Uruguay.6 nu infecteaza nici unul din fisierele care incep cu "SC", "F-" sau oricare ar fi fisierul care are litera "V" inclusa in filename. Se pare ca Uruguay.6 face o verificare aditionala pentru "AI", dar dat fiind faptul ca include un bug, compararea nu functioneaza. Aceste verificari probabil ca semnifica "SCAN", "F-PROT", "VIRUSCAN", "-V" etc. Verificare pentru "AIDSTEST" nu merge. Versiunile curente de SCAN, F-PROT, precum si multe alte programe antivirus (*V*.*) sunt EXE-uri departe de limita de 64k, deci aceste verificari par a fi ciudate. Uruguay.6 contine un generator de numere aleatoare intern, folosit extensiv in motorul polimorfic. El accepta un parametru (AL) si returneaza BH=0, BL=[1;AL]. Generatorul de numere aleatoare foloseste BIOS-ul calculatorului si continutul timer-ului curent [0:46C] pentru a calcula output-ul (cateva XOR-uri, ADD-uri si SUB-uri). Pentru a opera, virusul foloseste variabile statice. Generatorul de numere aleatoare este localizat la adresa cea mai din top din codul virusului. Nu se cunoaste nici un scanner care sa detecteze fiabil Uruguay.6.


 V.1099

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1099 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 V.1792

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1792 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.384

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
384 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 V.6000

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
6000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 Vienna.534

Pseudonime:
W13-A
Vienna
Vienna.W_13.534.A
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
534 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'osoftyright Microsoftyright Microsoftyright

Microsoftyright Microsoftyright Microsoft 1988' ; Mesajul continut de virus si neafisat nu este criptat.
Virusul adauga acest text la sfarsitul fisierelor pe care le infecteaza.; Virusul adauga acest text la sfarsitul fisierelor pe care le infecteaza.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Nu este rezident in memorie.


 Vienna.620

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
620 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.700

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.810

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
810 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Feliz

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
518 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Violator.957

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
957 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Violetta.3840

Pseudonime:
Violetta
Shirley
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3840 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
VIOLETTA ; Mesajul continut de virus si neafisat nu este criptat.
Fisierele infectate vor contine sirul VIOLETTA de doua ori: la offset-ul 2h si la 202h.; Fisierele infectate vor contine sirul VIOLETTA de doua ori: la offset-ul 2h si la 202h.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
Virusul salveaza primii 3840 bytes ai gazdei, plasandu-i la sfarsitul fisierului si suprascriind primii 3840 bytes cu codul virusului. Fisierele mai mici de 3840 bytes vor creste cu 3840 bytes.
ntreruperi interceptate:
21
24


 Virogen.Offspring.1130

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1130 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Virus101

Pseudonime:
V-101
Virus-101
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul produce modificari in sistem.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Washington, DC
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza (din greseala) overlay-urile (.OVR).
- Infecteaza DBR-ul de pe floppy discuri.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
ntreruperi interceptate:
1B
Efecte nedistructive:
Pagubele sunt minore: infecteaza COMMAND.COM prin suprascriere, astfel incat COMMAND.COM nu va creste in lungime. Deci, inlocuiti COMMAND.COM cu unul curat.
Comentarii:
Descendent din Virus.90, scris tot de Patrick Toulme, ca fiind un "instrument educational".Virusul foloseste o schema de criptare pentru a preveni detectia. Virusul infecteaza COMMAND.COM si alte fisiere prin suprascriere (ca si virusul Lehigh), astfel incat lungimea fisierelor infectate nu va creste. Dupa ce a infectat toate fisierele de pe o discheya, virusul va infecta sectorul de boot al acesteia. Versiunea cureanta infecteaza doar floppy discurile. Marcarea datei fisierelor infetcate nu este corecta, deci, este posibila existenta unui bug.


 VLAD.Hemlock.3183

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3183 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza drivere de dispozitive (.SYS).


 WM.Cartman

Pseudonime:
Cartman
Poppy
Kenny
Mesaje afisate de virus:
Virusul afiseaza o ferestra de dialog cu mesajul : "The Narkotic Network You Killed Kenny, You Bastard ! OK ".
Mesaje neafisate dar continute de corpul virusului:
"

W97M/Cartman.Poppy

By VicodinES (The Kyle of The Virus Underground)

Macro Virus for Word 97

"The Fat-a** Macro97 Engine v2.3 featuring Starvin'

Marvin Technology ".
Comentarii:
Este un virus de Word. A aparut in Ianuarie 1998 si face o serie de referiri la un serial TV comic, "South Park". Virusul schimba unele informatii din Summary Info, astfel : Author= "VicodinES"; Title= "Another W97M/Cartman.Poppy Infected Document"; Subject= "Macro Virus Infection by The Narkotic Network …we mean you no harm"; Keywords= " | VicodinES | Klonopin.Jones | Fastin.Blee | ". Cartman creaza un fisier msfile.bat, il executa si apoi il sterge. Daca global template este protejat la scriere, fisierul msfile.bat va sterge toate fisierele din directoarele c:\progra~1\micros~1\templa~1 si c:\progra~1\micros~2\templa~1. De fiecare data cind se va incerca deschiderea meniurilor Tools/Macro sau Tools/Templates, toate informatiile din documentul activ vor fi pierdute. In acest caz virusul va afisa o fereastra de dialog pentru salvarea fisierului. Dupa aceea va incerca sa conecteze calculatorul la site-ul Yahoo : http:<< Pseudonime:
Colors
WinWord.Colors
WordMacro/Colors
Originea geografica:
Portugalia
Aparitie: 14 Octombrie 1995
Comentarii:
Este un virus de Word alcatuit din urmatoarele macro-uri: AutoClose, AutoExec, AutoOpen, FileExit, FileNew, FileSave, FileSaveAs, ToolsMacro, macros. Se poate inmulti si fara existenta macrourilor Auto.. . Virusul infecteaza Normal.Dot. Cind documentul infectat este deschis virusul se va executa cind: se creaza un nou fisier, se inchide fisierul infectat, se salveaza fisierul si cind se listeaza macro-urile cu comanda Tools/Macro. Este important pentru utilizator sa nu foloseasca comanda Tools/Macro pentru a detecta virusul. Alternativa convenabila ar fi utilizarea comenzii File/Templates/Organizer/Macros. Virusul intretine un contor "countersu=" in WIN.INI, care se incrementeaza la fiecare executie a macro-ului. Cind valoarea contorului este multiplu de 300 virusul va schimba culoarea (aleator) unor obiecte in Word. Virusul nu functioneaza in Microsoft Word pentru Macintosh.


 WM.Haggis.A

Pseudonime:
MW:Haggis-A
WordMacro/Haggis
WM/Haggis
Winword.Haggis
Haggis
Macro.Word.Haggis
Mesaje neafisate dar continute de corpul virusului:
" Presenting the Microsoft Haggis Word Macro Virus... ".
Comentarii:
Este un virus de Word care are un macro AutoOpen. Documentele sint infectate cind sint deschise cu comanda AutoOpen. Virusul dezactiveaza meniul Tools/Macro. In prima zi a fiecarei luni , seteaza parola "Haggis" pentru documentul activ. Este criptat. Nu este polimorf.


 WM.Ivana

Pseudonime:
MW:Ivana-A
Wordmacro/Ivana.A
WM/Ivana
Macro.Word.Ivana
IVANA.A
Ivana
Comentarii:
Este un virus de macro. Este alcatuit din mai multe macro-uri criptate: Ivana, EditUndo, AutoClose, Underline, ToolsMacro si File Templates. Macro-ul 'Ivana' contine urmatorul text: "Dedicated to Ivana, the only one [by [utik]". Documentele sint infectate cind sint inchise. Virusul infecteaza Normal.DOT. Modul de manifestare se prezinta astfel: Duminica distruge 'formating bar' de pe ecran. Luni distruge scroll bar vertical. In ziua 13 a fiecarei luni adauga 10 linii si urmatorul text la sfirsitul documentului infectat: "Na kraju, samo jos da kazem: volim te, Ivana [by utik] And fynally, I would like to say: I love you, Ivana [by utik]". In data de 4 Iulie virusul devine "rau": adauga la sfirsitul documentului infectat cuvintul 'Ivana' si seteaza parola 'Ivana' facind astfel documentul inaccesibil daca utilizatorul nu cunoaste parola. In fiecare 15 secunde dintr-un minut virusul 'imobilizeaza' operatia undo. De asemenea face imposibila setarea formatului cind se apeleaza 'Save As'. In final schimba propietatea lui 'Underline' cu 'bold'.


 WM.Nottice

Pseudonime:
WM/Nottice
Nottice
Comentarii:
Este un virus simplu de Word. Autorul s-a inspirat din virusul WM.Wazzu. Are in componenta doua macro-uri. In documente numele acestora sint AutoOpen si Wininit iar in NORMAL.DOT sint AutoClose si Wininit. In data de 13 Decmbrie, virusul insereaza urmatorul text in documentul curent ; " IMPORTANT NOTTICE ! HANSSI A. A. IS MARRIED WITH A LOSSER. "


 WM.Sunbeam.A

Pseudonime:
MW:Sunbeam-A
MacroWord/Sunbeam
WM/Sunbeam
Macro.Word.Sunbeam
SUNBEAM.A
Winword.Sunbeam
Mesaje neafisate dar continute de corpul virusului:
" Thanks McNasty.

SUNBEAM by Nightmare Joker (SLAM) ".
Comentarii:
Este un virus de Word care are 3 macro-uri: DocClose, SUNBEAM, FileOpen. Infecteaza NORMAL.DOT cind fereastra activa este inchisa (DocClose) iar documentele sint infectate cind sint deschise (FileOpen). Nu este polimorf. In data de 5 Octombrie creaza un fisier (numele este dat de trei litere luate la intimplare din numele documentului activ, Ex. DIE.BAT) , care contine textul " echo 123>clock$ ", si pe care il executa. A aparut in Martie 1997.


 WM97/Chack-B

Comentarii:
Este un virus de word. Este rezident atita timp cit este instalat word-ul. Ascunde meniul Macro si dezactiveaza tastele ALT-F11. Virusul este relativ simplu. Cind utilizatorul selecteaza Exit din meniul File sau About din meniul Help, pe ecran va fi afisata o imagine. Uneori s-ar putea ca aceasta sa nu existe virusul inlaturind mesajele de eroare.


 WW.217

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
217 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 XPEH.3904

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3904 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 128 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Xuxa.1413

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1413 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Yankee.19

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1805 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 All.1818

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1818 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 2074 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mini.143

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
143 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.71

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
71 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirea.1813

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1813 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MKWorm.715

Virusul nu este de fapt un virus, ci un vierme.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
715 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mnemonix.DI.1173

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1173 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Monkey.979

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
979 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MPS.654

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
654 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mrvirus.508

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
508 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MtE.Darkstar

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2828 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Mtz.2624

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2624 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.1417

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1417 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.Delirium.1788

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1788 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.100.Secret

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2094 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Mutator.780

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
780 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Natas.4740

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4740 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 Neurobasher

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4608 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Amoeba.2367

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2367 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 72 + 63 ... 125
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nigeb.890

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
890 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Nipple.208

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul rezida in RAM-ul video.
Spatiul ocupat pe disc:
208 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Normal.763

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
763 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nuke.1680

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1680 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.1487

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1487 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Nutcracker.AB1.Antarex

Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Pattern hexa in memorie.
Virusul produce blocaje ale PC-ului.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Pattern hexa in memorie.
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Pattern hexa in memorie.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii:
Familia virusului:
Nutcracker
Pattern hexa in memorie.
Mesaje neafisate dar continute de corpul virusului:
1995 ; Mesajul continut de virus si neafisat nu este criptat.
Nutcracker ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
A se vedea si:
Nutcracker.AB7
Comentarii:
Nutcracker.AB1.Antarex este polimorfic si parazit, infectand fisierele COM si EXE la acces, si avan efcet de 'cal troian' asupra fisierelor SYS. Daca in timpul instalarii se produce o eroare, virusul sterge CMOS-ul si reboot-eaza PC-ul Inainte de a reveni in programul gazda, virusul cauta fisierele in directorul curent al drive-ului C, fortand infectia prin accesul la atributele acestora. Virusul encripteaza header-ul fisierelor EXE, care au dimensiunea mai mare de 64K, si inlocuieste marcajul 'MZ' prin 'AB'. Astfel, primul sector al fisierelor EXE mari este corupt, provocand blocarea PC-ului atunci cand aceste fisiere sunt executate , in conditiile unui sistem curat. Cand virusul este rezident, sectoarele corupte sunt decriptate din zbor, iar fisierele sunt executate in mod normal. Clean-boot ar putea revela un sistem corupt, iar eliminarea virusului va distruge cheia de decriptare continuta.


 Nygus.757

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
757 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 OopsTmp.1087

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1087 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Overkill.1191

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1191 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pages.498

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
498 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pathhunt.1231

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1231 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Pcbb.J4j.833

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
833 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Peach.887

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
887 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Phoenix.2000

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pieck.2016

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2016 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Pixel.283

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
283 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ANDROMEDA.1024a

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.852

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
852 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Hydra.495

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
495 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Plovdiv.984

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
984 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 PoorMan.1168

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1168 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pray.587

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
587 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Pro-Alife.3423

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3423 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Psycho.723

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
723 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Quiet.2048

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rael.3211

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3211 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Rape.500

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 RDA.Fighter.5969

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5969 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Rider.577

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
577 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.789

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
789 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Conjurer.VCC.269

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
269 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Eternity.600

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.Marked.354

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
354 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 ANSI bomb generator Trojan

Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Nu este criptat.
Efecte distructive:
Pagubele sunt minore, dar potential, pot fi devastatoare. V. Comentariile.
Comentarii:
Pe majoritatea PC-urilor, in fisierul CONFYG.SYS, se gaseste linia DEVICE=\DOS\ANSI.SYS. Folosind ANSI.SYS, se poate programa una din chei pentru a produce cateva caractere. (de exemplu, cheile nefolosite pot fi setate pentru a executa comenzi DOS dintre cele mai uzuale.) Aceasta remapare de chei intervine atunci cand caracterele de control sunt scrise/apar pe ecran: Un simplu TYPE pe un fisier text ar putea reprograma invizibil cheia ESC pentru a executa programul FORMAT atunci cand este apasata la promptul DOS. ANSI bomb generator Trojan permite definirea fara probleme a oricarei chei pentru a reprezenta orice tastare de caractere. Aceasta capabilitate devine foarte insidioasa, mai ales atunci cand este utilizata in conexiune cu un pachet software de comprimare, precum PKZIP. De exemplu, un fisier UNZIP-uit ar putea fi depozitat in directorul curent avand acelasi nume ca si comanda DOS, iar atunci cand utilizatorul se va astepta sa execute acea comanda din directorul curent, ceea ce va executa de fapt va fi Trojan-ul UNZIP-uit si nu cu o comanda DOS.


 Riot.Stioxyl.390

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
390 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 RM

Pseudonime:
RMDB
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
1 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"RMBDRMCC B WRM" [I've been unable to make any sense of it so far.] ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Raspandirea virusului:
Rapoarte nesemnificative. ; la data: 7/6/93
ntreruperi interceptate:
13 / 02
13 / 03
Efecte distructive:
Suprascrie sectoarele 0x0E, incepand de la sectorul 4, pentru unele piste de pe cilindrul 0.
Conditii de declansare a efectelor distructive:
INT13 and (AH=02 or AH=03) and (0040:0071 & 0x80 set) (Bitul "break" BIOS, cel mai semnificativ bit de la 0040:0071, este gasit setat in timpul unui INT13 read/write).
Efecte colaterale:
Dischetele infectate nu vor avea BPB valid si adesea, nu vor fi citibile. Cand o masina este boot-ata de pe o astfel de discheta infectata, virusul va infecta hard discul, facand apoi boot de pe o partitie de pe hard disc! (Mai degraba decat sa booteze de pe discheta.)
Conditii de declansare a infectarii:
MBR-ul unui drive 80 este infectat la fiecare boot de pe discheta infectata sau de pe hard disc. Inregistrarile de pe discheta boot sunt infectate la fiecare INT13 - read sau write.
Constrangeri necesare virusului pentru a functiona:
Este necesar sa existe un hard disc, chiar daca se face boot de pe un floppy infectat.
Comentarii:
Este un virus cat se poate de neobisnuit, prin faptul ca nu salveaza nici MBR-ul original al hard discurilor si nici DBR-ul dischetelor. In schimb, in esenta, el contine tot codul MBR-ului normal, pe care-l foloseste la boot-area sistemului. Chiar si cand face boot de pe o discheta infectata, virusul citeste MBR-ul de pe hard disc, copiaza tabelul de partitii si (dupa ce a infectat hard discul), foloseste codul MBR pentru a face boot de pe hard disc.


 Rom.331

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
331 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ryazan.512

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Sarov.1400

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Scity.928

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
928 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Search.253

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
253 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.512.b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sentinel.4636

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4636 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Shark.1027

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1027 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Shizol.500

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.103

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
103 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 SillyC.169

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
169 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyC.304

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
304 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.857

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
857 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyOR.DOS5.77

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
77 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 AntiPascal.529

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
529 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyRC.230

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
230 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRCE.484

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
484 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sink.400

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Sirius.Annihilator.412

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
412 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Sk.1147

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1147 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Slovakia.1351

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1351 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Small.104

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
104 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.131

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
131 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.76

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
76 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Snotkop.479

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
479 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Sov.1193

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1193 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Spring.640

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Stahlpla.750

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
750 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Stink.1270

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1270 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Stoned.Standard

Pseudonime:
Marijuana
New Zeeland
Stoned
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
1 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
07h "Your PC is now Stoned!" 07h 0Dh 0Ah 0Ah
Mesaje neafisate dar continute de corpul virusului:
"LEGALISE MARIJUANA!" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Raspandirea virusului:
Foarte raspandit. ; la data: 8/16/93
ntreruperi interceptate:
13 / 02
13 / 03
Efecte nedistructive:
Mesaj afisat
Conditii de declansare a efectelor nedistructive:
Cate unul, la fiecare 8 boot-ari de pe un floppy infectat.
Conditii de declansare a infectarii:
Int13
Modul de autodetectare a virusului pe disc:
(M,F)BR[0..3] = EAh 05h 00h C0h (HDD)
Comentarii:
Este unul dintre cei mai raspanditi virusi; din fericire insa, este unul dintre cei mai inspirat scrisi. Familia Stoned este vasta. Aparent, virusul continua sa ramana unul obisnuit, prin multe parti ale lumii, deoarece el este acceptat de multi utilizatori ca fiind endemic, dar nu si suparator (ceea ce bineinteles, nu este cazul - de intrebat oricine care a "suferit" avand PC-ul astfel infectat: deci, cu o partitie disc care incepea la 0.0.2! ), cu rezultatul obisnuit ca nu se incearca sa se faca mai nimic pentru a-l indeparta sau controla. Chiar si cu acele variante de Stoned in care este afisat mesajul "Your PC is now Stoned!", multi utilizatori esueaza in a notifica/realiza ceva neobisnuit, timp de saptamani, luni sau chiar ani.


 Subconsious.476

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
476 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 April1st.COM.941

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
941 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SVC.4644

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4644 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).
- Infecteaza boot-ul.


 Synergy.288

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul rezida in RAM-ul video.
Spatiul ocupat pe disc:
288 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tai-Pan.438

Spatiul ocupat pe disc:
438 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul nu este rezident in memorie. Actioneaza direct. Cind un fisier infectat este lansat , va infecta imediat alte fisiere. Nu este criptat. Nu foloseste tehnici de ascundere.


 Taz.1014

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1014 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tequila.5volt

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2449 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ThatsAll.618

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
618 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Timid.290

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
290 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Timid.513

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
513 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Tiny.160

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiso.940

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
940 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tormentor.475

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
475 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 TPE.Nazis

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2055 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tremor

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.202

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
202 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.34

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
34 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.64

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
64 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.Middle.1169

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1169 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Avalanche.2818

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2818 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Bach.498

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
498 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Badboy.1001

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1001 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bailey.334

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
334 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 BuenDia.816

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
816 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Burger.Pirates.609

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
609 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 C1992.1536

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Cascade.1491

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1491 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Caz.1159

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
1159 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
"Virus anti-McAfee v1.0 (C) SEPTEMBER 1991 Made in SPAIN"
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
ntreruperi interceptate:
21 / 4B00
21 / 3D
24
2F / FFFF
Constrangeri necesare virusului pentru a functiona:
Nu va infecta fisiere read-only
Comentarii:
Dupa instalarea virusului in memorie, C:\COMMAND.COM este infectat prin deschiderea sa read-only.


 Chameleon.1246

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1246 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cumple.1249

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1249 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CyberTech.1228

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1228 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Daemaen.2048

Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza drivere de dispozitive (.SYS).


 DarkLord.921

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
921 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Datacrime.1480

Pseudonime:
Datacrime II
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1480 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
'DATACRIME II VIRUS' ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
Comentarii:
Virusul este criptat exceptand primii 42 bytes, iar mesajul afisat este criptat separat. Virusul va ignora orice fisier care are a doua litera a numelui sau B.


 Death.1001

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1001 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 EAF0.687

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
687 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Eddie.1797

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1797 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Major

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1832 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Einvolk.640

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 EMS.427

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in memoria extinsa.
Spatiul ocupat pe disc:
427 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 ErrorInc.465

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
465 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Freew.692

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
692 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Frogalley.1500

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GCAE.Demo.2520

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2520 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Germ.255

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
255 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Gippo.1050

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1050 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Goblin.1199

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1199 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 HLLC.April1st

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Lanc.7376

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
7376 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.3522

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3522 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.FU.8608

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8608 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.3072.a

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 128
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.7408

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7408 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.1962

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1962 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Discom

Pseudonime:
DisCom
Discom
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2053 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Index de ascundere: 7 (aproape de medie: reseteaza atributele, seteaza data fisierului, se ascunde in memorie, este encriptat, dezactiveaza handler-ul de eroare).
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .EXE identificate prin tip.
Raspandirea virusului:
In circulatie.
ntreruperi interceptate:
21
08
24
Comentarii:
Identificatori asignati de diverse scanner-e:
Cheyenne: Discom
ESaSS: Jerusalem related
Frisk: Jerusalem.Discom
H+BEDV: Discom #3
McAfee: Jerusalem [Jeru]
NORMAN: Jerusalem Discom
Norton: nu este detectat
S&S: Jeru-Discom Eicar ID: 76a5421a
Virusi corelati: Discom #3, Jerusalem-Puerto #2, Discom #2, Jerusalem #10, Jerusalem #9, Discom #1.
Replicare: * infecteaza atat fisiere COM cat si EXE. Apare ca infectand fisierele atunci cand sunt incarcate si executate. Deschide fisierele, muta pointerul de fisiere, citeste fisierele, scrie in fisiere, inchide fisierele. Obtine si seteaza atributele. Obtine si seteaza data fisierului. De retinut: Acces suspicios la fisiere: Poate fi capabil sa infecteze fisierele. Programul intercepteaza incarcarea software-ului. Poate fi un virus care sa intercepteze incarcarea programului pentru a infecta software-ul. Accs la disc in scriere. Programul scrie pe disc fara a folosi DOS. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Foloseste apel de intrerupere DOS nedocumentat. Programul ar putea fi o farsa, dar la fel de bine, poate fi si un virus care foloseste o modalitate nestandard pentru a se autodetecta.


 Jerusalem.Naita.1646

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1646 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Smile.2576

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2576 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 11 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Viajero

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1765 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Judgement.390

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
390 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 LamersSuprise.1318

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1318 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Leech.1024

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Leprosy.1207

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1207 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.647

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
647 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Busted.572

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
574 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Sandra.579

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
579 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Marzia.Pasiphae

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 MD.499

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
499 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MemLapse.820

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
820 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Metallica.1739

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1739 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mickie.1100

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Mini.101

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
101 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.894

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
894 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vampirus.1499

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1499 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VD.568

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vic.399

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
399 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.1000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.415

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
415 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VME_1.Demo

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
918 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VS-II.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Wally.1029

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1029 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WildFire.2222

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2222 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Winword.Concept

Virusul produce efecte vizuale.
Tipuri de fisiere infectate:
- Infecteaza fisierele .DOC.


 WM.Atom

Pseudonime:
MW:Atom
WinWord.Atom
WM/Atom
WordMacro/Atom
Macro.Word.Atom
Atom
ATOM
WORD.ATOM


 Yankee.2D

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2879 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 YB.2330

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2330 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zapper.1121

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1121 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Zmiana.1224

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1224 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 _613

Spatiul ocupat pe disc:
613 o.
Originea geografica:
Romania
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
21
09
Efecte distructive:
Prin interceptia intreruperii INT 09, virusul contorizeaza numarul tastelor apasate. Cind valoarea contorului este 0C8h, calculatorul este resetat, lucru care uneori poate fi periculos.
Comentarii:
Dimensiunea memoriei conventionale scade cu 1K.


 66c.612

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
612 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ABC.2378

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2378 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ache.352

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
352 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Ahasverus.1244

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1244 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Albania.575

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
575 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Arcv.570

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
570 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.916

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
916 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.Ice.678

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
678 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ARKA

Spatiul ocupat pe disc:
1905 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AX=4B00h
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "Nu" o va face interceptind INT 21h. Apoi se executa fisierul original. Astfel va infecta fiecare fisier COM"curat" care se executa. Este rezident in memorie.


 Ash.Riot.451

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
451 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Astra_II.882

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
882 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Atomic.371

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
371 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.122

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
122 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.273

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
273 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.784

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
784 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beast-II

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Beer.3192

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3192 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 BestWishes.970

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
970 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 BillBoard.835

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
835 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Black.1000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Blackjec.292

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
292 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Blava.787

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
787 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Bobo.1363

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1363 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 BootCOM.Peanut.443

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
443 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Boza

Pseudonime:
Bizatch
Spatiul ocupat pe disc:
2680 o.
Mesaje afisate de virus:
Cind data sistemului este 31 a fiecarei luni va afisa mesajul: "The taste of fame just got tastier! VLAD Austrlia does it again with the worl's first Win95 Virus. From the old school to the new. Metabolis Quark Darkman Automag Antigen RhinceWind Quantum Absolute Overload Coke" De asemenea mai este continut si urmatorul mesaj: Please note: the name of virus is [Bizatch] written by Quantum of VLAD"
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Comentarii:
Cind un fisier infectat este executat virusul nu se instaleaza in memorie. Vor fi infectate numai fisierele executabile din Win95 si Win32S. Boza va infecta pina la 3 fisiere din directorul curent insa din unele greseli de programare este posibil sa modifice fisierele infectate.


 ChDir.422

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
422 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Chris.463

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
463 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.144

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
144 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.901

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
901 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cli&Hlt.1345

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1345 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 CoffeeShop

Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
12288 o.
Spatiul ocupat pe disc:
3792 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
POLY-04 cu MtE 0.90
Mesaje afisate de virus:
"LEGALIZE CANNABIS"
imagine grafica compresata in mod text
Mesaje neafisate dar continute de corpul virusului:
"Amsterdam = COFFEESHOP"
"SCCLVSNEHTTBVIRAFEMTBR"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 7/26/93
ntreruperi interceptate:
21 / 31DA
21 / 4B00
21 / 6C00
Efecte nedistructive:
Afisarea in mod ecran a unor frunze de canabis cu un drapel continand "LEGALIZE CANNABIS" in rosu, alb si albastru defiland de-a lungul partii de sus a ecranului.
Conditii de declansare a efectelor nedistructive:
(DayOfWeek = Friday) and (Seconds = 0) and (Virus going resident)
Conditii de declansare a efectelor distructive:
n/a
Modul de autodetectare a virusului in memorie:
INT 21h/33DAh => AX=A502h
Modul de autodetectare a virusului pe disc:
fisier(15h) = 02h
ex: initIP = 02XXh
Constrangeri necesare virusului pentru a functiona:
Versiune DOS >= 3.10
Comentarii:
Este un virus care se raspandeste legat MtE 0.90. Acest virus nu este intrinsec polimorfic, dar a fost impachetat pentru a fi asa, si s-a raspandit in aceasta forma. Marimea, de aproximativ 3792 bytes, reprezinta lungimea codului viral rezident- - incluzand rutina bibliotecii MtE, dar excluzand orice cod decriptor. Marimea virusului adaugata la fisierele infectate este variabila (dar niciodata mai putin de 3792 bytes), in functie de natura lui MtE. Fisierele al caror nume incepe cu o pereche de litere din lista "SCCVL...." (ex: SCAN, TBSCAN, VSHIELD) nu sunt infectate. Fisierele avand dimensiunea imaginii incarcate (ex: fisiere cu overlay-uri interne) nu sunt infectate; nici acele fisiere avand un numar de overlay-uri diferite de zero; si nici acelea avand MinParAlloc setat la zero. In final, este facuta o verificare pentru a evita lovirea noilor executabile (ex: fisiere binare Windows) care vor fi distruse de virus. Graficul cu frunza de cannabis (un ecran in mod text 80x25 plin, ex: 4000 bytes ) este comprimat.


 Companion.83

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
83 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 Comsysexe.8045

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
8045 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza drivere de dispozitive (.SYS).


 Cpw.1527

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1527 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Crew.2048

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Deicide.2404

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2404 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dementia.4207

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4207 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DewDZ

Virusul produce blocaje ale PC-ului.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Dupa executarea unui program infectat este necesara o resetare la rece a calculatorului.
Dimensiunea memoriei ocupate:
601 o.
Spatiul ocupat pe disc:
601 o.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
"Kewl Dewdz!"
Criptat
Mesaje neafisate dar continute de corpul virusului:
"Made in STL (c) '91" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut
Efecte nedistructive:
Virusul provoaca blocajul calculatorului.
Efecte colaterale:
Virusul corupe fisiere de date. Rutina de copiere restaureaza copii ale programului gazda avand cu mult mai multi bytes, pana cand crapa sistemul.
Comentarii:
Cand virusul devine activ, se afiseaza textul: " Kewl Dewdz ! " mijlocul ecranului. De asemenea, programele infectate contin textul : " Made in SZTL (C) '91" .


 Diamond.607

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
607 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Die.385

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
385 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DirFiller.1409

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1409 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 DKiller.DK.693

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
693 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Dos7.419

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
419 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DSME.Connie.a

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1746 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Dutch_Tiny.286

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
286 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Evolution.2770

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2770 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.HeaderBug.324

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
324 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.VVM.205

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
205 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Face.2521

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2521 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 263 pentru fisierele de tip .SYS.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza drivere de dispozitive (.SYS).


 FatherMac.1536

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FaxFree.Sultan.2766

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2766 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Fichv.896

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
896 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fire.2682

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2682 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Fist.839

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
839 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Flip.Madrid

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2153 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Gotcha.732

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
732 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Grog.1349

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1349 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.518

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
518 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.Crackers

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GTM.BewareBug.1643

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1643 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hafen.1640

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Harakiri.5488

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5488 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Hello.731

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
731 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Hero.394

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
394 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Hider.1782

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1782 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Rangel.5000

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Holms.6161

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
6161 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 HS.903

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
903 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 I_am.635

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
635 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Ieronim.600

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Int12

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
818 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Internal.1459

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1459 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Invader

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4096 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 J.S. Bach

Pseudonime:
JSB
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul nu este rezident in memorie dar instaleaza un 'payload' rezident.
Spatiul ocupat pe disc:
498
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
Northern Europa
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
J.S. Bach by TXQ ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In circulatie. Regiunea geografica: Europe
Efecte distructive:
Pagubele sunt insemnate. Cand virusul este executat, el verifica data curenta. Daca este anul 1993, iar ziua este dupa 20 ale lunii, virusul se activeaza. Daca nu este anul 1993, virusul se activeaza in toate zilele anului. Atunci cand se activeaza, virusul instaleaza o rutina mititica in memoria joasa, suprascriind o parte din IVT (Interrupt Vector Table). Din moment ce rutina nu consuma de loc memorie DOS, ea nu poate fi vazuta cu utilitarele uzuale de mapare a memoriei. INT 13 este redirectionat catre aceasta rutina. De fiecare data cand INT 13 este apelat, virusul incrementeaza un contor. Una din 200 de cereri de acces la disc este redirectionata pentru a pointa pe primul drive fizic (in mod tipic, drive-ul floppy A:), in loc de discul original. Aceasta va determina, ca ocazional, drive-ul A: sa se invarta, atunci cand virusul este activ. Paguba provocata de aceasta rutina nu poate fi estimata usor. Un astfel de rezultat este acela ca un mare volum de date de pe hard disc vor fi corupte. Coruperea incepe cand, de exemplu, un program sau DOS insesi incearca sa citeasca alocarea sau informatiile director, iar virusul redirectioneaza cererea de citire pe drive-ul floppy in loc de hard disc. Mai tarziu, informatia, care era bazata pe aceste date gresite, este scrisa pe hard disc provocand o corupere aleatoare. Acest tip de pagube este de-a dreptul fatal, din moment ce nu se poate determina care sunt datele corecte si care au fost corupte. Daca virusul se aranjeaza astfel incat sa ramana mult timp nesesizabil, vor fi corupte si backup-urile.
Modul de autodetectare a virusului pe disc:
JSB in topul fisierelor infectate.
Comentarii:
Componenta care infecteaza nu este rezidenta, insa componenta care determina pagubele este rezidenta. Simptome: nu actualizeaza data sau ora fisierelor infectate, astfel incat acestea vor arata momentul infectarii. Propagare: Infecteaza doar fisierele din directorul curent. Nu reinfecteaza. Cand un fisier infectat este executat, virusul gaseste primul COM neinfectat, din directorul curent, a carui dimensiune este mai mare de 15 bytes si mai mica de 64513 bytes. Primii 16 bytes ai fisierului sunt inlocuiti, virusul se adauga la fisier si inregistreaza acolo primii 16 bytes originali pe care i-a mutat. J.S. Bach poate infecta fisiere care au fost protejate prin atributele DOS Read-Only sau Hidden.


 Jeff.812

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
812 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 KbrBug.895

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
895 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 36
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kela.2520

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2520 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Keypress.1216

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Micsoreaza MCB-ul curent doar daca este vorba de un bloc 'Z'.
Dimensiunea memoriei ocupate:
77 paragrafe.
Spatiul ocupat pe disc:
1216 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
Raspandirea virusului:
Virus comun. Regiunea geografica: South Africa ; la data: 7/15/93
ntreruperi interceptate:
21 / 4B00
08
23
24
21h/4B00h, 08h,

23h (in timpul infectarii),

24h (in timpul infectarii)
Efecte nedistructive:
Interferenta tastaturii
Conditii de declansare a efectelor nedistructive:
Apar intr-o a doua fereastra, la fiecare 10 minute de la activare.
Conditii de declansare a infectarii:
21h/4B00h
Modul de autodetectare a virusului in memorie:
memw[0:600h] = 01h 00h
Modul de autodetectare a virusului pe disc:
file[14h..15h] = 33h 01h {InitialIP = 113h} AND
file[0Ch..0Dh] = 00h 00h {MaxParAlloc = 0 } (EXE),

Compares file[4h..Fh] (COM)
Comentarii:
Odata ajuns rezident, Keypress sta pe intreruperea User Timer Tick (INT 1Ch) si contorizeaza timpul odata activat. La fiecare zece minute, timp de doua secunde (i.e. 37 tic-uri), este emisa o intrerupere INT 09h ("hardware keyboard make-or-break"). Efectul acesteia este de a provoca apelul handler-ului tastaturii, chiar daca nu s-a tastat nici o cheie, astfel incat pare ca tastatura functioneaza prost.


 Khizhnjak.377

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
377 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.749

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
749 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.Happy.743

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
743 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Klf.356

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Komar.692

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
692 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Kurgan.1654

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1654 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lesson.208

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
208 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.


 LittBrother.276

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
276 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loki.1228

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1228 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.Firefly.1087

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1087 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loz.1023

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1023 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Lunacy.2865

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2865 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 M5VP2.1678

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1678 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Made.334

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
334 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Magda.512

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Manuel.840

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
840 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Exec.162

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
162 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Troi.512

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Tumen.1663

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1663 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Twister.863

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
863 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Unhandled.424

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
424 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Uruguay.4906

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4906 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.1121

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1121 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.1798

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1798 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.388

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
388 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.623

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
623 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.539

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
539 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.622

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
622 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.709

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
709 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.822

Pseudonime:
Vienna
Lisbon
Vien6
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
822 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.


 Vienna.Feliz.923

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
923 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Violator.969

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
969 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Viper.840

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
840 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Virogen.Offspring.1134

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1134 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Virus90

Pseudonime:
V-90
Virus-90
ResVir-90
Virus 90
Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
857 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Washington, DC, USA
Mesaje afisate de virus:
'Infected!' ; Mesajul continut de virus si afisat nu este criptat.
'Done' ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierul COMMAND.COM.
Infecteaza doar COM-urile de pe drive-ul A: si B:
Comentarii:
Virus90 a fost scris de un anume Patrick A. Toulme si vandut pentru un timp drep "instrument educational". El a furnizat virusul unui numar de cateva BBS-uri, afirmand ca sursa acestuia este disponibila pentru suma de 20$. In ianuarie 1990, Toulme a contactat posturile unde plasase virusul spre a fi incarcat, solicitand eliminarea acestuia din sistem.


 VLAD.Idle.692

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
692 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 WM.Hark

Pseudonime:
Hark
MW:Hark-A
WordMacro/Hark.A
WinWord.HARKONE
Word.Macro.Hark
Comentarii:
Este un virus simplu de Word care are doua macro-uri: AutoOpen si HARKONE. In data de 1 Iunie , maximizeaza toate documentele active, seteaza marimea fonturilor la 60 si isereaza textele "HARKONE" si "NJ[SLAM]". Nu se ascunde. A aparut in Martie 1997.


 WM.Jaja.A

Pseudonime:
MW:Jaja-A
WM/Jaja.A
Winword.Jaja
WordMacro/Jaja
Jaja
WinWord.VICTOR
Mesaje afisate de virus:
Cind un document este printat, virusul sterge continutul acestuia si insereaza textul: +------------------------------------------------------------+

| Welcome to Victor Widjaja Virus |

|Your computer has been totally infected by ''Victor Widja|

| ja'' WordMacro Virus |

| Don't go anywhere !!! |

| I'll be back soon to DESTROY your disk data !! |

| Copyright 1996 Virus Research Labs. |

+------------------------------------------------------------+. Virusul va afisa urmatorul mesaj in status line: [ Welcome to Victor Widjaja `WordMacro' Virus - Programmed & Created by Victor Widjaja the HACKER - Virus Research Labolatory ]. Pe data de 1 Noembrie, virusul va tipari mesajul de mai sus, si va afisa o fereastra de dialog cu continutul: "Attention

Victor Widjaja lives in your PC now".
Efecte distructive:
Virusul verifica timpul sistemului, daca secunda curenta este 1 sau 11, cind va apela o functie de stergere pe disc: Format C: /U /C /S /AUTOTEST > NUL.
Comentarii:
Este un virus de Word care are 10 macro-uri: AutoOpen, FileOpen, FilePrint, FileSaveAs, ToolsMacro, FormatStyle, ViewToolbars, FileTemplates, VictorWidjaja si ToolsCustomize. Cind un fisier care contine virusul este deschis cu AutoOpen, acesta va infecta NORMAL.DOT. Documentele vor fi infectate cind se va folosi comenzile FileOpen si FileSaveAS. Tools/Macro si File/Templates sint macrouri ascunse. Este criptat. A aparut in Februarie 1997.


 WM.Talon

Pseudonime:
MW:Talon-A
WM/Talon
Mesaje afisate de virus:
In data de 18 Iunie afiseaza o fereastra de dialog cu mesajul: " Your System Is Infected With The Macro Virus Talon #1!

This Macro Virus Was Brought To You By: TALON 1997 ". Cind este apelat meniul Tools/Macro este afisat mesajul: " Warning

This Option Is Not Available, Please Insert The MS-Office CD And Install The Help Files To Continue. ". In zilele de luni ale lunii Iunie, seteaza pentru documentul curent parola "talon.3" dupa care afiseaza mesajul: " Warning

I Have A Word For You To Spell V I R U S

Your document Has Just been Been Saved By The Word Macro Virus Talon #3, I Hope You Know The Password!!!

Brought To You By Talon 1997 ".
Mesaje neafisate dar continute de corpul virusului:
"Talon #1

June 18 Payload Activates

Displays Message

All Files Encrypted Except Info File

Brought To You By

"Talon" ".
Comentarii:
Este un virus de Word care are 6 macro-uri. Cind infecteaza fisiere numele acestora sint: AOB, Deed, FSAB, Info, ToolsMacro si AutoOpen. Cind infecteaza NORMAL.DOT macro-urilor sint aceleasi cu exceptia lui AutoOpen care este inlocuit cu FileSaveAs. A aparut in februarie 1997.


 WM97/NoNo-A

Conditii de declansare a infectarii:
In a zecea zi a fiecarei luni, cind minutul=30 iar secunda mai mare de 16, virusul va afisa o fereastra unde este intrebarea "Run Animation". Daca se da click pe "No", un mesaj compus din numele utilizatorului se va derula pe bara de status.
Comentarii:
Este un virus de word. Este rezident atit timp cit word-ul este instalat. Prezinta polimorfism, creind module carora le da nume dupa initialele utilizatorului.


 WXYZ

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2 o.
Spatiul ocupat pe disc:
2 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"WXYC rules this roost!"
Mesaje neafisate dar continute de corpul virusului:
"JAM WXYC"
(in spatiul de nume DBR)
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/3 pe un hard disc.
- Pista/capul/sectorul 1/1/2 pe un floppy de 360 KO.
- Pista/capul/sectorul 1/1/3 pe un floppy de 720 KO.
- Pista/capul/sectorul 1/1/7 pe un floppy de 1.2 MO.
- Pista/capul/sectorul 1/1/9 pe un floppy de 1.44 MO.
ntreruperi interceptate:
13
Efecte colaterale:
Corupe root-ul discurilor floppy. Nu mentine registrele corespunzator specificatiilor IBM astfel incat pe unele sisteme (de exemplu, Zenith DOS 3.31) nu va boot-a corespunzator (eroare "Invalid partition").
Conditii de declansare a infectarii:
Accesul fisierelor neinfectate dupa activare.
Modul de autodetectare a virusului pe disc:
Compara: CMP word ptr [06] ; dupa citirea lui DBR/FBR
Constrangeri necesare virusului pentru a functiona:
Este efectiv doar daca DBR-ul activ este la cilindrul 1, cap 1 sector 1.
Comentarii:
Incearca sa treaca peste schemele de detectie MBR & de protectie DBR ducandu-se, orbeste, pentru majoritatea locatiilor, de pe boot, similare DBR (v. Limitari). Propaga eroarea STONED, specifica alocarii de 2K de memorie atunci cand este nevoie. Reparare: prin boot-area de pe un floppy curat, retunarea cilindrului 0, cap 0, sector 3 la cilindrul 0, cap 1, sector 1. Pe floppy: inlocuirea lui FBR, sectorul director afectat zero.


 XPEH.4752

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4752 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Xuxa.1656

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yankee.1905

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1905 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Alpha.4000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 Mini.150

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
150 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.81

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
81 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirea.958

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
958 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MLTI.830

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
830 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mnemonix.ESP.519

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
519 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 Monkey.B

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Dimensiunea memoriei ocupate:
1024 o.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 1/0/14 pe un floppy de 1.44 MO.
- Pista/capul/sectorul 1/0/5 pe un floppy de 720 KO.
- Pista/capul/sectorul 1/0/3 pe un floppy de 360 KO.
- Pista/capul/sectorul 1/0/14 pe un floppy de 1.2 MO.
- Pista/capul/sectorul 0/0/17 pe un hard disc.
Modul de autodetectare a virusului pe disc:
Cand virusul nu este rezident, sectorul infectat contine, la offset-ul 78, sirul hexa 5EC7047D''8944020E1F, iar la offset-ul 421, poate fi gasit sirul FA011992C32681.
Comentarii:
Simptomele virusului: Drive-ul C: "dispare" atunci cand utilizatorul boot-eaza de pe un A: neinfectat, si se va vedea afisarea mesajului "Invalid drive specification" atunci cand se acceseaza C: dupa o boot-are curata. Boot-area cu virusul in A: sau C: permite decriptarea MBR-ului criptat (inclusiv tabela de partitii), facand C: vizibil. Virusul nu infecteaza de fiecare data cand o discheta este plasata intr-un drive. Intercepteaza mesajele "write protected error writing drive...", atunci cand in drive se afla plasat un floppy.


 MPS.682

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
682 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MS.748

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
748 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MtE.Dedicated

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2868 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mtz.971

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
971 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Murphy.1477

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1477 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.Digger

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 MutaGen.100.Test

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1325 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MutInt.680

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
680 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Natas.4744

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4744 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 Neuroquila

Pseudonime:
Havoc
Wedding
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH.
Spatiul ocupat pe disc:
4644 o.
Mesaje afisate de virus:
La trei luni de la infectie, virusul va afisa urmatorul text : by Neurobasher Germany '93/Germany -GRIPPED-BY-FEAR-UNTIL-DEATH-US-DO-PAR-
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
ntreruperi interceptate:
21
13
Comentarii:
Este un virus multiinfector. Este rezident in memorie. Foloseste tehnici de ascundere. Are un polimorfism bazat pe data si timpul curent al sistemului. Virusul infecteaza MBR-ul si devine rezident in memorie interceptind INT 13. Sectorul original de boot (pe locul caruia va fi virusul), este mutat la fata 0, pista 0, sector 7 de pe primul disc fizic. Lungimea fisierului infectat va creste cu un numar de biti calculat dupa formula : 4675-((lung.fisier+4)mod32). Aceasta valoare se va situa intre 4644 si 4675.


 AMSV.443

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
443 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Night.2048

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nobock.440

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
440 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Norway.673

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
673 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Awake

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.1686

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1686 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nutcracker.AB1.Antarex.A

Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii:
Familia virusului:
Nutcracker
Mesaje neafisate dar continute de corpul virusului:
1995 ; Mesajul continut de virus si neafisat nu este criptat.
Nutcracker ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .BIN.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
1C
21
13
A se vedea si:
Nutcracker.AB7
Comentarii:
Virusul infecteaza fisierele BIN, COM si EXE, corupe fisierele EXE si are efect de 'cal troian' asupra fisierelor SYS. Daca intervine o eroare, in timp ce virusul se auto-instaleaza, el va sterge COMS-ul si va reboot-a PC-ul. Ca si Nutcracker.AB2, in functie de timer-ul sistem, difuzeaza o tema muzicala dintr-un film Rusesc, de desene animate.


 Oeur.3072

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 Open.1183

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1183 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Overkill.1308

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1308 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 PAN. 667

Spatiul ocupat pe disc:
667 o.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Originea geografica:
Nec. Posibil Romania
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Este criptat cu un decriptor constant (XOR)
Mesaje neafisate dar continute de corpul virusului:
*.COM
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Se copiaza la sfirsitul fisierului si inscrie la inceput un JMP la virus; se executa mai intii virusul, apoi programul cerut.
A se vedea si:
Pan.1000
Conditii de declansare a infectarii:
Sa se execute un fisier virusat si sa existe un fisier cu extensia COM, nevirusat si de lungime intre 400 si 62000. Cautarea victimei se face folosind functiile de sistem FindFirst si FindNext.
Modul de autodetectare a virusului pe disc:
Ffisierele virusate incep cu 0E9h (JMP). La destinatia JMP in fisierele virusate se afla octetii 50h, 0E8h, 2, 0.
Comentarii:
Se fac verificari la toate operatiile cu fisiere, din acest punct de vedere virusul fiind realizat ingrijit. Orice eroare duce la abandonarea virusarii. Este un virus realizat "ca la scoala".


 Pathogen_SMEG

Virusul infecteaza interceptand apelurile DOS la fisiere.
Este reziden in top, alocand un nou MCB ce ocupa paragraful superior 1EBh al memoriei. Nu modifica 000:413.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Este reziden in top, alocand un nou MCB ce ocupa paragraful superior 1EBh al memoriei. Nu modifica 000:413.
Dimensiunea memoriei ocupate:
7856 o.
Este reziden in top, alocand un nou MCB ce ocupa paragraful superior 1EBh al memoriei. Nu modifica 000:413.
Spatiul ocupat pe disc:
4000 o.
De la 4000 la 5000 de bytes.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Este reziden in top, alocand un nou MCB ce ocupa paragraful superior 1EBh al memoriei. Nu modifica 000:413.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Este reziden in top, alocand un nou MCB ce ocupa paragraful superior 1EBh al memoriei. Nu modifica 000:413.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
Mesaje afisate de virus:
"Your hard-disk is being corrupted, courtesy of PATHOGEN!

Programmed in the U.K. (Yes, NOT Bulgaria!) [C] The Black Baron 1993-4

Featuring SMEG v0.1: Simulated Metamorphic Encryption Generator!

'Smoke me a kipper, I`ll be back for breakfast.....'

Unfortunately some of your data won`t!!!!!" ; Mesajul continut de virus si afisat este criptat.
Mesajul este afisat aˇsa cum este formatat alaturat.. El este DUBLU-ENCRIPTAT in cadrul corpului virusului , folosindu-se o descriere polimorfica obisnuita, iar apoi el este encriptat printr-un simplu NOT. Mesajul ramane encriptat in memorie doar prin NOT.; Mesajul este afisat aˇsa cum este formatat alaturat.. El este DUBLU-ENCRIPTAT in cadrul corpului virusului , folosindu-se o descriere polimorfica obisnuita, iar apoi el este encriptat printr-un simplu NOT. Mesajul ramane encriptat in memorie doar prin NOT.
Mesaje neafisate dar continute de corpul virusului:
"SMEG v0.1" ; Mesajul continut de virus si neafisat este criptat.
Acest mesaj este encriptat, dar insa in encriptarea initiala din corpul viruslui. Sirul este vizibil in memorie.; Acest mesaj este encriptat, dar insa in encriptarea initiala din corpul viruslui. Sirul este vizibil in memorie.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Tehnici de protejare:
- Foloseste INT 3 pentru unele functii ale sale.
Raspandirea virusului:
In atentia cercetatorilor. ; la data: 4/4/94
ntreruperi interceptate:
21 / 18
21 / 4B
21 / 6C
13 / 20
Efecte distructive:
Scrie, aleator, sectoarele.
Conditii de declansare a efectelor distructive:
DayofWeek=Monday Time=17:00:00 (nu este verificat)
Conditii de declansare a infectarii:
EXEC (int 21h func 4B)
Modul de autodetectare a virusului in memorie:
Int 21h func 18FF -> AX=e701h
Modul de autodetectare a virusului pe disc:
Year+100
Constrangeri necesare virusului pentru a functiona:
DOS>4.x
Comentarii:
Acest virus se pare ca s-a raspandit foarte repede in United Kingdom. El este foarte polimorfic, folosind un mare numar de instructiuni nerelevante in codul de decriptare prezent si foloseste o mare varietate de tehnici pentru a implementa transferul controlului la sfarsitul buclei.


 Pcflu.2112

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2112 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Peasant.1243

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1243 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Phoenix.Evil

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1701 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pifpaf.760

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
760 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.295

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
295 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ANDROMEDA.1024b

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.854

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
342 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Hydra.736

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
736 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Plutto.602

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
602 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Predator

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2248 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 Problem.734

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
734 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Psyco.804

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
804 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Quit.555

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
555 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Rainbow

Virusul modifica data si ora fisierelor infectate.
Acesta este patternul hexa din MBS (Master Boot Sector); pentru DBS (Disk Boot Sector), patternul hexa este urmatorul: BB00 7C8E D38B E38E C3B8 0502 B9?? ??BA 0001 CD13 9AA5 8300
iar pentru fisiere si memorie, patternul hexa este: E800 005E 83EE 03B8 AD1B CD13 3DED DE75 450E 1F81 C664 0781
Dimensiunea memoriei ocupate:
3 ko.
Acesta este patternul hexa din MBS (Master Boot Sector); pentru DBS (Disk Boot Sector), patternul hexa este urmatorul: BB00 7C8E D38B E38E C3B8 0502 B9?? ??BA 0001 CD13 9AA5 8300

iar pentru fisiere si memorie, patternul hexa este: E800 005E 83EE 03B8 AD1B CD13 3DED DE75 450E 1F81 C664 0781
Spatiul ocupat pe disc:
2351 o.
Acesta este patternul hexa din MBS (Master Boot Sector); pentru DBS (Disk Boot Sector), patternul hexa este urmatorul: BB00 7C8E D38B E38E C3B8 0502 B9?? ??BA 0001 CD13 9AA5 8300

iar pentru fisiere si memorie, patternul hexa este: E800 005E 83EE 03B8 AD1B CD13 3DED DE75 450E 1F81 C664 0781
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii:
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
'roy g biv' ; Mesajul continut de virus si neafisat nu este criptat.
'*4U2NV*'
Virusul isi trage numele dintr-un mesaj text din corpul sau si care reprezinta acronimul culorilor unui curcubeu (rainbow).
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Este un virus multi-infector, infectand MBS-ul hard disc-ului, sectorul de boot DOS al floppy-urilor, fisierele COM si cele avand structura de tip EXE (EXE, DRV, 386, XTP). Fisierele de tip COM sunt infectate doar daca lungimea lor este 63057 bytes si extensia sa este COM sau com. Fisierele de tip EXE sunt infectate atunci cand lungimea fisierului etse specificata in headerul EXE. Procedurile de ascundere ale virusului Rainbow includ ascunderea lungimii fisierelor infectate si semnatura virusului in marcajul temporal.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
01
12
13
21
24 / 2F
Pentru Int 21h, este vorba de functiile: 11h,12h, 3Ch, 3Dh, 3Eh, 3Fh, 40h, 42h, 4Bh, 4Eh, 4Fh, 57h, 5Bh, 6Ch.; Pentru Int 21h, este vorba de functiile: 11h,12h, 3Ch, 3Dh, 3Eh, 3Fh, 40h, 42h, 4Bh, 4Eh, 4Fh, 57h, 5Bh, 6Ch.
Modul de autodetectare a virusului pe disc:
[MBS: word 83A5 Hex at offset 15h]. [DBS: word 83A5 Hex at offset 53h]. [Files: seconds field in time stamp=62]
Comentarii:
Este un virus multi-infector, avand 2351 bytes lungime, raspandindu-se printre partitii si directoare, rezidand in sectorul de boot si in multe fisiere executabile. Carateristicile sale cele mai interesante sunt tehnicile sale de ascundere, precum si metoda de a dezactiva boot-ul curat de pe un floppy sistem fara a altera continutul CMOS-ului. O incercare de start de pe o discheta sistem are ac rezultat blocarea sistemului, inainte sa apara promptul pentru comanda - nici drive-ul C:, nici drive-ul A: nu sunt accesibile. Atunci cand se executa un fisier infectat, Rainbow se auto-instaleaza in memorie, interceptand toate intreruperile consecutive. Spre deosebire de majoritatea virusilor multi-infectori, Rainbow nu are nevoie sa fie incarcat de pe un sector de boot infectat pentru a capata functionalitate completa. Rainbow se poate raspandi si poate infecta fisiere si sectoare de boot de pe floppy, chiar si pe statiile de lucru care nu sunt echipate cu hard disc. Indepartarea sigura a oricarui virus de pe un sistem infectat se bazeaza intotdeauna pe un boot curat de pe o discheta sistem, ceea ce nu este usor de facut in toate cazurile. Cei care inca mai folosesc MS-DOS v4 sau versiuni anterioare, pot utiliza obisnuitele floppy-uri sistem, insa cei care s-au actualizat la versiunea v5 sau ulterioare s-ar putea sa aiba probleme daca masinile lor sunt infectate cu Rainbow. Pentru a avea acces la un MBS infectat/corupt, eradicand problema partitiei recursive, fie se face boot de pe versiuni mai vechi, fie boot de pe un disc infectat, apoi dezactivand virusului in memorie sau evitand rutinele sale stealth. Daca se alege prima metoda, este necesar un floppy sistem pentru versiuni DOS mai vechi - dar, cat de multi utilizatori de laptop au dischete DOS 4, de 3.5", boot-abile? Ultima solutie, necesita un produs anti-virus care poate detecta si dezactiva virusii din memorie sau poate lucra corespunzator atunci cand virusii sunt activi in sistem. In cazul virusului Rainbow, aceasta nu apare ca simplu task. Concluzie: Unul dintre mesajele continute de acest virus in corpul sau este '*4U2NV*' care poate fi citit astfel: 'For you to envy' (noi am zice asa: pentru a invidia sau pentru a uri). Unii scriitori de virusi ar putea invidia cu siguranta pe autorul virusului Rainbow, pentru ideile si indemanarea sa, insa daca virusul ajunge sa fie unul comun prin natura, majoritatea comunitatii PC va ajunge sa-l urasca.


 Rape.575

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
575 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 RDA.Fighter.7408

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
7408 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 Riluttanza.689

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
689 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Aladdin.886

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
886 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Conjurer.VCC.408

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
408 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Evil.769

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
769 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Mega.506

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
506 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ansi.881

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
881 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele ANSI.


 Riot.Sturm.410

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
410 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 RMC.1551

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1551 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Mesaje afisate de virus:
'HAPPY BIRTHDAY MIRCEA!'
'THIS VIRUS WAS MADE BY RACASAN MIRCEA AND TODAY IS HIS BIRTHDAY....'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Acest virus contine un 'payload' pe care-l actioneaza pe data de 22 Februarie. La aceasta data, apare un prim mesaj, cu efecte video, apoi un al doilea mesaj, de dimensiuni normale.


 Rom.397

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
397 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Rz.160

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Satan-Bug

Pseudonime:
Satin-Bug
Virusul este prost scris (are erori).
DOS 9k, BIOS 10k
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
DOS 9k, BIOS 10k
Dimensiunea memoriei ocupate:
9 ko.
DOS 9k, BIOS 10k
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
DOS 9k, BIOS 10k
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
DOS 9k, BIOS 10k
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
"Satan Bug virus - Little Loc" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Pe PC - fisierele deschise prin Int 21h Fn 3Dh, 4Bh, sau 6Ch - incearca sa determine daca este .EXE sau .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
APPENDING cu redirectarea primilor patru bytes.

; la data: 9/1/93
ntreruperi interceptate:
21
Efecte colaterale:
Fisierele .EXE & overlay pot esua - similar ca iŞn cazul virusului Jerusalem au Sunday.
Conditii de declansare a infectarii:
Atunci cand este rezident in memorie, virusl infecteaza tot ce pare a fi executabil, un program trebuind sa depaseaca dimensiunea minima (abt 200 - pare a fi o erpare de codificare?) pentru a fi infectat.
Modul de autodetectare a virusului in memorie:
Int 21h Fn F9h returneaza AC0Ah
Modul de autodetectare a virusului pe disc:
Adauga 100 la inregistrarea "year" (in mod normal, neafisata)
Constrangeri necesare virusului pentru a functiona:
Virusul va deveni rezident doar daca "COMSPEC=" este prima intrarea din sirul "environment", iar COMMAND.COM (atat uppercase cat si lowercase) este ultimul element al primei intrari.
Comentarii:
Codificarea pare sa se fi facut in limbajul de asamblare MicroSoft MASM, versiunea 5.0 sau anterioara. S-a folosit un mecanism defect, pentru alocarea memoriei, rezultand o nepotrivire intre DOS si BIOS. De asemenea, cel care a programat nu pare sa fie familiar cu flag-urile. Unele scanner-e Şil identifica corect in memorie si in fisiere, dar nu si in .COM-ul original (dimensiune/offset ?). Virusul incearca sa elimine/corecteze codul de validare adaugat la fisier de catre McAfee "SCAN" si de CPAV "Immune".


 Scitzo.1285

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1285 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Search.288

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
288 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.549

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
549 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sentinel.5173

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5173 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Shark.1283

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1283 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Shutdown.644

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
644 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.106

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
106 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 SillyC.174

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
174 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'\*.COM'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 SillyC.306

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
306 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.91

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
91 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyOR.DOS5.98

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
98 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 AntiPascal.605

Pseudonime:
AP605
Anti_Pascal.605
Anti-Pascal
Anti-Pascal 2
C605
V605
Ant_Pascal (1).605
Anti-Pascal_I
Anti-P [AP]
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Aloca memorie, redimensioneaza memoria. Totusi, el este raportat si ca fiind nerezident.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Aloca memorie, redimensioneaza memoria. Totusi, el este raportat si ca fiind nerezident.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
605 o.
Aloca memorie, redimensioneaza memoria. Totusi, el este raportat si ca fiind nerezident.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Aloca memorie, redimensioneaza memoria. Totusi, el este raportat si ca fiind nerezident.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
Sofia, Bulgaria
Aloca memorie, redimensioneaza memoria. Totusi, el este raportat si ca fiind nerezident.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
com, bak, pas, ???, exe ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .EXE identificate prin tip.
Doar fisierele COM a caror lungime, anterioara infectarii, este intre 605 si 64.930 bytes vor fi infectate.
Raspandirea virusului:
Virus comun.
ntreruperi interceptate:
24
Intreruperi utilizate (dezactiveaza, activeaza intreruperile): 11, 21/0E, 21/19, 21/1A, 21/25, 21/3B, 21/3D, 21/3E, 21/3F, 21/40, 21/42, 21/44, 21/48, 21/49, 21/4A, 21/4C, 21/25, 21/56.
Efecte distructive:
Pagubele sunt substantiale. Fisierele .BAK si .PAS vor fi corupte sau sterse.
Comentarii:
Are acelasi autor ca si virusii Anti_Pascal (2).400, .440 si .480. Simptome: fisierele infectate, din director, au marcajele data/ora actualizate la data/ora momentului infectarii. Toate fisierele sporesc in dimensiune cu 605 bytes. Tinta virusului este Turbo-Pascal. Propagare: Atunci cand un program COM infectat este executat, virusul incearca sa infecteze alte doua fisiere COM, aflate, fie pe drive-ul curent, fie pe drive-ul D:. Astfel de fisiere trebuie sa aiba lungimea cuprinsa intre 605 si 64.930 bytes si nu trebuie sa fie "read-only". In timpul infectarii, primii 605 bytes ai programului COM sunt inlocuiti prin virus, iar bytes-ii originali sunt adaugati la sfarsitul fisierului COM, sporindu-i astfel dimensiunea cu 605. Daca acest virus nu gaseste doua fisiere COM de infectat, el se uita, in directorul curent, dupa fisiere .BAK si .PAS (surse Pascal). Daca aceste fisiere exista, ele sunt suprascrise de codul virusului. Virusul incearca apoi sa redenumeasca fisierul, cu o extensie COM sau EXE, dar datorita unui bug din cod, acest truc final nu merge niciodata. Atributul "read-only" va preveni infectia. Istorie: Conform raportului, acest virus a fost scris ca razbunare impotriva unui fost patron. Variante posibile ale virusului sunt: Anti_Pascal.529, Anti_Pascal.II.400. Este corelat cu virusii: AntiPas-605, Pascal-605, Anti-Pascal (A), Anti-Pascal (R2).


 SillyRC.239

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
239 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRE.2304

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2304 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.1070

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1070 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Annihilator.711

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
711 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Sk.626

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
626 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Slovakia.1356

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Small.108

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
108 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.132

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
132 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.80

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
80 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Socha.753

Pseudonime:
Socha
Fam1
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
753 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Eastern Europe
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Conditii de declansare a infectarii:
Pentru a infecta, aparent, virusul verifica daca anul sistem este 1991.


 Sov.1205

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1205 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Spring.768

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
768 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Star.486

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul rezida in RAM-ul video.
Spatiul ocupat pe disc:
486 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Stink.1273

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1273 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Storm.1153

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1153 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Suicide.2048

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 April1st.EXE

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1488 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SVC.4661

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4661 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).
- Infecteaza boot-ul.


 Syrian.241

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
241 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TaiPan.434

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
434 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Taz.987

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
987 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tequila.c

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2469 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 TheBestOne.1281

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1281 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Timid.297

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
297 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Timid.526

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
526 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Tiny.162

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
162 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Titanium.844

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
844 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Tormentor.476

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
476 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 TPE.Poet

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2114 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Trickster

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1661 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.207

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
207 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.342

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
342 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.66

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
66 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Australian.Middle.491

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
491 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Avalanche.2831

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2831 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Backfont.1172

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1172 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Badboy.1074

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1074 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bailey.380

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
380 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Basilisk.1639

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1639 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Bug.1497

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1497 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 BURGER_560-8

Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Supra-scrie in fisierul original , astfel lungimea acestuia nu va creste.
Comentarii:
Virusul cauta fisiere COM in "A:" pe care le infecteaza o singura data. Daca nu gasesta fisiere COM va continua sa caute fisiere EXE in "A:" pe care le va redenumi COM dupa care (normal fiind) le va infecta.


 CANNA615

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
1568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
"LEGALIZE CANNA615"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AX=4B00h
24
Efecte distructive:
Nu see manifesta distructiv.
Comentarii:
Virusul verifica daca este rezident in memorie. Daca "Nu" va deveni rezident interceptind INT 21h. Apoi, daca este vineri si timpul 00:00 va afisa mesajul, dupa care executa fisierul original. Vor fi infectate toate fisierele "curate" care se executa. Intercepteaza INT 24h pentru a se feri de fisierele protejate la scriere.


 Cascade.1621

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1621 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 CAZ.1159.b

Pseudonime:
CAZ
CAZ #2
CAZ.1159
Zaragosa
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele sistem.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
Comentarii:
Ca simptome, virusul seteaza secundele fisierelor infectate la 62 si scrie caracterele in mod TTY.


 Chameleon.1256

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1256 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Curse.400

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 CyberTech.1313

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1313 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Daisy

Mesaje afisate de virus:
Virusul afiseaza pe ecran un mic desen (o fata zimbitoare) si mesajul: "Hi, I'm Crazy Daisy!…Say goodbye to your files!"
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Efecte distructive:
Cind toate fisierele EXE din A:\drive sint infectate sistemul se va opri. Virusul supra-scrie peste fisierul original. Cind un fisier infectat se executa va aparea mesajul: "1. Pretty day today - isn't it ? 2. Don't worry - sing a song ! 3. Life isn't easy ! 4. Don't halt your computer ! Let's be friends!
Comentarii:
Dupa afisarea mesajului, virusul va cauta daca sint fisiere EXE "curate" in A:\drive dupa care le infecteaza pe toate. Astfel sistemul se va opri. Nu intercepteaza INT 24h, deci vor aparea erori cind se incearca infectarea fisierelor protejate la scriere.


 Darkray.1525

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1525 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Datacrime.1514

Pseudonime:
Datacrime II
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1514 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
'* DATACRIME II VIRUS *' ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
Comentarii:
Virusul este criptat exceptand primii 56 bytes, insa mesajul afisat nu mai este criptat separat. Codul a fost suplimentat cu o rutina de criptare. Mesajul este acum: '* DATACRIME II VIRUS *'.


 DeathBoy.640

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 EAF0.737

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
737 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Eddie.1799

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1799 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Oliver

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2136 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ekoterror

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
2048 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza MBR-ul de pe hard disc.
Efecte distructive:
MBR-ul este distrus in timpul infectiei.
Comentarii:
Cind un program infectat este executat, codul virusului se va scrie in tabela de partitie (MBR). Nu verifica daca a mai fost infectat. Asta face ca datele din MBR sa dispara dupa executia mai multor programe infectate. Daca virusul invadeaza sistemul cind cind se boot-eaza de pe hard disc, vor fi interceptate INT 08h, INT 13h. Prin INT 08h se verifica daca a fost instalat DOS-ul. Prin interceptia INT 21h se infecteaza fisierele COM atit la scriere cit si la citire. Daca virusul a infectat MBR-ul, utilizatorul nu poate incarca sau salva date pe hard disc daca sistemul a fost boot-at de pe o discheta (deoarece tabela de partitie a fost schimbata). Virusul deplaseaza datele originale din tabela de partitie la fata 0, pista 0, sector 5.De fiecare data cind infectaza se va aduna 4 la numarul sectorului. Daca DOS nu este incarcat atunci virusul nu poate intercepta INT 21h.


 Enculator.1089

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1089 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 ErrorVirus.1223

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1223 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Frida.538

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
538 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Froll.1665

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1665 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GCAE.Demo.2915

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2915 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GetLost.734

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
734 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Gippo.1234

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1234 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Goblin.1759

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1759 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 HLLC.Arj.7952

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7952 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.PC-Alive.8902

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8902 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.4032

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4032 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.JJJ.3816

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3816 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.3072.b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.7529

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7529 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.2000

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Nu infecteaza si COMMAND.COM.


 Jerusalem.Distrutto

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1588 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Jerusalem.Pipi.1536

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Solano

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1991 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 9
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Jerusalem.Xed.1238

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1238 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Julia.1000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Lapidario.787

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
787 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leech.Tazta.1008

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1008 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Leprosy.1818

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1818 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.664

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
664 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Echo.425

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
425 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Sandra.606

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
606 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Marzia.Petunia

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 MD.557

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
557 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MemLapse.839

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
839 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Metallica.400

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Microbi.312

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
312 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mini.108

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
108 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.928

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
928 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Vandor.1024

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Vdv.390

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
390 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vic.793

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
793 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.1006

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1006 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.435

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
435 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VME_2.Demo

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1698 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VS.2790

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2790 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Wally.981

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
981 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WildThing.555

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
555 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WinWord.Nuclear

Virusul produce efecte vizuale.
Tipuri de fisiere infectate:
- Infecteaza fisierele .DOC.


 WM.Badboy.A

Pseudonime:
WordMacro/BadBoy
MW:BadBoy-A
Macro.Word.BadBoy
BadBoy.A
Tehnici de ascundere:
Sunt folosite.
.,bja;fldsgh;eafldkg
Mesaje afisate de virus:
"Bad Boy BadBoy, What u gonna do / What u gonna do when they come for you / The Gangsta owns you ! / Have a happy new year!"
Comentarii:
Badboy.A este un virus de Word. Numarul de macrouri este 5 si sint criptate. Dimensiunea fiecarui macrou este 1873 Bytes. Virusul infecteaza normal.dot cind documentul infectat este deschis. In plus documentele care vor fi salvate prin comanda "FileSaveAs" vor fi contaminate. Cind un fisier infectat este deschis in data de 1 sau 13 a fiecarei luni (normal.dot este deja infectat), Badboy afiseaza un mesaj si seteaza parola "gansta" pentru documentul activ. Deasemenea schimba informatiile din File Summary astfel: "Author=Kenny-G sux", "Keywords=Gansta Rappa", "Comments=The Mutha mix". Pentru a fi mai greu de gasit inlatura meniurile Tools/Macro, Tools/Customize si File/Templates. Aceasta este o tehnica specifica de ascundere a virusilor cu macro-uri.


 Yankee.2E

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2977 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 YB.299

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
299 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zed.287

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
287 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Zmt.262

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
262 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 _667

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
667 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Originea geografica:
England
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
*.COM
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
Conditii de declansare a infectarii:
Exec and (LengthCOM > 400) and (LengthCOM < 62000) and (Exist *.COM). Virusare cu FindFirst
Modul de autodetectare a virusului pe disc:
(byte)File[0]=0E9h and (dword)File[(word)File[1]+3]=2E850h
Comentarii:
Se fac verificari la toate operatiile cu fisiere, din acest punct de vedere virusul fiind realizat ingrijit.
Orice eroare duce la abandonarea virusarii. Este un virus realizat "ca la scoala".


 7son.284

Pseudonime:
Seventh_Son.284
7son4
Seventh_Son
7thson 284
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
284 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Eastern Europe
Mesaje afisate de virus:
Seventh son of a seventh son, *.COM ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Raspandirea virusului:
In atentia cercetatorilor.
ntreruperi interceptate:
24


 ABCD

Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul este rezident in memorie. Calculatorul se infecteaza prin boot-area de pe o discheta infectata. Este criptat. Se ascunde cit timp este in memorie. In cele mai multe cazuri , dupa o infectie, hardul sau discheta trebuiesc reparate in intregime.


 Acme

Virusul produce efecte sonore.
Dupa ora 4 P.M. va produce un sunet si sistemul se va opri.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Inainte de ora 4 P.M. virusul cauta un fisier EXE. Va crea un fisier COM de 932 bytes cu atributele "hidden & read-only" care va avea numele fisierului EXE. Nu este in libertate.


 Aids Information Kit Trojan

Pseudonime:
AIDS Trojan
PC Cyborg Trojan
Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Virusul este scris intr-un limbaj de nivel inalt deci seamana cu programele scrise in acel limbaj.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Originea geografica:
USA, Europe
Caracteristici polimorfice:
- Nu este criptat.
Trojsn nu este encriptat, desi el encripteaza toate "filename"-urile pe care le gase3te pe disc cu exceptia fisierelor sistem si a COMMAND.COM-ului.
Mesaje afisate de virus:
It is time to pay for your software lease from PC Cyborg Corporation.

Complete the INVOICE and attach payment for the lease option of your choice.

If you don't use the printed INVOICE, then be sure to refer to the important reference numbers below in all correspondence. In return you will recieve: - a renewal software package with easy to follow, complete instructions; - an automatic, self installing diskette that anyone can apply in minutes.
Mesajul apare afisat din cand in cand.
Efecte distructive:
Pagubele sunt substantiale. Toate numele pentru intrari tip director si toate numele de fisiere sunt encriptate printr-un algoritm de encriptare, simpla, bazata pe caracter.Aapoi, in cadrul directorului, fiecare nume de fisier este resetat cu atributele Read Only si Hidden. Numele de directoare sunt setate si ele pe Hidden, dar nu sunt encriptate. (Fisierele sistem si COMMAND:COM sunt, in mod specific, excluse de la procesul de encriptare cu scopul de a permite masinii sa boot-eze.) Spatiul devenit liber din partitia C este umplut cu un fisier continand un numar de siruri constand in blank-uri urmate de CR/LF. De fiecare data cand calculatorul boot-eaza, este simulata executia lui COMMAND.COM. Aproape toate comenzile sunt acompaniate de un mesaj de eroare. Comanda DIR arata directorul de dinaintea encriptarii.
Conditii de declansare a efectelor distructive:
Boot-area sistemului de maximum 90 de ori; contorul care determina numarul de boot-ari pare insa ca starteaza cu un numar aleator, ca urmare, sunt situatii in care si mai putin de 90 de boot-ari vor fi suficiente.
Comentarii:
Exista un un fisier ascuns, numit REM<255>.EXE, avand lungimea de 146188 bytes, aflat intr-un subdirector ascuns, numit <255>: (De notat faptul ca <255> reprezinta caracterul ASCII 255, care nu se imprima si adesea nu apare ca spatiu pe ecran, desi in multe alte programe utilitare el este vizibil.) Acest fisier este distribuit ca INSTALL.EXE impreuna cu un alt fisier, numit AIDS.EXE, pe suportul AIDS Information Disk of PC Cyborg, Panama. La sfarsitul fisierului AUTOEXEC.BAT pe care Trojan il creeaza si-l face ascuns, si pe care calculatorul il executa, se gaseste urmatorul sir: echo off
C:
cd<255>
rem<255> PLEASE USE THE auto.bat FILE INSTEAD OF autoexec.bat FOR CONVENIENCE auto.bat De remarcat si faptul ca ceea ce apare pentru utilizator ca fiind REMARK nu este un comentariu nefunctional ci mai de graba o comanda de executare a unui fisier .EXE ascuns, numit REM<255>, aflat intr-un director ascuns, numit <255>. Totusi, cat timp <255> nu apare pe ecran, utilizatorul nu va sesiza ca aceasta linie este altceva decat un REMARK. Odata ce fisierul REM<255>.EXE a fost executat, AUTOEXEC.BAT curent va accesa apoi fisierul AUTOEXEC.BAT original al utilizatorului, pe care Trojan l-a redenumit AUTO.BAT. Mai tarziu, utilizatorul ar putea tasta TYPE AUTOEXEC.BAT (urmand instructiunile date de Trojan), ar putea vedea AUTOEXEC.BAT-ul original, redenumit AUTO.BAT. Din cand in cand se afiseaza un mesaj. In timpul fazei de instalare, un fisier de 50401 bytes lungime, continand spatii, carriage return-uri si line feed-uri, este scris pentru a rezerva spatiu necesar pentru Trojan in timpul fazei de declansare; daca nu este spatiu suficient pentru acesta si pentru cele 4 fisiere pe care Trojan le foloseste, programul de instalare se termina cu urmatorul mesaj: "Sorry, the hard disk drive c is too full. Remove a few old files from it and try again." AIDS.EXE se va executa doar dupa executarea lui INSTALL.EXE pe drive-ul C. Unele directoare ascunse sunt create continand subdirectoare ascunse, precum si unele fisiere care sunt folosite de Trojan. Numele acestor directoare, precum si cele ale fisierelor contin un amestec de "underscore"-uri (_), spatii (ASCII 32) si caracterul neimprimabil ASCII 255, astfel incat ceea ce va apare pe ecran (daca atributele hidden sunt indepartate) va fi o serie de puncte (.) si backslash-uri (\), si bineinteles mesajele de eroare create de Trojan. AIDS.EXE si INSTALL.EXE au fost scrise in Microsoft Quick Basic 3.0. Trojan contine un modul proiectat pentru a tracasa utilizatorul lasandu-l sa creada ca ceea ce executa este sistemul cu care opereaza, adica DOS, in timp ce de fapt Trojan este cel care controleaza evenimentele si afisarea mesajelor de eroare. De exemplu, reboot-area inseamna un boot direct in DOS exceptand repetarea mesajului de atentionare: "The lease for a key software package has expired and that further action could result in the destruction of all of the files on Drive ". Daca se introduce comanda DIR, utilizatorului i se arata, ca listing de fisiere pentru C:\, ceea ce pare ca fiind corect, ceea ce inseamna ca, de fap,t contine fisierul READ.ME. Acest fisier, de fapt, nu exista, dar daca se tasteaza TYPE READ.ME, ceea ce va apare pe ecran este mesajul: "You are advised to stop using this computer. The software lease has expired. Important: Renew the software lease before you use this computer again."


 Albania.606

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
606 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Arcv.571

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
571 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.916.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
916 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.Joanna.911

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
911 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Armagedon.1074

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1074 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
"Armageddon the GREEK"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Asmodeous.1160

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Astra_II.927

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
927 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Atomic.480

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
480 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.142

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
142 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.306

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
306 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.819

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
819 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beavis.671

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul cauta memorie libera in jurul limitei de 640KB si se instaleaza acolo.
Spatiul ocupat pe disc:
671 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Beer.3307

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3307 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 BetaBoys.441

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Billy.836

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
836 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Blackjec.230

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
230 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
USSR
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.300

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blaze.284

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
284 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Bobo.427

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
427 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 BootCOM.Peanut.444

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
444 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 BRAIN2

Virusul produce efecte sonore.
Afiseaza o suprafata clipitoare. Aceasta se face prin interceptarea INT 1Ch cind data sistemului este 1Februarie, Iulie, Septembrie sau Decembrie.
Virusul produce efecte vizuale.
Afiseaza o suprafata clipitoare. Aceasta se face prin interceptarea INT 1Ch cind data sistemului este 1Februarie, Iulie, Septembrie sau Decembrie.
Spatiul ocupat pe disc:
1935 o.
Afiseaza o suprafata clipitoare. Aceasta se face prin interceptarea INT 1Ch cind data sistemului este 1Februarie, Iulie, Septembrie sau Decembrie.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AX=4B00h
24
1C
Efecte distructive:
Nu are efecte distructive
Comentarii:
Virusul va afisa niste mesaje si va cinta ceva daca data sistemului este 17 Noembrie sau 6 Februarie. Va verifica daca este deja rezident in memorie, daca nu se va incarca interceptind intreruperea INT 21h. Se executa fisierul original. Virusul intercepteaza INT 24h asigurindu-se ca nu va fi descoperit cind infecteaza fisiere protejate la scriere.


 ChDir.523

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
523 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Christ.483

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
483 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Civilwar.158

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
158 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Antidaf.561

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
561 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Clinton.654

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
654 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Coffeeshop.1568

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Companion.85

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
85 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 COMVIRUS 1.0

Pseudonime:
Comvirus
CV4
Prague ComVirus-a
Mesaje afisate de virus:
This file infected with COMVIRUS 1.0
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / 09
21 / 0B
21 / 1A
21 / 1B
21 / 3D
21 / 3E
21 / 40
21 / 4200
21 / 4202
21 / 4301
21 / 4E
21 / 4F
21 / 5701
Comentarii:
Ca simptome, afiseaza mesajul: "This file infected with COMVIRUS 1.0 " -- Infecteaza doar fisierele COM din root-ul drive-ului floppy curent. Contine un text necriptat: *.COM. Codul sursa contine urmatoarele comentarii: "Autorul acestui virus il vizeaza sa fie utilizat doar in scopuri educative si nu-si asuma nici un fel de responsabilitati privind lansarea, pagubele rezultate din utilizarea sa, inclusiv stricarea echipamentelor sau pierderea datelor. Asambland sau examinand acest program, utilizatorul este de acord sa accepte toate responsabilitatile pentru utilizarea acestui program sau a oricaror portiuni de cod sau concepte pe care le contine. De asemenea, utilizatorul este de acord sa nu lanseze public acest virus si sa ia masurile necesare pentru a preveni raspandirea lui. Nu veniti la mine cu pretentia ca vi s-a infectat hard discul pentru ca THERE IS NO ANTIDOTE. HAHAHAH."


 Cracky.546

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
546 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Criminal.2615

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2615 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Deicide.2405

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2405 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Democracy.3806

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3806 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DHeart.452

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
452 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Diamond.608

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
608 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Die.666

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
666 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DirII.1024

Pseudonime:
"Creeping Death"
Dimensiunea memoriei ocupate:
61 paragrafe.
FirstMCB (daca este incarcat dupa primul MCB), NewMCB (daca este incarcat in alta parte).
Spatiul ocupat pe disc:
1024 o.
FirstMCB (daca este incarcat dupa primul MCB), NewMCB (daca este incarcat in alta parte).
Tehnici de ascundere:
Sunt folosite.
Modul de penetrare a virusului:
Virusul foloseste direct apeluri din ROM BIOS cu scopul de a accesa discul. Virusul scaneaza memoria cautand un anumit sir de octeti. Daca il gaseste, va folosi un anume offset de la adresa unde a fost gasit sirul.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul scaneaza memoria cautand un anumit sir de octeti. Daca il gaseste, va folosi un anume offset de la adresa unde a fost gasit sirul.
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct.
Cum sunt infectate obiectele pe o masina (sau LAN)
Este un infector super-rapid.
FirstMCB (daca este incarcat dupa primul MCB), NewMCB (daca este incarcat in alta parte).
Cum sunt infectate obiectele neconectate:
Este un infector super-rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
FirstMCB (daca este incarcat dupa primul MCB), NewMCB (daca este incarcat in alta parte).
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele sistem.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Raspandirea virusului:
Virus comun. Regiunea geografica: South Africa ; la data: 8/26/93
Conditii de declansare a infectarii:
DriverCall
Virusul intercepteaza apelurile de driver-e, inspectand buffer-ul I/O pentru informatiile care apar ca fiiind intrari de director. Orice informatie care arata ca o intrare director pentru un fisier plin, avand extensia COM sau EXE, are FindCluster din intrarea sa director ajustata astfel incat sa pointeze pe o singura instanta a codului viral, pe disc. Valoarea FindCluster originala este encriptata si stocata intr-o portiune nefolosita a intrarii director, pentru a fi utilizata in scopul ascunderii.
Modul de autodetectare a virusului pe disc:
Daca intrarea director a fost deja modificata de catre infector, atunci fisierul se poate considera ca fiind lovit.
Comentarii:
Fisierele infectate pot fi recuperate cu ajutorul unui truc. Avand virusul rezident, redenumiti *.EXE si *.COM cu *.EEE si *.CCC. Aceasta va permite recuperarea intrarii in directorul original; cand intrarea este rescrisa pentru a implementa schimbarea de nume, infectorul va ignora fisierele deoarece numele lor nu se mai termina cu extensia EXE sau COM. Odata facute acestea, reboot-ati si redenumiti inapoi fisierele cu numele lor corect. Atentie! Virusul rescrie codul sau la sfarsitul ultimului cluster care nu este prost, de pe drive. Orice date memorate acolo sunt pierdute pentru totdeauna. In cazul (nefericit) in care un program restaurat incepea initial din acel cluster, programul restaurat va contine codul viral, suprascris peste inceputul fisierului. Cu alte cuvinte, acest fisier este acum infectat permanent si trebuie sters.


 DKiller.DK2.269

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
269 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Doshunter.483

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
483 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DSME.Connie.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2708 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Dutch_Tiny.311

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
311 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Exe_Bug.A

Pseudonime:
"CMOS virus"
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
1 sectoare.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13h / 02
13h / 03
Modul de penetrare a virusului:
Virusul foloseste INT 13h pentru a accesa discul.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
NONE
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/17(hard) pe un hard disc.
- Pista/capul/sectorul 40/0/1(360) pe un floppy de 360 KO.
- Pista/capul/sectorul 80/0/1(other floppy)
Raspandirea virusului:
Foarte raspandit. Regiunea geografica: South Africa ; la data: 5/1/93
ntreruperi interceptate:
13 / 02
13 / 03
A se vedea si:
Exe_Bug.Hooker
Efecte nedistructive:
NU
Conditii de declansare a efectelor nedistructive:
NU
Efecte distructive:
Sectoarele de pe hard-disc sunt convertite intr-un "disk-trashing trojan", sectoarele de pe discurile flexibile sunt convertite intr-un "virus-dropping trojan".
Conditii de declansare a efectelor distructive:
Int 13h write and sect=3 and buffer(0)='M' and ((disk=hard) and 512< trk<768) or (disk=flop and sect=3))
Efecte colaterale:
Tabela CMOS este alterata, floppy discurile nu se pot formata.
Conditii de declansare a infectarii:
La momentul unei lansari de pe un floppy (sau hard) disc infectat; sau in timpul unui INT13h/AH=02 (floppy)
Modul de autodetectare a virusului pe disc:
MBR(28h) =7Ch
Comentarii:
Tabela CMOS este alterata pentru a arata "drive A: not installed" determinand BIOS-ul sa renunte la boot-area de pe floppy-disc.Virusul este astfel capabil sa comande stergerea boot-arii, asteptand o noua boot-are de pe discheta dupa ce s-a autoincarcat de pe hard-disc.


 ExeHeader.Hobbit.416

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
416 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.XAM.278

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
278 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Faerie.276

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
276 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FatherMac.789

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
789 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FaxFree.Topo

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fichv.897

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
897 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Fish#6

Virusul produce efecte vizuale.
Unele autoritati au sugerat Bonn. Si asta pentru ca virusul este reminiscent din virusul Whale, care contine o referinta la MOTHER FISH precum si una la Hamburg. De notat ca numele de pesti care apar sunt cei Americani, ca scopul principal atat al acestui virus cat si al lui Whale pare sa tinteasca elaboratorii de produse antivirus, iar unii elaboratori de produse antivirus Americani nu fac o preferinta pentru Germani. Astfel, s-a tras concluzia ca Germania este ultimul loc de pe glob indicat sa fi produs acest virus!
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Unele autoritati au sugerat Bonn. Si asta pentru ca virusul este reminiscent din virusul Whale, care contine o referinta la MOTHER FISH precum si una la Hamburg. De notat ca numele de pesti care apar sunt cei Americani, ca scopul principal atat al acestui virus cat si al lui Whale pare sa tinteasca elaboratorii de produse antivirus, iar unii elaboratori de produse antivirus Americani nu fac o preferinta pentru Germani. Astfel, s-a tras concluzia ca Germania este ultimul loc de pe glob indicat sa fi produs acest virus!
Dimensiunea memoriei ocupate:
3584 o.
Unele autoritati au sugerat Bonn. Si asta pentru ca virusul este reminiscent din virusul Whale, care contine o referinta la MOTHER FISH precum si una la Hamburg. De notat ca numele de pesti care apar sunt cei Americani, ca scopul principal atat al acestui virus cat si al lui Whale pare sa tinteasca elaboratorii de produse antivirus, iar unii elaboratori de produse antivirus Americani nu fac o preferinta pentru Germani. Astfel, s-a tras concluzia ca Germania este ultimul loc de pe glob indicat sa fi produs acest virus!
Spatiul ocupat pe disc:
3584 o.
Unele autoritati au sugerat Bonn. Si asta pentru ca virusul este reminiscent din virusul Whale, care contine o referinta la MOTHER FISH precum si una la Hamburg. De notat ca numele de pesti care apar sunt cei Americani, ca scopul principal atat al acestui virus cat si al lui Whale pare sa tinteasca elaboratorii de produse antivirus, iar unii elaboratori de produse antivirus Americani nu fac o preferinta pentru Germani. Astfel, s-a tras concluzia ca Germania este ultimul loc de pe glob indicat sa fi produs acest virus!
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Bonn, West Germany
Unele autoritati au sugerat Bonn. Si asta pentru ca virusul este reminiscent din virusul Whale, care contine o referinta la MOTHER FISH precum si una la Hamburg. De notat ca numele de pesti care apar sunt cei Americani, ca scopul principal atat al acestui virus cat si al lui Whale pare sa tinteasca elaboratorii de produse antivirus, iar unii elaboratori de produse antivirus Americani nu fac o preferinta pentru Germani. Astfel, s-a tras concluzia ca Germania este ultimul loc de pe glob indicat sa fi produs acest virus!
Mesaje afisate de virus:
FISH VIRUS #6 - EACH DIFF - BONN 2/90 'Knzyvo}' ; Mesajul continut de virus si afisat este criptat.
Mesaje neafisate dar continute de corpul virusului:
COD, SHARK, CARP, BASS, FISH VIRUS #6 - EACH DIFF - BONN 2/90 'knzyvo}, TROUT, FIN, MUSKY, SOLE, FISH, PIKE, MACKEREL, FISH, TUNA, FISH FISH FISH FISH ; Mesajul continut de virus si neafisat este criptat.
Intregul virus este criptat; rutina de decriptare are doar 16 bytes lungime. Textul encriptat: desi virusul este encriptat, puteti gasi sirul ASCII FISH FI aproape de sfarsitul fisierelor infectate. Contine urmatoarele siruri text: COD, SHARK, CARP, BASS, FISH VIRUS #6 - EACH DIFF - BONN 2/90 'knzyvoS, TROUT, FIN, MUSKY, SOLE, FISH, PIKE, MACKEREL, FISH, TUNA, FISH FISH FISH FISH. De notat ca toate numele de pesti sunt Americane.; Intregul virus este criptat; rutina de decriptare are doar 16 bytes lungime. Textul encriptat: desi virusul este encriptat, puteti gasi sirul ASCII FISH FI aproape de sfarsitul fisierelor infectate. Contine urmatoarele siruri text: COD, SHARK, CARP, BASS, FISH VIRUS #6 - EACH DIFF - BONN 2/90 'knzyvoS, TROUT, FIN, MUSKY, SOLE, FISH, PIKE, MACKEREL, FISH, TUNA, FISH FISH FISH FISH. De notat ca toate numele de pesti sunt Americane.
Tipuri de fisiere infectate:
- Infecteaza fisierele .BIN.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza (din greseala) overlay-urile (.OVR).
- Infecteaza drivere de dispozitive (.SYS).
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Supravietuiese reboot-arii la cald.
ntreruperi interceptate:
21
01
13
14
INT 21, printr-un JMP FAR la codul virusului din interiorul hanler-ului DOS; INT 01, in tinpul instalarii si procesarii INT13, INT 24 in timpul infectarii.
Efecte nedistructive:
Pagubele sunt minore. Virusul verifica anul sistemului sa vada daca este dupa 1990, iar daca un al doilea fisier COM infectat este rulat, virusul poate afisa mesajul FISH VIRUS #6 - EACH DIFF - BONN 2/90 'KnzyvoS' si poate bloca sistemul oprind procesorul.
Comentarii:
Simptome: Ecranul s-ar putea sa licareasca si sa incetineasca. Sistemul s-ar putea sa arate mai putina memorie. Fisierele COM si EXE devin mai mari. Virusul poate afisa mesajul FISH, incepand cu 1991. El este un virus derivat din Frodo- pentru abilitatea acestuia de a se ascunde la detectie. De asemenea, aduce cu virusul V.2.Px.1260|_x, poate datorita extra codului adaugat pentru a-i incurca pe cei care incearca sa-l dezasambleze. De asemenea, deriva si din virusul 4K. Cand un program infectat este executat, virusul aloca un bloc de memorie la limita superioara a acesteia. Gaseste adresa originala a handler-ului INT 21 si adresa originala a handler-ului INT 13, trecand peste toate monitoarele active. Insereaza un JMP FAR in codul virusului din cadrul handler-ului DOS original. Fisierele sunt infectate daca: (1) fie este apelata functia 21/4B fie 21/3E; (2) daca ultimii trei bytes din numele fisierului insumeaza 223 (COM) sau 226 (EXE). Aceasta metoda are semnificatia ca sute de alte tipuri de fisiere ar putea deveni infectate, incluzand *.BMP, *.MEM, *.OLD, *.PIF (ca fisiere "COM") si *.LOG, *.TBL, (ca fisiere "EXE"). (3) Daca virusul se adauga la fisiere de date, cat timp el este in memorie, fisierul va putea fi accesat in mod normal, deoarece virusul se autoelimina din fisier, atunci cand acesta este accesat. Dar daca virusul este eliminat din memorie, dar nu si din fisierele de date, fisierul ar putea fi corupt. (4) Daca spatiul liber pe disc este >16384 bytes. (5) Daca fisierul este un EXE, atunci el trebuie sa aiba un ID de "MZ" sau "ZM". Atunci cand un program infectat este executat, FISH devine rezident in memorie. Odata rezident, el pride un program COM sau EXE, care va fi executat (sau COPY-at ori XCOPY-at) -- iar acesta va deveni infectat. Fisierele de date, cu care se face TYPE pe ecran, ar putea deveni si ele infectate la fel de bine. Pentru fisierele COM & EXE: lungimea programelor este crescuta cu 3584 bytes. Un fisier va fi infectat doar o data. Fisierele avand atributele read-only sunt infectate, insa cele care au atribute de sistem (cele doua fisiere ascunse) nu vor fi infectate. COMMAND.COM va fi primul fisier pe care FISH incearca sa-l infecteze. Folosirea comenzii CHKDSK, daca este utilizata optiunea /F, va conduce la clustere si referinte incrucisate pierdute. In mod constant, FISH se re-encripteaza in memorie folosind, pentru encriptarea sa in memorie, un algoritm diferit de cel pe care-l foloseste in cadrul fisierelor. Virusul isi schimba aliura pe disc, in fiecare zi a anului. Toate copiile sale sunt encriptate, insa copiile produse in aceeasi zi sunt encriptate la fel. Data pastreaza cheia de encriptare: virusul se uita la data si adauga numarul lunii + ziua din luna, pentru a deriva 'n, numarul pe care-l foloseste, apoi, drept cheie pentru rutina sa care face XOR pe disc. Odata ajuns complet encriptat, codul virusului este vazut ca incluzand urmatoarele siruri, imprastiate prin tot corpul sau: FISH, SHAD, TROUT, FIN, MUSKY, SOLE, PIKE, MACKEREL, TUNA, CARP, COD, BASS, SHARK. Totusi, cat timp virusul este in RAM, aceste siruri apar partial decriptate, in orice moment de timp, dar aliura sa se schimba constant. Desi reprezinta nume de pesti, aceste siruri nu sunt adevarate siruri-text, ci portiuni din codul executabil. Imaginea RAM, responsabila cu activitatea virusului, odata ce acesta a fost incarcat in memorie, este ea insusi encriptata. Aliura sa pare ca se schimba de la un moment la altul. Virusul face aceasta de fiecare data cand este apelat INT 21. Astfel de mutatii in RAM nu implica toti cei 3584 bytes ai virusului, ci doar portiuni scurte de cod, fiecare de cate 4 -5 bytes lungime, la un moment dat. Dupa ce astfel de schimbari au avut loc, intregul corp al virusului din RAM va fi alterat complet (exceptie facand rutina sa de decriptare). Totusi, dimensiunea imaginii din memorie ramane constanta. Sirul FISH FI.. se afla la sfarsitul fisierelor infectate, de pe disc. Totusi, daca se incearca utilizarea acestuia pe post de semnatura a virusului, rezultatul nu va fi intotdeauna util, cat timp nu se poate citi daca virusul este in RAM. Sirul, impreuna cu restul codului virusului, pare ca se volatilizeaza. Ca si virusul 4096, FISH dezinfecteaza fisierele in "zborul" lor catre RAM, astfel incat ele vor arata dimensiunea lor originala, data si CRC-ul. FISH redirecteaza accesul la fisiere astfel incat sa nu poata fi citite. Metoda folosita de FISH pentru a determina ce fisier sa stearga (pe masura ce acesta este deschis sau incarcat in RAM) este diferita de cea folosita pentru a vedea daca fisierul este deja infectat (din ratiunea de a evita reinfectarea multipla). Ca si 4096, FISH marcheaza fisierele infectate prin alterarea unui byte din intrarea pentru data a fisierului. In cazul lui FISH#6, fisierele purtand aceasta marca sunt automat dezinfectate imediat ce sunt deschise. Virusul nu foloseste intrarea pentru data pca sa determine ce fisiere sa infecteze, in stilul in care lucreaza Zero Bug, Vienna.648|_x sau alti virusi. Daca acest byte este alterat, virusul inceteaza sa le mai autodezinfecteze, insa fisierele raman infectate si infectioase; FISH stie asta si nu le reinfecteaza a doua oara. El foloseste o alta metoda pentru a determina care sunt fisierele deja infectate. Aceasta ar putea fi legat de unele operatii realizate chiar la inceputul codului virusului. Daca un fisier infectat este redatat manual, el nu va mai fi dezinfecat "din zbor" de catre FISH. Astfel, fisierele al caror byte de autodezinfectare a fost sters, pot fi identificate daca sunt infectate, folosind scanner-e de siruri, chiar daca FISH#6 este activ in RAM. Se oferşa astfel o posibilitate de a pregati un fisier suspect pentru scanare, fara ca virurul sa fie capabil sa se ascunda. Daca un fisier este astfel pregatit (redatat), atunci SCANV si F-PROT, sau alte programe care cauta siruri, vor fi din nou capabile sa-l detecteze -- insa ele vor continua sa raspandeasca infectia oricum, chiar daca FISH este in RAM. Cresterea in dimensiune a programelor nu poate fi vazuta prin comanda DIR, daca FISH este rezident. Programele antivirale care realizeaza o verificare de CRC, nu pot detecta infectarea cu FISH, daca acesta este rezident in memorie. De asemenea, FISH poate trece peste mecanismele software pentru protectie la scriere, folosite pentru a proteja un drive hard. FISH este o versiune optimizata de 4096, continand mult din tehnologia acestuia. Sirul Knzyvo, din cadrul virusului, inseamna "tadpoles", el aparand si in virusul Whale.


 Fist.846

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
846 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Flood.304

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
304 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Gotcha.879

Pseudonime:
Gotcha
Gotcha #1
Gotcha [Gtc]
Gotcha-906
GTC-C
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
879 o.
Spatiul ocupat pe disc:
879 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Eastern Europe
Mesaje neafisate dar continute de corpul virusului:
GOTCHA! ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Infecteaza fisierele la dechidere, inchidere sau la scan-area directorului.
ntreruperi interceptate:
24
A se vedea si:
Gotcha.881
Gotcha #1
Gotcha #11
Gotcha #10
Gotcha #3
Efecte distructive:
Suprascrie fisierele pe care le infecteaza. La sfarsitul fisierelor pe care le infecteaza, adauga textul GOTCHA!.
Comentarii:
Acces dubios la fisiere. Alocarea memoriei dubioasa. Programul foloseste o metoda nestandard pentru a cauta si/sau aloca memorie. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se lega la orice locatie din fisierul executabil. Programul intercepteaza software-ul la incarcare. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Apel nedocumentat la intreruperi DOS.


 Grog.1603

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1603 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.547

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
547 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Groovie

Pseudonime:
Groov
Mesaje afisate de virus:
" ALT-F11 says It's GROOVIE ".
Comentarii:
Este un virus de word. Infecteaza fisierele DATA.DOC din directorul de start al word-ului. Virusul va creea un fisier temporar C:\GROOVIE.SYS, unde isi va instala codul. Acest fisier nu este infectat, nu poate raspindi virusul, ci este doar folosit de virus. Denumeste eticheta de volum a hard-ului "groovie" si incearca sa transmita informatii catre ftp. Dupa dezinfectie eticheta de volum va trebui schimbata manual, deasemenea si fisierul temporar C:\GROOVIE.SYS va trebui sters manual.


 Guess.928

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
928 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hafen.1641

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1641 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Hard.662

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
662 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HelloUser.365

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
365 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hero.506

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
506 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hider.2169

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2169 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Rsw.5846

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5846 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Honey.1027

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1027 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 HS.982

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
982 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 I_Owe.261

Loc de rezidenta:
Virusul rezida in RAM-ul video.
Spatiul ocupat pe disc:
261 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele IO.SYS.


 Ieronim.Condom

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1581 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Int13

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Dimensiunea memoriei ocupate:
512 o.
Spatiul ocupat pe disc:
512 o.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13 / 02

Virusul foloseste Int 2Fh/AH=13h.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
" Int 13" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Pastreaza lungimea originala a fisierului folosind pentru aceasta un spatiu-cluster de dupa sfarsitul fisierului; e posibil sa provoace incurcaturi in driver-ul de retea sau cu SuperStar, Stacker...
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: South Africa ; la data: 8/11/93
ntreruperi interceptate:
21 / 12
13 / 02
Efecte colaterale:
Lantul de buffere DOS este micsorat.
Conditii de declansare a infectarii:
FindNextFCB
Criterii de infectare: COMlength >= 512
COMname[1..2] <> "OM" file[0..1] <> "MZ"
(COMlength-1) mod 1024 < 512 [any drive]
(COMlength-1) mod 2048 < 1024 [C: and beyond] (Aceasta este proiectat pentru a avea asigurarea ca exista spatiu suficient pentru virus; aceasta esueaza pentru discuri precum floppy 1.2MB avand un sector per cluster).
Modul de autodetectare a virusului pe disc:
file[0..1] = E2h 00h [folosind anti-stealth]
Constrangeri necesare virusului pentru a functiona:
DOS < 4 {? Presupune DOS 3.3-ish buffer layout} Display = 32KB Colour Adaptor {mem[B800:7800..7BFF] este folosit pentru stocare tempora de catre virus}
Comentarii:
Int13 devine rezident autocopiindu-se in primul buffer DOS, eliminand apoi buffer-ul din circulatie. Ori de cate ori survine un apel FindFirstFCB, virusul verifica pentru a vedea daca fisierul astfel identificat pare sa fie un fisier COM. Daca da, este lovit. In timpul infectarii, virusul cauta sfarsitul fisierului si realizeaza un "read" cu INT 13h drept capcana pentru a inregistra ES, BX, CX si DX pentru sectorul care contine sfarsitul fisierului. Apoi, primul sector al fisierului este incarcat si scris in spatiul liber din sectorul imediat urmator ultimului sector al fisierului. Codul viral, avand prinse in capcana valorile CX/DX pentru pozitia sfarsirului de fisier, este apoi surprascris peste primul sector. Cand este citit un sector care pare sa fie startul unui fisier infectat, virusul citeste ceea ce presupune a fi copia ascunsa a primului sector curat din zona libera, ascunzandu-si astfel prezenta. De notat ca in zona libera nu exista nici un fel de cod viral, astfel incat Int13 este perceput ca o simpla suprascriere de virus dupa un boot curat. Daca un fisier infectat se tot plimba prin disc, informatia ascunsa in sectorul viral nu va mai pointa catre zona libera a fisierului infectat. A corecta ascunderea si mai ales a corecta operatia de infectare a fisierelor este cu mult mai indicat.


 Intrep.1092

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1092 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Invisible

Virusul produce efecte sonore.
TWIXT (cand se incarca dintr-un fisier), TOP (cand se incarca prin MBR)
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
TWIXT (cand se incarca dintr-un fisier), TOP (cand se incarca prin MBR)
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
TWIXT (cand se incarca dintr-un fisier), TOP (cand se incarca prin MBR)
Dimensiunea memoriei ocupate:
3456 o.
3456 bytes (cand se incarca din fisier), 4096 bytes (cand se incarca din MBR).
Spatiul ocupat pe disc:
2926 o.
TWIXT (cand se incarca dintr-un fisier), TOP (cand se incarca prin MBR)
Lungimea fisierului infectat creste cu:
lungimea virusului
Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
TWIXT (cand se incarca dintr-un fisier), TOP (cand se incarca prin MBR)
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
TWIXT (cand se incarca dintr-un fisier), TOP (cand se incarca prin MBR)
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor. ; numarul de octeti constanti din decriptor este 2
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor. ; numarul de octeti constanti din decriptor este 11
POLY-02 (la fisiere), POLY-11 (la MBR)
Mesaje afisate de virus:
"I'm the invisible man,

I'm the invisible man,

Incredible how you can

See right through me.

I'm the invisible man,

I'm the invisible man,

It's criminal how I can

See right through you." ; Mesajul continut de virus si afisat este criptat.
Este encriptat in virus, dar nu in fisierele "Trojanized". [este afisat de fisierele "Trojanized"]; Este encriptat in virus, dar nu in fisierele "Trojanized". [este afisat de fisierele "Trojanized"]
Mesaje neafisate dar continute de corpul virusului:
"The Invisible Man - Written in SALERNO (ITALY),

October 1992. Dedicated to Ester: I don't know how or when, but I will hold you in my arms again." ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului

pe un hard disc.
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: Italy ; la data: 5/24/93
ntreruperi interceptate:
21 / 2521
21 / 3521
21 / 4B00
21 / 3D
21 / 43
21 / 56
1C
1C (in timpul boot-ului de la un MBR infectat, mai tarziu devine neinterceptat)
Efecte distructive:
Suprascrie unele fisiere fara a le infecta. Codul inlocuit afiseaza versurile unor cantece si difuzeaza zgomot prin speaker.
Conditii de declansare a efectelor distructive:
O complexa si pseudo-randomizare, dar mai mult ca o infectie dependenta de timp (?).
Conditii de declansare a infectarii:
(Exec) OR ((Open OR ChMod OR Rename) AND
((extension == COM) OR (extension == EXE)))
[Evita unele fisiere COM facand un checksum dupa nume.]
Modul de autodetectare a virusului in memorie:
INT_21;AX=FC03 -> AX=03FC
Modul de autodetectare a virusului pe disc:
Checksum pentru punctul de intrare.
Comentarii:
Relativ puternic, mediu polimorfic, penetreaza infectori EXE si COM care infecteaza si MBR cu scopul de a reveni in memorie dupa boot. Nu infecteaza inregistrarea boot a dischetei.


 Jabb.1000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Jerk.1077

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1077 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Kaczor.4444

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4444 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 KbrError.1268

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1268 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kela.2530

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2530 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Keypress.1216.a

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1216 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 10 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.419

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
419 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.753

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
753 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khrusha.1505

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1505 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Knight.1136

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1136 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kommuna.801

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
801 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kurgan.919

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
919 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Letter_H.446

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
446 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 LittBrother.299

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
299 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loki.1234

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1234 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lokjaw.Firefly.1106

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1106 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loz.1882

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1882 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lunch.1756

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1756 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Maaike

Virusul are manifestari extrem de puternice si imediate care-l fac sa fie detectabil imediat, chiar si de catre utilizator, deci el nu ar putea apare pe un PC decat daca a fost pus intentionat acolo.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
507 o.
Spatiul ocupat pe disc:
250 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Permuta parti din corpul sau.
Mesaje afisate de virus:
"Maaike I Love You ! "
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21 / 4B00
Efecte nedistructive:
Virusul scrie urmatorul text-flash la pagina B800H: " Maaike I Love You ! " cu verde pe fond rosu, de 105 ori!
Conditii de declansare a efectelor nedistructive:
Efectele nedestructive sunt activate aleator.
Conditii de declansare a infectarii:
Oricare ar fi fisierul .EXE care este executat via functia 21/4B00.


 Madismo.6007

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6007 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Magdzie.1056

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1056 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Manuel.858

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
858 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Fire.206

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
206 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Tron.754

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
754 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 TurboVirus.1919

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1919 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 U.524

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
524 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Union.1449

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1449 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Uruguay.5

Pseudonime:
Uruguvau
Virusul produce efecte sonore.
(20A0h=20AP)
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
(20A0h=20AP)
Dimensiunea memoriei ocupate:
8352 o.
(20A0h=20AP)
Spatiul ocupat pe disc:
4269 o.
(20A0h=20AP)
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 11
21 / 12
21 / 4202
21 / 4C
21 / 4E
21 / 4F
21/11

21/12

21/4202

21/4C

21/4E

21/4F; 21/11

21/12

21/4202

21/4C

21/4E

21/4F
Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
(20A0h=20AP)
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Virusul este rezident, precum si un infcetor foarte rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
Mesaje afisate de virus:
"'Uruguay-#5' Virus

Programmed in Montevideo (URUGUAY) by F3161. 08/92.

This is a research virus - DO NOT DISTRIBUTE."
Mesajul afisat este criptat
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Tehnici de protejare:
- Foloseste nivele de criptare multiple.

; la data: 1/31/94
Nu a fost vazur niciodata in natura!
ntreruperi interceptate:
01
09
13
21 / 4B00
21 / 3D
21 / 6C
24
2A (doar pentru a restaura controlul peste INT_21 daca s-a piedut)
A se vedea si:
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.6
Uruguay.7
Uruguay.8
Efecte nedistructive:
Virusul arata pe ecran continutul mesajului afisat, folosind serviciul BIOS INT_10/0E. Imprimarea este intarziata si dureaza cateva secunde. Ea este acompaniata de tonuri muzicale aleatoare, calculate folosind codul ASCII al caracterelor imprimate.
Conditii de declansare a efectelor nedistructive:
(ExecInfected and (byte[0:46C]=0)) or WarmReboot
Conditii de declansare a infectarii:
(Exec or ((Open or OpenCreate) and (*.COM or *.EXE))) and
(Size>200h and Size= (FileYear<2000) and
(not COMMAND.COM)
Modul de autodetectare a virusului in memorie:
INT_21;AX=3032;DX=1234 -> AX=5678
Comentarii:
Fisierele EXE infectate sunt comutate in COM-uri, iar codul virusului este adaugat la sfarsitul fisierului, intr-o forma encriptata. Fisierul incepe cu un JMP la decriptorul virusului (offset E9). Cand un program infectat primeste controlul, virusul se copiaza in segment, in topul memoriei conventionale utilizate. Memoria disponibila pentru DOS este redusa. Daca calculatorul are 640K, puteti calcula usor codul segmentului virusului (MEMORY_SIZE=20Apara, CS=A000-20A=9DF6; veti obtine 9DF5 daca UMB este utilizat, deoarece topul paragrafului va fi BFFF, si nu A000). Dupa decriptarea corpului sau, virusul restaureaza startul fisierului infectat (3 bytes) si, daca fisierul era un EXE, face el relocarile necesare. Apoi, codul este mutat jos, in memorie, deoarece nu mai este nevoie de header-ul EXE. Virusul Uruguay.5 intercepteaza DOS INT_21 rescriind startul rutinei de service DOS in segmentul DOS cu FAR JMP la codul viral. Segmentul DOS este definit ca utilizand INT_2F/1203. Virusul marcheaza fisierele infectate modificand marca de timp (INT_21/57). Anul crearii este orig_file_year+100. Uruguay.5 supravietuieste relansarii la cald via Ctrl-Alt-Del. El intercepteaza INT_08 si INT_09, restaureaza unele intreruperi de nivel jos, dezafecteaza utilizarea A20, seteaza modul video pe text, reseteaza controller-ul de intreruperi si tastatura, si dupa toate acestea apeleaza INT_19. Uruguay.5 nu infecteaza nici unul din fisierele care incep cu "SC", "F-" sau oricare ar fi fisierul care are litera "V" inclusa in filename. Se pare ca Uruguay.5 face o verificare aditionala pentru "AI", dar dat fiind faptul ca include un bug, compararea nu functioneaza. Aceste verificari probabil ca semnifica "SCAN", "F-PROT", "VIRUSCAN", "-V" etc. Verificare pentru "AIDSTEST" nu merge. Versiunile curente de SCAN, F-PROT, precum si multe alte programe antivirus (*V*.*) sunt EXE-uri net departe de limita de 64k, deci aceste verificari par a fi ciudate. Uruguay.5 contine un generator de numere aleatoare intern, folosit extensiv in motorul polimorfic. El accepta un parametru (AL) si returneaza BH=0, BL=[1;AL]. Generatorul de numere aleatoare foloseste BIOS-ul calculatorului si continutul timer-ului curent [0:46C] pentru a calcula output-ul (cateva XOR-uri, ADD-uri si SUB-uri). Pentru a opera, foloseste variabile statice. Generatorul de numere aleatoare este localizat la adresa cea mai din top din codul virusului. Nu se cunoaste nici un scanner care sa detecteze fiabil Uruguay.5


 V.1125

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1125 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.1827

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1827 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 V.394

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
394 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.633

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
633 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Vienna.547

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
547 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.623

Pseudonime:
VPH-623
Lisbon
Vienna
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
623 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
*.COM, PATH= ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
24
Efecte distructive:
Daca valoarea secundelor ceasului sistem este multiplu de opt (o probabilitate de 1/8), atunci virusul va suprascrie o portiune de fisier, distrugand-ul; altfel, virusul nu are efecte distructive. Atunci cand un fisier suprascris este executat, primii cinci bytes ai sai reprezinta o instructiune de jump care executa formatarea hard discului bazata pe controller. Virusul nu infecteaza fisierele mai mici de 10 bytes sau mai mari de 64000 bytes.
Comentarii:
In esenta,virusul este identic cu Vienna 348. Totusi, cautarea path-ului nu este scrisa corect si ar putea sa nu infecteze fisierele din directorul curent. Foloseste semnatura secundelor din marca data/ora a unui fisier COM, modificand-o la valoarea 62. Selectarea unui fisier pentru a fi infectat se face cu conditia IF(system seconds AND 7) <> 0; altfel, fisierul va fi stricat prin suprascrierea primilor cinci bytes cu un far jump la rutina de formatare de nivel jos a hard discului XT-ului. Virusul a derivat din Vienna 648, diferentele referindu-se la codul optimizat, dimensiunea virusului (este mai mic), iar primii cinci bytes au fost sctricati. Fisierele avand atributele read-only si hidden setate, sunt sarite.


 Vienna.716

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
716 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.827

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
827 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Monxla.B

Pseudonime:
Vienna
Monxla.535
Time.B
Virusul infecteaza interceptand apelurile DOS la fisiere.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierul COMMAND.COM.
Comentarii:
Chiar daca este un virus foarte rar, totusi este periculos.


 Vienna.Viperize

Pseudonime:
Viperize
Vienna
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Mesaje neafisate dar continute de corpul virusului:
yUXUX ; Mesajul continut de virus si neafisat nu este criptat.
Adauga acest text la sfarsitul fisierelor pe care le infecteaza.; Adauga acest text la sfarsitul fisierelor pe care le infecteaza.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierul COMMAND.COM.
Efecte distructive:
Scrie absolut sectoarele de pe drive!


 VirDem.1336

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1336 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Virogen.Offspring.1138

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1138 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 VirusB.1000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VLAD.Idle.696

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
696 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 WM.Copycap

Pseudonime:
Winword/CopyCap
WordMacro/CopyCap
MW:CAP family
Tehnici de ascundere:
Sunt folosite.
Conditii de declansare a infectarii:
Nu prezinta astfel de conditii
Comentarii:
Winword/CopyCap este foarte similar cu Winword/Cap. A fost raportat pentru prima oara in May 1998.


 WM.Hassle.A

Pseudonime:
MW:Hassle-A
WordMacro/Hassle.A
HASSLE.A
Macro.Word.Hassle
Winword.Hassle
WM/Hassle.A
Mesaje afisate de virus:
Daca este apasat oricare buton din submeniul Tools/Macro, virusul va afisa: " Out of Memory or System Resources". In acesta fereastra doar "Help" functioneaza normal. Cind Word-ul este pornit sint 3% sanse ca virusul sa intre in subrutina 'Register', care afiseaza urmatoarele: " The Licenese Agreement for this software apckage has expired.

Please contact your Local Microsoft Dealer. Use of these Software Programs is subject to the terms of the Microsoft License Agreement. You should not continue until you have read the Microsoft License Agreement. By continuing, and pressing the 'OK' button, you signify that you have read the Microsoft License Agreement and accept its terms.". Daca utilizatorul apasa 'Cancel' virusul va "scoate" Word-ul. Daca apasa 'OK', va afisa o fereastra de dialog cu titlul Microsoft Word care solicita "Name", "Product No" si "Company". Daca se introduce 'Bill Gates', 'Microsoft' si '666', virusul va afisa: " Registration updated. Thank you for using Microsoft Products."
Mesaje neafisate dar continute de corpul virusului:
Inceputul fiecarui macro include urmatorul comentariu: **************************************************************

Created by Microsoft Product Support Services

Copyright (c) 1995 Microsoft Corp.

Created September 18th, 1995

Description : Word Assistant 6.2

**************************************************************
Comentarii:
Este un virus de Word care are 7 macro-uri. Cind infecteaza NORMAL.DOT numele acestora sint:AutoExec, FileSaveAs, ToolsMacro, MICROSOFT01, MICROSOFT02, MICROSOFT04 si MICROSOFT05. Cind infecteaza fisiere numele lor sint: AutoClose, ToolsMacro, Microsoft01, Microsoft02, Microsoft03, Microsoft0 si Microsoft05. Virusul ascunde meniul Tools/Macro.


 WM.Oblom.A

Pseudonime:
MW:Oblom-A
WordMacro/Oblom.A
Tear
Mesaje afisate de virus:
Cind este apelat meniul Tools/Macro va fi afisat mesajul: "(c) 1997 Master of infection ".
Mesaje neafisate dar continute de corpul virusului:
" :-)

(c) 1997 Master of Infection

QUEEN FOREVER!!!

(c) 1997 Master of Infection

QUEEN FOREVER!!!

Delete ALL REM!

goto oblom "
Comentarii:
Este un virus de Word care are 3 macro-uri: AutoOpen, FileSaveAs, ToolsMacro . Virusul se poate inmulti doar in Word pentru Windows versiunea 7.0a (infectia esueaza in versiunile 6.0 si 7.0). A aparut in Iulie 1997.


 WM.Tedious.A

Pseudonime:
MW:Tedious-A
WM/Tedious
Winword.Tedious
WordMacro/Tedious.A
Tedious
WORD.TEDIOUS
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Este un virus de Word care 4 macro-uri: AutoNew, FileSaveAs, VAutoNew, VFileSaveAs. Dimensiunea acestora este de 1082 octeti. Sistemul si documentele sint infectate cind sint folosite AutoNew si FileSaveAs. A aparut in August 1996. Infecteaza numai varianta engleza a Word-ului.


 WMA.678

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
678 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 X97M.Import.A

Pseudonime:
MX97:Import
Excel97Macro/Import.A
X97M/Import
Macro.Excel97.Phantom
XM/IMPORT.A
Mesaje afisate de virus:
La ora 16:00:00 in status bar va aparea textul: " The Phantom

Is watching you!

Beware! ".
Comentarii:
Este un virus de Excel97 care are 2 module ArtiLife si Replicator. Modulul ArtLife contine functia auto_open. Cind un sheet infectat este deschis virusul preia controlul si seteaza functia DeliverPayload sa se execute la ora 16:00:00. Creaza fisierul XL.XLA in directorul DeliverPayload .


 XPEH.4768

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4768 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 128 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 XVXH.322

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
322 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Yankee.21

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2680 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Alpha743

Spatiul ocupat pe disc:
743 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
Daca luna curenta este mai mare ca februarie iar ziua este 5 va fi afisat: "Your PC has ALPHA virus. Brought to you by the ARCV Made in ENGLAND"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Comentarii:
Infectia are loc cind un fisier infectat este executat. Infecteaza direct fisierele COM , unul o singura data. Nu este rezident in memorie.


 Mini.158

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
158 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.84

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
84 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirea_II.4157

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4157 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MME.Demo

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
903 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mnemonix.LoTek

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
856 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 3 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mono.1063

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1063 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 MPS.754

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
754 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mshark.373

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
373 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MtE.Destructor

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3538 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Mtz.Pink.4510

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4510 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.1480

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1480 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.Grog

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1417 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.110.Agent.a

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1651 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MutInt.688

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
688 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Natas.4746

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4746 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 NeverMind

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
1680 o.
Spatiul ocupat pe disc:
838 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
"A WORD TO PATRICIA:" ; Mesajul continut de virus si neafisat este criptat.
"""ER.......... NAH, NEVER MIND""" ; Codul paginii la afisarea mesajului continut de virus: 1 ; Mesajul continut de virus si neafisat este criptat.
"If this doesn't refer to you, just ignore it." ; Codul paginii la afisarea mesajului continut de virus: 2 ; Mesajul continut de virus si neafisat este criptat.
"For more information call: ++1-408-988-3773 (USA)" ; Codul paginii la afisarea mesajului continut de virus: 3 ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: Belgium ; la data: 4/10/93
ntreruperi interceptate:
21 / 4B00
24
Efecte nedistructive:
Dupa generarea unui contor, in interiorul virusului, atingand valoarea 65535 (0ffffh), toate programele infectate de aceasta generare esueaza intr-o bucla infinita atunci cand sunt executate - i.e. raman blocate ( Nu este vorba de efecte distructive permanente, deoarece virusul poate fi indepartat din fisire). Un alt efect tranzitoriu este urmatorul: Virusul creaza un fisier C:\PATRICIA.TXT (daca fisierul nu exista) si scrie urmatorul text:
" A WORD TO PATRICIA:
"ER.......... NAH, NEVER MIND"

If this doesn't refer to you, just ignore it. For more information call: ++1-408-988-3773 (USA). "
Conditii de declansare a efectelor nedistructive:
Pentru primul tip de efecte nedistructive, conditia este: Generation counter = 65535. Pentru al doilea tip de efecte, conditia este: Day_Of_Month = 1.
Efecte colaterale:
Descresterea dimensiunii memoriei. Unele programe COM (<5 bytes) sunt distruse, altele nu opereaza corespunzator (>64440 bytes), dat fiind faptul ca virusul nu verifica dimensiunea fisierului pe care-l infecteaza.
Conditii de declansare a infectarii:
Exec (INT_21/4B00) AND File[0,1]!='MZ' AND File[0,1]!='ZM' AND File[1,2] XOR 0AAAAH != File[3,4]
Modul de autodetectare a virusului in memorie:
[PSP[2]:0299] = 0A0D
Modul de autodetectare a virusului pe disc:
File[1,2] XOR 0AAAA = File[3,4]
Constrangeri necesare virusului pentru a functiona:
DOS > 1.0
Comentarii:
Virusul a fost furnizat de cineva de la University of Brussels care a pretins ca acesta i-a "lovit" PC-ul.


 Amt.3000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 NightFall.4480

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4480 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nocopy.3685

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3685 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Nosmoking.1000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Bob.1110

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1110 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.1708

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1708 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nutcracker.AB2

Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Acesta este pattern-ul hexa din memorie; pentru fisierele SYS este 2EC7 0606 00?? ??9C 501E 2BC0 8ED8 813E 7200 007C 740E 803E F605 EA74 07F6 066C, iar pentru sectoarele de boot este urmatorul E800 005F 2BC0 8ED0 BC00 7C8E C4BA 0001 B9?? ??BB ???? CD13 B806 02CD 138A E372.
Virusul produce blocaje ale PC-ului.
Virusul modifica data si ora fisierelor infectate.
Acesta este pattern-ul hexa din memorie; pentru fisierele SYS este 2EC7 0606 00?? ??9C 501E 2BC0 8ED8 813E 7200 007C 740E 803E F605 EA74 07F6 066C, iar pentru sectoarele de boot este urmatorul E800 005F 2BC0 8ED0 BC00 7C8E C4BA 0001 B9?? ??BB ???? CD13 B806 02CD 138A E372.
Familia virusului:
Nutcracker
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza drivere de dispozitive (.SYS).
- Infecteaza fisierele .COM.
- Infecteaza DBR-ul de pe floppy discuri.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
A se vedea si:
Nutcracker.AB7
Comentarii:
Nucracker.AB2 este un virus multi-infector; el infecteaza fisierele COM si EXE, drive-ul hard MBR si sectoarele de boot de pe dischete. Atunci cand un fisier infectat este executat, MBR-ul este infectat iar virusul nu ramane rezident. Daca PC-ul este boot-at de pe o discheta infectata, virusul infecteaza MBR-ul drive-ul hard si se instaleaza in memorie. El asteapta ca DOS sa se incarce pentru a intercepta Int 21h si a monitoriza vectorul Int 21h la fiecare timer-tick; odata ce DOS a fost incarcat, el intercepteaza Int 13h si Int 21h. Atunci cand se executa primul fisier, virusul isi adauga codul la ultimul bloc de memorie, utilizat si foloseste al sau Int 21h pentru a intercepta apelul de acces la fisiere, permitand infectare fisierelor si aplicarea efectului de cal troian fisierelor SYS. Int 13h este utilizat pentru a infecta sectoarele de boot de pe floppy si pentru coruperea fisierelor EXE. Virusul va bloca PC-ul daca este bazat pe Pentium sau daca virusul este executat sub un debugger.


 Ohlala.1895

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1895 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Open.1569

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1569 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Overkill.1385

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1385 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pandora.1536

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Patoruzu.1024

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Pcflu.2134

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2134 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Penetrator.984

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
984 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Phoenix.Live.a

Pseudonime:
V800
Live/Death-1
800
Live after Death
Phoenix.800

Virusul poate reinfecta.
Virusul reinfecteaza fisierele COM, astefl incat dimensiunea ar putea fi un multiplu de 800.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
16 ko.
Spatiul ocupat pe disc:
800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Bulgaria
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In circulatie.
Efecte distructive:
Pagubele sunt substantiale, virusul putand suprascrie directoarele. Fisierele COM cresc, intregul sistem si memoria disponibila sporesc continuu.
Comentarii:
Intregul virus este criptat. El a derivat din Dark Avenger. Contine urmatorul sir criptat 'Live after Death'. Cand un program infectat este executat, virusul devine rezident, scazand dimensiunea memoriei disponibile cu 16K si interceptand INT 2A. Orice fisier COM avand lungimea mai mare de 1K va fi infectat atunci cand este executat. De asemenea, fisierele sunt infectate si cand sunt copiate. Derivate ale virusului: V800M infecteaza fisierele atat la open cat si la executie, ascunzandu-si un pic comportarea. Aceste versiuni nu 'spun' Live after Death, iar memoria scade cu 8192 bytes atunci cand este rezident. Variantele virusului sunt: Phoenix.1226, Phoenix.Proud, Phoenix.Evil.


 Ping_Pong

Pseudonime:
Italian
Boucing Ball
Vera Cruz
Turin
Boucing Dot
Ialiano Saltitante
Virusul produce efecte vizuale.
Virusul ocupa doua sectoare de 512 bytes, plus inca un sector din cadrul celui original de boot.
Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
Spatiul ocupat pe disc:
3 sectoare.
Virusul ocupa doua sectoare de 512 bytes, plus inca un sector din cadrul celui original de boot.
Originea geografica:
University of Turin, Italy
Virusul ocupa doua sectoare de 512 bytes, plus inca un sector din cadrul celui original de boot.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
ntreruperi interceptate:
1A
10 / 02
10 / 03
10 / 08
10 / 09
10 / 0F
13 / 00
Comentarii:
Simptomele virusului: pe ecran, poate aparea o minge satareata sau un dot. Aceasta afisare este oprita atunci cand sistemul este reboot-at. El poate fi reativat introducand TIME 0, apoi apasand Enter. CHKDSK va raporta un cluster prost (de obicei, 1k pe floppy). Virusul are doua variante: Ping_Pong.B, Ping_Pong.C (infectori de boot).


 Pixel.296

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
296 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ANDROMEDA.1024c

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.877

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
877 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Pixie.812

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
812 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 PM.733

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
733 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Predator.1063

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1063 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Problem.845

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
845 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Puke.393

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
393 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Qumak.1028

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1028 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rainbow.2351

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2351 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 Rape.747

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
747 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Realize.498

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
498 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.1202

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1202 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.BadReligion.278

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
378 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.Conjurer.VCC.586

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
586 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Evil.786

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
786 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Moonlite.458

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
458 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ansibomb

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
281 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Sturm.411

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
411 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Rmdc.608

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
608 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 RP. DECEMBER 17th

Pseudonime:
RP
RPH-D
Spatiul ocupat pe disc:
512 o.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Mesaje afisate de virus:
"RP WANTS TO SAY HELLO !" daca se incarca sistemul de pe un suport virusat pe 17 decembrie
Raspandirea virusului:
Foarte raspandit. Regiunea geografica: Romania
ntreruperi interceptate:
12
13
Efecte distructive:
Pe data de 17 decembrie, dupa ce scrie mare mesajul in mijlocul ecranului, se blocheaza si MBR-ul este distrus complet. Informatiile distruse fiind insa redundante, pot fi recuperate.


 S_BUG.FRUITFLY.LITTLE_LOC

Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Este variabila
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Este variabila
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
Mesaje neafisate dar continute de corpul virusului:
"Hackers In ThE Mist"

"Fruit Fly virus - Little Loc"

"PATH="

"Hacker4Life" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului

; la data: 9/27/93
Este posibil sa fi fost raportat ca S_Bug.
A se vedea si:
S_BUG
Conditii de declansare a infectarii:
La executia unui fisier infectat.
Constrangeri necesare virusului pentru a functiona:
Virusul se adauga impreuna cu un decriptor la inceputul primului paragraf de la sfarsitul programului original. Desi virusul include un sir "PATH=", se pare ca nu-l folosese niciodata. Are acelasi motor de encriptare ca si cel gasit in virusul rezident S_Bug.


 Satanic.1345

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1345 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Scitzo.1329

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1329 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Search.302

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
302 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.778

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
778 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Sentinel.5402

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5402 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Shaware.502

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
502 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Shutdown.698

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
698 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.1063

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1063 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.


 SillyC.179

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
179 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.310

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
310 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.96

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
96 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyOR.DOS5.99

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
99 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 ANTIPRINT

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
593 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AX=4B00h
24
Efecte distructive:
Daca versiunea DOS-ului exestent este mai recenta decit 3.0, si "PRINTER" este instalat, virusul va distruge datele din discul curent.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "Nu" o va face interceptind INT 21h. Apoi se executa fisierul original. Astfel va infecta fiecare fisier EXE "curat" care se executa. Prin interceptia INT 24h , virusul nu va fi divulgat cind infecteaza un fisier protejat la scriere.


 SillyRC.240

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
240 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRE.323

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
323 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Sirius.400

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Mem.1187

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1187 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Sk.992

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
992 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Slovakia.1629

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1629 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Small.110

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
110 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.140

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
140 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.86

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
86 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SoFar.841

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
841 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Sova.4060

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4060 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sql.953

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
953 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Stardot.600

Pseudonime:
Sdot 600
Spatiul ocupat pe disc:
604 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 12
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Raspandirea virusului:
In circulatie.
Efecte distructive:
Virusul este periculos: el suprascrie inceputul drive-lor logice.


 Stink.1283

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1283 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Storm.1163

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1163 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Sundevil.691

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
691 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arab.834

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
834 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SVC.4677

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Spatiul ocupat pe disc:
4677 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).
- Infecteaza boot-ul.


 Syrian.412

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
412 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TaiPan.438

Pseudonime:
Tai-Pan
Whisper
Virusul infecteaza interceptand apelurile DOS la fisiere.
428 + 10 -> [EXEHeader14..EXEHeader23]
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
512 o.
428 + 10 -> [EXEHeader14..EXEHeader23]
Spatiul ocupat pe disc:
438 o.
428 + 10 -> [EXEHeader14..EXEHeader23]
Lungimea fisierului infectat creste cu:
lungimea virusului + 10 pentru fisierele de tip .EXE.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
428 + 10 -> [EXEHeader14..EXEHeader23]
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
428 + 10 -> [EXEHeader14..EXEHeader23]
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"[Whisper presenterar Tai-Pan]" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului

; la data: 8/19/94
ntreruperi interceptate:
21 / 4B00
21 / 7BCE
Efecte nedistructive:
Impiedica executia corecta a fisierului infectat, probabil determinand o blocare a PC-ului.
Conditii de declansare a efectelor nedistructive:
La fiecare executie a unui fisier infectat, dar numai atunci cand se autodecteaza in memorie.
Conditii de declansare a infectarii:
EXEC and FileSize <= 64883
Modul de autodetectare a virusului in memorie:
INT 21h; AX=7BCEh -> AX=7BCEh
Modul de autodetectare a virusului pe disc:
FileSize - Entry_Point = Virus_Size
Punctul de start al programului, asa cum este definit in header-ul EXE, se afla la 438 bytes de la coada fisierului.
Constrangeri necesare virusului pentru a functiona:
Nu poate infecta fisierele care au setat atributul Read-Only.
Comentarii:
In cazul unui fisier de infectat, Tai-Pan foloseste apeluri DOS standard pentru a obtine data si ora fisierului si le stocheaza. Scrie propria sa imagine de 438 bytes din memorie la sfarsitul fisierului, urmata de 10 bytes cheie din header-ul EXE gazda. Deci, dimensiunea totala cu care creste lungimea unui fisier este 438 bytes. Virusul indreapta header-ul EXE spre startul fisierului, pentru a se asigura ca i se va da controlul atunci cand programul este executat. In fine, Tai-Pan restaureaza data si ora fisierului. Acum infectia este terminata, iar apelul Exec original continua ca si cand nu s-ar fi intamplat nimic. Tai-Pan este un virus ordonat, curat, bine scris care impacheteaza/inglobeaza multa functionalitate in cei doar 438 bytes. El infecteaza fisierele atunci cand sunt executate. Totusi, in absenta a oricaror capabilitati stealth, ar trebui sa fie usor de detectat. Eliminarea automata este posibila scotand intrarile header EXE din ultimii 10 bytes ai fisierului si restaurandu-le in pozitia lor corecta in header-ul EXE. Fisierul trebuie ajustat in dimensiune, eliminand cei 438 bytes. Alternativ, fisierele infectate se pot sterge si reface din backup-uri.


 Taz.995

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
995 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tequila.d

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2468 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 TheClick.291

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
291 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Timid.298

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
298 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Timid.557

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
557 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Tiny.163

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
163 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 TME.643

Virusul nu este de fapt un virus, ci un vierme.
Spatiul ocupat pe disc:
643 o.


 Toxic.171

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
171 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 TPVO

Pseudonime:
TVPO
3873
Mesaje afisate de virus:
" Ddeclaration of estabilish of Taiwan PowerVirus Organization ".
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Comentarii:
Virusul este rezident. Foloseste tehnici de ascundere. Este polimorfic. Este criptat (atit codul cit si datele).


 Trieda.851

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
851 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Trivial.22

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
22 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.346

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
346 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.67

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
67 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.Oil.579

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
579 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Avatar.Acid.670

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
670 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Backfont.765

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
765 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Badboy.991

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
991 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bait.425

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
425 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Bastard.1979

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1979 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .EXE identificate prin tip.


 Bug.920

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
920 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cannibal.1312

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1312 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cascade.1661

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1661 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Caz.1204

Pseudonime:
CAZ
Caz
CAZ #2
Zaragoza
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1204 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
ntreruperi interceptate:
24
Modul de autodetectare a virusului pe disc:
Adauga textul "0123456789ABC" la sfarsitul fisierelor pe care le infecteaza.
Comentarii:
Virusul seteaza secundele fisierelor infectate la 62 si scrie caracterele in mod TTY.


 Chameleon.1260

Pseudonime:
V2P
V2P1
COM-AIDS-1
Variable
Chameleon
V.2Px.1260
Camouflage
V-1260
1260
Virusul modifica data si ora fisierelor infectate.
Primii 39 bytes adaugati contin o rutina de decriptare simpla, similara celei folosite de virusul Cascade. Printre acesti bytes exista un numar variabil de instructiuni scurte (1-2 bytes), adaugate pentru a face tot mai dificila recunoasterea virusului.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1260 o.
Primii 39 bytes adaugati contin o rutina de decriptare simpla, similara celei folosite de virusul Cascade. Printre acesti bytes exista un numar variabil de instructiuni scurte (1-2 bytes), adaugate pentru a face tot mai dificila recunoasterea virusului.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Minnesota, USA
Primii 39 bytes adaugati contin o rutina de decriptare simpla, similara celei folosite de virusul Cascade. Printre acesti bytes exista un numar variabil de instructiuni scurte (1-2 bytes), adaugate pentru a face tot mai dificila recunoasterea virusului.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
1
3
Efecte nedistructive:
Virusul nu produce pagube fisierelor sau oricaror alte parti din sistem (task-ul predecesorilor virusului este dezactivat). Virusul se adauga pur si simplu la fiecare fisier, afectand nesemnificativ sistemul de operare, deoarece el verifica de fiecare data ce fisiere sa infecteze, de fiecare data cand se executa, dar altfel, alte pagube nu produce. El va infecta fisierele COM, fie de pe discheta, fie de pe hard disc.
Comentarii:
Desi acest flecustet nu devine rezident in memorie, el are un apetit foarte feroce pentru fisierele COM, care vor deveni cu 1260 bytes mai lungi dupa infectare. Fisierele infectate vor fi encriptate cu o cheie unica, fiecare infectie producand o cheie diferita. Deoarece virusul este auto-encriptat, este dificil de detectat prin simpla scanare. Variantele encriptate probabil ca se numara cu sutele sau cu miile. Doar primul byte (de obicei, o instructiune JUMP) este intotdeauna acelasi. (Acesta este totusi ceva comun pentru inceputul majoritatii fisierelor COM si nu poate fi folosit pentru cautarea si identificarea virusului.) Primii 39 bytes ai virusului cuprind o rutina simpla de decriptare, care insa include un numar variabil de instructiuni de cate 1-2 bytes, inserate printre instructiunile de decodificare, pentru a face scanarea fara efect. Doi dintre bytes-ii algoritmului de codificare sunt corelati cu dimensiunea fisierului de infectat si probabil controleaza numarul instructiunilor fara de inteles, inserate. Este folosita o rutina de criptare dubla, codul fiind rezistent la dezasamblare. În plus fata de instructiunile INT 03, alte parti ale codului seteaza, la executie, Trace Mode, anihiland astfel debugger-ele. Virusul foloseste tehnici de criptare variabile. Nu exista nici un sir de scanare, posibil pentru acest virus. Tehnica de cod confuz, dezvoltata aici, a fost initiata si de alti virusi, incluzand Flip, Fish 6 si Whale. Rutina de criptare foloseste un numar obtinut de la portul clock, care este folosit pentru generatorul de numere aleatoare. Acesta este folosit pentru codul de XOR-dublu. Desi unii cercetatori au suferat ca virusul infecteaza doar un fisier, la fiecare executie a sa, s-a constatat ca virusul infecteaza un fisier COM, din directorul curent, indiferent daca se executa sau nu un fisier infectat din acel director. Primii 24 bytes din codul virusului sunt primii executabili si contin rutina de decriptare. Acestia, la randul lor, sunt criptati si niciodata la fel. De la al 25-lea byte incolo, codul este dublu criptat. Decriptarea virusului este facuta si mai dificila prin includerea unor instructiuni nerelevante, iar ordinea in care aceste instructiuni sunt realizate variaza de la infectie la infectie. Virusul nu poate trece peste protectia la scriere a hard discului, asigurata de unele utilitare.


 Cvirus

Pseudonime:
Nowhere Man
Vmessi
Mesaje afisate de virus:
Cind fisierul a fost infectat va fi afisat mesjul: "Out of memory". Daca infectia nu este posibila va fi afisat: "All files infected. Mission complete."
Mesaje neafisate dar continute de corpul virusului:
"NMAN" , "BMAN" , "*.EXE"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Efecte distructive:
Suprascrie in fisierul original.
Comentarii:
Cind un fisier infectat este executat, virusul va cauta un fisier infectabil (mai mare de 6300 bytes). Primii 6286 bytes vor fi supra-scrisi de catre virus. Data si timpul ramin neschimbate.


 CyberTech.222

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
222 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Dalian.1366

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1366 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Darth.201

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
201 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DataFire.1080

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1080 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DeathBoy.893

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
893 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Eagle.7705

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7705 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Eddie.1800

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Psko

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1803 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Elaine.1127

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1127 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Mesaje neafisate dar continute de corpul virusului:
'Elaine 1.0 28 May 1994'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
13 / 03
13 / 0B


 Enculator.Turbo.1366

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1366 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 24 pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 ES.400

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Friday13.408

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
408 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Frz.1567

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1567 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Geek.450

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
450 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ghh.482

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
482 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Gippo.1242

Pseudonime:
Gippo.EpidemicWare
Gippo.EW
Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Dupa executarea unui program infectat nu este necesara o resetare la rece a calculatorului.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1242 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Originea geografica:
Unknown
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, care poate fi insa detectat printr-un sir 'wildcard'.
Mesaje afisate de virus:
"AntiHeuristic GIPPO EpidemicWare"
Mesaje neafisate dar continute de corpul virusului:
"*.exe"
"*.*"
0x7," HAMMER ",0x7
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Raspandirea virusului:
Rapoarte nesemnificative. ; la data: 11/7/93
ntreruperi interceptate:
8h
A se vedea si:
Gippo.Earthquake
Efecte nedistructive:
O rutina rezidenta, continand un nou vector pentru INT 8 care face ecranul sa "tremure" si difuzorul intern sa emita semnale sonore.
Efecte colaterale:
Rutina ce produce un efect de tremurare a ecranului si efecte sonore prin difuzor.
Conditii de declansare a infectarii:
21h/1Eh (Null Func. CP/M comp.) -> if (AL >= 4) then 21h/6900h (Get Disk Serial Number - DOS 4+) -> (Carry Flag = 1) OR Disk_Serial_Number Check:((WORD PTR DS: BX+2 <> 0) AND (WORD PTR DS: BX+4 <> 0))
Modul de autodetectare a virusului pe disc:
FileTime.Seconds and 1 <> 0
Comentarii:
La fiecare infectare, daca la adresa CS:4E8h se gaseste valoarea FFFFh, virusul afiseaza mesajele specificate, in campul respectiv, via INT 21h/9. Apoi, el termina programul infectat via INT 21h/4Ch (Terminate Program).


 Godzina.1024

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 HLLC.Bolek.8096

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8096 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.ScreenAllive

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
9802 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.4240

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4240 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Joker

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.3678

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3678 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.7808

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7808 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.2187

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2187 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 2 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Exciter

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1808 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Pipi.1552

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1552 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Standard

Pseudonime:
1813
Friday 13h
IDF
Israeli
PLO

Virusul poate reinfecta. - Reinfecteaza fisierele de tip .EXE.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
112 paragrafe.
Spatiul ocupat pe disc:
1808 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut (pentru fisiere COM).
- Foloseste header-ul fisierului .EXE (pentru fisiere EXE).
Raspandirea virusului:
Foarte raspandit. ; la data: 8/6/93
ntreruperi interceptate:
21 / 4Bh
21 / DDh
21 / DEh
21 / E0h
08
24
Efecte nedistructive:
Zona ecran este steasa; masina se incetineste.
Conditii de declansare a efectelor nedistructive:
VirusResident > 30 minutes
Efecte distructive:
Fisierele program sunt sterse la executie.
Conditii de declansare a efectelor distructive:
Date = Friday 13th
Conditii de declansare a infectarii:
21h/4Bh
Infection Criteria: DiscFreeSpace >=1808 Filename<>"COMMAND.COM"
Modul de autodetectare a virusului in memorie:
INT 21h/AH=E0h -> AX=0003h
Modul de autodetectare a virusului pe disc:
File[lastbyte-2..lastbyte] = "Dos"
Comentarii:
Acest virus este foarte cunoscut. In ziua de Vineri 13, virusul, odata ajuns rezident, sterge imediat fisierele pe care utilizatorul incearca sa le execute. In celelalte zile, virusul asteapta, pur si simplu, 30 de minute de la momentul in care devine rezident si, apoi, instaleaza o bucla goala la INT 08h (ticul timer-ului) pentru a incetini masina. Pe PC-urile rapide, asa ceva nu este prea notificabil. De asemenea, virusul face scroll-up pe o fereastra, aflata in coltul stanga jos al ecranului, dar acolo nu este nimic afisat. Marcajul de autorecunoastere-disc (sirul "Dos" plasat la sfarsitul fisierului) nu este niciodata adaugat la fisierele EXE, deci acestea vor suferi o infectare repetata, pana cand vor ajunge atat de mari incat nu vor mai putea fi executate, producand erori de genul "Programs too big to fit in memory". Este ceea ce face ca virusul sa fie QUITE si nu SLIGHTLY. De asemenea, Jerusalem.Standard este cunoscut si pentru inteferenta sa cu retelele Novell, datorita alegerii sale de a face un apel - pentru autorecunoasterea in memorie. Aceasta are efect asupra functiilor pentru spooler-ul imprimantei si poate determina caderea intregii retele. Este de fapt o slabiciune a Novell-ului - executia unui program daunator (chiar si cu bug-uri) pe o statie de lucru n-ar trebui sa deranjeze serviciile de retea, asa cum face acest virus.


 Jerusalem.ZipEater

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1984 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Julia.1027

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1027 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Larry.491

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
491 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16 pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leech.Warrier.768

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
768 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Leprosy.1992

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1992 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.666

Pseudonime:
Leprosy 1.00
News Flash
Virusul este scris intr-un limbaj de nivel inalt deci seamana cu programele scrise in acel limbaj.
Poate fi incarcat din zona BBS-utilor, prin intermediul unui fisier numit 486COMP.ZIP.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Poate fi incarcat din zona BBS-utilor, prin intermediul unui fisier numit 486COMP.ZIP.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
666 o.
Poate fi incarcat din zona BBS-utilor, prin intermediul unui fisier numit 486COMP.ZIP.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Poate fi incarcat din zona BBS-utilor, prin intermediul unui fisier numit 486COMP.ZIP.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
San Francisco, california, USA
Poate fi incarcat din zona BBS-utilor, prin intermediul unui fisier numit 486COMP.ZIP.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
NEWS FLASH!! Your system has been infected with the incurable decay of LEPROSY 1.00, a virus invented by PCM2 in June of 1990. Good luck! ; Mesajul continut de virus si afisat este criptat.
Mesaje neafisate dar continute de corpul virusului:
*.COM
Adauga *.COM la sfarsitul fisierelor pe care le infecteaza.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Raspandirea virusului:
In circulatie.
Efecte distructive:
Sunt substantiale, dat fiind faptul ca suprascrie fisierele pe care le infecteaza.
Comentarii:
Simptome: Unul din sapte programe infectate va afisa mesajul " NEWS FLASH!! Your system has been infected with the incurable decay of LEPROSY 1.00, a virus invented by PCM2 in June of 1990. Good luck! ". Programele infectate nu vor functiona; uneori vor afisa "Program too big to fit in memory". Virusul nu este eliminabil. Se indeparteaza prin stergerea fisierelor infectate. Derivate ale virusului: Leprosy.B, Plague|_x.
Propagare: Atunci cand un fisier infectat este incarcat, orice COM sau EXE din directorul curent este suprascris, primii sai 666 bytes fiind inlocuiti cu virusul. Identificatori asignati de diverse scanner-e: Cheyenne: Leprosy
ESaSS: Leprosy related {3}
Frisk: Leprosy.A
H+BEDV: Leprosy #2
McAfee: RMIT [RMIT]
NORMAN: Leprosy a
Norton: Leprosy-A
S&S: Leprosy.a Eicar ID:1f8e9f40
Related: Leprosy #2, Leprmut-X, Leprosy #3, Leprosy #7, Leprosy #1, Leprosy #4.
Replicare: Infecteaza deopotriva fisierele COM si EXE. Are actiune directa. Gaseste primul fisier neinfectat din fisier. Citeste fisierele, scrie in fisiere, inchide fisierele. De notat: acces dubios la fisiere. Contine o rutina pentru cautarea fisierelor executabile (.COM sau .EXE).


 Leprosy.Flood.999

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
999 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Sandra_II.1356

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1356 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Marzia.Pisello

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 MDS.331

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
331 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 MemLapse.845

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
845 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Metallica.500

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Miky.2350

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2350 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mini.109

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
109 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.934

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
934 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vbasic

Pseudonime:
Slayer
5120
Brain Slayer
Slayer Family
Yankee Doodle Dropper
Basic
VBasic.A
Virusul este scris intr-un limbaj de nivel inalt deci seamana cu programele scrise in acel limbaj.
Virusul este scris in Turbo Basic, avand codul de initializare in limbaj de asamblare.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Virusul este scris in Turbo Basic, avand codul de initializare in limbaj de asamblare.
Spatiul ocupat pe disc:
5120 o.
Virusul este scris in Turbo Basic, avand codul de initializare in limbaj de asamblare.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
lungimea virusului + 0 ... 15 pentru fisierele de tip .EXE.
Originea geografica:
Wuerzburg, West Germany
Virusul este scris in Turbo Basic, avand codul de initializare in limbaj de asamblare.
Mesaje afisate de virus:
'Access Denied' ; Mesajul continut de virus si afisat nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
BASRUN, BRUN, IBMBIO.COM, IBMDOS.COM, COMMAND.COM
In versiunea originala a virusului, aceste siruri text pot fi gasite la sfarsitul fisierelor infectate.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza (din greseala) overlay-urile (.OVR).
Efecte nedistructive:
Dupa 1 Aprilie 1992, virusul incearca sa infecteze toate programele de pe hard disc si, apoi, afiseaza un mesaj de eroare 'Access Denied'.
Comentarii:
Infectia are loc ori de cate ori este executat un fisier infectat, daca data este dupa 6 Iulie 1989. Atunci cand un fisier infectat este executat, virusul va incerca sa ifecteze un fisier EXE si unul COM, din directorul curent, precum si unul ales aleator (COM sau EXE) din fiecare director de pe C:\, F:\. Fisierele EXE sunt infectate daca lungimea lor este mai mica decat lungimea header-ului EXE plus o pagina (512 bytes). Fisierele COM sunt infectate daca lungimea lor initiala este mai mica ca 60.400 bytes. In timpul infectarii, Control-Break sunt verificate si comutate pe off. La terminarea unui program infectat, veti vedea mesajul 'Access denied', care provine de la virus.


 Vdv.853

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
853 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VICE.01.FireCide

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2481 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vienna.1014

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1014 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.457

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
457 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vodka.560

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 VS.3900

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Wanderer.400

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 WildThing.557

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
557 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Wirusek.2723

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2723 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WM.Bandung.A

Pseudonime:
MW:Bandung-A
WordMacro/Bandung.A
WM/Bandung
BANDUNG.A
Bandung.A
Macro.Word.Bandung
Jakarta
Originea geografica:
Bandung, Indonesia
Data originii: August/Septembrie 1996
Mesaje afisate de virus:
Virusul afiseaza mesaje de eroare WordBasic
Mesaje neafisate dar continute de corpul virusului:
Dupa stergera fisierelor, Bandung creaza fisierul C:\PESAN.TXT care contine un text Indonezian: "Esti ghinionist, toate fisierele din calculator au fost sterse, exceptie fac WINDOWS si WINWORD, nu te speria, asta nu e greseala ta, este rezultatul actiunii mele……Oricine este in masura sa combata acest virus, ii voi oferi listingul acestuia!!!! Si bineinteles eu te voi saluta cu noi virusi…..mult noroc ! Bandung Luni, Iunie 28 1996, 13:00 pm"
Efecte distructive:
Actiunea distructiva a virusului este declansata cind este pornit Microsoft Word. Daca data sistemului este mai tirziu de 16 a fiecarei luni iar timpul este mai tirziu de ora 11:00 am, virusul va sterge toate fisierele din toate directoarele. Exceptie fac directoarele: C:\WINDOWS, C:\WINWORD, C:\WINWORD6
Comentarii:
Este un virus de Word. Bandung infecteaza Normal.dot cind un document contaminat este deschis. In plus documentele sint infectate cind sint folosite comenzile "FileSave" si "FileSaveAs". Ca o tehnica de ascundere, virusul inlatura meniul "ToolsMacro". O alta manifestare a virusului este inlocuirea literei "a" cu "#@" cind este apelat "ToolsCustomize". Numarul de macro-uri este 6 iar dimensiunea fiecarui macro este 4262 Bytes. Nu este criptat.


 Yankee.3045

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3045 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 YB.316

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
316 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zelentsov.379

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
379 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Zmt.365

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
365 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 04h.609

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
609 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 7son.332

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
332 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Abraxas-3

Virusul produce efecte sonore.
"Do Re Mi Fa So La Si Do Re "
Spatiul ocupat pe disc:
1200 o.
"Do Re Mi Fa So La Si Do Re "
Mesaje afisate de virus:
"abraxas"
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Comentarii:
Virusul cauta fisiere Exe "curate" in directorul curent pe care le infecteaza. El creaza un fisier cu acelasi nume cu al celui original si cu dimensiunea de 1200 Bytes care va contine virusul. Fisierul original este distrus.


 ACV.1342

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1342 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Aids.552

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
552 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Albanian.1991

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1991 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Arcv.639

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
639 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.965

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
965 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.Joanna.912

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
912 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Armagedon.1079.F

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1079 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Asmodeous.1343

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1343 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Astra_II.976

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
976 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Atomic.831

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
831 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.143

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
142 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.338

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
338 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.AIH.352

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
352 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Bebe.1004

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1004 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Beer.3399

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3399 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 BetaBoys.450

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
450 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bios.2048

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Blackjec.231

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
231 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.301

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
301 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blink.501

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bobo.530

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
530 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 BootCOM.Peanut.445

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
445 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Bravo!.502

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
502 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 CheckSum.1232

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1232 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Christmas.1539

Pseudonime:
Christmas Tree
Xmas and April 1st
1539
Tannenbaum
Weinacht
XA1
Virusul produce efecte vizuale.
Virusul produce blocaje ale PC-ului.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1539 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Altena, Germany
Mesaje afisate de virus:
"Und er lebt doch noch: Der Tannenbaum !, 0Dh,0Ah,00h, Frohe Weihnachten ..., 0Dh,0Ah,07h,00h ; Mesajul continut de virus si afisat nu este criptat.
Virusul contine acest text in Germana, in traducere: "Si el traieste: bradul de Craciun!, Craciun fericit".; Virusul contine acest text in Germana, in traducere: "Si el traieste: bradul de Craciun!, Craciun fericit".
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
Efecte distructive:
Executarea oricarui fisier infectat pe data de 1 Aprilie a fiecarui an va avea ca efect lasarea a ceva cod in sectoarele de la A: si B:, si de pe MBR. Pe hard disc, MBR-ul este copiat pe un alt sector si este salvat, insa executarea unui alt program infectat cu virusul Christmas, pe 1 Aprilie, va distruge copia originala a MBR-ului. La orice incercare boot, se va vedea pe ecran, "April April" si PC-ul se va bloca.
Comentarii:
Intre 12/24 si 1/1, virusul va afisa, pe ecran, un brad de Craciun, impreuna cu textul in Germana. Pe data de 1 aprilie, virusul va suprascrie inregistrarea de boot cu "April..." Virusul foloseste o rutina de auto-criptare care se modifica usor, de la infectare la infectare, facand astfel ca analiza sa sa fie tot mai dificila.


 Civilwar.166

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
166 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Dad.503

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
503 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 CLME.Ming.1528

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1528 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Coito.644

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
644 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Companion.87

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
87 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 Comvirus.321

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
321 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cracky.596

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
596 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Croatia.1535

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1535 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Deicide.2569

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2569 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Democracy.3959

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3959 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DHeart.649

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
649 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Diamond.609

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
609 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Die_Hard

Pseudonime:
Die Hard-4000
Die Hard
Die_Hard.4000.A
WIX
Die Hard 2
DieHard2.4000.a
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Comentarii:
Este rezident in memorie. Nu foloseste tehnici de ascundere. Este criptat.


 DirII.2048

Spatiul ocupat pe disc:
2048 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Dlsu.477

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
477 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dosver.2062

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2062 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 DSME.DemoVirus

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2509 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dutch_Tiny.312

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
312 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Exe_Bug.Hooker

Pseudonime:
NONE
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
1 sectoare.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13 / 02
13 / 03
Modul de penetrare a virusului:
Virusul foloseste INT 13h pentru a accesa discul.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
NONE
Mesaje neafisate dar continute de corpul virusului:
"HOOKER" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/17(hard) pe un hard disc.
- Pista/capul/sectorul Last_R (floppy)
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 5/1/93
ntreruperi interceptate:
13 / 02
13 / 03
Efecte distructive:
Sectoarele de pe disc sunt convertite in "disk-trashing trojan".
Conditii de declansare a efectelor distructive:
Int 13h write and buffer(0..1)='MZ' and cl=counter
Efecte colaterale:
Nu se pot formata dischetele.
Conditii de declansare a infectarii:
La boot-area de pe un disc (hard) ; in timpul INT 13h/AH=2 (floppy)
Modul de autodetectare a virusului pe disc:
MBR (60..61h)=BAh 80h
Comentarii:
Cand "Troianul" (avand lungimea de 48 bytes) este scris pe disc, sirul "HOOKER" este adaugat la sfarsitul lui.


 ExeHeader.Mike.252

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
252 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Exile.255

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
255 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Faerie.286

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
286 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FatherMac.836

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
836 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FaxFree.Tower

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fichv.903

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
57 paragrafe.
Spatiul ocupat pe disc:
903 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje neafisate dar continute de corpul virusului:
"****FICHV 2.1 vous a eu****" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Tehnici de protejare:
- Foloseste un stil de codificare special pentru a incurca majoritatea dezasambloarelor.
- Foloseste INT 1 si INT 3 pentru a se autodecripta.
ntreruperi interceptate:
21 / 3D
21 / 4B
24
Efecte distructive:
Umple buffer-ul cu sirul "****FICHV 2.1 vous a eu*" repetat de 85 de ori si foloseste data pentru a suprascrie primele 6 sectoare de la capetele 0 si 1 ale cilindrilor 0-255, de pe discul curent. Va repeta intotdeauna scrierea pe disc, numai sa nu fi intervenit vreo eroare.
Conditii de declansare a efectelor distructive:
Virusul executat in mod direct (iesirea in programul gazda) AND Month==June
Efecte colaterale:
Buffer-ul de la adresa 6000:0h este folosit in toate scopurile, fara a solicita memorie altfel. Programul gazda este incarcat si executat de catre virus in timpul in care acesta ruleaza, dar virusul intoarce starea de return a apelului in loc de starea de iesire a programului gazda. Vectorul de tratare a Int 24 nu este restaurat.
Conditii de declansare a infectarii:
(Direct_mode II ((ILoad II Open) && Bytes free (pe unitatea curenta) >3000 && Filesize >=1500 (cauta, in directorul curent, fisiere care pot fi scrise in directorul curent)
Modul de autodetectare a virusului in memorie:
(Int 21_segment:0)=="F"
Constrangeri necesare virusului pentru a functiona:
Valabil numai pentru memorie RAM >=512K
Comentarii:
Virusul actioneaza in mod direct daca programul, care ruleaza, se potriveste cu *COMMAND.* sau daca virusul rezident este deja instalat sau daca intervine vreo eroare in timpul instalarii virusului rezident. (cs:0) == "G" (mod direct ) or =="F" (mod rezident). Rutina de decriptare este facuta sa arate ca si cand cheia de encriptare ar fi variabila, totodata insa, se schimba in timpul decriptarii, dar de fapt ea este constanta (in ambele sensuri). Primul octet este decriptat cu ajutorul lui int3 iar octetii ulteriori sunt decriptati cu int1 (amandoua intreruperile folosesc acelasi vector de iesire). Vectorii anteriori pentru int3 si int1 sunt refacuti imediat dupa terminarea decriptarii.


 Fisher.1100

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Fist.855

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
855 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Flower.883

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
883 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Gotcha.881

Pseudonime:
Gotcha
Gotcha #1
Gotcha [Gtc]
Gotcha-906
Gotcha-B
GTC-B
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
881 o.
Spatiul ocupat pe disc:
881 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Eastern Europe
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
GOTCHA! ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
A se vedea si:
Gotcha #1
Gotcha #11
Gotcha #10
Gotcha #3
Efecte distructive:
Suprascrie fisierele pe care le infecteaza.
Infecteaza fisierele la deschidere, inchidere sau la scan-area directorului.
Comentarii:
La fisierele pe care le infecteaza, adauga textul GOTCHA!. Acces dubios la fisiere. Alocarea memoriei dubioasa. Programul foloseste o metoda nestandard pentru a cauta si/sau aloca memorie. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se lega la orice locatie din fisierul executabil. Programul intercepteaza software-ul la incarcare. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Apel nedocumentat la intreruperi DOS.


 Grog.1635

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1635 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Grog.557

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
557 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Grozny.999

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
999 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Guess.928.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
928 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hafen.1689

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1689 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HelloUser.545

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
545 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hey_You

Pseudonime:
928
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
944 o.
Spatiul ocupat pe disc:
928 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
Bulletin Board, Slovenia
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Hey, YOU !!! Something's happening to you ! Guess what it is ?! HA HA HA HA ... ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .EXE identificate prin tip.
Raspandirea virusului:
In circulatie.
ntreruperi interceptate:
21 / 4B
24
Intercepteaza INT 21/4B (si BBBBh), 24 (in timpul infectarii). Atunci cand un program este executat, calculatorul emite beep-uri (^G), afiseaza mesajul indicat si parasesˇte DOS-ul.
Conditii de declansare a efectelor nedistructive:
Mesajul este afisat daca, Şin timpul infectarii, funtia GetDate returneaza year>=1991 AND month>=2 AND day>=25 AND (Mem[0:46Ch] AND 7=0) (Real Time Clock).
Modul de autodetectare a virusului in memorie:
Daca INT 21 functia BBBBh returneaza valoarea 6969h in registrul AX.
Modul de autodetectare a virusului pe disc:
Pentru fisiere COM, verifica daca primul byte din fisier este un jump (E9h), calculeaza jump-ul destinatie, apoi, compara continutul fisierului de la destinatie cu primii noua bytes ai virusului. Pentru fisierele EXE, calculeaza punctul de intrare si compara continutul fisierului cu primii noua bytes ai virusului.
Comentarii:
Exista doua variante ale virusului. Referitor la intreruperile interceptate, INT 21 este setat direct (nu via DOS) si pointeaza intotdeauna pe xxxx:00B5h. Fisierele EXE, care au cerinte maxime de memorie, egale cu FFFFh (paragrafe), nu vor fi infectate. Atributele, ora si data unui fisier infectat raman neschimbate. Atributele "read-only" si "hidden" NU protejeaza impotriva infectarii. Propagare: Atunci cand un program infectat este executat, virusul verifica mai intai MCB-ul pentru a determina daca vor fi cel putin 64Kb disponibili, dupa auto-instalarea virusului in memorie. Apoi, virusul se copiaza in topul memoriei disponibile si - descreste valoarea memoriei disponibile cu 944bytes. Apelarea lui INT21/4B declanseaza infectia. Virusul se adauga la sfarsitul fisierelor COM (inclusiv COMMAND.COM) si a celor EXE, sporindu-le dimensiunea cu o valoare cuprinsa intre 928 si 943. Fisierele vor fi infectate doar o singura data. Este identificat de catre scanner-ul Norman NVC, sub numele Hey_You.


 Highlander.477

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
477 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca orice virus care suprascrie.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
'Highlander 1 RULES!' ; Mesajul continut de virus si afisat nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
Highlander 1 RULES!, dex, The virus is now resident. ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Nu infecteaza si COMMAND.COM.
ntreruperi interceptate:
21
Efecte distructive:
Nu este pagubitor. Efectele ar putea fi activate in functie de date.
Comentarii:
Acesta este virusul HIGHLANDER, version 1.0. El este un virus generic, parazit, un infector COM rezident. Si totusi, el nu va infecta COMMAND.COM. Nu este distructiv, dar poate fi iritant. Intercepteaza intreruperea 21. Virusul a fost asamblat sub TASM 2.0, cu switch-ul /m2. Cand este executat un fisier infectat, ceea ce se executa mai intai este codul virusului. Virusul verifica mai intai sa vada daca nu este deja rezident. Pentru aceasta, seteaza registrul AH la valoarea 0DEh. In mod curent, aceasta functie nu este suportata sub DOS. Apoi, este apelata intreruperea 21. Daca dupa apel, AH este nemodificat, inseamna ca virusul nu este rezident. Daca insa AH nu mai contine 0DEh, se presupune ca virusul este rezident. Daca virusul este deja rezident, executia codului viral va restaura gazda in memorie, in conditia originala si-i va permite sa se execute in mod normal. Daca totusi virusul nu este rezident, INT 21 va fi interceptata de catre virus. Odata aceasta realizata, virusul va elibera toata memoria disponibila de care nu mai are nevoie (programelor COM li se aloca toata memoria disponibila atunci cand sunt executate, chiar daca ele ocupa doar un segment). Codul viral va copia apoi mediul original si va determina path-ul si numele fisierului programului gazda din memorie. Codul viral va iesi din procesul shell ˇsi va re-executa programul. Acum, virusul este aproape rezident. Atunci cand virusul iese din procesul shell si re-executa gazda, in registrul AL este pasata o valoare ne-suportata. Aceasta este interpretata de virus pentru a semnifica ca infectia este in tranzitie si ca, atunci cand gazda este re-executata, sa presupuna ca el este deja rezident. Aceasta valoare este apoi schimbata cu una corespunzatoare, pe care procesul shell o va executa normal (INT 21 este deja interceptat in acest punct). Acest proces shell este invizibil, din moment ce codul viral copiaza atat de reusit mediul original. Odata ce gazda a terminat executia, controlul este redat inapoi gazdei originale (codul viral). Apoi, virusul termina executia devenind rezident, folosind intreruperea 027h. In toate aparitiile, programul gazda tocmai a realizat executiile normale si a terminat. In realitate, virusul este acum complet rezident. Atunci cand virusul este rezident, intreruperea 21h este interceptata si monitorizata. Atunci cand un program este executat, virusul rezident capata controlul (DOS executa programele, prin interpretare din DOS folosind intreruperea 021h, subfunctia 04bh). Cand virusul vede ca un program este in curs de executie, el realizeaza o serie de verificari. Primul lucru, pe care-l verifica, este daca programul de executat are 'D' ca a saptea litera a numelui sau. Daca are, atunci programul nu va fi infectat si i se va permite sa se execute in mod normal (aceasta este modalitatea prin care virusul impiedica de la infectare COMMAND.COM. Nici un fisier COM, avand 'D' ca a saptea litera a numelui, nu va fi infectat). Daca a saptea litera nu este 'D', virusul va verifica apoi sa vada daca fisierul de executat este COM sau nu. Daca nu este un COM, el nu va fi infectat si i se va permite sa se execute in mod normal. Daca si testul de fisier COM a fost trecut, in continuare, este verificata dimensiunea fisierului. Sunt infectate doar fisierele mai mari de 1024 bytes si mai mici de 62000 bytes. Daca dimensiunea fisierului este intre aceste limite, fisierul este verificat pentru a vedea daca nu este deja infectat. Fisierele sunt infectate doar o singura data. Virusul determina infectarea, verificand marcajul data/ora a fisierului. Daca portiunea secundelor, din marcaj, este egala cu 40, atunci fisierul se presupune ca este infecat. Daca fisierul este infectat, virusul verifica, in continuare, data. Daca este a 29-a zi din fiecare luna, virusul va prezenta calitatile sale iritante prin afisarea mesajului 'Highlander 1 RULES!' de 21 de ori, blocand apoi masina si obligand la reboot-are. Daca fisierul nu este infectat, se va proceda la infectarea lui. Virusul stocheaza atributele originale si apoi le modifica la normal, read/write. De asemenea, este stocata si dimensiunea fisierului. Apoi, fisierul este deschis, iar prima parte din fisier este citita si stocata in memorie (Este vorba de un numar de bytes egal cu lungimea virusului). Apoi, virusul procedeaza la suprascrierea primei parti a fisierului cu propriul sau cod. In continuare, este ajustat pointerul de fisier la sfarsitul acestuia, unde este copiata si o scurta rutina de restaurare. Prima parte originala a fisierului este copiata la sfarsitul acestuia, dupa rutina de restaurare. Marcajul data/ora al fisierului este apoi ajustat pentru a arata infectia (partea secundelor este setata la 40. Aceasta nu va fi niciodata sesizat, intr-un listing director, in zona secundelor). Apoi, fisierul este inchis, iar atributele originale sunt restaurate. Apoi, controlul este trecut rutinei originale INT21, iar acum programului, proaspat infectat, i se permite sa se execute in mod normal. Acest virus va infecta fisiere read-only. COMMAND.COM nu va fi infectat. El nu este un virus distructiv, dar poate fi cumplit de iritant. Identificatori asignati de diverse scanner-e: Cheyenne: Highlander
ESaSS: Highland
Frisk: Highlander
H+BEDV: Highlander
McAfee: Highland [High]
NORMAN NVC: Highlander
S&S: Highlander Eicar ID: 76ae4fe0 Replicare: Infecteaza doar fisiere COM. Are actiune directa. Cauta primul fisier neinfectat din director. Muta pointerul de fisiere, citeste fisiere, scrie in fisiere, inchide fisierele. Obtine si seteaza atributele. Reseteaza data fisierului. Alte remarci: Acces dubios la fisiere. Alocare suspicioasa a memoriei. Intercepteaza incarcarea programului pentru a infecta software-ul. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Foloseste un apel de intrerupere DOS nedocumentat. Revine la punctul de intrare. Contine cod pentru a restarta programul dupa ce modificarile din punctul de intrare au fost efectuate. Deci, caracteristici comune virusilor.


 HLLP.Runner.9312

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
9312 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Honey.666

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
666 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 HTML.Enel.3787

Spatiul ocupat pe disc:
3787 o.
Comentarii:
Acesta este un virus de VBScript care infecteaza fisierele cu extensia HTM, HTML sau HTT. Pentru a putea functiona , sistemul trebuie sa aibe instalat Windows cu Internet Explorer (4.0 sau mai mare). Directoarele in care actioneaza virusul sint: C:\WINDOWS\WEB, C:\Inet-Pub\wwwroot, si C:\MyDocu~1. Acest virus poate fi 'luat' deschizind o pagina infectata din Internet. Folosind setarile implicite din Internet Explorer va trebui aprobat un mesaj care sa dezactiveze securitatea din Internet Zone , pentru ca virusul sa actioneze prin schimbarea urmatoarelor chei: Software\\Microsoft\\Windows\\CurentVersion\\Internet\\Settings\\Zones\\3\\1201, Software\\Microsoft\\Windows\\CurentVersion\\Internet\\Settings\\Zones\\1\\1201, Software\\Microsoft\\Windows\\CurentVersion\\Internet\\Settings\\Zones\\0\\1201 din HKEY_LOCAL_MACHINE si HKEY_CURRENT_USER. Dupa ce au fost dezactivate aceste setari, mecanismul de alerta nu va mai putea actiona si asfel sistemul va fi infectat de fiecare data cind va fi deschisa o pagina web infectata. Virusul verifica daca fisierul vizat a mai fost infectat. Daca 'NU' va face o copie temporara a acestuia, dupa care supra-scrie fisierul original. Apoi va atasa datele din fisierul original la fisierul temporar. In final va schimba status bar, devenind : "HTML.Worm v0.2/Internal". Sint sanse 1 la 15 sa se faca o redirectionare la pagina de web a autorului.


 Ibex

Virusul este prost scris (are erori).
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
1 sectoare.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: Int 13 / 02
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 00/01/0E pe un floppy de 1.2 MO.
- Pista/capul/sectorul 00/01/0F pe un floppy de 1.44 MO.
- Pista/capul/sectorul 00/01/05 pe un floppy de 720 KO.
- Pista/capul/sectorul 00/01/03 pe un floppy de 360 KO.
- Pista/capul/sectorul 00/00/02
- Pista/capul/sectorul 00/01/02 pe un hard disc.
AT 00/01/03 (alte discuri floppy); AT 00/00/02 (MBR);; AT 00/01/03 (alte discuri floppy); AT 00/00/02 (MBR);; AT 00/01/03 (alte discuri floppy); AT 00/00/02 (MBR);
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Eastern US ; la data: 11/9/93
ntreruperi interceptate:
13 / 0201
Efecte distructive:
Scrie aleator lucruri nesemnificative in fiecare sector al hard discului.
Conditii de declansare a efectelor distructive:
INT1A AX=04 -> DL=07 (A saptea zi din luna) OR
(INT1A AX=04 -> DL=00 AND INT1A AX=00 -> DL<0x10)
Efecte colaterale:
Datorita a ceva ce seamana a bug, acest virus, proiectat sa infecteze doar MBR-urile , uneori va infecta si sectorul de pe pista 0, sectorul 1, cap 1 de pe hard disc (acolo unde adesea rezida inregistrarea boot OS). Atunci cand face aceasta, el salveaza continutul original al sectorului in sectorul urmator (pista 0, cap 1, sector 2). Aceasta va surprascrie adesea primul sector din FAT-ul partitiei, facand ca sistemul de fisiere sa fie corupt si masina, in general, neboot-abila. Aceasta, plus paguba lunara permenta, va face virusul cat se poate de evident pentru a fi cu adevarat raspandit.
Conditii de declansare a infectarii:
(BootFromFloppy -> infecteaza HD) (INT13 AX=0201 CX=0001 DH=00 DL<80 -> infecteaza floppy)
Modul de autodetectare a virusului pe disc:
Bootrec[0x0137]=0x37


 Ignorance

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1979 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza drivere de dispozitive (.SYS).


 Int5

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Intrep.946

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
946 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Invisible.b

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3223 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Jabb.615

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
615 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Jerusalem

Pseudonime:
1813
1808
PLO
Friday 13th (J)
Hebrew
Israeli
Black Friday
Black Hole
Friday the 13th
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Adauga 1813 bytes (pentru COM-uri), incluzand un marker de 5 bytes la sfarsitul fisierului sDos; 1808 (pentru EXE-uri) cu pana la 15 bytes rotunjire, astfel incat dimensiunea fisierelor infectate este multiplu de 16.

Virusul poate reinfecta. - Reinfecteaza fisierele de tip .EXE.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Adauga 1813 bytes (pentru COM-uri), incluzand un marker de 5 bytes la sfarsitul fisierului sDos; 1808 (pentru EXE-uri) cu pana la 15 bytes rotunjire, astfel incat dimensiunea fisierelor infectate este multiplu de 16.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1808 o.
Adauga 1813 bytes (pentru COM-uri), incluzand un marker de 5 bytes la sfarsitul fisierului sDos; 1808 (pentru EXE-uri) cu pana la 15 bytes rotunjire, astfel incat dimensiunea fisierelor infectate este multiplu de 16.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Originea geografica:
Hebrew University, Jerusalem
Adauga 1813 bytes (pentru COM-uri), incluzand un marker de 5 bytes la sfarsitul fisierului sDos; 1808 (pentru EXE-uri) cu pana la 15 bytes rotunjire, astfel incat dimensiunea fisierelor infectate este multiplu de 16.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza (din greseala) overlay-urile (.OVR).
Infecteaza fisiere COM (punandu-se in fata) (dar nu si COMMAND.COM), infecteaza fisiere EXE (prin adaugare); infecteaza fisierele overlay care incep cu caracterele MZ (4D5Ah) ceea ce induce in eroare ca fiind fisiere EXE.
Raspandirea virusului:
Foarte raspandit.
Este raspandit in toata: impreuna cu cateva variante minore, este cel mai comun virus de fisiere si cel mai extins plagiat.
Efecte distructive:
Pagubele sunt substantiale. Sterge toate programele care se executa daca calculatorul a fost infectat pe data de "Friday the 13th" (indiferent de luna). De notat ca aceasta data refera data infectiei, nu data executiei. Daca masina nu este oprita in ziua de Vineri13 a lunii, programele executate Sambata 14, vor fi totusi sterse; similar daca data unei masini infectate este schimbata cu alta, programele executate vineri 13 nu vor fi infectate.
Comentarii:
Simptome: treizeci de minute dupa ce devine rezident, o bucla este legata in sistem, incetinindu-l. Din acest moment, pe o zona de pe ecran (de 12 pe 12) se va face scroll cate doua linii, lasand un dreptunghi (de 2 pe 12) negru, pana cand utilizatorul sterge tot ecranul. Cand un fisier este infectat Vineri 13, incercarea de executa programul va produce mesajul de eroare "Bad command or file name", deoarece fisierul fusese deja sters. Propagare: Isi verifica rezidenta daca functia E0h a lui INT 21 returneaza 0300h in registrul AX. Programele sunt infectate la momentul incarcarii (folosind INT 21/4B). Cand fisierele COM sunt infectate, lungimea fisierelor creste cu 1813 bytes. Ultimii 5 bytes reprezinta un marker MsDos, folosit pentru a infecta fisierele COM doar o data. Virusul contine sirul COMMAND.COM si nu va infecta fisiere avand acets nume. In unele variante, acest sri este modificat uneori. Neexistand insa nici un marker pentru fisierele EXE, cele infectate nu vor fi identificate, ca urmare, fisierele infectate vor fi reinfectate. Initial, fisierele EXE vor fi rotunjite la multiplu de 16, apoi vor fi adaugati cei 1808 bytes ai virusului. De retinut: Virusul foloseste lungimea fisierului, din header-ul EXE, pentru a decide unde sa se copieze pe sine; daca acest camp contine o valoare mai mica decat lungimea actuala a fisierului, atunci virusul va suprascrie fisierul in loc sa-l extinda. Fisierele COM, avand initial lungimea mai mare de 63,466 bytes numai sunt incarcabile dupa infectie. Aceste fisiere sunt distruse prin suprascriere. Variante posibile ale virusului: 1af, 2e7, 52f, 5a4, 65d6, 7c01, 3503, A-204, Anarkia, Dragon, ffd, Flag_ee, Jerusalem.January_25th, Jerusalem.A, Jerusalem B, Jerusalem D, Jerusalem E, Jerusalem.Frere.A, Jerusalem.Frere.B, Jerusalem.Anarkia.b (Anarkia-B), Jerusalem.Puerto, Jerusalem.Mendoza (Mendoza), Jerusalem.Spanish (Spanish), Jerusalem.Critical, Jerusalem.A-204, Jerusalem.Payday (Payday), Jerusalem.Not_13, Jerusalem.b.0.f, Jerusalem.Phenome, Jerusalem.JVT1, Jerusalem.J, Jerusalem.Friday_15, Jerusalem.Feb_7, Jerusalem.Nov_30, Jerusalem.sUMFDos, Jerusalem.Skism, BSA, Jerusalem.Turkish, Messina, Puerto, Standard.AA33CCDDEE, Standard.null, Standard.Nocommand, Standard.Var, sURIV 3.


 Kak.391

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
391 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kbrflags.1024

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Kela.690

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
690 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Keypress.1232.A

Pseudonime:
Keyclick
Turku
Twins
St. Leos
Virusul modifica data si ora fisierelor infectate.
Pentru fisierele COM, virusul adauga 1232-1248 bytes, iar pentru cele EXE, adauga 1472-1487 bytes, Sunt infectate doar fisierele avand lungimea cuprinsa intre 1217 bytes si 64,064 bytes.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1232 o.
Pentru fisierele COM, virusul adauga 1232-1248 bytes, iar pentru cele EXE, adauga 1472-1487 bytes, Sunt infectate doar fisierele avand lungimea cuprinsa intre 1217 bytes si 64,064 bytes.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 16 pentru fisierele de tip .COM.
lungimea virusului + 240 + 0 ... 15 pentru fisierele de tip .EXE.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Pentru fisierele COM, virusul adauga 1232-1248 bytes, iar pentru cele EXE, adauga 1472-1487 bytes, Sunt infectate doar fisierele avand lungimea cuprinsa intre 1217 bytes si 64,064 bytes.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
Frankfurt, Germany?
Pentru fisierele COM, virusul adauga 1232-1248 bytes, iar pentru cele EXE, adauga 1472-1487 bytes, Sunt infectate doar fisierele avand lungimea cuprinsa intre 1217 bytes si 64,064 bytes.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
COM ; Mesajul continut de virus si neafisat nu este criptat.
EXE ; Mesajul continut de virus si neafisat nu este criptat.
In virus, se poate vedea COM si EXE.; In virus, se poate vedea COM si EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: USA
In atentia cercetatorilor. Regiunea geografica: Israel
In atentia cercetatorilor. Regiunea geografica: UK
In atentia cercetatorilor. Regiunea geografica: South Africa
Regiunea geografica: Japan
Regiunea geografica: Australia
ntreruperi interceptate:
21
1C
23
24
INT 21 si 1C sunt interceptate intotdeauna; 23 si 24 sunt interceptate in timpul infectarii.
Efecte nedistructive:
Pagubele sunt minore. Nu contine cod destructiv.
Comentarii:
Identificatori asignati de diverse scanner-e: Cheyenne: PrPSR
ESaSS: Keypress {1}
Frisk: Keypress.1232.A
H+BEDV: Keypress-II (B)
McAfee: Keypress [Key]
NORMAN: Keypress 1232a
Norton: Keypress
S&S: Keypress.a Eicar ID: 705d930a
Simptome: La fiecare 10 minute, virusul examineaza tastatura, timp de 2 secunde, urmarind o tasta. Daca o tasta a fost apasata, cheia este repetata, de un numar de ori proportional cu durata apasarii. Astfel, virusul simuleaza o cheie intepenita.
Virusi corelati: Keypress-II (B), Keypress #3, Keypress #2, Keypress-A, Turku, Keypress #6, Keypress #1.
Propagare: Devine rezident in memorie atunci cand un fisier COM sau EXE este executat. Infecteaza fisierele pe masura ce sunt executate, daca lungimea initiala a fisierului este cuprinsa intre 1217 si 64,064 bytes. Data si ora fisierului vor fi alterate la cele corespunzatoare momentului infectarii. Muta pointerul de fisiere, citeste fisiere, scrie in fisiere, inchide fisiere. Obtine atributele. De notat: Acces dubios la fisiere. Codul programului va fi relocat intr-o maniera dubioasa. Alocare suspicioasa a memoriei. Programul foloseste o modalitate nestandard de cautare si/sau alocare a memoriei. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Construieste un jump dubios. Punctul de intrare este via jump-uri inlantuite sau indirecte. Aceasta este neobisnuit pentru software-ul normal, insa comun pentru virusi. Face determinare EXE/COM, pentru a putea infecta programul. Revine in punctul de intrare. Contine cod pentru a restarta programul dupa ce modificarile de la punctul de intrare au fost efectuate.


 Khizhnjak.444

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
444 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.782

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
782 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ki.962

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
962 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ko.407

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
407 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Komsom.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Kurgan.939

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
939 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Level.4870

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4870 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 LittBrother.300

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
300 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loki.1237

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1237 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lokjaw.Kenson.573

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
573 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Loz.1915

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1915 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lunch_II.404

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
404 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mabuhay

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
2688 o.
Spatiul ocupat pe disc:
2660 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
"

June 12 - the Independence Day of the Philippines.

ßß

* ßß

ßß

\ł/ ßß

ÄÄ ÄÄ * ßßßßßßßßßßßßßßßßßß

/ł\ ÜÜ

ÜÜ

* ÜÜ

ÜÜ

MABUHAY ANG PILIPINAS!

Dedicated to Manong Eddie.

" ; Mesajul continut de virus si afisat este criptat.
Pe data de 12 Iunie, la fiecare program executat dupa virusul rezident in memorie, se va acest mesaj grafic. Imaginea din mijloc reprezinta steagul Insulelor Philippine, ea este albastra in top, apoi rosu cu camp gri (backrgound gri si foreground galben) intr-un "V" orizontal (">") aflat la stanga steagului. Este afisat numele presedintelui Insulelor Philippine, Fidel V. Ramon, pe scurt Manong Eddie. Muzica difuzata in timpul afisarii acestei imagini grafice este imnul national al Insulelor Philippine "Land of the Morning".; Pe data de 12 Iunie, la fiecare program executat dupa virusul rezident in memorie, se va acest mesaj grafic. Imaginea din mijloc reprezinta steagul Insulelor Philippine, ea este albastra in top, apoi rosu cu camp gri (backrgound gri si foreground galben) intr-un "V" orizontal (">") aflat la stanga steagului. Este afisat numele presedintelui Insulelor Philippine, Fidel V. Ramon, pe scurt Manong Eddie. Muzica difuzata in timpul afisarii acestei imagini grafice este imnul national al Insulelor Philippine "Land of the Morning".
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Tehnici de protejare:
- Foloseste o coada 'prefetch' a procesorului pentru a determina daca acesta este trasat.
- Foloseste nivele de criptare multiple.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Philippines, Manila ; la data: 7/15/93
ntreruperi interceptate:
21
Conditii de declansare a efectelor nedistructive:
Daca data sistem este 12 Iunie din oricare an, virusul este rezident si un program este executat.
Efecte colaterale:
Virusul verifica doar extensia de fisier, astfel incat el va strica fisierele .EXE sau .COM.
Conditii de declansare a infectarii:
Odata virusul ajuns rezident, orice fisier executat va fi infectat.
Modul de autodetectare a virusului in memorie:
Int_21h;AH=EFh -> 025Bh
Modul de autodetectare a virusului pe disc:
Compara punctul de intrare in cod cu sine.
Constrangeri necesare virusului pentru a functiona:
DOS 2.0 sau versiuni ulterioare
Comentarii:
Acest virus a fost captat la verificarea integritatii catorva masini ale metroului din Manila. El este raspandit si nu este detectabil cu scanner-ele existente pe atunci - 13 Julie 1993.


 MadSatan.1019

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1019 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Magdzie.1114

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1114 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Manuel.876

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
876 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.FTW.101

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
101 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trust.2356

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 6 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Turkish.604

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
604 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Uck.475

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
475 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Unknown.1111

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1111 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Uruguay.6262

Pseudonime:
Uruguvau
Uruguay.8
Virusul produce efecte vizuale.
(3210h=321P)
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
(3210h=321P)
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
12816 o.
(3210h=321P)
Spatiul ocupat pe disc:
6262 o.
(3210h=321P)
Lungimea fisierului infectat creste cu:
lungimea virusului
Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
(3210h=321P)
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
- Ascunde punctul de intrare.
Mesaje afisate de virus:
"Uruguay-#8 Virus

Programmed in Montevideo (URUGUAY). 03/93.

This is a research virus - DO NOT DISTRIBUTE."

"Uruguay-#8 installed (seg=9CDF)" ; Mesajul continut de virus si afisat este criptat.
Mesajul afisat este encriptat. El este afisat intotdeauna cand virusul ajunge sa fie rezident. Numarul indicat in mesaj reprezinta segmentul real, unde este localizat virusul.; Mesajul afisat este encriptat. El este afisat intotdeauna cand virusul ajunge sa fie rezident. Numarul indicat in mesaj reprezinta segmentul real, unde este localizat virusul.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Tehnici de protejare:
- Foloseste nivele de criptare multiple.

; la data: 1/31/94
Nu a fost vazut niciodata in natura!
ntreruperi interceptate:
01
08
09
13
21 / 4B00
21 / 3D
21 / 6C
24
2A
2A (doar pentru a restaura controlul peste INT_21 daca s-a piedut)
A se vedea si:
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.5
Uruguay.6
Uruguay.7
(Exista informatii ca ar fi aparut si virusul Uruguay.)
Efecte nedistructive:
Virusul arata pe ecran continutul mesajului afisat, folosind serviciul BIOS INT_10/0E. Imprimarea este intarziata si dureaza cateva secunde. Ea este acompaniata de tonuri muzicale aleatoare, calculate folosind codul ASCII al caracterelor imprimate.
Conditii de declansare a efectelor nedistructive:
(ExecInfected and (byte[0:46C]=0)) or WarmReboot
Conditii de declansare a infectarii:
(Exec or ((Open or OpenCreate) and (*.COM or *.EXE))) and
(Size>200h and Size= not(LookLikeInfected) and
not (COMMAND.COM or SC*.* or *V*.* or F-*.*)
Modul de autodetectare a virusului in memorie:
INT_21;AX=3032;DX=1234 -> AX=5678
Comentarii:
Fisierele EXE infectate sunt comutate in COM, iar codul virusului este adaugat la sfarsitul fisierului, intr-o forma encriptata. Fisierul incepe cu capul virusului. Dimensiunea capului (head) este de 63h bytes - el transfera controlul la coada virusului (decriptorul si encriptorul pentru corpul virusului, sunt ambele atasate la sfarsitul fisierului infectat). Uruguay.8 foloseste trei tipuri de control al transferului de la cap la coada: 1.E9 offset; 2.PUSH offset,RET; 3.MOV reg,offset, JMP reg. Cand un program infectat primeste controlul, virusul se copiaza in segment, in topul memoriei conventionale utilizabile. Memoria disponibila pentru DOS este redusa. Daca calculatorul are 640K, puteti calcula usor codul segmentului virusului astfel (MEMORY_SIZE=321para, CS=A000-321=9CDF; veti obtine 9CDE daca UMB este utilizat, deoarece topul paragrafului va fi BFFF, si nu A000). Dupa decriptarea corpului sau, virusul restaureaza startul fisierului infectat (63h bytes) si, daca fisierul era un EXE, face el relocarile nesesare. Apoi, codul este mutat jos, in memorie, deoarece nu mai este nevoie de header-ul EXE. Virusul Uruguay.8 intercepteaza DOS INT_21 rescriind startul rutinei de service DOS in segmentul DOS cu FAR JMP la codul viral. Segmentul DOS este definit ca utilizand INT_2F/1203. Virusul marcheaza fisierele infectate modificand marcajul temporal (INT_21/57). Anul crearii este modificat astfel: orig_file_year+100. Uruguay.8 marcheaza fisierele infectate modificand campul secundelor din marcajul temporal (INT_21/57, CX&&1F). Valoarea secundelor selectata este randomizata si specifica masinii (ea este calculata din continutul BIOS-ului calculatorului). Fisierele avand acest numar in campul secundelor nu vor fi niciodata infectate. Fisierele infectate provenind de pe un alt calculator vor putea fi infectate a doua oara. Un astfel de fisier, avand o mare probabilitate, va bloca calculatorul. Fisierele infectate cu Uruguay.8 au, de obicei, multi bytes FF la sfarsitul fisierului infectat (aceasta este parte din memoria video de la [A000:0], deoarece atunci cand virusul se pune la sfarsitul fisierului victima, el suprascrie din memoria DOS in cea video). Uruguay.8 foloseste valorile initiale ale registrelor procesorului ca si cand ar fi setate de un apel DOS EXEC (AX=0000, BX=0000, CX=00FF, DI=FFFE, SI=100) in rutina de decriptare virala. Uruguay.8 supravietuieste relansarii la cald via Ctrl-Alt-Del. El agata INT_08 si INT_09, restaureaza unele intreruperi de nivel jos, dezafecteaza utilizarea A20, seteaza modul video pe text, reseteaza controller-ul de intreruperi si tastatura si, dupa toate acestea, apeleaza INT_19. Uruguay.8 nu infecteaza nici unul din fisierele care incep cu "SC", "F-" sau oricare ar fi fisierul care are litera "V" inclusa in filename. Se pare ca Uruguay.8 face o verificare aditionala pentru "AI", dar dat fiind faptul ca include un bug, compararea nu functioneaza. Aceste verificari probabil ca semnifica "SCAN", "F-PROT", "VIRUSCAN", "-V" etc. Verificare pentru "AIDSTEST" nu merge. Versiunile curente de SCAN, F-PROT, precum si multe alte programe antivirus (*V*.*) sunt EXE-uri net departe de limita de 64k, deci aceste verificari par a fi ciudate. Uruguay.8 contine un generator intern, de numere aleatoare , folosit extensiv in motorul polimorfic. El accepta un parametru (AL) si returneaza BH=0, BL=[1;AL]. Generatorul de numere aleatoare foloseste BIOS-ul calculatorului si continutul timer-ului curent [0:46C] pentru a calcula output-ul (cateva XOR-uri, ADD-uri si SUB-uri). Pentru a opera, foloseste variabile statice. Generatorul de numere aleatoare este localizat la cea mai din top adresa din codul virusului. Nu se cunoaste nici un scanner care sa detecteze fiabil Uruguay.8. Probabil ca este doar unul dintre cei mai polimorfici virusi.


 V.1241

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1241 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.1876

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1876 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.416

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
416 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 V.670

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
670 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.561

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
561 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.625

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
625 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.726

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
726 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.833

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
833 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Oscar

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
648 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Viking.1000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VirDem.1542

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1542 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Virogen.Offspring.1294

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1294 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 VirusC.496

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
496 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 VLAD.Insert.273

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
273 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WM.CountTen.A

Pseudonime:
MW:CountTen-A
WM/CountTen.a
WordMacro/CountTen
CountTen
WinWord.SaveCount
COUNT10
Originea geografica:
SUA
A aparut in Decembrie 1996.
Comentarii:
Este un virus de Word care are 3 macro-uri: AutoOpen FileSave, FileSaveAs. Dimensiunea acestora este de 956 octeti. Sistemul este infectat cind cind un fisier care are virusul este deschis. Documentele vor fi infectate cind sint salvate cu comanda FileSave sau FileSave As. Cind infecteaza un fisier virusul seteaza un contor "SaveCount" care este incrementat de fiecare data cind acel fisier este salvat. Daca valoarea contorului este 10 va fi setata parola " What the hell are you doing? ". Aceasta parola este prea lunga pentru "casuta" de introducere din Microsoft Word , astfel utilizatorul nu va putea schimba parola. Pentru a putea realiza acest lucru trebuie ca macrourile virusului sa fie sterse si sa fie creat macroul AutoOpen cu urmatorul continut: Sub MainToolsUnprotectDocument.DocumentPassword="What the hell are you doing?"
End Sub. Virusul este criptat.


 WM.Helper

Pseudonime:
MW:Helper-A
WordMacro/Helper
HELPER.A
Helper
Winword.Helper
WM/Helper.A
Comentarii:
Este un virus de Word care are in componenta un singur macro, AutoClose. Virusul infecteaza NORMAL.DOT, folosind limbajul Word Basic Macro. Nu este polimorfic. Nu se ascunde. Documentele sint infectate cind sint inchise. In data de 10 a fiecarei luni, protejeaza fisierele DOC cu parola "help".


 WM.JunkFace.A

Pseudonime:
MW:JunkFace-A
WordMacro/JunkFace
WM.NoMercy
JUNKFACE
Winword/JunkFace.A
WM/JunkFace.A
Mesaje afisate de virus:
In a 11-a zi afiecarei luni va afisa o fereastra de dialog ca are mesajul: "Junk.a":

WELCOME AGAIN!

Hi you!! my name is Junkies! (c)NoMercy 1997 ".
Mesaje neafisate dar continute de corpul virusului:
ligraqigsqkarplrxwxvbolykffmxkeyygnlmkaguqfaaplpwirbwlirt~

- S]imple-[J]unk-random generator'ligraqigsqkarplrxwxvbolykffmxkeyygnlmkaguqfaaplpwirbwlirt~

ligraqigsqkarplrxwxvbolykffmxkeyygnlmkaguqfaaplpwirbwlirt~

ligraqigsqkarplrxwxvbolykffmxkeyygnlmkaguqfaaplpwirbwlirt~

ha.ha.ha
Comentarii:
Este un virus de Word. Cind infecteaza fisiere are doua macrouri AutoClose si NoMercy. Cind infecteaza NORMAL.DOT, macrourile sint AutoClose, ToolsMacro si FileTemplates. Cind un fisier infectat este inchis cu AutoClose, virusul va infecta NORMA.DOT, de unde va infecta fisierele cind sint inchise. Foloseste tehnici de ascundere. Este polimorf. A aparut la 12 Aprilie 1997.


 WM.Ordo

Pseudonime:
MW:Ordo-A
WM/Ordo.A
Ordo
WordMacro/Ordo.A
WinWord.Ordo.A
Maco.Word.Ordo.A
Winword.Ordo
Comentarii:
Este un virus de Word care are 2 macro-uri AutoOpen si ORDO. Documentele sint infectate cind sint deschise. Nu se ascunde. Nu este polimorfic. In cele mai multe cazuri fisierele infectate pot fi reparate. A aparut in Martie 1997.


 WM.Terror.A

Pseudonime:
WM/Terror.A
MW:Terror.A
WordMacro/Terror.A
Winword.Terror
Originea geografica:
Germania
Data originii : 12 Martie 1997
Mesaje afisate de virus:
Afiseaza o ferestra de dialog care contine mesajul : " Terror..." .
Comentarii:
Este un virus de Word care are un singur macro, AutoOpen. Documentele sint infectate cind sint deschise. Nu este polimorfic. Nu se ascunde.


 Wolfman.2064

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2064 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Xabaras.1972

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1972 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 XPEH.5488

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5488 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 128 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 XVXH.462

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
462 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Yankee.2189

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2189 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Am.604

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
604 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.163

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
163 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.93

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
93 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirror.1056

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1056 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 MME.WhoNoName

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1263 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mnemonix.Moonlight.319

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
319 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 MonteCarlo.1483

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1483 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 MPTI.1536

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mshark.378

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
378 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MtE.Dewy

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2846 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mtz.Pink.5081

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5081 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.1521

Pseudonime:
V1521
Murphy.2
System Infector version 4
Virusul produce efecte vizuale.
Virusl a fost scris de Lubomir Mateev Mateev si Iani Lubomirov Brankov, ambii din Bulgaria. Mateev a furnizat codul sursa, oferindu-l catova cercetatori, cod comentat foarte gragalas in..... Bulgara.
Virusul produce blocaje ale PC-ului.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Virusl a fost scris de Lubomir Mateev Mateev si Iani Lubomirov Brankov, ambii din Bulgaria. Mateev a furnizat codul sursa, oferindu-l catova cercetatori, cod comentat foarte gragalas in..... Bulgara.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1521 o.
Virusl a fost scris de Lubomir Mateev Mateev si Iani Lubomirov Brankov, ambii din Bulgaria. Mateev a furnizat codul sursa, oferindu-l catova cercetatori, cod comentat foarte gragalas in..... Bulgara.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Sofia, Bulgaria
Virusl a fost scris de Lubomir Mateev Mateev si Iani Lubomirov Brankov, ambii din Bulgaria. Mateev a furnizat codul sursa, oferindu-l catova cercetatori, cod comentat foarte gragalas in..... Bulgara.
Mesaje neafisate dar continute de corpul virusului:
It's me - Murphy. Copywrite (c)1990 by Lubo & Ian, Sofia, USM Laboratory. ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierul COMMAND.COM.
Fisierele COM mai mici de 1521 bytes nu vor fi infectate. Fisierele COM, pentru a fi infectate, trebuie sa fie mai mici de 63.982 bytes.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Bulgaria
Comentarii:
Virusul are urmatoarele simptome: sistemul poate sa crape in timp ce se incearca infectarea sisierelor EXE. Timp de o ora (?), sistemul poate ajunge la caseta BASIC (daca este disponibila), rezultatele fiind pierderea oricaror fisiere erau deschise. Fisierele COM si EXE cresc in dimensiune. Propagare: Murphy.2 devine rezident in memorie cand se incarca un fisier infectat. Programele consecutive, care sunt executate sau copiate, vor fi infectate, sporindu-si lungimea cu 1521. De asemenea, virusul incearca sa infecteze si COMMAND.COM, de indata ce a ajuns rezident si s-a deschis un program neinfectat. Murphy.2 a derivat din Murphy.1, insa difera de acesta printr-un cod mai curat. Murphy.2 foloseste functia 4B4Dh of INT 21, in timp ce Murphy.1 foloseste functia 4B59h. O alta diferenta tine de este aceea ca virusul are 'o minge saltareata' - caracterul 07 - care parcurge ecranul timp de o ora, 10 si 11 a.m., in loc sa click-aie speaker-urul. Mingea saltarearta aminteste, in aparanta, de virusul Italian, insa nu exista nici o similaritate in ceea ce priveste codificarea. Codul sursa contine trei comentarii: dynamic self loader, SYSTEM INFECTOR, Version 4.00 - Copywrite (c) 1989 by L.Mateew & Jany Brankow, All rights reserved..


 Murphy.IV.1650

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1650 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.110.Agent.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1715 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 MutInt.694

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
694 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Natas.4766

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4766 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 NeverMind.838

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
838 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Amt.4000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 NightFall.4518

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4518 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nocopy.3695

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3695 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Nosmoking.1575

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1575 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Bob.1117

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1117 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.1722

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1722 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nutcracker.AB3

Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii:
Familia virusului:
Nutcracker
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
10
A se vedea si:
Nutcracker.AB7
Conditii de declansare a infectarii:
Se declanseaza pe 12 Ianuarie si 23 Iulie.
Comentarii:
Nucracker.AB3 intercepteaza Int 21h la executie si se scrie la sfarsitul fisierelor COM si EXE la Execute, Open sau Rename. Atunci cand un fisier este creat, handle-ul lui este stocat si este infectat la inchidere. Virusul realizeaza rutine de ascundere (stealth) la apelurile FindFirst/Next, Seek si Read. Acest virus, ca si variantele AB4 si AB5, poate sterge fisierele *.?AS atunci cand sunt accesate, conditiile diferind de la varianta la varianta, sau alte fisiere specifice atunci cand sunt deschise. Pe datele de 12 Ianuarie si 23 Iulie, Nutcracker.AB3 sterge sectoarele de pe drive-ul C. Atunci cand un fisier infectat este executat la 23 de zile de la data infectarii sale initiale, virusul intercepteaza Int 10h si incetineste PC-ul, intarziind fiecare apel Int 10h.


 Ohlala.1960

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1960 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Mesaje neafisate dar continute de corpul virusului:
'Ohhhh La La! Mommmmy, they are teasing me again Shut up you little sonsuvbiches' ; Mesajul continut de virus si neafisat este criptat.
'*.MS *VIR.DAT COMMAND' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
Este un infector direct care infecteaza cate sase fisiere odata (trei COM, trei EXE).
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Open.1581

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1581 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Override.1380

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1380 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Panic.398

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
398 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Patoruzu.931

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
931 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Pcflu.2141

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2141 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Penza.1210

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1210 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Phoenix.Live.b

Pseudonime:
1226
V1226
Phoenix 3
Phoenix.1226
Virusul produce blocaje ale PC-ului.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1226 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Bulgaria
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
Nu infecteaza COMMAND.COM.
Efecte distructive:
Pagubele sunt substantiale: fisierele sunt reinfectate si vor tot creste in dimensiune, pana cand nu se vor mai putea executa.
Comentarii:
Virusul este criptat in intregime. Ca simptome: fisierele COM pot spori in dimensiune cu 1226 bytes. Drive-ul de disc poate deveni mai activ, dar atat. Memoria disponibila si cea sistem pot descreste cu 8192 bytes. Sistemul se poate bloca. Pe ecran se pot vedea caractere ciudate. atunci cand se executa un program infectat. Virusul ar putea fi un original. Devine rezident la executia unui program infectat; chiar daca se executa un COM neinfectat, care are lungimea de cel putin1226 bytes, acesta va fi infectat. Virusul are cateva bug-uri care interfereaza cu abilitatea sa de a se propaga cu succes. De exemplu, el reinfecteaza din nou, continuu, orice COM.


 Pirat.380

Pseudonime:
La_multi_ani
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
380 o.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 30
Copiaza adresa lui Int21h in Int30h, folosind aceasta intrerupere pentru apelurile de sistem. Astfel, reuseste sa pacaleasca unii antivirusi euristici.; Copiaza adresa lui Int21h in Int30h, folosind aceasta intrerupere pentru apelurile de sistem. Astfel, reuseste sa pacaleasca unii antivirusi euristici.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
Romania
Mesaje afisate de virus:
La multi ani, piratilor ! ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Modul de autodetectare a virusului pe disc:
Fisierele infectate au secundele setate la valoarea 26.
Comentarii:
In general, acest virus nu se multumeste sa infecteze doar un singur fisier, odata.
Indiferent ca se executa un fisier infectat, de pe discheta sau de pe hard disc, victima este cautata pe C:\ (aproape intotdeauna hard disc).


 Pixel.299

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
299 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Andromeda.1140

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1140 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.892

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
892 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Rosen.131

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
131 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 PME.Burglar

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3260 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Porridge.1384

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1384 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Predator.1072

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Problem.854

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
854 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Pulce.1840

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1840 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Qumak.1079

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1079 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rajaat.287

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
287 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Raptor.1800

Virusul produce efecte vizuale.
Poate fi si QUITE?
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Poate fi si QUITE?
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
2992 o.
Poate fi si QUITE?
Spatiul ocupat pe disc:
1800 o.
Poate fi si QUITE?
Lungimea fisierului infectat creste cu:
lungimea virusului + 16 cu rotunjire la paragraf.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Poate fi si QUITE?
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Poate fi si QUITE?
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
" The Raptor virus version 1.5

Copyright 3.12.1993 - Hacker club Brno - Czech republic

Don`t panic!! This virus doesn`t destroy data! I am most kindly virus!!

I should inform you that soon comes Raptor2.0 with special sealth systems!

You can be sure that Raptor2 will be totally untouchable!" ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In circulatie. ; la data: 2/9/94
ntreruperi interceptate:
21 / 4B
21 / 3D
1C
1Ch daca (day==13)
Efecte nedistructive:
1. Afiseaza mesaje (caractere galbene pe un background rosu). 2. Imprima blocuri (5x5 caractere) pe ecran.
Conditii de declansare a efectelor nedistructive:
1. (Day==Month) and (Day!=12) 2. (Day==13) and (virusul este resident 55 minute in memorie)
Modul de autodetectare a virusului in memorie:
[0:04F1h] = 58h
Modul de autodetectare a virusului pe disc:
File[12h] = 1F23h
Comentarii:
In codul virusului au aparut cateva erori: Atunci cand numele fisierului deschis nu contine '.' (adica nu are extensie), virusul poate esua intr-o bucla infinita. Daca (filesize mod 512)==0, atunci fisierul va fi corupt (ultimii 512 bytes vor fi suprascrisi de catre virus).


 Rebel.1509

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1509 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.1203

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1203 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.BadReligion.381

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
381 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.DDeath.1062

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1062 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.Face.565

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
565 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.Moonlite.465

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
465 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Anthrax

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 56 cu rotunjire la paragraf.
Tehnici de ascundere:
Sunt folosite.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca orice virus care suprascrie.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
(c) Damage, Inc., Anthrax, and Sofia 1990. ; Mesajul continut de virus si neafisat nu este criptat.
In programele infectate se va gasi urmatorul sir text necriptat: "(c) Damage, Inc., Anthrax, and Sofia 1990."; In programele infectate se va gasi urmatorul sir text necriptat: "(c) Damage, Inc., Anthrax, and Sofia 1990."
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
ntreruperi interceptate:
13 / 02
13 / 03
18
21 / 3B
21 / 3D
21 / 3E
21 / 3F
21 / 40
21 / 4E
21 / 4F
21 / 47
21 / 51
2F / 1216
2F / 1220
Efecte distructive:
Pagubele sunt substantiale. Unele calculatoare vor refuza sa boot-eze de pe hard disc.
Comentarii:
Propagare: virusul genereaza descendenti atunci cand un fisier infectat, EXE sau COM este executat, apoi isi copiaza codul program in MBR, fara a deveni rezident. In acest moment, el se si autocopiaza in ultimele trei sectoare de pe hard disc. La urmatoarea boot-are de pe hard disc, virusul devine rezident. El infecteaza un fisier, aflat pe ramura de jos a directorului curent, ori de cate ori este executat un fisier infectat. Este corelat cu alti virusi ca: Anthrax-E, Anthrax-F, Anthrax-B, Anthrax-C, Anthrax-A, Anthrax-D, Anthrax-PT. Note: Se caracterizeaza printr-un acces dubios la fisiere, alocare dubioasa a memoriei. Virusul foloseste o modalitate nestandard pentru cautare si/sau alocare in memorie. Acces la disc in scriere. Programul scrie pe disc fara a folosi DOS. Foloseste apeluri de intreruperi DOS nedocumentate. V2100 instaleaza Anthrax in MBR, daca gaseste copia lui Anthrax in primele trei sectoare de pe hard disc. Contine cod care poate fi folosit pentru a suprascrie/muta un program in memorie.


 Riot.sUMsDos.472

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
472 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Rmdc.622

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
622 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 RTL.805

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
805 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 S5.1253

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1253 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SatBug

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3471 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Scitzo.1337

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1337 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Search.305

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
305 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.984

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
984 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sformat.699

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
699 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 She_Has

Pseudonime:
Breasts
Virusul infecteaza interceptand apelurile DOS la fisiere.
Acest pattern va localiza virusul pe hard disc si floppy, precum si in memorie.
Dimensiunea memoriei ocupate:
16 ko.
Acest pattern va localiza virusul pe hard disc si floppy, precum si in memorie.
Spatiul ocupat pe disc:
361 o.
Acest pattern va localiza virusul pe hard disc si floppy, precum si in memorie.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
'Virginia / Shirley - She has BREAST, yes she has !!!'
Acest mesaj (care nu este folosit niciodata) probabil ca spune despre autor mai mult decat am putea noi spune.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 1/76/6
- Pista/capul/sectorul 0/0/3 pe un hard disc.
ntreruperi interceptate:
13
She_Has preia controlul la fiecare acces disc, in favoarea handler-ului sau Int 13h. La intrarea in handler-ul Int 13h, regisytrul AH contine o valoare functie; de exemplu, 02h pentry read si 03h pentru write. Totusi, She_Has intercepteaza doar functia 00h, care este resetarea discului. Alte functii trec neimpiedicate in lantul de intreruperi. Codul pentru handlerul de intrerupere, din punct de vedere structural, este plasat in ultima parte a virusului.
Modul de autodetectare a virusului pe disc:
Offset-ul 32 al fiecarui sector de boot este egal cu FBh.
Comentarii:
She_Has este mai mult decat un virus care circula. El serveste si ca atentionare pentru a ne reaminti cat de usor se scrie un virus, in mod virtua, fara vreun talent de programare. Acesta este un virus al sectorul de boot, ocupand doar 361 bytes. Atunci cand se boot-eaza de pe un disc infectat (hard sau floppy), se incarca sectorul de boot infectat, ca si cand ar fi un sector de boot curat, in sectorul de memorie 0, offset 7C00h si i se transfera controlul. She_Has isi incepe executia setand un pointer pentru a permite examinarea continutului memoriei in segmentul 9C00h. Compara continutul de la offset-ul 100h din acest segment cu primul byte al propriului sau cod. Daca se potriveste, virusul presupune ca este rezident in memorie, deci, pur si simplu incarca sectorul de boot original si tranfera controlul imaginii acestui sector din memorie pentru a permite PC-ul sa boot-eze in mod normal. Daca 9C00:100h nu indica ca virusul este deja rezident, She_Has copie 618 bytes de la startul virusului in noul sau segment gazda 9C00h. Apoi reduce o variabila-cuvant din memoria low care controleaza cat de multa memorie conventionala crede DOS-ul ca are PC-ul. She_Has reduce acest cuvat cu 16, convertind deci calculatorul de la unul de 640K la unul de 624K! Mai intai, pe buna dreptate, se pune intrebarea: de ce virusul copiaza 618 bytes atunci cand lungimea lui este doar de 361 bytes? Se pare ca nu exista nici o logica pentru aceasta. Totusi, modalitatea in care a fost structurat virusul ne spune ca el a fost scris in assembler ca un fisier COM, avand un fixup de 100h. Codul care decide numarul de bytes de copiat arata cam asa: MOV CX,269h INC CX Atunci cand virusul este translatat din format COM in format sector de boot, el pierde automat fixup-ul de 100h bytes, ceea ce inseamna 256 bytes mai mult decat se intentioneaza sa se copieze. Daca scadem 256 din 618 obtinem 362 - lungimea codului virusului, plus un bytes, rezultatul instructiunii de incrementare suplimentara. O alta intrebare care se pune inevitabil este de ce un virus de 361 bytes are nevoie de 16KB memorie? Raspunsul simplu este acela ca este vorba de o gresala. In mod evident, autorul virusului este un novice, care nu intelege complet problema de alocare a memoriei. Codificand din greu segmentul tinta 9C00h, autorul virusului a ales optiunea simpla, plasand codul virusului in topul 16KB de memorie, inainte de startul RAM-ului video. Acestea fiind zise, orice ar fi autorul, el este indreptatit a avea ultimul cuvant (de ras), iar in ciuda oricaror aspecte tehnice, virusul lucreaza precum reclama. El s-a raspandit si infecteaza cu usurinta. Este o binecuvantare ca acest virus nu are nici o incercare de trigger sau payload. Eliminare: Metoda standard de executare FDISK/MBR este suficienta pentru a elimina virusul de pe hard disc. Eliminarea de pe floppy-uri poate fi realizata prin salvarea oricaror fisiere necesare (care for fi complet neafectate de virus) apoi se formateaza floppy-ul.


 Sibylle.853

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
853 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 SillyC.111

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
111 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyC.181

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
181 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.331

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
331 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.97

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
97 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyORC.144

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
144 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 AntiSabados.815

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
815 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRC.261

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
261 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRE.512

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Sirius.430

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
430 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Mem.1201

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1201 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Skater.1021

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1021 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Slovakia.1698

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1698 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Small.114

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
114 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.144

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
144 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.92

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
92 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Sofia.432

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
432 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'This Virus is named after a very nice, clever and cute girl, Sofia'
'Sweden'
'LoRD Zer0'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Virusul creeaza un fisier ascuns, avand lungimea de 7-bytes, denumit 'SOFIA'.


 Spanish Trojan

Pseudonime:
Campana
Spanish Telecom
Telefonica
Tehnici de ascundere:
Sunt folosite.
Mesaje afisate de virus:
'Campagna Anti-TELEFONICA (Barcelona)'
Suprascrie toate datele de pe primele doua discuri fixe.
Mesaje neafisate dar continute de corpul virusului:
'VirusAnti-C.T.N.E. ©1990 Grupo Holokausto. Kampanya Anti-Telefonica. Menos tarifas y mas servicios. Programmed in Barcelona (Spain). 23-8-90. -666-'.
Traducerea mesjului este : 'Tarife telefonice mai mici, servicii mai bune'.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Este un virus polimorfic
Conditii de declansare a infectarii:
Virusul incepe sa actioneze dupa a 400-a boot-are.
Comentarii:
Acesta a fost primul virus multipartit (fisierul infectat contine cod despre sectorul de boot pe care il va infecta la fel de bine ca pe fisiere. Codul parazitar este de 3700 bytes. Primii 85 bytes contin cod de 'camuflaj'.


 Squawk.852

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
852 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Starship

Virusul produce efecte vizuale.
Spatiul ocupat pe disc:
2570 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 Stoned

Pseudonime:
Bloomington
Stoned III
Stonedb2
LastDirSect
No Int
Tehnici de ascundere:
Sunt folosite.
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Efecte distructive:
Suprascrie in directorul radacina de pe floppy disc, asfel datele din acest loc sint pierdute.
Conditii de declansare a infectarii:
Nu are conditii de declansare a infectiei
Comentarii:
NoInt este o varianta a virusului New Zeeland. El nu are propietati remarcabila si nici o comportare specifica. Este rezident in memorie. Foloseste tehnici de ascundere. In hard disc, copiaza sectorul original la cilindru 0, fata 0, sector 7.


 Storm.1172

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1172 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Sundevil.762

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
762 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Aragorn.1522

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1522 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SVC.Piter.1228

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1228 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sze.314

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
314 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 TaiPan.Doom2.666

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
666 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Teacher.2000

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Teraz.2717

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2717 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TheDraw.2267

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2267 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Timid.299

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
299 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tina.826

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
826 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.167

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
167 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tmtm.441

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Toxic.208

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
208 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tpworm.12969

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
12969 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.229

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
229 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.36

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
36 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.68

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
68 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Australian.SDir.550

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
550 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Avatar.Acid.674

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
674 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Backfont.821

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
821 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Badboy.Lubec

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1136 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ball.691

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
691 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bat.282

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
282 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Bung 142

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
1422 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
In data de 20 Septembrie va afisa mesajul: "Jonhan Bonhn - September 20 1980 -L E D Z E P P E L I N - "
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AH=4Bh
24
Efecte distructive:
Nu se manifesta distructiv.


 Burglar.1150.A

Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul a aparut in Aprilie 1996. Nu este rezident in memorie. Infecteaza direct. Suprascrie fisierul infectat, astfel lungimea acestuia va avea 2150 bytes. Face o modificare la timpul fisierului, minutul avind 62 secunde. Virusul nu poate sa infecteze in afara directorului curent, nu modifica atributele si nu poate infecta fisiere "read-only". Contine textul : 'AT THE GRAVE OF GRANDMA Burglar'. Nu contine cod care sa afecteze tastatura cind se ruleaza un DEBUG.


 Cantando.857

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
857 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Cascade.1699

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1699 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 CCBB.1410

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1410 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Chameleon.1639

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1639 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CYBER

Spatiul ocupat pe disc:
1092 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
24
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul cauta fisierele EXE si COM din directorul curent si verifica daca au fost infectate . Pe cele curate le va infecta cite doua odata. Apoi se executa programul original. Nu este rezident in memorie. Intercepteaza INT 24h pentru a nu fi divulgat cind infecteaza fisiere protejate la scriere.


 CyberTech.439

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
439 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 DAMAGE-B

Spatiul ocupat pe disc:
1110 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
ntreruperi interceptate:
21
Efecte distructive:
In ziua de joi virusul formateaza hard discul.
Comentarii:
Virusul verifica daca este rezident in memorie. Daca "nu" va intercepta INT 21h si va deveni rezident. Se executa apoi programul original, dupa care va infecta toate fisierele "curate" care se executa. Vor aparea mesaje de eroare cind se incearca infectarea fisierelor protejate la scriere.


 Darth.255

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
255 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DataLock

Pseudonime:
DataLock.920.A
V920
Spatiul ocupat pe disc:
920 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21
Efecte distructive:
Dpa August 1990 virusul nu mai permite ca fisierele cu extensia .?BF sa fie deschise. Daca se va incerca acest lucru va fi afisat mesajul "Too many files open."


 DeathDragon.499

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
499 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 EAR

Spatiul ocupat pe disc:
1024
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
Daca data sistemului este prima zi a unei luni va aparea mesajul: "PHALON/SKISM 1992 [Ear-6] Alert! Where is the Auditory Canal located? 1. External Ear 2.Middle Ear 3. Inner Ear", dupa care va astepta alegerea utilizatorului asfel: daca tasteaza "1" sau"3" va aparea mesajul "Wow, you own your ears! Please resume work." dupa care executa fisierul original, daca se tastaeaza "2" va aparea mesajul "You obvioulsy no nothing about ears. Try again after some study."
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Comentarii:
Virusul va cauta toate fisiere COM si EXE "curate" din directorul curent si directorul mama, dupa care le va infecta. Nu este rezident in memorie.


 Eddie.1801

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1801 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Satan.1800

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Elena.730

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
730 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 End-of

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
783 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AH=4B
Efecte distructive:
Nu se manifesta distructiv
Comentarii:
Fisierele sint infectate prin interceptarea INT 21h. Cind este accesat un alt director, toate fisierele COM "curate" din directorul original vor fi infectate. Vor aparea mesaje de eroare cind virusul incearca sa infecteze infecteze fisiere protejate la scriere.


 Espacio.8444

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
8444 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Friday13.416

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
416 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fumble.712

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
712 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GeldWash.1497

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1497 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Ghost.1447

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1447 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Gippo.1249

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1249 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Goga

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1660 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Cornucopia

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Tree2.14186

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
14186 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.4317

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4317 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Kamikaze

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4033 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.3680

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3680 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.7940

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7940 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.2432

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2432 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.f

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta. - Reinfecteaza fisierele de tip .EXE.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1888 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Plastique.2224

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2224 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Standard.sUMsDos

Pseudonime:
Jerusalem
Israeli
Friday the 13th
Black Hole
Black Box
PLO
1808 (EXE)
1813 (COM)
sUMsDos
Russian
Hebrew University
Jerusalem B
JV
Black Friday
Morbus
Waiblingen
Payday
Virusul modifica data si ora fisierelor infectate.
Adauga 1813 bytes pentru fisierele COM. 1808-1823 bytes pentru fisierele EXE care sunt infectate prima data. Motivatia pentru intervalul de bytes este faptul ca Jerusalem adauga mai intai o rotunjire la paragraf pentru a face EXE-urile multiplu de 16, apoi adauga 1808 bytes. Lungimea noilor fisiere EXE va fi deci multiplu de 16 bytes. Pentru EXE-urile care sunt infectate a doua, a treia (sau a patra... ) oara, Jerusalem adauga 1808 bytes.
Virusul este prost scris (are erori).

Virusul poate reinfecta.
Dimensiunea memoriei ocupate:
2 ko.
Adauga 1813 bytes pentru fisierele COM. 1808-1823 bytes pentru fisierele EXE care sunt infectate prima data. Motivatia pentru intervalul de bytes este faptul ca Jerusalem adauga mai intai o rotunjire la paragraf pentru a face EXE-urile multiplu de 16, apoi adauga 1808 bytes. Lungimea noilor fisiere EXE va fi deci multiplu de 16 bytes. Pentru EXE-urile care sunt infectate a doua, a treia (sau a patra... ) oara, Jerusalem adauga 1808 bytes.
Spatiul ocupat pe disc:
1808 o.
Adauga 1813 bytes pentru fisierele COM. 1808-1823 bytes pentru fisierele EXE care sunt infectate prima data. Motivatia pentru intervalul de bytes este faptul ca Jerusalem adauga mai intai o rotunjire la paragraf pentru a face EXE-urile multiplu de 16, apoi adauga 1808 bytes. Lungimea noilor fisiere EXE va fi deci multiplu de 16 bytes. Pentru EXE-urile care sunt infectate a doua, a treia (sau a patra... ) oara, Jerusalem adauga 1808 bytes.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 15 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului + 5 pentru fisierele de tip .COM.
Originea geografica:
Israel
Adauga 1813 bytes pentru fisierele COM. 1808-1823 bytes pentru fisierele EXE care sunt infectate prima data. Motivatia pentru intervalul de bytes este faptul ca Jerusalem adauga mai intai o rotunjire la paragraf pentru a face EXE-urile multiplu de 16, apoi adauga 1808 bytes. Lungimea noilor fisiere EXE va fi deci multiplu de 16 bytes. Pentru EXE-urile care sunt infectate a doua, a treia (sau a patra... ) oara, Jerusalem adauga 1808 bytes.
Familia virusului:
Suriv 3
Derivate ale virusului: 1600, Dragon, Jerusalem Sat-13, Messina, Pipi, T1, Timor, Virus #2, Jerusalem.1244, Jerusalem.1361, Jerusalem.1605, Jerusalem.1735, Jerusalem.1767, Jerusalem.2187, Jerusalem.A, Jerusalem.A-204, Jerusalem.Anarkia.A, Jerusalem.Anarkia.b, Jerusalem.Anarkia.c,
Jerusalem.AntiCad.2576,
Jerusalem.AntiCad.2900,
Jerusalem.AntiCad.3004,
Jerusalem.AntiCad.3012,
Jerusalem.AntiCad.3088,
Jerusalem.AntiCad.4096.A,
Jerusalem.AntiCad.4096.Danube,
Jerusalem.AntiCad.4096.C, Jerusalem.AntiCad.4096.Chinese,
Jerusalem.AntiCad.Tobacco, Jerusalem.Antiscan, Jerusalem.Apocalypse,
Jerusalem.Barcelona, Jerusalem.Black_Friday, Jerusalem.Blank, Jerusalem C, Jerusalem.Captain_Trips,
Jerusalem.Carfield, Jerusalem.Clipper, Jerusalem.Count, Jerusalem.Critical, Jerusalem.Czech, Jerusalem.Discom,
Jerusalem.Einstein, Jerusalem.Feb_7,
Jerusalem.Frere.A, Jerusalem.Frere.B, Jerusalem.Friday_15, Jerusalem.Fu_Manchu,
Jerusalem.G, Jerusalem.GP1,
Jerusalem.GP1.Dropper, Jerusalem.Groen_Links, Jerusalem.IRA, Jerusalem.J,
Jerusalem.January_25th, Jerusalem.JVT1,
Jerusalem.Kylie, Jerusalem.Mendoza,
Jerusalem.Miky, Jerusalem.Moctezuma,
Jerusalem.Mule, Jerusalem.Mummy.1.0,
Jerusalem.Mummy.2.1, Jerusalem.Nemesis,
Jerusalem.Not_13, Jerusalem.Nov_30,
Jerusalem.P, Jerusalem.Payday, Jerusalem.PcVrsDs, Jerusalem.Phenome,
Jerusalem.PSQR, Jerusalem.Puerto, Jerusalem.Skism, Jerusalem.Skism.11,
Jerusalem.Skism.12,
Jerusalem.Solano.Dyslexia.2.00, Jerusalem.Solano.Dyslexia.2.01,
Jerusalem.Solano.Dyslexia.2.01.Dropper, Jerusalem.Solano.Subliminal.1.10,Jerusalem.Spanish, Jerusalem.Sub_zero,
Jerusalem.sUMFDos, Jerusalem.Sunday, Jerusalem.Sunday.2, Jerusalem.Sunday.10, Jerusalem.Sunday.A, Jerusalem.Sunday.B, Jerusalem.Sunday.C, Jerusalem.Sunday.D, Jerusalem.Sunday.E, Jerusalem.Sunday.F,
Jerusalem.sURIV.3.00, Jerusalem.Swiss, Jerusalem.T13,
Jerusalem.Triple, Jerusalem.Turkish,
Jerusalem.UCNDER, Jerusalem.Westwood,
Jerusalem.Yellow.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
MsDos ; Mesajul continut de virus si neafisat nu este criptat.
COMMAND.COM ; Mesajul continut de virus si neafisat nu este criptat.
In zona de date a virusului, se vor gasi sirurile text MsDos si COMMAND.COM, iar MsDos va fi in ultimii 5 bytes ai unui fisier COM infectat.; In zona de date a virusului, se vor gasi sirurile text MsDos si COMMAND.COM, iar MsDos va fi in ultimii 5 bytes ai unui fisier COM infectat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Reinecteaza EXE-urile pana devine prea mare pentru a mai incape in memorie.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Foarte raspandit.
A se vedea si:
Jerusalem.Standard.sUMsDos.##00298_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.A-204_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Anarkia.b_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Captain_Trips_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Critical_OR_Jerusalem.Standard.sUMsDos|_
Jerusalem.Frere.A_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Frere.B_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Mendoza_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Nemesis_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Payday_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Phenome_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Spanish_OR_Jerusalem.Standard.sUMsDos|_x
Jerusalem.Black_Friday_OR_Jerusalem.Standard.sUMsDos|_x
Efecte distructive:
La jumatate de ora dupa activare, apare pe ecran, in coltul cel mai din stanga jos, un dreptunghi negru, 2 pe 12. El va lua o zona de la linia 4, coloana 5 pana la linia 16, coloana 16. Stergerea ecranului elimina fereastra. Virusul redirecteaza INT 08 (printre altele) si, la jumatate de ora dupa ce un program infectat este incarcat, noua intrerupere timer introduce o intarziere care incetineste procesorul cu un factor de 10. In plus fata de aceste simptome, incetineste sistemul cu o jumatate de ora dupa activare. Corupe fisierele COM si EXE. Daca lungimea unui fisier, asa cum este ea inregistrata in header-ul unui fisier EXE este mai mica decat lungimea actuala a fisierului, inseamna ca virusul a suprascris o portiune din fisier, mai de graba decat sa se fi adaugat la el. In fiecare zi de Vineri 13, daca anul nu este 1987, atunci cand un program infectat este executat, Jerusalem seteaza atributele fiecarui program pentru a fi incarcat read/write si apoi le sterge. In mod repetat, utilizatorii vor vedea mesajele: "Bad command or file name" sau in DOS 5.0, "Cannot execute (drive:\directory\filename)". Aceasta va continua, indiferent de orice schimbari de data au loc in sistem, pana cand masina este reboot-ata. Fisierele COM mai mari de 63,723 bytes vor fi distruse prin suprascriere.
Modul de autodetectare a virusului pe disc:
Semnatura MsDos la sfarsitul fisierelor infectate; (o omisiune, aparent neintentionata, a acestei semnaturi)
Comentarii:
Istoric: acest virus a fost descoperit pe 24 Decembrie 1987, la Hebrew University din Jerusalem si a fost raportat la Comunitatea de Cercetari a Virusilor, de catre Y. Radai, de la Hebrew University, Jerusalem. Propagare: Acest virus este un infector rezident in memorie. Orice program, asa zis "curat", executat dupa un program infectat, va deveni infectat. Sunt infectate atat fisierele COM, cat si cele EXE. Virusul se ataseaza fie la inceputul unui fisier COM, fie la sfarsitul unui fisier EXE. El devine rezident in memorie atunci cand este executat primul program infectat si va infecta, apoi, fiecare program executat, exceptand fisierele COMMAND.COM care sunt infectate doar o data, fisierele EXE fiind infectate de fiecare data cand sunt executate. Virusul este eliminabil. Regasirea lui intr-o alta zi decat Vineri 13 este simpla: Se reboot-eaza sistemul de pe un disc neinfectat, protejat la scriere. Se executa produsul anti-virus favorit de pe disc, lasandu-l sa elimine toate copiile virusului din toate fisierele. Apoi, se instaleaza pe hard disc un anti-virus neinfectat, care se foloseste pentru a scana si curata toate dischetele infectate din office. Daca s-au pierdut fisiere in ziua de Vineri 13, recuperarea lor este aproape la fel de simpla: Se schimba data sistem cu alta diferita de Vineri 13 si se reboot-eaza de pe un floppy neinfectat, protejat la scriere. De notat, simplu, care sunt fisierele sterse. De pe un disc protejat la scriere, se executa un program "unerase" (precum este NORTON QU) si se face "unerase" cu toate aceste fisiere. (Daca se prefera, si mai ales daca este posibil, fisierele pot fi refacute de pe dischetele originale sau din backup-uri.) Apoi, este urmata procedura de eliminare a virusului, prezentata anterior. Note: Virusul Jerusalem este unul dintre cei mai comuni infectori de fisiere, cunoscuti in lume, datorita in parte codificarii sale inteligente, ne-distructivitatii sale precum si varstei. Peste 30% din infectiile din America de Nord, sunt infectii identificate ca fiind Jerusalem, conform urmaririlor si a raportelor de la Dataquest, Octombrie, 1991. Dat fiind gradul sau de raspandire, el este cauza numeroaselor sale variante. Jerusalem se ataseaza la inceputul fisierelor COM sau la sfarsitul celor EXE. Un fisier COM are atasat un marker de 5 bytes la sfarsitul lui, dupa ultimul byte al fisierului original. Acest marker este MsDos. De fapt, acest marker poate fi vazut de doua ori intr-un fisier COM infectat: in ultimii sai cinci bytes si in topul virusului. In topul virusului, ei sunt precedati de sirul sU. (In predecesorii sai, era sURIVnn, unde nn era numarul versiunii de Suriv.) In mod uzual, sUMsDos nu este gasit in noile variante ale acestui virus -- sU nu este functional, iar MsDos poate fi inlocuit cu orice alt marker. De exemplu, in Jerusalem.Blank, markerul seamana cu un sir ASCII in hexa, precum "20 20 20 20 20". Virusul nu scrie semnatura "MsDos" intr-un EXE infectat, facand astfel ca fisierele EXE sa fie infectate in mod repetat. Acest fapt sugereaza ca virusul a scapat prematur din laboratorul unui programator (daca a fost vreodata intentionat sa fie lansat). Jerusalem nu este un virus stealth, el nu face prea multe pentru a se ascunde de utilizator. Dar, este bine scris. De exemplu, atunci cand incearca sa infecteze un fisier de pe o discheta protejata, el va intercepta mesajul DOS "Write protect error writing drive", astfel incat prezenta sa este mai putin evidenta. Pe de alta parte, daca data sistemului este Vineri 13, Jerusalem actioneaza, incercand sa stearga tot ce se executa. In acele zile, el va lasa DOS sa afiseze mesajul de eroare "Write protect" atunci cand incearca sa seteze atributele fisierului pe read/write. Eliminandu-se tab-ul, virusul va sterge fisierul. Jerusalem nu infecteaza fisierele pe care le-a sters in ziua de Vineri 13. Un alt semn a programarii robuste a virusului Jerusalem este faptul ca el citeste intrarea intr-un director a unui fisier, pe care-l va infecta si tine minte data, ora si atributele acestuia. Apoi ,schimba atributele, in caz ca are nevoie, pentru a permite scrierea in fisier, apoi permite DOS-ului sa actualizeze data, ora si atributele, in director, cu data si ora curenta. Revine, apoi, in director si-l reseteaza la data, ora si atributele originale. Este uimitor de considerat volumul de munca efectuat de virus pentru a infecta fisierul si sa remarcam faptul ca el este capabil sa infecteze un fisier, fara a fi sesizabila nici o intarziere in timpul de incarcare a fisierului (mai putin de o secunda). La sfarsitul virusului, de la offset-ul 0600H, nu este nimic semnificativ, variind de la esantion la esantion. Numele 1808 si 1813 provin de la faptul ca fisierele cresc cu respectiv1808 sau 1813 bytes, fara modificarea datei, orei sau a atributelor read/write/hidden. Desi stergerea fisierelor si incetinirea sunt efecte intentionate, existenta unui bug in program provoaca reinfectarea EXE-urilor. Versiunea originala sterge fisierele executate in ziua de vineri 13, insa, numeroase variante realizeaza acum o varietate de conditii per data.


 Jesus.1215

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1215 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 July13

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1201 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Larry.497

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
497 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16 pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Lego.1000

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Leprosy.321

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
321 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.666.c

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
666 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Jas.792

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
792 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Sandra_II.1809

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1809 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Marzia.WW.2048

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 MegaBug.546

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
546 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mephisto.2.1000

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mface.1441

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Milan.Antinazi

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1091 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.110

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
110 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.935

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
935 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VCL.Diogene

Spatiul ocupat pe disc:
846 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, care poate fi insa detectat printr-un sir 'wildcard'.
Mesaje afisate de virus:
"

DIOGENES 2.0 has visited your hard drive.....

This has been another fine product of the Lehigh Valley.

Watch (out) for future 'upgrades'.

The world's deceit has raped my soul. We melt the plastic

people down, then we melt thier plastic town.....

" ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Inclusiv fisiere sistem/ascunse
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Efecte distructive:
Pe drive-ul C: sunt scrise 718 sectoare de garbage folosind Int26h, omitand primul sector de pe drive. Garbage-ul incepe cu sirul indicat la Mesajul_afisat, care este scris in acelasi timp si pe ecran.
Conditii de declansare a efectelor distructive:
Day_of_Month == 31st


 Vector.441

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 VICE.01.Sample

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2406 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vienna.1032

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1032 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.458

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
458 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Voice.1495

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1495 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VS.612

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
612 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Warez.1341

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1341 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WildThing.567

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
567 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Wisconsin.815

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
815 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 10
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WM.Bandung.B

Pseudonime:
MW:Bandung-B
WordMacro/Bandung.B
WM/Bandung.B
BANDUNG.A
Macro.Word.Bandung
Bandung.B
Originea geografica:
Bandung, Indonezia
Data originii: August/Septembrie 1996
Mesaje afisate de virus:
Sint afisate unele mesaje de eroare
Efecte distructive:
Nu are manifestari distructive.
Comentarii:
Bandung.B este un virus de Word. Are un numar de 6 macro-uri fiecare cu dimensiunea de 4262 Bytes. Diferenta dintre el si varianta originala (Bandung.A) este aceea ca sint afectate macro-urile din AutoExec, ToolsMacro si ToolsCustomize. Totusi virusul este capabil sa infecteze Normal.dot si alte documente. Pentru a fi mai dificil de gasit Bandung.B se foloseste de "Toolsmacro" (este o tehnica de ascundere). Nu este criptat.


 Yankee.3096

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3096 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 YB.402

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
402 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zero2o

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
403 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Zoid.1759

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1759 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 04h.635

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
635 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 7son.334

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
334 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Abraxas.1170

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1170 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Acvt.1243

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1243 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Aids.872

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
872 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Alex

Originea geografica:
Romania
Mesaje afisate de virus:
" Apa depistata in microprocesor ! Functionarea poate fi compromisa ! Se recomanda oprirea calculatorului citeva ore pentru uscare ! Alexander - Constanta, Romania. "
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Comentarii:
Virusul este rezident in memorie. A fost primul virus romanesc.


 Arcv.657

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
657 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.986

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
986 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.Mcwhale

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1125 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Arriba.1590

Virusul produce efecte vizuale.
Virusul produce blocaje ale PC-ului.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
1588 o.
Spatiul ocupat pe disc:
1590 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
(accents shown here appended, newline replaces longspace) "

Cara al sol con la camisa nueva

que tu bordaste rojo ayer

hallaras la muerte si te llega

y no te vuelvo a ver

formare junto a mis coman~eros

que hacen guardia sobre los luceros

impasible el ademan y esta'n presentes

en nuestro afan

si te dicen que cai me fui al puesto que tengo alli

volveran banderas victoriosas al paso alegre

de la paz y seran prendidas cinco rosas las flechas de mi paz

volvera a reir la primavera que por cielo y tierra y mar

esperan arriba a Espan~a y a vencer, que en Espan~a empieza

a AMANECER

20-N-90 Spain Jaws & Shark ARRIBA ESPAN~A

"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Raspandirea virusului:
Eradicat.
ntreruperi interceptate:
21 / 4B
24
8
Efecte nedistructive:
Virusul provoaca blocajul calculatorului.


 Asmodeous.1833

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1833 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Atas.1268

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1268 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Attention.393

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
393 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.147

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
147 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.369

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
369 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.AIH.588

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
588 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bebe.486

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
486 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Beer.3490

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3490 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 BetaBoys.457

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
457 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bishop.2855

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2855 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.232

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
232 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Blackjec.307

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
307 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blinker.512

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bog.233

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
233 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 BootCOM.PureText

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
849 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza DBR-ul de pe floppy discuri.


 CheckSum.1233

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1233 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Christmas.1694

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1694 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Civilwar.212

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
212 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Insane.186

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
186 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CLME.Ming.1952

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1952 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 COL_MAC

Spatiul ocupat pe disc:
1022 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
24
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul cauta fisierele EXE si COM "curate" din directorul curent pe care le infecteaza cite doua. In final afiseaza o serie de mesaje pina cind tasta ENTER va fi apasata. Virusul nu este rezident in memorie. Intercepteaza INT 24h pentru a nu fi divulgat cind infecteaza fisiere protejate la scriere.


 Companion.8736

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8736 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Congratilations

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
918 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Crash.543

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
543 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Crooked.979

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
979 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Deicide.2570

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2570 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Demolited.1585

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1585 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Diablo_Boot

Spatiul ocupat pe disc:
512 o.
Mesaje neafisate dar continute de corpul virusului:
DIABLO r disk error
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
Comentarii:
Virusul este rezident in memorie. Nu prezinta altfel de manifestari decit inmultirea. Calculatorul se infecteaza prin boot-area de pe o discheta infectata. Pe hard, copiaza sectorul original de boot la locatia cilindru 0, fata 0, sector 2. Pe floppy disc, o copie curata a sectorului de boot este pusa pe ultimul sector din directorul radacina (acest lucru ar putea face sa se piarda toate datele de floppy disc).


 Diamond.614

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
614 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Die_Lamer.1090

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1090 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 DirII.Dragon

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Spatiul ocupat pe disc:
1024 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 DM.310

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
310 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Dot.944

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
944 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DSME.Teacher

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3197 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dutch_Tiny.Brenda

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
256 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 ExeBug.a,c

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 ExeHeader.Mike.256

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
256 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Exit.376

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
376 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Faerie.349

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
349 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FatherMac.838

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
838 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Fdate1111.537

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
537 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Fifo.300

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fisher.2420

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2420 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Fist.862

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
862 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Flue.1179

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1179 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Gotcha.906

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
906 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Grog.1641

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1641 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Grog.566

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
566 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grune

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
Switzerland
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
Arbeiten Sie jetzt wirklich umweltfreundlich ? Sie haben

nun viel Zeit darber nachzudenken ! Es grsst Sie die

"Grne Partei der Schweiz" ! ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
ntreruperi interceptate:
67
21
Efecte distructive:
Suprascrie fisierele pe care le infecteaza.
Comentarii:
Propagare: infecteaza fisierele la deschidere, inchidere sau la scanarea directorului. Identificatori asignati de diverse scanner-e: Cheyenne: 1241
ESaSS: Grune
Frisk: Grune
H+BEDV: 1241
McAfee: 1241 [1241]
NORMAN NVC: Grune
Norton: 1241
S&S: Grune Eicar ID: y323c286b Virusi corelati: 1241, Grune #2, Grune #1. Replicare: apare ca infectand fisierele atunci cand sunt incarcate si executate. Citeste fisierele, scrie fisierele, inchide fisierele. Simptome: Efectele ar putea fi activate in functie de data. Verifica data pentru a luna inexistenta (0) 1 1991. De retinut: Acces dubios la fisiere. Alocare suspicioasa a memoriei. Programul foloseste o metoda ne-standard pentru a cauta si/sau aloca memorie. Punct de intrare flexibil. Codul pare proiectat pentru a fi legat la orice locatie din fisierul executabil. Deci, caracteristici comune pentru un virus. Programul intercepteaza software-ul la incarcare. Intercepteaza incarcarea programelor pentru a putea infecta software-ul. Acces la disc in scriere. Programul scrie pe disc fara a folosi DOS. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Construire instructiune jump dubioasa. Punctul de intrare este via jump-uri inlżżżantuite sau indirecte. Aceasta este neobisnuit pentru software-ul normal, dar comun pentru virusi. Foloseste apel de intrerupere DOS nedocumentat. Face determinare EXE/COM, pentru a determina fisierele de infectat. Revine in punctul de intrare. Contine cod pentru a restarta programul dupa ce modificarile de la punctul de intrare au fost efectuate. Foate frecvent pentru virusi.


 Guppy.152

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
152 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Hafen.781

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
781 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HelloUser.547

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
547 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HH&HH.4087

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4087 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Highlander.478

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
478 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Sauron.4568

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Horns

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
896 o.
Spatiul ocupat pe disc:
624 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Are nevoie de 'spoonfeeding'.
Cum sunt infectate obiectele neconectate:
Are nevoie de 'spoonfeeding'.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"[Horns Of Jericho (c) 92 Crom-Cruach/Trident]" ; Mesajul continut de virus si neafisat nu este criptat.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21 / 3D00
21 / 3E
21 / 44A0
Efecte nedistructive:
Un modul AVR infectat va raporta un rezultat corect (indiferent daca fisierul curent scanat este sau nu infectat) cu o probabilitate de 1/4. In 3/4 din cazuri, se va raporta "not infected" referitor la starea actuala. DE FAPT, datorita unui bug, un .AVR infectat va fi intotdeauna raportat "not infected" (C-flag este sters intotdeauna inainte de return).
Conditii de declansare a efectelor nedistructive:
(BIOS_TIMER_TICKS & 03) != 0
Conditii de declansare a infectarii:
(Open for Read-Only + Close) and FileName[0..1]=='C:'
and FileExt=='.AVR' and File[0x48] != 0xE9 and File[0x41..0x43]==0x000100 and (File[0x3c..0x3d] & 0xf)==0
Modul de autodetectare a virusului in memorie:
INT_21;AX=44A0 -> AH=FF
Modul de autodetectare a virusului pe disc:
File[0x48] = 0xE9
Constrangeri necesare virusului pentru a functiona:
Scanner-e bazate pe .AVR
Comentarii:
Numele unui fisier victima ar trebui sa fie de forma 'C:*.AVR' - doar litere mari. Comenzile MS-DOS 5.0, COPY sˇi TYPE nu merg - poate, pentru ca nu utilizeaza INT 21/3D00 pentru a deschide un fisier.


 Ice.734

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
734 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ilja.1704

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1704 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Int78

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
547 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Intruder.1312

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1312 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Invol.1314

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1314 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 Jabb.812

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
812 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Jerusalem II

Virusul modifica data si ora fisierelor infectate.
1663 (COM), 1663+%16% (EXE)
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
98 paragrafe.
1663 (COM), 1663+%16% (EXE)
Spatiul ocupat pe disc:
1663 o.
1663 (COM), 1663+%16% (EXE)
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
1663 (COM), 1663+%16% (EXE)
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
13
24
21 / 4BF1
21 / 4B00
Conditii de declansare a infectarii:
Exec && COM_size <= 0F830h
Modul de autodetectare a virusului in memorie:
Int_21;AX=4BF1 --> AX=1FB4
Modul de autodetectare a virusului pe disc:
File[EOF-4] == (00h, 00h, 66h, 66h)
Comentarii:
Vectorul IntFF de la adresa 0:3FCh este folosit temporar pentru a contine o rutina de copiere (de 3 bytes) in timpul relocalizarii virusului. Dupa ce un virus COM se relocalizeaza, el continua din punctul de intrare al virusului EXE care relocalizeaza din nou acolo unde este. Daca survine o eroare dupa adaugarea virusului, fisierul original este restaurat. Handler-ul Int13 stocheaza numarul de drive intr-o variabila, insa aceasta valoare care nu este folosita nicaieri in noua versiune. O valoare constanta, pe cuvant, este "pusa" la o locatie din zona cu zerouri, in timpul infectarii unui fisier EXE.


 Kalah.499

Spatiul ocupat pe disc:
499 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"I don't like mondays ..." ; Mesajul continut de virus si afisat nu este criptat.
Mesajul este afisat in ziua de Luni.; Mesajul este afisat in ziua de Luni.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
- Suprascrie o parte din fisier, distrugandu-l
MOVE (fisierul se extinde cu 499 bytes daca este mai mic) OVERWRITES (daca fisierul este accesibil in scriere dar nu si in citire)
Tehnici de protejare:
- Foloseste un stil de codificare special pentru a incurca majoritatea dezasambloarelor.
("*." este generat prin incrementarea unei constante cu o alta)
Efecte nedistructive:
497 bytes din programul original sunt restaurati inainte de executie in loc de 499, ca urmare imaginea fisierului din memorie este posibil sa fie stricata.
Conditii de declansare a efectelor nedistructive:
Executarea fisierului infectat.
Efecte distructive:
Primele 100 de piste de sub capul 0 al primului disc hard sunt formatate (presupunand 23 de sectoare/pista)
Conditii de declansare a efectelor distructive:
Day_of_Week == Monday
Efecte colaterale:
Memoria de 64KB de deasupra bazei programului curent care este folosita ca buffer fisier, nu apartine, in mod necesar, programului curent.
Conditii de declansare a infectarii:
[ 2 abordari, chiar daca prima reuseste]: [1](current directory)
(random(4) == 0) && attribute == "normal" && filesize%64k <= 0FDE8h
[2](random directory from %PATH% or root_dir, (v.Comentarii globale) )
attribute == "normal" && filesize%64k <= 0FDE8h
Modul de autodetectare a virusului pe disc:
File[0] == {50h, 0E8h, 1Fh, 00h}
Comentarii:
Intr-o a doua incercare de infectare, este implicata o selectie aleatoare. Exista o sansa aleatoare de 1:4 de a selecta directorul din PATH pe masura ce este scanat, cat timp au fost vazute/cautate 7 directoare. Daca nu mai sunt directoare sau nici unul dintre cele 7 nu a fost selectat, atunci este folosit, in loc, directorul root. Valorile aleatoare sunt, progresiv, perechile de biti cei mai semnificativi, extrasi dintr-un cuvant aflat la adresa 40:6Ch. Cuvantul respectiv este citit din nou la o a doua abordare, astfel incat infectarea diretorului curent nu inseamna neaparat ca primul director din PATH va fi cel selectat. Nu exista nici un test de "=" in timpul verificarii mediului, deci, daca cumva exista un subsir anterior "PATH", presupusa variabila PATH va fi luata in consideratie pentru a extrage urmatorii 5bytes de start.


 Keelung.2808

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2808 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Kela.823

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
823 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Keypress.1236

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1236 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.469

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
469 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Khizhnjak.823

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
823 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kid.393

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
393 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ko.408

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
408 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Konkoor.1746

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1746 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kurgan.948

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
948 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lhb.1989

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1989 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 LittBrother.301

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
301 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loki.971

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
971 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.Kenson.887

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
887 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Loz.1922

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1922 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lurid.699

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
699 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mabuhay.2660

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2660 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MadSatan.19033

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
19033 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Major.1644

Pseudonime:
Puppet
BBS-1643
MajorBBS
Spatiul ocupat pe disc:
1660 o.
Mesaje neafisate dar continute de corpul virusului:
Contine un mesaj in format ASCII : " The Major BBS Virus created by Major tomTugger".
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Comentarii:
Virusul este rezident in meorie unde nu se ascunde . Este criptat. Nu poate infecta in afara directorului curent, nu modifica atributele fisierelor si nu le infecteaza pe cele mercate read-only. A fost semnalat prima oara in Iulie 1995.


 Manuel.937

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
937 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.FTW.192

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
192 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Try.1074

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1074 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Turn.557

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
557 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Uddy.2617

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2617 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Unknown.1293

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1293 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Uruguay.6344

Pseudonime:
Uruguvau
Uruguay.7
Virusul produce efecte vizuale.
(3080h=308P)
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
(3080h=308P)
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
12416 o.
(3080h=308P)
Spatiul ocupat pe disc:
6344 o.
(3080h=308P)
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 11
21 / 12
21 / 4202
21 / 4C
21 / 4E
21 / 4F

Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
(3080h=308P)
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
- Ascunde punctul de intrare.
Mesaje afisate de virus:
"Uruguay-#7 Virus

Programmed in Montevideo (URUGUAY). 02/93.

This is a research virus - DO NOT DISTRIBUTE."; Encrypted

"Uruguay-#7 installed (seg=9CF8)"

{This message is always displayed when virus goes resident.

Number in the message represents real segment, where virus

is located.}
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Tehnici de protejare:
- Foloseste nivele de criptare multiple.
Raspandirea virusului:
Rapoarte nesemnificative. ; la data: 1/31/94
Raportari nesemnificative; Raportari nesemnificative
ntreruperi interceptate:
01
08
09
13
21 / 4B00
21 / 3D
21 / 6C
24
2A
2A (doar pentru a restaura controlul peste INT_21 daca s-a pierdut)
A se vedea si:
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.4
Uruguay.5
Uruguay.6
Uruguay.8
Efecte nedistructive:
Virusul arata pe ecran continutul mesajului afisat, folosind serviciul BIOS INT_10/0E. Imprimarea este intarziata si dureaza cateva secunde. Ea este acompaniata de tonuri muzicale aleatoare, calculate folosind codul ASCII al caracterelor imprimate.
Conditii de declansare a efectelor nedistructive:
: (ExecInfected and (byte[0:46C]=0)) or WarmReboot
Conditii de declansare a infectarii:
(Exec or ((Open or OpenCreate) and (*.COM or *.EXE))) and
(Size>200h and Size= (FileYear<2000) and
not (COMMAND.COM or SC*.* or *V*.* or F-*.*)
Modul de autodetectare a virusului in memorie:
INT_21;AX=3032;DX=1234 -> AX=5678
Comentarii:
Fisierele EXE infectate sunt comutate in COM-uri, iar codul virusului este adaugat la sfarsitul fisierului, intr-o forma encriptata. Fisierul incepe cu capul virusului. Dimensiunea capului (head) este de 63h bytes - el transfera controlul la coada virusului (decriptorul si encriptorul corpului virusului sunt ambele atasate la sfarsitul fisierului infectat). Uruguay.7 foloseste trei tipuri de control al transferului de la cap la coada. 1.E9 offset; 2.PUSH offset; 3.MOV reg.offset, JMP reg. Cand un program infectat primeste controlul, virusul se copiaza in segment, in topul memoriei conventionale utilizabile. Memoria disponibila pentru DOS este redusa. Daca calculatorul are 640K, puteti calcula usor codul segmentului virusului (MEMORY_SIZE=308para, CS=A000-308=9CF8; veti obtine 9CF7 daca UMB este utilizat, deoarece topul paragrafului va fi BFFF, si nu A000). Dupa decriptarea corpului sau, virusul restaureaza startul fisierului infectat (63h bytes) si, daca fisierul era un EXE, face el relocarile necesare. Apoi, codul este mutat jos, in memorie, deoarece nu mai este nevoie de headerul EXE. Virusul Uruguay.7 intercepteaza DOS INT_21 rescriind startul rutinei de service DOS in segmentul DOS cu FAR JMP la codul viral. Segmentul DOS este definit ca utilizand INT_2F/1203. Virusul marcheaza fisierele infectate modificand marca de timp (INT_21/57). Anul crearii este orig_file_year+100. Uruguay.7 foloseste valorile initiale ale registrelor procesorului ca si cand ar fi setate de un apel DOS EXEC (AX=0000, BX=0000, CX=00FF, DI=FFFE, SI=100) in rutina de decriptare virala. Uruguay.7 supravietuieste relansarii la cald via Ctrl-Alt-Del. El agata INT_08 si INT_09, restaureaza unele intreruperi de nivel jos, dezafecteaza utilizarea A20, seteaza modul video pe text, reseteaza controller-ul de intreruperi si tastatura si, dupa toate acestea, apeleaza INT_19. Uruguay.7 nu infecteaza nici unul din fisierele care incep cu "SC", "F-" sau oricare ar fi fisierul care are litera "V" inclusa in filename. Se pare ca Uruguay.7 face o verificare aditionala pentru "AI", dar dat fiind faptul ca include un bug, compararea nu functioneaza. Aceste verificari probabil ca semnifica "SCAN", "F-PROT", "VIRUSCAN", "-V" etc. Verificare pentru "AIDSTEST" nu merge. Versiunile curente de SCAN, F-PROT, precum si multe alte programe antivirus (*V*.*) sunt EXE-uri net departe de limita de 64k, deci aceste verificari par a fi ciudate. Uruguay.7 contine un generator de numere aleatoare intern, folosit extensiv in motorul polimorfic. El accepta un parametru (AL) si returneaza BH=0, BL=[1;AL]. Generatorul de numere aleatoare foloseste BIOS-ul calculatorului si continutul timer-ului curent [0:46C] pentru a calcula output-ul (cateva XOR-uri, ADD-uri si SUB-uri). Pentru a opera, virusul foloseste variabile statice. Generatorul de numere aleatoare este localizat la adresa cea mai din top din codul virusului. Nu se cunoaste nici un scanner care sa detecteze fiabil Uruguay.7. El este doar unul dintre virusii cei mai polimorfici.


 V.1253

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1253 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.2000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.439

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
439 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.696

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
696 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.565

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
565 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.627

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
627 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.730

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
730 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.849

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
849 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Pivi.454

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
454 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Viking.1000.b

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VirDem.463

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
463 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Virogen.Offspring.1555

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1555 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 VirusDead.2308

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2308 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 VLAD.MegaStealth

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
945 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WM.CVCK1.A

Pseudonime:
MW:CVCK1-A
WM/CVCK1.A
WinWord.CVCK1 Virogen
WordMacro/CVCK1
Originea geografica:
Indonesia
Data aparitiei : 1Aprilie 1997.
Mesaje neafisate dar continute de corpul virusului:
Sorry ... i'm defeat you !

--------------------------------------------

Created using CVCK v.01 b

(C)CrazybitS 1997, Yogyakarta, Indonesia

--------------------------------------------

delAll

infect

--------------------------------------------

Created using CVCK v.01 b

(C)CrazybitS 1997, Yogyakarta, Indonesia

--------------------------------------------

delAll

infect

Call ActionDate
Comentarii:
Este un virus de Word care are 11 macrouri : Action, Action2, AutoExec, AutoOpen, stdClose, HelpAbout, Organizer, ActionDate, ToolsMacro, FileTemplates, ToolsCustomize . Documentele sint infectate cind sint deschise. Virusul modifica setarile de la salvare. Ascunde meniul Tools/Macro. Dezactiveaza " Prompt to save NORMAL.DOT" cind un document este inchis.


 WM.Hitman.A

Pseudonime:
MW:Hitman-A
WordMacro/Hitman.A
Macro.Word.Hitman
WORD.TEDIOUS
Mesaje afisate de virus:
Afiseaza o fereastra de dialog care contine textul "OK!" iar in caz de eroare -"ERROR!"
Mesaje neafisate dar continute de corpul virusului:
The SMALLEST Macro-virus in history ;)

(c) Master of infection

Queen Hitman Virus inc.
Comentarii:
Este un virus de Word care contine un singur macro AutoOpen, astfel el actioneaza cind este apelat acest macrou. Nu se ascunde. A aparut in Septembrie 1997.


 WM.Kerranga.A

Pseudonime:
MW:Kerrang-A
WordMacro/Kerrang.A
WM/Kerrang.A
Macro.Word.Kerranga.A
KERRANG.A
Comentarii:
Este un virus de Word care are 5 macro-uri. Numale lor sint : Autoexec, FileSaveAs, FileOpen, FilePrintDefault si ToolsMacro. Autoexec dezactiveaza protectia Word-ului, FileSaveAs si FileOpen declanseaza rutina de infectare, ToolsMacro deschide 65 de noi documente dar nu executa meniul original Tools/Macro iar FilePrintDefault face ca la ora 18:00 sa aduge textul "Kerbaffely Urgo Kerranga! Kerranga!!!! " la sfirsitul documentului curent dupa care sterge toate fisierele *DOC din directorul curent. Virusul se ascunde. A aparut la 17 Februarie 1997.


 WM.Outlaw.C

Pseudonime:
WM:Outlaw-C
WM/Outlaw.c
Winword.Outlaw.C
OUTLAW.C
WinWord.Outlaw.C
Comentarii:
Este un virus de Word care are 6 macro-uri. Numele lor sint AutoOpen, ToolsMacro si ExtrasMacro iar celelate trei nume depind de timpul curent si de o variabila aleatoare. Aceste macrouri nu se executa automat ci numai cind este apasata tasta 'SPACE'(infecteaza zona de macrouri) si tasta 'E' (infecteaza documentul curent). Pentru a denumi macrourile din infectia curenta , virusul creaza trei variabile in document: VirNameDoc, VieName si VirNamePayload unde salveaza numele acestor macro-uri pe care la va folosi cind are nevoie. In alt caz virusul creaza trei inregistrari cu numele curente ale macrourilor in System Profile (WIN.INI). Aceste stringuri sint: Name=, Name2=, Name3=. In ziua de 20 Ianuarie virusul produce un sunet (un hohot de ris) dupa care introduce in documentul curent textul: "You are infected with
Outlaw
A virus from Nightmare Joker ". A aparut in Noembrie 1996. Dezactiveaza meniul Tools/Macro pentru a se ascunde.


 WM.Twister

Pseudonime:
MW;Twister-A
WM/Twister
Winword.Twister
WordMacro/Twister.a
Twister
WinWord.Twister
Macro.Word.Twister
Mesaje neafisate dar continute de corpul virusului:
' Twister 2000" v.1 (c) Neo-Luddite Inc.

For Robin Hood ".
Comentarii:
Este un virus de Word care are 8 macro-uri. Cind infecteaza NORMAL.DOT, numele acestora sint: FileSavaAs, AutoExec, twAC, FileSave, AutoExit, twFC, twFE si twFQ. Cind infecteaza fisiere, numele lor sint: twFSA, twAE, AutoClose, twFS, twEX, FileClose, FileExit si FileQuit. Dimensiunea acestora este de 4628 octeti. Virusul infecteaza NORMAL.DOT cind din meniu este apelat FileClose, FileExit si AutoClose iar documentele sint infectate cind sint apelate AutoExit, FileSave si FileSaveAs. A aprut in Noembrie 1996.


 Wonder.7424

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7424 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Xak.3132

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3132 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 XPEH.5792

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 10 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 XVXH.514

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
514 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Yankee.22

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Am.743

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
743 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.176

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
176 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.94

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
94 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirror.4130

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4130 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MMIR.Das_Boot

Virusul modifica data si ora fisierelor infectate.
Dimensiunea memoriei ocupate:
1 ko.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/2 pe un hard disc.

; la data: 9/12/93
ntreruperi interceptate:
21 / 4B00
13
A se vedea si:
MMIR.Extasy
MMIR.Ravage


 Mnemonix.Neuropath.928

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
928 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 MonteCarlo.1541

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1541 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 MR-FAMILY

Originea geografica:
Romania
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Comentarii:
Este o familie de virusi scrisi de un autor pasionat de muzica lui Ravel, Schubert, Mozart, Beethoven si de literatura SF a lui Frank Herbert. Unii virusi altereaza fisierele prin modificarea buffer-ului de scriere pe disc.


 Mshark.889

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
889 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MtE.Encroacher

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3070 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Multi.2560.a

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 Murphy.1614

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1614 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.Lock

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1642 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.110.CF.2055

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2055 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MVF.1866

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1866 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Natas.4774

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4774 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 NeverOne.442

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
442 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Amz.1110

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 NightFall.4519

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4519 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 NoFrills.1422

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1422 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Nostardamus

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2247 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Nuke.Clock

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
894 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.1723

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1723 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nutcracker.AB4

Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Acesta este pattenul hexa gasit in fisiere; pentru alte tinte, precum MBR, patternul hexa este 33C0 8EC0 8ED8 BB00 7CFA 8ED0 8BE3 FB50 53BF 0006 508D 7524 9056 8BF3 B975 0090, iar in memorie, patternul hexa este: E800 005E 81EE 770A 9C50 5351 5257 1E06 8CDB 83C3 102E 019C 1A0C 2E01 9CAB 03B4
Virusul infecteaza interceptand apelurile DOS la fisiere.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii:
Familia virusului:
Nutcracker
Acesta este pattenul hexa gasit in fisiere; pentru alte tinte, precum MBR, patternul hexa este 33C0 8EC0 8ED8 BB00 7CFA 8ED0 8BE3 FB50 53BF 0006 508D 7524 9056 8BF3 B975 0090, iar in memorie, patternul hexa este: E800 005E 81EE 770A 9C50 5351 5257 1E06 8CDB 83C3 102E 019C 1A0C 2E01 9CAB 03B4
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21
A se vedea si:
Nutcracker.AB4
Conditii de declansare a infectarii:
Se declanseaza pe 12 Ianuarie si 23 Iulie.
Comentarii:
Nucracker.AB4 intercepteaza Int 21h la executie si se scrie la sfarsitul fisierelor COM si EXE la Execute, Open sau Rename. Atunci cand un fisier este creat, handle-ul lui este stocat si este infectat la inchidere. Virusul realizeaza rutine de ascundere (stealth) la apelurile FindFirst/Next, Seek si Read. Acest virus, ca si variantele AB3 si AB5, poate sterge fisierele *.?AS atunci cand sunt accesate, sau alte fisiere specifice atunci cand sunt deschise. AB4 dezinfecteaza fisierele sub un debugger si plaseaza un "cal troian" in MBR care, pe 12 Ianuarie si 23 Iulie, formateaza sectoarele de pe drive-ul hard. Prin intermediul unui contor stocat in sectorul de boot al discului infectat, virusul marcheaza aleator un sector de pe drive-ul curent ca fiind prost, la fiecare a 64-a executie program.


 Ohm.777

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
777 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Orchid.120

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
120 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Override.1428

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1428 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Paramon.917

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
917 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Patsy.571

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
571 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Pcflu.2156

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2156 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Penza.700

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Phoenix.Proud

Virusul produce blocaje ale PC-ului.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
1302 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca orice virus care suprascrie.
Cum sunt infectate obiectele neconectate:
Infecteaza ca orice virus care suprascrie.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Originea geografica:
Bulgaria
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Infecteaza ˇsi COMMAND.COM si, posibil, alte programe care se termina intr-un continand zero-bytes, executabile pe calculatoare
MS-DOS 3.30+. Fisierele a caror lungime initiala este cuprinsa in intervalul [2K, 64K] sau se incadreaza in regiunile [63487, 65535], [14226, 16383] si [30720, 32767] pot scapa de la a fi infectate.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Raspandirea virusului:
In atentia cercetatorilor.
ntreruperi interceptate:
21 / 82
Efecte distructive:
In mod intetionat provoaca pagube serioase, corupandFAT-ul, cu incetul: ori de cate ori inreruperea Disk I/O citeste un sector, virusul examineaza sa vada daca exista cuvinte succesive a caror valoare creste constant (ignorand acele cuvinte ce contin 0000 sau FFF6-FFFF); daca mai mult de jumatate din sector contine o lista de cuvinte consecutive, virusul presupune ca acolo ar putea fi un sector FAT si il va corupe, inversand aleator doua numeredin sector. De asemenea, suprascrie o parte din COMMAND.COM, distrugand continutul precedent. In plus, in cazul calculatoarelor care executa versiuni mai vechi de MD-DOS 3.30, virusul poate duce la blocaje daca cumva alt program intercepteaza INT 13h, folosind aceeasi metoda ca si virusul. Deschiderea, inchiderea si executarea fisierelor fac ca virusul sa infecteze; de fapt, doar simpla copiere a unui fisier COM intr-altul poate conduce la infectarea ambelor fisiere.
Modul de autodetectare a virusului in memorie:
Virusul verifica sa vada daca vectorul INT 2Ah pointeaza spre propriul cod.


 Pirate.1344

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1344 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.342

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
342 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ANDROMEDA.1536a

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.897

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
897 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Self.457

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
457 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 PMT.867

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
867 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Positron

Virusul modifica data si ora fisierelor infectate.
Positron achizitioneaza memorie in care va rezida prin manevrarea directa a lantului de MCB-uri. El micsoreaza ultimul MCB prin 23 de paragrafe si se copiaza in "gol". Aici, la inceput, creaza un header MCB dummy, marcand acest nou MCB ca un bloc de tip Z ('Z' indica sfarsit de lant) apartinand kernel-ului DOS
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Positron achizitioneaza memorie in care va rezida prin manevrarea directa a lantului de MCB-uri. El micsoreaza ultimul MCB prin 23 de paragrafe si se copiaza in "gol". Aici, la inceput, creaza un header MCB dummy, marcand acest nou MCB ca un bloc de tip Z ('Z' indica sfarsit de lant) apartinand kernel-ului DOS
Spatiul ocupat pe disc:
512 o.
Fisierele infectate corect cresc cu 512 bytes.
Mesaje neafisate dar continute de corpul virusului:
'Positron (c) 1994 Evil Avatar' ; Mesajul continut de virus si neafisat nu este criptat.
In fisierele infectate, apare sirul 'Positron (c) 1994 Evil Avatar'.; In fisierele infectate, apare sirul 'Positron (c) 1994 Evil Avatar'.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21
Positron intercepteaza INT 21h , alterand direct tabelul vectorilor de intreruperi. Functia 0Bh (Get STDIN) este facuta pentru a indeplini serviciul 'Are you there?': daca este apelata cu 1944h in registrul BX, virusul copiaza 1944h si revine - un simplu test de rezidenta.
Modul de autodetectare a virusului in memorie:
INT 21h apelat cu AH=0Bh si AH=1994h returneaza AX=1994h.
Modul de autodetectare a virusului pe disc:
La marca de timp, sunt adaugati 100 de ani.
Comentarii:
Este un infector COM parazit. Controlul este trecut corpului virusului printr-un apel care poate apare oriunde in fisierul original - pozitia sa nu poate fi determinata in mod trivial. Prin trasarea fata de punctul de intrare nu se garanteaza faptul ca va fi adus controlul in corpul virusului. Virusul intercepteaza functia 4B00h (Load & Execute), deci el este trezit atunci cand programul este pe punctul de a se executa. In acest punct, virusul va deschide fisierul si va citi primii doi bytes. Daca suma lor este A7h, virusul va presupune ca se afla intr-un fisier EXE (A7h='M'+'Z', numarul magic care denota un fisier EXE) si renunta - el infecteaza doar fisierele COM. Daca se afla intr-un fisier COM, virusul va salva handler-ul fisierului pentru utilizare ulterioara si localizeaza intrarea sa in SFT (System File Table), prin examinare directa. Mai intai, este verificata marca de timp- daca anul este mai mare ca 2080, fisierul este considerat deja infectat si virusul nu merge mai departe. Altfel, marca de timp este salvata (pentru a fi restaurata mai tarziu), iar modul de acces al fisierului este manevrat in cadrul SFT-ului, dand virusului acces Read/Write. Positron foloseste, apoi, un flag care indica faptul ca el este in asteptarea oportunitatii de infectare si returneaza controlul loader-ului de programe DOS. Infectare: Positron presupune ca urmarorul apel de INT 21h este din partea victimei. Adresa de return de pe stiva pointeaza instructiunea de dupa cea care a actionat apelul INT21h, denotand un offset in programul victima peste care controlul este pe punctul de a trece: un punct bun pentru virus pentru a-si pune un jump. Virusul extrage doi din adresa de pe stiva, presupunand ca instructiunea care tocmai s-a executat are doi bytes lungime (probabil era un 'INT 21h', care se codifica prin CD21h). Cei trei bytes care se afla la aceasta adresa sunt copiati in corpul virusului, care este adaugat la fisierul victima folosind handler-ul salvat anterior, in timpul interceptarii lui Load & Execute (DOS). In punctul din fisier ce corespunde unei instructiuni identificate anterior ca fiind 'INT 21h', se afla o instructiune CALL pe trei bytes, care transfera controlul corpului virusului. Fisierul program de pe disc este acum infectat, desi imaginea sa executabila din memorie este inca curata. In fine, sunt resetate marcajele de data si timp, avand adaugati, la data, 100 de ani (ceva ce, in mod uzual, trece neobservat in listingurile director care, in general, omit secolul). Detectie si eliminare: Desi scanner-ele de virusi bazate pe punctul de intrare ar putea avea probleme in detectarea virusului Positron, totusi fisierele infectate sunt foarte evidente, din moment ce includ textul ne-encriptat 'Positron (c) 1994 Evil Avatar'. In prezent, cand Black Baron (autorul virusului SMEG) este in inchisoare, ar fi interesant de vazut daca Evil Avatar doreste sa apara intr-o sala de judecata (English) pentru a putea apara drepturile proprietatii intelectuale pe care le pretinde. Dezinfectia fisierelor infectate este posibila, dar nu se recomanda. Dat fiind modul de comportare al virusului care nu infecteaza corect si dat find faptul ca virusul infecteaza numai fisiere COM, restaurarea de pe dischetele originale este cel mai indicat. In conditii de siste curat, se recomanda identificarea si inlocuirea fisierelor infectate.


 Predator.1137

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1137 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Problem.856

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
856 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Put.1939

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1939 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Qumak.1161

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1161 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rajaat.443

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
443 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Rasek.1489

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1489 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 ReBoot.715

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
715 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.278

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
278 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.Caffeine.366

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
366 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.DDeath.1153

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1153 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.Fire.473

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
473 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Multi.791

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
791 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Antibase.1900

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Bulgaria
Mesaje afisate de virus:
'AntiDBASE by Michael' ; Mesajul continut de virus si afisat este criptat.
'This program is written in the city of Sofia by MIchael' ; Mesajul continut de virus si afisat este criptat.
'HEY! STUPID GET AWAY' ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut


 Riot.Tornado.461

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
461 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rmdc.623

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
623 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Rubbit.1018

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
1018 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sadam.919

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
919 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SatBug.1568

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Scorpio.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Search.309

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
309 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.Taurus

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
358 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sfrust.632

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
632 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shifter.758

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
758 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului + 7
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .OBJ.


 Sibylle.858

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
858 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 SillyC.113

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
113 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 SillyC.184

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
184 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.339

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
339 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyE.1024

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 SillyORCE.101

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
101 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 ANTISCAN. 814

Pseudonime:
Traian
Sorin
814
2CC
MemThief
Minut13
Dimensiunea memoriei ocupate:
1024 ko.
Pe sistemele cu 8086, 286 virusul trece neobservat. Pe sistemele cu 386 si Pentium se face simtit prin blocarea accesului la UMB-uri prin distrugerea ultimului MCB din memoria de baza. Pe sistemele cu 486 unele fisiere virusate se blocheaza. Explicatia este ca lookahead buffer-ul la 486 este mare si variabil in functie de adresa de executie curenta(16…31octeti) spre deosebire de 8086, 286 si 386 unde este mai scurt si Pentium unde este ca si inexistent.Din aceasta cauza, pe 486, codul automodificabil este posibil sa fie incarcat in lookahead buffer inainte de a fi modificat si aceasta duce la blocare.
Spatiul ocupat pe disc:
814 o.
Pe sistemele cu 8086, 286 virusul trece neobservat. Pe sistemele cu 386 si Pentium se face simtit prin blocarea accesului la UMB-uri prin distrugerea ultimului MCB din memoria de baza. Pe sistemele cu 486 unele fisiere virusate se blocheaza. Explicatia este ca lookahead buffer-ul la 486 este mare si variabil in functie de adresa de executie curenta(16…31octeti) spre deosebire de 8086, 286 si 386 unde este mai scurt si Pentium unde este ca si inexistent.Din aceasta cauza, pe 486, codul automodificabil este posibil sa fie incarcat in lookahead buffer inainte de a fi modificat si aceasta duce la blocare.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Pe sistemele cu 8086, 286 virusul trece neobservat. Pe sistemele cu 386 si Pentium se face simtit prin blocarea accesului la UMB-uri prin distrugerea ultimului MCB din memoria de baza. Pe sistemele cu 486 unele fisiere virusate se blocheaza. Explicatia este ca lookahead buffer-ul la 486 este mare si variabil in functie de adresa de executie curenta(16…31octeti) spre deosebire de 8086, 286 si 386 unde este mai scurt si Pentium unde este ca si inexistent.Din aceasta cauza, pe 486, codul automodificabil este posibil sa fie incarcat in lookahead buffer inainte de a fi modificat si aceasta duce la blocare.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Pe sistemele cu 8086, 286 virusul trece neobservat. Pe sistemele cu 386 si Pentium se face simtit prin blocarea accesului la UMB-uri prin distrugerea ultimului MCB din memoria de baza. Pe sistemele cu 486 unele fisiere virusate se blocheaza. Explicatia este ca lookahead buffer-ul la 486 este mare si variabil in functie de adresa de executie curenta(16…31octeti) spre deosebire de 8086, 286 si 386 unde este mai scurt si Pentium unde este ca si inexistent.Din aceasta cauza, pe 486, codul automodificabil este posibil sa fie incarcat in lookahead buffer inainte de a fi modificat si aceasta duce la blocare.
Originea geografica:
Romania
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Infecteaza fisierele exe dupa structura daca lungimea declarata in headerul EXE este apropiata de cea reala.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Foarte raspandit. Regiunea geografica: ROMANIA
A fost semnalat din 1993. Inainte de inmultirea sistemelor cu 486 pe care se blocheaza, in perioada de glorie a SCAN-ului virusul a cunoscut o raspindire puternica: toata lumea stia ca SCAN-ul raporteaza orice modificare dar acest mesaj este ascuns de 814. Astfel, SCAN-ul virusat cu 814 parea curat. Pe masura ce sistemele cu 486 s-au raspindit si au aparut alti antivirusi, 814 a devenit vizibil si, s-a produs un fenomen paradoxal: raportarile de 814 au fost din ce in ce mai numeroase dar virusul a devenit din ce in ce mai putin raspindit. 814 a fost unul din primii virusi aflati in atentia SOFTWIN.; A fost semnalat din 1993. Inainte de inmultirea sistemelor cu 486 pe care se blocheaza, in perioada de glorie a SCAN-ului virusul a cunoscut o raspindire puternica: toata lumea stia ca SCAN-ul raporteaza orice modificare dar acest mesaj este ascuns de 814. Astfel, SCAN-ul virusat cu 814 parea curat. Pe masura ce sistemele cu 486 s-au raspindit si au aparut alti antivirusi, 814 a devenit vizibil si, s-a produs un fenomen paradoxal: raportarile de 814 au fost din ce in ce mai numeroase dar virusul a devenit din ce in ce mai putin raspindit. 814 a fost unul din primii virusi aflati in atentia SOFTWIN.
ntreruperi interceptate:
21 / 4B
21 / 7; 8; 40
21/4B (pentru virusare) 21/7; 8; 40 (pentru ascunderea de scan); 21/4B (pentru virusare) 21/7; 8; 40 (pentru ascunderea de scan)
Efecte nedistructive:
Asunde mesajul de fisier alterat dat de SCAN si CLEAN.
Efecte distructive:
Distruge semnatura informatiei despre integritatea fisierelor introduse cu SCAN; astfel, VSHIELD nu va mai semnala modificarea fisierelor pentru ca le va trata ca si cum ar fi nemarcate de SCAN.
Efecte colaterale:
Distruge ultimul MCB din memoria de baza, cel care face legatura cu UMB-urile.
Modul de autodetectare a virusului in memorie:
0:[2CC]=2CC
Comentarii:
Virusul contine informatii inutile pentru functionarea sa (data, lungimea declarata in headerul EXE). Unicul motiv pentru includerea acestor informatii este posibilitatea unei devirusari exacte. Virusul a fost realizat cel tirziu in 1993, pe vremea cind 486 era un lux si 386 oraritate. Asa se explica anomalia de pe 486.


 SillyRC.264

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
264 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Silver.1547

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1547 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.615

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
615 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Mem.1203

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1203 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Skater.664

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
664 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Slovakia.1956

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1956 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Small.118

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
118 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.145.a

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
145 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SmartCock.512

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sofia.528

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
528 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'This virus is named after a very nice, clever and cute girl, Sofia'
'Sweden'
'LoRD Zer0'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21 / 11
21 / 12
Comentarii:
Este o varainta a virusului Sofia.432, este rezident in aceeasi zona, contine aceleasi mesaje si creeaza acelasi fisier identic. Intercepteaza, in plus, doua functii - 11h si 12h pentru Int 21h.


 Spanish.1417

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1417 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Squeaker.1091

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1091 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Stasi.1728

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1728 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Stoned, Standard

Pseudonime:
Marijuana
New Zzeeland
Stoned
Dimensiunea memoriei ocupate:
2 paragrafe.
Spatiul ocupat pe disc:
1 clustere.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Permuta parti din corpul sau.
Mesaje afisate de virus:
07h "Your PC is now Stoned!" 07h 0Dh 0Ah 0Ah
Mesaje neafisate dar continute de corpul virusului:
"LEGALISE MARIJUANA"
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.
- Infecteaza fisierele .EXE.
Raspandirea virusului:
Eradicat.
ntreruperi interceptate:
13 / 02
13 / 03
Efecte nedistructive:
Mesaj afisat
Conditii de declansare a efectelor nedistructive:
Cite unul la fiecare 8 boot-ari de pe un floppy infectat
Conditii de declansare a infectarii:
Int13
Modul de autodetectare a virusului pe disc:
(M,F)BR[0..3]=Eah 05h 00h C0h (HDD)
Comentarii:
Este unul din cei mai raspinditi virusi; din fericire insa, este unul dintre cei mai inspirat scrisi. Familia stoned este vasta. Aparent, virusul continua sa ramina unul neobisnuit, prin multe parti ale lumii, deoarece el este acceptat de multi utilizatori ca fiind endemic, dar nu si suparator (ceea ce bineinteles, nu este cazul - de intrebat orcine care a "suferit" avind PC-ul astfel infectat: deci, cu o partitie disc care incepea la 0.0.2!), cu rezultatul obisnuit ca nu se incearca sa se faca mai nimic pentru al indeparta sau controla. Chiar si cu acele variante de Stoned in care este afisat mesajul "Your PC is now Stoned!", multi utilizatori esueaza in a notifica/ realiza ceva neobisnuit, timp de saptamini, luni sau chiar ani.


 Storm.1217

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1217 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SuperVirus.1175

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1175 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Arale.1526

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1526 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Sveta.309

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
309 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sze.351

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
351 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Taiwan.677

Pseudonime:
Taiwan
Taiwan.677.A
Taiwan Doom
Virusul produce efecte vizuale.
Seteaza valoarea secundelor la 62, pentru fisierele infectate.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Seteaza valoarea secundelor la 62, pentru fisierele infectate.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Seteaza valoarea secundelor la 62, pentru fisierele infectate.
Spatiul ocupat pe disc:
677 o.
Seteaza valoarea secundelor la 62, pentru fisierele infectate.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Taiwan
Seteaza valoarea secundelor la 62, pentru fisierele infectate.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
ntreruperi interceptate:
24
Efecte distructive:
Virusul corupe fisierele COM. In a opt-a zi a fiecarei luni, atunci cand se executa un program infectat, virusul va scrie 160 de sectoare, in mod absolut, pe disc, incepand cu sectorul logic 0 de pe drive-urile C: si D:, suprascriind MBR-ul, sectorul de boot, FAT-urile, directoarele root.
Comentarii:
Propagare: Ori de cate ori este activat acest virus, el incearca sa infecteze pana la trei fisiere COM. Cautarea fisierului COM de infectat incepe din directorul root de pe C:. De indata ce a fost localizat un astfel de fisier COM, virusul il infecteaza copiindu-se in primii 708 bytes ai fisierului si punand cei 708 bytes originali la sfarsitul fisierului COM. Note: Daca fisierul COM selectat pentru a fi infectat este mai mic de 708 bytes, lungimea lui va fi intotdeauna de 1486 bytes. Acest "bug" se datoreaza esecului in verificarea lungimii initiale a fisierului.


 TeaForTwo.1024

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Teraz.4004

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4004 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TheDraw.6530

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6530 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Timid.300

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.124

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
124 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Tiny.198

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
198 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Todor.1993

Pseudonime:
Todor
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1993 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Bulagaria
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
24
Efecte distructive:
Virusul este foarte periculos pentru drive-urile logice, care sunt mai mici de 32Mb, deoarece exista un trigger distructiv care produce/provoaca criptarea sectorului FAT sau a unui sector din directorul root; (in fiecare zi de dupa 14 ale lunii, si dupa luna Julie, virusul selecteaza un sector logic de pe drive-ul curent pentru a-l cripta). Bug-urile existente vor cauza rezultate imprevizibile si12% din timp calculatorul se va bloca. Daca intervine o eroare la scriere in timpul executiei virusului, fisierul va fi stricat iremediabil.
Comentarii:
Virusul foloseste o metoda simpla de encriptare bazata pe functia XOR, care in acest caz a fost inclus intr-o rutina care altereaza cheia de decriptare la fiecare cuvant. Numarul variantelor posibile de decriptare depaseste 2x1015. Totusi, detectarea prin scanare, pentru unele structuri constante, este posibila. Campul secundelor, din data de creare a fisierului este intotdeauna setat la valoarea 22. Virusul intercepteaza Int 24h (DOS Critical Error Handler) pentru a preveni ca mesajele de eroare false sa alerteze utilizatorul de prezenta virusului, apoi, incepe rutina de infectare.


 TPE.AEP

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Traceback.2930

Pseudonime:
Spanish
Traceback II
2930
Spanish Traceback
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2930 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Conditii de declansare a infectarii:
Efectele pot fi activate in functie de data. Virusul verifica daca data este 1988.
Comentarii:
Traceback.2930 poate fi predecesorul virusului Traceback.3066, desi ultimul a fost cel descoperit mai intai. Aparent, acestia opereaza identic, insa produc diferente in dimensiunea fiserelor infectate.


 Trivial.102

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
102 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.23

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
23 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.36.bcd

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
36 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.75

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
75 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Australian.Twelve.279

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
279 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Avatar.BigBang

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
346 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Backfont.896

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
896 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Badboy.MadSatan

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bamestra

Spatiul ocupat pe disc:
530 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 24
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
24
Efecte distructive:
Nu cauzeaza distrugeri
Comentarii:
Virusul cauta fisiere EXE in directorul curent. Verifica daca a fost infectat de Bamestra. Daca "da" continua sa caute mai departe fisiere EXE neinfectate. El va infecta toate fisierele EXE (doua deodata) din directorul curent. Intercepteaza intreruperea INT24h cind infecteaza fisiere pentru a se feri de protectia la scriere.


 Bat.Naive.4894

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4894 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Bupt

Pseudonime:
Bupt9146
BuptBoot
WelcomB
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
In ceea ce priveste utilizatorul Bupt este un alt virus de boot. Calculatorul este infectat cind este boot-ata o dicheta infectata si deasemenea o discheta "curata" folosita este infectata.


 Burma.409

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
409 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Caos.716

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
716 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CCBB.2221

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2221 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 Chameleon.1840

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1840 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 638
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CYBER101

Spatiul ocupat pe disc:
946 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
24


 CyberTech.444

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
444 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Dame

Mesaje afisate de virus:
Intre orele 12:00 A.M. si 12:30 A.M. va afisa mesajul: "Don't worry, you are not alone at this hour….This Virus is MUT dedicated to Sara. It's ".dedicated to her Groove (…That's my name).. This Virus is only a test therefor…be ready for my Next Test…
ntreruperi interceptate:
21
24
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul verifica daca este rezident in memorie. Daca "Nu" va deveni rezident interceptind INT 21h, dupa care se executa fisiereul original. Va infecta orice fisier "curat" care es executa. Inainte de a infecta virusul foloseste o metoda de autocodare dependenta de timp, astfel se va gasi in forme diferite in fiecare fisier.


 Darth.344

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
344 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Datalock.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Deathrider.729

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
729 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 EARLE. 1244

Pseudonime:
Ahasverus 1.04
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
1244 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 15 cu rotunjire la paragraf.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Mesaje neafisate dar continute de corpul virusului:
"EXE", "chklist.ms", "chklist.cps", "KRNL", "Ahasverus 1.04 by Windom Earle ROMANIA"
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21 / 4B
21 / 3D
21 / 3B
21/4B (virusare la executie) 21/3D (virusare la deschidere) 21/3B (stergerea CHKLIST.CPS si CHKLIST.MS la fiecare schimbare de subdirector); 21/4B (virusare la executie) 21/3D (virusare la deschidere) 21/3B (stergerea CHKLIST.CPS si CHKLIST.MS la fiecare schimbare de subdirector)
Efecte colaterale:
Distruge ultimul MCB din memoria de baza, cel care face legatura cu UMB-urile. Reduce memoria de baza cu 4K.
Modul de autodetectare a virusului in memorie:
Memoria este considerata virusta daca la executia in21h cu AX=B0A se obtine AX=0CACAh.
Comentarii:
Se decripteaza cu XOR (la mijlocul virusului, se gaseste un decriptor fix)


 Eddie.1813

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1813 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Shyster

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1802 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eliza.1194

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1194 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 EndOf.783

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
783 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Espacio.8458

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
8458 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Friday13.417

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
417 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fumble.801

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
801 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Geliyor.1356

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ghostball.2351

Pseudonime:
Ghost
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2351 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
"GhostBalls, Product of Iceland"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza boot-ul.


 Gippo.901

Pseudonime:
Gippo.Hysteria
Gippo.Jumping_Jack
Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
901 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Fit of hysteria offered by G.I.P.Po" ; Mesajul continut de virus si afisat este criptat.
Data fiind existenta unui bug, nu va fi probabil afisat niciodata.; Data fiind existenta unui bug, nu va fi probabil afisat niciodata.
Mesaje neafisate dar continute de corpul virusului:
"JumpingJackúPR"

"\"

"*.e?e"

"smartc*.cps" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In circulatie. Regiunea geografica: Israel ; la data: 3/14/94
ntreruperi interceptate:
8
A se vedea si:
Gippo.Earthquake
Gippo.EpidemicWare
Efecte nedistructive:
Ca si virusul Gippo.Earthquake alias Gippo.1000, intercepteaza Int 8 pentru efecte de "tremurare" a ecranului.
Conditii de declansare a efectelor nedistructive:
Daca este vorba de prima luna de dupa executia fisierului infectat initial.
Efecte distructive:
Ca si Gippo.Earthquake alias Gippo.1000.
Conditii de declansare a efectelor distructive:
Ca si Gippo.Earthquake alias Gippo.1000.
Conditii de declansare a infectarii:
La executia unui fisier infectat.
Modul de autodetectare a virusului pe disc:
FileTime = 04:08
Comentarii:
Foarte asemanator cu Gippo.Earthquake, dar fara a fi encriptat. In plus, autorul incearca acum sa depaseasca scanner-ele euristice (*.exe -> *.e?e, smartchk.cps -> smartc*.cps).


 GoldBug

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
1024 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Crawen.8306

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8306 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Unvisible

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.4372

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4372 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Messanger

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
12288 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.3779

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3779 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Animus.a

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7360 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.662

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
662 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 2
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Fumanchu.2076

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2076 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Plastique.3004

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3004 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Subliminal

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1487 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 9 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jesus.1258

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1258 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 July13.b

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1199 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Late.248

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
248 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lehigh

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
555 o.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.


 Leprosy.350

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
350 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.736

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
736 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Lubec.731

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
731 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Sector.827

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
827 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Matura.1626

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1626 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mel.1536

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Mephisto.3.914

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
914 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MG

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Milan.Naziskin.270

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
270 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Mini.115

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
115 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.944

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
944 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VCM.493

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
493 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Velvet

o.
Spatiul ocupat pe disc:
1400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 255
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"vzpomen.si"

"17. listopadu 1989 byl patek !!!"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
Tehnici de protejare:
- Foloseste un stil de codificare special pentru a incurca majoritatea dezasambloarelor.
- Dezactiveaza INT1 si INT 3.
Raspandirea virusului:
In circulatie.
Efecte nedistructive:
Creeaza, in directorul root, fisierul 'vzpomen.si'.
Conditii de declansare a efectelor nedistructive:
Toate fisierele .COM, din path si din directorul curent, sunt infectate.
Efecte colaterale:
Data sistem este setata la 17.11.1989 atunci cand fisierul infectat este executat, toate fisierele infectate au aceasta data. Este posibila si o incetinire a executarii fiserelor infectate.
Conditii de declansare a infectarii:
(LengthCOM>=2300) and (LengthCOM=<61000)
Modul de autodetectare a virusului pe disc:
if (File[1]+File[8]==0FFFEh)
Comentarii:
Inceputul original al programului este stocat intr-o forma encriptata. Virusul adauga, la sfarsitul fisierului, pana la 255 de bytes aleatori.


 VICE.02.FireCide

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2466 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vienna.1059

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1059 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.462

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
462 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Void.2304

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2304 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele IO.SYS.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 VVM

Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
768 o.
Spatiul ocupat pe disc:
205 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13 / 02
Modul de penetrare a virusului:
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste Int 2Fh/AH=13h.
Cum sunt infectate obiectele pe o masina (sau LAN)
Este un infector super-rapid.
Cum sunt infectate obiectele neconectate:
Este un infector super-rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"(C)VVM"
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se instaleaza in header-ul fisierului .EXE
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Russia ; la data: 12/17/93
Conditii de declansare a infectarii:
Int13Read, Int13Write
Buffer[0..1] = "MZ",
Buffer[2..3] < 007Fh (ie: fisiere EXE avand lungimea < 65024 bytes),
Buffer[133h..255h] = all zeros (ie: probabil un tabel de relocare "empty")
Modul de autodetectare a virusului pe disc:
Prin comparatii
Comentarii:
Implementeaza nivelul de ascundere in fisier printr-o secventa de 205bytes, operand la nivelul sectorului. Accesul la nivel sector este monitorizat; atunci cand un buffer I/O "MZ" este observat, se presupune ca a fost observat un fisier .EXE. Virusul verifica apoi ca acest sector reprezinta un .EXE avand o dimensiune de incarcare (load) mai mica decat 65024bytes si avand 205bytes de zerouri la sfarsitul sectorului. In mod uzual, aceasta ar reprezenta un spatiu nefolosit in tabelul de relocare -- desi nu se face nici o verificare a faptului ca aceasta zona este in cadrul imaginii "load". Apoi, fisierul este convertit in :COM, avand lasati 205bytes din codul viral, peste precedenta zona blank de la sfarsˇitul sectorului, iar primii 3bytes sunt impachetati intr-un JMP. La accesarea succesiva a acestui sector infectat, virusul se autorecunoaste comparand corpul sau cu sfarsitul sectorului si apoi se ascunde/se afuriseaza suprascriind aceasta regiune cu zerouri. JMP-ul impachetat este ascuns din nou in numarul magic .EXE -- desi al treilea byte din fisier nu este restaurat. Aceasta ar putea avea ca rezultat ceva probleme pentru acele fisiere la care cunoasterea dimensiunii imaginii load originale este importanta pentru operatii corecte. In mod clar, acest virus se raspandeste rapid -- cu siguranta la executia programului, la copierea si la accesul fisierului (de exemplu, a-v scanner). Deoarece lucreaza sub nivelul fisierului, totusi se si poate raspandi alte ori (de exemplu, in timpul optimizarii discului!). Aceasta conduce la a califica infectivitatea ca avand o pondere de 6.5...


 Waria.479

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
479 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Wildy.354

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
354 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Witch.1140

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1140 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 WM.Bandung.C

Pseudonime:
MW:Bandung-C
WordMacro/Bandung.C
WM/Bandung.C
BANDUNG.C
Macro.Word.Bandung
Bandung.C
Originea geografica:
Bandung, Indonesia
Data nasterii; Decembrie 1996
Mesaje afisate de virus:
De fiecare data cind este pornit Microsoft Word este afisat un mesaj de eroare de sintaxa.
Comentarii:
Este un virus de Word. Are un numar de 6 macro-uri fiecare cu dimensiunea de 5428 Bytes. Diferenta fata de varianta originala este ca a fost inlocuit macro-ul "AutoExec" cu macro-ul "AutoOpen" al virusului Rapi. Atunci cind este apelat "ToolsCustomize" (datorita virusului) se va inlocui litera "a" cu "#@". Bandung.C foloseste "ToolsMacro" pentru a face mai dificila gasirea sa. Virusul nu se afla in stare libera.


 Yankee.Estonia.1716

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1716 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 cu rotunjire la paragraf. pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 YB.425

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
425 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zerobug.1536

Pseudonime:
Zero Eater
Zbug
1536
Palette
Virusul produce efecte vizuale.
Virusul produce blocaje ale PC-ului.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
1792 o.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Netherlands
Mesaje neafisate dar continute de corpul virusului:
ZE,COMSPEC=C: ; Mesajul continut de virus si neafisat nu este criptat.
C:\COMMAND.COM ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut
Aceasta crestere in dimensiune este evidenta doar daca Zerobug nu este rezident.
ntreruperi interceptate:
60
21
1C
Efecte distructive:
Daca COMMAND.COM-ul curent incarcat este infectat, virusul va intercepta INT 21h si, dupa 240 de reboot-ari, va furniza efectele vizuale. Acestea vor interveni la fiecare cinci boot-ari. Efectele vizuale consta in caracterul ff01 (ASCII 01) care va apare si va "manca" toate zerourile de pe ecran. Fiecare "0" va fi schimbat cu alte caractere. Caracterele de schimb sunt: 01h, 2Ah, 5Fh, 3Ch, 5Eh, 3Eh si 30h, in care caz, atributul este setat pe background (i.e. caracterul este invizibil). Aceasta rutina foloseste 10% din timpul CPU (sistemul incetineste corespunzator). Dupa 240 reboot-ari ale sistemului, apar primele pagube. Urmatoarele stricaciuni intervin la fiecare cinci boot-ari. Pana cand COMMAND.COM nu este infectat, virusul nu se raspandeste. Efectele virusului Zerobug nu sunt notificabile pana cand nu se produce a 240-a reboot-are a lui COMMAND.COM, facand dificila determinarea sursei infectiei. Programele mai lungi de 63728 bytes nu se executa corect dupa infectare.
Modul de autodetectare a virusului pe disc:
Un fisier COM este determinat ca infectat daca sirul 'ZE' este gasit la offset-ul 0103h (INT 60).
Comentarii:
Atunci cand se executa un COM infectat, virusul incearca sa infecteze copia lui COMMAND.COM indicata de variabila de mediu COMSPEC. Daca COMSPEC nu pointeaza nimic, Zerobug se va instala ca rezident, in memorie, folosind INT 21. Odata ajuns rezident, virusul intercepteaza intercept INT 21/11, 21/12, 21/57, 21/3E, 21/40, 21/3C. Toate fisierele COM care sunt accesate via apelurile de functii calls 21/3C, 21/3E si 21/40 (din DOS insusi sau din alte programe) vor fi infectate de catre
virus. Astfel, copierea unui fisier COM va duce la infectarea destinatiei. Orice fisier COM creat prin intermendiul calculatorului, linker-urului, DEBUG-ului sau EXE2BIN-ului va fi si el infectat. De retinut: Cei 1563 extra-bytes din fisierele infectate nu sunt vizibili daca se afiseaza directorul de pe hard disc. Virusul intercepteaza INT 21/4E, 21/4F, si 21/57. Daca unul din fisierele COM gasite prin aceste functii DOS a fost infectat de virus (valoarea secundelor din marca de timp este setata la 62), informatiile din DTA (Disk Transfer Area) vor fi schimbate pentru a arata actuala dimensiune a fisierului minus 1536 bytes. Comanda DIR si alte utilitare de fisiere (precum Norton sau PCTOOLS) vor fi pacalite de acest truc. Astfel, detectarea a virusului, prin simpla verificare a dimensiunii fisierelor COM, va fi dificila, deoarece acestea isi vor afisa dimensiunea lor originala.


 Zol.316

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
316 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 10past3

Pseudonime:
Tea Time
Virusul modifica data si ora fisierelor infectate.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume adresa 9800h:000
Dimensiunea memoriei ocupate:
748 o.
Spatiul ocupat pe disc:
748 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Tehnici de protejare:
- Dezactiveaza INT1 si INT 3.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 1/6/93
ntreruperi interceptate:
21 / 4Bh
A se vedea si:
10_Past_3.789
Efecte nedistructive:
Reboot-eaza in timpul intreruperii INT 21h.
Conditii de declansare a infectarii:
Exec and (4<=LengthCOM<=64496)
Comentarii:
Raportat in Africa de Sud; se presupune ca a fost scris de cineva avand pseudonimul Marvin Giskard.


 7son.350

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
350 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Abraxas.1171

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1171 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Ada.2600

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 AIDS_II

Pseudonime:
Aids 2
Virusul produce efecte sonore.
8064 bytes reprezinta dimensiunea cu care cresc fisierele si care contin cod pur de virus. Fiecare fisier, pe care-l creeaza, are un nume care se potriveste cu cel al fisierului EXE existent. Fisierul EXE nu este alterat.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
8064 o.
8064 bytes reprezinta dimensiunea cu care cresc fisierele si care contin cod pur de virus. Fiecare fisier, pe care-l creeaza, are un nume care se potriveste cu cel al fisierului EXE existent. Fisierul EXE nu este alterat.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
8064 bytes reprezinta dimensiunea cu care cresc fisierele si care contin cod pur de virus. Fiecare fisier, pe care-l creeaza, are un nume care se potriveste cu cel al fisierului EXE existent. Fisierul EXE nu este alterat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
8064 bytes reprezinta dimensiunea cu care cresc fisierele si care contin cod pur de virus. Fiecare fisier, pe care-l creeaza, are un nume care se potriveste cu cel al fisierului EXE existent. Fisierul EXE nu este alterat.
Originea geografica:
Netherlands
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Your computer is infected with... Aids Virus II. - Signed WOP & PGT of DutchCrack -
Getting used to me? Next time, use a condom...
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
Comentarii:
Mod de replicare: Virusul apare ca infectand fisierele la incarcare si la executie; muta pointerul de fisiere, citeste fisierele, scrie in fisiere si le inchide. Indepartarea virusului: Stergerea fisierelor COM create de catre virus. Ele poarta data si momentul cand s-a produs infectia. De notat ca acest virus nu infecteaza fisierele, ci creeaza un fisier COM de 8064bytes, avand acelasi nume ca si cel al unui fisier EXE existent. Atunci cand utilizatorul introduce numele fisierului EXE, se va executa fisierul COM in loc, va fi difuzata o melodie, iar fisierul COM va afisa mesajul: " Your computer is infected with... Aids Virus II. - Signed WOP & PGT of DutchCrack -". Apoi, fisierul COM executa fisierul EXE normal, neinfectat, dupa care controlul este returnat fisierului COM. In acest moment, este difuzata din nou o melodie si este afisat mesajul: "Getting used to me? Next time, use a condom..." Acest virus este semnificativ prin aceea ca el "infecteaza" un fisier fara sa-l atinga de loc, scapand astfel de detectarea prin metoda examinarii CRC-ului programelor.


 Alex&Solo.512

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.664

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
664 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Arcv.Alpha.743

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
743 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.More.649

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
649 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arusiek.817

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
817 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Asp.472

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
472 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Atas.3215

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3215 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Attention.629

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
629 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.150

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
150 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.369b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
369 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.AIH.591

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
591 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Beda.1301

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1301 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beer.645

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
645 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 BetaBoys.459

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
459 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bishop.4517

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4517 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.235

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
235 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Blackjec.358

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
358 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Bljec

Pseudonime:
Blak Jec
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Comentarii:
Cind fisierul infectat este executat, virusul infecteaza 3 fisiere COM din acel director. Fisierele infectate vor creste in marime cu 231-440 bytes (marimea virusului), acestia localizinduse la inceputul fisierului. Virusul nu poate pastra data si ora originala a fisierului infectat.


 BOGUS

Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
ntreruperi interceptate:
21
24
13
Efecte distructive:
Cind numarul de fisiere infectate este mai mare de 2710 atunci sint distruse toate datele de pe hard disc
Comentarii:
Virusul micsoreaza memoria sistemului cu 4K Bytes cind se face boot-area de pe o discheta infectata. Virusul devine rezident in memorie inregistrindu-se in ultimii 4K Byites ai acesteia. Interceptind INT13h va infecta orice program care se executa. Cind infecteaza fisiere intercepteaza INT24h pentru a evita protectia la scriere. Daca calculatorul este boot-at de pe o discheta utilizatorul nu va putea "vedea" drive-ele hard-ului.


 BootEXE.331

Spatiul ocupat pe disc:
331 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Breeder.5152

Pseudonime:
Breeder
Breeder BOOT/COM Child
Breedson
Shield
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
5152 o.
Spatiul ocupat pe disc:
5152 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Norway
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
I greet you user.

I am COM-CHILD, son of The Breeder Virus.

Look out for the RENAME-PROBLEM. ; Mesajul continut de virus si afisat este criptat.
I greet you user.

I am BOOT-CHILD, son of The Breeder Virus.

Born 20/3/1992. ; Mesajul continut de virus si afisat este criptat.
THE

BREEDER

VIRUS ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
1A / 04
21 / 2C
Comentarii:
Simptomele infectarii constau in sporirea considerabila a numarului de fisiere ascunse. Sistemele care folosesc anumite versiuni de DOS se pot bloca la boot. Virusul Breeder este un virus companion. Ca si alti virusi din aceasta categorie, el creeaza un fisier COM care "acompaniaza" fisierul original EXE. Toti virusii companioni lucreaza pe urmatoarea baza: un program este lansat prin tastarea numelui fisierului corespunzator, lasand DOS-ului sa decida asupra extensiei, deci dacşa este vorba despre un fisier COM, EXE sau BAT. (DOS cauta fisierele executabile in aceasta ordine.) Creand un fisier COM avand acelasi nume cu fisierul EXE, virusul ajunge sa fie lansat atunci cand utilizatorul introduce numele programului in linia de comanda. Toate fisierele COM create de Breeder au atributul "hidden" setat. In plus, virusul, atunci cand este rezident, ascunde aceste fisiere, facandu-le "invizibile". Daca un sistem infectat este boot-at de pe o discheta DOS curata, fisierele ascunse reapar ca "normal". Merita de notat faptul ca Breeder nu ascunde fisierele pe care nu le-a creat el. Toate fisierele COM, exceptand cele proprii lui Breeder, sunt modificate prin faptul ca virusul adauga 72 bytes de cod la sfarsitul fisierelor atunci cand sunt executate. Codul adaugat verifica data PC-ului (folosind INT 1A/04) ora (utilizand INT 21/2C) pentru ianuarie, 0 secunde si sutimi de secunda <= 60. Daca toate cele trei teste sunt adevarate, este afisat urmatorul mesaj: I greet you user.
I am COM-CHILD, son of The Breeder Virus.
Look out for the RENAME-PROBLEM. Este indicat sa gandim ca cel care a creeat Breeder poseda un sistem DOS "adevarat". De asemenea, virusul va adauga o rutina de 72 bytes la IBMBIO.COM si la IBMDOS.COM, facand ca acele masini care utilizeaza PC-DOS (sau unele variante de MS-DOS) sa se blocheze in timpul boot-ului. Daca virusul ajunge rezident pentru prima data, el va inlocui sectorul de boot al hard discului cu propriul sau sector. Originalul este mutat in ultimul sector din cilindrul 0, cap 0. Sectorul de boot al virusului face o verificare pentru data si ora, ca si cea realizata de COM-Child. Daca criteriile sunt indeplinite complet, va apare mesajul: I greet you user.
I am BOOT-CHILD, son of The Breeder Virus. Born 20/3/1992. Data (dd/mm/yyyy) se refera atentie... la data infectarii. Breeder se activeaza el insusi in fiecare luna Martie din fiecare an. In functie de timpul sistem, este activat unul dintre cele doua "payload"-uri. Daca secunda este 0, iar sutimile de secunda <61, atunci virusul va afisa un mesaj in grafica VGA:
THE
BREEDER
VIRUS Imaginea grafica apare colorata in nuante de bleu, cu luminozitate modificabila. Pe langa schimbarile de mesaj, PC-ul este solicitat la un reset hard. Al doilea "payload" se activeaza daca secunda este 30, iar sutimile de secunda 10. Virusul va traversa intreaga structura director redenumind, in mod unic, toate fisierele cu un numar serial de digiti. Astfel, primul fisier intalnit este redenumit 00000000.000, al doilea 00000000.001 etc. Este ceea ce in COM-CHILD este referit ca "rename problem". Virusul creeaza un fisier text ASCII, in directorul root al drive-ului C: , numit "RENCODES.BRE". Acest fisier contine un tabel de translatare in format fix care pastreaza numele original si numele codificat, facand astfel ca scrierea unui program, care sa faca exact reversul, sa fie fara probleme. Toate textele din diferitele parti ale virusului sunt criptate prin adaugarea unui simbol a (40h) la fiecare caracter. Codul insusi este si el criptat, dar nu si pentru BOOT-CHILD. Impresia generala este aceea ca Breeder nu este un "produs" finit. In plus, exista o versiune precedenta, identificata ca Breeder.4206 - o varianta care creaza fisiere companion avand lungimea de 4206 bytes. In aceasta din urma varianta, exista cateva lipsuri: "COM-CHILD", "BOOT-CHILD" si "RENAME-PROBLEM" nu sunt incluse.


 CheckSum.1569

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1569 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Christmas.600

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.213

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
213 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Insane.197

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
197 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Clock.A

Pseudonime:
MW:Clock-A
WM/Clock.A
Winword.Clock.A
WordMacro/Clock.A
Clock
WORD_CLOCK
Originea geografica:
Germania
A aparut in Iulie 1996.
Mesaje afisate de virus:
Daca anul curent este mai mare de 1996, ziua curenta mai mare de 25 si secunda mai marede 39, virusul va afisa o fereastra cu un ceas digital care arata timpul curent.
Comentarii:
Este un virus de Word care are 11 macro-uri: Action, AutoExec, AutoOpen, Datei+ffnen, ExtrasMakro, DateiSchliexen, DateiSpeichern, DatumUndUhrzeit, DateiDokVorlagen, DateiAllesSpeichern, DateiSpeichernUnter. Sistemul este infectat cind un document care contine virusul este deschis (AutoOpen), iar fisierele sint infectate cind sint deschise sau salvate. Este criptat si se ascunde.


 Collor.878

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
878 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Companion.88

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
88 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 Cookie.653

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
653 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Crash.600

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Crucifixion.a

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2914 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Deicide.358

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
358 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Demon.348

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
348 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Diamond.1024

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.620

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
620 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DieHard2

Pseudonime:
DH2
SW
Die_Hard
Die_Hard.4000
Virusul produce efecte vizuale.
Virusul nu se auto-instaleaza in memorie daca DESQView sau Windows sunt active. Daca nu exist o copie a virusului rezidenta in memorie si nici DESQView sau Windows nu se executa, DieHard2 trece la auto-instalarea sa. El foloseste tehnici de manipulare MCB standard.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Virusul nu se auto-instaleaza in memorie daca DESQView sau Windows sunt active. Daca nu exist o copie a virusului rezidenta in memorie si nici DESQView sau Windows nu se executa, DieHard2 trece la auto-instalarea sa. El foloseste tehnici de manipulare MCB standard.
Spatiul ocupat pe disc:
4000 o.
Virusul nu se auto-instaleaza in memorie daca DESQView sau Windows sunt active. Daca nu exist o copie a virusului rezidenta in memorie si nici DESQView sau Windows nu se executa, DieHard2 trece la auto-instalarea sa. El foloseste tehnici de manipulare MCB standard.
Tehnici de ascundere:
Sunt folosite.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Virusul nu se auto-instaleaza in memorie daca DESQView sau Windows sunt active. Daca nu exist o copie a virusului rezidenta in memorie si nici DESQView sau Windows nu se executa, DieHard2 trece la auto-instalarea sa. El foloseste tehnici de manipulare MCB standard.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
SW ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
ntreruperi interceptate:
21
10
08
13
24
40
Int 21h (in mod permanent) pentru infectare, Int 10h pentru rutina trigger, Int 08h in timpul trasarii intreruperii, iar Int 13h, Int 24h si Int 40h in timpul infectarii.
Conditii de declansare a infectarii:
Virusul are cateva rutine de trigger. In fiecare Marti, daca este si a 3-a, a 11-a, a 15-a sau a 28-a zi din luna, virusul poate, la apelul functiei DOS Write, sa scrie urmatorul mesaj pe ecranul Standard Error si dispozitivele AUX (de obicei, COM1): SW Error A doua rutina trigger scrie siruri in fisierele sursa PAS si ASM. Aceste siruri reprezinta cod pentru programe care au efecte identice: programele compilate afiseaza doi bytes pe ecran, in caractere Chinezesti; D1h si A5h. In mod accidental, acesti bytes sunt aceeasi precum ID-ul cuvant al virusului - A5D1h. De asemenea, virusul isi foloseste algoritmul de ascundere cu fisierele corupte ASM si PAS. In conditii de sistem infectat, acest cod sursa nu este vizibil in fisierele ASM si PAS. Ultima rutina trigger este realizata prin intermediul handler-ului Int 21h. Virusul verifica contorul sau de generare si, daca este egal sau mai mare de 15, si daca modul video curent este 13h (grafic), atunci virusul afiseaza 'SW' in simboluri mari, de culoare violet. De asemenea, DieHard2 contine textul intern 'SW DIE HARD 2': acesta da numele virusului.
Modul de autodetectare a virusului in memorie:
Datele handler-ului Int 21h sunt verificate cu cuvantul ID, care este variabil in functie de mediu.
Modul de autodetectare a virusului pe disc:
Cuvantul aflat la offset-ul 60h fata de puntul de intrare este comparat cu ID-ul cuvantului A4D1h.
Comentarii:
Este un virus mare, encriptat, parazit, avand capabilitati stealth si folosind tehnici care tintesc debugger-ele. Aceasta indica faptul ca analiza va fi dificila si de durata. Rutina de decriptare nu este polimorfica, nici ascunsa in vreun fel. Primeste controlul direct de la fisierele COM - in fisierele EXE, punctul de intrare este adresa acestei rutine. Codul rutinei de decriptare este cat se poate de specific si poate fi utilizat ca pattern de scanare pentru a depista fisierele infectate. Virusul foloseste o modalitate mai eficienta pentru a opri depanarea; redirectand pointerul stivei catre bottom-ul rutinei de infectare. Ca rezultat, sub debugger, rutina de decriptare este distrusa de catre stiva. Ea ar fi distrusa de orice intrerupere hardware realizata in timpul infectarii, insa virusul le va dezactiva printr-o instructiune CLI, salvandu-si cod. Incercarile de a pacali virusul trecand peste instructiunea care redirecteaza stiva are ca rezultat faptul ca virusul nu lucreaza dupa infectare. Stiva trebuie sa fie acolo unde este virusul. Este momentul de a sublinia stilul de programare al virusului DieHard2. Referitor la acest algoritm, totul este simplu, insa codul assembler-ului este de-a dreptul 'crazy' si greu de inteles. Exista secvente de apeluri la rutine care nu returneaza in punctul de apel, un numar de switch-uri, zeci de buffer-e de date si o gramada de flag-uri. Metoda prin care sunt interceptate intreruperile este anormala: virusul nu stocheaza noua adresa a intreruperii in IVT, insa se auto-'insereaza ' in lantul programelor care intercepteaza intreruperi. Virusul cauta comenzile de transfer a fluxului intreruperilor de la un program la altul, suprascriind acea adresa cu cea proprie. Eliminare: In conditii de sistem curat, se identifica si se inlocuiesc fisierele infectate.


 DirII.TheHndv

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Spatiul ocupat pe disc:
2048 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 DM.330

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
330 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Dowcipas.2303

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2303 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DSU.1414

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1414 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dutch_Tiny.Kennedy

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
333 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 ExeHeader.222

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
222 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Ming.359

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
359 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Experiment.416

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
416 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Faggot.1009

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1009 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FatherMac.USA.797

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
797 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Fdate1111.570

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
570 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 FileHider.1057

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1057 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fission.517

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
517 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Fistik.1280

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1280 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Fly.1796

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1796 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Gotyou.5052

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5052 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Grog.202

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
202 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.647

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
647 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Grunt.344

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
344 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GV.2856

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2856 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Hafen.809

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
809 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Helloween.1063

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1063 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 HH&HH.4091

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4091 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hiperion.154

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
154 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Ukazna

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
17414 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Horror.1112

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1112 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Hungarian.482

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Infecteaza doar fiserele a caror dimensiune deinfectata este cuprinsa intre 254 si 64000bytes.
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Infecteaza doar fiserele a caror dimensiune deinfectata este cuprinsa intre 254 si 64000bytes.
Dimensiunea memoriei ocupate:
2 ko.
Infecteaza doar fiserele a caror dimensiune deinfectata este cuprinsa intre 254 si 64000bytes.
Spatiul ocupat pe disc:
482 o.
Infecteaza doar fiserele a caror dimensiune deinfectata este cuprinsa intre 254 si 64000bytes.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Infecteaza doar fiserele a caror dimensiune deinfectata este cuprinsa intre 254 si 64000bytes.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
Hungary
Infecteaza doar fiserele a caror dimensiune deinfectata este cuprinsa intre 254 si 64000bytes.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Format .. ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza (din greseala) overlay-urile (.OVR).
Poate infecta fisiere EXE si OV*, care se afla la adancime de cateva directoare, datorita metodei sale de verificare a tipului de fisiere.
Raspandirea virusului:
Rapoarte nesemnificative.
Efecte distructive:
Pagubele sunt substantiale. Daca data sistemului este 7 Noiembrie (ziua MRSO), virusul afiseaza pe ecran, cu litere albe, Format, apoi formateaza drive-ul C:
Comentarii:
Cand un fisier infectat este executat, el foloseste memoria dosponibila pentru a decide daca este sau nu rezident. Daca memoria de baza este 256,512 sau 640K, el devine rezident, descrescand memoria de baza cu 2K, marcand astfel memoria pentru a nu deveni rezident a doua oara. Virusul nu devine rezident daca memoria de baza ia orice valoare intre 256,512 si 640K. Deoarece memoria luata nu este alocata, virusul rezident poate fi suprascris de un program care se executa ulterior. Identificatori asignati de diverse scanner-e: Cheyenne: Hung-482
ESaSS: Hungarian.482
Frisk: Hungarian.482
H+BEDV: Hungarian #1
McAfee: ZU1 [ZU1]
NORMAN: Hungarian 482
S&S: Hungarian-482 Eicar ID: 4c8fc24f
Virusi corelati: Hungarian #1, Hungarian-482 (B), Hungarian-482 (A), ZU. Replicare: Muta pointerul de fisiere. Scrie in fisiere. Obtine si seteaza atributele. Obtine data fisierului. Simptome: Scrie caracterele in mod TTY, efectele pot fi activate in functie de date. De retinut: Acces suspicios la fisiere. Programul intercepteaza incarcarea software-ului. Intercepteaza incarcarea programului pentru a infecta software-ul. Acces la disc in scriere. Cod rezident in memorie. Programul poate sta rezident in memorie. Revine in punctul de intrare. Contine cod pentru a restarta programul dupa ce modificarile de la punctul de intrare au fost efectuate. Deci, caracteritici uzuale virusilor.


 Icelandic.1(656)

Pseudonime:
Icelandic
Disk Crunching
Disk-eating
656
Virusul produce blocaje ale PC-ului.
Una din variante adauga 656 bytes, o alta creste cu 671 bytes. Lungimea fisierelor infectate este divizibila prin 16
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
642 o.
Una din variante adauga 656 bytes, o alta creste cu 671 bytes. Lungimea fisierelor infectate este divizibila prin 16
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Iceland
Una din variante adauga 656 bytes, o alta creste cu 671 bytes. Lungimea fisierelor infectate este divizibila prin 16
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In circulatie.
ntreruperi interceptate:
13
Efecte distructive:
De fiecare data cand un EXE este infectat, unul din clusterele de pe hard disc este marcat prost.
Comentarii:
Derivate ale virusului: Icelandic.1.(642), Icelandic.2.(656), Icelandic.2,
Icelandic.3.(632), Icelandic.3, Icelandic.Saratoga,
Icelandic.December_24, Icelandic.MIX.1, Icelandic.MIX.1B.
Note: Virusul Icelandic a fost detectat in Iunie 1989, dezasamblat o saptamana mai tarziu, iar dezasamblarea a fost dispobibila pe la mijlocul lui Iulie. Virusul Icelandic de baza este un infector de fisiere EXE rezident, care infecteaza oricare ar fi al doilea fisier EXE executat, iar daca capacitatea disponibila a hard discului depaseste 10MB, va marca uneori un cluster free de pe hard disc ca fiind prost (rutina-damage). Virusul Icelandic se va copia in topul memoriei libere, atunci cand se executa prima data un fisier infectat. Odata ajuns in memoria high, el se ascunde de programele de mapare a memoriei, manevrand Memory Control Blocks (MBC). Daca mai tarziu, un program incearca sa scrie in aceasta zona de memorie, calculatorul se va bloca. Daca virusul gaseste ca un alt program a interceptat INT 13, nu va continua cu infectarea programelor. Daca INT 13 nu a fost interceptat, va incerca sa infecteze fiecare al zecilea EXE executat. Virusul se ataseaza la sfarsitul programelor infectate, iar fisierele infectate se vor termina intotdeauna cu 4418,5F19H. Pe sistemele cu FAT-uri pe 12 biti (drive-uri floppy sau hard discuri de 12MB), virusul nu va provoca nici un fel de pagube. Totusi, pe sistemele cu FAT-uri pe 16 biti (hard discuri mai mari de 10MB), virusul va selecta doar o intrare FAT nefolosita si va marca intrarea ca fiind un cluster prost, de fiecare data cand infecteaza un program. Virusul poate elimina orice atribute read-only ar putea avea EXE-urile, dar nu va restaura atributele dupa ce si-a terminat pranzul. Se pare ca virusul nu a fost detectat in afara granitelor Iceland.


 Ill.1016

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1016 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Int83.1061

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1061 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Intruder.1317

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1317 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Invol.1401

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1401 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 Jabber.334

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
334 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Jerusalem.1237

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1237 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Kali.641

Virusul produce efecte vizuale.
Se cunosc doua variante, ambele detectabile prin aceeasi semnatura.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
641 o.
Se cunosc doua variante, ambele detectabile prin aceeasi semnatura.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Se cunosc doua variante, ambele detectabile prin aceeasi semnatura.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Mesaje neafisate dar continute de corpul virusului:
'KALI-4/Köhntark' ; Mesajul continut de virus si neafisat nu este criptat.
'*.COM *.EXE' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Keeper.Acid.694

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
694 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Kemerovo

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
257 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Keypress.1250

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1250 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.490

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
490 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.846

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
846 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kid.434

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
434 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ko.408.b

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
408 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Konkoor.1844

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1844 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kwok.1618

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1618 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului + 1499
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Li.1178

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1178 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 LittBrother.307

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
307 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loki.973

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
973 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.Pfeiffer.1203

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1203 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loz.1940

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1940 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lurid.733

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
733 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mabuhay.2695

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2695 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MadSatan.2060

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2068 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Malaga.2610

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2610 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
- Infecteaza fisierul COMMAND.COM.
ntreruperi interceptate:
8
21
24


 Manuel.957

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
957 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Hot.130

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
130 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 TS.1418

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1418 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Turn.571

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
571 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Uestc.888

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
888 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Urfin.317

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
317 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Uruguay.6396

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
6396 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.1308

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1308 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 V.2048

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 V.439.b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
439 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.699

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
699 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 ... 20
Mesaje neafisate dar continute de corpul virusului:
'7.11.V3b' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut


 Vienna.573

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
573 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.634

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
634 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.732

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
732 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.851

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
851 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Pivi.568

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Viking.1000.c

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VirDem.601

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
601 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Virogen.Offspring.711

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
711 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 ViRuZ.729.A

Spatiul ocupat pe disc:
729 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 39
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Sharing violation", "Packed file corrupt",

"Required system component not installed",

" ------* DeathRider Virus version 1.8 *----- ",

"(c) 1993 DeathRider - Pretoria - South Africa"
Mesaje neafisate dar continute de corpul virusului:
"ViRuZ"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: South Africa ; la data: 7/28/94
Efecte nedistructive:
Virusul se anunta inainte de actionarea rutinei care provoaca daune permanente.
Efecte distructive:
CMOS RAM este suprascris cu zerouri.
Conditii de declansare a efectelor distructive:
DayOfMonth = 8
Efecte colaterale:
Deoarece virusul suprascrie, programul original nu va mai functiona. Virusul produce, in locul programului original, un mesaj de eroare fals, astfel: "Sharing violation" daca SHARE este incarcat, sau altfel "Required system component not installed" in zilele a 1-a, a 10-a, a 13-a, a 15-a a 21-a si a 25-a dintr-o luna, iar pentru alte date calendaristice, produce mesajul "Packed file corrupt".
Conditii de declansare a infectarii:
Direct Action
Modul de autodetectare a virusului pe disc:
FileTime = 1AF3h (03h23)
Comentarii:
In particular, este un virus stupid. In plus fata de suprascrierea primilor 729bytes ai fisierului infectat, virusul mai adauga 39bytes, care includ sirul "ViRuZ", precum si un manunchi de bytes fara semnificatie.


 VLAD.MonAmi.1059

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1059 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip.


 WM.Dance.A

Pseudonime:
MW:Dance-A
WordMacro/Dance.A
WinWord.Boogie
WM/Dance.A
Originea geografica:
Kiev, Ucraina
A aparut in Decembrie 1996.
Mesaje afisate de virus:
Afiseaza o fereastra de dialog cu mesajul: "Boogie ev'ry day!".
Mesaje neafisate dar continute de corpul virusului:
"Gotcha ! :-P

***********************************************

* Boogie v4.0beta (c) DNazi [SGWW] Kiev 1996. *

* Dedicated to Mike Naumenko. *

*********************************************** "
Comentarii:
Este un virus de Word care are 4 macro-uri: vExit, vFSav, vMacro, AutoOpen . Documentele sint infectate cind sint deschise. Virusul dezactiveaza setarile care sint facute cind este salvat un document. Foloseste o tehnica slaba de ascundere.


 WM.Horn.A

Pseudonime:
MW:Horn-A
WordMacro/Horn.A
WM/Horn
Macro.Word.Horn
Horn.A
Comentarii:
Este un virus de Word care are 2 macro-uri AutoOpen si LittleHorn. Normal.Dot este infectat cind un fisier care contine virusul este deschis cu AutoOpen. Documentele sint infectate cind este apasata tasta "E". Nu este polimorf, nu se ascunde si in cele mai multe cazuri fisierele infectate pot fi reparate.


 WM.Lazy.A

Pseudonime:
WM:Lazy-A
WM/Lazy.A
Winword.Lazy.A
Macro.Word.Lazy
WordMacro/Lazy.A
Mesaje neafisate dar continute de corpul virusului:
Lazy!
Comentarii:
Este un virus de Word care are doua macro-uri AutoOpen si Lazy. Documentele sint infectate cind sint deschise. Este criptat. Nu este polimorf. In ziua de 13 si vinerea, seteaza parole pentru documentul curent si modifica setarile documentelor cind sint salvate. A aprut la 28 Februarie 1997.


 WM.Panjang.A

Pseudonime:
MW:Panjang-A
WordMacro/Panjang.A
WM/Panjang.A
Comentarii:
Este un virus de Word care are 5 macro-uri: AutoOpen, JJFO, JJTM, JJAE, JJFS . Documentele sint infectate de fiecare data cind sint deschise cu AutoOpen. Nu se ascunde. Insereaza in documentul activ textele: "Say goodbye to your data. " si "(c) 96 Bandung...". Modifica dimensiunea caracterelor. A aparut in August 1997.


 WM.TwoLines

Pseudonime:
MW:TwoLines-A
WM/TwoLines
WordMacro.TwoLines
TwoLines
Macro.Word.TwoLines.A
TWOLINES.A
Comentarii:
Este un virus de Word care are 5 macro-uri: MsRun, Autoexec, AutoClose, AutoOpen, FileSaveAs. Virusul infecteaza cind documentele sint deschise sau inchise. In functie de timpul sistemului se va executa macroul MsRun, care va insera in documentul curent doua linii goale. Este criptat. A aparut la data de 13 Februarie 1997.


 Word.1069

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1069 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Xam.797

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
797 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului + 24 pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 XPEH.5840

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5840 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 128 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 xxxxxx

Pseudonime:
erhetyj
fyjdt
tdi


 Yankee.2433

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2433 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 AM_II.1281

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1281 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mini.178

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
178 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.99

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
99 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirror.482

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
482 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MMIR.Extasy

Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi. adresa 0:240
Dimensiunea memoriei ocupate:
311 o.
Spatiul ocupat pe disc:
282
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"EXTASY! (c) Metal Militia / Immortal Riot" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului

; la data: 12/10/93
ntreruperi interceptate:
21 / 4B00
21 / 3E00
A se vedea si:
MMIR.Das_Boot
MMIR.Ravage
Efecte colaterale:
Fisierele COM prea lungi vor fi corupte, atunci cand sunt infectate. Cand virusul este rezident in memorie, folosirea lui INT90 pana la INTDD ar putea provoca craparea sistemului. Executia unui program de pe un floppy protejat la scriere ar putea provoca mesajul de eroare DOS "Write protect".
Conditii de declansare a infectarii:
Exec and COM and (LengthCOM >= 24)
Comentarii:
Virusul intercepteaza si INT"!/3E00 (DOS Close File Handle), dar nu-l foloseste; la "close", virusul lanseaza DUP (INT21/45), tratand apoi apelul ca si cand ar fi un Exec. Deci, un bug evident.


 Mnemonix.Oracle

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
997 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Moose.353

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
353 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MR.962

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
962 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Msk.272

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
272 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MtE.Fear

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2864 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Multi.2560.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 Murphy.1841

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1841 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.Migram.1219

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1219 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.110.HiTek

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2193 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MVF.1896

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1896 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Natas.4988

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4988 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 NewAids.1041

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1041 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Amz.600

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 NightFall.5765

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5765 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 NoFrills.813

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
813 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Not.586

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
586 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Nuke.DC00l.1811

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1811 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.1726

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1726 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nutcracker.AB5

Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Acesta este patternul hexa gasit in fisiere; pentru MBR, patternul hexa este 2BC0 509D 8ED8 8EC0 BB00 7C8E D08B E3BF 0007 8D75 1E56 8BF3 B93B 01F3 A4C3 99CD, iar pentru memorie, patternul hexa este urmatorul: 8BEC 4444 816E 00BD 088B 7600 2E81 BC4D 014D 5A74 0B44 4489 6506 8BE6 81C4 540C
Virusul infecteaza interceptand apelurile DOS la fisiere.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii:
Familia virusului:
Nutcracker
Acesta este patternul hexa gasit in fisiere; pentru MBR, patternul hexa este 2BC0 509D 8ED8 8EC0 BB00 7C8E D08B E3BF 0007 8D75 1E56 8BF3 B93B 01F3 A4C3 99CD, iar pentru memorie, patternul hexa este urmatorul: 8BEC 4444 816E 00BD 088B 7600 2E81 BC4D 014D 5A74 0B44 4489 6506 8BE6 81C4 540C
Mesaje afisate de virus:
Gloomy Nutcracker (AB5) from the city of Brest (BY) with best wiches! Only the hope dies last!...
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21
A se vedea si:
Nutcracker.AB7
Conditii de declansare a infectarii:
Se declanseaza pe data de 12 ianuarie.
Comentarii:
Nucracker.AB5 intercepteaza Int 21h la executie si se scrie la sfarsitul fisierelor COM si EXE la Execute, Open sau Rename. Atunci cand un fisier este creat, handle-ul lui este stocat si este infectat la inchidere. Virusul realizeaza rutine de ascundere (stealth) la apelurile FindFirst/Next, Seek si Read. Acest virus, ca si variantele AB3 si AB4, poate sterge fisierele *.?AS atunci cand sunt accesate, sau alte fisiere specifice atunci cand sunt deschise. AB5 sterge fisierele *.MS si are efect de "cal troian" asupra MBR-ului, pentru a contoriza numarul de boot-ari. La a 511-a boot-are, Trojan-ul reformateaza sectoarele de pe drive-ul hard, sterge CMOS-ul si afiseaza mesajul precizat.


 OldScribe.8588

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8588 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Orchid.311

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
311 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Oxan.710

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
710 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Parasite.1024

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Patsy.697

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
697 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Pcflu.763

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
763 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pepper.529

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
529 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Phone.688

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
688 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Pit.492

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
492 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.343

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
343 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ANDROMEDA.1536b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.899

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
899 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Self.550

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
550 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Poem.1825

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1825 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 31
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Poss.2175

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2367 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 18 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Predator.1148

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1148 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Problem.863

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
863 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Pux.1295

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1295 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Quox

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
1 sectoare.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13 / 02
13 / 03
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/0 pe un hard disc.

Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 3/13/93
ntreruperi interceptate:
13 / 02
13 / 03
Conditii de declansare a infectarii:
Int13Read, Int13Write Criterii de infectare: (Track.Head.Sector) = 0.0.1 AND (Drive in [0,1,128])
DiscMediaByte <> F6h
Modul de autodetectare a virusului in memorie:
Top[0..Ah] = FAh33hC0h8EhD0hBCh00h7ChFBhEBh2Ch
Modul de autodetectare a virusului pe disc:
(M,F)BR[0..Ah] = FAh33hC0h8EhD0hBCh00h7ChFBhEBh2Ch
Comentarii:
Quox nu infecteaza drive-ul hard in timpul executiei unui cod boostrap viral. In schimb, orice disc care este infectat, ajunge sa fie lovit dupa interceptarea unui INT 13 si accesarea zonei disc 0/0/0. Atunci cand un hard disc este lovit, virusul muta vechiul MBR la 0/0/X, unde X reprezinta bitii cei mai putin semnificativi din campul relativ la sector (MBR[1C6h..1C7h]), aflati in prima intrare a tabelei de partitii. Adesea, aceasta se intampla sa corespunda primei partitii fizice de pe disc, iar aceasta partitie fizica se intampla sa inceapa din zona 0/0/1. Intr-un astfel de caz, campurile relative la sectoare contin, deci, un numar egal cu numarul de sectoare per pista, astfel incat virusul lasa acolo vechiul MBR, relativ in siguranta, la sfarsitul pistei 0, cap 0. Daca presupunerea anterioara este falsa, s-ar putea, totusi, sa apara probleme.


 Rajaat.518

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
518 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rasek.1490

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1490 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 ReedCat.920

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
920 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 8 pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.279

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
279 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.CarpeDiem.1012

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1012 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.DDeath.958

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
958 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.Immortal.265

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
265 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Multi.813

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
813 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Tower.411

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
411 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 RMNS

Pseudonime:
RMNS MW
Virusul infecteaza interceptand apelurile DOS la fisiere.
Wildcard-ul este inlocuit prin D in sirul 'woman' si prin C in sirul 'man'.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Spatiul ocupat pe disc:
297 o.
Wildcard-ul este inlocuit prin D in sirul 'woman' si prin C in sirul 'man'.
Mesaje neafisate dar continute de corpul virusului:
R.M.N.S Test virus R.M.N.S. MW Man
R.M.N.S Test virus R.M.N.S. MW Woman
Numele de 'barbatesc' si 'femeiesc' deriva din descrierile text pastrate in cele doua parti ale virusului.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Daca fisierul are o lungime mai mare de 65024 (FE00h), el nu va fi infectat.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21
Modul de autodetectare a virusului in memorie:
'Are you there?' apeleaza cu Int 21h, AX=4BBCh, AX=4BBDh. Codul rezident in memorie returneaza BBB4h in registrul AX.
Modul de autodetectare a virusului pe disc:
Compara macajul pentru data si ora fisierului cu 00FF 00FFh (31.07.80. 12:07am).
Comentarii:
Evolutia programelor pe care le numim 'computer viruses' (virusi informatici) continua in mod neindurator. In prezent, exista cel putin doua astfel de programe care le-au depasit pe cele bazate pe o singura celula si au inceput sa se replice prin divizarea codului in doua componente diferite - fiind cunoscute ca virusi 'multicelulari' (a nu se confunda cu virusii multipartitie, numiti si virusi multi-infectori).
Primul virus 'multicelular' este Dichotomy, care are doua componente: 'odd' si 'even'. Atunci cand un fisier infectat cu componenta 'odd' este executat, virusul se uita dupa un fisier infectat cu codul 'even', instalandu-se in memorie doar daca aceasta parte este gasita.
Acum insa, virusii pot abandona existenta lor monosexuata: virusul RMNS poate fi un pas inainte, spre creaturi electronice mai complexe. Cuvantul 'virus' se pare ca nu va mai fi prea mult timp termenul cel mai bun pentru a descrie astfel de programe - RMNS nu seamana cu un virus biologic, el este mai mult o 'creatura electronica'. Acesta incepe o noua ramura a evolutiei electronice: epoca virusilor cu sex specific.
RMNS isi trage numele de la un sir text intern, plasat la sfarsitul sau. Ca si Dichotomy, codul virusului RMNS este divizat in doua parti ('barbatesc' si 'femeiesc'). Aici insa sfarsesc similaritatile. Cela doua parti ale RMNS-ului se instaleaza in memorie, in mod independent una de cealalta.
Infectia poate avea loc doar daca ambele sectiuni de cod sunt rezidente in memorie, in acelasi timp si pe acelasi calculator.
Cele doua parti ale virusului sunt foarte similare: ambele sunt plasate la sfarsitul fisierelor COM, ambele primesc controlul atunci cand se executa un fisier infectat, ambele lanseaza apeluri 'Are you there?' si ambele intercepteaza Int 21h si raman rezidente. De asemenea, au lungimi asemanatoare - codul barbatesc are 297 bytes lungime, iar cel femeiesc 353.
Diferentele dintre cele doua parti sunt putine, dar importante: partea barbateasca nu infecteaza fisierele, intercepteaza doar executia lor; partea femeiasca nu intercepteaza executia fisierelor, insa le infecteaza la cererea codului barbatesc.
Cand un fisier infectat este executat, acea parte cu care este infectat primeste controlul printr-o instructiune JMP. Apoi, virusul restaureaza trei bytes de la inceputul programului gazda, care au fost suprascrise in timpul infectarii.
Apoi, virusul decide daca sa devina sau nu rezident: el este compus din doua parti, fiecare dintre ele va deveni rezidenta in memorie daca nu este deja.
Infectare --> La un apel Load-and-Execute, partea barbateasca deschide fisierul corespunzator, citeste trei bytes de la inceput si-i compara cu caracterul 'M' pentru a preveni infectarea fisierelor EXE. Apoi, virusul verifica daca data si ora fisierului corespund valorii 00FF00FFh (31.07.80; 12:07am). Acesta este ID-ul virusului si, daca va fi gasit, fisierul nu va fi infectat. Daca fisierul nu este un EXE si nici nu este infectat, virusul apeleaza partea femeiasca cu un apel 'Infect it' (Int 21h, AC=4BB4h). Partea barbateasca isi trece lungimea in registrul CX (CS=0129h), adresa segmentului sau de cod in registrul DS, iar handle-ul de fisier in registrul BX.
Dupa receptionarea unui apel 'Infect it', sectiunea femeiasca a virusului verifica lungimea fisierului. Apoi, rutina de infectare va selecta cu care parte din virus va infecta fisierul, folosind timer-ul sistem. 50% din timp va scrie codul barbatesc (folosind lungimea si adresa de segment receptionate in registrele CX si DS), iar 50% din timp va scrie codul femeisc (prin suprascrierea valorilor din CX si DS cu cele corespunzatoare acestui cod). In continuare, rutina de infectare suprascrie capul fisierului printr-o instructiune JMP, seteaza marcajul pentru data si ora fisierului pe 31.07.80; 12:07am si returneaza controlul partii barbatesti a codului. Astfel, fisierul este infectat fie cu partea barbatesca, fie cu cea femeiasca, dar nu cu ambele in acelasˇi timp.
Virusul nu realizeaza rutine de virus standard, precum interceptarea lui Int 24h in timpul infectarii pentru a preveni mesajele de eroare DOS, ori de cate ori se incearca scrierea pe un disc protejat la scriere. El nici nu salveaza, nici nu sterge, nici nu restaureaza atributele fisierului si suprascrie ora fisierului prin valoarea ID-ului sau. Totusi, multele defecte minore ale acestui virus nu pot deprecia importanta istorica a acestor creaturi electronice.
Eliminare --> In conditiile unui sistem curat, se identifica si se inlocuiesc fisierele infectate.


 Rubbit.2060

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2060 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sadist.1209

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1209 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SatBug.FruitFly

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2768 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Scoundrel.3323

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3323 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Search.323

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
323 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Seat.1614

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1614 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Shadow.1200

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Shifter.760

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
760 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului + 7
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .OBJ.


 Sidewinder

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 SillyC.122

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
122 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.190

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
190 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'*.COM'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 SillyC.343

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
343 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyE.1147

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1147 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SillyORCE.200

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
200 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Antiscan.508

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
508 o.


 SillyRC.330

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
330 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Silver.1644

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1644 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.640

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Mem.1217

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1217 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Skater.977

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
977 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Slovakia.2041

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2041 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Small.119

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
119 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.145.b

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
145 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smeg.Pathogen

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3319 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 SofiaTerminator.1369

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1369 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Spanska.4250

Spatiul ocupat pe disc:
4250 o.
Originea geografica:
Spania
Mesaje afisate de virus:
Virusul activeaza un mesj cind minutul este 30 iar secunda mai mica sau egala cu 16. Acest mesaj este derulat pe ecran la fel ca in inceputul filmului "Razboiul Stelelor". Mesajul este : " ELVIRA ! Black and White Gril from Paris You make me feel alive. ELVIRA ! Pars.Reviens.Respire. Puis repars. J'aime ton mouvement. ELVIRA ! Bruja con ojos verdes Eres un grito de vida, un canto de libertad. "
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Comentarii:
Lungimea fisierului infectat nu este afectata in mod vizibil de prezenta virusului. Acesta nu infecteaza fisiere care incep cu urmatoarele doua litere: TB, VI, AV, NA, VS, FI, F-, FV, IV, DR, SC, GU, CO. Virusul foloseste tehnici de ascundere cind fisierele infectate incep cu literele: PK, AR, RA, LH, BA. Deasemenea nu infecteaza fisierele COMMAND.COM si COM care sint mai mici de 500 bytes si mai mari de 56000 bytes. Spanska foloseste un polimorfism limitat si are o structura anti-euristica.


 Srp.2248

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2248 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Stealth_Boot.C

Pseudonime:
Stealth-Boot
StealthBoot
StealthBoot.a
Stealth_boot.B
Stealth_Boot
Stealth_Boot.A
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Este rezident in memorie. Foloseste tehnici de ascundere. Nu este criptat. Pornind Windows-ul, in timp ce virusul este rezident, utilizatorul va fi "tirmis" catre prompt-ul DOS-ului, iar sistemul va fi lasat intr-o stare instabila.


 Stoned.Angelina

Pseudonime:
Stoned Angelina
Tehnici de ascundere:
Sunt folosite.
Mesaje neafisate dar continute de corpul virusului:
Greetings for ANGELINA!!!/ by Garfield/ Zielona Gora
Zielona Gora este un oras din Polonia iar Angelina inseamna "Green Hill".
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
ntreruperi interceptate:
13
Comentarii:
Ca dealtfel mai toti virusii de boot Angelina se copiaza la cap 0, cilindru 0, sector 1de pe hard disc si muta sectorul original de boot intro parte nefolosita a hard discului. Dupa infectie virusul determina re-boot-area calculatorului. Daca dupa infectie calculatorul folseste un floppy disc neinfectat atunci il va infecta.


 Storm.1218

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1218 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Susan.571

Pseudonime:
Su
Susan
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
864 o.
Spatiul ocupat pe disc:
571 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca orice virus care suprascrie.
Cum sunt infectate obiectele neconectate:
Infecteaza ca orice virus care suprascrie.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Bad command or file name"
Mesaje neafisate dar continute de corpul virusului:
"Susan", "*.*", "*.EXE", "DIR"
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: United States ; la data: 4/28/93
ntreruperi interceptate:
2F / 10F
2F / AE00
2F / AE01
Efecte distructive:
Fisierele infectate sunt suprascrise si distruse. Stergerea tuturor fisierelor din directorul curent.
Conditii de declansare a efectelor distructive:
V. Conditii de declansare a infectiei. 16 infectii de la activare.
Conditii de declansare a infectarii:
(Doar un singur "DIR" lansat) AND (FindFirst -> DTA= fisier .EXE neinfectat)
Modul de autodetectare a virusului in memorie:
INT 2Fh;AX=010Fh -> AX=CS:[0103h]="Su"
Modul de autodetectare a virusului pe disc:
FileTime.Seconds=1Fh
Constrangeri necesare virusului pentru a functiona:
DOS>=3.30 (Bug: Verifica pentru DOS 3.03)
Comentarii:
Virusul nu face un control al programului infectat; in schimb, il termina fara vreun mesaj de atentionare. El foloseste INT 21;AX=5D00h pentru a sterge fisierele. Intreruperile interceptate (AH=0AEh) sunt raportate ca apelate de COMMAND.COM exact inainte de executarea comenzilor de la tastatura.


 Arara.1038

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1038 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Svin.252

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
252 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 T_Power.Cowa

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2298 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Taiwan.708

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
708 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
A se vedea si:
Taiwan.677


 Techno.1123

Pseudonime:
Techno
Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1123 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 15 cu rotunjire la paragraf.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca orice virus care suprascrie.
Cum sunt infectate obiectele neconectate:
Infecteaza ca orice virus care suprascrie.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"TECHNO"

"Don't touch the keyboard"
Mesaje neafisate dar continute de corpul virusului:
"*.COM"

"COMSPEC="
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative. ; la data: 12/28/92
ntreruperi interceptate:
1C
24
Efecte nedistructive:
Musica, efecte Video
Conditii de declansare a efectelor nedistructive:
Random(0.0025)
Conditii de declansare a infectarii:
(DIRECT_ACTION) and (LengthCOM >=10) and (LengthCom<61439)
Modul de autodetectare a virusului pe disc:
(FILE[0]=0E9h) and (FILE[0Ah]=78h) and (FILE[0Ch]=79h)
Comentarii:
Virusul incearca sa infecteze COMMAND.COM via intrarea COMSPEC a mediului, ruland apoi prima bucla Find/Next in directorul local. Aceasta bucla se va termina dupa un timeout de 1.15 sec.


 Terminator.1501

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1501 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 TheRat

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
384 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Timid.301

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
301 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.126

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
126 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiny.212

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
212 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tokio.1068

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1068 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 TPE.Bosnia

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3112 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Traceback.3029

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3029 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.123

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
123 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.25

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
25 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.37

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
37 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.82

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
82 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Comentarii:
Este un infector simplu, direct care suprascrie. Din moment ce virusul este encriptat, exista doar 8 bytes constanti. Toate fisierele infectate au marcajul data si ora setate pe 00.08.1981, respectiv 00:00:00.


 Australian.Twelve.284

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
284 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Avatar.Dichotomy.863

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
863 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Backfont.900

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Badboy.Riot.1049

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1049 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Banana

Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Supra-scrie in fisierul original, astfel lungimea acestuia nu se modifica.
Comentarii:
Cauta fisiere COM din directorul curent, le verifica daca au fost infectate de Banana, dupa care infecteaza toate aceste fisiere necontaminate. Acest virus nu intercepteaza INT 24h pentru a evita deconspirarea sa cind scrie un fisier protejat la scriere.


 Bat.Pot

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1638 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Bupt_9146

Originea geografica:
Beijing, China
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
Welcome to BUPT 9146,Beijing! ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
Efecte nedistructive:
Pe floppy-urile avand multe fisiere listate in root, s-ar putea ca virusul sa suprascrie un sector in care fisierele sunt listate, facand astfel ca recuperarea fisierului sa fie cu mult mai dificila. Cand infecteaza un drive, virusul copiaza inregistrarea de boot originala intr-un alt sector si modifica acest sector pentru a include, printre altele, mesajul notat anterior. Apoi, impacheaza sectorul/inregistrarea de boot originala, adaugand un jump la sectorul modificat. Sectorul modificat este urmatorul sector din directorul root de pe floppy-urile 1.44MB; pista 0, cilindrul 0 sector 4 de pe hard disc. O identificare precisa a acestui virus necesita deci o cercetare a ambelor sectoare. Virusul nu infecteaza floppy-urile de 720K. Virusul inlocuieste primii trei bytes ai sectorului de boot infectat cu EB3990, sarind la codul imediat urmator dupa OEM ID. In cadrul micii portiuni de cod plasat in sectorul de boot, exista un apel suplimentar pentru intreruperea 13h.
Comentarii:
Cand o discheta protejata la scriere este plasata in drive si accesata, se va vedea mesajul "Write protect error writing drive". Virusul nu intercepteaza acest mesaj de eroare.


 Burma.442

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
442 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Capicua.511

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
511 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cascade.1702

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1702 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 CCC.381

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
381 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Chameleon.1948

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1948 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 638
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cybercide.1288

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1288 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CyberTech.454

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
454 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 DAME.Lame

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2326 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Darth.409

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
409 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Datalock.1043

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1043 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dec_Year

Pseudonime:
Last-Year.604
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
880 o.
Spatiul ocupat pe disc:
604 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative. ; la data: 6/24/93
ntreruperi interceptate:
21 / 4B
21 / 0A
21 / 2A
Efecte nedistructive:
Handlerul INT21 scade 1 din valoarea anului la apelurile INT21/2A (Get Date).
Conditii de declansare a efectelor nedistructive:
Intotdeauna.
Conditii de declansare a infectarii:
Exec and (DS:DX ends in "COM")
Modul de autodetectare a virusului in memorie:
[[0000:0084]-2] == 61 6D Cei doi bytes de dinaintea celui pe care pointeaza vectorul INT21sunt 61 6D.
Modul de autodetectare a virusului pe disc:
File [3] == 88h and File [4] == 31h
Comentarii:
Handler-ul INT21/0A este cam ciudat; tot ce face este sa seteze un flag intern, sa apeleze handler-ul real INT21 si sa reseteze flagul inainte de a reveni la apelant. Handler-ul INT24 care este folosit in timpul infectiei este cu mult mai elaborat decat de obicei, cheltuind cateva linii de cod pentru a "ignora" automat doar erorile la scriere protejata, trimitand alte erori catre handler-ul original pentru INT 21.


 Earle.3006

Pseudonime:
Porcupine
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
13056 o.
Spatiul ocupat pe disc:
3006 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Mesaje afisate de virus:
"For cryin'out loud! My circuits are haunted by the ghost of a porcupine. . ."
Mesaje neafisate dar continute de corpul virusului:
"COMMAND.COM", "COM", "EXE".
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Nu infecteaza COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut
La fisierele .COM, virusul copiaza primii 3006 octeti ai victimei la coada si apoi se copiaza la inceputul fisierului.

La fisierele .EX, virusul identifica inceputul programului, salveaza urmatorii 3006 octeti la coada fisierului si, apoi, se copiaza incepand cu punctul de intrare peste zona salvata.
ntreruperi interceptate:
21 / 4B00
21 / 3D00
21 / 4B06
21 / 4B07
Intreruperile/functiile 21/4B00 si 21/3D00 - pentru virusare; Int 21/4B06 pentru uzul intern al virusului, adica: autorecunoasterea sa daca AX=666h; Int 21/4B07 tot pentru uzul intern al virusului: AX = segmentul cu virusul.; Intreruperile/functiile 21/4B00 si 21/3D00 - pentru virusare; Int 21/4B06 pentru uzul intern al virusului, adica: autorecunoasterea sa daca AX=666h; Int 21/4B07 tot pentru uzul intern al virusului: AX = segmentul cu virusul.
Efecte nedistructive:
Scrie: "For cryin'out loud! My circuits are haunted by the ghost of a porcupine. . ." si nu executa fisierul virusat. Pentru executia fisierului virusat, trebuie schimbata data calculatorului.
Conditii de declansare a efectelor nedistructive:
Instalarea in memorie pe 6 aprilie.
Efecte colaterale:
Reduce memoria de baza cu 12.75 K. Intrerupe inlantuirea MCB-urilor spre UMB-uri.
Conditii de declansare a infectarii:
Exec or Open_R/O Infectarea are loc daca din locul din fisier unde incepe programul, pana la sfarsitul fisierului, exista loc pentru inscrierea virusului.
Modul de autodetectare a virusului in memorie:
Apel Int 21h, v. Intreruperi interceptate.
Modul de autodetectare a virusului pe disc:
Fisierele virusate se termina cu secventa AA,55.


 Eddie.2000

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Sign

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1745 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Em.1303

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1303 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 EndOf.788

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
788 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Espacio.8486

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
8486 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Friday13.456

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
456 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fumble.867

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
867 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GencVir.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 GI.2765

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2765 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Gippo.944

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
944 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Gollum.644

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
644 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 HLLC.Crawen.8516

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8516 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Worm.16412

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
16412 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.4734

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4734 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Nazi.4240

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4240 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.3966

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3966 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Animus.b

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7392 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.998

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
998 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 90 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Jerusalem.Fumanchu.2080

Pseudonime:
2080
2086
Fu Manchu.3
Jerusalem.Fu_Manchu.2086
Virusul produce efecte vizuale.
Scris de Sax Rohmer.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Scris de Sax Rohmer.
Spatiul ocupat pe disc:
2080 o.
Scris de Sax Rohmer.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 15 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului + 6 pentru fisierele de tip .COM.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Scris de Sax Rohmer.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
England
Scris de Sax Rohmer.
Mesaje afisate de virus:
The world will hear from me

again! ; Mesajul continut de virus si afisat este criptat.
Ca simptome, poate fi vazut urmatorul mesaj "The world will hear from me again!", asteptand o reboot-are la cald. De asemenea, Fu Manchu urmareste tastatura si, dupa 1 August 1989, adauga mesage atunci cand numele tastate, introduse de utilizator, sunt Thatcher, Reagan, Botha sau Waldheim; numele nu sunt case-senzitive.
Mesaje neafisate dar continute de corpul virusului:
fu manchu virus 3/10/88 - latest in the new fun line!, thatcher is a cunt, reagan is an arsehole, botha is a bastard, waldheim is a Nazi, fuck, cunt, The world will hear from me again! ; Mesajul continut de virus si neafisat este criptat.
Aceste mesaje sunt decriptate cate un caracter, la un moment dat, pe masura ce acestea ajung in buffer-ul tastaturii. Puteti gasi, in zona de date a virusului, marker-e precum sAXrEMHOr si COMMAND.COM. S-ar putea sa reusiti sa gasiti, in ultimii 6 bytes ai fisierelor COM infectate, rEMHOr.; Aceste mesaje sunt decriptate cate un caracter, la un moment dat, pe masura ce acestea ajung in buffer-ul tastaturii. Puteti gasi, in zona de date a virusului, marker-e precum sAXrEMHOr si COMMAND.COM. S-ar putea sa reusiti sa gasiti, in ultimii 6 bytes ai fisierelor COM infectate, rEMHOr.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .BIN.
- Infecteaza drivere de dispozitive (.SYS).
- Infecteaza (din greseala) overlay-urile (.OVR).
Nu infecteaza COMMAND.COM
Raspandirea virusului:
Foarte raspandit.
ntreruperi interceptate:
08
09
16
21
24
Efecte distructive:
Pagubele sunt minore. Fisierele COM care anterior infectarii sunt mai mari de 63,193 bytes, nu se vor mai incarca dupa infectare. Cele care initial erau mai mari de 63,193 bytes vor fi distruse prin suprascriere.
Comentarii:
Se intampla ca virusul Jerusalem.FuManchu sa se ataseze fie la inceputul unui fisier COM, fie la sfarsitul unui fisier EXE. El este o versiune rescrisa ("imbunatatita") a versiunii virusului Jerusalem, multe din cele spuse/scrise despre acest virus fiind valabile si pentru Fu Manchu, cu urmatoarele amendamente: Ż Codul pentru stergerea programelor, pentru incetinirea masinii si afisarea ferestrei negre a fost eliminat, precum si zona moarta de la sfarsitul virusului, dar si alte sectiuni de cod nefolosit. Ż Marker-ul pentru fisiere COM este acum rEMHOr (sase bytes), iar precedentul 'sU' este acum 'sAX' (Sax Rohmer - creator al lui Fu Manchu). Ż Analiza primilor virusi Suriv, care au reprezentat precursorii familiei Jerusalem, indica faptul ca autorul lui Fu Manchu nu a fost si autorul virusilor Suriv, din moment ce acesta, aparent, nu a avut acces la primele versiuni de Suriv. Ż Acum, fisierele COM cresc in lungime cu 2086 bytes, iar fisierele EXE cresc cu 2080 bytes. Fisierele EXE sunt acum cele infectate. Ż Odata la una din 16 infectii, este instalat un timer care executa un generator de numere aleatoare la jumatati de ora (maximum 7.5 ore). La sfarsitul acestui timp, este afisat mesajul "The world will hear from me again!", in centrul ecranului, iar masina reboot-eaza. De asemenea, acest mesaj este afisat de fiecare data cand se tasteaza Ctrl-Alt-Del pe o masina infectata, insa virusul nu supravietuieste reboot-arii. Ż Mai exista cod suplimentar, care se activeaza pe sau dupa data de 1 August 1989. Acest cod monitorizeaza buffer-ul tastaturii si face insultari aditionale la numele unor politicieni, cenzureaza cuvintele de doua-patru caractere, iar la Fu Manchu adauga "virus 3/10/88" - ultimul din noua linie "amuzanta". Toate aceste adaugiri ajung in buffer-ul tastaurii si nu sunt afisaet pe monitor; astfel, ele apar intr-o imprimare, chiar daca utilizatorul nu le-a tastat si nici nu este constient de unde ar putea proveni sau de faptul ca au fost adaugate. Toate mesajele cotinute de virus sunt encriptate.


 Jerusalem.Plastique.3012

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3012 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Sunday

Pseudonime:
Sunday
Virusul produce efecte vizuale.
Bytes adaugati: 1636 bytes pentru fisierele COM, 1638-1647 bytes pentru fisierele EXE si OVL.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Bytes adaugati: 1636 bytes pentru fisierele COM, 1638-1647 bytes pentru fisierele EXE si OVL.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Bytes adaugati: 1636 bytes pentru fisierele COM, 1638-1647 bytes pentru fisierele EXE si OVL.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1636 o.
Bytes adaugati: 1636 bytes pentru fisierele COM, 1638-1647 bytes pentru fisierele EXE si OVL.
Lungimea fisierului infectat creste cu:
lungimea virusului + 2 ... 11 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tehnici de ascundere:
Sunt folosite.
Index de ascundere: 6 (aproapre de medie, reseteaza atributele, seteaza data fisierului, se ascunde in memorie, dezafecteaza handler-ul de eroare).
Originea geografica:
Seattle, Washingon, USA
Bytes adaugati: 1636 bytes pentru fisierele COM, 1638-1647 bytes pentru fisierele EXE si OVL.
Familia virusului:
Jerusalem
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
Today is SunDay! Why do you work so hard? All work and no play make you a dull boy! Come on ! Let's go out and have some fun! ; Mesajul continut de virus si neafisat nu este criptat.
Textul listat nu este afisat datorita unui bug continut in rutina de verificare a zilei saptamanii: ea asteapta sa se activeze in a 7-a zi din saptamana, intr-un sistem in care zilele sunt numarate de la 0 la 6! Deoarece mesajul nu este afisat, el este mai comun decat versiunile care corecteaza bug-ul si care afiseaza mesajul Sambata, la o jumatate de ora dupa activare.; Textul listat nu este afisat datorita unui bug continut in rutina de verificare a zilei saptamanii: ea asteapta sa se activeze in a 7-a zi din saptamana, intr-un sistem in care zilele sunt numarate de la 0 la 6! Deoarece mesajul nu este afisat, el este mai comun decat versiunile care corecteaza bug-ul si care afiseaza mesajul Sambata, la o jumatate de ora dupa activare.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza (din greseala) overlay-urile (.OVR).
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: USA ; la data: 6/15/94
ntreruperi interceptate:
21
08
24
Comentarii:
Identificatori asignati de diverse scanner-e: Cheyenne: Sunday
ESaSS: Jerusalem related
Frisk: Jerusalem.Sunday.A
H+BEDV: Sunday #4
McAfee: Jeru [Jeru-A]
NORMAN: Jerusalem Sunday I
Norton: Sunday
S&S: Jeru.Sunday.a Eicar ID: 9ad4e6d
Virusi corelated: Jerusalem-USA, Czech, Jerusalem #1, Jerusalem-Family #1, Frere Jacqu, Friday-13th (B), Jerusalem #7, Sunday #4, Sunday #1, Sunday #3, Jerusalem-Puerto #2, Jerusalem #10, Jerusalem #8, Sunday #5, Jerusalem #9.
Replicare: infecteaza doar fisierele COM. Pare sa infecteze fisierele cand sunt incarcate si executate. Deschide fisierele, muta pointerul de fisiere, citeste fisiere, scrie in fisiere, inchide fisiere. Obtine si seteaza atributele. Obtine si reseteaza data fisierelor. Simptome: Sterge fisiere. Scrie caractere in mod TTY, afiseaza un mesaj sau o grafica. Efectele pot fi activate in functie de data. Verifica daca data este Sambata 1989 sau 1987. De notat: acces dubios la fisiere. Poate fi capabil sa infecteze un fisier. Programul intercepteaza incarcarea de software pentru a-l putea infecta. Cod rezident in memorie. Programul poate sta rezident in memorie. Foloseste apel de intrerupere DOS nedocumentata. Programul ar putea fi doar o farsa, dar la fel de bine poate fi si un virus folosind o modalitate nestandard pentru a se autodetecta.


 Jmp.2153

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2153 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Jump.466

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
466 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Later.959

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
959 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 28 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Lemming.2144

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2144 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Leprosy.370

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
370 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.800

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
800 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Merci.308

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
308 o.
Mesaje afisate de virus:
"Merci virus infected: "
Mesajul este afisat atunci cand virusul infecteaza un fisier.
Mesaje neafisate dar continute de corpul virusului:
"*.COM *.C* CHKLIST.MS ANTI-VIR.DAT" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l


 Leprosy.Seneca.381

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
381 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Maus.1888

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1888 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MemLapse.294

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
294 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mephisto.3.928

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
928 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mgn.2048

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Milan.Naziskin.335

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
335 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Mini.117

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
117 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.945

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
945 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 VCode.1633

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1633 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vengeance.252

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
252 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VICE.02.IceBurn

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2502 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vienna.1239

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1239 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.466

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
466 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Void_Poem

Pseudonime:
Poem
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume adresa 600P
Dimensiunea memoriei ocupate:
1825 o.
Spatiul ocupat pe disc:
1825 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 31
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje afisate de virus:
"..." ; Mesajul continut de virus si afisat este criptat.
Textul unui poem infantil, nematurizat, prea mare pentru a fi inclus in acest comentariu.; Textul unui poem infantil, nematurizat, prea mare pentru a fi inclus in acest comentariu.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Tehnici de protejare:
- Dezactiveaza INT1 si INT 3.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 1/1/94
ntreruperi interceptate:
21 / 4B
6D
A se vedea si:
10_Past_3.748
10_Past_3.789
Efecte nedistructive:
Pe ecran este afisat un poem nematurizat!
Conditii de declansare a efectelor nedistructive:
Day=21 and Month<>12 and counter=2112
Efecte distructive:
Poemul afisat (acelasi ca la pagube tranzitorii) este scris peste LSN 1..1220, pe drive-ul C:
Conditii de declansare a efectelor distructive:
Month=12 and Day=21
Efecte colaterale:
PC-ul s-ar putea bloca datorita unei rezidente directe.
Conditii de declansare a infectarii:
Exec and (580<=LengthCOM<=62464)
Modul de autodetectare a virusului in memorie:
memw[0:1F0h] XOR memw[0:1F2h] = ACDCh
Modul de autodetectare a virusului pe disc:
file[last_byte-1] XOR D9h = file[last_byte]
Constrangeri necesare virusului pentru a functiona:
DOSver>=3.10


 Vzpomen.1400

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Warlock.1817

Virusul modifica data si ora fisierelor infectate.
1817+16 (EXE), (1817+16)+4 (COM - adauga 4 bytes suplimentari dupa ce se pune pe sine la sfarsit)
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
1817+16 (EXE), (1817+16)+4 (COM - adauga 4 bytes suplimentari dupa ce se pune pe sine la sfarsit)
Dimensiunea memoriei ocupate:
3648 o.
1817+16 (EXE), (1817+16)+4 (COM - adauga 4 bytes suplimentari dupa ce se pune pe sine la sfarsit)
Spatiul ocupat pe disc:
1817 o.
1817+16 (EXE), (1817+16)+4 (COM - adauga 4 bytes suplimentari dupa ce se pune pe sine la sfarsit)
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Modul de penetrare a virusului:
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
1817+16 (EXE), (1817+16)+4 (COM - adauga 4 bytes suplimentari dupa ce se pune pe sine la sfarsit)
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
"Revenge of WARLOCK!" ; Mesajul continut de virus si neafisat este criptat.
"STACK STACK STACK STAC" ; Mesajul continut de virus si neafisat este criptat.
"COMMAND.COM" ; Mesajul continut de virus si neafisat este criptat.
"EXE" ; Mesajul continut de virus si neafisat este criptat.
"OVL" ; Mesajul continut de virus si neafisat este criptat.
"DBF" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza (din greseala) overlay-urile (.OVR).
- Infecteaza fisierele .COM.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Kazakhstan ; la data: 4/10/93
ntreruperi interceptate:
21 / 4B
21 / 3D
21 / 43
21 / 56
21 / D000
24
2A
Efecte distructive:
Primii 32 bytes din fisierele DBF sunt suprascrise cu valoarea 0C3H.
Conditii de declansare a efectelor distructive:
File[0]==03 (obisnuita semnatura din fisierele .DBF) and (Exec or Open or Rename or Get/Set File Attr.)
Efecte colaterale:
Overlay-urile sunt stricate, unele fisiere EXE nu vor opera corespunzator - corpul virusului ar putea fi suprascris de stiva programului.
Modul de autodetectare a virusului in memorie:
INT_21;AX=D000 -> STC (C-flag set), COMPARES. O verificare suplimentara este realizata de un virus rezident - el compara o parte din codul sau cu cel al apelantului. In cazul lui 21/D000, virusul nu seteaza C-flag.
Modul de autodetectare a virusului pe disc:
File[EOF-4] == 0B0Dh (0Dh, 0Bh)
Constrangeri necesare virusului pentru a functiona:
MS-DOS/PC-DOS >= 2.0 (File handle oriented I/O)


 Willow.1870

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1870 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Witch.1400

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 WM.Bandung.D

Pseudonime:
MW:Bandung-D
WordMacro/Bandung.D
WM/Bandung.D
BANDUNG.D
Macro.Word.Bandung
Bandung.D
Originea geografica:
Bandung, Indonesia
Data nasterii: Decembrie 1996
Mesaje afisate de virus:
Sint afisate unele mesaje de eroare.
Efecte distructive:
Chiar daca are modificat macro-ul "AutoExec" original, Bandung.D se manifesta distructiv cind Microsoft Word este pornit.
Comentarii:
Este un virus de Word. Are un numar de 6 macro-uri fiecare cu o dimensiune de 4262 Bytes. Nu este criptat. Ce este diferit fata de virusul original (Bandung.A) este macro-ul "AutoExec" modificat. Cind este apelat "ToolsCustomize" virusul se manifesta prin schimbarea literei "a" cu "#@".Pentru a deveni mai dificil de gasit virusul se foloseste de "ToolsMacro". Virusul nu este liber.


 Yankee.Flip.2167

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2167 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 YB.426

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
426 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 ZeroDivide.604

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
604 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Zol.799

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
799 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 10past3.b

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume adresa 9800h:000
Dimensiunea memoriei ocupate:
789 o.
Spatiul ocupat pe disc:
789 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Ah Ah Ah Ah Ah "Therese" Ah Ah Ah Ah Ah
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Tehnici de protejare:
- Dezactiveaza INT1 si INT 3.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 1/6/93
ntreruperi interceptate:
21 / 4Bh
A se vedea si:
10_Past_3.748


 84

Dimensiunea memoriei ocupate:
54 o.
Spatiul ocupat pe disc:
84
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului


 Abraxas.1200

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1200 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Adin.1488

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1488 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Aircop

Pseudonime:
Red State
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Nu adauga bytes: afecteaza doar sectorul de boot al discurilor de 360K.
Dimensiunea memoriei ocupate:
1 ko.
Nu adauga bytes: afecteaza doar sectorul de boot al discurilor de 360K.
Tehnici de ascundere:
Sunt folosite.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Nu adauga bytes: afecteaza doar sectorul de boot al discurilor de 360K.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Originea geografica:
Taiwan
Nu adauga bytes: afecteaza doar sectorul de boot al discurilor de 360K.
Mesaje afisate de virus:
.Red State, Germ offensing -- Aircop ; Mesajul continut de virus si afisat este criptat.
Mesaje neafisate dar continute de corpul virusului:
"Non-system...."
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
Raspandirea virusului:
In circulatie. Regiunea geografica: England ; la data: 2/1/91
Efecte nedistructive:
Minore (v. Comentarii.)
Efecte distructive:
Minore (v. Comentarii.)
Modul de autodetectare a virusului in memorie:
Primii 174 bytes din F.Boot sunt cititi si comparati cu cei ai virusului din memorie; daca apare o potrivire, atunci este de presupus ca exista infectie.
Modul de autodetectare a virusului pe disc:
Discurile infectate pot fi identificate de lipsa mesajelor de eroare normale, din sectorul de boot, exceptie facand sirul ASCII "NON-SYSTEM" gasit la sfarsitul sectorului de boot, exact inainte de semnatura MS.
Comentarii:
Simptome: Calculatorul dvs. s-ar putea sa se opreasca din executie. Se va constata o descrestere a disponibilitatii si a a memoriei sistem. Pe majoritatea sistemelor, se va vedea, din cand in cand, mesajul "Red State, Germ Offensive. AIRCOP." (Una dintre versiuni este raportata ca afisand, cu litere tremuratoare, mesajul: "Red State, Germ Offensive. AIRCOP.", care se spune ca este afisat dupa fiecare a 8-a infectie a unui disc.) In ceea ce priveste sistemele mai putin compatibile, aceastea s-ar putea bloca cu o eroare de tipul: "stack overflow error". Pagubele sunt minore; nu exista pagube intentionate. Totusi, programarea mai putin atenta va provoca coruperea unora dintre dischete, rezultand suprascrierea datelor de pe pista 1, cilindrul 39; de asemenea, din moment ce FAT-ul nu este nici verificat, nici marcat, scrirerea repetata pe disc ar putea sa suprascrie copia sectorului de boot, facand astfel discul ne-boot-abil. Propagare: virusul devine rezident atunci cand calculatorul este boot-at de pe un floppy infectat, interceptand INT13 si decrementand memoria cu 1K. Odata ajuns rezident, el infecteaza toate discurile de 360K pe masura ce sunt accesate. Sectorul de boot original este copiat pe pista 1, cilindrul 39, sector 9, iar sectorul de boot este inlocuit cu o copie a virusului. Singurul mesaj evident din sectorul 0 va fi "Non-system...." Ca toate mesajele din sectorul de boot, el va fi gasit aproape de sfarsitul sectorului. Virusul are urmatoarele variante: Aircop.Aircot, Aircop.Aircot.image_file, Aircop.Dropper,
Aircop.Dropper.1.Trojan, Aircop.dropper.a trojan,
Aircop.Dropper.b (Trojan), Aircop.NG, Aircop.NG.C,
Aircop.NG.C.image_file, Aircop.NG.image_file,
Aircop.Standard, Aircop.Standard.image_file, Aircot, Aircot Dropper.


 Alex.368

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
368 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.670

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
670 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.Anna.742

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Dimensiunea memoriei ocupate:
742 o.
Spatiul ocupat pe disc:
742 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.

Mesaje afisate de virus:
"

Have a Cool Yule from the ARcV

xCept Anna Jones

I hope you get run over by a Reindeer

Santas bringing you a Bomb

All my Lurve - SLarTiBarTfAsT

(c) ARcV 1992 - England Raining Again

"
Mesaje neafisate dar continute de corpul virusului:
"[ANNA]",

"Slartibartfast, ARCV NuKE the French" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Tehnici de protejare:
- Foloseste nivele de criptare multiple.
Raspandirea virusului:
Eradicat.
Efecte nedistructive:
Scrie Mesajul_Afisat pe ecran si blocheaza masina.
Efecte colaterale:
Este posibil ca directorul curent sa nu fie restaurat corect, fisierele infectate avand a data de creere corespunzatoare momentului de infectare.
Conditii de declansare a infectarii:
Daca in directorul curent sau in subdirectoarele din root, unul dintre fisierele COM are atributul "normal".
Constrangeri necesare virusului pentru a functiona:
Nu poate infecta fisiere read-only


 Arcv.Zaphod.399

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
399 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Asexual

Pseudonime:
ASEX1.0
ASeXual v1.00
COCO
Loc de rezidenta:
Virusul cauta memorie libera in jurul limitei de 640KB si se instaleaza acolo.
Ramane criptat in memorie pentru a preveni o detectie facila din partea scanner-elor. Reduce memoria sistemului cu 5Kbytes.
Dimensiunea memoriei ocupate:
1521 o.
Virusul adauga intre 1521-1777 bytes. Fisierele companion create vor fi in domeniul 1561-1564 sau asemanator.
Originea geografica:
USA
Ramane criptat in memorie pentru a preveni o detectie facila din partea scanner-elor. Reduce memoria sistemului cu 5Kbytes.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Infecteaza fisierele COM, EXE, dar nu pare ca ar infecta COMMAND.COM.
ntreruperi interceptate:
21
Efecte nedistructive:
Dupa spusele autorului sau (Virogen), acesta nu este un virus malitios. Au fost vazuti multi virusi cu mult mai putin placuti, dar acest virus poate fi considerat unul malitios. In zilele de Marti, virusul rezident schimba constant flag-urile tastaturii (CTRL, ALT, LSHIFT, RSHIFT, NUMLOCK, SCROLL, CAPS).
Comentarii:
Virusul infecteaza pana la cinci fisiere din directorul curent atunci cand se executa un program sau cand este selectat un nou drive. Mai intai, el verifica EXE-urile din director si daca nu este nici unul de infectat (deci, fie nu este nici un EXE in director, fie nici unul anterior infectat), atunci incepe sa infecteze fisierele COM din acel director. Fisierele COM sunt infectate in modalitatea "normala", in timp ce fisierele EXE sunt "infectate" prin crearea unui fisier COM companion, read-only, ascuns, in cadrul aceluiasi director in care se gaseste si EXE-ul, dandu-i acelasi nume ca si EXE-ul "infectat". Acest fisier COM contine codul pur al virusului si va varia ca dimensiune. Cand utilizatorul incearca sa execute EXE-ul, in mod normal se tasteaza numele programului; DOS cauta in directorul curent un fisier COM avand acel nume si, daca il gaseste, il executa. Virusul din COM se executa dupa ce EXE-ul si-a terminat executia, iar utilizatorul nu poate capta evenimentul. Un scanner nu va gasi virusul in nici unul din fisierele EXE, iar checksumming-ul pentru fisierele EXE "infectate" nu va gasi nici o modificare. Sterge toate fisierele ANTI-VIR.* si CHKLST.* din directorul curent, inainte de infectare pentru a elimina orice sansa ca un software antivirus, care foloseste astfel de fisiere checksum, sa fie capabil sa detecteze modificarile din fisierele infectate. Virusul nu infecteaza fisierele in zilele de marti. In prezent, sunt cunoscute doua versiuni ale acestui virus. O versiune precedenta, descoperita in Februarie 1992, reduce dimensiunea memoriei conventionale cu 6KB.


 Asp.633

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
633 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Atas.3233

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3233 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Aurea.653

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
653 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.153

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
153 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.377

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
377 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.AIH.762

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
762 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beda.1530

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1530 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Beethoven

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1694 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 BetaBoys.538

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
538 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 BIT_ADDICT

Spatiul ocupat pe disc:
477 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Mesaje afisate de virus:
BIT ADDICTMZ>….The Bit Addict says: You have a good tasting hard disk, it was delicious!!!
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21
Efecte distructive:
Cind virusul infecteaza 100 de fisiere , el va distruge toate datele de pe hard disc.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "nu" el se va incarca in aceasta folosind intreruperea INT21h. De aici va infecta orice fisier neinfectat care se va executa. (Nu infecteaza fisierele EXE.). Virusul nu foloseste intreruperea INT24h cind infecteaza fisiere. Astfel va aparea un mesaj de eroare daca exista protectie la scriere.


 Blackjec.236

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
236 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.363

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
363 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bljec-1

Spatiul ocupat pe disc:
301 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Daca este luna septembrie virusul formateaza primele 16 sectoare de pe discheta si infecteaza toate fisierele COM din directorul curent.


 Bolek.1326

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1326 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 BootEXE.443

Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
443 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza boot-ul.


 Broadcast.1987

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1987 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 CheckSum.3022

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3022 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Christmas.868

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
868 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.244

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
244 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.IronButterfly

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
271 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Clone.546

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
546 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Commy.1014

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1014 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Companion.89

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
89 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 Cookie.722

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
722 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Crawly.6624

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6624 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Crucifixion.b

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2916 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Deicide.359

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
359 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Demon.355

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
355 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Diamond.1050

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1050 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.621

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
621 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diehard2.4000

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Dirty.483

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
483 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 DM.400.a,b,c

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Dowcipas.2464

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2464 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DSU.1422

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1422 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dutch_Tiny.Stigmata

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 ExeHeader.223

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
223 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Mz1.384

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
384 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Experiments.755

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
755 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Fago_t2

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2766 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 FatherVirus.456

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
456 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Fear.1823

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1823 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FileHider.1067

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1067 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fist.403

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
403 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FITW

Pseudonime:
In_the_Wind
Virusul modifica data si ora fisierelor infectate.
Atunci cand un program infectat este executat pe un PC curat, virusul verifica daca nu este deja rezident. Daca apelul 'Are you there?' (Int 21h, AX=FE23h) obtine ca replica AX=000Dh, se presupune ca virusul este rezident. Daca nu este cazul, virusul infecteaza MBR-ul hard discului si ramane rezident. El aloca memorie descrescand dimensiunea MCB-ului final din lantul DOS MCB - o tehnica referita adesea a TWIXT, asa cum si rezulta pentru un virus rezidand intre sfarsitul lantului MCB si topul BIOS al memoriei. Spre deosebire de majoritatea virusilor care folosesc aceasta tehnica, FITW poate detecta prezenta MCB-urile DOS UMB (Upper Memory Block). Daca se determina ca acestea sunt prezente, virusul se pune singur in memoria alocata de la ultimul DOS UMB. Aceasta are ca rezultat faptul ca virusul va fi rezident pe langa limita 640K, ceea ce ar putea insemna ca multe dintre scanner-ele primitive ar putea avea probleme cu detectarea lui in memorie.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Atunci cand un program infectat este executat pe un PC curat, virusul verifica daca nu este deja rezident. Daca apelul 'Are you there?' (Int 21h, AX=FE23h) obtine ca replica AX=000Dh, se presupune ca virusul este rezident. Daca nu este cazul, virusul infecteaza MBR-ul hard discului si ramane rezident. El aloca memorie descrescand dimensiunea MCB-ului final din lantul DOS MCB - o tehnica referita adesea a TWIXT, asa cum si rezulta pentru un virus rezidand intre sfarsitul lantului MCB si topul BIOS al memoriei. Spre deosebire de majoritatea virusilor care folosesc aceasta tehnica, FITW poate detecta prezenta MCB-urile DOS UMB (Upper Memory Block). Daca se determina ca acestea sunt prezente, virusul se pune singur in memoria alocata de la ultimul DOS UMB. Aceasta are ca rezultat faptul ca virusul va fi rezident pe langa limita 640K, ceea ce ar putea insemna ca multe dintre scanner-ele primitive ar putea avea probleme cu detectarea lui in memorie.
Spatiul ocupat pe disc:
7950 o.
Dimensiunea unui program infectat creste cu o valoare variabila, aproximativ in domeniul 7950 pana la 7990 bytes.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 40
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 11
21 / 12
21 / 36
In ciuda incercarilor sale, capabilitatile de stealth ale acestui virus cu privire la fisierele infectate sunt departe de a fi perfecte: comanda DIR releva unele modificari din lungimea fisierelor infectate, desi schimbarile visibile sunt foarte diferite fata de actuala crestere in dimensiune.; In ciuda incercarilor sale, capabilitatile de stealth ale acestui virus cu privire la fisierele infectate sunt departe de a fi perfecte: comanda DIR releva unele modificari din lungimea fisierelor infectate, desi schimbarile visibile sunt foarte diferite fata de actuala crestere in dimensiune.; In ciuda incercarilor sale, capabilitatile de stealth ale acestui virus cu privire la fisierele infectate sunt departe de a fi perfecte: comanda DIR releva unele modificari din lungimea fisierelor infectate, desi schimbarile visibile sunt foarte diferite fata de actuala crestere in dimensiune.
Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Atunci cand un program infectat este executat pe un PC curat, virusul verifica daca nu este deja rezident. Daca apelul 'Are you there?' (Int 21h, AX=FE23h) obtine ca replica AX=000Dh, se presupune ca virusul este rezident. Daca nu este cazul, virusul infecteaza MBR-ul hard discului si ramane rezident. El aloca memorie descrescand dimensiunea MCB-ului final din lantul DOS MCB - o tehnica referita adesea a TWIXT, asa cum si rezulta pentru un virus rezidand intre sfarsitul lantului MCB si topul BIOS al memoriei. Spre deosebire de majoritatea virusilor care folosesc aceasta tehnica, FITW poate detecta prezenta MCB-urile DOS UMB (Upper Memory Block). Daca se determina ca acestea sunt prezente, virusul se pune singur in memoria alocata de la ultimul DOS UMB. Aceasta are ca rezultat faptul ca virusul va fi rezident pe langa limita 640K, ceea ce ar putea insemna ca multe dintre scanner-ele primitive ar putea avea probleme cu detectarea lui in memorie.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
FITW este un virus extrem de polimorfic, generand, la fiecare infectie, o noua rutina de encriptare/decriptare. Caracteristica cea mai remarcabila a virusului este faptul ca el nu este polimorfic doar in fisiere, ci si in MBR si deopotriva in sectoarele de boot. Acesta nu este primul virus care foloseste caracteristici polimorfice in sectoarele de boot infectate sau in MBR-uri, insa ceilalti virusi precedenti foloseau mai degraba cod oligolimorfic decat cod polimorfic, in sectorul de boot/MBR. Adica, ei pot fi detectati printr-un set de siruri de scanare, folosind posibil wildcards. Spre deosebire de acestia, FITW se bucura de adevaratul polimorfism, ori de cate ori este gasit. Majoritatea codului dintr-un MBR infectat este encriptat, avand un decriptor variabil de la infectie la infectie. In sectoarele de boot, totusi, codul ramane necriptat. Un grup de instructiuni utile, la indemana (care pur si simplu incarca virusul in memorie) este raspandit aleator impreuna cu instructiuni 'do-nothing' alese aleator. Aceasta constituie instanta unui tip de polimorfism foarte rar - acela in care codul nu este encriptat. In orice caz, nu sunt disponibile sirurile simple de scanat.
Mesaje afisate de virus:
The "FartStorm" coded by Demon Emperor >Big hello to CmosKiller&Xorboot< Are you wild? Hey don't... wait... let us talk... No? Be off lame fuckhead!
In zilele de luni, daca data este prima, a treia, a cincea, a saptea sau a noua zi din luna, FIWT va fi actionat atunci cand se executa un program infectat, cu virusul deja activ in memorie. El intercepteaza, apoi, Int 09h (intrerupere Hardware Keyboard), facand imposibila reboot-area prin Ctrl-Alt-Del si maturand toate datele de pe hard discurile locale, prin suprascrierea lor cu un garbage. In timp ce se intampla aceasta, virusul raspunde la fiecare tastare a utilizatorului care incearca disperat sa opreasca "maturarea" cu urmatorul caracter dintr-o secventa particulara. Adica, indiferent ce cheie apasa utilizatorul, virusul a afisat deja urmatoarea litera din mesajul sau intern, indicat alaturat..
Mesaje neafisate dar continute de corpul virusului:
'Fart in the wind'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Ori de cate ori este executat sau deschis un fisier COM sau EXE, FIWT il va infecta daca numele sau nu este COMMAND.COM, TB*.*, F-*:*, IV*.* sau contine litera 'V'. Ceea ce face din FIWT un infector rapid este faptul ca infecteaza fisierele la File Open. Cand fisierul este infectat, corpul virusului, encriptat variabil este adaugat la sfarsitul fisierului, iar punctul de intrare este ajustat corespunzator.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Locul unde este restul virusului (si BOOT-ul original):
- Pista
pe un hard disc.
Pe un disc infectat, fie hard sau discheta, virusul stocheaza cea mai mare parte a codului sau la sfarsitul discului fizic. Acolo este si locul unde pastreaza o copie a sectorului de boot original (neinfectat) - in total, cea mai ramas din codul virusului ocupa noua sectoare consecutive. Pe floppy discuri, virusul foloseste, de fapt, ultimele noua sectoare de dupa zona formatata in mod normal. Pe dischete cu 40 piste, precum cele de 5.25" 369K, virusul adauga a 42-a pista (numita pista 41, din moment ce numerele incep de la 0). Pe dischetele cu 80 piste (5.25" 1,2M, 3.5" 720K si 1.44M), este adaugata pista a 82-a (deci 81). Aceasta tehnica are avantaje si dezavantaje - pe extra pista, suprascrierea corpului virusului este aproape imposibila; totusi, face ca infectarea de pe floppy-uri sa fie mai evidenta dat fiind zgomotul neplacut produs de drive atunci cand acceseaza extra piste.
ntreruperi interceptate:
21 / 36
21 / 11
21 / 12
21 / 4C
21 / 4B00
21 / 3D
21 / 3E
21 / FE23
13
Intercepteaza INT 21h, functiile 11h, 12h (FindFirst/FindNext folosind FCB) si 36h (Get Disk Info) pentru scopurile sale de ascundere; functiile 4Ch (Program Exit), 4B00h (Load and Execute), 3Dh (Open File Handle) si 3Eh (Close File Handle) pentru replicarea virusului; functia FE23h (in mod normal, neutilizata) pentru autorecunoasterea in memorie. Intercepteaza si INT 13h - BIOS Disk Services.
Conditii de declansare a infectarii:
In zilele de Luni (a treia, a cincea, a saptea, a noua zi din luna), matura toate datele de pe hard discuri suprascriindu-le cu un garbage aleator.
Modul de autodetectare a virusului in memorie:
Int 21h, AX=FE23h. Handler-ul de intreruperi returneaza AX=000Dh.
Modul de autodetectare a virusului pe disc:
Campul secundelor, din marcajul de timp, este setat la 34 secunde.
Comentarii:
Recent, au fost receptionate rapoarte despre prezenta unui nou virus, care circula prin Slovenia. I s-a dat numele de FIWT, prescurtarea de la 'Fart in the wind' - un text gasit in cadrul virusului. Uneori, FIWT este numit un virus 'SPAM' - pentru a spune: Stealth, Polymorphic And Multi-partite, adica faptul ca este un virus ascuns, polimorfic si infector multiplu. In topul acestor caracteristici, se plaseaza faptul ca este un infector rapid. In particular, polimorfismul FIWT-ului va prezenta dificultati pentru recenzorii si testorii care doresc sa compare diferite forme software de detectare anti-virus, pentru infectori de boot si MBR. Astfel de virusi sunt responsabili pentru circa 80% din toate incidentele provocate de virusii informatici, din realitate. Eliminare: pentru fisiere - in conditile unui sistem curat, se identifica si se inlocuiesc; pentru hard disc - se foloseste FDISK/MBR; pentru dischet - se utilizeaza comanda SYS sau se reformateaza discheta.


 Fm.765

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
765 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Grapje.1039

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1039 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.2075

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2075 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Grog.660

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
660 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Grunt.346

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
346 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GV.2865

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2865 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Hafen.818

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
818 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Harmless.1082

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1082 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Helloween.1182

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1182 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 HH&HH.4093

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4093 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hiperion.249

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
249 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Viper.7792

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Horror.1137

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1137 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Hwang.1509

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1509 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Icelandic.2

Pseudonime:
System
One in Ten
Virusul produce blocaje ale PC-ului.
Virusul modifica data si ora fisierelor infectate.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
632 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 15
Originea geografica:
Iceland
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative.
Efecte distructive:
Fisierele EXE creasc. FAT-ul este corupt. Data fisierelor este schimbata. Fisierele marcate read-only vor avea atributul pus pe off inainte de infectare si restaurat dupa. Orice fisier infectat care nu rezerva pentru sine toata memoria disponibila, ar putea bloca sistemul atunci cand este executat.
Comentarii:
Este derivat din Icelandic.1.(656), Propagare: Devine rezident in memorie atunci cand este executat un program infectat, interceptand INT 21. Foloseste 21/4B pentru a infecta EXE-urile care sunt executate, adaugandu-se la sfarsitul acestora. Daca este necesar, sterge atributul read-only, dar nu-l restaureaza. Aceasta versiune de virus Icelandic difera de versiunea Icelandic.1.(656) prin aceea ca trece peste INT 21 si nu are nevoie sa marcheze un cluster prost pe hard discurile mici. Nici nu trebuie sa verifice INT 13. Unul din doua programe incarcate este infectat, iar un cluster, de pe hard discurile mai mari de 20MB, este marcat prost. Virusul Icelendic 2 poate infecta programele chiar daca sistemul executa un program anti-viral TSR care monitorizeaza INT 21, asa cum este produsul FluShot+. Desi aceasta versiune a fost numita Icelandic.2, s-ar putea ca ea sa fi fost prima versiune lansata, iar Icelandic.1.(656) a doua. Identificatori asignati de diverse scanner-e: Cheyenne: Icelandic-2
ESaSS: Icelandic
Frisk: nu este detectat.
H+BEDV: Icelandic #2
McAfee: Icelandic [ICE-3]
NORMAN: nu este detectat.
Norton: nu este detectat.
S&S: nu este detectat Eicar ID:
Virusi corelati: Icelandic #2, Mix-650/664, Icelandic-Saratoga, Icelandic #1. De retinut: programul intercepteaza incarcarea software-ului. S-ar putea ca virusul sa intercepteze incarcarea programului pentru a infecta software-ul. Acces in scriere la disc. Programul scrie pe disc fara a folosi DOS.


 Imi.1536.a

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Int83.522

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
522 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Intruder.1319

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1319 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Ionkin.231

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
231 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Jackal.3118

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3118 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Jerusalem.1244

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1244 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Kaos4.697

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
697 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Keeper.China.777

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
777 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kernel.608

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
608 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Keypress.1479

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1479 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 10 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.509

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
509 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.875

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
875 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kiev.2048

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Kode4.281

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
281 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Konkoor.1933

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1933 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 KWZ.797

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
797 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Li.1413

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1413 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 LittBrother.321

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
321 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.1050

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1050 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.Scramble.1253

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1253 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loz.1958

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1958 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 LV.477

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
477 o.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.


 Macaroni.1480

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1480 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MadSatan.2876

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2876 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Malign.575

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
575 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Manuel.995

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
995 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Kode4.129

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
129 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tu.2500

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 TV.730

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
730 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ufa.1201

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1201 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Urkel

Pseudonime:
Nwait
Mesaje afisate de virus:
Odata pe ora afiseaza pe ecran : "URKEL"
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
ntreruperi interceptate:
13
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul este rezident in memorie, unde ocupa 1K, situat in partea superioara a acesteia. Foloseste tehnici de ascundere. Pe hard sectorul original de boot este stocat la fata 0, pista 0, sector 5. Este criptat. Virusul cripteaza intrarea in primul sector de pe hard, care include tabela de partitie, astfel boot-ind de pe o discheta curata, driverele devin inaccesibile. Utilizatorului i se va raporta unele probleme cu formatatul dischetei, atita timp cit virusul este rezident in memorie.


 Uruk.300

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.1319

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1319 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 V.2330

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2330 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 2 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.450

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
450 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 3
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.702

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
702 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Vienna.574

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
574 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Vienna.637

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
637 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.733

Pseudonime:
Vienna 62 C
733
Vienna 733
Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
733 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Comentarii:
Virusul se activeaza daca, in a doua zi a unei luni, se executa un program infectat: virusul produce un sunet ciudat.


 Vienna.909

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
909 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.SPb.641

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
641 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Viking.1400

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VirDem.792

Pseudonime:
Virdem.Bustard
Burger-792
Burger
VirDem
Virdem.Distrash
Virdem 792 Distrash
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Efecte distructive:
Suprascrie fisierele pe care le infecteaza. Scrie, in mod absolut, sectoarele de pe drive!
Conditii de declansare a infectarii:
Se verifica daca data este 1988.


 Virogen.PinWorm.2040

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2040 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Visite.232

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
232 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VLAD.MonAmi.1066

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1066 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip.


 WM.Daniel.A

Pseudonime:
DANIEL.A
WinWord.Daniel.A
WM/Daniel
MacroWord.Daniel.A
MW:Daniel-A
Mesaje neafisate dar continute de corpul virusului:
You've reached! Here is the virus. Enjoy.

This is the Word_Macro_Virus_Daniel_1F - Beta International Version. Please Support the Virus Concept. Have a nice Day! (BR/US)
Comentarii:
Este un virus de Word care are doua macrouri. Cind infecteaza NORMAL.DOT numele lor sint : MacroManager si Word6Menu. Cind infecteaza fisiere sint : MacroManager si AutoOpen. Cind un fisier infectat este deschis, virusul preia controlul , patrunzind in sistem. Pentru aceasta nu se foloseste doar de AutoOpen ci si de MacroManager care se executa la comanda File/Save sau Ctrl-S si Ctrl-B. Virusul se ascunde prin dezactivarea meniului de acces la macrouri. In timpul infectarii unui document virusul ii seteaza urmatoarele: Keywords= "Daniel_Stone" si Comments="All information should be free". Este criptat. A aparut in Decembrie 1996.


 WM.Hot

Pseudonime:
MW:Hot.A
WM/Hot.A
Winword.Hot
WordMacro/Hot.A
Hot.A
Macro.Word/Hot.A
HOT.A
Originea geografica:
Rusia
A aparut prima oara in Ianuarie 1996.
Mesaje neafisate dar continute de corpul virusului:
'---------------------------------------------------------------

'- Main danger section: if TodayNo=(QLHotDateNo + RndDateNo) ---

'- and if File C:DOSega5.cpi not exist (not for OUR friends) -

'---------------------------------------------------------------
Comentarii:
Este un virus de Word care are 4 macrouri. In fisierele infectate numele acestora sint: AutoOpen, DrawBringInFrOut, InsertPBreak si ToolsRepaginat. Cind infecteaza NORMAL.DOT, numele acestora sint: StartOfDoc, AutoOpen, InsertPageBreak si FileSave. Virusul nu se inmulteste prin comanda File/Save As ca majoritatea virusilor de acest tip ci prin File/Save. Asta inseamna ca virusul va infecta numai documentele existente in sistem, nu si pe cele noi. Virusul contine un contor in fisierul WINWORD6.INI (QLHot=35112). Acest contor reprezinta numarul zilelor trecute din acest secol, iar la fiecare 14 zile trecute, virusul va fi activat. Atunci exista 1/7 sanse ca un document deschis sa fie sters. Virusul va sterge tot textul din fisier dupa care il va salva. Nu va face insa acest lucru daca va gasi un fisier EGA5.CPI din directorul C:\DOS.


 WM.Lordsatan

Pseudonime:
Macro.Word.Satan
Winword.Lordsatan
WM/Lordsatan
Mesaje afisate de virus:
Afiseaza o fereasta de dialog cu mesajul "500".
Mesaje neafisate dar continute de corpul virusului:
"LordSatan"
Comentarii:
Este un virus de Word care are doua macro-uri AutoOpen si FileOpen. Sistemul este infectat cind un fisier care contine virusul este deschis cu AutoOpen iar documentele sint infectate cind sint deschise cu FileOpen. In fisierul WINWORD6.INI scrie un string "MSWORD [number]", unde [number] este versiunea virusului. Cind acest numar are valoarea 500 va afisa un mesaj.


 WM.Phardera

Pseudonime:
MW:Phardera
WM/Phardera
Winword.Phardera
WordMacro/Phardera
Phardera
WinWord.Phardera
Originea geografica:
Indonesia
Data originii 27 Ianuarie 1997.
Mesaje afisate de virus:
In a 14-a zi afiecarei luni, virusul afiseaza " Phardera [VBB] Dianita DSR. [I Love Her! ] ". In a 31-a zi a lunii va afisa : " Phardera [VBB] Phardera was here! ".
Mesaje neafisate dar continute de corpul virusului:
" ----------------- FileOpen macro ---------------------------

* WinWord.Phardera (with encrypt and stealth)

* Virographer by Phardera [VBB]

* Last Update: July 10, 96.

* Dedicated to Dianita DSR and All VBBers

* This virus was written in the city of Batavia, Indonesia.

If you found 'bugs' please contact me! ".
Comentarii:
Este un virus de Word care un singur macro FileOpen. Sistemul este infectat cind documentele sint dechise. Nu se ascunde. Virusul se raspindeste prin fisierele .DOC si .DOT.


 WM.Viva

Pseudonime:
MW:Viva-A
WordMacro/Viva.A
Macro.Word.Joxin
Comentarii:
Este un virus de Word care are 4 macro-uri cind infecteaza documentele: AutoClose, AutoOpen, NoMercyE, NoMercyI si inca doua cind infecteaza Normal.Dot: FileTemplates, ToolsMacro . Virusul se raspindeste in documente cind acestea sint inchise sau deschise. Functioneaza atit in versiunea engleza cit si in cea italiana a Word-ului. La Inceputul fiecarui macrou se afla remarca: " VirusName : WM. Joxzin Author : Foxz [NoMercy]
Origin : Yogyakarta, Indonesia WordVersion : Italian and English
Dedicated to: Italian and Indonesian Macro Viruses Creator".


 Word.1085

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1085 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Xandu.2385

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2385 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Xph.1010

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1010 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yafo.328

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
328 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Yankee.2505

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2505 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 AM97/Accessiv

Pseudonime:
A97M/AccessiV.A
Access-Jerk1N
JETDB_ACCESS-1
Macro.AccessiV
Comentarii:
Acest virus infecteaza bazele de date din MS Office 97 Access. AM97/Accessiv este primul virus cunoscut al Access-ului, putem spune ca este primitiv pe baza a cel putin unei infectii reale si a unei baze de date infectate disponibila pe Internet. La deschiderea unei baze de date infectate virusul va infecta implicit toate fisierele MDB ale directorului curent. Virusul are doua parti: Auto Open si Module Virus care contine si codul infector. Virusul va incerca sa afecteze datele din baza de date. Daca masurile de securitate pe care le luati asupra bazelor de date sint setate astfel incit utilizatorii sa poata numai citi, atunci ele nu vor mai fi predispuse la infectii.


 Mini.189

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
189 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MiniHHHH.246

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
246 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirror.924

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
924 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MMIR.Ravage

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi. adresa 0:240
Dimensiunea memoriei ocupate:
421 o.
Spatiul ocupat pe disc:
392 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"RAVAGE! (c) Metal Militia / Immortal Riot" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului

Regiunea geografica: ? ; la data: 12/10/93
ntreruperi interceptate:
21 / 4B00
21 / 3D00
21 / 3E00
21 / 6C00
A se vedea si:
MMIR.Extasy
MMIR.Das_Boot
Efecte colaterale:
Fisiere de date corupte - din greseala, virusul infecteaza fisierele de date deschise ca si cand ar fi COM-uri sau EXE-uri. Fisiere EXE segmentate corupte (arhive autoexpandabile etc). Fisierele COM, care sunt prea lungi, vor fi corupte la infectare. Cand virusul este rezident in memorie, utilizarea intreruperilor INT90 pana la INT DD ar putea provoca blocarea sistemului. Executarea unui program, de pe un floppy protejat la scriere, ar putea determina mesajul de eroare DOS "Write protect". Se pretinde ca o operatie de COPY sau TYPE fisier sub MS-DOS 5.0 are ca rezultat agatarea sistemului.
Conditii de declansare a infectarii:
Exec or Open and FileLength>=24
Modul de autodetectare a virusului in memorie:
[0:265] = 0240H
Modul de autodetectare a virusului pe disc:
File[1,2] = FileLength-3-VirusLength (offset-ul de JMP corespunde celui unui fisier infectat)
Comentarii:
Virusul infecteaza fisierele deschise (INT 21/3D00), dar nu face verificari asupra extensiei lor, avand, deci, ca rezultat si infectarea fisierelor de date. De asemenea, virusul intercepteaza Close (21/3E00) si Extended Open (21/6C00), dar le trateaza eronat. Rezultatul este agatarea sistemului sub MS-DOS 5.0 - se pare ca, COMMAND.COM 5.0 foloseste INT21/6C pentru COPY/TYPE.


 Mnemonix.Sugar

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
416 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Moose.468

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
468 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mr_D.1536

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 MSTU.513

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
513 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MtE.Groove

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
3507 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Murphy.950

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
950 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Murphy.Migram.1221

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1221 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.12.Agent.1810

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1810 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MW.Swlabs

Pseudonime:
MW:Swlabs-A
WM/Swlabs.a
Winword.Badboy
Swlabs.A
WM/SWLABS.A
Mesaje neafisate dar continute de corpul virusului:
" SkamWerks Labs Presents the Generic Concept Created by Skam

What? No Payload? WUSSY!

Virii Unite!J "
Comentarii:
Este un virus de Word care are in componenta macroul AutoOpen. Infecteaza documentele cind acestea sint deschise. Modifica meniul din Word, iar pentru refacere trebuie sters NORMAL.DOT. Nu este polimorf. Nu este ascuns. A fost semnalat prima oara la 28 Ianuarie 1997.


 Nazgul.266

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
266 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Newgen.1054

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1054 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Amz.682

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
682 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 NightFall.Companion

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
527 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 NoFrills.815

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
815 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Nothing

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
583 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Deadpool

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.1800

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nutcracker.AB6

Virusul infecteaza interceptand apelurile DOS la fisiere.
Pentru varianta Nurcracker.AB6.a -> acesta este pattern-ul hexa din fisiere; cel din MBR este 2BDB 539D 8ED3 BC00 7CBA 4000 8EDA 836F 1304 8B47 13B1 06D3 E08E C026 C607 5A26, iar cel din memorie, este 9C56 5750 5351 521E 062B FF57 9DE8 3500 C406 4C00 2E89 8438 022E 8C84 3A02 C4 06. Pentru varianta Nutcracker.AB6.b -> in fisiere, este 9C56 5750 5351 521E 062B FF57 9DE8 3500 C406 4C00 2E89 843B 022E 8C84 3D02 C406, cel din MBR, este 2BDB 539D 8ED3 BC00 7CBA 4000 8EDA 836F 1304 8B47 13B1 06D3 E08E D8C6 075A C747, iar cel din memorie, este 9C56 5750 5351 521E 062B FF57 9DE8 3500 C406 4C00 2E89 843B 022E 8C84 3D02 C406. Pentru varianta Nutcracker.AB6.c -> in fisiere, este 9C56 5750 5351 521E 062B FF57 9DE8 4300 C406 8400 2E89 843B 0A2E 8C84 3D0A 2E89, cel din MBR, este 33C0 FA8E D0BC 007C FB8E C48B D8CD 13B9 0B00 B807 02CD 1373 02CD 1806 B83F 0050, iar cel din memorie, este 9C56 5750 5351 521E 062B FF57 9DE8 4300 C406 8400 2E89 843B 0A2E 8C84 3D0A 2E89.
Tehnici de ascundere:
Sunt folosite.
Familia virusului:
Nutcracker
Pentru varianta Nurcracker.AB6.a -> acesta este pattern-ul hexa din fisiere; cel din MBR este 2BDB 539D 8ED3 BC00 7CBA 4000 8EDA 836F 1304 8B47 13B1 06D3 E08E C026 C607 5A26, iar cel din memorie, este 9C56 5750 5351 521E 062B FF57 9DE8 3500 C406 4C00 2E89 8438 022E 8C84 3A02 C4 06. Pentru varianta Nutcracker.AB6.b -> in fisiere, este 9C56 5750 5351 521E 062B FF57 9DE8 3500 C406 4C00 2E89 843B 022E 8C84 3D02 C406, cel din MBR, este 2BDB 539D 8ED3 BC00 7CBA 4000 8EDA 836F 1304 8B47 13B1 06D3 E08E D8C6 075A C747, iar cel din memorie, este 9C56 5750 5351 521E 062B FF57 9DE8 3500 C406 4C00 2E89 843B 022E 8C84 3D02 C406. Pentru varianta Nutcracker.AB6.c -> in fisiere, este 9C56 5750 5351 521E 062B FF57 9DE8 4300 C406 8400 2E89 843B 0A2E 8C84 3D0A 2E89, cel din MBR, este 33C0 FA8E D0BC 007C FB8E C48B D8CD 13B9 0B00 B807 02CD 1373 02CD 1806 B83F 0050, iar cel din memorie, este 9C56 5750 5351 521E 062B FF57 9DE8 4300 C406 8400 2E89 843B 0A2E 8C84 3D0A 2E89.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
13
17
21
1C
A se vedea si:
Nutcracker.AB7
Conditii de declansare a infectarii:
Se declanseaza pe 12 Ianuarie.
Comentarii:
Variantele Nutcracker.AB6 sunt infectori stealth, multipli. Atunci cand un fisier infectat este executat, virusii infecteaza MBR-ul drive-ul hard, intercepteaza intreruperile Int 13h, Int 17h, Int 21h, si incearca sa loveasca fisierele COM si EXE de pe drive-ul C. Ei stau rezidenti in memorie, se auto-scriu la sfarsˇitul fisierelor COM si EXE, atunci cand acestea sunt accesate. Cand incarcarea se face de pe un MBR infectat, virusii intercepteaza Int 17h si Int 1Ch, asteapta ca DOS sa se incarce, apoi intercepteaza Int 13h si Int 21h. Nu modifica dimensiunea memoriei RAM disponibile, in schimb modifica, in mod direct, lantul MCB. Int 13h este utilizat pentru a ascunde sectoarele infectate, iar Int 17h este folosit pentru a schimba (ocazional) caracterele din timpul imprimarii. Atunci cand CHKDSK este executat, virusii dezafecteaza temporar unele rutine de stealth pentru preveni erorile provocate de CHKDSK, prin receptionarea unor informatii conflictuale despre lungimea fisierelor. De asemenea, acesti virusi sterg fisierele *.FW si *.?AS si incearca (dar esueaza) sa stearga fisierele *.MS. Pe 12 Ianuarie, in timpul incarcarii unui MBR infectat, virusii formateaza sectoarele drive-ului hard, sterge MOS si afiseaza mesajele: 'Dreary Nutcracker(AB6) Lives' (pentru varianta AB6.a); 'Dreary Nutcracker(AB6) Lives Again' (pentru varianta AB6.b); 'Dreary Nutcracker(AB6)' (pentru varianta AB6.c); and 'Dreary Nutcracker(AB6) lives forewer !' (pentru varianta AB6.d).


 Olexy.1864

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1864 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Orchid.351

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
351 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Oxana.1419

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1419 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Parasite.1132

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1132 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pcbb.1141

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1141 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Pcflu.802

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
802 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Perfume.731

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
731 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Phonix.927

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
927 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pit.611

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
611 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.345

Pseudonime:
V345
Pixel
Pixel.345.A
Pixel.345a
Virusul produce efecte vizuale.
Fisierele infectate au secundele setate la valoarea 60.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Fisierele infectate au secundele setate la valoarea 60.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Fisierele infectate au secundele setate la valoarea 60.
Spatiul ocupat pe disc:
345 o.
Fisierele infectate au secundele setate la valoarea 60.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Bulgaria
Fisierele infectate au secundele setate la valoarea 60.
Mesaje neafisate dar continute de corpul virusului:
=!= Program sick error: Call doctor or buy PIXEL for cure description. ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Raspandirea virusului:
In atentia cercetatorilor.
Comentarii:
Virusul a derivat din Pixel.847.Buy.Amstrad (Greece). Aceasta versiune este "optimizata" din codul lui Pixel 847. Virusul nu pare sa produca pagube dincolo de replicare, ceea ce ar putea strica, ocazional, fisierele COM. Nu se raspandeste prea repede, si nu alte fisiere decat infectand COM-urile din directorul curent. Nu va infecta fisierele marcate read-only.


 ANDROMEDA.725

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
725 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.936

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
936 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pizelun.3599

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3599 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Pojer.1919

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1919 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Poss.2367

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2367 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Predator.1154

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1154 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Prohibit.1500

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Pyramid.457

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
457 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Rajaat.679

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
679 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Rasek.1492

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1492 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 Rencodes.4206

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4206 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Riot.281

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
281 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.CarpeDiem.1033

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1033 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.DDeath.963

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
963 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.Immortal.353

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
265 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Multiplex.815

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
815 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.TTT.1063

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1063 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 RMNS.325

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
325 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Rubbit.3811

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3811 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sair.1150

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1150 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Satria.A

Pseudonime:
I_love
Virusul produce efecte vizuale.
Originalul Satria (Satria.A) este un virus lung de 1 sector, care infecteaza Master Boot Sector (MBS) de pe drive-ul hard si DOS Boot Dector (DBS) de pe floppy-uri. Cand este rezident, el sta in topul memoriei, protejandu-se singur prin reducerea volumului de memorie disponibila cu 1KB - face aceasta modificand o valoare din BIOS Data Area.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Originalul Satria (Satria.A) este un virus lung de 1 sector, care infecteaza Master Boot Sector (MBS) de pe drive-ul hard si DOS Boot Dector (DBS) de pe floppy-uri. Cand este rezident, el sta in topul memoriei, protejandu-se singur prin reducerea volumului de memorie disponibila cu 1KB - face aceasta modificand o valoare din BIOS Data Area.
Dimensiunea memoriei ocupate:
1 ko.
Originalul Satria (Satria.A) este un virus lung de 1 sector, care infecteaza Master Boot Sector (MBS) de pe drive-ul hard si DOS Boot Dector (DBS) de pe floppy-uri. Cand este rezident, el sta in topul memoriei, protejandu-se singur prin reducerea volumului de memorie disponibila cu 1KB - face aceasta modificand o valoare din BIOS Data Area.
Spatiul ocupat pe disc:
1 sectoare.
Originalul Satria (Satria.A) este un virus lung de 1 sector, care infecteaza Master Boot Sector (MBS) de pe drive-ul hard si DOS Boot Dector (DBS) de pe floppy-uri. Cand este rezident, el sta in topul memoriei, protejandu-se singur prin reducerea volumului de memorie disponibila cu 1KB - face aceasta modificand o valoare din BIOS Data Area.
Familia virusului:
Satria
Originalul Satria (Satria.A) este un virus lung de 1 sector, care infecteaza Master Boot Sector (MBS) de pe drive-ul hard si DOS Boot Dector (DBS) de pe floppy-uri. Cand este rezident, el sta in topul memoriei, protejandu-se singur prin reducerea volumului de memorie disponibila cu 1KB - face aceasta modificand o valoare din BIOS Data Area.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
My Honey B' day'
Satria
Satria.A contine doua siruri-text caracteristice, ambele invisibile intr-un sector de boot infectat. Nici unul dintre ele nu este afisat in nici una din fazele virusului.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Australia ; la data: 5/15/95
ntreruperi interceptate:
13
Conditii de declansare a infectarii:
4 Iulie
Virusul este actionat pe 4 Iulie, manifestandu-se printr-o reprezentare grafica a mesajului autorului (o litera 'I' mare, construita din blocuri verzi, o linie punctata in forma de inima, si litera 'U' formata tot din blocuri). Pentru acest motiv, uneori este referit ca virusul 'I_love'.
Modul de autodetectare a virusului pe disc:
Cuvantul 00FEh, la offset-ul 3Ch.
Comentarii:
Cand privim numarul de virusi cunoscuti si numarul celor care se replica liber in comunitatea utilizatorilor, constatam ca desi infectorii sectorului de boot (incluzandu-i si pe cei multi-infectori), raportat la numarul total ala virusilor, reprezinta o fractiune mica, totusi acestia sunt responsabili pentru marea majoritate a incidentelor 'din lume'. Pe la mijlocul lunii Mai 1995, in Australia a aparut un nou infector al sectorului de boot (denumit dupa unul din sirurile sale interne - Satria). La sfarsitul lui Octombrie, la o universitate locala, a fost descoperit un alt nou virus. Dupa o scurta privire, Satria fiind deja cunoscut a fost redenumit Satria.A, iar noul specimen intrat in familie, a fost denumit Satria.B. Comparatia lor nu lasa nici un fel de dubii ca cei doi virusi sunt corelati; totusi diferentele sunt semnificative, in special in ceea ce priveste recuperarea discurilor infectate cu Satria. Atunci cand PC-ul este boot-at de pe un floppy infectat, Satria.A coboara TOM-ul curent (top of memory), copiindu-se in zona rezervata si interceptand Int 13h. Apoi, virusul citeste DBS original, ascuns si transfera controlul. Noua rutina service Int 13h intercepteaza incercarile de a citi de pe pista 0 a oric9rui disc si infecteaza mediul daca este curat. Ca rezultat, Satria.A poate infecta discurile hard fizice, la fel de bine si floppy-urile de pe ambele drive-uri. In general, pe langa faptul ca acesti virusi reprezinta a reala problema pentru driver-ele IDE extinse, Satria.A poate fi o creatura putin deranjata. Este de-a dreptul interesant cum un tip de 'payload' poate schimba perceptia unui virus. Aproape toti utilizatorii au fost amuzati si intrigati de 'gragalasul' ecran, mai de graba decat speriati de un nou (si potential periculos) virus. Lucrurile care arata bine nu sunt presupuse ca fiind daunatoare: daca insa arata si suna infricosator, atunci trebuie sa fie periculoase. Imaginati-va care ar fi fost impactul daca Satria, in loc de o inocenta imagine, ar fi afisat un mesaj amenintator. Eliminare: pentru MBS - curatarea boot-ului de pe flopyy DOS. Se inlocuieste MBS cu o copie a capului 0, cilindrul 0, sector 8. Pentru floppy - se inlocuieste DBS cu o copie a capului 0, cilindrul 1, sector 3 (pentru 360KB) sau sector 14 (pentru 1.2 MB si 1.44 MB).


 Scratch.554

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
554 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Search.330

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
330 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Seat.1868

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1868 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Shadow.635

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
635 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shifter.983

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
983 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului + 7
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .OBJ.


 SIGN.615

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
615 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyC.124

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
124 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.200

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.386

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
386 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyE.943

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
943 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SillyORCE.67

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
67 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 AntiTrace.2122

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2122 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyRC.357

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
357 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Silver.1874

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1874 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.720

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
720 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Siskin.1017

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1017 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Skew.445

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
445 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Slovakia.2387

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2387 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Small.122

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
122 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.146

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
146 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smeg.Queeg

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3756 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 SofiaTerminator.839

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
839 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Spanz.639

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
639 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Srp.2306

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2306 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Sterculius.240

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
240 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Stoned.Azusa.A

Pseudonime:
Hong Kong
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
1 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 9/15/93
ntreruperi interceptate:
13
Efecte nedistructive:
Dezactivarea porturilor LPT1 si COM1
Conditii de declansare a efectelor nedistructive:
La fiecare 32 de lansari
Comentarii:
Azusa contorizeaza numarul de reboot-ari de la infectarea discului, incrementand un contor in MBR si scriind MBR-ul inapoi pe disc. Daca numarul de reboot-ari este multiplu de 32, atunci adresele porturilor pentru LPT1 si COM1 vor fi setate pe zero in zona de date BIOS, lasand astfel impresia ca nu este disponibil nici un port serial sau paralel. In mod natural, repornind sistemul, problema pare ca se rezolva! Azusa este un virus mai putin obisnuit, deoarece atunci cand hard discul este infectat, nu se realizeaza nici o copie ascunsa de MBR. In schimb, codul viral actual contine versiunea minima a unui loader boostrap MBR obisnuit.


 Storm.1219

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1219 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Susenka.862

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
862 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arara.1375

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1375 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Svir.512

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 T_Power.Zarma.2232

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2232 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Taiwan.743

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
743 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
A se vedea si:
Taiwan.677


 Technomaniac

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
779 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Terminator.2294

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2294 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TheWanderer

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1448 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Timid.302

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
302 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.128

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
128 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiny.229

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
229 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tokyo.1258

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1258 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 TPE.CivilWar.1979

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1979 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Traceback.3066

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3066 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.125

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
125 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.26

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
26 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.39

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
39 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.85

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
85 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.Twelve.297

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
297 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Avatar.K-rad.561

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
561 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Backfont.905

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
905 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Badboy.Riot.1054

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1054 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bandersnatch

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3934 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bat.Skul

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Burger.1310

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1310 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Burma.563

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
563 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cara

Virusul este de fapt un "dropper"'.
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
3256 ko.
Spatiul ocupat pe disc:
1 ko.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"

Virus es en memoria!

Clandestino

Auto-Reproductivo

Anti-virus

", [2] (during floppy boot from installed payload) "

Disco es infectado. Reemplaza Boot.

Clandestino

Auto-Reproductivo

Anti-virus

"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Eradicat.
ntreruperi interceptate:
21 / 00
21 / 3D
21 / 43
21 / 4B
21 / 4C
21 / 56
20
13 / 02
24
Comentarii:
Virusul distruge zona de boot atunci cand se incearca eliminarea acestuia din boot. Programele infectate contin textul : " Virus Es en memorial! ".


 Cascade.1704

Pseudonime:
Blackjack
V-1704
Herbst
Cascade.A
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1704 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 CCCP.510

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
510 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Chameleon.Casper.1190

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1190 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cybercide.1307

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1307 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CyberTech.501

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
501 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 DAME.Trigger

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2465 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Darth.411

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
411 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Datalock.920

Pseudonime:
DataLock 1.00
DataLock-1043
DataLock.920
V920
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
2048 o.
Spatiul ocupat pe disc:
920 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Canada
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"DataLock version 1.00" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .EXE.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 7/27/93
ntreruperi interceptate:
21 / 3D
21 / 4B00
21 / BE
21 / BF
24
Efecte nedistructive:
Dupa august 1990, virusul interfereaza aleator cu incercarea de deschidere a fisierelor, de obicei fisierele de forma *.?BF. Sunt returnate mesaje de eroare de tipul: "Too many open files"
Conditii de declansare a efectelor nedistructive:
(Data >= August 1990) && (INT 21h/3Dh) && (Numele fisierului de forma *.?BF)
Conditii de declansare a efectelor distructive:
n/a
Efecte colaterale:
NU
Conditii de declansare a infectarii:
Exec
Criterii de infectare: COMlength >23000
Modul de autodetectare a virusului in memorie:
INT 21h/BEh => AX= 1234h
Modul de autodetectare a virusului pe disc:
fisier(12h..13h) = fisier(14h..15h) +fisier(16h..17h) + 1234h
in fisierele EXE : initCS + initIP + 1234h = Suma de control a fisierului
Constrangeri necesare virusului pentru a functiona:
NU
Comentarii:
Contine sirul de caractere: " DataLock version 1.00 " . Infecteaza toate fisierele *.EXE, insa fisierele *.COM sunt infectate doar daca sunt mai lungi de 22999 bytes. Acest virus, in afara de infectia fisierului, contine o portiune nedistructiva, dar foarte plictisitoare. Cand un fisier este deschis prin functia 3Dh, virusul verifica daca numele fisierului este de forma *.?BF . Daca numele corespunde, virusul produce mesajul de eroare " Too many files open ", ceea ce face ca fisierul sa fie inaccesibil. Cand devine rezident, virusul utilizeaza octetul care incepe de la offset-ul 8 din mediul curen,t ca nume de fisier, si incearca sa-l formateze. Daca variabila de mediu este COMSPEC, aceasta va provoca infectarea interpretorului de comenzi chiar daca PC-ul este inchis inainte ca aplicatia infectata sa fie terminata.


 Dec3rd.1333

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1333 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Easy.200

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Eddie.2100

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Uriel

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 EM.1303

Spatiul ocupat pe disc:
1303 o.
Virusul are doua forme: fie este un fisier de 1303 bytes numit EM.COM (de unde deriva si numele) care este un fisier COM continand virusul sau este un fisier EXE care se adauga.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Virusul are doua forme: fie este un fisier de 1303 bytes numit EM.COM (de unde deriva si numele) care este un fisier COM continand virusul sau este un fisier EXE care se adauga.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
Infecteaza fisiere EXE, este parazit, modifica AUTOEXEC.BAT, creaza fisierul EM.COM. Virusul va infecta doar fisierele de pe drive-ul C:
Efecte distructive:
Corupe sectoarele sistem continand intrarile fisierelor din director.
Conditii de declansare a infectarii:
In timpul boot-arii sistemului, virusul, in forma de EM.COM, este executat din fisierul AUTOEXEC.BAT. Codul virusului este acelasi ca cel cal fisierelor infectate, dar este urmata o alta executie path. Mai intai, virusul verifica data sistem. Pe date de 28 a fiecarei luni, virusul apeleaza rutina de trigger. In celelalte zile, virusul scaneaza arborele director al drive-ul C:, infectand nu mai mult de zece fisiere EXE. Virusul va proceda asa la fiecare reboot-are, pana cand toate fisierele EXE de pe drive-ul C: sunt infectate. Trigger: Bye-bye fisiere!
Modul de autodetectare a virusului pe disc:
Auto-recunoastere in AUTOEXEC.BAT: virusul verifica linia care urmeaza dupa 'PATH=', cautand sirul 'em'.
Auto-recunoastere in fisierele EXE: compara marcajul de data din header-ul fisierelor EXE, da la offset-ul 0002 (numarul de bytes din ultima pagina de 512-bytes a programului).
Comentarii:
EM receptioneaza controlul cand este executat un fisier infectat. Bucla de decriptare restaureaza codul virusului in forma originala, trecand controlul uneia dintre cele doua rutine de infectare. Prima modifica AUTOEXEC.BAT si creaza EM.COM, iar a doua cauta fisiere EXE pentru a le modifica. Dupa ce rutina de infectare aleasa este realizata, virusul trece controlul inapoi programului gazda (atunci cand este executat dintr-un fisier EXE) sau DOS-ului (cand este executat din EM.COM).
Tehnica EM-ului de detectare a fisierelor EXE deja infectate este destul de neobisnuita: in header-ul EXE, exista doua cuvinte, la offset-urile 0002 si 0004, care contin informatii despre dimensiunea modulului executabil (totusi, lungimea fisierului DOS EXE, este egala cu cea a modului executabil si lungimea datelor overlay, plus tabelul de relocare). Al doilea cuvant (offset-ul 0004 din header-ul EXE) contine numarul de pagini de 512 bytes ocupate de modului executabil.
EM nu verifica datele overlay din fisierele EXE. Ca rezultat, el corupe fisierele avand un bloc overlay (asa cum fac virusii din familia Jerusalem), precum si noul format al fisierelor EXE (asa cum sunt folosite de Windows si OS/2). Este o eroare grosolana, mai ales in anul lui Windows 95! Virusul nu realizeaza trucuri virale standard, precum interceptarea lui Int 24h, pentru aceasta insa are o motivatie - virusul infecteaza doar fisierele de pe drive-ul C: , nici un alt drive nu este accesat in timpul cautarii si infectarii.
Concluzie --> EM nu pare a se raspandi prea mult, prin natura, data fiind trigger-ul sau nu prea frecvent. Totusi, el prezinta o tehnica de replicare interesanta, incercand sa se ascunda uneori in timpul unor procese de boot sistem de durata.


 Enet-613

Spatiul ocupat pe disc:
613 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
NU se manifesta distructiv.
Comentarii:
Virusul infecteaza toate fisierele COM din directorul curent. Daca este duminica va aparea un mesaj si va astepta pina se va apasa o tasta. Atunci se va reseta sistemul. Nu modifica data si timpul fisierelor infectate.


 Espacio.8491

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
8491 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Friday13.540

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
540 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Funeral.900

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Genesis.217

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
217 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Gidra.469

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
469 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Gipro.504

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
504 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Gondor.3072

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 HLLC.Cumulus

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Worm.16850

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
16850 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.4830

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4830 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Nova

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.4075

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4075 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Bdaagwa

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4984 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Anarkia

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1808 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.g

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta. - Reinfecteaza fisierele de tip .EXE.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1824 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.ProtPC.2223

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2223 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 2 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Sunday.II

Pseudonime:
Sunday 2
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Tehnici de ascundere:
Sunt folosite.
Index de ascundere: 6 (aproape de medie, reseteaza atributele, seteaza data fisierului, se ascunde in memorie, dezafecteaza handler-ul de erori).
Familia virusului:
Jerusalem
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: USA ; la data: 6/15/94
ntreruperi interceptate:
21
08
24
Comentarii:
Identificatori asignati de diverse scanner-e: Cheyenne: Sunday-2
ESaSS: Jerusalem related
Frisk: Jerusalem.Sunday_II
H+BEDV: Sunday #4
McAfee: Sunday [Sunday]
NORMAN: Jerusalem Sunday II
Norton: Sunday
S&S: Jeru-Sunday.II Eicar ID: 2abe8e29
Virusi corelati: Sunday #4, Sunday #2, Sunday #3, Jerusalem-Puerto #2, Jerusalem #10, Jerusalem #8, Sunday-II (A), Jerusalem #9.
Replicare: infecteaza doar fisiere COM. Pare ca infecteaza fisierele atunci cand sunt incarcate si executate. Deschide fisierele, muta pointerul de fisiere, citeste fisierele, scrie in fisiere, inchide fisierele. Obtine si seteaza atributele. Obtine si reseteaza data fisierelor. Simptome: sterge fisierele. Scrie caracterele in mod TTY. Efectele pot fi activate in functie de data. Verifica daca data este Sambata 1987. De notat: acces dubios la fisiere. Poate fi capabil sa infecteze fisiere. Programul intercepteaza incarcarea de software, pentru a-l putea infecta. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Foloseste apel intrerupere DOS nedocumentat. Programul ar putea fi doar o farsa, dar la fel de bine poate fi si un virus folosind o modalitate nestandard de a se autodetecta.


 Jocker.1371

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1371 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Jumper

Pseudonime:
Neuville
Jumper.B
2KB
EE
French Boot
Sillybob
Touche
detected
Originea geografica:
Israel sau Franta
Data originii: Iunie 1994
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
ntreruperi interceptate:
1C
21 / 0A
21 / 0E
13
Efecte distructive:
Nu distruge nimic intentionat.
Modul de autodetectare a virusului pe disc:
Daca primul cuvint de la offset 0 din sectorul de boot este EB01, sistemul este infectat.
Comentarii:
Virusul este rezident in memorie. Nu se ascunde. Nu este polimorfic. Memoria scade cu 3k. Inainte de infectie virusul verifica daca exista deja in sistem, daca "NU" va muta sectorul original de boot la fata 0, cilindru 0, sector 14, ocupind locul acestuia.


 Later.981

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
981 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 28 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Lemming.2146

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2146 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Leprosy.47857

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
-17679 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.808

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
808 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Misery.664

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
664 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Seneca.483

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
483 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Maverick.1536

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MemLapse.323

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
323 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mephisto.3.937

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
937 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mgn.2560

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Milan.Naziskin.903

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
903 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.120

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
120 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.985

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
985 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VCode.1886

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1886 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Vengeance.390

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
390 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VICE.02.IceMelt

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2520 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vienna.1881

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1881 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.483

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
483 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Volkov.1684

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1684 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 W.559

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
559 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Warrior.1024

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Willow.2013

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2013 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Witcode.966

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
966 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 WM.Bandung.E

Pseudonime:
MW:Bandung-E
WordMacro/Bandung.E
WM/Bandung.E
BANDUNG.E
Macro.Word.Bandung
Bandung.E
Originea geografica:
Bandung, Indonesia
Data nasterii: Ianuarie 1997
Comentarii:
Diferenta intre aceasta varianta si original este macro-ul "AutoExec". Bandung.G contine numai doua linii. Una este goala iar cealalta contine "DisableAutoMacros". Cind este apelat "ToolsCustomize" virusul schimba litera "a" cu "#@". Virusul nu este distructiv. Nu este liber.


 Yankee.Wobble

Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
3072 o.
Spatiul ocupat pe disc:
2880 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Tehnici de protejare:
- Dezactiveaza tastatura.
ntreruperi interceptate:
21 / C5
21 / C600
21 / C601
21 / C602
21 / C603
21 / 4B
24


 YB.466

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
466 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zerohunter.412

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
412 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Zombie.747

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
747 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 17 Decembrie

Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Virusul se declanseaza la data de 17 Decembrie prin suprascrierea tabelei de partitie a hard discului. Sectorul original de boot de pe hard este copiat la sector 14, pista 0, cap0 iar pe discheta la sector 14 pista 0, cap1 (penultimul sector din directorul radacina). Recuperarea datelor este usoara, insa multi utilizatori au formatat hard discul.


 8888

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Abraxas.1214

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1214 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Adin.3026

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3026 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Aiw.572

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
572 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 ALEX.599

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
599 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
'ALEX' ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Arcv.679

Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Dimensiunea memoriei ocupate:
679 o.
Spatiul ocupat pe disc:
679 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, care poate fi insa detectat printr-un sir 'wildcard'.
Mesaje afisate de virus:
"Naughty, Naughty... ARCV Productions Ltd."
Mesaje neafisate dar continute de corpul virusului:
"Apache Warrior, ARCV Pres." ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE.
Tehnici de protejare:
- Foloseste un stil de codificare special pentru a incurca majoritatea dezasambloarelor.
- Dezactiveaza INT1 si INT 3.
- Foloseste INT 3 pentru unele functii ale sale.
ntreruperi interceptate:
24
A se vedea si:
PS-MPC (ARCV-7)
PS-MPC (ARCV-5)
PS-MPC (ARCV-1)


 Arcv.Anna.745

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
745 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Are_There

Pseudonime:
Codewar
Virusul produce efecte vizuale.
Acesta este pattern-ul hexa pentru Sectoarele de boot; iar pentru memorie este urmatorul: 3D00 4B74 0A80 FC3D 7405 2EFF 2E59 0660 1E06 9133 C0E8 3302
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Acesta este pattern-ul hexa pentru Sectoarele de boot; iar pentru memorie este urmatorul: 3D00 4B74 0A80 FC3D 7405 2EFF 2E59 0660 1E06 9133 C0E8 3302
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
5 ko.
Acesta este pattern-ul hexa pentru Sectoarele de boot; iar pentru memorie este urmatorul: 3D00 4B74 0A80 FC3D 7405 2EFF 2E59 0660 1E06 9133 C0E8 3302
Spatiul ocupat pe disc:
2048 o.
Acesta este pattern-ul hexa pentru Sectoarele de boot; iar pentru memorie este urmatorul: 3D00 4B74 0A80 FC3D 7405 2EFF 2E59 0660 1E06 9133 C0E8 3302
Cum sunt infectate obiectele pe o masina (sau LAN)
Este un infector super-rapid.
Acesta este pattern-ul hexa pentru Sectoarele de boot; iar pentru memorie este urmatorul: 3D00 4B74 0A80 FC3D 7405 2EFF 2E59 0660 1E06 9133 C0E8 3302
Cum sunt infectate obiectele neconectate:
Este un infector super-rapid.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
PSYCH0-TECH GMBH 1995

>>> BRAVED DANGER 4 BRAVE PEOPLe <<<

[[ C.O.D.E.W.A.R ]] <31> Germany 1995

Virtually called to life & survival by MiNDMANiAC!

RGOEPMSQO

==>= AllE GUtEN DiNGE Sind DREi ==>=
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Virusul dechide fisierul tinta si verifica numele sau, infectand doar fisiere *.CO* si *.EX*, cu exceptia L*.*, -*.*, TB*.*, SC*.*, F-*.*, VI*.* (aceste siruri se potrivesc cu numele celor mai populare utilitare anti-virus).
ntreruperi interceptate:
21
13
1C
Int 21h si Int 13H pentru a infecta fisiere/discuri, Int 1Ch pentru a intercepta Int 21h in timpul instalarii.
Comentarii:
Din nefericire, numarul virusilor multi-infectori creste de la saptamana la saptamana. Unul dintre cei mai noi astfel de virusi este Are_Three, un infector COM/EXE/MBR/BOOT, avand 2048 bytes, numit dupa o traducere in Engleza a mesajului in Germana, continut de virus: 'All good things are three'. Din fericire, acesta nu este chiar atat de complex precum One_Half sau alti cativa virusi multi-infectori/stealth/polimorfici. Codul efectiv al virusului Are_Three nu contine un motor polimorfic complex, rutine stealth sau alte trucuri care ar face dificila detectarea si dezinfectarea lui - insa multi-infectia sa a ajutat la raspandirea lui foarte rapida. Cand un fisier infectat este executat, controlul este transferat rutinelor de decriptare ale virusului. In fisier, codul virusului este criptat de trei ori si este decriptat prin bucle de decriptare executate pe rand: prima decripteaza codul celei de a doua, a doua decripteaza codul celei de a treia, iar dupa executia celei de a treia, codul virusului este complet decriptat si gata de executat. Virusul foloseste aceeasi functie in toate buclele: un simplu XOR. Atunci cand este decriptat, virusul transfera controlul rutinei de infectare MBR. Virusul isi encripteaza codul inainte de a se salva pe disc, astfel incat el este encriptat in fisiere la fel de bine ca si in sectoare - pentru ambele, se foloseste acelasi algoritm. Dupa infectarea MBR-ului, virusul returneaza controlul programului gazda si nu se instaleaza in memorie atunci cand este executat de pe un fisier infectat. Algoritmul de encriptare este acelasi atat in sectoare, cat si in fisiere. Are_Three are doar o singura rutina de trigger: la boot-area de pe un floppy sau hard disc infectat, exista 50% sanse ca virusul sa afiseze un mic dot rosu '•', in coltul din top, dreapta-sus, al ecranului. Daca aceasta se intampla sau nu, depinde de starea celui mai putin semnificativ bit al timer-ului.


 Ash.270

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
270 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Assassin.4834

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4834 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'FRöM HÉLL I CAMÉ Tö TAKÉ A LěFÉ AWAY, A SöůLÉ I MůST CöLLÉCT YÖůR BLÖÖD MY WATÉR YÖůR FLÉSH MY BRÉAD.. TöDAY Yöů MÉÉT YöůR ÉND - ASSASSIN$'
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Atas.3321

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3321 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Aurea.768

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
768 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.162

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
162 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.424

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
424 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.AIH.972

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
972 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Beda.883

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
883 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beijing

Pseudonime:
Bloody!
June_4
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Dimensiunea memoriei ocupate:
512 o.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
- Infecteaza MBR-ul de pe hard disc.


 BetaBoys.575

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
575 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 BitAddict.1175

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
1175 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Blackjec.246

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
246 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.369

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
369 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Blood.418

Pseudonime:
Blood
Blood 2
Virusul produce efecte vizuale.
S-ar putea sa aiba acelasi autor ca si virusul Kennedy|_x.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
S-ar putea sa aiba acelasi autor ca si virusul Kennedy|_x.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
418 o.
S-ar putea sa aiba acelasi autor ca si virusul Kennedy|_x.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
S-ar putea sa aiba acelasi autor ca si virusul Kennedy|_x.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
Natal, South Africa
S-ar putea sa aiba acelasi autor ca si virusul Kennedy|_x.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Infecteaza fisiere COM care incep printr-o instructiune (E9) JMP si a caroro lungime este mai mica de 32K. Se ataseaza la sfarsitul fisierului.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative.
Comentarii:
Simptome: S-ar putea ca, ocazional (cu o probabilitate de 1 la 8) sa vedeti mesajul " File infected by BLOOD VIRUS version 1.20".


 Bomb.1942

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1942 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.


 BootEXE.451

Pseudonime:
BFD A
BFD-451
BFD.451
BootEXE
BootEXE-451
BootEXE.451/452
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
451 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
- Infecteaza fisierele .COM.

Regiunea geografica: UK ; la data: 6/15/94
Efecte nedistructive:
Virusul nu produce pagube intentionate, dar provoaca o functionare proasta a sistemului, precum si coruperea atat a fisierelor de date cat si a celor program. Unele sisteme proprietar, de boot si de control a accesului, care folosesc sectorul 12 de pe pista 0 - ar putea fi serios sau ireparabil stricate deoarece virusul incearca sa stocheze acolo sectorul de boot original, fara a verifica daca aceasta va provoca probleme. Unele tipuri de fisiere executabile Windows vor functiona prost dupa infectie. In mod normal, paguba este inghesuita in structura director root a floppy-urilor de 360K.
Modul de autodetectare a virusului in memorie:
O valoare F0h plasata in registrul AH returneaza o valoare 19h in acel registru atunci cand apare o cerere de intrerupere Int13h. Fisierele EXE infectate nu mai incep cu caracterele MZ.
Modul de autodetectare a virusului pe disc:
Virusul compara cei 451 bytes (lungimea sa) aflati la offset-ul 3Bh din MBR.
Comentarii:
Cea mai mare parte a virusului este criptata. Utilizarea memoriei: virusul este rezident in memorie, virusul devine rezident. Se incarca "high". Aloca 4K bytes de memorie (ceea ce uneori este doar spatiu de lucru pentru virus). Codul program va fi relocalizat intr-un stil suspicios. Contine conficte de extensie cu structura programului.


 BrokenHeart.445

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
445 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cheeba.1683

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1683 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Chukcha.554

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
554 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Civilwar.245

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
245 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Rabbit.292

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
292 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Clone.833

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
833 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Como.1786

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1786 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Companion.92

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
92 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 CopCom.286

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
286 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Crazy Boot

Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Efecte distructive:
Dupa 8995 de discuri citite afiseaza un mesaj, dupa care cumputerul se va opri.
Comentarii:
Virusul este rezident in memorie. Calculatorul se infecteaza cind este boot-at de pe o discheta infectata. Foloseste tehnici de ascundere. Nu este criptat. Are "payload", care la un timp predeterminat este activat.


 CRUMBLE

Spatiul ocupat pe disc:
778 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
Daca este Vineri va afisa mesajul: "falling letter", care va cadea pe ecran la fiecare 5 secunde.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
24
Comentarii:
Virusul cauta fisierele EXE si COM din directorul curent pe care le verifica daca au fost infectate. Le va infecta pe cele "curate" numai cite doua. Nu este rezident in memorie. Intercepteaza INT 24h pentru a nu fi divulgat cind infecteaza fisiere protejate la scriere.


 Deicide.622

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
622 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Demonhyak.270

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
270 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Diamond.1063

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1063 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.624

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
624 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Digger.1000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DirVirus.691

Pseudonime:
691
DIR
Dir-I
Dir-Vir
Dir-Vir #2
Dirvir
Pif [Pif]
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Probabil mai devreme de 1991, cam prin 1989.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Probabil mai devreme de 1991, cam prin 1989.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Aloca 1056 bytes de memorie.
Dimensiunea memoriei ocupate:
691 o.
Probabil mai devreme de 1991, cam prin 1989.
Spatiul ocupat pe disc:
691 o.
Probabil mai devreme de 1991, cam prin 1989.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Bulgaria
Probabil mai devreme de 1991, cam prin 1989.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
COMMAND.COM ; Mesajul continut de virus si neafisat nu este criptat.

Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.
A se vedea si:
Dir-Vir #2
Dir #2
Dir-I
Dir-Vir #1
Dir #1
Comentarii:
Infecteaza COMMAND.COM la prima executie, dar COMMAND.COM din DOS 6.2 nu se va incarca pentru executie. Nu va infecta fisierele EXE. Are ca variante DIR.760 din care se pare ca a si derivat. Seteaza secundele fisierelor infectate la 60. Cand este rezident, executarea unui program neinfectat de pe o discheta protejata la scriere, va produce mesajul de eroare "Write protect error writing drive A". CHKDSK va indica, pentru fiecare fisier infectat "Allocation error, size adjusted" atunci cand virusul este rezident. Cand nu este rezident, CHKDSK nu va raporta astfel de erori pentru fisierele deja infectate. Se propaga astfel: Virusul devine rezident atunci cand se executa un fisier infectat. Odata ajuns rezident, el ascunde cresterea dimensiunii fisierelor raportata de comanda DIR. Nu infecteaza la incarcare si la executie, infecteaza insa atunci cand se schimba directorul.


 DM.674

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
674 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DPN.623

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
623 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dudley

Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
4608 o.
Spatiul ocupat pe disc:
1153
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor. ; numarul de octeti constanti din decriptor este 12
Mesaje neafisate dar continute de corpul virusului:
"<[Oi Dudley!][PuKE]>" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In atentia cercetatorilor. ; la data: 3/10/93
ntreruperi interceptate:
21 / 4B00h
21 / 3Dh
21 / 56h
21 / 6Ch
21 / 5454h
Comentarii:
Infector polimorfic pentru COM si EXE. Contine cod care pretine sa infecteze un fisier cu numele ????SC??.???, dat contine un bug.


 Dutch_Tiny.Wild.287

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
287 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 ExeHeader.384

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
384 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Olya.398

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
398 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Explode

Mesaje afisate de virus:
Daca este luna Aprilie sau Mai va aparea mesajul: "Your hard drive is about to explode !". In celelalte luni apare mesajul: "Program too big to fit in memory."
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Cind virusul afiseaza mesajul din luna Aprilie sau May, va distruge toarte datele de pe hard disc. Supra-scrie in fisierul original, astfel acesta este distrus.
Comentarii:
Virusul cauta toate fisierele COM "curate" din directorul curent, dupa care le va infecta. Nu este rezident in memorie. Uneori vor aparea meseje de eroare cind va incerca sa infecteze fisiere protejate la scriere.


 Fair.2083

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2083 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 FaxFree.1024

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 FeelBad.1124

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1124 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FileHider.789

Virusul modifica data si ora fisierelor infectate.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
50 paragrafe.
Spatiul ocupat pe disc:
789 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
21 / 4B00
21 / 3D
21 / A1D5
Efecte nedistructive:
Seteaza atributul "hidden" pentru toate fisierele aflate in directorul curent.
Efecte colaterale:
Vectorul int21 neinterceptat este stocat ca intFF.
Comentarii:
Testul privind numele fisierului este cu mult mai complicat decat ar trebui, fiind descris aici cu mult mai simplu decat este de fapt. Virusul devine rezident introducandu-se in tabelele returnate de int21;AH=52h. Handlerul int21 pretinde sa depaseasca toate handler-ele instalate anterior, presupunand ca prima aparitie in segmentul int21 a cuvantului va fi o instructiune "jump far i####s" punctand pe urmatorul handler. Bineinteles ca nu este mereu asa.


 Fist.625

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
625 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Flagyll.316

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
316 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Forger.1000

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Green.1036

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1036 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Grog.2825

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2825 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Grog.666

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
666 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Grunt.359

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
359 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Gvirus.653

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
653 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Haifa.2352

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2352 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 255 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Hary.981

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
981 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Helloween.1227

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1227 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 HH.1024

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Hitch.1238

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1238 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 HLLP.Voodoo

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4745 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Horror.1182

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1182 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 HWF.937

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
937 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ienez.1428

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1428 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Imi.1536.bcdef

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Int83.584

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
584 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Intruder.1326

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1326 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Ionkin.2372

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2372 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Jackal.3120

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3120 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Jerusalem.1264

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1264 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Karin.1134

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1134 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Keeper.Enemy.644

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
644 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 KEY PRESS. 1232.A

Pseudonime:
Keyclick
Turku
Twins
St. Leos
Spatiul ocupat pe disc:
1232 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 16 pentru fisierele de tip .COM.
lungimea virusului + 240 ... 255 pentru fisierele de tip .EXE.
Cum sunt infectate obiectele neconectate:
Este un infector super-rapid.
Originea geografica:
Frankfurt, Germany?
Caracteristici polimorfice:
- Permuta parti din corpul sau.
Mesaje neafisate dar continute de corpul virusului:
COM
EXE
Tipuri de fisiere infectate:
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
Raspandirea virusului:
Virus comun. Regiunea geografica: USA
Virus comun. Regiunea geografica: Israel
Virus comun. Regiunea geografica: UK
Virus comun. Regiunea geografica: South Africa
Regiunea geografica: Japan
Regiunea geografica: Australia
ntreruperi interceptate:
21
1C
23
24
A se vedea si:
Keypress II (B)
Keypress #3
Keypress #2
Keypress-A
Turku
Keypress #6
Keypress #1
Efecte nedistructive:
Pagubele sint minore. Nucontine cod destructiv.
Comentarii:
Identificatori asignati de diverse scannere:Cheyenne: PrPSR ESaSS:Keypress-II (B) Frisk: Keypress [Key] NORMAN: Keypress 1232a Norton: Keypress S&S: Keypress.a Eicar ID: 705d930a Simptome: La fiecare 10 minute, virusul examineaza tastatura, timp de 2 secunde, urmarind o tasta. Daca o tasta a fost apasata, cheia este repetata, de un numar de ori proportional cu durata apasarii. Astfel, virusul simuleaza o cheie intepenita. Propagare: Devine rezident in memorie atunci cind un fisier COM sau EXE este executat . Infecteaza fisierele pe masura ce sint executate, daca lungimea initiala a fisierului este cuprinsa intre 1217 si 64,064 bytes. Data si ora ora fisierului vor fi alterate la cele corespunzatoare momentului infectarii. Muta pointerul de fisiere, citeste fisiere, scrie in fisiere, inchide fisiere. Obtine atributele. De notat:Acces dubios la fisiere. Codul programului va fi relocat intr-o maniera dubioasa. Alocare suspicioasa a memoriei.Programul ar putea sta rezident in memorie. Construieste un jump dubios. Punctul de intrare este via jump-uri inlantuita sau indirecte. Aceasta este neobisnuit pentru software-ul normal, insa comun pentru virusi. Face determinare EXE/COM, pentru a putea infecta programul. Revine in punctul de intrare. Contine cod pentru a restarta programul dupa ce modificarile de la punctul de intrare au fost efectuate.


 Keypress.1495

Virusul modifica data si ora fisierelor infectate.
Fisierele COM cresc cu 1495 byets, iar cele EXE cu 1735 bytes.
Spatiul ocupat pe disc:
1495 o.
Fisierele COM cresc cu 1495 byets, iar cele EXE cu 1735 bytes.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Fisierele COM cresc cu 1495 byets, iar cele EXE cu 1735 bytes.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative.
Modul de autodetectare a virusului pe disc:
Adauga textul "Hello", la sfarsitul fisierelor infectate.
Comentarii:
Identificatori asignati de diverse scanner-e:
Cheyenne: Keypress-1495
ESaSS: Keypress {2}
Frisk: Keypress.1495
H+BEDV: Keypress #5
McAfee: Keypress [Key]
NORMAN: Keypress 1266
Norton: Keypress
S&S: Keypress.h Eicar ID: 26441c27
Virusi corelati: Keypress #5.
Replicare: Infecteaza deopotriva fisiere COM si EXE. Pare sa infecteze fisierele atunci cand sunt incarcate si executate. Deschide fisierele, muta pointerul de fisiere, citeste fisierele, scrie in fisiere, inchide fisierele. Obtine si seteaza atributele. Obtine si reseteaza data fisierului. Simptome: efectele pot fi activate in functie de data. Verifica daca data este din 1993. Are caracteristici slabe de ascundere. De notat: Acces suspicios la fisiere. Codul program va fi relocat intr-o maniera suspicioasa. Alocare dubioasa a memoriei. Programul foloseste o modalitate nestandard de cautare si/sau alocare a memoriei. Programul intercepteaza incarcarea software-ului pentru a-l putea infecta. Construieste un jump dubios. Punct de intrare via jump-uri inlażntute sau indirecte. Aceasta este neobisnuit pentru software-ul normal, dar nu si pentru virusi. Face determinare EXE/COM pentru a putea infecta fisierele. Revine in punctul de intrare. Contine cod pentru a restarta programul dupa ce modificarie din punctul de intrare au fost efectuate. Deci, caracteristici comune virusilor.


 Khizhnjak.515

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
515 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.Areg.822

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
822 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Killer.964

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
964 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kode4.282

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
282 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 KoreaStranger

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
709 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Kyokushinkai

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2056 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 Lib.4000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 LittBrother.349

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
321 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.1052

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1052 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.Scramble.1256

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1256 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Loz.2269

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2269 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lyceum.1788

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1788 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Macedonia.400

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MadSatan.3839

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3839 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Malign.630

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
630 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Manzon

Loc de rezidenta:
Virusul este rezident in MCB.
Pentru fisiere, ne este posibil un pattern hexa simplu. Acesta va localiza virusul in memorie.
Dimensiunea memoriei ocupate:
1744 o.
Odata virusul rezident in memorie, el trebuie sa permita gazdei sa se execute. Actiunea de a permite aceasta este diferita pentru fisierele COM si cele EXE. Virusul determina tipul fisierului examinand un cuvant din corpul : daca valoarea este 100h, ceea ce semnifica un fisier COM, startul imaginii fisierului din memorie este reparat folosind valorile salvate in timpul infectiei. Toare registrele sunt setate pe zero iar virusul construieste un return la offset-ul 100h din segmentul curent - suficient pentru a apela gazda in mod normal.
Spatiul ocupat pe disc:
1400 o.
Pentru fisiere, ne este posibil un pattern hexa simplu. Acesta va localiza virusul in memorie.
Mesaje neafisate dar continute de corpul virusului:
'MANZON (c) Sgg1F5PZ' ; Mesajul continut de virus si neafisat este criptat.
Virusul isi trage numele acest text continut in corpul sau si vizibil dupa decriptare.; Virusul isi trage numele acest text continut in corpul sau si vizibil dupa decriptare.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21
Tinta virusului este doar Int 21h: acest handler va da virusului control asupra activitatii fisierului. Virusul apeleaza mai intai Int 21h cu AX=DCBA. Daca la returnare, receptioneaza DX=DCBAh, virusul este considerat rezident, iar Manzon permite gazdei sa se execute. Altfel, se auto-instaleaza in memorie, folosind apeluri standard DOS Int 21h. Urmatorul apel este facut pentru functia 4Ah, folosita pentru solicita DOS sa extinda segmentul de cod curent la FFFFh (paragrafe). Scopul pentru asa, este de a returna in registrul BX dimensiunea maxima (exprimata in paragrafe) a segmentului de cod. Manzon extrag apoi 1744 bytes si micsoreaza corespunzator segmentul, repetand apelul. Virusul a creat astfel un gol de 1744bytes, in memorie.
Modul de autodetectare a virusului in memorie:
Punctul de start al programului, asa cum este definit in header-ul EXE sau in COM JMP-ul initial, este in domeniul delimitat de <1398 sau >1670.
Comentarii:
Manzon este un exemplu de virus fisier care are putine probleme de supravietuire si de multiplicare 'in natura'. El demonstreaza cateva tehnici avansate de programare. Codul sau polimorfic si encriptat ar trebui sa fie considerat o amenintare foarte reala. Din fericire, nu poarta cu el un 'payload' sau o rutina trigger.


 Trivial.Kode4.131

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
131 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tu.482

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
448 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 TVED.Trurl.789

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
789 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ugur.1297

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1297 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Uruguay.1

Pseudonime:
Uruguvau
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
4752 o.
Spatiul ocupat pe disc:
2360 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 23
Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor. ; numarul de octeti constanti din decriptor este 6
Mesaje afisate de virus:
"The BEATLEMANIA is alive!

THE BEATLES, for ever, the best.

John, Paul, George and Ringo, ladies and gentlemen, here they are!

PLEASE, PLEASE ME. WITH THE BEATLES. A HARD DAY'S NIGHT.

BEATLES FOR SALE. HELP. RUBBER SOUL. REVOLVER.

SGT.PEEPERS LONELY HEARTS CLUB BAND. THE BEATLES. YELLOW SUBMARINE.

ABBEY ROAD. LET IT BE. MAGICAL MISTERY TOUR. Other LP and singles available...

Virus 'Uruguay-#1'

Programmed in Montevideo (URUGUAY) by F3161. 03/92.

This is a research virus - DO NOT DISTRIBUTE." ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
- Se instaleaza intr-o pozitie aleatoare din fisier
APPENDING {Size =<94c}

RANDOM {Size >94C}
Tehnici de protejare:
- Foloseste nivele de criptare multiple.

; la data: 1/31/94
ntreruperi interceptate:
01
13
21 / 4B00
21 / 3D00
24
2A
Efecte nedistructive:
Virusul arata pe ecran mesajul indicat (v. Mesaj afisat), folosind serviciul DOS INT_21/AH=2. Imprimarea este intarziata si tine cateva secunde. Ea este acompaniata de tonuri muzicale aleatoare, calculate din codul ASCII al caracterelor imprimate.
Conditii de declansare a efectelor nedistructive:
ExecInfected and (byte[0:46C]=0)
Conditii de declansare a infectarii:
(Exec or (Open and (*.COM or *.EXE))) and (Size>200h and Size= (Size mod 13h)<>0 and
Nu este valabil pentru COMMAND.COM
Modul de autodetectare a virusului in memorie:
INT_21;AX=3032;DX=1234 -> AX=5678
Comentarii:
Fisierele EXE sunt comutate in COM-uri, iar codul virusului este adaugat, intr-o forma encriptata, la sfarsitul fisierului. Fisierul starteaza cu un JMP la decriptorul virusului (offset E9), consumand 3bytes. Atunci cand un program infectat primeste controlul, virusul se copiaza in segmetul aflat in topul memoriei conventionale utilizabile. Memoria disponibila DOS-ului este redusa. Daca calculatorul are 640K, se poate calcula usor codul segmentului de virus (MEMORY_SIZE=129para, CS=A000-129=9ED7; veti avea 9ED6 daca este folosit UMB, deoarece topul paragrafului va fi BFFF, nu A000). Dupa decriptarea corpului sau, virusul restaureaza startul fisierului infectat (3bytes) si, daca era un EXE, face el insusi relocarile necesare. Apoi, codul este mutat in memoria joasa, deoarece nu mai este nevoie de header-ul EXE. Virusul intercepteaza DOS INT_21 rescriind startul rutinei de tratarea a serviciului DOS cu un FAR JMP la codul viral. Virusul foloseste dimensiunea fisierului pentru a indica infectia. Fisierul infectat cu Uruguay.1 are intotdeauna o dimensiune divizibila cu 13h.


 Uruk.361

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
361 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.1320

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1320 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.2371

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2371 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 V.475

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
475 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.707

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
707 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.582

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
582 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.644

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
644 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.742

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
742 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.939

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
939 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Violator.2262

Virusul produce efecte sonore.
Fisierele infectate au valoarea secundelor setata la 62.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Fisierele infectate au valoarea secundelor setata la 62.
Virusul modifica data si ora fisierelor infectate.
Fisierele infectate au valoarea secundelor setata la 62.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2262 o.
Fisierele infectate au valoarea secundelor setata la 62.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Toronto, Canada
Fisierele infectate au valoarea secundelor setata la 62.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
ntreruperi interceptate:
20
21
26
21/1A, 21/2A, 21/2C, 21/2F, 21/30, 21/3D, 21/3E, 21/3F, 21/40, 21/4200, 21/4202, 21/4300, 21/4301, 21/4E, 21/4F, 21/5700, 21/5701.
Comentarii:
Note: Urmatoarele comentarii apar in codul sursa al virusului:
"Well, in memory of the first anniversary of writing Violator, I have decided to release it's source code publicly.
This is the source code to the ORIGINAL Violator or DDrUS virus. It was set to go off on June 22nd, 1990. The significance of this date and the name Violator, was that my favourite group, Depeche Mode, were comming to Toronto to perform their "World Violator Tour" on that date.
This virus, as you can clearly see, is a base hack of the Vienna virus. The only thing I took out of the Vienna virus was the original scan string, and added date check routines as well as the INT 26 format routine. Other than that, this virus is pretty much like the original Vienna virus.
In any event, have fun with this source code, but please keep in mind, that RABID does not condone the modification of this virus further in order to create even more raging, destructive viruses. This source is being provided to you in order to see how easy it is to modify an existing virus into an instrument of destruction. Also, RABID accepts no responsibility for damage which may be wrought (material or immaterial, financial or personal, you get the idea...) through the spreading of this source code.
At this point in time, I'd wish to express greetings to several people.
To the Dark Avenger, for releasing "Eddie" source code. We have greatly improved our programming prowess through analysis of your source code. (It wasn't that bad, despite all your self-scorning negative comments about effectiveness of certain procedures) Keep up the great work... BTW: Hope you didn't mind RABID Avenger too much. We did spread the sucker some more...
To YAM (Youth Against McAfee). Haha! Nice name. Too bad you can't program in anything other than PASCAL or QuickBASIC.
To John McAfee and Associates. Keep up the great work with your SCAN and CLEAN programs. But remember, if it wasn't for people like us, you wouldn't be where you are now... (BTW: How'dya like Violator B4? Did you get our message, despite the bug in the ANSI routines? >SMOOCH< (hehe))
To Mark Washburn. V2P6 is excellent. We love the source code... (Yes! We have it as well...) Keep up the great work, even if it is for research purposes.
To Eric Omen (DSZ Author). Sorry about the Strain B4 bit. It wasn't our doing. You can blame L.o.L. for that...
To L.o.L. Get real lives you pre-pubesent assholes. Your group sucks! What good comes by releasing a doc on 500 ways to crash Emulex, and claiming that you know the backdoors to it, and other BBS software. Yup. Just keep going to those Beverly Hills Snob Private schools and think you'll get somewhere in the world.
To Slave Lord. Take your precious group and shove it up your ass sideways. Your cracks suck man! A friend of mine who attended COMDEX last year can sum up the majority of your group in one word. GEEKS! INC rules and it always will. Keep on dreaming... We eat assholes like you for breakfast... Need we even mention how many times we crashed Slave Den last year??? 'Nuff said...
To PCM2. Where the hell are you man? Get working guy...
And to all other virus writers out there who remain annonomous. Keep up the great work. McFee wouldn't be where he is now unless it wansn't for people
like us. (He should be greatfull...
Take care guys... And watch out. We're everywhere..."


 Viking.1600

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VirDem.824

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
824 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Virogen.PinWorm.2150

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2150 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VIV.524

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
524 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 VLAD.Monkeys.288

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
288 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 WM.Dark.A

Pseudonime:
Winword.Dark
MW:Dark-A
WM/Dark
WordMacro/Dark.A
Dark
WinWord.DarkSide-1
Originea geografica:
Peru
A aparut in Ianuarie 1996.
Mesaje neafisate dar continute de corpul virusului:
"ATENCION: esta computadora ha sido infectada!. DarkSide1 sin una computadora es como Billy The Kid sin un revolver! !… Virus DarkSide1 creado en la ciudat de Lima en enero de 1997-=] DarkSide1 Is a peruvian virus writer [=-"
Comentarii:
Dark.A este un virus de Word cu 4 macro-uri, fiecare cu dimensiunea de 1304 bytes. Infecteaza Normal.dot cind documentul infectat este inchis. Pentru a fi mai greu de depistat supra-scrie optiunile Tools/Macro si Herram/Macro cu codul sau. Este criptat. Nu se afla in libertate.


 WM.Hunter.A

Pseudonime:
MW:Hunter-A
WM/Hunter.A
Winword.Hunter.A
WM6.HeadHunter
MacroWord.Hunter
WordMacro.Hunter.A
Originea geografica:
Germania
Data aparitiei: 17 Octombrie 1995.
Mesaje afisate de virus:
La un moment care depinde de timpul sistemului, virusul va afisa o casuta de dialogcu titlul " HeadHunter V3.0 " si care are mesajul "One - You lock the target

Two - You bait the line

Three - You slowly spread the net

And four - You catch the man "
Mesaje neafisate dar continute de corpul virusului:
********************************************************************

*** by Neurobasher, 17.10.1995, Germany ***

*** Boring experimental Winword virus with minor retro & stealth ***

********************************************************************

*** "I'm looking for a man who knows the rules of the game" ***

*** "Who's able to forget them to realize my aim" ***

********************************************************************
Comentarii:
Este un virus de Word care are trei macro-uri: AutoOpen, DateiNeu si ExtrasMakro. Virusul salveaza fisierul infectat in directorul de start al Winword-ului sub numele WINWORD.DOT. Infecteaza documentele cind este apelat DateiNeu (FileNew). Macroul ExtrasMacro (ToolsMacro) este folosit pentru ca virusul sa se ascunda. Este criptat.


 WM.Lucy.A

Pseudonime:
MW:Lucy-A
Winword.Lucyfer
WordMacro/Lucy.A
Macro.Word.Lucifer
WM/Lucy.A
Originea geografica:
Indonesia
A aparut in Iunie 1997.
Mesaje afisate de virus:
Afiseaza o imagine BMP si mesajul: " Code Name : Lucifer

Again!!!, from Darkside on Yogyakarta

I'll cross your heart !!

lucifer@Sulthans_Palace.com". Cind este apelat meniul Tools/Macro afiseaza o fereastra de dialog cu urmatorul mesaj: "Message from Lucifer

We knew that the first WordMacro virus was created by McNamara. But, somebody tried to convince that he was the conceptor!! His name is: MILKY WAHYUDI WIDJAJA

His speech like bullshit!!

I'm the one of MV creator call him VIRUS CLAIMER, NOT VIRUS MAKER !! isn't he Phardera ?

Greeting to Everyone

Notice : this is not a virus, just a message don't kill me!! ".
Comentarii:
Este un virus deWord, criptat, care are trei macro-uri in documente: Close, Lucifer, AutoOpen si 6 macro-uri in Normal.Dot: AutoOpen, AutoClose, Close, ToolsMacro (stealth), FileTemplates, Lucifer. Sistemul este infectat cind un fisier care contine virusul este deschis cu AutoOpen, iar fisierele sint infectate cind sint inchise cu AutoClose. In ziua de 15 a fiecarei luni virusul copiaza fisierul C:\AUTOEXEC.BAT in fisierul C:\AUTOEXEC.LUS si scrie urmatoarea comanda AUTOEXEC.BAT: @Echo Off"
CD\WINDOWS\"
Ren .dll .lus"
CD\WINDOWS\SYSTEM\"
Ren .dll .lus"
CD\"
Ren C:\AUTOEXEC.LUS C:\AOTUEXEC.BAT.


 WM.Plushad.A

Pseudonime:
MW:Plushad-A
WordMacro/Plushad.A
Macro.Word.Hades
Plushad.A
Mesaje neafisate dar continute de corpul virusului:
"Hades"
Efecte distructive:
In data de 5 Decembrie sterge toate fisierele de hard si introduce in documentul curent 9666 de caractere.
Comentarii:
Esteun virus de Word care are un singur macro AutoOpen. In data de 30 Septembrie, incepind cu ora 7:00 seteaza parole pentru documente care contin diferite caractere si textul "Hades".


 WM.Volcano.A

Pseudonime:
MW:Volcano-A
Winword.Volcano
WM/Volcano.A
WinWord.NoMercy.Italian
Mesaje afisate de virus:
Afiseaza o fereastra de dialog care are titlul: "+ Chr$(13) + "Virus Name: Etna" + Chr$(13) + "NoMercy Product '97", "-=foxz NoMercy Members=-", 48 ".
Mesaje neafisate dar continute de corpul virusului:
a virus from NoMercy but Italian Version!

created on Yogyakarta, Indonesia

Jun 97 by foxz@biosys.net

Dedicated to my friend in Italia "D.Giovanni".
Comentarii:
Este un virus de Word care are 3 macro-uri: NoMercy, AutoOpen si AutoClose. Nu se ascunde. A aparut in februarie 1997.


 Word.1387

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1387 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 XEP.1355

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1355 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Xph.1029

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1029 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yam.3596

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3596 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Yankee.2561

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2561 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Aman.10716

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
10716 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Mini.195

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
195 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Minimax

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
31125 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MISis

Pseudonime:
Zharinov
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi. adresa 0020:0053
Dimensiunea memoriei ocupate:
121 o.
Spatiul ocupat pe disc:
1 sectoare.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13 / 02
Modul de penetrare a virusului:
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct.
Precum majoritatea infectorilor de Boot/MBR.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/6 pe un hard disc.
- Pista/capul/sectorul 0/1/3 pe un floppy de 360 KO.
- Pista/capul/sectorul 0/1/3 pe un floppy de 720 KO.
- Pista/capul/sectorul 0/1/12 pe un floppy de 1.2 MO.
- Pista/capul/sectorul 0/1/12 pe un floppy de 1.44 MO.
Tehnici de protejare:
- Foloseste un stil de codificare special pentru a incurca majoritatea dezasambloarelor.
Raspandirea virusului:
In atentia cercetatorilor. ; la data: 12/22/93
ntreruperi interceptate:
13 / 02
Efecte nedistructive:
Afiseaza texte colorate in limba Rusa, asteptand o tastare.
Conditii de declansare a efectelor nedistructive:
INT 13 and AH=02 and CX=1 and DH=00 and DL<=81h and BYTE PTR [0:46C]=0 and VideoMode<=7 { MBR sau sectorul de Boot de pe floppy este citit, iar byte-ul cel mai putin semnificativ BIOS ticks este 0 }
Conditii de declansare a infectarii:
Daca se booteaza de pe un floppy (hard) disc, INT 13 si AH=02, CX=1, DH=0, DL<80h (floppy).
Modul de autodetectare a virusului pe disc:
PDisk[0/0/1][0,1] = 0C933H { primii doi bytes din MBR sau din BOOT }
Comentarii:
Virusul este interesant atat timp cat, spre deosebire de alti infectori de MBR/Boot, pastreaza rezidenta doar o parte din codul sau. Restul codului este citit dintr-un MBR infectat atunci cand devine necesar (pentru a infecta un alt floppy).


 Mnemonix.100%

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
684 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mnemonix.Vicious

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
918 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Moose.631

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
631 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mr_D.1569

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1569 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 MSTU.533

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
533 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MtE.Insuff

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2712 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mummy.1364

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1364 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Murphy.Amilia

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1614 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Murphy.Napalm

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2326 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.12.Agent.1874

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1874 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mws.788

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
788 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Nculi.1688

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1688 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 NewModel.533

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
533 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Amz.789

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
789 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 NightKnight

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1944 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 NoFrills.840

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
843 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Nov7.482

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
482 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Elvis

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1250 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.1844

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1844 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nutcracker.AB7

Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Virusul sta resident doar daca este incarcat de pe un sector de boot infectat sau din MBR. Pentru a obtine memoria necesara copiei sale rezidente in memorie. Nutcracker.AB7 apeleaza mai intai driver-ul XMS (de obicei, HIMEM.SYS) pentru a aloca un bloc in memoria upper. Daca aceasta esueaza (fie driver-ul XMS nu este instalat, fie nu este memorie upper suficienta), virusul aloca un bloc de memorie conventionala, care se uneste cu blocul precedent, manipuland lantul MCB. Astfel, copia rezidenta a virusului va fi localizata fie in memoria upper, fie intr-o extensie a driver-ului blocului de memorie sistem. Acest virus se ascunde bine: browser-ele de memorie standard nu releva nimic neobisnuit.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Virusul sta resident doar daca este incarcat de pe un sector de boot infectat sau din MBR. Pentru a obtine memoria necesara copiei sale rezidente in memorie. Nutcracker.AB7 apeleaza mai intai driver-ul XMS (de obicei, HIMEM.SYS) pentru a aloca un bloc in memoria upper. Daca aceasta esueaza (fie driver-ul XMS nu este instalat, fie nu este memorie upper suficienta), virusul aloca un bloc de memorie conventionala, care se uneste cu blocul precedent, manipuland lantul MCB. Astfel, copia rezidenta a virusului va fi localizata fie in memoria upper, fie intr-o extensie a driver-ului blocului de memorie sistem. Acest virus se ascunde bine: browser-ele de memorie standard nu releva nimic neobisnuit.
Loc de rezidenta:
Virusul este rezident ca un TSR. adresa 0000:7C00
Virusul sta resident doar daca este incarcat de pe un sector de boot infectat sau din MBR. Pentru a obtine memoria necesara copiei sale rezidente in memorie. Nutcracker.AB7 apeleaza mai intai driver-ul XMS (de obicei, HIMEM.SYS) pentru a aloca un bloc in memoria upper. Daca aceasta esueaza (fie driver-ul XMS nu este instalat, fie nu este memorie upper suficienta), virusul aloca un bloc de memorie conventionala, care se uneste cu blocul precedent, manipuland lantul MCB. Astfel, copia rezidenta a virusului va fi localizata fie in memoria upper, fie intr-o extensie a driver-ului blocului de memorie sistem. Acest virus se ascunde bine: browser-ele de memorie standard nu releva nimic neobisnuit.
Spatiul ocupat pe disc:
2000 o.
Virusul sta resident doar daca este incarcat de pe un sector de boot infectat sau din MBR. Pentru a obtine memoria necesara copiei sale rezidente in memorie. Nutcracker.AB7 apeleaza mai intai driver-ul XMS (de obicei, HIMEM.SYS) pentru a aloca un bloc in memoria upper. Daca aceasta esueaza (fie driver-ul XMS nu este instalat, fie nu este memorie upper suficienta), virusul aloca un bloc de memorie conventionala, care se uneste cu blocul precedent, manipuland lantul MCB. Astfel, copia rezidenta a virusului va fi localizata fie in memoria upper, fie intr-o extensie a driver-ului blocului de memorie sistem. Acest virus se ascunde bine: browser-ele de memorie standard nu releva nimic neobisnuit.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13
40
Aceasta varianta de Nutcracker foloseste Int 13h sau Int 40h pentru a realiza functii stealth - el este invizibil in sectoarele infectate in timp ce se afla in memorie. Virusul manifesta o comportare speciala referitor la verificarea discului si la utilitarele CRC: el intercepteaza Int 9h si Int 21h si, atunci cand a remarcat ca un astfel de utilitar este startat, se auto-elimina din MBR, reinfectand apoi urmatorul program care se executa sau calculatorul care este boot-at de la tastatura. Virusul intercepteaza doua functii Int 15h (AX=9000h, 9001h), probabil pentru a se ascunde intr-un mediu multitasking. Int 15h este apelata de sistemul de operare atunci cand un device este ocupat, pentru a permite programelor multitasking sa intercepteze intreruperea si sa permita comutarea intre taskuri, in asteptarea unui device auxiliar. In timp ce se boot-eaza de un disc infectat, virusul verifica data sistemului, si daca este 12 Ianuarie, afiseaza mesajul "I'm Nutcracker (AB7)". Cea mai interesanta tehnica a sa este cea pe care o foloseste pentru a evita detectarea de catre verificatoarele de integritate. AB7 este un infector lent si loveste doar noile fisiere. Deoarece CRC-ul nu este disponibil pentru fisierele nou-create, fisierele infectate nu sunt detectate; nici modificarile nu sunt gasite: nu exusta nici un bloc de memorie suspicios, fisierele existente au acelasi CRC, iar Master Boot Recorder nu este infectat. Dupa iesierea dintr-un utilitar CRC, virusul reinfecteaza MBR-ul si intreg procesul se reia din nou.; Aceasta varianta de Nutcracker foloseste Int 13h sau Int 40h pentru a realiza functii stealth - el este invizibil in sectoarele infectate in timp ce se afla in memorie. Virusul manifesta o comportare speciala referitor la verificarea discului si la utilitarele CRC: el intercepteaza Int 9h si Int 21h si, atunci cand a remarcat ca un astfel de utilitar este startat, se auto-elimina din MBR, reinfectand apoi urmatorul program care se executa sau calculatorul care este boot-at de la tastatura. Virusul intercepteaza doua functii Int 15h (AX=9000h, 9001h), probabil pentru a se ascunde intr-un mediu multitasking. Int 15h este apelata de sistemul de operare atunci cand un device este ocupat, pentru a permite programelor multitasking sa intercepteze intreruperea si sa permita comutarea intre taskuri, in asteptarea unui device auxiliar. In timp ce se boot-eaza de un disc infectat, virusul verifica data sistemului, si daca este 12 Ianuarie, afiseaza mesajul "I'm Nutcracker (AB7)". Cea mai interesanta tehnica a sa este cea pe care o foloseste pentru a evita detectarea de catre verificatoarele de integritate. AB7 este un infector lent si loveste doar noile fisiere. Deoarece CRC-ul nu este disponibil pentru fisierele nou-create, fisierele infectate nu sunt detectate; nici modificarile nu sunt gasite: nu exusta nici un bloc de memorie suspicios, fisierele existente au acelasi CRC, iar Master Boot Recorder nu este infectat. Dupa iesierea dintr-un utilitar CRC, virusul reinfecteaza MBR-ul si intreg procesul se reia din nou.
Familia virusului:
Nutcracker
Virusul sta resident doar daca este incarcat de pe un sector de boot infectat sau din MBR. Pentru a obtine memoria necesara copiei sale rezidente in memorie. Nutcracker.AB7 apeleaza mai intai driver-ul XMS (de obicei, HIMEM.SYS) pentru a aloca un bloc in memoria upper. Daca aceasta esueaza (fie driver-ul XMS nu este instalat, fie nu este memorie upper suficienta), virusul aloca un bloc de memorie conventionala, care se uneste cu blocul precedent, manipuland lantul MCB. Astfel, copia rezidenta a virusului va fi localizata fie in memoria upper, fie intr-o extensie a driver-ului blocului de memorie sistem. Acest virus se ascunde bine: browser-ele de memorie standard nu releva nimic neobisnuit.
Mesaje afisate de virus:
"I'm Nutcracker (AB7)"
Mesaje neafisate dar continute de corpul virusului:
1995 ; Mesajul continut de virus si neafisat nu este criptat.
Nutcracker ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
ntreruperi interceptate:
9
21
15
13
40
1C
2F
Pentru a infecta fisierele, virusul intercepteaza Int 21h si apelurile DOS ale functiilor Execute, Create, Close si FindFirst/Next By Name. Virusul descreste lungimea fisierelor infectate pentru a le face sa para neinfectate, folosind apeluri FindFirst/FindNext. Deci, Int 13h pentru ascundere (stealth); Int 40h pentru ascunderea in cazul infectiei sectoarelor de boot si a floppy-urilor; Int 21h pentru a detecta incarcarea DOS; Int 15h, Int 2Fh si Int 9h, Int 21h (functii diferite pentru infectia fisierelor si pentru tehnicile ascundere folosite).
Conditii de declansare a infectarii:
Pe 2 Ianuarie, in timpul boot-arii de pe un disc infectat, se afiseaza mesajul indicat.
Modul de autodetectare a virusului pe disc:
Campul secundelor din marca de timp este setat pe 58.
Comentarii:
In 1995, a aparut un nou 'talent' in lumea scriitorilor de virusi. Asfel, acesta a produs o adevarata familie, cuprinzand cativa virusi, care sunt dificil de analizat, de detectat si de dezinfectat. Identificatorul '1995' apare in fiecare dintre acestia. Din nefericire, acest asa-zis talent este atent, grijuliu, bombardandu-ne cu un grup de virusi care folosesc metode diferite de infectare, ascundere si polimorfism, si care se manifesta in forme variate. Familia a fost denumita Nutcracker, dupa un cuvant care apare in sirurile-text interne, ale fiecaruia dintre variante. Caracteristica lor cea mai interesanta este infectia produsa in mijlocul fisierelor (avand o bucla de decriptare polimorfica la sfarsit), cu efect de "cal troian" asupra fisierelor SYS si a MBR-ului de pe drive-ul hard si modificand fisierele EXE intr-o maniera similara virusului One_Half. Ultima varianta a acestei familii, Nutcracker.AB7 este membrul cel mai interesant. El este multi-infector, stealth, necriptat, avand exact 2000 bytes lungime, infectand fisierele EXE, MBR-ul drive-ului hard si sectoarele de boot de pe floppy. Eliminarea virusului: In conditiile unui sistem curat, se identifica si se inlocuiesc fisierele si sectoarele infectate.


 Omi.986

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
986 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Oropax

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2756 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Oxana.1555

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1555 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Parasite.901

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
901 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pcbb.1656

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.


 Pcvrs.1904

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1904 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Perfume.765

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
765 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Phx.1289

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1289 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pitch.593

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
593 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.739

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
739 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ANDROMEDA.758

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
758 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Cheef.297

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
297 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 PL006.480

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
480 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Pojer.1935

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1935 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Poss.2438

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2438 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Predator.1195

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1195 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Protect.1157

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1157 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pysk.1536

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Radish.8466

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8466 o.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.


 Rajaat.700

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Rat.615

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
615 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Renegade.1176

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1176 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.282

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
282 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.CarpeDiem.469

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
469 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Digital.1354

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1354 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Immortal.377

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
265 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Multiplex.821

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
821 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Anticmos.A

Pseudonime:
CMOS Killer
Lennart
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
Conditii de declansare a infectarii:
Infectia se declanseaza intimplator (aleator)
Comentarii:
Anticmos este un virus tipic de boot. Sterge toate informatiile CMOS ale computerului. Acestea include informatii despre tipul de floppy si driver-ele de pe hard disc, deci computerul devine ne-boot-abil. El infecteaza sectorul master boot de pe hard disc si sectorul de boot de pe floppy disk. Ssectoarele de pe floppy respectiv hard disk nu sint pastrate daca au fost infectate. Exista o varianta, Anticmos LiXi (alias:Anticmos B) care contine textul 'I am Li Xibin'.


 Riot.TTT.712

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
712 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 RMNS.456

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
456 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Rubbit.3839

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3839 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Satria.B

Pseudonime:
I_love
Virusul produce efecte vizuale.
Pattern-ul hexa din MBS/DBS si din memorie.
Virusul produce blocaje ale PC-ului.
Virusul este prost scris (are erori).
Pattern-ul hexa din MBS/DBS si din memorie.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Familia virusului:
Satria
Pattern-ul hexa din MBS/DBS si din memorie.
Caracteristici polimorfice:
- Nu este criptat.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Australia ; la data: 10/31/95
ntreruperi interceptate:
13
Efecte nedistructive:
Afiseaza o imagine 'dragalasa' dupa boot-area de pe un floppy infectat. Nu contine mesaje.
Modul de autodetectare a virusului pe disc:
Cuvantul BFBEh la offset-ul 1Bh.
Comentarii:
Cand privim numarul de virusi cunoscuti si numarul celor care se replica liber in comunitatea utilizatorilor, constatam ca desi infectorii sectorului de boot (incluzandu-i si pe cei multi-infectori), raportat la numarul total ala virusilor, reprezinta o fractiune mica, totusi acestia sunt responsabili pentru marea majoritate a incidentelor 'din lume'. Pe la mijlocul lunii Mai 1995, in Australia a aparut un nou infector al sectorului de boot (denumit dupa unul din sirurile sale interne - Satria). La sfarsitul lui Octombrie, la o universitate locala, a fost descoperit un alt nou virus. Dupa o scurta privire, Satria fiind deja cunoscut a fost redenumit Satria.A, iar noul specimen intrat in familie, a fost denumit Satria.B. Comparatia lor nu lasa nici un fel de dubii ca cei doi virusi sunt corelati; totusi diferentele sunt semnificative, in special in ceea ce priveste recuperarea discurilor infectate cu Satria. Probabil ca autorul originalului Satria era atat de indragostit incat nu i-a ajuns sa-si exprime sentimentele doar o data pe an si decis sa produca ceva nou, fara prea multa munca. Motivele nu sunt importante, ci faptul ca noi avem de-a face cu un nou virus. Termenul caracteristic celei de a doua variante este nerabdarea. Atunci cand se boot-eaza de pe un floppy infectat si dupa auto-instalarea sa in memorie si activarea noii proceduri Int 13h, Satria.B nu asteapta pana cand hard discul este accesat, ci verifica inainte si infecteaza, daca este necesar. Originalul MSB nu este stocat nicaieri pe disc. Tabelul de partitii este partial stricat (ultimii 8 bytes de la sfarsitul informatiilor partitiei sunt pierduti) iar intreaga procedura de boot este suprascrisa cu codul virusului. De asemenea, Satria.B este nerabdator sa-si afiseze mesajul, cat de repede posibil: inainte de a transfera controlul originalului DBS, virusul afiseaza o imagine similara cu cea a variantei .A: aceasta se intampla la boot-area de pe o discheta infectata, astfel incat, aproape fiecare boot este imposibil sa-l rateze. Din nefericire, la momentul in care-si produce pe ecran 'dragalasa' imagine, hard discul este deja infectat. La boot-area de pe un hard disc infectat si dupa instalarea codului virusului, Satria.B trece controlul codului incarcat de la capul 0, cilindrul 0, sector 1. Pe majoritatea sistemelor, aceasta ar merge bine, insa pe acele sisteme a caror partitie boot-abila incepe in alta paret, sau cu discuri avand sisteme de protectie aditionale, instalarea s-ar putea sa se produca altfel decat se asteapta de obicei (si eventual sa crape). Este de-a dreptul interesant cum un tip de 'payload' poate schimba perceptia unui virus. Aproape toti utilizatorii au fost amuzati si intrigati de 'gragalasul' ecran, mai de graba decat speriati de un nou (si potential periculos) virus. Lucrurile care arata bine nu sunt presupuse ca fiind daunatoare: daca insa arata si suna infricosator, atunci trebuie sa fie periculoase. Imaginati-va care ar fi fost impactul daca Satria, in loc de o inocenta imagine, ar fi afisat un mesaj amenintator. Eliminare: de pe MSB - curatarea boot-ului de pe floppy DOS. Inlocuirea cu o copie a sectorului original de pe discul backup. Daca discul are sector de boot FDISK, se executa 'FDISK/MBR'. De pe floppy - se inlocuieste DBS cu capul 1, cilindrul 0, sector 3 (360KB) sau sector 14 (1.2MB si 1.44MB). Daca sectorul specificat nu contine un sector de boot curat, se executa 'SYS ' sau 'FORMAT '.


 Screaming_Fist.927

Pseudonime:
Sticky
Nu_Way
Multi2
Fist.927
Virusul este de fapt un "dropper"'.
Un 'dropper' MBS.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Un 'dropper' MBS.
Dimensiunea memoriei ocupate:
3 ko.
Un 'dropper' MBS.
Spatiul ocupat pe disc:
927 o.
Un 'dropper' MBS.
Familia virusului:
Screaming_Fist/EMF/Enemy
Elementul confuz despre acest virus este relatia sa cu clanul Screaming_Fist: virusul este legat prin numele sa de familia Screaming_Fist/EMF/Enemy (infectori de fisiere), in ciuda faptului ca este mai mult in genul lui Tequila, primitiv, encriptat si multi-infector.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.
ntreruperi interceptate:
13
21
1C
Int 13h pentru read/stealth MBS; Int 21h pentru a infecta COM/EXE; Int 1Ch (temporar) in timpul instalarii pentru a intercepta Int 21h.
Modul de autodetectare a virusului in memorie:
Apelul 'Are you there?', AX=0FEEFh, valoarea 1234h returnata in registrul AX.
Modul de autodetectare a virusului pe disc:
Auto-recunostere in MBS: 18 bytes, incepand de la offset-ul 1Ah. Auto-recunoastere in fisiere: pentru COM: al patrulea byte este egal cu al doilea, minus 1; pentru EXE: IP-ul initial este setat pe 1.
Comentarii:
Caracteristici unice --> O descrire a ciclului de viata al virusului arata repede similaritatile acestuia cu Tequila:
• un fisier COM sau EXE este executat pe un sistem curat, iar virusul sare (drop) in MBS-ul hard discului, stocand restul codului sau in setoarele 2-4, pista 0, cap 0.
• sistemul infectat este boot-at ulterior, iar Sticky devine rezident, gata sa infecteze fisierele COM si EXE.
• virusul infecteaza fisierele COM sau EXE atunci cand sunt deschise, executate, redenumite sau cand unul dintre atributele fisierului este modificat (exceptand programele cu numele SCAN). Virulenta este moderata. Scanner-ele de virusi, negasind virusul activ in memorie, vor provoca o infectie dezastru.
Metoda simpla folosita de Timer Interrupt (1Ch) pentru 'wait for DOS to be loaded' a fost o inovatie atunci cand a aparut prima data in 1991. Cand handler-ul Int 21h al virusului vede ca DOS este incarcat (Int 21h este modificat), el obtine vectorul real INT 21h, impacheteaza propriul sau Int 21h in IVT si restaureaza intreruperea Timer originala. Tequila, care are vreo 3000 bytes lungime, facea asta, si chiar mai mult - insa, Sticky nu are decat 927 bytes lungime.Concluzii --> Avand in vedere ca virusul infecteaza la Open, un scanner care nu detecteaza virusul in memorie, va raspandi acest virus peste tot. Este dezamagitor sa vezi asa ceva atunci cand scanner-ele apartinand acestei categorii sunt executate pe un sistem infectat.
Daca personalul care asigura suportul network ar fi scanat serverul cu un asftel de scanner, apartinand unei statii infectate, ar fi fost un dezastru, daca statia ar fi infectat fiecare MBS atunci cand ar fi infectat executabilele din retea care se executau. N-ar trebui sa se permita ca asa ceva sa se intample vreodata.
Scanner-ul poate gasi virusul intr-un fisier; el doar neglijeaza sa vada ca si calculatorul este infectat! Remarca se refera doar la cateva scanner-e care au fost testate; deci, este posibil ca si celelalte sa faca aceeasi greseala.
De ce oare acest virus a fost denumit Sticky? Probabil ca Sticky este cea mai buna descriere a situatiei in care v-ati putea afla chiar dvs. daca v-ati infecta serverul cu acest virus. Sa nu uitam ca: doar pentru ca scanner-ul a putut gasi un virus pe un sistem curat, nu inseamna ca va fi de prea mare ajutor daca ajungem sa fim infectati cu virusul sau daca scanam fara o boot-are curata.


 Search.350

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
350 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Seat.2389

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2389 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Shadow.723

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
723 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shimmer.a

Virusul nu este de fapt un virus, ci un vierme.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.


 Signed.1008

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1008 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.127

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
127 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.217

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
217 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.451

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
451 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyE.ExeBeta

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
380 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SillyORCE.71

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
71 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 AntiTurbo.A

Virusul infecteaza interceptand apelurile DOS la fisiere.
FIRSTMCB daca poate; daca nu, NewEndMCB. Incearca sa isi aloce toata memoria ca sa vada cat poate.
La COM-uri, rezultatul poate fi foarte mic, chiar. Verifica daca are la dispozitie 41h paragrafe. Constata ca nu are. Reduce marimea MCB-ului curent cu 41h. Citeste strategia de alocare a memoriei. O schimba. Aloca 40h paragrafe in cele 41h eliberate. Restaureaza strategia de alocare a memoriei initiala. Pregateste MCB-ul nou obtinut sa fie independent. Se copiaza in noul MCB - L=34Eh=846. Prinde intreruperea int 21. Reface intrarea in gazda si o executa.
Loc de rezidenta:
Virusul este rezident in MCB-ul DOS-ului.
FIRSTMCB daca poate; daca nu, NewEndMCB. Incearca sa isi aloce toata memoria ca sa vada cat poate.

La COM-uri, rezultatul poate fi foarte mic, chiar. Verifica daca are la dispozitie 41h paragrafe. Constata ca nu are. Reduce marimea MCB-ului curent cu 41h. Citeste strategia de alocare a memoriei. O schimba. Aloca 40h paragrafe in cele 41h eliberate. Restaureaza strategia de alocare a memoriei initiala. Pregateste MCB-ul nou obtinut sa fie independent. Se copiaza in noul MCB - L=34Eh=846. Prinde intreruperea int 21. Reface intrarea in gazda si o executa.
Dimensiunea memoriei ocupate:
1040 o.
FIRSTMCB daca poate; daca nu, NewEndMCB. Incearca sa isi aloce toata memoria ca sa vada cat poate.

La COM-uri, rezultatul poate fi foarte mic, chiar. Verifica daca are la dispozitie 41h paragrafe. Constata ca nu are. Reduce marimea MCB-ului curent cu 41h. Citeste strategia de alocare a memoriei. O schimba. Aloca 40h paragrafe in cele 41h eliberate. Restaureaza strategia de alocare a memoriei initiala. Pregateste MCB-ul nou obtinut sa fie independent. Se copiaza in noul MCB - L=34Eh=846. Prinde intreruperea int 21. Reface intrarea in gazda si o executa.
Spatiul ocupat pe disc:
846 o.
sau 854.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
FIRSTMCB daca poate; daca nu, NewEndMCB. Incearca sa isi aloce toata memoria ca sa vada cat poate.
La COM-uri, rezultatul poate fi foarte mic, chiar. Verifica daca are la dispozitie 41h paragrafe. Constata ca nu are. Reduce marimea MCB-ului curent cu 41h. Citeste strategia de alocare a memoriei. O schimba. Aloca 40h paragrafe in cele 41h eliberate. Restaureaza strategia de alocare a memoriei initiala. Pregateste MCB-ul nou obtinut sa fie independent. Se copiaza in noul MCB - L=34Eh=846. Prinde intreruperea int 21. Reface intrarea in gazda si o executa.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
FIRSTMCB daca poate; daca nu, NewEndMCB. Incearca sa isi aloce toata memoria ca sa vada cat poate.
La COM-uri, rezultatul poate fi foarte mic, chiar. Verifica daca are la dispozitie 41h paragrafe. Constata ca nu are. Reduce marimea MCB-ului curent cu 41h. Citeste strategia de alocare a memoriei. O schimba. Aloca 40h paragrafe in cele 41h eliberate. Restaureaza strategia de alocare a memoriei initiala. Pregateste MCB-ul nou obtinut sa fie independent. Se copiaza in noul MCB - L=34Eh=846. Prinde intreruperea int 21. Reface intrarea in gazda si o executa.
Originea geografica:
Romania
Familia virusului:
AntiTurbo
FIRSTMCB daca poate; daca nu, NewEndMCB. Incearca sa isi aloce toata memoria ca sa vada cat poate.
La COM-uri, rezultatul poate fi foarte mic, chiar. Verifica daca are la dispozitie 41h paragrafe. Constata ca nu are. Reduce marimea MCB-ului curent cu 41h. Citeste strategia de alocare a memoriei. O schimba. Aloca 40h paragrafe in cele 41h eliberate. Restaureaza strategia de alocare a memoriei initiala. Pregateste MCB-ul nou obtinut sa fie independent. Se copiaza in noul MCB - L=34Eh=846. Prinde intreruperea int 21. Reface intrarea in gazda si o executa.
Mesaje neafisate dar continute de corpul virusului:
TURBO.EXE
turbo.EXE
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
ntreruperi interceptate:
21 / 4B00
21 / 4C
21 / 40
21 / 3B
Efecte nedistructive:
Daca sesizeaza executia lui TURBO.EXE (dupa nume), impiedica operatiile de scriere pe disc, pana la terminarea acestuia.
Conditii de declansare a infectarii:
Exec or (ChDir and Exist *.EXE), nu se fac verificari de lungime. La executie, se viruseaza fisierul executat in functie de structura COM sau EXE. La schimbarea directorului, se cauta primul .EXE si se viruseaza, in functie de structura.
Modul de autodetectare a virusului pe disc:
FileTime=0


 SillyRC.403

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
403 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Silver.2071

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2071 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.975

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
975 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Siskin.948

Pseudonime:
Siskin.Goodbye.948
Siskin.Goodbye
Siskin 948 Goodbye
Fam3
Virusul produce efecte sonore.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
948 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
ntreruperi interceptate:
24


 Skew.458

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi. adresa 0:200
Dimensiunea memoriei ocupate:
458 o.
Spatiul ocupat pe disc:
458 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Russia ; la data: 1/17/94
ntreruperi interceptate:
21 / 4B
1C
24
Conditii de declansare a infectarii:
( Exec or ( Open and FileName = *.com { litere mici } ) ) and FileLength>2048
Modul de autodetectare a virusului in memorie:
[0:200]-[0:201] = E9,10
Modul de autodetectare a virusului pe disc:
File[2] = FFFF
Comentarii:
Virusul a fost intentionat ca provocand 1-2 pagube/efecte distructive permanente: a). atunci cand un fisier avand o extensie diferita de '.com' (case sensitiv!) este deschis, virusul verifica contorul sau intern, iar daca acesta este mai mic decat 32567, atunci el suprascrie un byte aflat la offset-ul 2 in fisier; b). atunci cand un EXE este deschis/executat, virusul verifica daca contorul sau intern este mai mic decat 1000, si daca da, atunci el murdareste drive-ul C: via INT26 - adica, primele 9 sectoare (Boot-ul si FAT-ul) sunt suprascrise. Si totusi, contorul sau intern este setat la valoarea FFFF si nu se modifica niciodata - deci, virusul nu actioneaza/nu se declanseaza niciodata.


 Slovakia.906

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
906 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Small.122.b

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
122 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Small.149

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
149 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smeg.Queeg.c

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3746 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 SofiaTerminator.887

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
887 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Sparkling.705

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
705 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SSH.2770

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2770 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sterculius.266

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
266 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Stoned.Bunny.A

Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
1 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"BUNNY!"
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0.0.2 pe un hard disc.
- Pista/capul/sectorul 0.1.14 (1.2 and 1.44)
- Pista/capul/sectorul 0.1.3 (other floppy)
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 9/15/93


 Storyteller

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3184 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SVC.1064

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1064 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 ARCV-9

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
771 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "Nu" o va face interceptind INT 21h. Apoi se executa fisierul original. Astfel va infecta fiecare fisier COM"curat" care se executa. Prin interceptia INT 24h , virusul nu va fi divulgat cind infecteaza un fisier protejat la scriere.


 Svirus.322

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
322 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 T_Power.Zarma.2389

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2389 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Taiwan.752

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
752 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
A se vedea si:
Taiwan.677


 TEH.647

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
647 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Terminator.3275

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
3275 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza drivere de dispozitive (.SYS).


 Tigre.1800

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Timid.303

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
303 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.133

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
133 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiny.234

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
234 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tony.338

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
338 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 TPE.CivilWar.1994

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1994 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trakia.1070

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1070 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.127

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
127 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.27

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
27 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.40

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
40 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.89

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
89 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.Twelve.305

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
305 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Avispa.2048

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Baph.1536

Pseudonime:
TD
Baphometh.1536
Spatiul ocupat pe disc:
1536 o.
Mesaje neafisate dar continute de corpul virusului:
" Baphometh v2 CAD "
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
- Infecteaza fisierele .COM.
Efecte distructive:
Cind infecteaza MBR-ul, virusul suprascrie tabela de partitie si nu mai poate fi folosita comanda " FDISK/MBR". Deasemenea sterge fisierul C:\WINDOWS\SYSTEM\IOSUBSYS\HSFLOP.PDR. (pentru a forta sistemul sa foloseasca INT 13h).
Comentarii:
Virusul este rezident in memorie. Este un multiinfector. Cind un fisier infectat este executat, virusul infecteaza MBR-ul, intercepteaza INT 21h, rezideaza in memorie de unde va afecta fisierele care se executa. Cind este incarcata o discheta infectata, virusul intercepteaza INT 8, INT 13, asteapta incarcarea DOS-ului si apoi intercepteaza INT 21. Interceptind INT 13 executa functiile de infectare a dischetei si mecanismele de ascundere.


 Bat.Winstart

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
297 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Burger.382

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
382 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Burma.756

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
756 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cara.1024

Pseudonime:
CARA
Cara
Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
1025 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Virus es en memoria! Clandestino Auto-Reproductivo Anti-Virus. ; Mesajul continut de virus si afisat nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
CARA ; Mesajul continut de virus si neafisat nu este criptat.
La inceputul virusului, se poate gasi textul CARA. In plus, mai puteti gasi si mesajul "Virus es en memoria! Disco Es infectado, Reemplaza Boot. Clandestino Auto-Reproductivo Anti-Virus".; La inceputul virusului, se poate gasi textul CARA. In plus, mai puteti gasi si mesajul "Virus es en memoria! Disco Es infectado, Reemplaza Boot. Clandestino Auto-Reproductivo Anti-Virus".
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
COMMAND.COM greater than 4K
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
Comentarii:
Propagare: infecteaza COM-urile atunci cand sunt deschise, executate, sau li se schimba atributele ori sunt redenumite. Se adauga la COM-uri. Simptome: dupa prima executie a unui fisier infectat, pe ecran se va vedea mesajul "Virus es en memoria! Clandestino Auto-Reproductivo Anti-Virus". De notat ca cele doua mesaje care incep cu " Virus & Clandestino" sunt aratate atunci âcand memoria nu este multiplu de 16K. De asemenea, virusul Cara cauta o semnatura pe sase bytes, aflata la offset-ul 100h, in sectorul de boot al floppy-ului care este accesat pentru a patra oara. Cand gaseste semnatura, Cara inlocuieste sectorul de boot cu un cod ne-infector.


 Cascade.1706

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1706 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Cd.2161

Pseudonime:
CD
Thursday_12th
T12
Virusul produce efecte vizuale.
Fisierele EXE cresc cu 2270.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Fisierele EXE cresc cu 2270.
Dimensiunea memoriei ocupate:
2161 o.
Fisierele EXE cresc cu 2270.
Spatiul ocupat pe disc:
2161 o.
Fisierele EXE cresc cu 2270.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Originea geografica:
Hamburg, Germany
Fisierele EXE cresc cu 2270.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Mesaje afisate de virus:
VirCheck V1.2 (C) 1991

Be aware of those worms out there, violating your machine on Friday 13th=it's tomorrow ! Special thanks to Ross M. Greenberg, Patricia M. Hoffman and John McAfee Press any key to continue ; Mesajul continut de virus si afisat este criptat.
Pe data de Marti 12, dupa s-au executat patru programe, virusul va proti pe ecran o fereastra continand acest mesaj.; Pe data de Marti 12, dupa s-au executat patru programe, virusul va proti pe ecran o fereastra continand acest mesaj.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
Virusul nu infecteaza fisiere mai mari de 63Kb.
ntreruperi interceptate:
21 / 0F
21 / 3D
21 / 4B
21 / 6C
Comentarii:
Virusul nu va infectat fisierele care contin unul din urmatoarele siruri: SCAN, CLEAN, VIR, ARJ, FLU sau COMMAND. Virusul a fost depistat in domeniul public, prin jocul PAC-MAN (CD-MAN) care este disponibil prin Tornado BBS, Hamburg. Programul infectat fusese deja incarcat de 19 ori pana cand contaminarea a fost depistata. De asemenea, a fost raportat in Kiel, Germany, la 100km de statia BBS.


 Chameleon.Casper.1200

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cybercide.1309

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1309 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CyberTech.503

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
503 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Damir.878

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
878 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Darth_Vader

Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Infecteaza fisiere COM continand cel putin 202 zerouri consecutive.
Modul de autodetectare a virusului in memorie:
Redirecteaza rutina de dispecerare a comenzilor DOS interne.
Modul de autodetectare a virusului pe disc:
Virusul nu este encriptat, deci isi recunoaste propriul cod.
Comentarii:
Darth_Vader cuprinde a serie de patru versiuni ale virusului (I, II, II, IV), folosind tehnici similare.
Acest virus foloseste doua tehnici principale - prima se refera la felul in care codul devine rezident si activ in cadrul sistemului infectat. In locul metodei uzuale de a fura memorie pentru propria sa folosinta, Darth_Vader insereaza propriul cod, intr-o zona din segmentul de memorie al codului MS-DOS. Aceasta se realizeaza cautand in segmentul de memorie DOS o zona continua de zerouri (200 pana la 250, in functie de versiunea virusului). Virusul se copiaza in acea zona, cu presupunerea ca va ramane neutilizat, ceea ce s-ar putea sa nu mearga cu unele versiuni de MS-DOS. Serviciile sistem sunt interceptate printr-un proces in care in acelasi segment de memorie se cauta serii de instructiuni specifice, in cadrul unei rutine numita dispacer DOS. Aceasta rutina examineaza comenzile venite de la aplicatiile software si de la nivele superioare DOS, apoi le dispecereaza catre rutinele de procesare ale sistemului, corespunzatoare.
Virusul recunoaste o secventa particulara de comenzi si extrage adresele tinta a uneia dintre rutinele de dispecerare. Adresa originala este stocata in codul virusului, iar rutina cu pricina este alterata pentru a asigura ca anumite comenzi de acces la fisiere, in scriere, sunt dispecerate prin codul virusului.
Aceasta are acelasi efect ca si interceptarea vectorilor de intrerupere, dar s-ar putea sa fie mai dificil de detectat si de recunoscut.
Infectare --> Odata instalat, virusul este capabil sa monitorizeze cererile sistem care trec prin el, distrugandu-le/corupandu-le atunci cand este necesar. La o astfel de adancime in sistemul de operare, functiile sistem normale nu pot fi implementate; astfel, virusul foloseste functii interne nedocumentate pentru a-si atinge scopurile. Functiile de scriere fisier sunt interceptate inainte ca ele sa atinga sistemul de operare, iar operatiile sunt dirijate catre un buffer de scriere. Darth_Vader nu contine o comanda de scriere: aceasta ar putea provoca probleme pentru unele tipuri de software anti-virus. Virusul foloseste functii de scriere pentru a determina daca fisierul tinta are extensia '?OM', iar pointerul la fisier este setat la inceputul fisierului.
Daca aceste criterii sunt indeplinite, virusul cauta in bufferul de scriere un bloc de zerouri, intr-o modalitate similara cu cea utiliziata in timpul instalarii. Daca gaseste, codul virusului va fi copiat acolo, iar primii trei bytes ai bufferului vor fi schimbati intr-o instructiune de jump: aceasta asigura executia codului virusului. Cei trei bytes originali sunt stocati in codul virusului, astfel incat fisierul infectat poate fi reparat pentru o executie corespunzatoare.
Acestea fiind realizate, rutina de dispecerare este trimisa (unde trebuie) impreuna cu bufferul de scriere, modificat. Sistemul este cel care termina infectarea, prin scrierea continutului fisierelor.
Ideea care sta la baza acestei instalari si infectari pare sa fie similara cu situatia in care virusul ar coexista foarte strans cu DOS-ul (in mod fizic si logic), facand dificila detectarea si identificare sa. De fapt, virusul nu prezinta nici o problema chiar si pentru cele mai simple produse software anti-virus, dar sunt alte considerente. Acestea se refera la faptul ca virusul este scris in timpul activitatii normale de sistem. In timpul infectarii, sistemul scrie un fisier COM - ceea ce are ramificatii interesante.
Sa consideram ceea ce se petrece cand se copiaza un fisier COM - sistemul creeaza un nou fisier COM pe drive-ul tinta si copiaza acolo continutul fisierului sursa. Apoi, data si ora sunt setate pentru a se potrivi cu originalul, iar procesul este terminat. Astfel, daca un fisier COM este copiat pe un PC infectat, originalul (care trebuie protejat prin verificatorul de integritate) ramane neinfectat; noua copie poata virusul.
Acest proces s-ar putea sa nu aibe loc intotdeauna, motiv pentru care acest tip de infectare este numita lenta. Totusi, ea poate fi eficienta, scotand in evidenta slabiciunea software-ului de verificare a integritatii.
Concluzii --> Tehnicile descrise aici au fost active un timp si nu reprezinta o amenintare serioasa pentru software-ul anti-virus. Tehniciile afisate de diferitele versiuni de Darth_Vader nu sunt de incredere si sunt limitate la unele versiuni DOS: Principiul din spate este bine cunoscut de comunitatea scriitorilor de virusi. Eliminare: Se localizeaza si se inlocuiesc fisierele infectate, in conditiile unui sistem curat.


 Davis

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1747 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 255 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 December_17th

Virusul produce efecte vizuale.
Virusul produce blocaje ale PC-ului.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH.
Spatiul ocupat pe disc:
512 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Mesaje afisate de virus:
"RP WANTS TO SAY HELLO !"
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Raspandirea virusului:
Virus comun. Regiunea geografica: Romania
ntreruperi interceptate:
12
13
Efecte distructive:
Pe data de 17 Decembrie, scrie mare mesajul, in mijlocul ecranului si se blocheaza; MBR-ul este distrus complet. Informatiile distruse fiind insa redundante, pot fi recuperate.


 Ebola.3000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.651

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
651 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 EDS.692

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
692 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 EMF.404

Virusul modifica data si ora fisierelor infectate.
Inclusiv 3 bytes de garbage la sfarsit.
Dimensiunea memoriei ocupate:
406 o.
Inclusiv 3 bytes de garbage la sfarsit.
Spatiul ocupat pe disc:
403 o.
Inclusiv 3 bytes de garbage la sfarsit.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Inclusiv 3 bytes de garbage la sfarsit.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Inclusiv 3 bytes de garbage la sfarsit.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
"Screaming Fist (c)1"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Eradicat.
ntreruperi interceptate:
24
Efecte colaterale:
Bitul1 al intreruperii port 21h nu este sters daca virusul iese datorita lui DOS<3.
Conditii de declansare a infectarii:
Cauta in directorul curent (inclusiv fisierele sistem incluse)
Comentarii:
Contine textul "Screaming Fist". Ultimii trei bytes ai virusului original lipsesc acum, desi rutina de encriptare continua sa-i decripteze si sa-i encripteze. Este vorba de ultimii 3 bytes din mesajul continut si neafisat.


 Eno-2430

Spatiul ocupat pe disc:
2430 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AH=4B
24
Efecte distructive:
Virusul are un contor care dupa fiecare infectare se decrementeaza cu 1. Cind valoarea contorului este 0, virusul distruge toate datele de pe hard disc.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "nu", intercepteaza INT 21h (AH=4B) prin care se instaleaza in memorie unde devine rezident dupa care se executa programul original. Virusul va infecta toate fisierele "curate" care se executa. Daca este deja rezident in memorie, programul original se va executa direct. Foloseste INT 24h pentru a se feri de fisierele protejate la scriere.


 Espacio.8498

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
8498 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Friday13.613

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
613 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Funeral.921

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
921 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Genesis.226

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
226 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Gidra.502

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
502 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Girl.2273

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2273 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 GoodBye.839

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
839 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 HLLC.Dope.4870

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4870 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Worm.17690

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
17690 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.4870

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4870 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.NumOne

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
12032 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.4109

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4109 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Ceib.4629

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4629 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Atb.2389

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2389 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Hack.2064

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2064 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Rambo

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1808 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Sunday.Satan

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1636 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Joe.1089

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1089 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 June12th

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
2688 o.
Spatiul ocupat pe disc:
2660 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
"

June 12 - the Independence Day of the Philippines.

ßß

* ßß

ßß

\ł/ ßß

ÄÄ ÄÄ * ßßßßßßßßßßßßßßßßßß

/ł\ ÜÜ

ÜÜ

* ÜÜ

ÜÜ

MABUHAY ANG PILIPINAS!

Dedicated to Manong Eddie.

" ; Mesajul continut de virus si afisat este criptat.
Pe data de 12 Iunie, fiecare program executat dupa virusul rezident in momorie va afisa acest mesaj. Imaginea din mijloc este probabil steagul Philippine, fiind albastru in top, apoi un camp rosu cu gri (gri background si galben foreground) intr-un "V" orizontal (">") in partea stanga a steagului.; Pe data de 12 Iunie, fiecare program executat dupa virusul rezident in momorie va afisa acest mesaj. Imaginea din mijloc este probabil steagul Philippine, fiind albastru in top, apoi un camp rosu cu gri (gri background si galben foreground) intr-un "V" orizontal (">") in partea stanga a steagului.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Tehnici de protejare:
- Foloseste o coada 'prefetch' a procesorului pentru a determina daca acesta este trasat.
- Foloseste nivele de criptare multiple.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Philippines,Manila ; la data: 7/15/93
ntreruperi interceptate:
21
Efecte nedistructive:
Muzica si afisare ecran.
Conditii de declansare a efectelor nedistructive:
Daca data sistem este egala cu Iunie 12 din fiecare an, virusul rezident si programul este executat.
Efecte colaterale:
Virusul verifica doar pentru extensia de fisier, astfel incat va strica fisierele .EXE sau .COM.
Conditii de declansare a infectarii:
Odata ajuns rezident, orice fisier executat va fi infectat.
Modul de autodetectare a virusului in memorie:
Int_21h;AH=EFh -> 025Bh
Modul de autodetectare a virusului pe disc:
Compara punctul de intrare in cod cu sine.
Constrangeri necesare virusului pentru a functiona:
DOS 2.0 sau versiuni mai noi
Comentarii:
Virusul a fost captat prin verificarea integritatii catorva dintre masinile metroului din Manila. El este raspandit, dar nu si detectabil de scanner-ele existente in Julie 1993.


 Laufwerk

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7040 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Lemming.2151

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2151 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Leprosy.5120

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5120 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.81

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
81 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Leprosy.Morrison.870

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
870 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Seneca.493

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
493 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mayak.2339

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2339 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 MemLapse.366

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
366 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Mephisto.3.938

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
938 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mgn.3000

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Milan.Sabrina.175

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
175 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.123.a

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
123 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V_Sign

Pseudonime:
Cansu
Sigalit
Virusul produce efecte vizuale.
Virusul produce blocaje ale PC-ului.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Dimensiunea memoriei ocupate:
2 ko.
Originea geografica:
Turkey
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
V_sign este oligomorfic (mijlocul formei de polimorfism), astfel incat, poate fi detectat printr-un sir de cautare continand wildcards. Oligomorfismul este generat intr-un cod de 38 bytes.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Virusul foloseste doua sectoare.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/1/4-5 pe un hard disc.
- Pista/capul/sectorul 0/1/2-3 pe un floppy de 360 KO.
- Pista/capul/sectorul 0/1/13-14 pe un floppy de 1.2 MO.
- Pista/capul/sectorul 0/1/4-5 pe un floppy de 720 KO.
- Pista/capul/sectorul 0/1/14-15 pe un floppy de 1.44 MO.
Raspandirea virusului:
In atentia cercetatorilor. ; la data: 6/15/94
ntreruperi interceptate:
13
Efecte nedistructive:
Se afiseaza o litera mare V.
Conditii de declansare a efectelor nedistructive:
Counter AND Mask=0
Modul de autodetectare a virusului in memorie:
Dupa interceptarea tuturor operatiilor, virusul verifica existenta unei infectii folosind marker-ul 9876h.
Comentarii:
La boot-area de pe un drive infectat, virusul se auto-instaleaza in partea superioara a memoriei conventionale si infecteaza oricare drive neinfectat, la primul acces. Daca calculatorul este prevazut cu mai mult de un hard disc, acestea vor fi toate infectate cu virusul V_Sign. Dupa aceasta, virusul intercepteaza INT 13 si modifica imaginea sectorului de boot din memorie, restaurand cei 38 de bytes suprascrisi anterior; apoi, controlul este transferat sectorului original de boot. Virusul rezident va infecta MBR-ul la primului acces la hard disc. F.Boot-ul oricarei dischete accesate, cat timp virusul este rezident, va fi infectat. A doua parte a corpului virusului este localizata in diferite locuri, in functie de dimensiunea mediului infectat. Dupa infectarea a 64 de discuri, se afiseaza o litera V, mare, alba, provocand blocarea temporara a calculatorului. Data fiind o eroare, aceasta previne infectarea hard discului, daca sistemul a fost infectat dupa un floppy disc de 5 1/4". Datorita unui bug, toate dischetele infectate in drive-ul B: vor incerca sa incarce a doua parte a corpului virusului, din acel drive, ca urmare va fi ne-eficient (doar daca se intampla ca sa existe doua dischete infectate, avand aceeasi dimensiune si capacitate in ambele drive-uri la momentul bootstrap-ului). La boot-area de pe astfel de floppy-uri, virusul incearca sa citeasca 2 sectoare de pe drive-ul B: si, daca nu o face cu succes, sistemul se blocheaza.


 VCode.2246

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2246 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vengeance.435

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
435 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VICE.03.FireCide

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vienna.217

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
217 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.486

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
486 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Voronezh.1536

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Warsaw.850

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
850 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Win.AEP.a

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1152 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.


 Wizard.268

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
268 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 WM.Bandung.I

Pseudonime:
MW:Bandung.I
WordMacro/Bandung.I
WM/Bandung.I
BANDUNG.I
Macro.Word.Bandung
Bandung.I
Originea geografica:
Bandung, Indonesia
Data nasterii: Februarie 1997
Comentarii:
Este un virus de Word. Are un numar de 6 macro-uri, fiecare avind dimensiunea de 1988 Bytes. Diferenta fata de varianta originala este macro-ul "AutoExec". Nu are actiune distructiva.


 YanShort.1624

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1624 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 YB.647

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
647 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zerohunter.415

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
415 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Zortech.836

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
836 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 2up.6000

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
6000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 8ball

Virusul nu este de fapt un virus, ci un vierme.
Virusul produce modificari in sistem.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Abraxas.1304

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1304 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Adolf.475

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
475 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 AJ.391

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
391 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Alex.818

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
818 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Arcv.693

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
693 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.Benoit

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1183 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Areopag.480

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
480 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ash.280

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
280 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Assassin_II.959

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
959 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Atas.384

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
384 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Australian.1014

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1014 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Australian.187

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
187 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.440

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
440 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.Comic.1068

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1068 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 BedBug.1160

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Belorussia.459

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
459 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 BetaBoys.615

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
615 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 BitAddict.1190

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
1190 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Blackjec.247

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
247 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.374

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
374 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Bloodlust

Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Efecte distructive:
Supra-scrie in fisierele infectate.
Comentarii:
Virusul cauta in directorul curent fisierele COM care nu sint infectate, dupa care le va infecta. Nu este rezident in memorie. Nu foloseste INT 24h pentru a nu fi descoperit cind infecteaza fisiere protejate la scriere.


 Bomber

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4096 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 BootEXE.452

Pseudonime:
BFD
Boot_EXE
BootEXE
BootEXE-452
BootEXE.451/452
Sector Eleven
Virusul este prost scris (are erori).
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
452 o.
Originea geografica:
U.S.A.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Infecteaza fisierele EXE care incep cu EB 39 mai degraba decat cu "MZ". Deci, infecteaza fisierele EXE (convertindu-le in format COM), F.Boot, H.Boot sau MBR.
ntreruperi interceptate:
13
Conditii de declansare a infectarii:
Orice INT 13 care citeste primul sector al fisierului.
Modul de autodetectare a virusului in memorie:
Cand este rezident, INT 13, cu F0 in AH, returneaza 19 in AH.
Comentarii:
Fisierele nu cresc in lungine, virusul adauga la drive doar un sector din codul sau. Mediile infectabile: orice discheta poate fi infectata, dar numai cele 360K de 5.25" vor boot-a corespunzator. Propagare: infecteaza orice fisier care incepe cu "MZ", contine pagini de mai putin de 0x80 512 bytes, nu are prea multe item-uri de relocalizare in tabel, detine FFFF in campul Max Req Para, precum si o dimensiune header de 0x20 paragrafe. De asemenea, infecteaza orice discheta-read, precum si prima partitie de pe hard disc, daca aceasta incepe cu alt cap decat zero (normal C:). Codul program poate fi relocalizat intr-o maniera suspicioasa. Extensie de nume gresita. Conficte de extensie cu structura programului. Jump construt inadecvat. Punct de intrare via jump inlantuit sau indirect, ceea ce este neobisuit pentru un software normal, dar nu si pentru virusi. Determina/verifica daca este vorba de EXE/COM, pentru a infecta un program. Metoda de infectare este neobisnuita; virusul se instaleaza intr-un spatiu header EXE nefolosit, atunci cand startul fisierului EXE este citit via INT 13.


 Brother-2

Spatiul ocupat pe disc:
693 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Comentarii:
Virusul verifica daca data sistemului este intre 11 si 25 Noembrie sau Decembrie. Daca "DA" va afisa mesajul "Brotherhood…I am seeking my brothers DEICIDE and MORGOTH", dupa care executa fisierul original. Daca "Nu" va cauta fisiere COM in directorul curent. Daca gaseste un fisier infectat va proceda astfel:Daca al doilea cuvint al vreunui fisier COM este "0xADDE" va arata mesajul "Found my brother MORGOTH!!!" dupa care executa fisierul original. Daca al doilea cuvint din fisierul COM este "0x0D90" va afisa "Found my brother DEIGOTH!!!" dupa care executa fisierul original. Altfel va infecta fisierele COM (doar unul o singura data). Nu intercepteaza INT 24h pentru a se ascunde. Nu este rezident in memorie.


 Cheeba.1691

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1691 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Chukcha.838

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
838 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.281

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
281 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Ratboy.269

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
269 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Close.656

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
49 paragrafe.
Spatiul ocupat pe disc:
656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Close .."
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
21 / 4B
Efecte distructive:
Suprascrie C:\IO.SYS sau C:\IBMBIO.COM (dupa ce a sters atributul fisierului) cu 65535 bytes de la [0:0], apoi scrie pe ecran "Close .." si blocheaza sistemul.


 Como.2019

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2019 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Companion.923

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
923 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 CopCom.287

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
287 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Crazy.1402

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1402 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Cruncher.2092

Virusul infecteaza interceptand apelurile DOS la fisiere.
Gradul de infectie este ridicat: unii considera Cruncher ca un program free util, din domeniul public; ceea ce ar putea grabi raspandirea lui.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
2092 o.
Gradul de infectie este ridicat: unii considera Cruncher ca un program free util, din domeniul public; ceea ce ar putea grabi raspandirea lui.
Spatiul ocupat pe disc:
2092 o.
Gradul de infectie este ridicat: unii considera Cruncher ca un program free util, din domeniul public; ceea ce ar putea grabi raspandirea lui.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .COM.
Infecteaza doar fisiere COM, exceptandu-le pe cele al caror nume incepe cu CO si a celor care au lungimea mai mica de 256 bytes sau mai mare de 61440 bytes.
Efecte nedistructive:
Pagubele sunt importante. Programele care incorporeaza autoverificare, precum software-ul antivirus, ca si programele cu overlay-uri, ar putea sa nu mai lucreze dupa ce au fost strivite.
Modul de autodetectare a virusului in memorie:
Auto-recunoasterea din memorie verifica apelul "Are you there" folosind INT 21h cu AX=33E0h
Modul de autodetectare a virusului pe disc:
Virusul verifica continutul primilor cinci bytes.
Comentarii:
Ca simptome, dupa executarea unui program infectat, fiecare program care urmeaza a fi executat, va fi strivit (crunched), furnizand de fiecare data un castig de spatiu disponibil pe hard disc sau discheta si, progresiv, o incarcare mai rapida. Virusul copiaza in memorie intregul fisier de infectat si apoi infecteaza memoria adaugand codul virusului, precum si un salt la startul fisierului gazda. Apoi, foloseste utilitarul de comprimare DIET pentru a comprima intreaga imagine memorie infectata a fisierului (i.e. deopotriva fisierul gazda, precum si codul virusului adaugat). Fisierul comprimat este copiat inapoi pe disc, fisierul este inchis, atributele time/data sunt restaurate, iar segmentul memoriei sistem, alocat temporar (pentru a fi folosit in timpul infectiei) este acum eliberat. Cand un fisier infectat este executat, fisierul incepe sa se autodecomprime folosind algoritmul DIET. Cand rutina de decomprimare este definitivata, codul de instalare al virusului este executat. Faptul ca virusul este ascuns in cadrul unui fisier comprimat face foarte dificila detectia sa, in acest caz, nu este acceptabil a se cauta rutina de decomprimare, atat timp cat acest cod este utilizat legitim de alte programe. De asemenea, nu este posibil a se folosi un pattern de cautare hexa atat timp cat secventa de bytes din fisierul comprimat depinde de continutul fisierului gazda; algoritmul de comprimare creeaza un dictionar de cuvinte "noi" care completeaza fisierul, iar continutul fisierului este o secventa a acestor cuvinte noi si a pointerilor la cuvintele care au aparut deja in acest fisier.


 Deicide.623

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
623 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Demonhyak.272

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
270 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Diamond.1100

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.626

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
626 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Digger.1475

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1475 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 DirVirus.760

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
760 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DMV.B

Pseudonime:
Waverly
MW:DMV-B
WM/DMV.b
Winword.DMV
WordMacro/DMV
Originea geografica:
Australia
Mesaje afisate de virus:
"We are citizens of Austrlia. We are youth of Victoria. We are victims of Mount Waverley Secondary College. We tolerated your discipline. We stomached your abuse. We bore your unprofessionalism. We toted the line to protect the bullshit image of YOUR school. Wewatched our friends be pressured out of your school,just so you could keep your fucking pass rate figures up. And now the world will see, through the spread of this virus just how TOTALLY FUCKED UP we are! Parents: yeah-go ahead send your kids to a school where about half of us drugs. You won't see those figures in the glossy brochure. This community announcement was proudly sponsored by: M.W.S.C. Yeah 12 Class Of '96. - in your face."
Comentarii:
DMV.B este un virus de Word cu un macro cu dimensiunea de 1249 Bytes. Virusul infecteaza Normal.dot cind documentul infectat este inchis. Astfel documentele vor fi infectate cind sint inchise. Nu este criptat. Nu se afla in libertate.


 DR&ET.1710

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1710 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dutch_Tiny.Wild.289

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
289 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 ExeHeader.394

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
394 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Pure.429

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
429 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Explorer.3063

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3063 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza drivere de dispozitive (.SYS).


 Fans.560

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 FaxFree.1536

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Feist.670

Virusul infecteaza interceptand apelurile DOS la fisiere.
Nu exista nici o evidenta ca ar fi rezident sau criptat. Totusi, alte analize il indica ca fiind rezident si incarcabil in memoria High, ceea ce indica ca ar mai trebui studiat.
Spatiul ocupat pe disc:
670 o.
Nu exista nici o evidenta ca ar fi rezident sau criptat. Totusi, alte analize il indica ca fiind rezident si incarcabil in memoria High, ceea ce indica ca ar mai trebui studiat.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Nu exista nici o evidenta ca ar fi rezident sau criptat. Totusi, alte analize il indica ca fiind rezident si incarcabil in memoria High, ceea ce indica ca ar mai trebui studiat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
USSR?
Nu exista nici o evidenta ca ar fi rezident sau criptat. Totusi, alte analize il indica ca fiind rezident si incarcabil in memoria High, ceea ce indica ca ar mai trebui studiat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierul COMMAND.COM.
ntreruperi interceptate:
21
Comentarii:
Identificatori atribuiti de diverse scanner-e: Cheyenne: Feist
ESaSS: Feist
Frisk: Feist
H+BEDV: Feist #1
McAfee: Feist [Fst]
Norman NVC: Feist
S&S: Feist Eicar ID: fc8bdd5c
Este corelat cu virusii: Feist #1, Feist #2. Replicare: apare ca infectand fisierele cand sunt incarcate si executate. Muta pointerul de fisiere, citeste fisiere, scrie in fisiere, inchide fisierele. Seteaza atributele.


 Find.512

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fist.650

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
650 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Flagyll.318

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
318 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Form

Pseudonime:
Form Boot
Form Std
Virusul produce efecte sonore.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
2 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Originea geografica:
Switzerland, Feb '90
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"The FORM-Virus sends greetings to everyone who's reading this text. FORM doesn't destroy data! Don't panic! Fuckings go to Corrine."
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
Locul unde este restul virusului (si BOOT-ul original):
- Intr-un sector defect
Raspandirea virusului:
Foarte raspandit. ; la data: 8/16/93
ntreruperi interceptate:
13 / 02
09
Efecte nedistructive:
Produce un zgomot la apasarea tastelor face si break.
Modul de autodetectare a virusului pe disc:
(D,F) BR (3Fh..40h) =01h FEh
Sectorul de boot va contine urmatorul text (printre altele): "The FORM-Virus sends greetings to everyone who's read this text."
Comentarii:
Virus foarte obisnuit in Europa. FORM a avut noroc. Infecteaza sectorul de boot al partitiei active a hard-discului, pe care o determina scanand tabela de partitii. Presupune ca aceasta partitie activa este o partitie DOS si cauta spatiu nefolosit in DOS FAT pe care il marcheaza ca spatiu nefolosit si il foloseste. Daca nu este partitie DOS, atunci ceea ce el crede a fi FAT poate fi orice; locul pe care si-l selecteaza pentru ascunderea sa poate fi oriunde. Aceasta este o problema deosebita pentru masinile care sunt boot-ate de obicei de pe floppy-discuri, din cauza acceswrii unei partitii secundare DOS ori a unei partitii OS/2 sau Unix.


 Grog.283

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
283 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.757

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
767 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Grunt.427

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
427 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GWorld.314

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
314 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Halka.1000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hate

Pseudonime:
Klaeren
982
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
972 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 10
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
University of Tuebingen, Germany
Mesaje afisate de virus:
Klaeren, Haá, Haá! ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Raspandirea virusului:
In circulatie.
Efecte distructive:
Pagubele sunt substantiale. Fisierele mai mari de 4K nu vor fi infectate cu succes, insa vor fi suprascrise partial de garbage. In luna Mai din fiecare an, virusul scrie cateva pagini ecran cu textul "Klaeren, Haá, Haá!" si sterge memorie CMOS. Haŕ inseamna "hate" (ura); Profesorul Klaeren preda la Universitatea din Tuebingen, Germania.
Comentarii:
Virusul are o singura varianta. Identificatori asignati de diverse scanner-e: Cheyenne: Klaeren
ESaSS: Hate
Frisk: Hate
H+BEDV: Klaeren
McAfee: Klaeren [Kla]
NORMAN NVC: Hate
Norton: Klaeren
S&S: Hate Eicar ID: edefffc4 Virus corelat: Klaeren. Note: Acces suspicios la fisiere. Contine o rutina de decriptare, fiind ceva comun pentru virusi, dar si pentru software-ul de protectie. Punct de intrare flexibil. Codul pare a fi proiectat pentru a fi legat la orice locatie din fisier. Programul intercepteaza incarcarea software, pentru a-l putea infecta. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Foloseste intrerupere DOS nedocumentata. Contine cod pentru a restarta programul dupa ce modificarile de la punctul de intrare au fost efectuate. Foarte uzual pentru virusi.


 Helloween.1288

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1288 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hi.460

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
460 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Hitch.1247

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1247 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 HLLP.Vova.12560

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
12560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Horse.1154.a,b

Pseudonime:
Hacker #1
Horse
Horse [Hrs]
Horse 1154a
Horse.1154.A
Naughty Hacker-1
Virusul produce efecte sonore.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
1154 o.
Spatiul ocupat pe disc:
1154 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Sofia, Bulgaria
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
Sofia,Jan 1991 (c) Naughty Hacker
Adauga acest text la sfarsitul fisierelor pe care le infecteaza
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
A se vedea si:
Hacker #1
Horse #9
Horse #7
Horse #1
Darth Vader #8
Naughty-Hacker
Comentarii:
Ca simptome, seteaza secundele fisierelor infectate la 62. Acces dubios la fisiere. Contine o rutina de decriptare - ceva uzual pentru virusi - dar si pentru unele produse software de protectie. Punct de intrare flexibil. Codul pare proiectat pentru a se putea lega la orice locatie dintr-un executabil. Programul intercepteaza software-ul la incarcare, pentru a-l infecta. Marcaj de timp incorect. Unii virusi folosesc acest marcaj pentru a infecta fisierele. Exe-header inconsisten. Ar putea fi un virus, dar poate fi la fel de bine si un bug. Apel la intrerupere DOS nedocumentat. Determina EXE/COM, pentru a sti ce fisiere sa infecteze. Contine cod care ar putea fi folosit pentru a suprascrie/muta un program in memorie.


 Hybrid.1306

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1306 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ieronim.1020

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1020 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Imi.1538

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1538 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Int83.690

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
690 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Intruder.1331

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1331 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Iper.1062

Virusul produce modificari in sistem.
La adresa 0:505 (240 bytes)
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Loc de rezidenta:
Virusul nu este rezident in memorie dar instaleaza un 'payload' rezident. adresa 0:505
La adresa 0:505 (240 bytes)
Spatiul ocupat pe disc:
1062 o.
La adresa 0:505 (240 bytes)
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
La adresa 0:505 (240 bytes)
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
La adresa 0:505 (240 bytes)
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
13
Efecte nedistructive:
Rata baud pentru COM1: este setata la 5555h, LED-urile tastaturii sunt puse pe "on" (aprinse) si toate switch-urile tastaturii sunt puse pe "on". Cererea de Int13 cu AH>=1 este incrementata cu 1, facand-o dificila pentru salvarea datelor.
Conditii de declansare a efectelor nedistructive:
Virus executat de doua ori in a 11-a zi din luna AND
Int_13 es:[bx+si] <= 78h (tastatura este afectata doar daca ss:[bx] <= 0C7h)
Efecte distructive:
Vezi Efecte nedistructive.
Conditii de declansare a efectelor distructive:
Vezi conditii de declansare (efecte nedistructive).
Efecte colaterale:
La prima executie din a 11-1 zi din luna, 40:15h este setat la 55h; la urmatoarea executie din aceeasi zi, se instaleaza un handler int13 (240bytes) la adresa 0:505h.
Conditii de declansare a infectarii:
attribute == "normal" && File[0] == 0E9h
Modul de autodetectare a virusului in memorie:
Int_13_vector == 505h
Modul de autodetectare a virusului pe disc:
File[EOF-7] == "IPER"
Comentarii:
Nu face nimic cu fisierele read-only, altfel ar fi evident. Nu face nici o verificare a dimensiunii fisierului. Toate referintele la date din cadrul virusului sunt facute referinte relative la un macro care apeleaza o subrutina pentru a obtine valoarea $+3 si adauga, apoi, DATA-$-3 pentru a obtine adresa runtime a datelor din segmentul CS: Astfel de referinte rup pattern-ul si par a fi codificate de mana.


 Jackel.654

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
654 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.1511

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1511 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Karlik.1666

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1666 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Keeper.Fly.1036

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1036 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Keybug.980

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
980 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Keypress.1600

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.565

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
565 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.Areg.847

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
847 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kinnison

Pseudonime:
Sam Kinnison
Spatiul ocupat pe disc:
734 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
Illinois, USA
Mesaje afisate de virus:
\, .., *.*, *.COM, DIE BITCH!!!!! AHHHHHHHH!!!!!!!,

[VCL] (marker), Dedicated to the memory of Sam Kinnison

1954-1992 [Kinnison] Nowhere Man, [NuKE] '92. ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative.
Comentarii:
Cele ce urmeaza, sunt comentarii din codul sursa original: Kinnison a fos realizat cu VCL 0.75 beta, iar sursa sa a fost modificata. COM-ul rezultat a fost atasat la un fisier "dummy" (care continea 5 NOP-uri si un INT 020h) si care urma sa fie encriptat (pentru auto-modificare sa, utilizand o rutina de encriptare XOR, avand doar 12 bytes lungime). Este, deci un infector COM, auto-encriptabil, care se adauga la sfarsitul fisierelor. La fiecare executie, viruusl are 50% sanse de a se raspandi prin arborele director. Virusul Kinnison devine activ in fiecare zi de Vineri 11, ziua cand Sam Kinnison a fost omorat intr-un accident de masina. In acel moment, Kinnison "tipa" la utilizator. Nu se face nimic altceva, iar pe disc nu se produc pagube. "Daca aveti ceva comentarii sau sugestii pentru Kinnison (planificat a fi distribuit impreuna cu VCL ca esantion/exemplu de virus) sau VCL (cod sau altceva), anuntati-ma. Multumesc." -- semneaza -- Nowhere Man, [NuKE] '92.


 Kode4.285

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
285 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kot.900

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Kyokushinkai.Kysia.1536

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 Liberty.1170

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1170 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 LittBrother.361

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
361 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.1053

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1053 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lomza

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5520 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Loz.2435

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2435 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Lyceum.1800

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Macgyver.2803

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2803 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MadSatan.599

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
599 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Malmsey.1703

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1703 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Manzon.1414

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1414 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Kode4.90

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
90 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tu28.535

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
535 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tver.308

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
308 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ugur.1320

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1320 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Uruguay.2

Pseudonime:
Uruguvau
Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
4608 o.
Spatiul ocupat pe disc:
2294 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 40
Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor. ; numarul de octeti constanti din decriptor este 6
Mesaje afisate de virus:
"I love ROXETTE !!!

Virus 'Uruguay-#2'

Programmed in Montevideo (URUGUAY) by F3161. 04/92.

This is a research virus - DO NOT DISTRIBUTE." ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
- Se instaleaza intr-o pozitie aleatoare din fisier
APPENDING {Size =<91D} RANDOM {Size >91D}
Tehnici de protejare:
- Foloseste nivele de criptare multiple.

; la data: 1/31/94
ntreruperi interceptate:
01
13
21 / 4B00
21 / 3D00
24
2A
2A (doar pentru a restaura controlul peste INT_21 daca a fost pierdut)
Efecte nedistructive:
Virusul arata pe ecran mesajul indicat (v. Mesaj afisat), folosind serviciul DOS INT_21/AH=2. Imprimarea este intarziata si tine cateva secunde. Ea este acompaniata de tonuri muzicale aleatoare, calculate din codul ASCII al caracterelor imprimate.
Conditii de declansare a efectelor nedistructive:
ExecInfected and (byte[0:46C]=0)
Conditii de declansare a infectarii:
(Exec or (Open and (*.COM or *.EXE))) and
(Size>200h and Size= (Size mod 17h)<>0 and
Nu vizeaza COMMAND.COM.
Modul de autodetectare a virusului in memorie:
INT_21;AX=3032;DX=1234 -> AX=5678
Comentarii:
Fisierele EXE sunt comutate in COM-uri, iar codul virusului este adaugat, intr-o forma encriptata, la sfarsitul fisierului. Fisierul starteaza cu un JMP la decriptorul virusului (offset E9). Atunci cand un program infectat primeste controlul, virusul se copiaza in segmetul aflat in topul memoriei conventionale utilizabile. Memoria disponibila DOS-ului este redusa. Daca calculatorul are 640K, se poate calcula usor codul segmentului de virus (avem MEMORY_SIZE=129para, CS=A000-120=9EE0; veti avea 9EDF daca este folosit UMB, deoarece topul paragrafului va fi BFFF, nu A000). Dupa decriptarea corpului sau, virusul restaureaza startul fisierului infectat (3bytes) si, daca era un EXE, face el insusi relocarile necesare. Apoi, codul este mutat in jos, in memorie, deoarece nu mai este nevoie de header-ul EXE. Virusul Uruguay.2 intercepteaza DOS INT_21 rescriind startul rutinei de tratarea a serviciului DOS cu un FAR JMP la codul viral. Segmentul DOS este definit ca folosind INT_2F/1203. Virusul foloseste dimensiunea fisierului pentru a indica infectia. Fisierul infectat cu Uruguay.2 are intotdeauna o dimensiune divizibila cu 17h.


 Uruk.394

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
394 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.1345

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1345 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 V.2435

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2435 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'*.COM' ; Mesajul continut de virus si neafisat este criptat.
'TEMP.TMP' ; Mesajul continut de virus si neafisat este criptat.
'HM\A' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Comentarii:
Corupe unele fisiere infectate. Pattern-ul hexa se afla intotdeauna la offset-ul 0600h.


 V.486

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
486 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.713

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
713 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Vienna.583

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
583 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.645

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
645 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.744

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
744 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.943

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
943 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Violator.5286

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5286 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Viking.2000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Viresc

Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.


 Virogen.PinWorm.2371

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2371 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Vivisex.683

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
683 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VLAD.Mummy.471

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
471 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 WM.Date

Pseudonime:
WM/AntiDMV
Date
WM.Divina
Winword.Divina
Comentarii:
Este un virus de Word care contine un singur macro, AutoOpen. Acest macro se ataseaza de fisierele .DOC sau .DOT. Daca un document infectat este deschis in Word (pentru Windows), anul curent este mai mare ca 1997 si luna mai mare ca 6 Iunie, virusul va infecta NORMAL.DOT. Deasemenea, daca gaseste macroul AutoClose in documente sau template-uri, il va sterge. Nu se ascunde. Afiseaza mesaje (unele in limba italiana). A aparut la data 21 Decembrie 1996.


 WM.Hybrid

Pseudonime:
Hybrid
WM6.Hybrid
WM.Hybrid.A
WM.Hybrib.A
Winword.Hybrid
WM.Alien
Mesaje afisate de virus:
Macro-ul AutoClose afiseaza o fereastra de dialog cu titlul "Prank macros detected" si care contine mesajul "This document or your Normal template contained the prank macros. The macros have been removed. Saving the document and Normal now will save these changes. Save now? ".
Mesaje neafisate dar continute de corpul virusului:
AutoClose Prank Macro cleanup

Created from SCAN.DOC CleanUp and AutoOpen macros last modified

August 11, 1995

Purpose:

Remove prank macros from document/template being closed

*****************************************************************

init

What platform are we on, Mac or Win?

16-bit Windows

Preserve user settings and set up our own

remove possibly correct macros only if definitely evil ones

detected (above)

Foo = Foo + CleanIt("PayLoad")

7.0a is included only as a precaution for the future just in case there ever is such a version.
Comentarii:
Este un virus de Word. Are in componenta trei macrouri : AutoOpen, AutoClose si FileSaveAs. Infecteaza sistemul cind un fisier infectat este deschis si infecteaza documentele cind sint salvate. Nu se ascunde. Nu este polimorfic. A fost semnalat prima oara la 31 Decembrie 1996.


 WM.Lunar.A

Pseudonime:
MW:Lunar-A
Macro.Word.Lunar
WM/Lunar.A.Dropper
Mesaje afisate de virus:
Pentru a se ascunde intercepteaza meniurile File/Macro si Tools/Macro, care daca sint apelate, va fi afisata o fereastra de dialog cu mesajul: "Microsoft Word

Not enough memory to perform this operation".
Mesaje neafisate dar continute de corpul virusului:
"WM.Lunar virus

AutoExec macro"
Comentarii:
Este un virus de Word, criptat, care are 7 macro-uri: autoexec, autoopen, filesave, autoclose, filesaveas, toolsmacro, filetemplates. Sistemul este infectat cind un fisier care contine virusul este deschis cu AutoOpen sau inchis cu AutoClose iar documentele sint infectate cind sint salvate cu FileSave sau FileSaveAs. Creaza fisierul LUNAR.INI in care scrie textul : "[virus]
lunar=
author=Hyperlock". A aparut in Iunie 1997.


 WM.Reflex.A

Pseudonime:
MW:Reflex-A
WM/Reflex.A
Winword.Reflex.a
WordMacro/Reflex
Reflex
WinWord.Reflex
REFLEX.A
Mesaje afisate de virus:
Afiseaza o fereastra de dialog cu mesajul "Where's the Gerbil of bubbly? ".
Comentarii:
Este un virus de Word care are trei macrouri din care doua sint mereu identice. Cind infecteaza NORMAL.DOT, la comanda AutoOpen, numele acestora sint FA si Fclose + FileClose. Cind infecteaza documentele, la comanda FileClose, numele macro-urilor sint Fclose si FA + AutoOpen. Documentele sint setate cu parola "Guardian". Este criptat. A aparut in Iulie 1996.


 WM.Wallpaper.A

Pseudonime:
MW:Wallpaper-A
WordMacro/Wallpaper.A
WM/Wallpaper.a
Mesaje afisate de virus:
In data de 31 a fiecarei luni afiseaza o ferestra de dialog cu mesajul: "[!!!PIRATE VIRUS!!!]-- Active!

The [PIRATE VIRUS] has pillaged your computer!

GO BACK TO MS-WORD??".
Comentarii:
Este un virus de Word care are 2 macro-uri cind infecteaza documentele FilePrint si AutoOpen iar cind infecteaza Normal.Dot are 4 macro-uri : File/Print, Tools/Macro, File/Templates si Tools/Customize. Sistemul este infectat cind un fisier care contine virusul este deschis iar documentele sint infecate cind este apelata una din din comenzile: deschidere sau printare, File/Templates, Tools/Macro si Tools/Customize). In data de 31 a fiecarei luni seteaza pentru documentul curent: [Desktop]
Wallpaper=SK2.BMP
TileWallPaper=1
SK2= unde SK2 este un numar care se incrementeaza pentru fiecare infectie. Deasemenea creaza fisierul C:\WINDOWS\REGSK2.REG in care scrie textul REGEDIT4
[HKEY_CURRENT_USER\Control Panel\Desktop]
"TileWallpaper"="1"
"Wallpaper"="C:\\WINDOWS\\SK2.BMP". Virusul intercepteaza fisierul C:\AUTOEXEC.BAT in care scrie comanda: @echo off
c:
cd c:\windows
copy /y SK2.BMP c:\windows\sk2.bmp >nul
regedit regsk2.reg >nul. Este criptat.


 Word.1391

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1391 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 XF.Paix

Mesaje afisate de virus:
Cu o probabilitate de 1 la 50, va afisa : "Enfin la paix".
Comentarii:
Virusul a fost gasit in libertate pentru prima oara in Ianuarie 1998. Infecteaza fisierele XL din Excel. XF/Paix nu foloseste macrourile din VBA (Visual Basic for Aplications), el este programat in limbajul Excel 4. Virusul preia controlul cind un fisier Excel infectat este deschis. Creaza un fisier XLSHEET.XLA in directorul docomentului sau in C:\WINDOWS, unde anume depinde de numele pe care il are calea documentului curent: daca incepe cu "C" sau nu. Virusul se copiaza in acest fisier care este inregistrat ca un EXCEL ADD-IN, astfel incit se va incarca de fiecare data cind Excel este pornit. Dupa aceea, fiecare fisier din Excel care este deschis va fi infectat de virus.


 Xph.1032

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1032 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yam.3599

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3599 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Yankee.26

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2756 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mini.200

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Minosse.3072

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Miss-D.1360

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1360 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mnemonix.A-bomb.878

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
878 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Moctezuma.2208

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2208 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 20 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mordor.1104

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1104 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mr_G.314

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
314 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MSU.271

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
271 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 MtE.Lct

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2852 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Mummy.1399

Pseudonime:
Jerusalem.Mummy.1.2
Mummy 1
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Dupa unele surse, 1399-1414 bytes, dupa ce spun altele 1499-1514 bytes.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dupa unele surse, 1399-1414 bytes, dupa ce spun altele 1499-1514 bytes.
Spatiul ocupat pe disc:
1399 o.
Dupa unele surse, 1399-1414 bytes, dupa ce spun altele 1499-1514 bytes.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Originea geografica:
Germany??
Dupa unele surse, 1399-1414 bytes, dupa ce spun altele 1499-1514 bytes.
Familia virusului:
Jerusalem
Mesaje neafisate dar continute de corpul virusului:
Mummy version 1.2

Kaohsiun Senior School

Tzeng Jau Ming presents

Series Number = [xxxxx] ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM identificate prin tip.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 6/15/94
ntreruperi interceptate:
24
21 si 26 utilizate.
Efecte distructive:
Suprascrie primele 63 sectoare logice de pe disc.
Modul de autodetectare a virusului in memorie:
Verifica daca: 'EXE header checksum (file offset 12h)' contine '0C0Bh'.
Comentarii:
Propagare: odata ce a ajuns rezident, virusul infecteaza orice fisier incarcat si executat sau deschis, cu conditia ca fisierul sa inceapa cu "MZ" (header EXE normal) si cu conditia ca sa fie suficient spatiu lasat pe volum. Noile infectii mostenesc contorul trigger in fisierul infectat. Acest virus este un membru al familiei Jerusalem si este foarte periculos. Codul destructiv al virusului va suprascrie, cu date arbitrare, primele 63 sectoare logice de pe disc. Odata virusul instalat in memorie ca rezident, aceasta se poate intampla in orice moment. Virusul contine un contor pe 16 biti care se decrementeaza la fiecare incarcare sau deschidere a unui fisier infectat; acest contor este pus pe zero de fiecare data cand este facut un apel OEM la DOS (INT 21 AH=FFh AND AL<>FFh) (aceasta functie este folosita de cateva programe). La fiecare incercare de infectare, acest contor este verificat pentru a determina daca a ajuns la zero. Daca da, drive-ul logic curent este suprascris cu codul virusului si garbage-ul din memorie. Sunt suprascrise 99 de sectoare incepand cu H.Boot (sectorul logic 0). Aceasta distruge inregistrarea de boot, ambele FAT-uri, directorul root si cateva fisiere. Deoarece 21/3D si 21/4B actioneaza contorul, scanner-ele de virusi vor decreste rapid acest contor. Cand virusul gaseste un fisier EXE, el va cauta un fisier SHW asociat, avand acelasi nume ca si fisierul EXE. Daca un astfel de fisier exista, fisierul original va fi tratat cu un fisier COM. Nu se cunoaste motivatia pentru aceasta. Identificatori asignati de diverse scanner-e: Cheyenne: Mummy
ESaSS: Jerusalem related
Frisk: Jerusalem.Mummy_1.2
H+BEDV: Mummy #2
McAfee: Mummy [Mum]
NORMAN: Jerusalem Mummy 1.2
Norton: nu este detectat
S&S: Mummy 1.2 Eicar ID: 2f8c99a7
Virusi corelati: Mummy #2, Jerusalem #10, Jerusalem #8, Jerusalem #9, Mummy #1. De retinut: Acces suspicios la fisiere. Poate fi capabil sa infecteze fisierele. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se lega la orice locatie dintr-un fisier executabil. Construieste un jump dubios. Punct de intrare via jump-uri indirecte sau inlżantuite. Aceasta este neobisnuit pentru software-ul normal, insa comun pentru virusi. Determina daca este vorba de EXE/COM, avand nevoie de aceasta pentru a infecta software-ul. Foloseste o stiva neobisnuita, programul avand o stiva dubioasa sau, cel putin, una ciudata.


 AmazonQueen.468

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
468 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'Amazon Queen...v1.0'
'WHY?'
'LoRD Zer0'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Murphy.Badtaste

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1188 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Murphy.Nuke

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.13.Agent.1918

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1918 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mx.335

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
335 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Necropolis

Pseudonime:
1963
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
5120 o.
Spatiul ocupat pe disc:
1963 o.
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Israel
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Infecteaza acele fisiere care nu sunt deja infectate, nu sunt fisiere sistem si care au lungimea mai mare de 32bytes.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Virusul adauga 1971 bytes: codul sau insusi, plus inca 8 bytes reprezentand o zona de date statice.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Israel ; la data: 6/15/94
Modul de autodetectare a virusului in memorie:
Virusul compara 195 bytes de la offset-ul 235 cu o sectiune similara din propriul sa cod.
Modul de autodetectare a virusului pe disc:
Se face un checksum al imtregului virus comparat apoi cu un checksum similar, scrie in zona de date, chiar la sfarsitul codului virusului, atunci cand fisierul este infectat.
Constrangeri necesare virusului pentru a functiona:
Virusul nu incearca sa infecteze versiuni DOS anterioare lui 3.0.
Comentarii:
Legat de pagube, problemele teribile si rezultatele imprevizibile vor apare la anumite tipuri de sisteme de control a accesului, deoarece virurul anuleaza interceptarea monitorului de referinta.


 NewYear.1356

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nina.1560

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza drivere de dispozitive (.SYS).


 NoFrills.843

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
843 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 NoWin.2576

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2576 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nuke.Howard.967

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
967 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.609

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
609 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 NV.732

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
732 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'OMSPEC=' ; Mesajul continut de virus si neafisat nu este criptat.
'[New Virus] (1992)' ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Oscar

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4620 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Oxana.1653

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1653 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Parasite.903

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
903 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Amz.801

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
801 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Pcbb.1658

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1658 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.


 PD.1070

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1070 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Peter

Pseudonime:
Peter II
Virusul infecteaza interceptand apelurile DOS la fisiere.
Virusul este rezident in top, la adresa 9F00:0000 [El reduce 0000:0413 cu 4, apoi autocopiaza la 9F00:0000, relativ la dimensiunea memoriei].
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413. adresa 9F00:0000
Virusul este rezident in top, la adresa 9F00:0000 [El reduce 0000:0413 cu 4, apoi autocopiaza la 9F00:0000, relativ la dimensiunea memoriei].
Dimensiunea memoriei ocupate:
4 ko.
Virusul este rezident in top, la adresa 9F00:0000 [El reduce 0000:0413 cu 4, apoi autocopiaza la 9F00:0000, relativ la dimensiunea memoriei].
Spatiul ocupat pe disc:
5 sectoare.
Virusul este rezident in top, la adresa 9F00:0000 [El reduce 0000:0413 cu 4, apoi autocopiaza la 9F00:0000, relativ la dimensiunea memoriei].
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13 / 02
13 / 03
[Ascunderea este valabila doar pentru hard disc, nu si pentru floppy]; [Ascunderea este valabila doar pentru hard disc, nu si pentru floppy]; [Ascunderea este valabila doar pentru hard disc, nu si pentru floppy]
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Virusul este rezident in top, la adresa 9F00:0000 [El reduce 0000:0413 cu 4, apoi autocopiaza la 9F00:0000, relativ la dimensiunea memoriei].
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Virusul este rezident in top, la adresa 9F00:0000 [El reduce 0000:0413 cu 4, apoi autocopiaza la 9F00:0000, relativ la dimensiunea memoriei].
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Good morning,EVERYbody,I am PETER II

Do not turn off the power, or you will lost all of the data in Hardisk!!!

WAIT for 1 MINUTES,please...

Ok.If you give the right answer to the following questions,I will save your HD:

A. Who has sung the song called "I`ll be there" ?

1.Mariah Carey 2.The Escape Club 3.The Jackson five 4.All (1-4):

B. What is Phil Collins ?

1.A singer 2.A drummer 3.A producer 4.Above all (1-4):

C. Who has the MOST TOP 10 singles in 1980`s ?

1.Michael Jackson 2.Phil Collins (featuring Genesis)

3.Madonna 4.Whitney Houston (1-4):

CONGRATULATIONS !!! YOU successfully pass the quiz!

AND NOW RECOVERING YOUR HARDISK ......

Sorry!Go to Hell.Clousy man!" ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Infecteaza FBR, doar daca numarul de sectoare/pista este cel putin 15.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/2 pe un hard disc.
- Pista/capul/sectorul 50/0/2
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Japan ; la data: 5/27/93
ntreruperi interceptate:
13 / 02
13 / 03
Efecte nedistructive:
Atunci cand clock-ul de CMOS contine 2 si 27, in campurile luna si data, virusul afiseaza un mesaj, "aranjeaza" o parte din hard disc aplicandu-i o operatie XOR cu valoarea hexa 78 si, apoi, pune patru intrebari, IN ENGLEZA, despre muzica pop.
Conditii de declansare a efectelor nedistructive:
Bytes-ii 7 si 8 din clock-ul CMOS contin 27, respectiv 2.
Efecte distructive:
Daca utilizatorul raspunde incorect la una din intrebari, virusul revine, fara a reface partea "aranjata" de pe hard disc. Daca utilizatorul raspunde corect, virusul reface partea stricata de pe hard disc si boot-eaza normal. (Noi nu am testat asta.)
Conditii de declansare a efectelor distructive:
Utilizatorul raspunde gresit la intrebari.
Conditii de declansare a infectarii:
MBR: (Boot) & (MBR[0x1FD]!=0xBB) FBR: (INT13) & (AX==02 | AX==03) &
(FBR[0x1FD]!=11) & (FBR[0x18]>=0x0F)
[Asta inseamna ca, atunci cand se boot-eaza de pe un floppy infectat, acesta infecteaza] hard discul, daca nu cumva marcajul sau este deja acolo, iar cand se foloseste floppy-ul A:, acesta va deveni infectat indiferent daca marcajul este sau nu acolo sau are cel putin 15 sectoare/pista.
Modul de autodetectare a virusului pe disc:
MBR [0x1FD] == 0xBB, FBR [0x1FD] == 0x11
Constrangeri necesare virusului pentru a functiona:
CPU >= 286 [foloseste PUSHA si POPA], CMOS
[data pentru payload]
Comentarii:
Raspunsurile la intrebarile puse in mesajul afisat sunt: 4,4,2, cel putin in opinia virusului. Stilul de codificare este foarte ciudat; pare ca nu stie despre modurile de adresare directa si face ceva de genul "MOV BX,0460; MOV [BX],AX", mai degraba decat "MOV [460],AX" (de exemplu). De asemenea, este un virus protejat la "copy", prin faptul ca el formateaza pista 0x50 pentru a stoca, pe disc, o parte din sine si MBR-ul original.


 Phx.1336

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1336 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.1268

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1268 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.740

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
740 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Cheef.300

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Plagiarist

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2014 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza DBR-ul de pe hard disc.


 Pojer.1941

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1941 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Poss.2443

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2443 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 PREDATOR.2448

Pseudonime:
PREDITOR 2
PREDATOR 2
Virusul este prost scris (are erori).
2448 [daca este in fisier], 6S [daca este in MBR sau FBR]
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
2448 [daca este in fisier], 6S [daca este in MBR sau FBR]
Dimensiunea memoriei ocupate:
6 ko.
2448 [daca este in fisier], 6S [daca este in MBR sau FBR]
Spatiul ocupat pe disc:
2448 o.
2448 [daca este in fisier], 6S [daca este in MBR sau FBR]
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 11
21 / 12
21 / 4E
21 / 4F
13 / 02
[Exista un bug in tratarea intreruperilor 21/11 si 21/12 (FCB) astfel incat, cu aceste functii, nu nu exista o reala ascundere].; [Exista un bug in tratarea intreruperilor 21/11 si 21/12 (FCB) astfel incat, cu aceste functii, nu nu exista o reala ascundere].; [Exista un bug in tratarea intreruperilor 21/11 si 21/12 (FCB) astfel incat, cu aceste functii, nu nu exista o reala ascundere].
Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original pentru INT 40h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
[foloseste HAND40 daca nu este prezent nici un HDD]; [foloseste HAND40 daca nu este prezent nici un HDD]
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
2448 [daca este in fisier], 6S [daca este in MBR sau FBR]
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
2448 [daca este in fisier], 6S [daca este in MBR sau FBR]
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, care poate fi insa detectat printr-un sir 'wildcard'.
Mesaje neafisate dar continute de corpul virusului:
"Predator virus #2 (c) 1993 Priest - Phalcon/Skism",

"THE PREDATOR" ; Mesajul continut de virus si neafisat este criptat.
"Here comes the Predator!" ; Codul paginii la afisarea mesajului continut de virus: 1 ; Mesajul continut de virus si neafisat este criptat.
[Din moment ce virusul este encriptat, de fapt, se poate considera ca si primul mesaj este encriptat, dar, pentru unele instante ale virusului el nu este encriptat]; [Din moment ce virusul este encriptat, de fapt, se poate considera ca si primul mesaj este encriptat, dar, pentru unele instante ale virusului el nu este encriptat]; [Din moment ce virusul este encriptat, de fapt, se poate considera ca si primul mesaj este encriptat, dar, pentru unele instante ale virusului el nu este encriptat]
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/2 pe un hard disc.

Raspandirea virusului:
Virus comun. Regiunea geografica: Argentina ; la data: 4/19/94
ntreruperi interceptate:
21 / 11
21 / 12
21 / 4E
21 / 4F
21 / 3D
21 / 4B
21 / 6C
13 / 02
13 / 50FD
24
[24 doar daca este nevoie]
Efecte colaterale:
Bug-ul din FindFirst/next folosind FBC ar putea provoca o comportare ciudata in unele programe (nu este verificat). Pot apare reboot-ari neasteptate in timpul boot-arii de pe un floppy infectat.
Conditii de declansare a infectarii:
(OPEN or EXEC or EXTENDED OPEN) and (MZ or ZM or .COM)
and (not(filename_with (PROT,SCAN,CLEA,VSAF,CPAV,NAV.,DECO)))
and (LengthCOM > 1000) and (LengthCOM < 62088)
and (LengthEXEheader = LengthEXEfile)
Modul de autodetectare a virusului in memorie:
INT_13; AX=50FD -> AX=FD50
Modul de autodetectare a virusului pe disc:
FILEDATE.LOWBYTE >200 (FILES) MBR sau FBR starteaza cu FA BF 14 7C B8 32 00
Comentarii:
Titlul autorului este Priest, iar afilierea sa este Phalcon/Skism. Virusul pare sa fi fost scris pe la sfarsitul lui1993. El incearca sa nu infecteze antivirusii, prin neinfectarea fisierelor care contin sirurile PROT, SCAN, CLEA, VSAF, CPAV, NAV sau DECO. Acestea sunt F-prot, Scan, Clean, Vsafe, Cpav si Nav. Nu se stie ce inseamna DECO. O slaba eroare de tratare, atunci cand se boot-eaza de pe discheta, poate provoca reboot-ari. In caz de eroare, virusul apeleaza int 18, care provoaca reboot-area in cazul majoritatii sistemelor. El foloseste tehnici de penetrare pentru a-si ascunde activitatile din timpul infectarii fisierelor sau a MBR/FBR-ului. Daca codul DOS pentru int 21 incepe cu 0EA (jmp far) sau cu 0C (breakpoint), el nu penetreaza. Virusul intercepteaza int 21, "carpindu"-si codul cu o instructiune jmp far la codul sau. Handler-ul int 21 din virus fixeaza codul si-l "recarpeste" dupa terminare, trasand executia cu int 1. Cand executia primei instructiuni din int 21 este terminata, virusul il "recarpeste" si opreste trasarea. Decriptorul este variabil doar in ceea ce priveste cheia si la metoda de encriptare. Metoda de encriptare este selectata aleator dintr-un tabel. Si nici atunci cand virusul este incarcat de pe sectorul de boot, asteptand ca DOS sa incarce interceptarea intreruperii int 21, el nu foloseste penetrarea. Virusul detecteaza incarcarea DOS urmarind vectorul int 21 in IVT. Atunci candse schimba la un offset >0800h, el intercepteaza intreruperea. Virusul este puternic "stealth" atunci cand se ascunde de MBR/FBR, dar nu face decat sa ascunda lungimea fisierului si data modificarilor din fisier, si asta doar la apeluri FindFirst/Next. Exista un bug in ascunderea FCB, ca urmare s-ar putea returna un FCB corupt in loc de un FCB fixat. Verifica daca un fisier este EXE, cautand la inceputul acestuia MZ sau ZM. Verifica ca este vorba despre un .COM, cautand extensia fisierului. Virusul foloseste mult auto-modificarea cu scopul de a activa sau dezactiva unele rutine. El foloseste urmatorii bytes, nereferiti niciodata. Pare sa fie o rutina nefolosita vreodata:

BC 9B 9C MOV SP,09C9B
97 XCHG AX,DI
9D POPF
9F LAHF
8C 9B 9C E0 MOV W[BP+DI+0E09C],DS
8C 91 E0 BF MOV W[BX+DI+0BFE0],SS
AE SCASB
BD AA D2 MOV BP,0D2AA
D2 D2 RCL DL,CL
E0 RETF


 Protect.1196

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1196 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 QRRY

Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
1 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 27/01/09
Raspandirea virusului:
In atentia cercetatorilor. ; la data: 3/8/93
ntreruperi interceptate:
13 / 0201
Efecte distructive:
Suprascrie primele noua sectoare ale primelor trei piste, de pe fiecare disc sau discheta de pe care se citeste.
Conditii de declansare a efectelor distructive:
Real_Time_Clock_Month == 12
Conditii de declansare a infectarii:
INT 13h & AX==0201h & CX=0001h
Modul de autodetectare a virusului pe disc:
INT 13h & AX==0201h & CX=0001h
Comentarii:
Este un simplu infector de MBR care produce, mai degraba, pagube urate/neplacute; "QRRY" este exact un si ASCII care se intampla sa apara in codul virusului.


 Radyum.1072

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rajaat.731

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
731 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Rattler.1536

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 ANDROMEDA.800

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Reset.352

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
352 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.309

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
309 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.CarpeDiem.472

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
472 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Digital.822

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
822 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Immortal.510

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
265 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.Overdoze.470

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
470 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.TTT.840

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
840 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 RMNS.651

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
651 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Rubbit.681

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
681 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sandy.1376

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1376 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Saturday14

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
669 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Scrunch.420

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
420 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.354

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
354 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Selectron.1112

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1112 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Shadowgard

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
9482 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Shimmer.b

Virusul nu este de fapt un virus, ci un vierme.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.


 AntiEXE

Pseudonime:
D3
Newbug
Virusul infecteaza interceptand apelurile DOS la fisiere.
Este rezient; se incarca inaintea DOS_ului; reduce memoria disponibla pentru DOS cu 2K.
Tehnici de ascundere:
Sunt folosite.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Este rezient; se incarca inaintea DOS_ului; reduce memoria disponibla pentru DOS cu 2K.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/13 pe un hard disc.
- Pista/capul/sectorul 1/0/15 pe un floppy de 1.44 MO.
- Sectorul logic 1/0/5 pe un floppy de 720 KO.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Iceland ; la data: 6/15/94
In atentia cercetatorilor. Regiunea geografica: USA ; la data: 6/15/94
In atentia cercetatorilor. Regiunea geografica: Germany ; la data: 6/15/94
In atentia cercetatorilor. Regiunea geografica: Israel ; la data: 6/15/94
ntreruperi interceptate:
13
D3
Odata ajuns rezident, virusul redirectioneaza intreruperea 13h (BIOS disk interrupt) pana la intreruperea D3h (o intrerupere neutilizata), trecand peste unele comportari ale programelor.
A se vedea si:
AntiEXE.A
AntiEXE.B
Comentarii:
Propagare: Virusul foloseste un sector, umplandu-l aproape complet. Virusul stocheaza MBR-ul original pe pista 0, cilindrul 0, sector 13. Pe floppy-uri de 1.44K, sectorul de boot este stocat pe pista 1, cilindrul 0, sector 15. Acesta este al 14-lea sector (ultimul) al directorului root. Pe floppy-uri de 720K, inregistrarea de boot este stocata pe pista 1, cilindrul 0, sector 5. Acesta este al 7-lea sector al directorul root. Deci, pe floppy-uri, virusul poate suprascrie unele intrari de fisiere, daca root-ul se apropie de capacitate. Virusul arata ca ar avea unele proprietati stealth. Cand virusul este in memorie, MBR-ul de pe hard disc si F.Boot-ul floppy-urilor infectate apar ca fiind normale, pentru unele vizualizoare precum Norton Utilities. Cand este rezident, CHKDSK va raporta un total de memorie de 653.312 bytes, deci o reduce de 2.048 bytes fata de 655.360 bytes cat este normal.


 Signed.979

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
979 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.128

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
128 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.241

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
241 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.468

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
468 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyOCE.277

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
277 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SillyRC.122

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
122 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRC.414

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
414 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Silver.2218

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2218 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Alive.2283

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2283 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Sistor.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Skew.469

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
469 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Slovakia.Silvia5

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Small.123

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
123 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.150

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
150 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smeg.v0_3.Demo.a

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
319 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SofiaTerminator.899

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
899 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ap.272

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
272 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Sparse.3840

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3840 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SSH.2944

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2944 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sterculius.273

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
273 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Stranger.734

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
734 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SVC.1689

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1689 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Swalker.1266

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1266 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 T555

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
4096 o.
Spatiul ocupat pe disc:
556 o.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 4B
Testarea functiei 4B pe int 21 se face mai complex. Se executa NOT AH, se compara cu 0B4h si apoi se mai executa o data NOT AH. Astfel dispare instructiunea alarmanta pentru antivirusii euristici: CMP AH,4Bh.; Testarea functiei 4B pe int 21 se face mai complex. Se executa NOT AH, se compara cu 0B4h si apoi se mai executa o data NOT AH. Astfel dispare instructiunea alarmanta pentru antivirusii euristici: CMP AH,4Bh.; Testarea functiei 4B pe int 21 se face mai complex. Se executa NOT AH, se compara cu 0B4h si apoi se mai executa o data NOT AH. Astfel dispare instructiunea alarmanta pentru antivirusii euristici: CMP AH,4Bh.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
"T555 the terminator - And when we will succed , a new era will begin for manthe century of the machine ,QzSaEcFD!"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21 / 4B
Efecte colaterale:
Reduce memoria de baza cu 4K. Intrerupe inlantuirea MCB-urilor catre UMB-uri.
Conditii de declansare a infectarii:
Exec
Modul de autodetectare a virusului in memorie:
0:[510h] and 41h <> 0
Modul de autodetectare a virusului pe disc:
File[3]='A'
Comentarii:
Virusul pare realizat in fuga, nu se fac verificari daca scrierea si citirea au fost executate corect, decriptarea si ocuparea memoriei depasesc lungimea efectiva a virusului.


 Tajfun.250

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
250 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Telefonica.3429

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3429 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Terminator.3490

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3490 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Tim.1600.a

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Timid.305

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
305 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.134

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
134 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiny.320

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
320 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Topa.2456

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2456 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Arcv.1060

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1060 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 TPE.CivilWar.2049

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2049 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trakia.561

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
561 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.128

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
128 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.28

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
28 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.42

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
42 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.92

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
92 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.Twelve.306

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
306 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Avv.1667

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1667 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 BadCommand.967

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
967 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Barcelona

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bat.Xop

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
850 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Burger.398

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
398 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Butt.461

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
461 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Carbuncl

Spatiul ocupat pe disc:
622 o.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Sint 5/6 sanseca virusul sa caute un fisier EXE in directorul curent si sa redenumeasca acest fisier: .CRP si sa creeze un fisier .BAT cu urmatorul continut: @ECHO OFF CARBUNCL RENAME JEXE.EXE JEX. EXE RENAME JEXE.EXE JEXE.CRP CARBUNCL. Aceasta procedura se repeta pina cind toate fisierele EXE au fost infectate. Restul de sanse (1/6), sint pentru a infecta 5 fisiere .CRP. Lungimea fisierelor infectate creste cu 877 bytes. Nu este rezident in memorie. Vor aparea erori cind virusul va incerca sa infecteze fisierele protejate la scriere.


 Cascade.691

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
691 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 CeCe.1994

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1994 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Chameleon.Casper.1440

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1440 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cybercide.1321

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1321 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CyberTech.552

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
552 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 DAN.1500

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DARV.1024

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 DBCE.3403

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3403 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 33.525

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
525 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Ecu

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
711
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AH=4B
24
Efecte distructive:
Multe fisiere infectate nu mai pot fi executate.


 Eddie.Alexander

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1951 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Egg

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AH=4B
24
Efecte distructive:
Nu se manifesta distructiv.


 Emmie.2604

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2604 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 ENOLA

Spatiul ocupat pe disc:
1865 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 24
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AX=4B00h
24
8
Efecte distructive:
Cind perioada de rezidenta a virusului in memorie a depasit 140min. si cind INT 21h a fost apelata de peste 72 de ori, virusul va distruge toate datele de pe hard disc.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca nu va folosi INT 21h pentru a deveni rezident. Se va executa apoi fisierul original. Va infecta apoi orice fisier "curat" care se executa. Prin interceptia INT 24h virusul nu va fi descoperit cind infecteaza fisiere protejate la scriere.


 Este.303

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
404 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 8tunes

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1971 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Friday13.623

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
623 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Futhark.968

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
968 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Genesis.238

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
238 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Gidra.505

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
505 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Girls.1829

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1829 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 GoodThursday

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
177 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Abraxas.Cleton.1508

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1508 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Dope.5219

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5219 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Worm.Frust

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7008 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.5488

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5488 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Ostraboo

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8000 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.4288

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4288 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Dupalec

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8192 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Adrenalin.571

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
571 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Australian

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1408 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Haha.1733

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1733 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Roger.2000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.sURIV.3.00.##00054

Pseudonime:
Jerusalem-E
Suriv 3.00
Israeli
Suriv03
Israeli #3
Suriv300
Virusul produce efecte vizuale.
Fisierele COM cresc cu 1813 bytes, iar cele EXE cu 1808-1823 bytes. Lungimea unui fisier EXE va creste intotdeauna cu un multiplu de 16 bytes. Fisierele COM sunt infectate doar o singura data; cele EXE pot fi infectate repetat, din moment ce virusul nu foloseste nici o semnatura pentru a determina daca acestea sunt infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Fisierele COM cresc cu 1813 bytes, iar cele EXE cu 1808-1823 bytes. Lungimea unui fisier EXE va creste intotdeauna cu un multiplu de 16 bytes. Fisierele COM sunt infectate doar o singura data; cele EXE pot fi infectate repetat, din moment ce virusul nu foloseste nici o semnatura pentru a determina daca acestea sunt infectate.
Spatiul ocupat pe disc:
1813 o.
Fisierele COM cresc cu 1813 bytes, iar cele EXE cu 1808-1823 bytes. Lungimea unui fisier EXE va creste intotdeauna cu un multiplu de 16 bytes. Fisierele COM sunt infectate doar o singura data; cele EXE pot fi infectate repetat, din moment ce virusul nu foloseste nici o semnatura pentru a determina daca acestea sunt infectate.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Fisierele COM cresc cu 1813 bytes, iar cele EXE cu 1808-1823 bytes. Lungimea unui fisier EXE va creste intotdeauna cu un multiplu de 16 bytes. Fisierele COM sunt infectate doar o singura data; cele EXE pot fi infectate repetat, din moment ce virusul nu foloseste nici o semnatura pentru a determina daca acestea sunt infectate.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
Israel
Fisierele COM cresc cu 1813 bytes, iar cele EXE cu 1808-1823 bytes. Lungimea unui fisier EXE va creste intotdeauna cu un multiplu de 16 bytes. Fisierele COM sunt infectate doar o singura data; cele EXE pot fi infectate repetat, din moment ce virusul nu foloseste nici o semnatura pentru a determina daca acestea sunt infectate.
Familia virusului:
Suriv
Derivat din: Suriv.1|_x, Suriv.2|_x.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
sURIV 3.00 ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).
- Infecteaza (din greseala) overlay-urile (.OVR).
Nu infecteaza COMMAND.COM. Fisierele EXE sunt reinfectate continuu.
Raspandirea virusului:
Rapoarte nesemnificative.
ntreruperi interceptate:
21
08
Efecte distructive:
Substantiale.
Modul de autodetectare a virusului in memorie:
Este rezident daca functia E0h a lui INT 21 returneaza valoarea 0300h in registrul AX.
Modul de autodetectare a virusului pe disc:
Sirul text sURIV de la sfarsitul unui program infectat; sirul text sU la offsetul 3 Şin fisierele COMMAND.COM; o valoare de 1984h in campul checksum din header-ul EXE.
Comentarii:
Simptome: La treizeci de secunde dupa ce primul program infectat este executat, doua linii de pe ecran (de la 5,5 pana la 16,16) vor face scroll-up, determinand aparitia unui patrat negru pe ecran. Vor putea fi percepute cresteri in dimensiune a fisierelor COM, EXE sau SYS. Sistemul va fi incetinit cu 10%. De notat ca, incetinirea are loc dupa 30 minute, in cazul virusilor Jerusalem.Suriv.1 si Jerusalem.Suriv.2. Programul sters nu merge. De retinut: Acest virus este aproape identic cu Jerusalem, din care a derivat, dar care este cu mult mai bine cunoscut. sURIV.3 este probabil cea mai veche varianta de Jerusalem, desi au fost descoperite alte noi variante de Jerusalem de dinainte de sURIV.3. Diferentele fata de virusul Jerusalem sunt urmatoarele: Ż sirul sUMsDos gasit in Jerusalem, in aceasta versiune este sURIV 3.00 (de notat ca sirul sU este mentinut, iar sirul RIV 3.00 este inlocuit cu MsDos. Faptul ca Suriv inverseaza capitalizarea normala, in timp ce MsDos o onoreaza, ofera o slaba sugestie privind diferenta de autorat. Ż cele 30 de minute de intarziere (inainte de incetinirea masinii) din Jerusalem, in aceasta versiune, sunt 30 de secunde (facand ca detectia acestui virus sa fie mai usoara decat a virusului Jerusalem). Ż exista un bug in functia virusului de stergere a programului, facand aceasta versiune mai putin letala decat Jerusalem. Ż Aparent, marcajele de auto-identificare fac nu numai ca autorul sau personalul de programare al lui Suriv.1, Suriv.2 si Suriv.3 sa fie acelasi, ele indica insa, in plus, un lant de dezvoltare consistent, fiecare virus suportand versiuni anterioare. Intentia pare sa fi fost aceea ca fiecare virus sa se recunoasca in versiunile viitoare si sa nu concureze cu ele, ignorand, in acelasi timp, versiunile precedente. Aceasta realizare face evident faptul ca virusul Fu Manchu este realizarea unui programator diferit care nu a avut acces la versiunile precedente de Suriv si, deci, nici o obligatie de a le suporta. Faptul ca Suriv.1 nu contine cod pentru recunoasterea lui Suriv.3, sugereaza ca Suriv.3 a fi putut fi eliminat inainte de lansare. Variante posibile ale virusului sunt: a, T13.


 Joe.589

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
589 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 June16

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
879 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Akuku-649

Spatiul ocupat pe disc:
649 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
Dupa 6 Iunie 1994, ora 15:00 va fi afisat mesajul: "A kuku frajerze"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Akuku-649 este un infector direct, asta inseamna ca nu este rezident in memorie. Odata ce virusul intra in executuie , va cauta toate fisierele COM "curate" pe care le va infecta.


 Lazy.720

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
720 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lemming.2160

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Leprosy.5370

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5370 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.814

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
814 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Oss.591

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
591 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Skism.1992

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1992 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Alfons.1344

Pseudonime:
Iutt99
Alfo
Spatiul ocupat pe disc:
1344 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Efecte distructive:
In prima saptamina a lunii, incepind cu Duminica, poate suprascrie primul disc de pe hard.
Comentarii:
Virusul este rezident in memorie. Foloseste un cod pe 32 de biti. Fisierele COM cresc in lungime cu 1426 o. A fost semnalat prima oara la data de 21 Martie 1996.


 Mayak.2370

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2370 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 MemLapse.375

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
375 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mephisto.4.815

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
815 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MGTU.273

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
273 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Milan.Verbatim.289

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
289 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.123.b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
123 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.718

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
718 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V163

Pseudonime:
V.163
V-163
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume adresa 0060
Foloseste zona de date DOS, de la 60:00 to 60:A2, pentru a deveni rezident. Aceasta tehnica nu functioneaza intotdeauna.
Dimensiunea memoriei ocupate:
163 o.
Foloseste zona de date DOS, de la 60:00 to 60:A2, pentru a deveni rezident. Aceasta tehnica nu functioneaza intotdeauna.
Spatiul ocupat pe disc:
163 o.
Foloseste zona de date DOS, de la 60:00 to 60:A2, pentru a deveni rezident. Aceasta tehnica nu functioneaza intotdeauna.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Foloseste zona de date DOS, de la 60:00 to 60:A2, pentru a deveni rezident. Aceasta tehnica nu functioneaza intotdeauna.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
Zeuthen, Germany
Foloseste zona de date DOS, de la 60:00 to 60:A2, pentru a deveni rezident. Aceasta tehnica nu functioneaza intotdeauna.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Odata ajuns rezident, virusul infecteaza toate fisierele executate care nu incep cu M. Deoarece noile header-e EXE, precum NE sau LE, nu vor fi tratate, aceste fisiere vor fi stricate.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative. ; la data: 7/22/93
ntreruperi interceptate:
21 / 4Bh
Efecte colaterale:
Executabilele NE/LE vor fi stricate de catre procesul de infectare
Conditii de declansare a infectarii:
Exec
Modul de autodetectare a virusului in memorie:
[0000:0086]=60h
Virusul nu se auto-recunoaste corespunzator in memorie. Orice proces rezident, care intercepteaza INT 21 va determina ca virusul sa devina rezident din nou!
Modul de autodetectare a virusului pe disc:
FILE[0]=4Dh
Comentarii:
Virusul nu asigura auto-recunoasterea a orice este rezident, intercepteaza INT21, ceea ce va determina ca virusul sa devina din nou rezident!


 VCode.2262

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2262 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vengeance.613

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
613 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VICE.03.One13th

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2706 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vienna.304

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
304 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.494

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
494 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.Dennis.874

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
874 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Voronezh.1584

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1584 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 W95.Marburg.A

Spatiul ocupat pe disc:
7900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Comentarii:
W95.Marburg este un virus pentru Windows , pe 32 de biti, care este capabil sa infecteze fisierele EXE din Windows 95/98 si Windows NT. Virusul nu infecteaza executabilele din Windows 3.x. Nu este rezident in memorie, astfel infecteaza direct. Evita sa infecteze fisierele al caror nume incepe cu "PAND", "F-PR" sau "SCAN", cit si fisierele care contin litera "V". Acestea sint masuri luate de virus de a evita divulgarea sa. Deasemenea va sterge toate fisierele "CHKLIST.MS", "AVP.CRC" si "IVB.NZT" (considerate ca apartinind unor antivirusi) din orice director. Virusul este primul virus de Windows care este polimorfic. Fisierele infectate cresc in lungime cu aproximativ 7900 de biti astfel incit lungimea totala sa fie divizibila cu 101. Acest lucru face ca virusul sa nu mai verifice continutul fisierelor ci numai divizibilitatea lor la 101. Daca un fisier are o lungime care se divide la 101, acesta nu va fi infectat. Poate infecta fisiere marcate ca fiind read-only, nu schimba data si timpul fisierelor infectate. Daca o aplicatie infectata este lansata dupa trei luni de la infectie, virusul va afisa mesaje de eroare standard (un "X" alb pe un cerc rosu), facind ca ecranul sa arate ca fiind "bolnav" de pojar.


 Wasp.1655

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1655 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Win.AEP.b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.


 Wizard.495

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
495 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 WM.Beeper.A

Pseudonime:
MW:NJ-WMDLK1-K
WordMacro/Beeper.A
WM.Lemon
Beeper.A
WM6.THETIME
Winword.CountTen
Comentarii:
Este un virus de Word care are 6 macro-uri : Autoexec, AutoClose, AutoOpen, AutoNew, TheTime si Kill. Virusul infecteaza documentele cind sint deschise sau cind este creat unul nou. Maximizeaza fereastrele Word si insereaza in documentul curent textul: You are infected with The Time A virus from Cool Zero. Virusul nu executa macrourile Kill si TheTime ci numai daca sint activate de utilizator prin meniurile File/Templates si Tools/Macro. Daca se produce acest lucru, macro-ul TheTime verifica timpul sistemului daca este 15:59 cind va produce un sunet si va afisa o fereastra de dialog cu mesajul: "Hi I'm the Time virus
I don't like Your COMMAND.COM and AUTOEXEC.BAT
Play with me !! :-)
You have 1 Minute time to find me
Find me, I do nothing

Find me not
SAY BYE TO YOUR COMMAND.COM AND AUTOEXEC.BAT". La ora 16:00 sterge toate fisierele C:\COMMAND>COM si C:\AUTOEXEC.BAT. A aparut in Februarie 1997.


 Argentina.1206

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1206 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 YanShort.1835

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1835 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Yeke.1076

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1076 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Zhengxi

Virusul este de fapt un "dropper"'.
În timp ce incearca sa devina erzident, virusul foloseste si tehnica checksumming.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Virusul foloseste Int 21h, AH=4Eh, 4Fh (FindFirst dupa nume) pentru a infecta fisierele. Orice fisier, accesat prin FindFirst si fiecare al cincilea fisier accesat prin FindNext, va avea numele stocat íntr-un buffer din cadrul virusului: numele stocat anterior va fi suprascris. Apoi, cand fisierul este inchis, virusul infecteaza fisierul al carui nume se afla stocat in buffer. In plus, la una din patru incercari, fisierul care trebuie inchis este infectat. Inainte ca un fisier sa fie infectat, Zhengxi verifica urmatoarele: • daca fisierul nu a fost creat in acea zi (similar testului facut atunci cand virusul devine rezident) • daca fisierul este pe un drive local (nu A sau B) • daca numele fisierului nu se potriveste cu pattern-ul *.?V? (i.e. nu este un fiˇsier overlay) • daca exista suficient spatiu disponibil pe disc (Int 21h, AH=36h). Cand toate aceste conditii sunt indeplinite, virusul verifica numele fisierului si header-ul, folosind metoda checksum descrisa. Apoi, executia continua in functie de tipul fisierului.
Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
În timp ce incearca sa devina erzident, virusul foloseste si tehnica checksumming.
Spatiul ocupat pe disc:
7 ko.
Este unul dintre cei mai mari virusi vazuti vreodata.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21
25
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Este un virus caracterizat printr-un polimorfism foarte complex, similar celui specific virusului SMEG, insa secventele sale ciclice (buclele) adesea depasesc lungimea de 2K.
Mesaje neafisate dar continute de corpul virusului:
'Abnormal program termination The Virus/DOS 0.54 Copyright (c) 1995 Zhengxi Ltd Warning! This program for internal use only!' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .OBJ.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .ARJ.
Este un virus de tipul "totul intr-unul singur", infectand fisiere EXE si OBJ si ataseaza COM-uri infectate, ca drop, la arhivele de tip ZIP, ARJ si RAR. Zhengxi infecteaza fisierele EXE (dar nu si cele mai mici de 1024 bytes lungime) fie atasandu-si codul la sfarsitul unui fisier in maniera standard, fie cautand prin fisier subrutine C sau Pascal si, apoi, modificandu-le astfel incat sa execute virusul. Tehnica de infectare OBJ este similara cu cea a virusului Shifter, iar cea privind modificarea arhivelor este similara cu cea a virusului Dementia.
In cateva puncte din codul sau, Zhengxi foloseste o incitanta tehnica de a decide daca sa infecteze sau nu un fisier. In loc sa compare direct informatiile din fisier cu datele stocate in virus, acesta calculeaza un checksum (CRC) al datelor si il compara cu cel stocat in cadrul virusului.
Acest fapt face dificila, in mod semnificativ, descoperirea a ceea ce cauta virusul - este necesara o dezasamblare a checksum-ului in incercarea de a gasi toti bytes pattern care puteau fi generati. Zhengxi foloseste mai intai aceasta tehnica atunci cand verifica numele fisierului vizat pentru a fi infectat.
Virusul ia primii cinci bytes din filename si i foloseste pentru a calcula un checksum pe care, apoi, il compara cu sumele stocate in corpul sau. Daca se potriveste, fisierul nu este infectat. Exista peste 20.000 de siruri text, de cinci bytes, care se potrivesc cu unul din cele saisprezece. Dintre acestea, au putut fi descoperite urmatoarele douasprezece fisiere EXE, car apr sa corespunda unsprezece checksum uri: UUENCODE, PKLITE, LZEXE, NDD, DIET, AFD, SD, SPEEDISK, DEFRAG, LINK, TLINK si AVSCAN. Celelalte cinci cheksum uri raman un mister.
Zhengxi foloseste din nou tehnica cheksum atunci cand examineaza continutul fisierului. Aici, el compara diferite checksum uri, calculate din header cu cele opt stocate in corpul sau, deci aceeasi tehnica este dezvaluita care se potriveste cu:
• 80h -> OBJ file marker
• 4D5Ah si 5A4Dh -> EXE file markers
• 69eah -> ARJ-archive marker
• 504Bh ('PK') 0304h -> ZIP-archive marker
• 52617221h ('Rar!') ->RAR-archive marker
Scopul celor doua CRC uri restante este (ramane) necunoscut.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului

ntreruperi interceptate:
21
25
Modul de autodetectare a virusului pe disc:
Autorecunoastere in COM Droppers si in fisierele EXE (inserting): FileLength=(9Dh*n)+25h, unde n este orice intreg. Autorecunoastere in fisierele EXE (appending): Aceeasi conditie privind lungimea, ca si cea precedenta, valori header EXE: CS=SS+1, 79h Comentarii:
Zhengxi este un virus, in mod exceptional, foarte complicat, fiind un infector rezident in memorie, ascuns, polimorfic si parazit. Nu se crede ca circula prin natura, dar a lansat cateva tehnici foarte interesante si este foarte destructiv. Nimiceste toate fisierele si directoarele aflate pe drive-ele C pana la Z. Zhengxi contine un singur trigger, apelat dupa ce a fost procesat un fisier ZIP, altul decat mesajul afisat de drop-erele COM. Daca arhiva contine un fisier 'stocat' si data ultimei modificari a arhivei este 1996 sau ulterioara, virusul gaseste si sterge toate fisierele si directoarele, aflate pe drive-ele C pana la Z. Eliminare: in conditiile unui sistem curat, se identifica si se inlocuiesc fisierele EXE si OBJ infectate. Se verifica daca arhivele ZIP, ARJ si RAR contin drop-ere COM.


 Zu.473

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
473 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ash.712

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
712 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Astra.472

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
472 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza drivere de dispozitive (.SYS).


 Atas.400

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Australian.1024

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza boot-ul.


 Australian.205

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
205 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Australian.482

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
482 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.Demo.3896

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3896 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beep.2000

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Bengal.1170

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1170 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 BitAddict.1458

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
1458 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Blackjec.252

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
252 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.378

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
378 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bloodlust.302

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
302 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bonny.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Dupa o ora de la virusare, canta "My Bonny is over the..." la fiecare 5 minute.
Loc de rezidenta:
Virusul nu este rezident in memorie dar instaleaza un 'payload' rezident.
Dimensiunea memoriei ocupate:
256 o.
Dupa o ora de la virusare, canta "My Bonny is over the..." la fiecare 5 minute.
Spatiul ocupat pe disc:
1000 o.
Dupa o ora de la virusare, canta "My Bonny is over the..." la fiecare 5 minute.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Dupa o ora de la virusare, canta "My Bonny is over the..." la fiecare 5 minute.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Dupa o ora de la virusare, canta "My Bonny is over the..." la fiecare 5 minute.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
ntreruperi interceptate:
8
Efecte nedistructive:
Dupa o ora de la virusare, canta "My Bonny is over the..." la fiecare 5 minute.
Conditii de declansare a efectelor nedistructive:
PayloadInMemorySince = 60 + 5 * n min, n=0,1,2,...
Efecte colaterale:
Dupa o ora de la virusare, canta "My Bonny is over the..." la fiecare 5 minute.
Conditii de declansare a infectarii:
Exec and (Exist *.COM) and (LengthCOM < 0F230h) and (LengthCom > 190h)
Modul de autodetectare a virusului in memorie:
0:[20h]=0
Modul de autodetectare a virusului pe disc:
(File[0]==0E9h) and (File[File[1]+3]-File[File[1]+6]==50, E8, 02, 00)
Comentarii:
Exista doua variante care difera doar prin inversarea a doua instructiuni din decriptor.


 BootEXE.Stalker.310

Spatiul ocupat pe disc:
310 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Brother_300

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
300 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AH=4B
24
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Daca programul care se executa este un fisier EXE neinfectat, atunci se creaza un nou fisier COM cu acelesi nume ca cel EXE. Acest nou fisier COM este chiar virusul, dimensiunea fiind de 300 Bytes.


 Chemist.265

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
265 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CIBERTECH

Spatiul ocupat pe disc:
1076 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
Daca data sistemului este mai mare ca 1993 va aparea mesajul: "The previous year have been infected by a virus without knowing or removing it. To be gentle to you I decidet to remove myself from your system.I suggested you better buy VirusScan of McAfee to ensure yourself complete security of your precious data. Next time you could be infected with a malevolent virus. May I say good bye to you for now.. CyberTech Virus-Strain A© 1992 John Tardy of Trident".
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
24
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul verifica daca data sistemului este mai mica decit 1993. Daca "Da" cauta fisierele COM din directorul curent si le va infecta pe cele "curate", unul o singura data. Nu este rezident in memorie. Inercepteaza INT 24h pentru a nu fi divulgat cind incearca sa infecteze fisiere protejate la scriere.


 Civilwar.282

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
282 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Ratboy.289

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
289 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Close.960

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
960 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Companion.100

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
100 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 Companion.AIH.823

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
823 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 CopyProtected

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Crazy.1445

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1445 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Cruncher.4000

Pseudonime:
Eight_Tunes
8 Tunes
8-Tunes (A)
Eight Tunes [Eight]
Virusul infecteaza interceptand apelurile DOS la fisiere.
Gradul de infectie este ridicat: unii considera Cruncher ca un program free util, din domeniul public; ceea ce ar putea grabi raspandirea lui.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
4000 o.
Gradul de infectie este ridicat: unii considera Cruncher ca un program free util, din domeniul public; ceea ce ar putea grabi raspandirea lui.
Spatiul ocupat pe disc:
4000 o.
Gradul de infectie este ridicat: unii considera Cruncher ca un program free util, din domeniul public; ceea ce ar putea grabi raspandirea lui.
Caracteristici polimorfice:
- Nu este criptat.
Virusul este polimorfic nu pentru ca este encriptat, ci pentru ca este comprimat impreuna cu fisierul gazda pe care l-a infectat, astfel incat aparenta sa va depinde de gazda infectata.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Infecteaza fisierele COM, EXE, exceptandu-le pe cele al caror nume care incepe cu SC, CL, VS, NE, HT, TB, VI, FI, GI, RA, FE, MT, BR sau IM si a caror lungime este <256 bytes si >61440 bytes.
ntreruperi interceptate:
21
08
24
Efecte nedistructive:
Pagubele sunt importante. Programele care incorporeaza autoverificare, precum software-ul antivirus, ca si programele cu overlay-uri ar putea sa nu mai lucreze dupa ce au fost strivite.
Modul de autodetectare a virusului in memorie:
Apelul "Are you there" este realizat prin INT 21h cu AX=33E0h
Modul de autodetectare a virusului pe disc:
Virusul verifica continutul primilor cinci bytes.
Comentarii:
Ca simptome, dupa executarea unui program infectat, fiecare program care urmeaza a fi executat, va fi strivit (crunched), furnizand de fiecare data un castig de spatiu disponibil pe hard disc sau discheta si, progresiv, o incarcare mai rapida. Virusul copiaza in memorie intregul fisier de infectat si apoi infecteaza memoria adaugand codul virusului, precum si un salt la startul fisierului gazda. Apoi, foloseste utilitarul de comprimare DIET pentru a comprima intreaga imagine memorie infectata a fisierului (i.e. deopotriva fisierul gazda, precum si codul adaugat al virusului). Fisierul comprimat este copiat inapoi pe disc, fisierul este inchis, atributele time/data sunt restaurate, iar segmentul memoriei sistem, alocat temporar (pentrua fi folosit in timpul infectiei) este acum eliberat. Cand un fisier infectat este executat, fisierul incepe sa se autodecomprime folosind algoritmul DIET. Cand rutina de decomprimare este definitivata, codul de instalare al virusului este executat. Faptul ca virusul este ascuns in cadrul unui fisier comprimat face foarte dificila detectia sa, in acest caz, nu este acceptabil de a se cauta rutina de decomprimare atat timp cat acest cod este legitim utilizat de alte programe. De asemenea, nu este posibil de a se folosi un pattern de cautare hexa atat timp cat secventa de bytes din fisierul comprimat depinde de continutul fisierului gazda; algoritmul de comprimare creeaza un dictionar de cuvinte "noi" care completeaza fisierul, iar continutul acestuia este o secventa a acestor cuvinte noi si a pointerilor la cuvintele care au aparut deja in acest fisier.


 Deicide.665

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
665 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dennis.689

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
689 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.444

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
444 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.891

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
891 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Digger.1512

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Dis.1024

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 515 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Dodo.2456

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2456 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dracula.827

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
827 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Dune.Divide

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2624 o.
Spatiul ocupat pe disc:
1300 o.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 25
21 / 35
La instalare virusul nu foloseste functii sistem pentru a intercepta int 21.

Intercepteaza int 21/25 si int 21/35 pentru ca "agatarea" lui int 21 sa nu fie vizibila folosind functii sistem.; La instalare virusul nu foloseste functii sistem pentru a intercepta int 21.

Intercepteaza int 21/25 si int 21/35 pentru ca "agatarea" lui int 21 sa nu fie vizibila folosind functii sistem.; La instalare virusul nu foloseste functii sistem pentru a intercepta int 21.

Intercepteaza int 21/25 si int 21/35 pentru ca "agatarea" lui int 21 sa nu fie vizibila folosind functii sistem.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Originea geografica:
Romania
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje afisate de virus:
"COMMAND.COM"
"c:\dos\format.com"
"CHKDSK.EXE"
"SCANDISK.EXE"
"NDD.EXE"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
In plus, la instalare, viruseaza pe
C:\DOS\FORMAT.COM, parca pentru a-i pedepsi pe cei care se grabesc sa formateze.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21 / 11
21 / 12
21 / 1A
21 / 25
21 / 35
21 / 40
21 / 4E
21 / 4F
Efecte distructive:
Scrie in fisiere "Divide overflow."
Modul de autodetectare a virusului in memorie:
0:[467h]=0CADEh
Modul de autodetectare a virusului pe disc:
File[3]=File[4]=' '
Constrangeri necesare virusului pentru a functiona:
CPU>=286


 Dwi.1051

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1051 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.396

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
396 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Pure.439

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
439 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Explosion

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
"Dis is one virus. Leave the room IMEDIATLY !!! Your PC is about to EXPLODE within 20 sec ! ". Dupa 20 de secunde va aparea alt mesaj : " EXPLOSION What did you expect ".
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Comentarii:
Virusul nu este criptat si nu se ascunde.


 Fasolo.149

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
149 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FaxFree.Abstract.1024

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Feliz.658

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
658 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Find.600

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fist.652

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
652 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Flagyll.369

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
369 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 FORM. A

Pseudonime:
Form
Form #5
Form Boot
Form Std
Form. A
Form.A.DS4.
Form A
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2 paragrafe.
Originea geografica:
Zurich, Elvetia
Mesaje neafisate dar continute de corpul virusului:
"The FORM-Virus sends greetings to everyone who's reading this text. FORM doesn't destroy data! Don't panic! Fuckings go to Corine."
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele IO.SYS.
- Infecteaza fisierele .BAT.
ntreruperi interceptate:
13
09
Efecte nedistructive:
Pagubele sint minore si neintentionate. Totusi, tastele vor produce doua click-uri pentru fiecare tastare, atunci cind virusul este in memorie in ziua a 18-a din fiecare luna (sau, dupa unele rapoarte, a 24-a), in plus, actiunea tastei respective este usor intirziata.
Comentarii:
Din 1994, este cel mai raspindit virus. In Marea Britanie, una din trei infectii este cu acest virus. In a 18 a zi a fiecarei luni, se va auzi un click de la speaker la fiecare tastare a unei chei. (Unele rapoarte indica ca aceasta se intimpla in a 24-a zi a fiecarei luni). Propagare: Atunci cind calculatorul este boot-at de pe o discheta infectata, codul viral din sectorul de boot al dischetei este executat. Virusul aloca 2KB din memoria conventionala superioara si incarca 2KB din codul sau de pe discheta. Odata ce a facut asta, el infecteaza sectorul de boot de pe hard disc. Pe discheta, a doua parte a virusului este stocata in ultimul cluster, pe care-l marcheaza "prost" in FAT. Daca "Form" intilneste o eroare in timp ce citeste partea a doua a codului sau, calculatorul s-ar putea sa se blocheze. Astfel de erori pot apare daca, de exemplu, virusul nu asteapta suficient ca motorul drive-ului de discheta sa porneasca. Atunci cind Form infecteaza un hard disc, el citeste MBR-ul si H.Boot-ul, verificind ca a infectat deja acel hard disc particular. Daca hard discul nu este infectat si dimensiunea sectorului sau este, in mod normal, de 512 bytes, virusul stocheaza partea a doua a codului sau, si inregistrarea de boot originala in ultimile doua sectoare fizice de pe hard discul fizic (referitor la partitionare). Aceste doua sectoare pastreaza a doua parte a virusului si inregistrarea de boot originala. Ele nu sint marcate nici proaste , nici ocupate. Sistemele ifectate vor esua la boot daca aceste sectoare sint supra scrise (in general, aceasta nu se intimpla pina cind hard discul nu este plin). Deci, virusul infecteaza orice hard disc care nu este plin! Dupa scrierea ultimei parti din codul sau in ultimele doua sectoare de pe hard disc, Form scrie prima parte a codului sau in sectorul de boot al hard discului. Odata hard discul infectat, virusul se activeaza la fiecare boot-are a calculatorului. Form verifica offseturile 136-137 ale sectorului de boot pentru a determina daca a infectat deja drive-ul. Daca gaseste FE01h la cea locatie, Form recunoaste ca acel drive a fost deja infectat cu Form si nu-l mai reinfecteaza. Astfel, virusul isi copiaza codul in sectorul de boot. Cit timp este in memorie, Form monitorizeaza operatiile de citire de pe dischetele din drive-ele A: si B:. Atunci cind pista 0 e citita, virusul verifica daca discheta a fost deja infectata. Daca nu a fost, Form incearca sa o infecteze. Form infecteaza toate dischetele standard (I.e. cele care au sectoare de 512 bytes)


 Green_Stripe

Spatiul ocupat pe disc:
6256 o.
Acesta este pattern-ul hexa din fisierele macro .SMM. In plus, apare vizibil textul 'FUNCTION Green_Stripe_Virus'.
Conditii de declansare a infectarii:
Salvarea unui fisier document.
Comentarii:
Zilele macro-virusilor continua. Urmand cei cativa macro-virusi Word, iata ca un alt macro-limbaj de aplicatie devine tinta: Suntem siguri ca nu va fi ultimul. Pe masura ce macro-limbajele au devenit tot mai puternice, ele au devenit limbaje de programare complete, precum si sisteme de sine statatoare. Astfel, acestea suporta toate caracteriticile necesare pentru a suporta un virus. De asemenea, ele reprezinta un pericol particular, deasupra si mai presus de virusii traditionali: sunt mai usor de scris si, cu siguranta, cu mult mai usor si mai rapid de modificat. Nu este nevoie de prea mult timp pentru a face un macro-virus (daca nu este encriptat!) si nici pentru a-l modifica printr-un numar semnificativ de modalitati... deci sa se tot creeze unul nou. In timp ce macro-virusii pot fi detectati folosind tehnicile traditionale de scan-are a semnaturilor, trebuie solicitate scanner-ele ca o solutie pe termen lung, dat fiind faptul ca este atat de usor de a modifica macro-virusii incat sa nu mai poata fi detectati. Acest virus difera in multe aspecte de macro-virusii Word, date fiind multiplele diferente fata de limbajul macro Ami Pro. In loc sa incorporeze macro-ul in acelasi fisier cu documentul, acesta este tinut in doua fisiere separate, iar in cazul lui Green_Stripe, macro-fisierul (extensia .SMM) are intotdeauna aceeasi lungime (6256 bytes), in acest sens, dandu-i similaritatile unui virus companion DOS. Aceasta creaza o problema: pentru a se raspandi cu succes, virusul trebuie sa se asigure ca si fisierul macro este copiat odata cu fisierul document. Daca se realizeaza un Copy specificand numele fisierului, folosind DOS sau File Manager, nu se va intampla nimic si virusul nu se va raspandi. Acesta pare sa fie si cazul cand fisierele document Ami Pro sunt trimise via email. In incercarea de a depasi aceasta limitare, virusul submineaza functia meniu 'Save As', astfel incat atunci cand un document infectat este salvat, sa fie salvata si o copie a macro-ului, fara cunostinta utilizatorului. Atunci cand se deschide prima data un fisier document infectat, macro-virusul se executa imediat, deoarece este legat la document ca macro start-up care se executa automat. Ca urmare, utilizatorul va fi martorul ca se petrece ceva ciudat, care l-ar putea alerta de prezenta virusului. Apoi, virusul cauta prin directorul document, deschizand si incercand sa infecteze toate fisierele: aceasta va avea un efect de 'flash' asupra ecranului si va alerta utilizatorul de prezenta virusului. In plus, procesul este ca si cand s-ar genera casete de eroare, care vor apare (pop-up) daca documentul este deja deschis. Cautarea fisierelor este realizata folosind macro-comenzile FindFirst$ si FindNext$. Virusul vaneaza toate fisierele avand extensia '.SAM' (extensia implicita Ami Pro). Daca este gasit unul, se verifica daca a fost facut pentru un fisier '.SMM' avand acelasi nume, astfel incat virusul sa determine daca fisierul a fost deja creat. Din moment ce un fisier '.SMM' este, in mod normal, un fisier macro Ami Pro, Green_Stripe presupune ca, daca el exista deja, el trebuie sa fie infectat cu virusul. Atunci cand comanda meniu 'Save As' este accesata, utilizatorul ar trebui sa remarce ca s-a generat o caseta de dialog, pentru introducerea numelui, ceva mai primitiva (mai simpla) decat cea obisnuita: virusul nici nu incearca sa replice, in detaliu, caseta de dialog normala. Aceasta, este totusi functionala. Va avea si titlul incriminatoriu de 'Macro Get String'. Ca payload, virusul incearca sa inlocuiasca toate aparitiile lui "its" prin "it's", in cadrul unui document. Green_Stripe nu este o amenintare prea mare si nu pare ca se raspandeste in natura. Odata ce cineva stie ce sa caute, el este usor de recunoscut. In plus, este usor de realizat un 'clean-up', aceasta fiind doar o problema de stergere a fisierelor (.SMM) ale macro-virusului, care vor fi in acelasi director ca si fisierele document. Adevarata sa semnificatie este aceea ca este un exemplu sau o demonstratie de virus. Este o noua platforma pentru virusi si, asa cum virusul a fost publicat prin magazine-hacker, ne este teama ca altii incurajeaza experimentarea, folosind astfel de macro-limbaje. Aceasta il face sa fie o dezvoltare periculoasa. Eliminarea virusului: prin stergerea fisierelor (.SMM) ale macro-virusului din documentul director.


 Grog.304

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
304 o.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.


 Grog.765

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
765 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Grunt.473

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
473 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GYNX.1000

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Halka.474

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
474 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Hate.971

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
971 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 31
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Helloween.1376

Pseudonime:
Helloween 2
Helloween.1376.A
Hell 1376
Helloween-1376
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1376 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
Virusul afiseaza un mesaj pe un ecrn alb si un background rosu. Mesajul este ; " Nesdte porad u pocitace a zkuste jednou delat neco rozumneho! ************** !!Poslouchejte HELLOWEEN - nejlepsi metalovou skupinu!! ".
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Comentarii:
Virusul este rezident in memorie si infecteaza fisierele cind sint executate. Este criptat. Nu este polimorfic.


 Hi.802

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
802 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Hitler.4808

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4808 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 HLLP.Vova.8896

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8896 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Horse.1158

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1158 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hydra_II.1162

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1162 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Ieronim.1024

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Imi.1656

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Int83.706

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
706 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Intruder.1336

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1336 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Iron.188

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
188 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jackel.713

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
713 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.1530

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1530 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Karol.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'KaRoLmArKs V2.3'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Virusul incorporeaza cateva tehnici de depanare (precum redirectarea lui Int 01h).


 Keeper.Massacre.775

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
775 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 KeyKapture.1071

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1071 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Keypress.1728

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1728 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 10 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.586

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
586 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.DeathLord.752

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
752 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kipa.1084

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1084 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Kode4.287

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
287 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Krnl.2078

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2078 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 KYZ

Pseudonime:
_1413
LieWait
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
1760 o.
Spatiul ocupat pe disc:
1413
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: UK ; la data: 6/27/93
ntreruperi interceptate:
21 / 4B00
21 / 3F
21 / 0A
09
24
(24 temporar).
Efecte nedistructive:
Virusul fura ID-urile si parolele utilizatorilor Novell, interceptand input de la tastatura via INT 09 si trimitand datele furate via network la adresa internetwork IPX net: 05 00 00 00, nod: FF FF FF FF FF FF, socket: 44 44. Un alt efect, daca la promptul DOS se introduce o comanda specifica (numita "kkyyzz"), virusul se autodezactiveaza: el reface intreruperile interceptate si elibereaza memoria alocata. Apelatului i se returneaza o linie goala. I.e. daca virusul este activ in memorie, tastand kkyyzz la promptul DOS, rezulta simpla afisarea a promptului DOS reafisat impreuna cu mesajul "Bad command or file name", ca si cand s-ar fi apasat doar .
Conditii de declansare a efectelor nedistructive:
Exec && (FileName = *LI.EXE) && (NumberOfCharactersEntered >= 41). Sau, s-a introdus linia "kkyyzz" via INT 21/0A (Buffered String Input).
Conditii de declansare a infectarii:
Exec si COM.
Modul de autodetectare a virusului in memorie:
INT 21;AH=3F;BX=FEB0 -> BX=1212
Modul de autodetectare a virusului pe disc:
File[EOF-2] = FEB0
Constrangeri necesare virusului pentru a functiona:
DOS >= 2.0
Comentarii:
Virusul foloseste functii IPX de nivel jos via apeluri far catre dispecerul IPX (adresa returnata de INT 2F/AH=7A00 -> ES:DI) pentru a trimite ID-ul sau parola furata. Input-ul utilizatorului este potrivit cu handlerul virus pentru INT 09 din buffer-ul BIOS keyboard. Numele sugerat pentru virus KYZ se bazeaza pe autodezactivarea sa la comanda kkyyzz.


 Liberty.a

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2857 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.


 LittBrother.385

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
385 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.493

Virusul produce efecte vizuale.
Data originii: 28 Ianuarie 1993.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Data originii: 28 Ianuarie 1993.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
493 o.
Data originii: 28 Ianuarie 1993.
Originea geografica:
U.S.A.
Data originii: 28 Ianuarie 1993.
Mesaje neafisate dar continute de corpul virusului:
EXE, COM, Lokjaw-Zwei
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
A se vedea si:
Lokjaw-Drei
Efecte distructive:
Din comentariile existente in codul sursa: codul LOKJAW demonstreaza simplitatea de crearea a unui virus puternic razbunator, care ataca cumplit prin stergerea rapida a programului anti-virus inainte de a se putea executa, afisand apoi un grafic "chomping". Chiar daca programul anti-virus nu poate detecta LOKJAW in memorie, el va fi sters. Este esential ca utilizatorul fie sa stie cum sa elimine virusul din memorie inainte ca anti-virusul sa-si inceapa masuratorile, sau cel putin sa execute componenta anti-virus de pe un disc protejat la scriere. (Daca virusii LOKJAW sunt prezenti in memorie si programul anti-virus se executa de pe o discheta protejata la scriere, bineinteles, ca vor fi generate erori "write protect".) In momentul cand pachetele anti-virus devin mai complicate - si sunt executate din instalarile implicite de pe hard disc - puterea agresiva a virusului LOKJAW face ca acesta sa fie, potential, mai rau ca ciuma.
Modul de autodetectare a virusului in memorie:
Se face dupa comentariile continute in codul sursa: variantele spornice ale lui LOKJAW sunt atat de simple incat nu au nevoie de prea multe pentru verificarile de instalare. Virusul devine pur si simplu rezident atunci cand este prima data apelat. Odata ajuns in memorie, atunci cand alte fisiere infectate sunt executate, LOKJAW examineaza mai de graba fisierul incarcat, si daca se recunoaste, va respinge incarcarea si va trece la executarea fisierului "infectat" ca si cand sistemul nu ar fi infectat.
Comentarii:
Propagare: din comentariile existente in codul sursa rezulta ca: LOKJAW-ZWEI este un virus rezident spornic, care se auto-instaleaza in memorie folosind acelasi motor ca si virusul Civil War/Proto-T original. El este foarte simplu prin aceea ca nici una din adresele sale nu este relativa, un avantaj indirect al faptului ca virusul nu are nici o calitate de "appending", adica nu se ataseaza in nici un fel. Asta inseamna ca LOKJAW nu-si altereaza fisierele "gazda", precum multi alti virusi companioni, spornici. LOKJAW intercepteaza INT 21 si infecteaza fisierele EXE la executie, creandu-se insusi ca un fisier .COM companion al gazdei. Date fiind regulile inerente ale DOS-ului, aceasta asigura ca virusul sa se execute inainte de "gazda", urmatoarea data cand este utilizat un program infectat. In realitate, LOKJAW este chiar mai simplu decat aceasta. Daca nu este in memorie, prima data cand gazda este apelata, LOKJAW va deveni rezident, fara sa se deranjeze sa o incarce. In majoritatea cazurilor, utilizatorul va presupune o slaba eroare si va apela gazda din nou, caz in care va functiona normal. LOKJAW va infecta orice fisier .EXE apelat ulterior. LOKJAW este foarte transparent in operatii, exceptand atunci cand unele programe anti-virus (precum: Integrity Master, McAfee's SCAN & CLEAN, F-PROT & VIRSTOP si Central Point Anti-virus) sunt incarcate.


 LordZer0.372

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
372 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Loz.2968

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2968 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Lyceum.1832

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1832 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Macgyver.2824

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2824 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MadSatan.639

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
639 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Malmsey.495

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
495 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Marawi.2828

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2828 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.Ratboy.50

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
50 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tula.1480

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1480 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Tver.532

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
532 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Ultra.5700

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
5700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Uruguay.2313

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2313 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Uruk.427

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
427 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.1376

Pseudonime:
Quicky
Quicksilver
1376
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Pattern hexa din fisiere si din memorie.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Pattern hexa din fisiere si din memorie.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1376 o.
Pattern hexa din fisiere si din memorie.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: UK
In atentia cercetatorilor. Regiunea geografica: Europe
ntreruperi interceptate:
13
21
Infecteaza la executia programului si la inchiderea fisierelor.
Modul de autodetectare a virusului in memorie:
'Are you there?' apeleaza cu Int 21h, AX=C000. Codul rezident in memorie returneaza AX=76F3h.
Comentarii:
Quicky este un infector de fisiere rezident in memorie, parazit, encriptat, nepolimorfic. Nu contine nici un nume intern, este un exemplu clasic de programare stupida si nu a fost depanat complet. Daca programatorul care a scris Quicky ar fi stiu ceea ce face, ar fi provocat adevarate probleme. S-a facut o incercare de a incorpora o rutina de trigger care ar putea corupe gradat scrierile de pe hard disc. Totusi, data fiind o eroare stupida in codul virusului, autorul l-a facut inactiv.
Sa-l privim putin mai atent. Quicky are 1376 bytes lungime si infecteaza doar fisierele EXE. Sporirea in lungime a fisierelor poate fi remarcata repede, deoarece virusul nu foloseste tehnici de ascundere. El incepe prin a-si modifica propria rutina de descriptare: probabil adaugata pentru a evita detectarea euristica. Dupa ce-si decripteaza codul in doua etape, folosind o simpla rutina XOR, remodifica rutina de decriptare si impacheteaza adresarea pentru a-si pastra locatia din memorie.
Infectare --> Metoda lui Quicky de a infecta alte programe este cumva neobisnuita. El monitorizeaza Int 21h pentru executia programelor. Cand detecteaza, foloseste o metoda standard de indepartare a atributelor read-only si deschide fisierul. Insa, in loc de rutina de infectare asteptata in mod normal, el inchide imediat fisierul, reseteaza atributele si permite executia normala a fisierului. Deci, cum infecteaza de fapt?
Acest virus monitorizeaza/intercepteaza si infecteaza in timpul inchiderii fisierului: chiar actul de inchidere a fisierului este cel care-l va infecta. Asta pentru ca virusul este reentrant si se apeleaza a doua oara cand lanseaza apeluri de functii DOS. Din moment ce atributele read-only nu sunt comutate pe off de catre virus atunci cand intercepteaza un apel Close, efectul net este acela ca un fisier protejat la scriere nu va fi infectat daca va fi doar deschis, citit si inchis; dar va fi infectat daca este executat. Fisierele cu drept de scriere vor fi infectate in ambele cazuri. Rutina de infectare care urmareste inchiderea unui fisier contine multe exemple de programare slaba.
Concluzii --> Avem noroc ca abilitatea de programare a autorului n-a facut prea multe in ideea efectelor/tendintelor destructive. Nu aveam nici o idee câat de raspandit este virusul, dar ar fi cat se poate de intelept de a ne asigura ca scanner-ul pe care-l folosim sa fie actualizat sau sa folosim a alta alternativa de protectie. Eliminare: in conditiile unui sistem curat, se identifica si se inlocuiesc fisierele infectate. Poate fi dezactivat din memorie apeland Int 21h cu AX=C001h.


 V.2653

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2653 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.491

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
491 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.723

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
723 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Vienna.585

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
585 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.646

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
646 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.757

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
757 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.961

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
961 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Violator.5302

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5302 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Viking.700

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 100 pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Virogen.1520

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1520 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Mesaje neafisate dar continute de corpul virusului:
'(c) 1993 Virogen ASEXual Virus v1.00' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Virogen.PinWorm.2566

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2566 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VLAD.1221

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1221 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VLAD.Neither.591

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
591 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 WM.DMV.A

Pseudonime:
Demonstration
MW:DMV-A
WM/DMV.a
Winword.DMV
WordMacro/DMV
Originea geografica:
USA
Aparitie: 1994
Mesaje afisate de virus:
"Couting global macros AutoClose macro virus is already installed in NORMAL.DOT. Infectid NORMAL.DOT with a copy of AutoClose macro virus. AutoClose macro virus already present in this document. Saved current document as template. Infected current document with copy of AutoClose macro virus. Macro virus has been spread. Now execute some other code (good, bad, or iniferent) "
Comentarii:
Este un virus de Word cu un macro cu dimensiunea de 3002 Bytes. DMV a fost primul virus de acest gen scris de Joel McNamara care a publicat detalii despre acesta. Astfel aceste informatii i-au ajutat pe autorii de virusi sa utilizeze noi tehnici. Virusul infecteaza Normal.dot cind documentul infectat este inchis. Astfel documentele vor fi invectate cind acestea sint inchise.


 WM.Hyper

Pseudonime:
MW:Hyper-A
WM/Hyper
WordMacro/yper.A
Hyper
WinWord.Hyper
Macro.Word.Hyper.a
Comentarii:
Este un virus de Word care are 9 macro-uri:: AutoExec, AutoOpen, FileOpen, FileSave, FileSaveAs, FileTemplates, ToolsMacro, EditAutoText, hyper si M (in NORMAL.DOT). Virusul infecteaza NORMAL.DOT cind un fisier infectat este deschis(AutoOpen) sau cind este inchis(FileClose). Documentele sint infectate cind sint salvate (FileSave sau FileSaveAs). In timpul infectiei creaza un fisier hyper-text BLANK.HTM care contine textul: "Your system has been infected with the WM.Hyper virus.
It looks like you are gonna have to take some remedial action ... (c) Hyperlock, March 1997 ". Deasemenea virusul creaza un fisier NOSTRAD.INI in care scrie urmatoarele: " [virus] hyper_counter=< N N > author=Hyperlock ". Daca versiunea virusului este mai mica de 5 sau daca este divizibila cu 10 , sterge fisierele antivirusului Dr.Solomon C:\TOOLKIT\FINDVIRU.*. Pentru a se ascunde , virusul intercepteaza File/Templates si Tools/Macro, astfel daca acestea sint apelate va aparea mesajul: " Microsoft Word
Not enough memory to perform this operation ". A aparut in Aprilie 1997.


 WM.Lunch.B

Pseudonime:
MW:Lunch-B
WinWord.Lunch
Lunch
LUNCH.B
WM/Lunch.B
Mesaje afisate de virus:
La ora 12:01 afiseaza o fereastra de dialog cu titlul "Lunch Time" si care contine mesajul "Whatya doin'here? Take a lunch break! ".
Mesaje neafisate dar continute de corpul virusului:
" add FileSaveAs and copies of AutoOpen and FileSaveAs.

add FileSaveAs and copies of AutoOpen and FileSaveAs.

this becomes the FileSaveAs for the global template "
Comentarii:
Este un virus de Word care are trei macro-uri : AutoOpen, NEWAO si NEWFS. Acestea contin cod care fac calculatorul sa ignore erorile cazate de virus, pentru a evita divulgarea sa. Documentele sint infectate cind se foloseste AutoOpen. Nu se ascunde. A fost semnalat prima oara la data de 4 Marti 1997.


 WM.Saver.A

Pseudonime:
MW:Saver-A
WM/Saver.A
Winword.Saver
WordMacro.Saver
WinWord.Saver
Macro.Word.Saver
WORD.SaverSex
Originea geografica:
Austria
A aparut in August 1996.
Mesaje afisate de virus:
In ziua de 21 Aprilie afiseaza o fereastra cu mesajul : "Saver(SEX) written by Spooky. Austria 1996 ".
Comentarii:
Este un virus de Word care are un singur macro dateispeichern. Se ascunde usor (utilizatorul nu mai este intrebat la inchiderea unui document).


 Word.1485

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1485 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Xibin

Pseudonime:
AntiCMOS
AntiCMOS.B
AT-CMOS
Li Xibin
Virusul produce efecte sonore.
Virusul produce blocaje ale PC-ului.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Dimensiunea memoriei ocupate:
3072 o.
Originea geografica:
China?
Mesaje neafisate dar continute de corpul virusului:
I am Li Xibin! ; Mesajul continut de virus si neafisat nu este criptat.
Acest mesaj se gaseste la offset-ul 431 din Master Boot Record.; Acest mesaj se gaseste la offset-ul 431 din Master Boot Record.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
Efecte distructive:
Virusul suprascrie mesajele de eroare din inregistrarea de boot de pe floppy, de pe hard disc (MBR-ul). La boot-ari aleatoare, bazate pe byte-ul mai putin semnificativ din cuvantul pentru contorul timer-ului, masina se blocheaza si suna/produce, in mod repetat, un sunet strident, iute ("zipping").
Comentarii:
Virusul nu are nici un fel de auto-identificare pe disc, el suprascriind MBR-ul, F.Boot-urile, fara sa miste nici o inregistrare, astfel incat, o astfel de auto-verificare nu este necesara. Simptomele virusului: CHKDSK raporteaza mai putin de 3K memorie disponibila. Virusul va bloca masina, atunci cand se va incerca boot-area de pe un floppy infectat, care anterior fusese neboot-abil, fara a afisa mesajul "non system disk or disk error". Floppy-urile anterior boot-abile, dupa infectare, raman boot-abile. Propagare: Virusul are un singur sector si infecteaza prin inlocuirea cu sine a sectorului de boot de pe floppy-ul curent sau a MBR-ului de pe hard disc, fara a muta inregistrarea originala din acea locatie intr-alta. Virusul nu afiseaza nici un mesaj, contine cod pentru a scrie sectoarele si contine, in total, cinci aparitii de apeluri ale intreruperii 13h. Desi unele produse il detecteaza ca AntiCMOS, virusul nu scrie in CMOS si nu produce nici un fel de probleme CMOS.


 Xph.1100

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yang.2528

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2528 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Yankee.27

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2772 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mini.203

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
203 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Minsk.1075

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1075 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mithrandir.450

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
450 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mnemonix.Atomic.425

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
425 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 Moctezuma.2416

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2416 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 20 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mordor.1110

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1110 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mr_G.388

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
388 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MSU4.2000

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MtE.Ludwig

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mummy.1489

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1489 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Murphy.Bhak

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1250 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 AmazonQueen.479

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
479 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
'Amazon Queen...v1.1'
Poate fi afisat daca se executa un program infectat si virusul este activ in memorie.
Mesaje neafisate dar continute de corpul virusului:
'WHY?'
'LoRD Zer0'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Murphy.Pest

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1910 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.13.Agent.1982

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1982 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 MyChild.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Necros.1164

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1164 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Nexiv_Der

Pseudonime:
Red Vixen
Virusul modifica data si ora fisierelor infectate.
Acesta este patternul hexa din memorie. Pentru fisiere si sectoare de boot nu este posibil nici un pattern.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Acesta este patternul hexa din memorie. Pentru fisiere si sectoare de boot nu este posibil nici un pattern.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
5 ko.
Acesta este patternul hexa din memorie. Pentru fisiere si sectoare de boot nu este posibil nici un pattern.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Mesaje neafisate dar continute de corpul virusului:
'Nexiv_Der takes on your files' ; Mesajul continut de virus si neafisat este criptat.
Acest sir encriptat, gasit in cod, da numele virusului - insa, mesajul nu este afisat niciodata.; Acest sir encriptat, gasit in cod, da numele virusului - insa, mesajul nu este afisat niciodata.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza DBR-ul de pe floppy discuri.
Infecteaza fisierele COM avand lungimea de 1000-55000bytes, DBR-urile drive-ului hard, sectoarele de boot de pe floppy-urile de 1.44MB. Deci este un infector multipartitie, infectand sectoarele de boot, dar nu si MBR-ul. Acest virus foloseste o metoda de infectare specifica. El traseaza executia unui fisier victima si insereaza, in mod aleator, un apel la propriul sau cod, in mijlocul programului gazda: aceasta face dificila folosirea emularii sau metodelor de scanare a punctului de intrare pentru a-l detecta.
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: Italy ; la data: 12/1/95
ntreruperi interceptate:
1
3
13
21
24
Primul scop al handler-ului Int 13h este de a detecta atunci cand DOS a fost incarcat, astfel incat virusul sa stie cand sa intercepteze Int 21h. Al doilea scop al acestui handler este de a infecta floppy-uri. Atunci cand apare o cerere pentru sectorul de boot al drive-ului Asau B, virusul verifica tipul floppy-ului (el infecteaza doar dischete de 1.44MB) si compara al doilea byte al sectorului cu 45h - aceasta va arata daca a fost deja infectat. Daca nu, virusul insereaza JMP NEAR 47; NOP la inceputul sectorului si scrie noua bytes nemodificati, pe pista 79. rezultatul este o infectie de boot, care nu este complet polimorfica, continand insuficient cod constant distinctiv pentru a fi util unui scan.
Modul de autodetectare a virusului pe disc:
Campul secundelor, din fisiere, este setat la valoarea 7, iar valoarea aflata in byte-ul de la offset-ul 2, din sectoarele de boot, este 45h.
Comentarii:
Nexiv_Der este un virus complciat. El are cateva bug-uri care ar putea determina unele probleme in mediile multi-tasking si uneori, virusul crapa din proprie initiativa. Oricum, este un virus complex si interesant care nu poate fi detectat, pur si simplu, doar prin intermediul sirusilor de cautare. De asemenea, el nu este usor de detectat prin emulare, iar dezinfectia este dificila. A fost receptionat, la Virus Bulletin, in decembrie 1995, provenind din Italia, intr-o colectie de virusi noi: din fericire, nu se crede ca circula prin natura.


 Nina.1600

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza drivere de dispozitive (.SYS).


 NoFrills.Bungus.1422

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1422 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Nr.300

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Jac.991

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
991 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.630

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
630 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Nygus.163

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
163 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 OneHalf.3544

Pseudonime:
Explosion-II
One_Half
Slovak Bomber
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
4 ko.
Spatiul ocupat pe disc:
3544 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Modul de penetrare a virusului:
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Este un infector super-rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Ascunde punctul de intrare.
Intotdeauna 10 sectiuni, legate prin jump-uri.
Mesaje afisate de virus:
'Dis is one half. '

'Press any key to continue ...' ; Mesajul continut de virus si afisat nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
'Did you leave the room ?'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/(LAST_S-6)
Raspandirea virusului:
In atentia cercetatorilor. ; la data: 4/13/94
ntreruperi interceptate:
01
13 / 02
13 / 03
1C
21 / 11
21 / 12
21 / 3C
21 / 3D
21 / 3E
21 / 4B00
21 / 4C
21 / 4E
21 / 4F
21 / 56
21 / 6C00
24
Conditii de declansare a infectarii:
(MBR system code = 1,4,5,6) and ([MBR:25]<>00D3) and
([MBR:180]<>072E)
Modul de autodetectare a virusului in memorie:
INT_21;AX=4B53 -> AX=454B
Modul de autodetectare a virusului pe disc:
Cuvantul [MBR+25]=00D3 -> este mereu infectat.
Comentarii:
Virusul recunoaste, dupa nume, urmatoarele programe: SCAN, CLEAN, FINVIRU, GUARD, NOD, VSAFE, MSAV. El verifica, in special, daca este vorba de executia unui CHKDSK.


 Osiris.299

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
299 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Oxana.1654

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1654 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Paris

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4909 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip.


 Pcbb.1658.b

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1658 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Anarchy.2048

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Pdp.1477

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1477 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Peterburg.529

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
529 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Phx.823

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
823 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.1271

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1271 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.761

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
761 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Hydra.340

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
340 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Plague.2647

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2647 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza drivere de dispozitive (.SYS).


 Pojer.1949

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1949 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Poss.2446

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2446 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pregnant.1199

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1199 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Protect.1323

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1323 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Quadratic.1283

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1283 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Radyum.448

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
448 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rajaat.RTFM.871

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
871 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Raubkopie.2219

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2219 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Reset.503

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
503 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Andryushka.3536

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 128
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.355

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
355 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.Coke.535

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
535 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Digital.823

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
822 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Immortal.550

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
265 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Overdoze.472

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
472 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Uniq.308

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
308 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 RMNS.736

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
736 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ruchawi.2560

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2560 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Sarampo.1371

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1371 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sauron.1088

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1088 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SeaCat.160

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.357

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
357 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Selectron.1258

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1258 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Shake

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
476 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shine.640

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Signed.980

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
980 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 AntiGUS.1570

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1570 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 SillyC.138

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
138 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
'*.COM' ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 SillyC.254

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
254 o.
Lungimea fisierului infectat creste cu:
lungimea virusului


 SillyC.486

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
486 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SillyOR.DOS5.102

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
102 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 SillyRC.125

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
125 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyRC.524

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
524 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Silver.8101

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8101 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Alive.3400

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Sistor.1149

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1149 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 SkyNet.1448

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1448 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 SlovakiaII.3854

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3854 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Small.124

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
124 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.157

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
157 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smeg.v0_3.Demo.b

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2437 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Solar.100

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
100 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Spawn1.346

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
346 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Apocalipse.1685

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1685 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ssi.1428

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1428 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sterculius.280

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
280 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Striker.461

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
461 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SVC.1740

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1740 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Swastika.442

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
442 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tabulero.2048

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Tajfun.593

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
593 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Telefonica.3700

Pseudonime:
Telefonica
Holocaust
Spanish Telecom
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
3984 o.
Spatiul ocupat pe disc:
3700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Barcelona, Spain
Mesaje neafisate dar continute de corpul virusului:
Virus Anti - C.T.N.E. (c)1990 Grupo Holokausto.

Kampanya Anti-Telefonica. Menos tarifas y mas servicios.Programmed in Barcelona (Spain). 23-8-90 -666- ; Mesajul continut de virus si neafisat nu este criptat.
Sirul final "666" poate fi o referinta la virusul 666 (Number of the Beast) deoarece au fost remarcate anumite tehnici folosite de acest virus. In plus, cuvintele Kampanya, Telefonica, Programmed, in, si Spain sunt interesante doarece nu sunt cuvinte proprii spaniolesti. Kampanya este, de fapt, Compa¤ia, iar folosirea literi 'K in loc de 'C', sugereaza ca virusul ar fi putut fi scris de cineva de origine slava; ceea ce sustine si speculatia ca virusul nu numai ca este corelat cu virusul 666, dar posibil ca autorul sau sa fie acelasi (deci, un bulgar). De asemenea, transcrierea corecta, in spaniola, a cuvantului 'Telefonica' este 'Telef˘nica'. Desi, este usor de scris cu calculatorul (cod ASCII 162), aceasta dovedeste ca autorul virusului nu este prea familiar cu limba spaniola; de asemenea, absenta spatiului intre cuvantul 'Programmed' si punctul precedent denota neglijenta, ca de altfel, si prezenta bug-urilor multiple din codul virusului.; Sirul final "666" poate fi o referinta la virusul 666 (Number of the Beast) deoarece au fost remarcate anumite tehnici folosite de acest virus. In plus, cuvintele Kampanya, Telefonica, Programmed, in, si Spain sunt interesante doarece nu sunt cuvinte proprii spaniolesti. Kampanya este, de fapt, Compa¤ia, iar folosirea literi 'K in loc de 'C', sugereaza ca virusul ar fi putut fi scris de cineva de origine slava; ceea ce sustine si speculatia ca virusul nu numai ca este corelat cu virusul 666, dar posibil ca autorul sau sa fie acelasi (deci, un bulgar). De asemenea, transcrierea corecta, in spaniola, a cuvantului 'Telefonica' este 'Telef˘nica'. Desi, este usor de scris cu calculatorul (cod ASCII 162), aceasta dovedeste ca autorul virusului nu este prea familiar cu limba spaniola; de asemenea, absenta spatiului intre cuvantul 'Programmed' si punctul precedent denota neglijenta, ca de altfel, si prezenta bug-urilor multiple din codul virusului.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Virusul evita sa infecteze COMMAND.COM si fisierele IBM *.COM. Sunt infectate doar acele fisiere COM care au initial lungimea cuprinsa intre 128 si 60999 bytes.
Efecte distructive:
Dupa 400 de reboot-ari, produse dupa infectare (fie ca se boot-eaza la rece, fie la cald), intra in actiune cateva rutine foarte puternice, destructive, care pot distruge toate datele de pe primele doua sectoare lae hard discurilor. Masinile care folosesc sectoarele 6 si 7, de pe pista 0, cilindrul 0, acolo unde sunt stocate codul virusului si sectorul original de boot, vor avea probleme semnificative. Dischetele infectate, referitor la densitate, pot deveni necitibile deoarece codul virusului suprascrie sectiunea FAT sau directorul root.
Efecte colaterale:
Simptome ale viruslui: marca de timp data/ora a fisierului tinta, precum si alte atribute sunt colectate, stocate, modificate (pentru acces Read/Write) si sunt stocate dupa ce infectarea a fost terminata. Vectorii de intrerupere modificati sunt si resetati la valorile lor originale.
Modul de autodetectare a virusului in memorie:
Byte-ul aflat la offset-ul 1BCh din memoria 'low' este colectat si i se aplica operatia XOR cu 13h, apoi, rezultatul este verificat cu urmatorul byte aflat la offset-ul 1BDh: daca sunt egale, inseamna ca virusul este rezident.
Modul de autodetectare a virusului pe disc:
Campul anului din marca de timp este incrementat cu 100.
Comentarii:
Telefonica este un virus multi-partitie. Intregul cod al virusului este encriptat si scris in fisierul gazda, cate un byte odata, pentru a elimina nevoia/necesitatea unui buffer sau a unui ciclu pentru decriptaer/recriptare.
Propagare: Sectorul de boot contine doar o parte a virusului; din moment ce daca fisierele dezinfectate sunt eliminate/inderpartate, infectiile consecutive vor continua precum un virus al sectorului de boot.
Note: Faptul ca sectorul de boot nu contine intregul virus si ramane dupa indepartarea fisierelor infectate, ne face sa credem ca este, de fapt, vorba de doi virusi distincti, in loc de unul singur.


 Terminator.3549

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3549 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Tim.1600.b

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Timid.306

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
306 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.137

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
137 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiny.330

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
330 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Topa.2476

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2476 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TPE.CivilWar.2222

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2222 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.1072

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Trakia.570

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
570 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.128.b

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
678 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.29

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
29 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.43

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
43 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.99

Pseudonime:
Itti.99
Itty-Bitty Virus B
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
99 o.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
The Itti-Bitty Virus, Strain B

The smallest virus ever written (only 99 bytes)

(C) 1991 Nowhere Man and [NuKE] WaErZ

Written by Nowhere Man

title "The Itti-Bitty Virus, Strain B: Even smaller" ; Mesajul continut de virus si neafisat nu este criptat.
*.COM ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Raspandirea virusului:
Rapoarte nesemnificative.
Efecte distructive:
Pagubele sunt substantiale. Suprascrie fisierele COM. Suprascrie primele 256 sectoare de pe C: (facand scriere absoluta) daca se activeaza atunci cand nu sunt fisiere in directorul curent, apoi blocheaza calculatorul.
Comentarii:
Intreruperi folosite: 21/3D, 21/3E, 21/3F, 21/40, 21/4200, 21/4C, 21/4E, 26. Nowhere Man (autorul virusului) produce acorduri (muzicale) A si B in aceeasi zi - ziua de Craciun. Comentarii continute in sursa: The Itti-Bitty Virus, Strain B
The smallest virus ever written (only 99 bytes)
(C) 1991 Nowhere Man and [NuKE] WaErZ
Written by Nowhere Man
title "The Itti-Bitty Virus, Strain B: Even smaller". Identificatori asignati de diverse scanner-e: Cheyenne: Itti-B
ESaSS: Trivial.99
Frisk: Itti.99
H+BEDV: Itti-B
McAfee: Itti [Itt]
NORMAN: Itti 99
S&S: Itti.b Eicar ID: 43c467b7
Virusi corelati: Itti-B, Itti-99. Replicare: infecteaza doar fisierele COM; are actiune directa; gaseste primul fisier neinfectat din director; muta pointerul de fisiere; citeste fisierele; scrie in fisiere; inchide fisierele. Note: acces dubios la fisiere; contine o rutina de cautare a fisierelor executabile (.COM sau .EXE); acces la disc in scriere; progrmaul scrie pe disc fara a folosi DOS.


 Australian.Twelve.310

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
310 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Avv.2300

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 BackFormat.2345

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2345 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Badguy.208

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
208 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Barrotes.1194

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1194 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Bat.Zep

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
226 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Burger.405

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
405 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 BWME.Diease.989

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
989 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Carbuncle.621

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
621 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cascade.792

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 CeCe.1998

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1998 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Mesaje neafisate dar continute de corpul virusului:
'Welcome to presentation of new program, named Ce-Ce!!!' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Este o varianta a vechiului virus de 1994 bytes, avand o procedura de decriptate de lungime constanta.


 Chang.1759

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1759 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Cybercide.2229

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2299 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CyberTech.647

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
647 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 DAN.AntiEnter.1092

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1092 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Das_Boot

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
423 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 DBF.1115

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1115 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Dei.1456

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1456 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 ECW.570

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
570 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 3APA3A.a

Virusul produce efecte vizuale.
Spatiul ocupat pe disc:
1024 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele IO.SYS.


 Eddie.Apa.1843

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1843 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Egg.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Emmie.2620

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2620 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Enola.1864

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1864 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Etc.700

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Friends.1361

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1361 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 92_69.1148

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1148 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Future.3180

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3180 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Genesis.295

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
295 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Ginger.2691

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2691 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Gkchp.800.a

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Goomba.987

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
987 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Enrico

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Abraxas.Cleton.1518

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1518 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Worm.Icommand

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
9776 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.6144

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1800 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Picked

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4505 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.5000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Halloween

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
10000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Bupt.1367

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1367 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Advent.2764

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2764 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Hermanos.2015

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2015 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Roger.2128

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2128 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Taiwan.2576

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2576 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Joke.1068

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1068 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Junior.224

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
224 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 LazyToday.1203

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1203 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Akuku.1111

Pseudonime:
Akuku.completely
Russian-A
Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1111 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 3 + 0 ... 15 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Sorry, I'm copmpletly dead.. ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
08
Conditii de declansare a infectarii:
La executarea fisierului infectat, discul trebuie sa aiba 3000 bytes de spatiu liber. Fisierele EXE trebuie sa fie mai mari de 1000 bytes; fisierele COM trebuie sa fie mai mari de 1000 bytes si mai mici de 64000 bytes.
Modul de autodetectare a virusului pe disc:
Seteaza secundele fisierelor infectate la 62.
Comentarii:
Simptomele virusului: Difuzeaza un cantec, la fiecare l4 secunde si afiseaza un mesaj la infectarea fisierului, asigurandu-se ca timpul sistem sa fie de 32, 33, 34 sau 35 minute (fata de ora, adica, de exemplu, la 10 si 34 de minute). Propagare: virusul devine rezident atunci cand un fisier infectat este executat. Se adauga la toate fisierele pe care le infecteaza. Fisierele EXE sunt marite cu 1114 bytes, dimensiunea lor putand spori cu inca pana la 15 bytes, in functie de alinierea la paragraf, iar fisierele COM cresc cu 1111 bytes. Mesajul "Sorry, I'm copmpletly dead.. " apare daca se executa un fisier infectat, al carui timp este situat in intervalul 20-30 minute, dupa ora. Data si timpul fisierului nu vor fi alterate pe directorul disc, exceptand secundele, care vor fi setate la 62. Drive-ul de infectat este selectat conform urmatoarei reguli: daca secundele orei curente sunt =0, se selecteaza drive-ul A:; daca sunt >0, daca sunt <=22, este selectat drive-ul curent, iar daca este >22, este selectat drive-ul C:. Virusul va cauta intreg directorul curent, pentru fisierele de infectat, precum si primul nivel al tuturor subdirectoarelor sale. El va infecta primele trei fisiere gasite. Accesul la fisier este dubios.


 Lenin

Pseudonime:
Vienna.480
Virusul modifica data si ora fisierelor infectate.
Spatiul ocupat pe disc:
480 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Mesaje neafisate dar continute de corpul virusului:
"These days... 19 nov 1988 - LENIN"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
Efecte nedistructive:
In momentul virusari, schimba data PC in 19 nov1988. Intre orele14:00 si 15:00, fisierele virusate nu pot fi executate dar, de virusat, viruseaza.
Conditii de declansare a infectarii:
Exec and (LengtgCOM > 512 ) and (LengthCOM < 64000) and ((Exist *.COM) or (Exist \*.COM))
Modul de autodetectare a virusului pe disc:
FileDate.Year > 2044


 Leprosy.562

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
562 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.907

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
907 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Peace_SA.777

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
777 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Spam.1306

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1306 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mayak.513

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
513 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Algerian.1400

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 MemLapse.385

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
385 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mephisto.5.1242

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1242 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MGUL.1953

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1953 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Milena.1160

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Mini.125

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
125 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V3Scan.1633

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1633 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Arcv.745

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
745 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VCode.2540

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2540 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Vengeance.639

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
639 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VICE.04.One13th

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3041 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vienna.311

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
311 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.500

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Voronezh.1600

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Arcv.Dennis.897

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
897 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 W97M.Calandar.A

Pseudonime:
MW:97:Calendar family
Word97Macro/Calendar.A
W97M/Calendar
WM97.Calendar
Mesaje afisate de virus:
Cind se intra in meniul Tools/Macro, virusul afiseaza o fereastra de dialog cu mesajul: "Microsoft Word

You do not have permission to do this ". Deasemenea in anumite zile ale anului afiseaza mesaje care au legatura cu semnificatia zilei respective: Ianuarie 1 "New Year's Day",

Ianuarie 20 "Martin Luther King Jr. Day",

Februarie 12 "President Lincoln's Birthday and Ash Wednesday", Februarie 14 "Valentine's Day",

Februarie 17 "Presidents Day",

Februarie 22 "President Washington's Birthday",

Martie 17 "St. Patrick's Day",

Martie 23 "Palm Sunday",

Martie 28 "Good Friday",

Martie 30 "Easter",

Aprilie 22 "Passover",

Mai 9 "Calendar, coded by DarkChasm [SLAM]",

Mai 11 "Mother's Day",

Mai 17 "Armed Forces Day",

Mai 19 "Victoria Day",

Mai 26 "Memorial Day Observed",

Mai 30 "Traditional Memorial Day",

Junie 15 "Father's Day",

Julie 1 "Canada Day",

Julie 4 "Independence Day",

Octombrie 2 "Rosh Hashonah",

Octombrie 11 "Yom Kippur",

Octombrie 12 "Columbus Day",

Octombrie 13 "Columbus Day Observed",

Octombrie 16 "Happy Birthday DarkChasm",

Octombrie 24 "United Nations Day",

Octombrie 31 "Halloween",

Noembrie 4 "Election Day",

Noembrie 11 "Veteran's Day",

Noembrie 27 "ThanksGiving Day",

Decembrie 21 "Happy Birthday Christy",

Decembrie 24 "Christmas Eve and Hanukkah",

Decembrie 25 "Christmas",

Decembrie 31 "New Year's Eve".
Comentarii:
Este un virus de Word 97 care are 7 macro-uri: AutoOpen, AutoClose, ToolsMacro, FileSaveAs, FileTemplates, Calendar, ViewVBCode. Documentele sint infectate cind sint deschise , inchise sau salvate cu nume noi (AutoOpen, FileClose, FileSaveAs). Cind un fisier infectat este dschis, virusul dezafecteaza functia VirusProtection.


 Wave.454

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
454 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Win.Twitch

Pseudonime:
Twitch
Virusul este scris intr-un limbaj de nivel inalt deci seamana cu programele scrise in acel limbaj.
Data fiind bibliteca de rutine atasata virusului, se pare ca acesta este scris in C.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Data fiind bibliteca de rutine atasata virusului, se pare ca acesta este scris in C.
Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.
- Infecteaza fisierele .EXE.
Modul de autodetectare a virusului pe disc:
Verifica daca textul aflat la offset-ul 2321h contine sirul BEVWA.
Comentarii:
Floppy-urile nu vor fi infectate daca Drive-ul A: sau B: nu este trecut in PATH (ceea ce ar fi o configuratie neobisnuita). Mai mult, copierea unui program infectat pe o discheta va dezvalui prezenta virusului, deoarece doar virusul va fi cel copiat, programul original fiind transferat intr-un fisier .OVL; totusi, infectia s-ar putea transmite via discheta, daca se foloseste comanda COPY *.* A: si fisierele .OVL de duc, in mod nesesizabil. Ca simptome: pe ecran poate fi vazut periodic un efect clar ondulator si foarte perturbant (sau o tresarire - "twitch"); acest efect este provocat se trimiterea unui mesaj Windows REDISPLAY, intregului desktop. Incetinirea datorata executiei codului virusului ar putea trece neobservata, deoarece in Windows sunt atat de multe operatiile care se produc mai mult sau mai putin concurent, astfel incat, este dificil de identificat una suplimentara. Fisierul WIN.INI al unui program infectat va contine linia "DeviceSelectedTimeout"; (aceasta a fost aleasa deliberat pentru a devia/insela de la linia Windows normala: : "DeviceNotSelected-Timeout"). Aparent, virusul nu produce pagube. Virusul este initiat/initializat oricare ar fi metoda de executie a programului gazda: click-aind in Program Manager, click-aind numele in File Manager sau folosind comanda Run din meniul File. La startarea unui program infectat, se creeaza o fereastra invizibila, care nu accepta nici un fel de input de la tastatura sau de la mouse, accepta doar un callback de la timer-ul setat la 60 de secunde. Astfel, la fiecare 60 de secunde, Windows va notifica aceasta fereastra invizibila, permitand virusului sa execute programul original, care a fost retinut ca un fisier OVL la momentul infectarii. Ca o consecinta ulterioara, fiecare executabil Windows, din directorul Windows, va fi infectat, cu o rata de unul per minut. Virusul foloseste "State Machine", un mijloc pentru potrivirea pattern-urilor, care permite virusului, atunci cand este apelat, sa realizeze o actiune care depinde de starea curenta; rezultatul acestei actiuni defineste starea ulterioara. In plus fata de infectarea consecutiva a fisierelor existente, virusul creeaza, tot de atatea ori, patru noi fisiere infectate, pe care le pune in directorul Windows: NETWARE.EXE, FILEMAN.EXE, SCRNSAVE.EXE si WINPRINT.EXE, iar numele fiecaruia dintre acestea este plasat in sectiunea "load=" din WIN.INI pentru a se asigura ca virusul va fi incarcat de fiecare data cand se lanseaza Windows-ul. Programul-virus contine un exe-header de tip MS-Windows sau OS/2.


 WM./Mental.A

Pseudonime:
MW:Mental-A
WordMacro/Mental.A
WM/Mental
WM6.Dementia
MacroWord.Dementia
Comentarii:
Este un virus de word. Este rezident atit timp cit este instalat word-ul. Contine un macro cu numele "Dementia". Nu este polimorfic. Documentele infectate pot fi refacute.


 WM.Birthday.A:De

Pseudonime:
MW:Birthday-A:De
WordMacro/Birthday.A
WM/Birthday
BIRTHDAY.A:De
Winword.PCV
WORD.PCV
PCW
Originea geografica:
Germania
Data nasterii: Iulie 1996
Mesaje afisate de virus:
Happy Birthday! Herzlichen Gluckwunsc…
Comentarii:
Birthday este un virus de Word. Are un numar de 2 macro-uri, fiecare cu dimensiunea de 1039 Bytes. Cind un document infectat este deschis, virusul va infecta Normal.dot. Deasemenea documentele pentru care se va folosi comanda "DateiSpeichernUnter" vor fi infectate. Virusul nu se afla in libertate. Este criptat.


 YanShort.1961

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1961 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Argentina.1249

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1249 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Yeke.1204

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1204 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ZHT-4CV.1867

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1867 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zulu.1390

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1390 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ash.737

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
737 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Astra.498

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
498 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza drivere de dispozitive (.SYS).


 Athens 1561

Pseudonime:
Trajector
Trojector.1561
Loc de rezidenta:
Virusul se instaleaza in memoria LOW.
Dimensiunea memoriei ocupate:
3776 ko.
Spatiul ocupat pe disc:
1561 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Athens, Greece
Caracteristici polimorfice:
- Permuta parti din corpul sau.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza toate tipurile de fisiere.

Regiunea geografica: Greece ; la data: 1/7/93
Regiunea geografica: Iceland ; la data: 6/15/94
Regiunea geografica: USA ; la data: 6/15/94
Efecte nedistructive:
Intregul virus este encriptat, inclusiv primii 3 bytes originali ai fisierului COM, precum si portiuni din header-ul original al fisierelor EXE. Ca urmare, eliminarea unui astfel de virus necesita o abordare generica sau una specifica care sa inteleaga algoritmul utilizat. Virusul infecteaza orice fisier avind extensia COM sauEXE, si care poate fi infectat. In plus, orice COM sau EXE care este copiat, indiferent de nume, va avea copia destinatie infectata. Astfel daca ABC.COM este copiat ca ABC.BAK, ambele vor fi infectate, precum si 1561 bytes adaugati. Atunci cind este rezident, cresterea in dimensiune a fisierelor nu este vizibila. Gradul de infectare este extrem de ridicat.
Comentarii:
Cind virusul este rezident, fisierele infectate nu vor "arata" nici un fel de crestere a dimensiunii lor. Totusi, datele lor vor fi afisate cu vreo 12 ani mai devreme fata de cind a fost infectat fisierul. Tot cind este rezident, comanda TYPE nu va arata nimic in fisier. Daca aplicatia din care Athens se executa prima data necesita incarcarea unei portiuni tranzitorii din COMMAND.COM, Athens va infecta imediat COMMAND.COM cu care s-a boot-at, atunci cind primul infectat este executat. Dupa prima executie, Athens ajunge rezident, incarcabil in topul memoriei conventionale. Fisierele infectate au 100 de ani adaugati la data lor. Infecteaza fisierele in deschidere (pentru executie, scanare, copiere). Cind este rezident iar un fisier este copiat, Athens infecteaza deopotriva fisierul sursa cit si pe cel destinatie. Tot cind este rezident, scanner-ele traditionale vor raspindi infectia catre toate fisierele infectabile care sint scanate. Cind un fisier avind extensia COM este infectat (sau EXE-ul nu incepe cu MZ), primii trei bytes sint inlocuiti printr-un "jump" la virus. Dind este rezident, virusul esueaza (functioneaza eronat) in ascunderea datei pe care o plaseaza in fisiere. Un fisier neinfectat avind o marca de data 1993 (afisata ca 93) va avea deci data setata la 2093 (afisata in mod normal ca 93). Dar Athens va afisa data de … 81. Un program de afisare a unui director plin va arata anul ca fiind 1981!


 Australian.1024.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza boot-ul.


 Australian.213

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
213 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.543

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
543 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.Judy.1050

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1050 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beer

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AH=4B
24
Comentarii:
Itercepteaza INT 21h pentru a infecta fisiere nu inainte de a face interceptia INT 24h pentru a se proteja cind infecteaza fisiere care sint protejate la scriere.


 Bengal.846

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
846 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Beware.442

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
442 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 BitAddict.1459

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
1459 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Blackjec.256

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
256 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.427

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
427 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 BLOODY-WARRIO

Dimensiunea memoriei ocupate:
2768 o.
Spatiul ocupat pe disc:
1344 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
Hello, world! Nice to meet you. What about this virus? Fanny? There is no hope for you. This virus was relased in Milan 1993.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Fisierele COM sint infectate numai dace sint mai mici de EA60h bytes. Nu vor fi infectate fisierele : "SCAN", "STOP", "SHIELD", "CLEAN", "CV", "DEBUG", "TD".
ntreruperi interceptate:
21 / AX=4B00h
21 / AH=3Dh
21 / AH=43h
21 / AH=56h
Efecte distructive:
Virusul distruge sectoarele discului de la 1 la 256. Printro actiune progresiva va scrie gunoi in aceste sectoare in luna Iulie incepind cu data de 4.
Comentarii:
Este posibil ca virusul sapoata fi detectat cind sint folosite comenzile din DOS.


 Boobs.4461

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4461 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 BootEXE.Stalker.320

Spatiul ocupat pe disc:
320 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Brothers.2045

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2045 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Cheval

Pseudonime:
Win.HLLP.DeTroie
TCV
TCV3
CV-B
Win95.TCV
Comentarii:
Este virusul cu cea mai mare lungime ( 443 Kb). A fost creat cu Delphy 3. Se cunosc trei variante. Se aseamana cu un Back Orifice sau cu NetBus, care pot administra de la distanta dar Cheval se comporta ca un virus. Acesta are o parte pentru server si o parte pentru utilizator. Partea pentru server se raspindeste cu virusul iar partea pentru client este de sine-statatoare si trebuie instalata in mod constient. Aceste doua parti comunica intre ele, folosind un protocol TCP/IP. Inainte de executie, virusul afiseaza un mesaj de eroare, provenit de la o aplicatie inocenta care are nevoie de un DLL (SETUP32.DLL). In acelasi timp virusul se copiaza in directorul Windows\Sistem la fisierul MSCH32.EXE si modifica Windows Registry astfel incit virusul sa fie executat la fiecare pornire. Astfel in cheia HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run va face LoadMSchv32 Drv = C:\WINDOWS\SYSTEM\MSchv32.exe. Pentru verificarea calculatorului daca a fost infectat adauga urmatoarea cheie in REGISTRY : HKEY_CLASSES_ROOT\DirectSockets , irectSocketsCtrl=$A4 D5 #FFF. O a doua varianta a acestui virus se instaleaza in mod diferit. Un mesaj de eroare indica faptul ca fisierul ISAPI32.DLL lipseste, dupa care isi va face trei copii in directoarele Windows\System cu numele : c:\windows\rsrcload.exe : c:\windows\system\mgadeskdll.exe : c:\windows\system\csmctrl32.exe. Deasemenea modifica Windows Registry, facind ca aceste fisiere sa se execute la pornire.


 Cinderella.390

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
390 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.351

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
351 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Ratboy.303

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
303 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cls.853

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
853 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Companion.101

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
101 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE identificate prin tip.


 Companion.FlyV.633

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
633 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 CorporateLife.1929

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1929 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Crazy_Nine

Virusul este de fapt un "dropper"'.
Acesta este pattern-ul hexa din memorie. Pentru sectorul de boot de pe floppy disc, pattern-ul hexa este urmatorul: BB * 8EC3 * 8BD8 * B8 * B9 * B809 02 * BA * CD13 , iar pattern-ul hexa pentru sectorul de noot de pe hard disc este: 8ED8 * B0 * BF * 0005 * 47 * FEC0 * 75
Spatiul ocupat pe disc:
4 ko.
Acesta este pattern-ul hexa din memorie. Pentru sectorul de boot de pe floppy disc, pattern-ul hexa este urmatorul: BB * 8EC3 * 8BD8 * B8 * B9 * B809 02 * BA * CD13 , iar pattern-ul hexa pentru sectorul de noot de pe hard disc este: 8ED8 * B0 * BF * 0005 * 47 * FEC0 * 75
Tehnici de ascundere:
Sunt folosite.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
In timpul instalarii si infectarii, Crazy_Nine obtine un numar aleator pentru a citi ceasul de timp real si pentru a-l folosi in construirea unui MBS polimorfic in memorie. Polimorfismul consta intr-o scurta secventa de doi bytes raspanditi printre instructiuni fixe.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
ntreruperi interceptate:
08
01
13
Comentarii:
Crazy_Nine este un produs din noua linie de cunostinte: el foloseste toate tipurile de tehnici nedocumentate pentru a evada la o posibila detectie. Intr-adevar, unele astfel de rutine apar ca fiind copiate, aproape linie cu linie din unele carti publicate, precum Undocumented DOS si The Undocumented PC, disponibile, inteligibile si complete.
Este un virus de 4KB lungime, fiind unul dintre cei mai mari virusi ai sectorului de boot, cunoscuti/vazuti; in parte, datorita codificarii de nivel jos (virusul face cea mai mare parte din treaba, in locul BIOS-ului) si datorita polimorfismul sau din sectorul de boot. - polimorfismul de orice tip este rar pentru virusii sectorului de boot.
Pe floppy-uri, cele opt sectoare ale codului virusului, plus sectorulde boot original, sunt localizate cu doua piste inainte de pista finala. Aceasta metoda are cateva avantaje - va lucra pe majoritatea PC-urilor, sectoarele nefiind suprascrise ulterior (iar datele nu vor fi stricate in timpul infectarii), iar sectoarele nu sunt usor de gasit. Codul polimorfic incarca aceste sectoare in memorie.
Cand toate acestea s-au realizat, virusul sare la offset-ul 0E8Bh din noul cod incarcat. Dupa ce obtine codul vectorului 13h, copiaza codul MBS neinfectat, original in memorie, la locatia 0000:7C00h, peste propriul MBS. Se realizeaza un apel 'Are you there?'; Int 13h, AX=5445h. Daca virusul este rezident, el returneaza, pur si simplu. Majoritatea virusilor sectorului de boot nu necesita un astfel de apel, insa Crazy_Nine poate sa se execute de doua ori: virusul comuta pe off boot-ul floppy si dupa ce s-a executat din MBS, va executa codul de boot de pe discheta, daca este prezent.
Crazy_Nine nu apare ca avand inclusa o rutina de trigger: nu este surprinzator, data fiind dimensiunea instalarii sale si rutinele de infectare - avand o lungime de 8 sectoare (4KB), el este prea mare exclusiv doar pentru un virus al sectorului de boot. De notat ca masinile astfel infectate au crapat frecvent.
Crazy_Nine foloseste multe trucuri care, probabil ca vor deveni, in curand, comune acum cand sunt mai bine documentate. In particular, infectia la nivel port, pe floppy si hard discuri AT-compatibile, nu este dificila, iar utilizarea diagnozei pe hard discuri este un simplu truc.
Documentatia sporita privind aspectele de nivel jos ale DOS-ului si PC-ului fac posibili astfel de virusi, precum Crazy_Nine, simplificand insa si jobul cercetatorului anti-virus. Asta-i bine!


 Cruncher.4800

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4800 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Deicide.666

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
666 o.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
•) "File corruption error."

•) "DEICIDE!

Glenn (666) says : BYE BYE HARDDISK!!

Next time be carufull with illegal stuff......

"
Sunt afisate dupa fiecare infectare.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.
Conditii de declansare a efectelor distructive:
Nu s-a gasit nici un fisier pentru a fi infectat.


 Denzuk.1

Pseudonime:
Den Zuk - B
Denzuko
Search
Solomon
The Search
Venezuelan
Uneori este referit ca "Den Zuk - B" pentru a-l distinge de predecesorul sau, Den Zuk - A, referit ca virusul Ohio.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Originea geografica:
Indonesia
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
ntreruperi interceptate:
13
09
Efecte nedistructive:
Modifica sectorul de boot al floppy-urilor de 360K, indepartand virusul Brain daca il gaseste. Neintentionat, suprascrie FAT-ul de pe floppy-urile 1.2M si toate dischetele 3.5" pe care le gaseste. Cauzele initiale nu provoaca pagube, dar deoarece virusul plaseaza informatiile in pista 40, cap 0, sectoarele 1-9, poate provoca stricarea datelor de pe dischetele care au pista 40 valida, precum floppy-ul de 1.2MB. Ca si in cazul originalui Brain, care a fost proiectat pentru a distruge, el nu poate infecta un hard disc si nici nu are pretentia sa o faca. Daca un sistem infectat este reboot-at de pe hard disc, virusul se va dezactiva. Acesta nu este insa cazul unei reboot-ari de pe o discheta curata - care va deveni infectata. Unele variante ar putea reformata floppy discul dupa atingerea valorii limita unui contor (de la 5 la 10), in functie de versiune.
Comentarii:
Probabil ca virusul DenZuk a fost scris de unul si acelasi autor ca si virusul Ohio: sirul Y.C.1.E.R.P. apare si in virusul Ohio, iar codul este similar. Este un virus al sectorului de boot, infectand floppy-urile de 360K, ocupand sectorul 1 de boot si 9 sectoare pe pista 40. Dischetele infectate vor purta eticheta de volum Y.C.1.E.R.P., unde . este caracterul 59h (i.e. ASCII 90 in zecimal sau litera "Z"). In versiunea cea mai uzuala, o imagine grafica reprezentand un steag rosu-purpura DEN ZUK impreuna cu un logo similar AT&T, apare pe ecran dupa ce s-a facut Ctrl-Alt-Del, daca sistemul are un monitor CGA, EGA sau VGA si o discheta infectata drive-ul A:. Virusul nu este eliminat din memorie la Ctr-Alt-Del; un reboot este simulat atunci cand aceste chei sunt tastate. Exista mai multe variante ale acetui virus care afiseaza mesaje diferite, in parte datorita disponibilitatii in Indonesia a unui program care modifica mesajul. Afisarea nu se realizeaza daca KEYBUK sau KEB sunt instalate. Den Zuk (in traducere: Cautare) a fost scris ca un virus anti-virus. Tinta sa: infectiile cu virusul Brain |_x (si Ohio |_x, ca prima sa forma). Atunci cand acesta gaseste o discheta infectata cu virusul Brain, el elimina Brain si pune in loc o copie a sa. De asemenea, se uita si dupa vechile sale versiuni (Ohio) si le actualizeaza daca este necesar. Virusul rezida in pista 40, cap 0, sectoarele de la 33 la 41, de pe dischete (in mod normal, dischetele 360K au doar piste numerotate de la 0 la 39) si astfel nu se obtine spatiu neutilizabil pe dischetele de 360K, dar suprascrie aceste piste pe dischetele care au mai multe. Virusul a fost proiectat ca un infector al sectorului de boot care infecteaza floppy-urile 360K 5 1/4". El infecteaza prin intermediul oricarui acces la discheta gazda. Poate supravietui unui reboot Ctr--Alt-Del, permitandu-i sa vada si sa distruga orice copie de Brain care ar putea fi pe discheta de boot; Ctrl-Alt-F5 este modalitatea prin care autorul virusului realizeaza o adevarata reboot-are la cald atunci cand scrie codul. Ca toti virusii sectorului de boot, Den Zuk va infecta dischetele de date (deci, dischetele ne-sistem) care la randul lor pot pasa/transmite infectia la un boot accidental de pe astfel de dischete de date infectate. Virusul are bug-uri: Autorul lui Den Zuk a presupus faptul ca toate floppy-urile sunt de 360K, ca urmare, Den Zuk va face discurile de capacitate mai mare inutilizabile. Plasand un sector de boot echivalent 360K pe floppy de 720K, 1.2M si 1.44M, virusul va gresi in identificarea dimensiunii FAT-urilor si a directoarelor (uneori si la dimensiunea clusterelor). Apoi, plasandu-se in pista 40, cap 0, el va suprascrie orice era acolo initial. Morala pentru autorii de virusi: daca intentionati sa scrieti un virus "bun", asa cum se pare ca a vrut autorul lui Den Zuk, atunci nu mai scrieti virusi de loc. Virusul contine un text neencriptat: "The HackerS, Welcome to the C l u b --The HackerS--Hackin All The Time." Au fost raportate cateva derivate ale acestui virus. Una din variante va dezafecta comanda SYS si va distruge toate datele de pe drive-ul C: in ziua de Vineri, 13 Septembrie, 1991. O alta varianta foloseste un contor care tine urma numarului de reboot-ari ale sistemului. Atunci cand aceasta limita atinge 5 pana la 10 reboot-ari, druve-ul A: este reformatat.


 Diamond.465

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
465 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.978

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
978 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dillinger.547

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
547 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Doom.1240

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1240 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 12 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Dream.2000

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Dutch_Tiny.163

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
163 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Dy.278

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
278 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 ExeHeader.418

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
418 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Pure.440

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
440 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Exterminate

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1632 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Fasolo.176

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
176 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FaxFree.Darkover.1536

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fellow.1019

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1019 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Find.666

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
666 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fist.683

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
683 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Flagyll.371

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
371 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Form.A

Pseudonime:
Form
Form #5
Form Boot
Form Std
Form.a
Form.A.DS4
FORM_A
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Atunci cand este rezident, reduce numarul total de bytes ai memoriei, asa cum sunt ei raportati de CHKDSK, la valoarea 650.240 (5K). Chiar si atunci cand este rezident, NVC.EXE il poate detecta in inregistrarea de boot.
Dimensiunea memoriei ocupate:
2 ko.
Atunci cand este rezident, reduce numarul total de bytes ai memoriei, asa cum sunt ei raportati de CHKDSK, la valoarea 650.240 (5K). Chiar si atunci cand este rezident, NVC.EXE il poate detecta in inregistrarea de boot.
Originea geografica:
Zurich, Switzerland
Mesaje neafisate dar continute de corpul virusului:
"The FORM-Virus sends greetings to everyone who's reading this text. FORM doesn't destroy data! Don't panic! Fuckings go to Corinne."
Este un text necriptat. Virusul marcheaza un cluster prost si plaseaza acest mesaj acolo.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
- Infecteaza MBR-ul de pe hard disc.
Este un virus, infector al sectorului de boot, necesitand doar doua sectoare.
ntreruperi interceptate:
13
09
In fiecare a 18-a zi dintr-o luna.
Efecte nedistructive:
Pagubele sunt minore si neintentionate. Totusi, tastele vor produce doua click-uri pentru fiecare tastare, atunci cand virusul este in memorie in ziua a18-a din fiecare luna (sau, dupa unele rapoarte, a 24-a), in plus, actiunea tastei respective este usor intarziata.
Comentarii:
Din 1994, este cel mai raspandit virus. In Marea Britanie, una din trei infectii este cu acest virus. In a 18-a zi a fiecarei luni, se va auzi un click de la speaker la fiecare tastare a unei chei. (Unele rapoarte indica ca aceasta se intampla in a 24-a zi a fiecarei luni). Propagare: Atunci cand calculatorul este boot-at de pe o discheta infectata, codul viral din sectorul de boot al dischetei este executat. Virusul aloca 2KB din memoria conventionala superioara si incarca 2KB din codul sau de pe discheta. Odata ce a facut asta, el infecteaza sectorul de boot de pe hard disc. Pe discheta, a doua parte a virusului este stocata in ultimul cluster, pe care-l marcheta "prost" in FAT. Daca Form intalneste o eroare in timp ce citeste partea a doua a codului sau, calculatorul s-ar putea sa se blocheze. Astfel de erori pot apare daca, de exemplu, virusul nu asteapta suficient ca motorul drive-ului de discheta sa porneasca. Atunci cand Form infecteaza un hard disc, el citeste MBR-ul si H.Boot-ul, verificand ca a infectat deja acel hard disc particular. Daca hard discul nu este infectat si dimensiunea sectorului sau este , in mod normal, de 512 bytes, virusul stocheaza partea a doua a codului sau si inregistrarea de boot originala in ultimele doua sectoare fizice de pe hard discul fizic (referitor la partitionare). Aceste sectoarele pastreaza a doua parte a virusului si inregistrarea de boot originala. Ele nu sunt marcate nici proaste, nici ocupate. Sistemele infectate vor esua la boot daca aceste sectoare sunt suprascrise (in general, aceasta nu se intampla pana cand hard discul nu este plin). Deci, virusul infecteaza orice hard disc care nu este plin! Dupa scrierea ultimei parti din codul sau in ultimele doua sectoare de pe hard disc, Form scrie prima parte a codului sau in sectorul de boot al hard discului. Odata hard discul infectat, virusul se activeaza la fiecare boot-are a calculatorului. Form verifica offset-urile 136-137 ale sectorului de boot pentru a determina daca a infectat deja drive-ul. Daca gaseste FE01h la acea locatie, Form recunoaste ca acel drive a fost deja infectat cu Form si nu-l mai reinfecteaza. Altfel, virusul isi copiaza codul in sectorul de boot. Cat timp este in memorie, Form monitorizeaza operatiile de citire de pe dischetele din drive-ele A: si B:. Atunci cand pista 0 este citita, virurul verifica daca discheta a fost deja infectata. Daca nu a fost, Form incearca sa o infecteze. Fom infecteaza toate dischetele standard (i.e. cele care au sectoare de 512 bytes).


 GreenCaterpillar

Pseudonime:
1575
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Micsoreaza MCB-ul curent doar daca este vorba de un bloc 'Z'.
Dimensiunea memoriei ocupate:
1847 o.
Spatiul ocupat pe disc:
1575 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16 cu rotunjire la paragraf.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: South Africa ; la data: 9/15/93
ntreruperi interceptate:
21 / 11
21 / 12
1C
Efecte nedistructive:
O omida verde traverseaza ecranul.
Conditii de declansare a efectelor nedistructive:
Nu are.
Efecte distructive:
Executia fisierele executate la trei sau mai multe luni dupa infectare.
Conditii de declansare a infectarii:
FindFirstFCB, FindNextFCB
Modul de autodetectare a virusului in memorie:
memw[seg(int21_vector):0725h] = 0Ch 0Ah
Modul de autodetectare a virusului pe disc:
file[lastbyte-1..lastbyte] = 0Ch 0Ah
Comentarii:
Omida alearga de-a lungul ecranului, de la stanga la dreapta si de sus in jos. Ecranul va contine "urmele" omizii pe masura ce ea se deplaseaza, lasandu-le afisate orizontal si avand lungimea unei omizi, iar textul este galben pe negru. Omiza este avasata via o rutina INT 1C, care este declansata la fiecare tic de ceas. La fiecare tic, omida se muta inainte pe ecran cu o pozitie.


 Grog.377

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
377 o.


 Grog.794

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
794 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grunt.529

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
529 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Gyro.512

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Halka.720

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
720 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hdzz.566

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
566 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
HDZZ
COMSPEC
ITS
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Helloween.1376b

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1376 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hi.802

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
833 o.
Originea geografica:
Romania
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / 4B
3D
Efecte nedistructive:
Pe 5 Octombrie, nu merg COM-urile. Joi, nu merge portul paralel.
Efecte distructive:
Sterge fisierele deschise sau executate 19 Decembrie. Scrie prost (adica, AX=300h, CX=0, DX=80h, int13h -> ceea ce nu este clar in privinta intentiilor virusului) pe 14 in fiecare luna, la fiecare ora si 25 minute, timp de un minut daca se deschide sau se executa ceva.
Modul de autodetectare a virusului in memorie:
0:[164]==2ED0
Modul de autodetectare a virusului pe disc:
Se recunoaste pe sine dupa terminatia 31h, 10h.
Comentarii:
Virusul nu contine nici un text; sistemul de virusare este foarte asemanator cu al lui Hi.460, cunoscut ca DoNothing, insa evolutia continua.


 HLLC.12304

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
12304 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".


 HLLP.Vova.9904

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
9904 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Horse.1160

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hydra_II.1649

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1649 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Ieronim.1082

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1082 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Incom

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
648 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Int83.768

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
768 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Intruder.1353

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1353 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 IronMaiden

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
636 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 James.356

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.1730

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1730 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Kaszana.1848

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1848 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kela.1171

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1171 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 KeyKapture.1074

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1074 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Keypress.935

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
935 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.632

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
632 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.DeathLord.933

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
933 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kirti.2000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kode4.399

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
399 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 KSV.1128

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1128 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Lady.873

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
873 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Liberty.b

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2867 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.


 Little.Red

Pseudonime:
Little_Red
Mao
Virusul produce efecte sonore.
Data originii: anterioara lui Noiembrie, 1994. Posibil sa fi fost scris in 1989, an referit intern de catre virus, si in care nu difuzeaza o melodie. O astfel de capcana este adesea adaugata pentru a spori sansele de supravietuire ale virusului in primul an.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Data originii: anterioara lui Noiembrie, 1994. Posibil sa fi fost scris in 1989, an referit intern de catre virus, si in care nu difuzeaza o melodie. O astfel de capcana este adesea adaugata pentru a spori sansele de supravietuire ale virusului in primul an.
Spatiul ocupat pe disc:
1500
Adauga la fisiere un numar variabil de bytes, in jur de 1500.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Data originii: anterioara lui Noiembrie, 1994. Posibil sa fi fost scris in 1989, an referit intern de catre virus, si in care nu difuzeaza o melodie. O astfel de capcana este adesea adaugata pentru a spori sansele de supravietuire ale virusului in primul an.
Originea geografica:
China?
Data originii: anterioara lui Noiembrie, 1994. Posibil sa fi fost scris in 1989, an referit intern de catre virus, si in care nu difuzeaza o melodie. O astfel de capcana este adesea adaugata pentru a spori sansele de supravietuire ale virusului in primul an.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- Infecteaza fisierul COMMAND.COM.
Raspandirea virusului:
In circulatie. Regiunea geografica: USA ; la data: 6/15/94
ntreruperi interceptate:
21
Efecte nedistructive:
Neintentionate.
Conditii de declansare a infectarii:
INT 1Ch.
Din tot virusul, rutina de trigger este partea cea mai eleganta: rutina nu este intentionat destructiva, ci doar profund ofensatoare pentru cei carora le place muzica.
Modul de autodetectare a virusului in memorie:
Apelul 'Are you there?' (INT 21h, Function 30h) returneaza o valoare 5Bh in registrul BL.
Modul de autodetectare a virusului pe disc:
EXE: Initial SP - Initial IP=693. COM: First byte=JMP. Este realizata o operatie matematica (ROR 1) pe al doilea si al treilea cuvant. Daca rezultatul este acelasi cu al patrulea si al cincilea cuvant, fisierul este infectat.
Comentarii:
Simptome: Fisierele cresc in dimensiune. Unele fisiere EXE, in particular cele infectate repetat, devin nefunctionale si nu vor putea opera. Pe datele de 9 Septembrie si 26 Septembrie, din fiecare an, virusul poate canta una sau doua melodii. Cele doua date reprezinta ziua de nastere si cea a decesului lui Mao Tse Tung. Propagare: Atunci cand un fisier, infectat cu acest virus, este executat prima data, el incearca mai intai sa infecteze COMMAND.COM, apoi devine rezident. Infecteaza la open extins (INT 21/1C), incluzand open, load si execute, scanarea dirtectorului si copy. Virusul este unul original. Detectie: Norman NVC.SYS il detecteaza atunci cand incearca prima data sa infecteze COMMAND.COM si-l poate opri; de asemenea, NVC.SYS detecteaza Little_Red atunci cand incearca sa devina rezident si-l poate opri. Daca i s-a permis sa ajunga rezident, NVC.SYS poate vedea toate infectiile consecutive si le poate opri. De notat ca, la boot-area unui sistem avand COMMAND.COM infectat, NVC.SYS ni va raporta faptul ca virusul devine rezident, si de fapt, nu apare ca devenind rezident dintr-un COMMAND.COM infectat. Eliminare: Pe o masina avand instalat Norman Binder pentru a proteja fisierele, Binder poate detecta si elimina toate copiile acestui virus din fisiere. Se recomanda scoaterea din memorie a lui NVC.SYS (REM in config.sys) astfel incat sa nu mai atentioneze in timpul unei activitati de eliminare FIXLRED. Apoi, se tasteaza FIXLRED [drive:] pentru a face scan si clean. Ne notat ca, fiecare fisier care are la sfarsit un garbage, precum un CTRL-Z care poate fi adaugat in timpul transmiterii fisierului via modem, s-ar putea sa nu fie detectat ca fiind infectat, chiar daca virusul este in fisier si poate infecta. Se recomanda executarea lui NVC.EXE pe drive, dupa ce s-a executat FIXLRED, din moment ce detecteaza toate copiile virusului. NVC.EXE poate sterge fisierele infectate. Virusul reinfecteaza unele fisiere EXE. Recomandarea este ca eliminarea virusului sa se faca in conditiile unui sietem curat, prin inlocuirea fisierelor cu copiile curate cunoscute. Little.Red este un virus mediu, care nu produce, in mod deliberat, pagube asupra datelor stocate pe disc. Rutina sa trigger este mai mult suparatoare, insa inofensiva, iar modalitatea evidenta prin care incetineste calculatorul il face usor de remarcat.


 Lokjaw.499

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
499 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21
A se vedea si:
Lokjaw.493


 Loren.1374

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1374 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Loz.693

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
693 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Lyceum.1888

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1888 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Macgyver.3160

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MadSatan.647

Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
647 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Mesaje neafisate dar continute de corpul virusului:
'Mad Satan'
'By [Mad Satan] v4.02'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Cand se executa un fisier infectat, virusul se instaleaza in memorie fara sa verifice daca este deja activ, ducand la blocarea sistemului dupa executarea catorva fisiere infectate. Valoarea secundelor este setata la 62.


 Malmsey.806

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
806 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Maresme.1062

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1062 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Trivial.Ratboy.80

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
80 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tula.417

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
417 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tver.776

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
776 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Unashamed

Pseudonime:
Unashamed_Naked
Virusul produce efecte vizuale.
Aceasta semnatura va localiza virusul atat pe hard disc si pe floppy-uri, cat si in memorie.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Aceasta semnatura va localiza virusul atat pe hard disc si pe floppy-uri, cat si in memorie.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Aceasta semnatura va localiza virusul atat pe hard disc si pe floppy-uri, cat si in memorie.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Originea geografica:
Rwanda (Central Africa)
Aceasta semnatura va localiza virusul atat pe hard disc si pe floppy-uri, cat si in memorie.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
'the UNashamed Naked!'
Afiseaza acest mesaj in mod pe 40-coloane.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 14/0/0 pe un hard disc.
- Pista/capul/sectorul 5/0/0 pe un floppy de 720 KO.
- Pista/capul/sectorul 2/0/0 pe un floppy de 360 KO.
- Pista/capul/sectorul 14/0/0
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Europe
In atentia cercetatorilor. Regiunea geografica: North America
ntreruperi interceptate:
13
9
Unashamed foloseste o mica subrutina pentru a manevra interceptarea intreruperii. Aceasta rutina se sprijina pe unele registre avand valori presetate, la intrare - valorile setate determina intreruperea de interceptat. Virusul intercepteaza doua intreruperi, servicii disc BIOS (Int 13h) si intreruperi de la tastatura (Int 09h). Prima ajuta la replicarea virusului, iar ultima este pentru controlul trigger-ului si pentru "payload". Vectorii originali sunt stocati de virus pentru a fi ulterior folositi.
Conditii de declansare a infectarii:
Contor de infectie si un algoritm de timer aleator.
Handler-ul virusului pentru tastatura controleaza trigger-ul si ""payload"-ul. De fiecare data cand o cheie este apasata, handler-ul virusului va prelua controlul si va testa valoarare imediat contorului. Daca aceasta nu este mai mare decat unu, controlul este transferat lantului de intreruperi pentru urmatorul handler tastatura. Daca contorul este unu sau mai mult, Unashamed se sprijina pe un pseudo-trigger bazat pe timer-ul PC. Aceasta asigura 50% sanse, o ora la o perioada de 10-zile, pentru lansarea "payload"-ului. Daca se intaâmpla asa ceva, virusul reseteaza display-ul video la mod 40-coloane, decripteaza mesajul inclus si-l afiseaza. Dupa o scurta intarziere, PC-ul reboot-eaza.
Modul de autodetectare a virusului pe disc:
Bytes-ii de la offset-ul 01BBh, din oricare sector de boot, sunt egali cu 051Ah.
Comentarii:
Este un virus al sectorului de boot, care circula, infectand floppy-urile si hard discurile. Unashamed contine un trigger pseudo-aleator, proiectat pentru a elibera mesajul pe post de "payload". Virusul isi termina procesul de infectare, scriind sectorul de boot pe disc si incrementand contorul, aflat in corpul virusului, la offset-ul 01BDh, si care este folosit de celalalt handler al virusului. In concluzie, Unashamed utilizeaza variante interesante ale tehnicilor standard in incercarea de a preveni detectia generica. El circula prin natura, insa poate fi usor detectat dupa semnatura si deci nu este greu de eliminat. Virusul nu include pagube intentionate. Eliminare: Metoda standard de executie FDISK/MBR este suficienta pentru a elimina virusul de pe hard disc. Eliminarea de pe floppy poate fi realizata salvand orice fisier necesar si reformatand discheta.


 Uruguay.2379

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2379 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 UsePascal.2406

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2406 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.1385

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1385 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.267

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
267 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.492

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
492 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 V.736

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
736 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.600

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.648

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
648 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.758

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
758 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.988

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
988 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Violator.5305

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5305 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Viking.700.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Virogen.1535

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1535 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Mesaje neafisate dar continute de corpul virusului:
'(c) 1993 Virogen ASeXual Virus v1.00' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Poate fi detectat in memorie cu acelasi pattern ca si pentru varianta Virogen.1520.


 Virogen.PinWorm.2585

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2585 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VLAD.Antipode.1087

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1087 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 VLAD.Prodigy.393

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
393 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WM.Easy.A

Pseudonime:
MW:Easy-A
WM/Easy
Winword.Easy
WordMacro/Easy
Easy
WinWord.Easy
EASY.A
EasyMan
Originea geografica:
Austria
Data aparitiei: Septembrie 1996
Mesaje afisate de virus:
La o anumita data si cu o anumita culoare va aparea textul: "It's Easy Man". Dupa aceasta virusul afiseaza urmatorul text in bara de propieteti: "Word.EasyMan, written by Spooky"
Comentarii:
Easy.A este un virus de Word. Are un singur maco cu dimensiunea de 1090 bytes. Actioneaza numai cind documentul infectat este deschis. Daca macro "AutoOpen" exista deja in Normal.dot, Easy.A nu va infecta.


 WM.Illiterate.A

Pseudonime:
MW:Illiterate-A
WordMacro/Illiterate.A
WinWord.NOD
WM/Illiterate.a
Mesaje afisate de virus:
Afiseaza o fereastra de dialog care are titlul "Unity !!!" si continutul "Brotherhood of NOD never die!".
Mesaje neafisate dar continute de corpul virusului:
" /---------------------------------------------------------- '|virus name: brotherhood of nod |

|Origin : Indonesia |

|Author : Foxz NoMercy Members |

|URL : http:
\----------------------------------------------------------/ "
Efecte distructive:
Seteaza diferite parole pentru documente. Modifica setarile documentelor cind sint salvate.
Comentarii:
Este un virus de Word care contine 3 macro-uri: AutoOpen, Nod, Tiberium . Infecteaza de fiecare data cind un document existent este deschis cu AutoOpen. A aparut in Septembrie 1997.


 WM.MadDog.A

Pseudonime:
MW:MadDog-A
WM/MadDog.A
Winword.MadDog-A
MadDog
WinWord.MadDog.A
MacroWord.MadDog.A
MADDOG.A
Originea geografica:
SUA
A aparut in Iulie 1996.
Mesaje neafisate dar continute de corpul virusului:
--------------------------------------------------------

Microsoft Word for Windows 95 "MadDog" Macro Set

--------------------------------------------------------

--------------------------------------------------------

Microsoft Word for Windows 95 "MadDog" Macro Set

--------------------------------------------------------

--------------------------------------------------------

Microsoft Word for Windows 95 "MadDog" Macro Set

--------------------------------------------------------

MsgBox(B$ + C$)

--------------------------------------------------------

Microsoft Word for Windows 95 "MadDog" Macro Set

--------------------------------------------------------

"above .show = 1 must be this value."

--------------------------------------------------------

Microsoft Word for Windows 95 "MadDog" Macro Set

--------------------------------------------------------
Comentarii:
Este un virus de Word care are 6 macro-uri:AutoExec, AutoOpen, AutoClose, FileClose, FCFinish, AOpnFinish. Sistemul este infectat cind un document care contine virusul este deschis cu AutoOpen, iar fisierele se infecteaza cind sint inchise cu FileClose. Nu se ascunde. Macroul AutoClose are rolul de a schimba in documentul curent litera "e" cu litera "a".


 WM.Simple.A

Pseudonime:
WM/Simple.A
WordMacro/Simple.A
SIMPLE.A
Mesaje afisate de virus:
Cind infecteaza documente , afiseaza o caseta de dialog cu mesajul " The Concept is Simple !".
Comentarii:
Este un virus de Word care are doua macrouri, AutoOpen si Simple. Documentele sint infectate cind sint deschise. In majoritatea cazurilor , aceste fisiere pot fi reparate. Virusul nu se ascunde. Este criptat usor.


 Word.1503

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1503 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 XM.Extras

Pseudonime:
XM/Extras
X97M/Extras
Extras
Comentarii:
Este primul virus polimorfic de Excel si a aparut in Aprilie 1998. Macro-ul AutoOpen este folosit pentru inmultire, dar mai contine si alte macro-uri : AutoClose, Auto_Exit, Auto_Help. Cind un fisier infectat este deschis, virusul isi face o copie a sa in calea de start a Excelului. Numele acestui fisier este 'EXTRAS.XLS' pentru Windows 3.1, 'Wndows Extras' pentru PC (Windows 95, Windows NT, etc..) si 'Macintosh Extras' pentru Macintosh. Astfel cind Excel va fi pornit, vor fi infectate toate fisierele accesate. Numele modului XM.Extras contine intotdeauna 25 de caractere (litere si numere luate la intimplare si intr-o ordine aleatoare). Polimorfismul se bazeaza pe valori numerice care nu sint constante dar care sint calculate de expresii matematice. Daca anul curent este mai mic de 1999, virusul modifica meniul Format/Style si Format/AutoFormat.


 Xph.1943

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1943 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yankee.1049

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1049 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yankee.2881

Pseudonime:
TP44VIR
Five O'Clock
Yankee.Doodle.TP.44
Yankee.Doodle-2885
USSR-1049
TP44
Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2881 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 cu rotunjire la paragraf. pentru fisierele de tip .COM.
Originea geografica:
Sofia, Bulgaria
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Efecte nedistructive:
Virusul difuzeaza "Yankee Doodle" la speaker-ul sistemului, la orele 5PM.
Comentarii:
Virusul canta melodia "Yankee Doodle Dandy" la speaker-ul sistemului, fie atunci cand programul este incarcat, fie la 17 ore dupa incarcarea unui program infectat, in functie de versiunea lui Yankee Doodle. Fisierele COM si EXE vor fi infectate, deopotriva, indiferent de dimensiunea lor, iar virusul este nerabdator s-o faca. Fisierele infectate cresc in dimensiune cu 2899 bytes. Nu toate versiunile virusului se comporta la fel; astfel, primele versiuni nu produceau pagube, altele pot fi recunoscute printr-un acelasi sir plasat la sfarsitul fisierelor infectate, altele modifica virusul Ping-Pong, schimbandu-se astfel incat se auto-distrug dupa 100 de infectari. De fapt, in mod aparent, virusul a fost proiectat pentru a fi un luptator. Poate chiar formata hard discul. Exista identificate mai multe variante ale virusului: a, b, c.


 Mini.207

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
207 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirage.1322

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1322 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mithrandir.496

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
496 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mnemonix.Cmagic.2015

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2015 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mohova.659

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
659 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Mordor.538

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
538 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mr_Gu.545

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
645 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 MTE

Mesaje neafisate dar continute de corpul virusului:
" PSVUQRW ahWE 9Awp ccU15 5Y2X1 :EP ".
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul nu este rezident. Infecteaza numai in directorul curent. Nu modifica atributele fisierelor si nu le poate infecta pe cele marcate 'read-only'. La sfirsitul fisierului infectat adauga textul: "-->:EP<--". Nu infecteaza fisierele la citire. Calculatorul se poate opri cind se executa un fisier infectat. Fisierele COM cresc in lungime cu 987octeti pina la 3702o, iar cele .EXE cu 987 octeti. Virusul nu se ascunde. Este polimorfic. A fost semnalat prima oara la 6 Aprilie 1998.


 MtE.Mother

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3934 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Munich.2355

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2355 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Murphy.David.1173

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1173 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Murphy.Torment

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 AmazonQueen.500

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
'Amazon Queen...v2.0'
Poate fi afisat daca se executa un program infectat si virusul este activ in memorie.
Mesaje neafisate dar continute de corpul virusului:
'WHY'
'LoRD Zer0'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 MutaGen.20.Agent.2204

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2204 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MzBoot.464

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
464 o.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 NED.Nukehard

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1795 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 NextGen.2304

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2304 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Nina.1614

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1614 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza drivere de dispozitive (.SYS).


 NoFrills.Bungus.1483

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1483 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Ntit.1254

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1254 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.LoneWolf

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
867 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Nuke.Pox.955

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
955 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nygus.195

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
195 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 OneHalf.3570

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
3570 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 Ostap.322

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
322 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Oxana.1719

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1719 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Parity.441

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pcbb.1701

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1701 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Pdp.1564

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1564 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Anarchy.9382

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
9382 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Phalcon.Emo

Spatiul ocupat pe disc:
899 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
"Virus" "INFECTED" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Conditii de declansare a efectelor distructive:
Daca este luna Aprilie, formateaza aleator pista [DS:188], de pe fiecare drive. Daca este luna Februarie, nu se intampla nimic altceva destructiv.


 Phx.965

Pseudonime:
SP
Tracker
Willistrover III
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
965 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
PHX ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Argentina ; la data: 10/8/93
Virus comun. Regiunea geografica: Argentina ; la data: 4/20/94
ntreruperi interceptate:
21 / 4B
21 / 3D02
21 / 40
21 / B974
Efecte nedistructive:
Altereaza campul "hour alarm" din memoria CMOS (byte-ul 05). Nu este clar daca este vorba de un efect destructiv pagubitor.
Conditii de declansare a efectelor nedistructive:
Incrementeaza byte-ul 05 din CMOS, indiferent daca programul infectat este executat sau nu pe un sistem infectat.
Conditii de declansare a efectelor distructive:
Ori de cate ori flagul de activare este setat iar byte-ul "hour-alarm" este cel putin 0x80 si INT21/40 este realizat. Flagul de activare este setat atunci cand: - un mediu variabil, incepand cu "PHX", este prezent cand programul este executat; - sau daca este realizata functia INT21/3D02, iar codul care urmeaza dupa apelul lui INT21 contine un sir pe 32 bytes; - sau cand un program este executat, iar un Input pe portul 0x03E4 returneaza orice in afara de valoarea 0xFF. (Prea multa complexitate pentru a exprima simbolic!)
Conditii de declansare a infectarii:
(Exec) and (LengthCOM < 0xFC00) and
(LengthEXE == LengthImage + LengthHeader)
Modul de autodetectare a virusului in memorie:
INT_21;AX=B974 -> AX=2888
Modul de autodetectare a virusului pe disc:
Ultimii trei bytes sunt 28 08 93
Constrangeri necesare virusului pentru a functiona:
(CPU >= 286)
Comentarii:
Contine PUSHA si POPA, precum si SHL si SHR ca valori in loc de 1 sau CL. Cand opereaza asupra unui fisier victima, adauga un "!" la sfarsitul numelui (astfel incat, FOO.COM devine FOO.COM!), probabil pentru a induce in eroare programele antivirale rezidente, facandu-le astfel sa caute "EXE\0" sau "COM\0". Caracterul "!" este adaugat in intentia de a zapaci MSAV sau NAV. Noul sfarsit MCB, acolo unde este localizat virusul in memorie, este marcat ca fiind detinut de SP (System Program). De notat ca valoarea corecta ar fi "SC" (System Code), ceea ce s-a si corectat, de altfel, in versiunea ulterioara a virusului. Autorul virusului este Armagedon, originar din Argentina. Numele dat de autor este "Tracker". Paguba permanenta incearca sa afecteze doar masina, sau cateva. Tinta a fost o persoana care scrisese cateva programe (vreo trei), ce aveau caracteristica de a cauta siruri de 32 bytes atunci cand se facea un apel INT21/3D02. Portul 0x03E4 returneaza o valoare diferita de 0xFF, atunci cand masina are instalata o placa numita 'Embrodery Design Systems'. Placa este folosita ca protectie la copiere de catre aceste trei programe, desi ea nu a fost proiectata in acest scop. Sirul PHX, din mediu, este si el o protectie la copiere pentru un alt program. Autorecunoasterea pe disc (28 08 93) semnifica de fapt data 08-28-93, in formatul folosit in Argentina (este ziua de nastere a persoanei vizate, nascuta in Argentina, in 1974), iar autorecunoasterea in memorie contine 0x74 in AX.


 Pixel.200

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.779

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
267 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Hydra.342

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
342 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Planters.360

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
360 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Polifemo.736

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
736 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 PowePump

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
14128 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Press.1024

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Protect.1355

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1355 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Quadratic.981

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
981 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Radyum.503

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
503 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Randall.3072

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Rauser.164

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
164 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Rest.1588

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1588 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.392

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
392 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Andryushka.3568

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 128
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.Conjurer.270

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
270 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Doom.449

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
449 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.Insine.1026

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1026 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.Psychosis.1195

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1195 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 RIP.3214

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3214 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 RMNS.MW.Man.297

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
297 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Runtime.365

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
365 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Runtime error 412"
se poate indica si un garbage
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.
Raspandirea virusului:
Rapoarte nesemnificative. ; la data: 6/7/93
Efecte nedistructive:
Agata sistemul, ocazional, la o actiune gen trigger.
Conditii de declansare a efectelor nedistructive:
In fiecare zi de Vineri, inainte de ora 11:00 AM, daca clock-ul @40:06Ch >0b0h
Efecte colaterale:
Cresterea necontrolata a fisierului datorata infectarilor multiple
Conditii de declansare a infectarii:
In timpul executiei unui fisier infectat
Modul de autodetectare a virusului pe disc:
Codul intentioneaza (gresit) sa verifice un NEAR CALL (0e8h) initial.
Constrangeri necesare virusului pentru a functiona:
>= DOS 3.x


 Sarampo.1470

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1470 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sauron.375

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
375 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Seagull.448

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
448 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.360

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
360 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Semtex.1000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shaker.373

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
373 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shiny.921

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
921 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Signed.982

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
982 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.139

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
139 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Antimit.770

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
770 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.257

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
257 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyC.498

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
498 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyOR.DOS5.109

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
109 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 SillyRC.131

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
131 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRC.563

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
563 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Sily.745

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
745 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Sirius.Alive.4000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Sistor.2225

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2225 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SlamTilt.703

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
703 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SlovakiaII.Happy

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Small.125

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
125 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Small.160

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
160 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smile.4304

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
4304 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Solar.102

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
102 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Spectral.601

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
601 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ssi.623

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
623 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Apparition.254

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul rezida in RAM-ul video.
Spatiul ocupat pe disc:
254 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Sterculius.428

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
428 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Stoned.June_4th

Pseudonime:
Bloody
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
1 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Mesaje afisate de virus:
"Bloody! Jun. 4 1998"
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Malawi ; la data: 9/15/93
ntreruperi interceptate:
13 / 02
13 / 03h
Efecte nedistructive:
Afisarea mesajului in timpul lansarii.


 Stsv.200

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SVC.2695

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2695 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Swiss Boot

Pseudonime:
Swiss Army
Swiss_Boot
Spatiul ocupat pe disc:
3 sectoare.
Mesaje afisate de virus:
In data de 7 Februarie va afisa urmatorul mesaj si va suprascrie unele parti de pe hard disc ; "Schaft die Schweizer Armee ab ! ".
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
Comentarii:
Virusul este rezident in memorie. Infecteaza deasemenea partitiile active de pe hard disc. Cind infecteaza hard discul, stocheaza boot-ul original si celelalte doua sectoare ale virusului in primele trei sectoare de pe prima partitie. Pe floppy disc foloseste clusterele nefolosite.


 Tack.411

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
411 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 TalkHead.519

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
519 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Telefonica.3784

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3784 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Terminator.526

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
526 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Time.1046

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1046 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Timid.313

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
313 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.138

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
138 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiny.340

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
340 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Topa.2520

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2520 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TPE.Gambit

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2259 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Trakia.653

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
653 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Arcv.1172

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1172 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.143

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
143 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.30

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
30 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.44

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
44 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Anarchy.146

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
146 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.Twelve.312

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
312 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Aztech.1200

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Backtime.1234

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1234 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Badguy.265

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
265 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Barrotes.1310

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
1600 o.
Spatiul ocupat pe disc:
1310 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Virus BARROTES por OSoft"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 7/27/93
ntreruperi interceptate:
21 / 4B00h
21 / EEh
24
Efecte nedistructive:
O rutina rezidenta afiseaza un mesaj si 8 bare verticale in zona de jos a ecranului. Ecranul se rescrie continuu, astfel incat orice se afiseaza pe ecran sa fie in partea de sus a ecranului (modul text 80x25). Barele au un efect 3D, iar culorile lor (benzile verticale ) sunt ciclate de virus.
Conditii de declansare a efectelor nedistructive:
(Ziua = a 5-a) si (Luna = Ianuarie)
Efecte distructive:
Master Boot Record este distrus.
Conditii de declansare a efectelor distructive:
(Ziua = a 5-a) si (Luna = Ianuarie)
Comentarii:
Infecteaza fisierele COM si EXE cand sunt executate. Activ la 5 ianuarie, moment cand sterge MBR-ul hard-discului si instaleaza o rutina de afisare. Aceasta rutina afiseaza bare colorate vertical pe ecran, precum si un text : " Virus BARROTES pro OSoft " in coltul din stanga sus. Barele raman vizibile pe ecran, utilizatorul insa poate continua folosirea calculatorului.


 Bat.Zop_b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
620 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Burger.498

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
498 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 BWME.FMS.1001

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1001 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Carbuncle.622

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
622 o.
Tehnici de ascundere:
Sunt folosite.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
The PC CARBUNCLE VIRUS - a companion virus for Crypt

-Urnst Kouch, Crypt Newsletter 14 ; Mesajul continut de virus si neafisat nu este criptat.
*.crp CARBUNCL.COM BAT*.exe CRP and the "copyright" PC CARBUNCLE: Crypt Newsletter 14 ; Codul paginii la afisarea mesajului continut de virus: 1 ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Infecteaza doar fisierele EXE; este un nou tip de virus companion, deosebit de cel "standard" care creaza un fisier COM avand acelasi nume cu cel EXE infectat.
Efecte distructive:
Daca timpul sistemului are campul secundelor mai mic decat 17, virusul cauta primele cinci fisiere avand extensia .CRP si le suprascrie cu corpul virusului, facandu-le de nerecuperat.
Comentarii:
Simptome: Extensiile .EXE vor fi schimbate in extensii .CRP, si pentru fiecare dintre aceastea, va fi creat un fisier .BAT. Propagare: Virusul actioneaza direct, infectand fisierele atunci cand este executat un program infectat. Daca fisierele .CRP suprascrise sunt executate, inainte ca utilizatorul sa le stearga, acestea vor provoaca, simplu, raspandirea virusului.


 Cascade.927

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
927 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Cerberus.1533

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1533 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Chaos.1181

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1181 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cybercide.2256

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2256 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CyberTech.664

Pseudonime:
Cyber Tech
Cybertech
CyberTech 664
Cybertech.664
CybTech A/B
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Dimensiunea memoriei ocupate:
664 o.
Spatiul ocupat pe disc:
664 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .COM.
Comentarii:
Virusul infecteaza doar fisierele COM, are o actiune directa. El gaseste primul fisier neinfectat din director, muta pointerul de fisiere, citeste/scrie/inchide fisierele, obtine/seteaza atributele, reseteaza data fisierului. Acces dubios la fisiere. Contine o rutina de cautare a fisierelor executabile (COM sau EXE). Este capabil sa gaseasca o rutina de decriptare. Toate acestea sunt comune pentru virusi, dar in special pentru unele produse software de protectie. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se lega la fiecare locatie dintr-un executabil. Virusul determina EXE/COM pentru a putea infecta programul respectiv. Este capabil sa gaseasca codul care este folosit pentru mutare/suprascriere in memorie. Contine cod pentru a restarta programul dupa modificarea punctului de intrare.


 DARK AVENGER. 1800.A

Pseudonime:
Dark Avenger
Dark Avenger [Dav]
Dark Avenger #6
Dark Avenger related {1}
Dark Avenger. 1800-unknown?
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Permuta parti din corpul sau.
Tipuri de fisiere infectate:
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .DOC.
- Infecteaza fisierele .EXE identificate prin tip.
A se vedea si:
Dark Avenger #6
Eddie #1
Eddie #5
Dark Avenger #4
Dark Avenger #7
Dark Avanger #1
Dark Aavenger #3
Dark Aavenger #5
Ddark Evil
Comentarii:
Virusul infecteaza fisierele la deschidere, inchidere sau la scanarea/cautarea directorului. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se putea lega la orice locatie dintru-un fisier executabil - ceea ce este comun virusilor. Programul intercepteaza incarcarea unui software, pentru a-l putea identifica. Are acces in scriere la disc, realizind aceasta fara a folosi DOS. Codul sau este rezident in memorie - programul ar putea ramine rezident. Determina EXE/COM pentru a putea infecta programele respective.


 Dashel.1804

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1804 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 DBF.990

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
990 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Dei.1526

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1526 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ed

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
775 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AH=4B
24
Efecte distructive:
Virusul contine un contor care de fiecare data cind infecteaza un nou fisier acesta scade valoarea cu 1. Cind aceasta va fi 0 virusul va distruge toate datele de pe discheta.
Comentarii:
Virusul intercepteaza INT 24 pentru a preveni divulgarea sa cind infecteaza fisiere protejate la scriere. Daca programul care se executa este un fisier EXE sau COM "curat", virusul le va infecta.


 Eddie.Apa.2104

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2104 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 3APA3A.b

Virusul produce efecte sonore.
Spatiul ocupat pe disc:
1024 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele IO.SYS.


 Egg.833

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
833 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Emmie.2702

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2702 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Enola.2430

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2430 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Eupm.1731

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1731 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Frodo

Pseudonime:
100 Years
4096
4K
Century
Hidden
IDF
Virusul produce efecte vizuale.
Adauga cate 4096bytes indiferent de tipul de fisier: COM sau EXE. Atunci cand este rezident in memorie, nici o modificare de dimensiune a unui fisier nu va fi detectata.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Adauga cate 4096bytes indiferent de tipul de fisier: COM sau EXE. Atunci cand este rezident in memorie, nici o modificare de dimensiune a unui fisier nu va fi detectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Adauga cate 4096bytes indiferent de tipul de fisier: COM sau EXE. Atunci cand este rezident in memorie, nici o modificare de dimensiune a unui fisier nu va fi detectata.
Dimensiunea memoriei ocupate:
4096 o.
Adauga cate 4096bytes indiferent de tipul de fisier: COM sau EXE. Atunci cand este rezident in memorie, nici o modificare de dimensiune a unui fisier nu va fi detectata.
Spatiul ocupat pe disc:
4096 o.
Adauga cate 4096bytes indiferent de tipul de fisier: COM sau EXE. Atunci cand este rezident in memorie, nici o modificare de dimensiune a unui fisier nu va fi detectata.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Este unul dintre primii adevarati virusi ascunsi.
Originea geografica:
Haifa, Israel
Adauga cate 4096bytes indiferent de tipul de fisier: COM sau EXE. Atunci cand este rezident in memorie, nici o modificare de dimensiune a unui fisier nu va fi detectata.
Mesaje afisate de virus:
FRODO LIVES. ; Mesajul continut de virus si afisat nu este criptat.
Pe data de 22 Septembrie, virusul inceraca sa modifice sectorul de boot cu scopul de a produce mesajul FRODO LIVES. Acest mesaj a fost proiectat pentru a apare pe ecran scris cu litere mare, inconjurat de un pattern animat. Aceasta este ziua de nastere pentru "Bilbo and Frodo Baggins, in J.R.R. Tolkien's The Lord of the Rings."
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza (din greseala) overlay-urile (.OVR).
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Infecteaza COM-uri la fel de mici ca 2bytes, EXE-uri la fel de mici ca 34bytes, COMMAND.COM si OV*-uri.
ntreruperi interceptate:
21
01
21 / 4B
13
24
Int 21 prin intermediul unui JMP FAR la codul virusului in cadrul handler-ului DOS; 01, in timpul instalarii 21/4B; 13, 24 in timpul infectarii.
A se vedea si:
Frodo.A
Frodo.B
Efecte distructive:
Pagubele sunt substantiale. Cand Frodo este in memorie, se executa un apel pentru a obtine versiunea DOS, atunci cand data curenta se situeaza in intevalul 22 Septembrie - 1 Ianuarie din anul urmator, avand , se va produce o incercare (esuata ) de a modifica H.Boot, iar boot-ari succesive ar putea bloca masina. In mod frecvent, se pare ca provoaca, simplu, blocarea sistemului.
Comentarii:
Virusul este aproape nedectectabil. Fisierele COM, EXE si overlay-urile cresc in dimensiune, insa virusul rezident ascunde aceasta crestere. Pot apare legaturi incrucisate. Frodo este unul dintre cei mai cunoscuti/raspanditi virusi. Propagare: Virusul aloca un bloc de memorie la sfarsirul HIGH al memoriei. Gaseste adresa originala (in DOS) pentru handler-ul INT 21. Gaseste adresa originala (in DOS) pentru handler-ul INT 13, apoi trece peste toate monitoarele active. Insereaza un JMP FAR la codul virusului in cadrul handler-ului DOS original. Programele sunt infectate la momentul incarcarii (folosind functia MS-DOS Load/Execute) chiar si daca este vorba de fisiere Access realizate cu extensia COM sau EXE (Open file AH=3D, Create file AH=3C, File attrib AH=43, File time/date AH=57, etc). Infecteaza COMMAND.COM, COM, EXE, fisiere overlay daca acestea sunt deschise (executate, copiate sau xcopiate, modificate atributele lor sau sunt create). Virusul infecteaza fisierele COM, EXE precum si cele overlay, adaugand 4096 bytes la lungimea acestora. Frodo devine rezident in memorie si infecteaza imediat COMMAND.COM sau alte shell-uri DOS cu care se boot-eaza calculatorul (shell-uri specificate in CONFIG.SYS). Apoi, infecteaza fisierele, pe masura ce acestea sunt dechise de un utilizator sau de un scanner. Odata virusul ajuns rezident in memorie, cresterea in dimensiune a fisierelor nu este evidenta din listingul director furnizat. Aceasta se realizeaza modificand primul/urmatorul return dintr-o functie astfel incat pentru fisierele avand anul mai mare de 100, se reduce dimensiunea lor cu 4096. Mai mult, odata Şin memorie, 4096 va infecta orice fisier executabil care este deschis, inclusiv cele deschise de un scanner sau de comenzile COPY sau XCOPY. Alte calitati ascunse: (1) odata virusul aflat in memorie, daca se face TYPE cu un fisier pe ecran, nu se va vedea nici un cod in el, inclusiv virusul. (2) Frodo nu aloca memorie in stilul in care o fac alti virus, precum Jerusalem. Daca se executa un MEM/C, nu va fi aratata nici o intrare neobisnuita dupa infectie, desi se va vedea o reducere a memoriei disponibile programelor. Pe data de 22 Septembrie, virusul incearca sa modifice sectorul de boot pentru a produce mesajul FRODO LIVES. Acest mesaj este proiectat sa apara pe ecran, scris cu litere mari, inconjurat de un "pattern" animat. Sistemele infectate cu acest virus se pot bloca dupa fiecare 22 Septembrie din fiecare an, datorita unui bug care arunca sistemul intr-o bucla. 22 Septembrie este ziua de nastere a lui Bilbosi Frodo Baggins din "Lord of the Rings" de J.R.R. Tolkien.


 Fva.1635

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1635 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 99percents

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
821 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Geodesic.666

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
666 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ginger.2774

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2774 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Gkchp.800.b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Gorlovka

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1022 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 HLLC.Evenbeep

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Worm.Runme.10832

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
10832 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Abraxas_II.1520

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1520 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.6286

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6286 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Ruf

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6496 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.5444

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5444 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Kasienka.8192

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8192 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Cookie.2472

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2472 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Hermanos.2777

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2777 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Advent.3551

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3551 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Rulis.1639

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1639 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Taiwan.2900

Virusul produce efecte sonore.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Joker

Pseudonime:
Jocker
Spatiul ocupat pe disc:
11000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
Poland
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Water detect in Co-processor,

I'm hungry Insert HAMBUGER in drive A: ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Raspandirea virusului:
In atentia cercetatorilor.
Efecte distructive:
Suprascrie fisierele EXE. De asemenea, acest virus poate sa altereze fisiere .DBF adaugand, la acestea, mesaje.
Comentarii:
Simptome: Afisarea de mesaje pe ecran, precum cel specificat. Acest virus este un infector generic, pentru fisiere EXE, insa un program cu replicare slaba. De fapt, putini cercetatori de virusi au pretins ca l-au putut face sa replice, caracteristica absolut necesara pentru a-l clasifica drept virus, mai de graba decat un Trojan. Programele infectate pot afisa mesajele gasite la inceputul virusului din programele infectate. Mesajele includ urmatoarele: Incorrect DOS version Invalid Volume ID Format failure, Please put a new disk into drive A:, End of input file, END OF WORKTIME. TURN SYSTEM OFF!, Divide Overflow, Water detect in Co-processor, I am hungry! Insert HAMBURGER into drive A:, NO SMOKING, PLEASE!, Thanks., Don't beat me !!, Don't drink and drive., Another cup of cofee ?, OH, YES!, Hard Disk head has been destroyed. Can you borrow me your one?, Missing light magenta ribbon in printer!, In case mistake, call GHOST BUSTERS, Insert tractor toilet paper into printer.


 Junkie.1027

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1027 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lct.599

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
599 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lenin.943

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
943 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Akuku.649

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
649 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Leprosy.571

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
571 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.946

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
946 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Riot.666

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
666 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Taz.1973

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1973 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Maze

Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se instaleaza la sfarsitul memoriei disponibile (depinde unde anume este acest sfarsit), fara a marca spatiul alocat ca memorie ocupata.
Dimensiunea memoriei ocupate:
1440 o.
Spatiul ocupat pe disc:
985 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"COMEXEMAZE Written by K.stanbs" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: Canada ; la data: 11/2/93
ntreruperi interceptate:
21 / 3D
21 / 4B00
21 / DEFE
21 / DEFF
Efecte distructive:
Suprascrie fisierele de date de tip text cu 'MAZE Written by K.stanbs' si aleator sporeste garbage-ul.
Conditii de declansare a efectelor distructive:
(INT_21;AH=3D) and not (.COM or .EXE)
and (infections_since_installation > 0A)
Efecte colaterale:
Erori de alocare a memoriei, sistemul se blocheaza.
Conditii de declansare a infectarii:
(INT_21; AX=4B00 or INT_21; AH=3D)
Modul de autodetectare a virusului in memorie:
INT_21; AX=DEFE -> AX=ABCD
Modul de autodetectare a virusului pe disc:
File[3] =C356 (COM);
File[12] =File[14]+File[16]+0156 (EXE);
Comentarii:
INT_21;AX=DEFF -> Infect file DS:DX = ASCIIZ 'filename of file to infect' ------------ Cu acest apel, virusul incearca sa infecteze COMMAND.COM, in timpul instalarii, reuseste insa doar atunci cand COMSPEC este prima variabila de mediu.


 MemLapse.406

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
406 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Alia.1023

Dimensiunea memoriei ocupate:
4096 ko.
Spatiul ocupat pe disc:
1023 ko.

+ 1024 ... 1031
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism. ; numarul de octeti constanti din decriptor este 1
Mesaje neafisate dar continute de corpul virusului:
~ALIA~
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Fisierele foarte scurte (dar foarte rare) se blocheaza in urma virusarii.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului (pentru fisiere EXE).
Tehnici de protejare:
- Foloseste un stil de codificare special pentru a incurca majoritatea dezasambloarelor.
ntreruperi interceptate:
21 / 4B
21 / 3D
A se vedea si:
PRODIGY 1024
Efecte colaterale:
Distruge ultimul MCB din memoria de baza, cel care face legatura cu UMB-urile. Reduce memoria de baza cu 4K.
Comentarii:
Fisierele avind punctul de intrare cu segment de cod relativ la PSP negativ (dar offset suficiant de mare astfel icit punctul de intrare sa fie totusi corect in cadrul fisierului) scapa nevirusate.


 Mephisto.5.510

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
510 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MGUL.1962

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1962 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MiliKK.1020

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1020 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mini.127.a

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
123 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VACSINA.04

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1212 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 132 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VCOMM.633

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
633 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Arcv.773

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
773 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vengeance.656

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 3
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VICE.05.Code

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3952 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Vienna.318

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
318 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.507

Pseudonime:
Vienna.W_13.507.B
Vienna
W-13 A/B
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
507 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje neafisate dar continute de corpul virusului:
' osoftyright Microsoftyright Microsoftyright

Microsoftyright Microsoftyright Microsoft 1988'
Adauga acest text la sfarsitul fisierelor pe care le infecteaza.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.


 Voronezh.370

Pseudonime:
V370
Voronezh.600
370
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
370 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
ntreruperi interceptate:
21


 W97M.Change.A

Pseudonime:
MW97:Change family
Word97Macro/Change.A
CHANGE.A
Macro.Word97
W97M/Change.A
Mesaje afisate de virus:
In zilele de Duminica afiseaza un IputBox, iar in functie de ce se introduce va afisa o fereastra de dialog dupa care va sterge fisierul C:\AUTOEXEC.BAT .
Comentarii:
Este un virus de Word97 care are u n singur macro AutoClose. Se raspindeste in documente cind acestea sint inchise.


 Arcv.Ice.159

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
159 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Weirdo.555

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
555 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Win.Vir_1_4

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
854 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.


 WM.Alien-A

Pseudonime:
MW:Alien-A
WordMacro/Alien.A
WM_Alien.A
WM/Alien.A
Originea geografica:
India
Aparitie: Noembrie 1996
Mesaje afisate de virus:
Cu o probabilitate de 50%, in data de 1 August afiseaza urmatorul mesaj si ascunde "program manager" din Windows 3.x: "Another Year of Surival", dupa care utilizatorul nu va mai puteasa opreasca Windows. Mai pot fi afisate si urmatoarele mesaje: "It's Sunday & I intend to relax", "You Fascinate Me.", "Look No Further…", "Hi Beautiful!", "I'll Be back!", "Three Cheers For The Alien. Hip Hip Hooray!", "Don't Belive Hype!", "Always Back Up Your Data.", "Don't Belive All Tips!", "Never Trust An Alien!", "Never Open Other Files!", "The 'Alien' Virus Has Arrived!", "The Alien Lives…", "Longer File Names Should Be Used."
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Alien.A este un virus de Word cu 3 macro-uri, fiecare cu dimensiunea de 7037 bytes. Infecteaza fisierele (*.DOC) si (*.DOT) din Microsoft Word versiunea 6.x si 7.x . Cind un astfel de fisier este deschis, virusul infecteaza NORMAL.DOT. Orice document (*.DOC) sau template (*.DOT) va fi deschis sau inchis va fi infectat. Sint folosite tehnici de ascundere. Nu se afla in libertate.


 WM.Birthday.A:De

Pseudonime:
MW:Birthday-A:De
WM/Birthday
Winword.PCW
PCW
Word.PCW
BIRTHDAY.A:De
Originea geografica:
Germania
Data aparitiei : 12 Iulie 1996
Mesaje afisate de virus:
Afiseaza o fereastra de dialog care contine mesajul : " Happy Birthday ".
Mesaje neafisate dar continute de corpul virusului:
" #################### Aktion zum Ausführen #########################

###################################################################

###################### Start-Bedingung #######################

################################################################ ".
Comentarii:
Este un virus de Word care are doua macrouri : AutoOpen si DateiSpeichemUnter. Infecteaza cind documentele sint deschise. Nu este polimorf. Nu se ascunde. In majoritatea cazurilor, fisierele infectate pot fi reparate.


 YanShort.Bandit

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1641 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Yellow.1361

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1361 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 2 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tehnici de ascundere:
Sunt folosite.
Index de ascundere: 5 (medie: reseteaza atributele, se ascunde in memorie, dezactiveaza handler-ul de eroare).
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Raspandirea virusului:
Rapoarte nesemnificative.
ntreruperi interceptate:
08
09
21
24
Comentarii:
Identificatori asignati de diverse scanner-e: Cheyenne: Groen Links
ESaSS: Jerusalem related
Frisk: Jerusalem.Yellow
H+BEDV: Yellow
McAfee: Block [Grb]
NORMAN: AntiCad Yellow
Norton: Growing Block
S&S: Jerusalem-Yellow Eicar ID: c19ca11b
Virusi corelati: Yellow, Jerusalem-1361, Jerusalem #10, Growing Block.
Replicare: Infecteaza deopotriva fisierele COM si EXE. Apare ca infectand fisierele atunci cand sunt incarcate si executate. Deschide fisierele, muta pointerul de fisiere, citeste fisiere, scrie in fisiere, inchide fisiere. Obtine si seteaza atributele. Simptome: Seteaza modul display video. De retinut: Punct de intrare flexibil. Codul pare a fi proiectat pentru a se lega la orice locatie dintr-un fisier executabil. Ceva comun pentru virusi. Programul intercepteaza incarcarea software-ului pentru a-l putea infecta. Cod rezident in memorie. Programul poate sta rezident in memorie. Foloseste apel de intrerupere DOS nedocumentat. Programul poate fi doar o simpla farsa, dar la fel de bine poate fi si un virus folosind o modalitate nestandard pentru a se auto-identifica. Face determinare EXE/COM. Programul incearca sa verifice daca este vorba de un fisier EXE sau COM, pentru a infecta programul. Foloseste o stiva neobisnuita (dubioasa) sau ciudata.


 Ari.1962

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1962 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Zhugeliang.4784

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4784 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Zxx.600

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Ash.743

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
743 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Astra.510

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
510 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza drivere de dispozitive (.SYS).


 Athens.1463

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1463 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Australian.1033

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1033 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Australian.215

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
215 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.550

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
550 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.Kuang.718

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
718 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Beer.2473

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2473 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Bengal.863

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
863 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 BFD

Tipuri de fisiere infectate:
- Infecteaza boot-ul.
ntreruperi interceptate:
13
24
Efecte distructive:
Virusul supra scrie in fisierul infectat , astfel lungimea sa nu se modifica.
Comentarii:
Virusul scde memoria sistemului cu 2K Bytes cind sistemul este boot-at de pe o discheta infectata. El devine rezident in memorie unde se incarca in ultimii 4K Bytes ai acesteia. Intercepteaza INT13h. Cind se porneste calculatorul de obicei virusul rezident in memorie infecteaza sectorol de boot si fisierele la "citire & scriere" din discurile sau programele neinfectate. Atunci el va folosi INT24h pentru a depasi problema protectiei la scriere.


 BitAddict.1601

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
1601 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Blackjec.267

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
267 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.440

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
440 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 BloodyWarrior

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1344 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 BOOJUM

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH.
Spatiul ocupat pe disc:
340 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
21
Efecte distructive:
Nu prezinta efecte distructive.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "nu" se va incarca in memoria HIGH interceptind INT21h. Se executa fisierul original dupa care va infecta cu o copie a sa orice fisier care se executa (nu infecteaza fisiere COM). Virusul BOOJUM nu intercepteaza INT24h cind infecteaza fisiere astfel se va semnala eroare cind fisierele sint protejate la scriere.


 Bops.900

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Bruces.417

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
417 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Chill.544

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
544 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Cinderella.779

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
779 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Civilwar.444

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
444 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Ratboy.306

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
306 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CMDR

Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AX=4B00h
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul verifica daca este deja in memorie . Daca "Nu", va deveni rezident prin interceptarea INT 21h. Apoi se executa programul original. Se vor semnala erori cind virusul incearca sa infecteze fisiere protejate la scriere.


 Companion.131

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
131 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Companion.Gif.681

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
681 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 CorporateLife.1937

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1937 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 CrazyEddie

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1647 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Crusher

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Deicide.693

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
693 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Found my brother "MORGOTH"!!!",

"Found my brother "DEICIDE"!!!",

"Brotherhood... I am seeking my brothers "DEICIDE" and "MORGOTH"..."
Mesaje neafisate dar continute de corpul virusului:
"*** Glenn Benton ***" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.
Directorul curent
A se vedea si:
MORGOTH
DEICIDE
Efecte nedistructive:
Mesajul este afisat iar progrmaul curent este terminat fara a fi executat.
Comentarii:
File[2] == 0ADDEh este semnatura lui MORGOTH. File[2] == 0D90h este semnatura lui DEICIDE. Fisierul analizat era o copie a virusului original si astfel ii lipseau cei 28 bytes (rutina de copiere), el este umplut cu 666 bytes de NUL.


 Desperado

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2403 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Diamond.485

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
485 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.David

Pseudonime:
Ah
David
Diamond
Diamond #3
Diamond 2
Ha Virus
Rocko [RKO]
Tuesday
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Dimensiunea memoriei ocupate:
1173 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
24
A se vedea si:
Diamond.2.10
Diamond #3
Diamond #4
AH...
Diamond #1
Tuesday #3
Tuesday #4
Damage-A
Comentarii:
Se propaga, infectand fisierele la deschidere, inchidere sau la scanarea directorului. Ca simptome, seteaza secundele fisierelor infectate la 60. Efectele pot fi activate in functie de data, verificand daca este vorba de ziua de Marti. Acces dubios la fisiere. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se putea lega la fiecare locatie dintr-un fisier executabil, ca majoritatea virusilor. Programul intercepteaza incarcarea unui software pentru a-l putea infecta. Acces in scriere la disc, fara a folosi DOS. Marcaj incorect pentru ora. Apel la intreruperi DOS nedocumentat. Detectie EXE/COM, pentru a-si determina tinta. Revenire in punctul de intrare. Contine cod pentru a restarta programul dupa efectuarea modificarilor, precum fac majoritatea virusilor.


 Dima.1024

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 DiskFull.1871

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1871 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Doom.1504

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1504 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 15 pentru fisierele de tip .COM.
lungimea virusului pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Dream.2012

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2012 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Dutch_Tiny.177

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
177 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Dzino.1000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 ExeHeader.440

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
440 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Pure.441

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
441 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Exterminator

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
451 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FastKiller.481

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
481 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 FaxFree.Fago_t2

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2766 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fewster.1781

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1781 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Find.BigX.610

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
610 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Fist.692

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
692 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Flash.688

Pseudonime:
V-688
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
688 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
08
21
24


 Fr.1013

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1013 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 GreenMonster

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
711 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.456

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
456 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.796

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
796 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GS.525

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
525 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Gysium.3563

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3563 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Halley.7856

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7856 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Headcrash.1067

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1067 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Helloween.1384

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1384 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hi.892

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
892 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 HLLC.14880

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
14880 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.VVC.8304

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8304 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Horse.1576

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1576 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hymn.1865

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1865 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ieronim.1166

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1166 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Industrial.1841

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1841 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Int83.800

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Intruder.1355

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1355 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Istanbul.1312

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1312 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Jd.158

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
158 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Jerusalem.1747

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1447 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Kaszana.1920

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1920 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kela.1735

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1735 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 KeyKapture.1075

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1075 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Keypress.BBS

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1258 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.676

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
676 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.Hallo.496

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
496 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kiss.1006

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1006 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Kohntark.K-CMOS.931

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
931 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 KSV.1144

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1144 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Lame.173

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
173 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Linda.517

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
517 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 LittleBrother.321

Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume adresa 44:100h
Dimensiunea memoriei ocupate:
325 o.
Spatiul ocupat pe disc:
321 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"Little Brother"
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
Tehnici de protejare:
- Dezactiveaza tastatura.
ntreruperi interceptate:
21 / 4B00
24


 Lokjaw.507

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
507 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21
A se vedea si:
Lokjaw.493


 Loren.1387

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1387 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 LptOff.256

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
256 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Lyceum.1901

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1901 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Macgyver.4112

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4112 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 MadSatan.9849

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
9849 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Manowar.592

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
592 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Marian.700

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.Tom.59

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
59 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tula.419

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
419 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Twelve Tricks Trojan

Pseudonime:
12 Tricks-Trojan-B
12 Tricks
Virusul este de fapt un "dropper"'.
Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Karlsruhe, West Germany
Mesaje afisate de virus:
SOFTLoK+ V3.0 SOFTGUAR SYSTEMS,INC 2840 St.Thomas Expwy,suite 201 Santa Clara,CA 95051 (408)970-9420 ; Mesajul continut de virus si afisat nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
MEMORY$ ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
08
09
0D
0E
10
13
16
17
1A
Conditii de declansare a efectelor distructive:
Fiecare secventa de boot.
Conditii de declansare a infectarii:
Trojan-ul cauta, la diferite adrese din zona ROM a calculatorului, siruri care ar putea fi intrari in INT 13h (hard disc).
Adrese: Sir:
C800H:0256H 080H,0FAH,080H,073H,005H,0CDH
F000H:2A71H 080H,0FAH,080H,073H,005H,0CDH
F000H:A935H 080H,0FAH,079H,077H,005H,0CDH
F000H:3772H 0FBH,09CH,022H,0D2H,078H,00CH
F000H:D1E7H 0FBH,080H,0FCH,000H,075H,00CH
daca un astfel de sir este gasit, atunci rutina care produce pagube va fi instalata.
Comentarii:
Virusul realizeaza un total de 12 trucuri, care ar putea fi inselatoare pentru esecul hardware, dupa cum urmeaza:
Ż La fiecare boot-are, una din intrarile FAT-ului este modificata.
Ż Exista probabilitatea de 1/4096 ca la un boot dat, hard discul sa fie formatat si ca mesajul 'SOFTLoK+ V3.0 SOFTGUARD SYSTEMS,INC 2840 St.Thomas Expwy,suite 201 Santa Clara,CA 95051 (408)970-9420' sa fie afisat. Acest mesaj text este necriptat si poate fi vazut in MBR.
Ż Daca se intercepteaza INT 13, fiecare acces la floppy va fi modificat intr-un acces write.
Ż Folosind INT 08, trojan-ul va incetini calculatorul, utilizand o bucla aleatoare.
Ż Folosind INT 09, orice tastare va schimba variabila BIOS 046Dh.
Ż Folosind INT 10, ecranul va incetini, printr-o bucla aleatoare.
Ż De asemenea, folosind INT 10, ecranul va fi alb, ori de cate ori va fi curatat.
Ż Folosind INT 17, caracterele care sunt transmise imprimantei vor fi modificate aleator.
Ż Folosind INT 1A, ceasul sistem poate fi setat la un timp aleator.
Ż O comportare suplimentara ciudata, rezultand in total 12 trucuri.
Note: In timpul instalarii, este setat un marcaj (0FFH), in cadrul tabelei de partitii, la offset-ul 01BDH, astfel incat, virusul va fi instalat doar o data. Textul 'SOFTLoK+ V3.0 SOFTGUARD SYSTEMS,INC 2840 St.Thomas Expwy,suite 201 Santa Clara,CA 95051 (408)970-9420' este citibil din MBR.


 Unashamed.B

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH.
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
ntreruperi interceptate:
13
09
Modul de autodetectare a virusului pe disc:
Daca la offset 1BBh este valoarea 051Ah, virusul este prezent in calculator.
Comentarii:
Foloseste tehnici de ascundere. Pe hard disc, sectorul original de boot este stocat la sector14, cap 0, cilindru 0. Nu este criptat. A aparut in Ianuarie 1995.


 Uruguay.2456

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2456 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 USSR.414

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
414 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 V.1391

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1391 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 V.3000

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.509

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
509 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 V.738

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
738 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Vienna.604

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
604 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.660

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
660 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.767

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
767 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Ambalama.493

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
493 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Violator.779

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
779 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Viking.Mixtura.1000

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Virogen.1673

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1673 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Virogen.PinWorm.2780

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2780 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VLAD.Antipode.802

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
802 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 VLAD.QMagic.436

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
436 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 WM.Envader.A

Pseudonime:
MW:Envader-A
WordMacro/Envader.A
Winword.Magnum
ENVADER.A
WM/Envader.A
WM.Lemon
Mesaje neafisate dar continute de corpul virusului:
Macroul Lemon (Melon) contine comentariul: '' !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!MELONLEMONMELONLEMONMELONLEMONMELONLEMONMELONLEMONMELON!!

!!MELONLEMONMELONLEMONMELONLEMONMELONLEMONMELONLEMONMELON!!

. . .

!!MELONLEMONMELONLEMONMELONLEMONMELONLEMONMELONLEMONMELON!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! ".
Comentarii:
Este un virus de Word care are doua macrouri. Cind infectaza fisiere numele lor sint AutoOpen si Lemon iar cind infecteaza NORMAL.DOT sint AutoOpen si Melon. Virusul este criptat. Nu se ascunde. In majoritatea cazurilor , fisierele infectate pot fi reparate.


 WM.Imposter

Pseudonime:
Imposter
Mesaje afisate de virus:
Afiseaza o fereastra de dialog cu titlul "MicrosoftWord" si care contine mesajul "DMV".
Mesaje neafisate dar continute de corpul virusului:
"just to prove another point

this becomes the FileSaveAs for the original template

just to prove another point

see we're already installed

add FileSaveAs and copies of FileSaveAs and AutoClose

DMV is just for more fun "
Comentarii:
Despre acest virus putem spune ca este un plagiat al virusului DMV si Concept. Este un virus de Word care are doua macro-uri. Numele acestora depinde de ce anume infecteaza. Daca infecteaza NORMAL.DOT, numele vor fi : FileAs si DMV. Cind infecteaza documente , numele macro-urilor vor fi ; AutoClose si DMV. De fiecare data cind documentele sint inchise, ele vor fi infectate. Nu se ascunde. A fost semnalat prima oara la data de 3 Martie 1996.


 WM.Smiley

Pseudonime:
MW:Smiley-A
WM/Smiley.a
Winword.Smiley
WordMacro/Smiley
Smiley
WinWord.Smiley
MacroWord
Originea geografica:
Germania
A aparut in Iulie 1996.
Mesaje afisate de virus:
In a 28-a zi de la activare, macro-ul Timer este apelat odata pe minut si de fiecare data va crea un buton Toolbar"Smiley", prin care va afisa textul: " ACHTUNG !!! STOPPT ALLE ATOMVERSUCHE !!!

ATOMVERSUCHE BEDEUTEN UNSEREN SICHEREN TOD !!!

ACHTUNG !!! STOPPT DIE ABHOLZUNG DER TROPENW-lDER !!!

KAUFT NIE GEGENST-NDE AUS TROPENHOLZ !!!

ACHTUNG !!! STOPPT DEN TREIBHAUSEFFEKT !!!

ER FxHRT ZU EINER T+DLICHEN KLIMAVER-NDERUNG !!!".

Cind este apelat AutoExit se va afisa textul: " Achtung !!! Stoppt alle Atomversuche !!!

Atomversuche bedeuten unseren sicheren Tod !!!

Achtung !!! Stoppt die Abholzung der Tropenw lder !!!

Kauft nie Gegenst nde aus Tropenholz !!!

Achtung !!! Stoppt den Treibhauseffekt !!!

Er f hrt zu einer t dlichen Klimaver nderung !!!

Smiley Corporation ". Acest text este adaugat in documentul care va fi printat, la sfirsitul acestuia.
Comentarii:
Este un virus de Word care are 8 macro-uri: Timer, AutoExec, AutoExit, AutoOpen, DateiSpeichern, DateiSpeichernUnter, DateiDrucken, DateiDruckenStandard . Infecteaza sistemul cind un document care contine virusul este deschis cu AutoOpen iar fisierele sint infectate cind sint salvate. Macro-ul AutoExec creaza un parametru "Smiley=" intr-un fisier WIN.INI care este incarcat cu data curenta. La fiecare start virusul verifica acest parametru si dupa 14 zile de la infectare va seta noi valori in meniul Tools/Options/UserInfo: Name; Smiley Corporation: Initials: SC; Addess: Greenpeace. Deasemenea, daca vor exista, virusul va sterge meniurile Datei/Makro…; Datei/Dokumentvorlage…; Ansiht/Symbolleisten…; Extras/Anpassen… . In a 56-a zi de la infectie virusul suprascrie C:\AUTOEXEC.BAT cu un text, care daca va fi executat se va afisa un mesaj si va formata drive-ul de pe hard: " @ECHO OFF
CLS
ECHO Achtung !!! Stoppt alle Atomversuche !!!

Atomversuche bedeuten unseren sicheren Tod !!!

ECHO Achtung !!! Stoppt die Abholzung der Tropenw lder !!!
Kauft nie Gegenst nde aus Tropenholz !!!

ECHO Achtung !!! Stoppt den Treibhauseffekt !!!

Er f hrt zu einer t dlichen Klimaver nderung !!!

ECHO.
ECHO (C) Smiley Corporation
ECHO.
ECHO !!! ABER JETZT IST ES ZU SP-T !!!
ECHO.
CTTY NUL
C:\DOS\FORMAT.COM C: /U /AUTOTEST
C:\WINDOWS\COMMAND\FORMAT.COM C: /U /AUTOTEST "


 Worm!.913

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
913 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Xtac.1564

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1564 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yankee.1150

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1150 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yankee.2895

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2895 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mini.212

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
212 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirage.1331

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1331 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tehnici de ascundere:
Sunt folosite.
Mesaje neafisate dar continute de corpul virusului:
'Mirage' ; Mesajul continut de virus si neafisat nu este criptat.
'\COMMAND.COM' ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului (pentru fisiere EXE).
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut (pentru fisiere COM).


 Mithrandir.694

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
694 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mnemonix.Cmagic.2243

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2243 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Mombasa.3568

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Morgot.823

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
823 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Mr_Gu.635

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
635 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Mte-Small.Mega

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3973 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MtE.Pcweevil

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2876 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Murderer.3670

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3670 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 14 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Murphy.Delirium.1638

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1638 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.Woodstock.1219

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1219 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.20.Agent.3040

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3040 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ambulance

Pseudonime:
Ambulance Car
RedX
Virusul produce efecte sonore.
Imaginea unei ambulante.
Virusul produce efecte vizuale.
Imaginea unei ambulante.
Spatiul ocupat pe disc:
796 o.
Imaginea unei ambulante.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Infectia se declanseaza cind un fisier infectat a fost executat. Ulterior, prin infectare directa, vor fi infectate fisierele COM (unul o singura data). Nu este rezident in memorie.


 MZV.333

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
333 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 NED.Tester

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1708 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ng.1036

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1036 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Nina.256

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
256 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 NoFrills.Dudley

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1153 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Ntit.1578

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1578 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Marauder

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
860 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Pox.963

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
963 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Nygus.227

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
227 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 OneHalf.3577

Pseudonime:
Freelove
One Half
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
3577 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
England
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Mesaje neafisate dar continute de corpul virusului:
COMMAND, It can! , Dis is one half, Press any key to continue ... , COM, EXE, SCAN, CLEAN, FINDVIRU,

GUARD, EMM, CHKDSKRSQVW , DidYouLeaveTheRoom? ; Mesajul continut de virus si neafisat nu este criptat.
Aceste mesaje sunt vizibile in sectoarele infectate, dupa cum urmeaza: COMMAND, It can! ( pista 0, cilindrul 0, sectorul 11), Dis is one half, Press any key to continue ... (pista 0, cilindrul 0, sectorul 12), COM, EXE, SCAN, CLEAN, FINDVIRU, GUARD, EMM, CHKDSKRSQVW (pista 0, cilindrul 0, sectorul16), DidYouLeaveTheRoom? (pista 0, cilindrul 0, sectorul 17).; Aceste mesaje sunt vizibile in sectoarele infectate, dupa cum urmeaza: COMMAND, It can! ( pista 0, cilindrul 0, sectorul 11), Dis is one half, Press any key to continue ... (pista 0, cilindrul 0, sectorul 12), COM, EXE, SCAN, CLEAN, FINDVIRU, GUARD, EMM, CHKDSKRSQVW (pista 0, cilindrul 0, sectorul16), DidYouLeaveTheRoom? (pista 0, cilindrul 0, sectorul 17).
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.
Virusul infecteaza rapid MBR-ul atunci cand se exectuta prima data un fisier infectat, devenind "proprietar" al masinii respective, la boot-ari succesive, fiind oarecum dificil de detectat. Totusi, nu infecteaza toate fisierele la incarcare sau la executie, copy sau alte procese comune. Deoarece nu infecteaza sectorul de boot de pe floppy, raspandirea de pe o masina pe alta se face prin copierea unui fisier infectat.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului (pentru fisiere COM).
- Se pune inaintea fisierului, lansandu-se mai intai el, apoi programul cerut (pentru fisiere EXE).
Raspandirea virusului:
In circulatie. Regiunea geografica: Pittsburgh
ntreruperi interceptate:
13


 Otti.932

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
932 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 P&C.855

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
855 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Parity_Boot

Pseudonime:
Generic-1
Spatiul ocupat pe disc:
1 sectoare.
Mesaje afisate de virus:
Virusul verifica la fiecare ora daca a fost infectata o discheta. Daca "NU", va afisa urmatorul mesaj pe ecran , dupa care va bloca calculatorul : "PARITY CHACK". In corpul virusului acest mesaj este codat.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
ntreruperi interceptate:
09
13
Comentarii:
Vsirusul este rezident in memorie, unde foloseste tehnici de ascundere. Memoria totala (653312 bytes) va scadea cu 2048 bytes. Este un infector rapid. Pe hard sectorul original de boot va fi stocat la fata 0, pista 0, sector 14. Pe discheta stocheaza boot-ul original la fata 1, cilindru 0, sector 14. Parity_Boot "rezista" la comanda (Ctrl+Alt+Del). Pentru a sterge virusul din memorie, calculatorul trebuie oprit sau trebuia resetat.


 Pcbb.1800

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1800 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Pdp.822

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
822 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Phantasmagoria

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
366 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Anarchy.9594

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
9594 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Piaf.1859

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1859 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.215

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
215 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.837

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
325 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Hydra.343

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
343 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Polifemo.906

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
906 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 PowePump.b

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
21717 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Prime.580

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
580 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Proto.695

Pseudonime:
Proto-T
Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
695 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Quadratic.986

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
986 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Radyum.509

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
509 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ranger.290

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
290 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rauser.250

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
250 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Retaliator

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1535 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.428

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
428 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.Conjurer.300

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Angarsk

Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul cauta toate fisierele COM "curate" din directorul curent sau directorul mama, pe care le infecteaza. Lungimea fisierelor care vor fi infectate trebuie sa fie mai mica de 32768 bytes. Acestora le va fi schimbata data si timpul.


 Riot.Enemy.757

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
757 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Riot.Keyb.667

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
667 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Radiation.737

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
737 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Rip.699

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
699 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 RMNS.MW.Woman.353

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
353 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Russel.1200

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Saratoga.632

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
632 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Sayha.1000

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Search.1589

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1589 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.377

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
377 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Semtex.515

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
515 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shaker.409

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
409 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Shiny.934

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
934 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Signs.720

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
720 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyC.140

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
140 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Comentarii:
Nu are sanse sa devina prea raspandit, decat sub DOS 2.11, iar optiunea Country Specifier este setata pe 2Eh (Suedia).


 SillyC.258

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
258 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Antimon.1450

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1450 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.511

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
511 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyOR.DOS5.60

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
60 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 SillyRC.164

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
164 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRC.66

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
66 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Simple

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
424 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Sirius.Annihilator.272

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
272 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sistor.2380

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2380 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Slash.457

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
457 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Slow.1716

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1716 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Small.127

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
127 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.178

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
178 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smile.4320

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
4320 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Solar.122

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
122 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Spectral.907

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
907 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ssi.905

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
905 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 36 cu rotunjire la paragraf. pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sterculius.440

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
440 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Apparition.700

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul rezida in RAM-ul video.
Spatiul ocupat pe disc:
700 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Stunning.1234

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1234 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 SVC.2936

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2936 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Switch.855

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
855 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Tack.449

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
449 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tamanna.1857

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1857 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TenBytes.1411

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1411 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 32 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Terminator.918

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
918 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Time.1067

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1067 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Timid.320

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
320 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Tiny.143.a

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
143 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiny.352

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
352 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Torm.205

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
205 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 TPE.Girafe

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Trance.1721

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1721 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Trivial.145

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
145 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Arcv.1208

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1208 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.31

Pseudonime:
Minimal 31b
Miniscule
Trivial.31.b
Trivial.31.z
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Fisierele a caror lungime intiala este mai mare de 31 bytes, nu-si schimba dimensiunea dupa infectare.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
31 o.
Fisierele a caror lungime intiala este mai mare de 31 bytes, nu-si schimba dimensiunea dupa infectare.
Mesaje neafisate dar continute de corpul virusului:
Miniscule: the world's smallest generic virus (only 31 bytes long!)

(C) 1992 Nowhere Man and [NuKE] WaReZ

Written on January 22, 1991
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
ntreruperi interceptate:
21 / 3D
21 / 40
21 / 4E
Comentarii:
Acest virus nu este prea convingator. Data fiind slaba sa reproducere, el nu prea este o amenintare (loveste doar un fisier, daca aveti noroc), dar el merge si se potriveste definitiei unui virus. Se propaga atunci cand se executa un fisier COM, infectand un fisier *.* din directorul curent. Virusul are urmatoarele variante: Trivial.31, Trivial.35, Trivial.38, Trivial.39, Trivial.44, 45b, 45c.


 Trivial.45

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
45 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l


 Trivial.Anarchy.469

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
469 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Australian.Twelve.315

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
315 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Azusa

Pseudonime:
A
Azusa.2
B
Hong Kong
Ohio, USA
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
512 o.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l
Raspandirea virusului:
Rapoarte nesemnificative.
ntreruperi interceptate:
13 / 00
13 / 02
13 / 03
Efecte nedistructive:
Infectia poate suprascrie un sector continand date. Dupa circa 20h reboot-ari, virusul pune pe zero pointerii la COM1 & LPT1, facand aceste servicii inutilizabile. Virusul reduce memoria disponibila cu 1024bytes. CHKDSK returneaza 654336 bytes din memoria totala, in loc de 655360bytes - pe masinile 640K. "E9 8B ==" vor fi primii trei bytes de pe un F.Boot sau MBR infectat.
Comentarii:
Virusul devine rezident in memorie dupa boot-are. El va infecta hard discul chiar daca tabelul de partitii nu poate fi gasit. Pe hard discuri, virusul inlocuieste sectorul 1 absolut (MBR-ul) cu el insusi, mentinand datele din tabel intr-o locatie interna. Pe floppy, el incearca sa infecteze toate flopyy-urile neinfectate anterior. Sectorul de boot original va fi stocat in cilindrul 27h (39), cap 1, sector 8, referitor la dimensiunea floppy-ului. Indepartarea virusului Azusa este complicata dat fiind faptul ca virusul a suprascris complet codul MBR-ului astfel incat cel original nu mai poate fi gasit, asa simplu, doar relocalizandu-l la o alta locatie, ca in majoritatea altor virusi de boot (stoned, Joshi_x etc). Din moment ce virusul a suprascris si mesajele de atentionare ASCII, simpla "carpeala" a codului virusului pentru a elimina infectia nu este o solutie buna. Eliminarea poate urma pasii: obtinerea unui MBR bun de la o aceeasi versiune DOS sau superioara; boot-area masinii infectate de pe un floppy protejat la scriere; extragerea informatiilor tabelului de partitii din cadrul virusului; grefarea tabelului de partitii in codul MBR neinfectat; suprascrierea virusului cu codul MBR astfel realizat/compus.


 Backtime.496

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
496 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 BadSector.3422

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3422 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Barrotes.840

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
840 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Bat2Exec.1644

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1644 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Burger.505

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
505 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 BWME.SnowBird

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1255 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Career.446

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
446 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Casino.2330

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2330 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Originea geografica:
Malta
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21
Conditii de declansare a infectarii:
Rutina de trigger este invocata in timpul executiei codului viral (inainte ca virusul sa devina rezident) daca data sistem indica 15 ale uneia din lunile Ianuarie, Aprilie sau August.
Comentarii:
Prima actiune a trigger-ului este de a colecta si stoca primele 80 de sectoare ale discului implicit si, apoi, de a le suprascrie folosind un garbage luat din pagina zero a memoriei. Apoi, este procesata o rutina de decriptare primitiva care decripteaza mesajele relevante pentru "jocul" care este pe punctul de a incepe. Odata decriptarea terminata, se afiseaza ecranul jocului dupa cum urmeaza:"-

DISK DESTROYER . A SOUVENIR OF MALTA

I have just DESTROYED the FAT on your Disk !!
However, I have a copy in RAM, and I'm giving you a last chance to restore your precious data.
WARNING: IF YOU RESET NOW, ALL YOUR DATA WILL BE LOST - FOREVER !! Your Data depends on a game of JACKPOT CASINO DE MALTE JACKPOT

+=+ +=+ +=+
+L+ +?+ +c+
+=+ +=+ +=+
CREDITS : 5

LLL = Your Disk
??? = My Phone No.

ANY KEY TO PLAY".

Pe masura ce se apasa o tasta, jocul este parcurs prin intermediul unor ferestre care arata progresiv caracterele si se opresc secvential, afisand unul din cele trei caractere "L", "?" sau "c". Rezultatele actiunii de a juca sunt urmatoarele:-

LLL - Zona FAT a discului este reparata si se afiseaza mersajul:" - "BASTARD ! You're lucky this time - but for your own sake, now SWITCH OFF YOUR COMPUTER AND DON'T TURN IT ON TILL TOMORROW !!!"

??? - Se afiseaza un mesaj si masina se blocheaza. FAT-ul discului implicit este distrus. Mesajul este:- "No Fuckin' Chance; and I'm punishing your for trying to trace me down !"

Pentru orice alta combinatie aleasa, jocul este pierdut. Aceasta va avea va rezultat afisarea urmarorului mesaj:- "HA HA !! You asshole, you've lost: say Bye to your Balls ...". Atat conceptia cat si executia virusului sunt de un infantilism extrem.


 Cfsk.918

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
918 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cyberloard.200

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
200 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CyberTech.914

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
914 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Dark_Avenger.1800.A

Pseudonime:
Dark Avenger
Dark Avenger #6
Dark Avenger [Dav]
Dark_Avenger related {1}
Dark_Avenger.1800 - unknown?
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza (din greseala) overlay-urile (.OVR).
- Infecteaza drivere de dispozitive (.SYS).
- Infecteaza fisierele .COM.
A se vedea si:
Dark Avenger #6
Eddie #1
Eddie #5
Dark Avenger #4
Dark Avenger #7
Dark Avenger #1
Dark Avenger #3
Dark Avenger #5
Dark Evil
Comentarii:
Virusul infecteaza fisierele la deschidere, inchidere sau la scanarea/cautarea directorului. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se putea lega la orice locatie dintr-un fisier executabil - ceea ce este comun virusilor. Programul intercepteaza incarcarea unui software, pentru a-l putea infecta. Are acces in scriere la disc, realizand aceasta fara a folosi DOS. Codul sau este rezident in memorie - programul ar putea ramane rezident. Determina EXE/COM pentru a putea infecta programele respective.


 Data-Rape-2.0

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
1785 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul intercepteaza INT 21h. Daca programul care se executa este un fisier COM sau EXE "curat", il va infecta. Dimensiunea virusului este intre 1875-1890 bytes.


 Dead.1119

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1119 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dei.1634

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1634 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.1028

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1028 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Father

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1449 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eight_Tunes

Pseudonime:
1971
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Dimensiunea memoriei ocupate:
1984 o.
Originea geografica:
West Germany
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza (din greseala) overlay-urile (.OVR).
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Infecteaza COM, EXE, OV*. Nu va infecta COMMAND.COM sau fisiere COM mai mici de 8177 sau mai mari de 63296 bytes. Dimensiunea minima a fisierelor EXE pe care le va infecta este tot de 8177 bytes. Ca simptome, virusul va canta un vechi cantec folcloric German, folosind speaker-ul, la intervale aleatoare incepand cu o ora inaintea activarii. Melodia nu va mai fi difuzata decat dupa 90 de zile de la infectarea fisierului, daca fisierul are un marcaj de data anterioara lui 1984, caz in care melodia va fi difuzata imediat. In ceea ce priveste bytes adaugati, o crestere 1971-1986 se va adauga deopotriva fisierelor COM cat si celor EXE. Metoda de alegere a tintei: se extrage trei din lungimea fisierului, se imparte rezultatul la 16, iar restul va fi zero. Aceste fisiere COM sau EXE nu vor fi infectate. Nu contine texte encriptate, dar se poate gasi COMMAND.COM in zona de date a virusului.
ntreruperi interceptate:
21
08
24
A se vedea si:
Oropax
Efecte nedistructive:
Pagubele sunt minore. Virusul contine cod nedestructiv. Functia 0E00Fh, folosita de NetWare, nu poate fi accesata.
Modul de autodetectare a virusului in memorie:
Devine rezident daca functia E00Fh a lui INT 21 intoarce valoarea 4C31h in registrul AX. Fisierele COM si EXE sunt infectate daca secventa bytes 07 1F 5F 5E 5A 59 5B 58 2E FF 2E 0B 00h este gasita cu 62 de bytes inainte de sfarsitul fisierului.


 3tunes.1784

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1784 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Emmie.2823

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2823 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Enterprise.625

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
625 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Europe.421

Pseudonime:
Europe_'92.421
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
421 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Europe/92 4EVER! ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
ntreruperi interceptate:
21
Comentarii:
Simptome: Se activeaza daca anul setat este 1992. Afiseaza mesajul in caractere mod TTY, efectele pot fi, deci, activate in functie de data. Identificatori asignati de diverse scanner-e: Cheyenne: Europe-92
ESaSS: Europe-92
Frisk: Europe_'92.421
H+BEDV: Europe-1992 (A)
McAfee: E92 [E92]
NORMAN: Europe '92
S&S: Europe-1992.a Eicar ID: afca9a4 Este corelat cu: Europe-1992 (A), Europe-1992 (B), Europe. Replicare: apare ca infectand fisierele atunci cand fisierele sunt incarcate si executate. Muta pointerul de fisiere, citeste fisiere, scrie in fisiere, inchide fisierele. Obtine si reseteaza data fisierului. Nu este rezident sau, cel putin nu exista nici o evidenta ca ar fi rezident sau encriptat. De retinut: Acces dubios la fisier, alocare suspicioasa a memoriei. Programul foloseste o modalitate nestandard pentru a cauta si/sau aloca memorie. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se lega la orice locatie din cadrul fisierului. Deci, caracteristici comune cu ale altor virusi. Programul intercepteaza software-ul la incarcare, programul la incarcare pentru a infecta software-ul. Cod rezident in memorie. Programul ar putea ramane rezident in memorie. Apel intrerupere DOS nedocumentat. Determinare EXE/COM. Programul incearca sa vada daca este vorba de un fisier COM sau EXE, pentru a putea infecta un program. Revine in punctul de intrare. Contine cod pentru a restarta programul dupa ce modificarile de la punctul de intrare au fost efectuate. Deci, o "comportare" comuna virusilor.


 FrodoSoft.458

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
458 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Galeocerdo.600

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Gergana.182

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
182 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 A&A

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
506 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Ginger.Orsam.2620

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2620 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Gle.848

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
848 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Gotcha.1781

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
81 paragrafe.
Spatiul ocupat pe disc:
1781 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje neafisate dar continute de corpul virusului:
" LEGALIZE " ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Tehnici de protejare:
- Dezactiveaza tastatura.
ntreruperi interceptate:
21 / 4B00
21 / 3E
21 / DADA
24
A se vedea si:
GIRAFE
Efecte nedistructive:
Inlocuieste programul curent cu un altul continut in virus. Noul program auto-despacheteaza, afiseaza posterul "LEGALIZE CAnnAbIS" daca modul video este corespunzator (adica, modurile 2,3 sau 7; altfel scrie textul "Legalize Cannabis") si solicita o tastare inainte de a continua. Apoi, utilizatorului ii sunt prezentate o serie se intrebari simpliste care ar trebui sa legalizeze Cannabis. El accepta intrebari si raspunsuri y/n/Y/N corespunzator ce cele cerute. (intrebarea: 1)
Do you think Cannabis should be legalized? (Y/N) (raspuns: yes) I'm glad you agree with me! (raspuns: no, altfel intrebarea: 2) And what about Alcohol, should that be illegal too? (Y/N) (raspuns: yes)
Hmm, I don't agree with you but I respect your opinion. (raspuns: no)
You are a HYPOCRITE!!!
Conditii de declansare a efectelor nedistructive:
Install_Succeeded && Day_of_Week == Friday
Conditii de declansare a infectarii:
(Loadexec || Close) && (Ext in ("EXE","COM")) && (300h < COM_size%64k < 0F000h)
Modul de autodetectare a virusului in memorie:
INT_21;AX=DADA -> AH=A5 (AL=15 in aceasta versiune)
Modul de autodetectare a virusului pe disc:
File[12h] == 4021h
Constrangeri necesare virusului pentru a functiona:
DOS >= 3.10
Comentarii:
Programul "payload" este de 1138 bytes, iar necomprimat ajunge la 4186 bytes atunci cand se executa. Este o versiune mai recenta a programului similar continut in virusul GIRAFE, dar metoda de comprimare nu este la fel de eficienta. Actualul cod al virusului este "bine-scris".


 HLLC.Globe.5150

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5150 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Worm.Runme.5008

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5008 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.6544

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6544 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Abraxas_II.2011

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2011 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Tu.4752

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4752 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.5602

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5602 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Linda

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7128 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.CVEX.5120

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
5120 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Kylie

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2272 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Satan.1540

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1540 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Advent.Cookie.2232

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2232 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Taiwan.3088

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3088 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Joker01

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
29233 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Lct.602

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
602 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leningrad.1944

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1944 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Leprosy.585

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
585 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Akuku.886

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
886 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 6 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.BadBrains.554

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
554 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Riot.808

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
808 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Taz.2197

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2197 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Maze.985

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
985 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MemLapse.407

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
407 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mephisto.5.615

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
615 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Alia.8087

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
4096 o.
Spatiul ocupat pe disc:
1023
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 8
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor. ; numarul de octeti constanti din decriptor este 1
Mesaje neafisate dar continute de corpul virusului:
~ALIA~
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Tehnici de protejare:
- Foloseste o tehnica de protectie specifica.
Bucleaza de 65535 de ori, pentru ca in cazul in care un anti-virus executa Trace, sa piarda timpul si sa dea impresia ca s-a blocat.
ntreruperi interceptate:
21 / 4B
21 / 3D
Virusul prinde int 21/4B si 21/3D pentru virusare. Pentru a se ascunde de anti-virusii care scaneaza memoria euristic si care ar putea sa depisteze comparatia cu 4B si 3D, inaintea testului pentru functia DOS, registrul AH (selector de functie DOS) este incrementat, iar testul se face cu 4C si 3E, valori "inofensive" care nu trezesc vigilenta anti-virusilor. Tot pentru ascunderea de anti-virusii euristici, in decriptor exista o instrunctiune a coprocesorului care potoleste anti-virusul euristic.; Virusul prinde int 21/4B si 21/3D pentru virusare. Pentru a se ascunde de anti-virusii care scaneaza memoria euristic si care ar putea sa depisteze comparatia cu 4B si 3D, inaintea testului pentru functia DOS, registrul AH (selector de functie DOS) este incrementat, iar testul se face cu 4C si 3E, valori "inofensive" care nu trezesc vigilenta anti-virusilor. Tot pentru ascunderea de anti-virusii euristici, in decriptor exista o instrunctiune a coprocesorului care potoleste anti-virusul euristic.
A se vedea si:
Alia.Prodigy
Efecte colaterale:
Memoria este redusa, iar UMB-urile sunt inaccesibile.
Modul de autodetectare a virusului in memorie:
0:[510H]=43h
Modul de autodetectare a virusului pe disc:
File[1Ah]='C'
Comentarii:
Fisierele avand punctul de intrare cu segment de cod relativ la PSP negativ (adica, offset suficient de mare astfel incat punctul de intrare sa fie totusi in cadrul fisierului) scapa nevirusate. Sistemul de criptare folosit este deosebit. Fisierele EXE scurte se blocheaza in urma virusarii.


 MGUL.925

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
925 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mindless.418

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
418 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.127.b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
123 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VACSINA.05

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1206 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 132 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VCOMM.636

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
636 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Vengeance.723

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
723 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.795

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
795 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vico.1000

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Vienna.348

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
348 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.518

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
518 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Voronezh.600

Pseudonime:
1600
Happy New Year
Voronezh 2.01
USSR 1600
RCE-1600
V600
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
USSR
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
- Infecteaza DBR-ul de pe floppy discuri.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
ntreruperi interceptate:
21
24


 W97M.Frenzy.A

Pseudonime:
MW:Frenzy family
Word97Mcro/Frenzy.A
W97M/Frenzy
Mesaje afisate de virus:
In functie de data sistemului si de un anume contor, virusul afiseaza mesajul: " Attention:

Word97.Frenzy by Pyro [VBB]".
Comentarii:
Este un virus de Word97 care are un singur macro Frenzy. Acest macro contine functia AutoOpen , astfel documentele sint infectate cind sint deschise, iar sistemul cind un fisier care contine virusul este deschis. Virusul dezactiveaza functia AutoProtection. La o anumita data , seteaza pentru documentul curent parola "Frenzy". Daca acel document este mai mare de 25 de caractere, va sterge o litera selectata la intimplare.


 Wench.2537

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2537 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.Ice.199

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
199 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Winlamer

Pseudonime:
Winlamer
WIN:Lame
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Modificarea dimensiunii fisierelor este variabila, insa in mod tipic este 2000-2100 bytes.
Spatiul ocupat pe disc:
2000 o.
Modificarea dimensiunii fisierelor este variabila, insa in mod tipic este 2000-2100 bytes.

+ 100
Mesaje neafisate dar continute de corpul virusului:
Winlamer2 (C) Copyright Aug, 1995 by Burglar in Taipei. PME for Windows v0.00 (C) Jul 1995 By Burglar
Tipuri de fisiere infectate:
- Suporta formatul de fisiere NewEXE si poate infecta corect aplicatiile Windows.
Winlamer este un virus cu actiune directa (nerezisent) care infecteaza programe in format NE. NE (New Executable) este formatul standard pentru aplicatii Windows pe 16 biti; aproape toate fisierele executabile Windows 3.1 folosesc acest format.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Modul de autodetectare a virusului pe disc:
Adauga 100 la valoarea anilor din marca de timp a fisierului.
Comentarii:
Cand un fisier infectat cu Winlamer este executat, controlul este transferat rutinei de decriptare. Ca toti virusii polimorfici, Winlamer este criptat: pentru a obtine corpul acestui virus, codul polimorfic trebuie sa-l decripteze. Aceasta implica faptul ca virusul trebuie sa fie capabil sa-si modifice propriul cod - sa nu uitam ca sub Windows codul este protejat la scriere atunci cand programul preia controlul.
Pentru a i se permite sa modifice programul gazda, Winlamer foloseste o metoda simpla si evidenta: el lanseaza un apel API (Application Program Interface) - DPMI/Windows API: Int 13h, AX=000Ah - ceea ce duplica selectorul segmentului de cod in registrul AX. Apoi, virusul asigneaza valoarea obtinuta unui selector de segment de date (MOV DS,AX), semnificand faptul ca, pentru acest segment de date, numai raman nici un fel de conrtangeri privind modificarea.
Winlamer a fost scris de un autor productiv, unul care se auto-intituleaza 'Burglar' din Taiwan. Burglar a scris alti cativa virusi sofisticati. El a scris si PME (Phantasie Mutation Engine), generatorul folosit deopotriva in virusii DOS si Windows. Motirul polimorfic a lui Winlamer (PME for Windows) se bazeaza pe PME for DOS, insa este cu mult mai simplu.
Winlamer nu a fost inca raportat ca circuland prin natura. Din fericire, virusul nu poate infecta ambele tipuri de fisiere DOS EXE si NE - daca ar putea, ar fi cu mult mai virulent. El ar putea fi un virus experimental, ceea ce ar explica de ce nu are 'payload' si de ce replicarea sa este atat de notabila. Poate ca a fost scris special pentru a demonstra faptul ca sunt posibili virusii Windows polimorfici. Winlamer arata curat, bine codificat si elegant.


 WM.Alliance.A

Pseudonime:
MW:Alliance-A
WordMacro/Alliance.A
Winword.Alliance
WM_Alliance.A
WM/Alliance.A
Alliance
Originea geografica:
USA
Aparitie: Vara lui 1996
Mesaje afisate de virus:
Virusul adauga urmatorul text in sectiunea File/Properties: "You have been infected by the Alliance"
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Alliance este un virus de Word, cu un singur macro de dimensiune 352 bytes. Infecteaza fisierele (*.DOC) si (*.DOT) din Microsoft Word versiunea 6.x si 7.x . Cind este deschis un astfel de fisier va infecta NORMAL.DOT. Mai departe, orice (*.DOC) sau (*.DOT) va fi infectat cind este deschis sau inchis. Virusul infecteaza numai cind data este a doua, a saptea, a unsprezecea sau a doisprezecea zi a fiecarei luni. Nu este in libertate.


 WM.Black.A

Pseudonime:
MW:Black-A
WordMacro/Black.A
WinWord.BLACKDEATH
WM/Black.A
Mesaje afisate de virus:
Afiseaza o fereastra de dialog cu mesajul :" Your computer is now lost to the ages...

WM.BlackDeath

Written on 6/6/1997".
Mesaje neafisate dar continute de corpul virusului:
Fuck Micro$oft!
Efecte distructive:
In data de 13, daca este vineri afiseaza urmatorul text in status line "Please wait... Scanning disk! " si sterge fisierele C:\*.COM
C:\WINDOWS\*.INI. Deasemenea afiseaza textul "Please wait... Reading directories!" dupa care sterge fisierele: C:\AOL30\ORGANIZE\*.*
C:\AOL30\IDB\*.*
C:\WINDOWS\*.COM
C:\WINDOWS\*.HLP
C:\WINDOWS\*.CPL
C:\WINDOWS\*.BMP
C:\*.EXE".
Comentarii:
Este un virus de Word care are 3 macro-uri: AutoExec, AutoOpen, BlackDeath. Se inmulteste prin folosirea macro-ului AutoOpen. A aparut in Iunie 1997.


 YanShort.Enigma

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1755 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 YMP.NiceDay

Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
1 sectoare.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"HAVE A NICE DAY (c)YMP"
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
Raspandirea virusului:
In atentia cercetatorilor. ; la data: 10/12/93
ntreruperi interceptate:
13
Efecte nedistructive:
Tipareste "HAVE A NICE DAY (c)YMP"
Conditii de declansare a efectelor nedistructive:
INT 1A/04 -> DL==01 (prima zi a lunii) && boot-are de pe hard discul sau discheta infectat/a
Modul de autodetectare a virusului pe disc:
(sector[0x0135] == 0x19) && (sector[0x136] == 0x70)
Comentarii:
Desi MBR-ul original de pe hard disc este salvat, acesta nu este folosit; in schimb, foloseste pista 0, cap 1, sector 1 (adesea SBR-ul primei partitii) trecandu-i controlul.


 ARIANA

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Dimensiunea memoriei ocupate:
3586 o.
Spatiul ocupat pe disc:
3426 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
ntreruperi interceptate:
21
Efecte distructive:
Micsoreaza memoria disponibila.
Comentarii:
ARIANA este un virus multi-infector. Cind un fisier infectat este executat se verifica daca este deja rezident in memorie . Astfel daca AX=0 dupa executia INT 2F(AX=FE01) inseamna ca virusul este deja rezident. Daca "Nu" va rezida in memoria HIGH. Cit timp ARIANA este este rezident in memorie ,nu se poate modifica tabela de partitie. Rezolvarea consta in boot-area sistemului dupa o discheta curata.


 Zz.429

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
429 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ash.817

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
817 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Astra.521

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
521 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza drivere de dispozitive (.SYS).


 Athens.1510

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1510 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Australian.1035

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1035 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Australian.217

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
217 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.615

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
615 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.Lipo.290

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
290 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beer.2620

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2620 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Benoit

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
1183 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AH=4B
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul infecteaza fisiere interceptind INT 21h (AH=4B). Cind un fisier neinfectat este executat, atunci va fi infectat (nu sint infectate fisiere EXE). Nu se face interceptia INT 24h, astfel vor fi semnalate erori cind se va incerca infectarea unui fisier protejat la scriere.


 BFD-B

Tipuri de fisiere infectate:
- Infecteaza boot-ul.
ntreruperi interceptate:
13
24
21
Efecte distructive:
Supra-scrie in fisierul infectat, asfel dimensiunea acstuia ramine neschimbata.
Comentarii:
Cind este executat fisierul infectat , virusul va verifica daca sectorul de boot este contaminat, daca "nu" il va infecta. De asemenea verifica daca este rezident in memorie, daca "nu" se va incarca in aceasta interceptind intreruperea INT21h si INT13h. Dupa aceea va infecta sectoarele de boot si fisierele in timpul operatiei de "citire scriere" din discurile sau programele neinfectate. Interceptia intreruperii INT24h este facuta pentru a evita problemele (din partea virusului) la protectia la scriere.


 BitAddict.477

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul rezida in RAM-ul video.
Spatiul ocupat pe disc:
477 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Blackjec.272

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
272 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Blackjec.441

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 BlueNine.925

Virusul infecteaza interceptand apelurile DOS la fisiere.
Acesta este pattern-ul hexa pentru varianta A a virusului: BlueNine.A. Pentru a doua varianta: BlueNine.B, pattern-u hexa este urmatorul: 50B4 30B9 9A02 CD21 81F9 BC01 7467 3C03 7262 8CC3 4B8E C326
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
925 o.
Acesta este pattern-ul hexa pentru varianta A a virusului: BlueNine.A. Pentru a doua varianta: BlueNine.B, pattern-u hexa este urmatorul: 50B4 30B9 9A02 CD21 81F9 BC01 7467 3C03 7262 8CC3 4B8E C326
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Mesaje neafisate dar continute de corpul virusului:
'Blue Nine Virus by Conzouler 1994'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Virusul are doua variante minore, B-ul avâand, in codul sau, instructiuni 'NOP'.


 Boot-c

Pseudonime:
Quandary
Tehnici de ascundere:
Sunt folosite.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
ntreruperi interceptate:
13
Conditii de declansare a infectarii:
Nu prezinta astfel de conditii
Comentarii:
Primii 34 octeti ai codului virusului sint criptati folosind o metoda simpla XOR. Se pare ca activaeaza un virus necunoscut atunci cind exista Boot-c.La fel ca si alti virusi de boot, Boot-c se copiaza la cap 0, cilindru 0, sector 1 de pe hard disc si muta sectorul original de boot intr-o zona nefolosita a hardului. Virusul determina rebutarea calculatorului. Daca un floppy disc neinfectat este folosit de calculator atunci aceasta va fi infectata.


 Border.781

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
781 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bryansk.673

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
673 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 China.1831

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1831 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cinderella.B

Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi. adresa 0:200h
Dimensiunea memoriei ocupate:
402 o.
Spatiul ocupat pe disc:
390 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
ntreruperi interceptate:
21 / 3D
21 / 4B
21 / FB
21 / FC
24
16 / 00
Efecte nedistructive:
Creaza un fisier sistem ascuns, de tip read-only, numit "DDDDDDDD.DDF" (unde "D" este 0DDh, iar "F" este 0FFh), resetand calculatorul prin saltul la adresa 0F000:E05Bh.
Efecte colaterale:
Vectorii Int80..IntE5 sunt refuzati.
Comentarii:
Contorul continut de virus este decrementat la fiecare tastare si incrementat cu 666 de fiecare data cand fisierul este considerat pentru infectare. Int22,ah=FCh este folosit pentru a iesi din programul gazda. Dupa infectare inainte de a parasi fisierul, data/ora fisierului este citita si scrisa imediat din nou.


 Civilwar.580

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
580 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Ratboy.513

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
513 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 CNTV

Virusul infecteaza interceptand apelurile DOS la fisiere.
Faptul ca virusul isi plaseaza codul in zona de buffer disc, inseamna ca virusul nu va deveni rezident intotdeauna la aceeasi locatie - astfel, daca DOS a fost incarcat 'high', virusul se va gasi in HMA; altfel, el se va afla in memoria conventionala.
Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
Faptul ca virusul isi plaseaza codul in zona de buffer disc, inseamna ca virusul nu va deveni rezident intotdeauna la aceeasi locatie - astfel, daca DOS a fost incarcat 'high', virusul se va gasi in HMA; altfel, el se va afla in memoria conventionala.
Spatiul ocupat pe disc:
2630 o.
Faptul ca virusul isi plaseaza codul in zona de buffer disc, inseamna ca virusul nu va deveni rezident intotdeauna la aceeasi locatie - astfel, daca DOS a fost incarcat 'high', virusul se va gasi in HMA; altfel, el se va afla in memoria conventionala.
Mesaje afisate de virus:
ˇ A CuBaN NeW TeChNoLoGy ViRuS By SoMeBoDy ! ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Virusul verifica şsi lungimea fisierelor posibil de infectat, deci, vor fi infectate acele fisiere care au lungimea cuprinsa in intervalul [3K, 400K]. Virusul verifica mai intai numele fisierului, si nu infecteaza daca se potriveste unul din urmatoarele pattern-uri: *MAN.* (COMMAND.COM), *CV??.*, *SCA?.* (SCAN.EXE), *LEA?.* (CLEAN.EXE), *UAR?.* (GUARD.EXE) sau *IEL?.* (*SHIELD:EXE). Daca numele fisierului se potriveste cu unul din aceste siruri, acesta se va executa normal.
ntreruperi interceptate:
21 / 4Bh
Conditii de declansare a infectarii:
Ori de cate ori virusul infecteaza un fisier, el stocheaza in avel fisier un numar care reprezinta ziua in care aceasta copie a virusului va actiona. Acest numar este data curenta, plus fie 14 sau 28. Bineinteles ca, virusul va ajusta ca data de actionare sa fie mai mica de 31. Odata instalat in memorie, virusul verifica data si ora sistem, la orice apel DOS exceptand Int 21h, AX=4Bh. Virusul executa rutina de trigger, daca este deja rezident in memorie de mai bine de o ora, daca data curenta este cel putin Septembrie 1995 si daca ziua curenta este 'trigger day', adica ziua fatala!
Modul de autodetectare a virusului in memorie:
Se verifica zona buffer a sistemului pentru prezenta virusului,
Modul de autodetectare a virusului pe disc:
Verifica codul fisierului in timpul trasarii.
Constrangeri necesare virusului pentru a functiona:
Virusul foloseste acelasi cod pentru a manipula buffer-ele sub diferitele versiuni DOS. El functioneaza fara probleme pe toate versiunile cu exceptia lui 4.x: virusul nu poate infecta sistemul DOS 4.x.
Comentarii:
Ultima manie in scrierea de virusi o reprezinta virusii EPO (entry-point obscuring), adica virusi care-si obstructioneaza punctul de intrare, sarind peste tehnica standard de plasare a unui JMP la codul lor, in cadrul header-ului fisierelor COM si modificand valorile punctelor de intrare din fisierele EXE. Sunt (se cunosc) vreo zece astfel de virusi, primul fiind Lucretia, cu trei ani in urma. Au urmat: Zhengxi, Positron, Markiz si Next_Vir. Ar putea fi si altii. Toti acesti virusi se impacheteaza in mijlocul fisierului: acolo ei scriu un JMP sau o parte din corpul virusului, oricare din acestea urmand sa treaca controlul virusului. Daca virusul este encriptat, el poate fi decriptat de sectiunea de cod inserata in mijlocul fisierului sau de corpul principal al virusului, aflat de obicei la sfarsitul fisierului. Virusii EPO folosesc metode diferite pentru a se plasa incadrul fisierului. Tehnicile care au fost remarcate sunt: • cautarea header-elor subrutinelor C/Pascal specifice: MOV BP,SP; PUSH SP • dezasamblarea codului fisierului • incarcarea fisierului in memorie si trasarea executiei sale • asteptarea apelului primului Int 21h si suprascrierea codului care realizeaza apelul. żCNVT este un virus parazitic, criptat dar nu si polimorf, de tip EPO. In cadrul unui fisier infectat, CNTV este divizat in doua blocuri de cod, care sunt plastate la offset-uri diferite, din fisier. Primul bloc contine rutina de decriptare plasata la un offset, ales aleator, din cadrul fisierului. Al doilea bloc este plasat la sfarsitul fisierului si contine (criptat) corpul principal al virusului. Eliminarea virusului: in conditiile unui sistem curat, se identifica si se sterg fisierele infectate.


 Companion.228

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
228 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Companion.Gif.685

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
685 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cossiga.859

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
859 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 CrazyFrog.1477

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1477 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Csf.240

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
240 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Deicide_II.2045_1

Spatiul ocupat pe disc:
2405
Mesajul este afisat intotdeauna.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Mesajul este afisat intotdeauna.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Mesajul este afisat intotdeauna.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"McAfee is a bum-hole",

"Patricia Hoffman is a virgin",

"David Grant is a shithead",

"Jan Terpstra sucks",

"Vesselin Bontchev is a lamer",

"Righard Zwienenberg is a cowboy",

"Greetings to Cracker Jack in Italy",

"MS-DOS could be programmed better",

"A virus may not hang, it must replicate!",

"(C) by Glenn Benton DVRL",

"HAHAHA you have a virus",

"Dutch Virus Research Laboratory",

"Program to big to fit in ass",

"Another program bites the dust",

"Havahey! Another Me born to serve",

"Deicide wasnt that good after all...",

"DEICIDE, MORGOTH, BREEZE, BROTHER by Glenn Benton",

"Hey! Gimme some more disks!",

"Stealth techniques are cool",

"Encryption is usefull...",

"Stephanie my lovely girl",

"FPROT is compiled BASIC",

"Fuck da police!",

"Source soon aveable for jokes!",

"Why dont you play with something else?",

"Thanks to BORLAND for Turbo Assembler",

"It is time for NORTON SPEED DISK",

"Donald duck is a lie...",

"Why dont you buy me a CHEESEBURGER?",

"Wim Kok is a COMMUNIST!!!!",

"Xabaras could be better",

"FAT has a nice technique",

"This virus is not resident!",

"Nobody like debugging...",

"60 Messages in here?",

"Out of worktime",

"RAM parity error",

"Insert porn magazine in drive A",

"Insert tracktor toilet paper in printer",

"Upload this virus to McAfee, please",

"HIP-HOP sucks!",

"Vote for Saddam.",

"DEAD BY DAWN",

"NAIL HIM LIKE JESUS!",

"May I fuck with your wife?",

"Hey CJ! What abouth a Corporation (I&DVRL)",

"Thanx to Oliver North for giving me TASM",

"Do not use drugs, make a virus!",

"Register this produkt!",

"This virus is SHAREWARE",

"You will hate me for this",

"See the sunny side of life",

"DAME EDNA IS COOL!",

"I like the pope, the pope smokes dope!",

"We like the pope, he gives us his dope!",

"Are you FLINTSTONED???",

"How about a game of STRIP-POKER?",

"FACES OF DEATH!",

"Just one more message!!!",

"Spread this like hell!"
Sunt afisat 60 de mesaje, tn functie de secundele ceasului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Directorul curent
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
Comentarii:
Atributul fisierului este sters, ne mai fiind restaurat apoi. In timpul infectiei curente, nu se realizeaza nici o verificare la eroare .


 DEST1

Spatiul ocupat pe disc:
323 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
24
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul cauta fisiere COM in directorul curent. Verifica daca au fost infectate iar pe cele "curate" le va infecta (doar unul o singura data). Nu este rezident in memorie. Prin interceptia INT 24h virusul nu este divulgat cind infecteaza fisiere protejate la scriere.


 Diamond.568

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
468 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.Greemlin.1146

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1146 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dir II.A

Pseudonime:
DIR 2
DIR-1024
DIR II-1024-a
DIR2
DIR-II
DIR-II.1024
Spatiul ocupat pe disc:
1024 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Comentarii:
Este rezident in memorie, unde foloseste tehnici simple de ascundere. Nu este criptat. Odata ce sistemul a fost infectat, virusul va infecta fiecare fisier EXE sau COM care se executa sau care este acesat. Modifica pointerul de intrare in fisier, acesta indicind catre corpul virusului. Virusul a aparut in 1991.


 DiskWasher

Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
1 ko.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
'© From Diskwashef'
Simbolul © este de fapt caractereul echivalent din fontul Symbol (o inimioara neagra). Mesajul este urmat de un garbage de cateva caractere. [Acesta pare sa fie o varianta a unui alte forme de DiskWasher, care actioneaza la al 5000-lea acces de disc si care afiseaza mesajul '© from DiskWasher with love ©'.]
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza DBR-ul de pe floppy discuri.
ntreruperi interceptate:
13
Efecte colaterale:
Un efect colateral ciudat este faptul ca atunci cand se boot-eaza de pe un floppy infectat, PC-ul pare ca boot-eaza, in mod normal, de pe hard disc.
Conditii de declansare a infectarii:
Al 50000-lea acces la disc dintr-o sesiune de lucru.
Modul de autodetectare a virusului pe disc:
Auto-recunoastere pe hard disc: Cap 0, Cilindru 0, Sector 10 contine sectorul de boot valid, ultimii doi bytes fiind 55AA. Auto-recunoastere pe floppy disc: Cap 0, Cilindru 0, Sector 3 are, la offeset-ul 017h, un cuvant avand valoarea 19Eh.
Comentarii:
DiskWasher este un virus bine scris si eficient. El nu foloseste nici un fel de capabilitati stealth. El va infecta floppy-urile folosite in orice drive si se va muta de pe floppy pe hard disc, fara nici un murmur. Virusul este in natura si este periculos. Payload: formatarea primelor patru piste de pe hard disc, sau ambele fete de pe floppy. Eliminare: de pe hard disc - in conditii de sistem curat, se foloseste FDISK/MBR; de pe floppy - salvarea fisierelor necesare, apoi formatare..


 Doomsday.715

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
715 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Drop.1131

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
224 paragrafe.
Spatiul ocupat pe disc:
1131 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16 ... 32 pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Raspandirea virusului:
Eradicat.
ntreruperi interceptate:
21 / 43
21 / 3D
21 / 4B00
21 / FF01
24
1C
Efecte colaterale:
Datorita unui bug existent in handler-ul pentru timer, masina se blocheaza dupa ce a fost realiza, pentru prima data, un drop video.
Comentarii:
Pot disparea literele de pe ecran. Rutina de timer verifica modul video curent la fiecare 2 minute si realizeaza un drop screen daca modul video este corespunzator.


 Dutch_Tiny.180

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
180 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 E266.1072

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1062 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 ExeHeader.Bane.256

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
256 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Pure.449

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
449 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Exterminator.b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
429 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FatherMac.1360

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1360 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FaxFree.Mecojoni

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 FF_Char.1000

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 FindMe.608

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
608 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fist.696

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
696 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Flash.695

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
695 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Freak.938

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
938 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Greetings.1024

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.474

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
474 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.886

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
886 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 GT-Spoof.1131

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1131 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Ha!

Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1383 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 73
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hallochen

Pseudonime:
Hello_la
Hallo
Hallochen
Virusul modifica data si ora fisierelor infectate.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2011 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tehnici de ascundere:
Sunt folosite.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Originea geografica:
West Germany
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"Hallochen !!!!!!, Here I'm.. Acrivate Level 1.." ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Infecteaza COM-uri, COMMAND.COM. EXE-uri daca fisierul poarta data sistemului curent (luna si anul) si daca are lungimea mai mare de 5000 bytes si mai mica de 65.310 bytes.
ntreruperi interceptate:
21 / 4B
08
16
Efecte distructive:
Pagubele sunt substantiale. Atunci cand virusul a infectat 50 de fisiere, performanta calculatorului va fi redusa pas cu pas. Virusul va simula o eroare de potrivire, atunci cand a infectat 70 de fisiere, manipuland buffer-ul tastaturii. (astfel, "A" devine "B" etc.).
Constrangeri necesare virusului pentru a functiona:
Atributele read-only interzic virusul.
Comentarii:
Simptome: tastatura va apare confuza; fisierele COM si EXE vor creste, efectele ar putea fi activate in functie de data. Remarci: Atunci cand un fisier infectat este executat, virusul Halloechen se instaleaza in memorie. Din memorie, el infecteaza orice COM sau EXE care este executat, presupunand ca programul are initial o lungime cuprinsa intre 5000 si 65,310 bytes, iar luna si anul datei fisierului este aceeasi ca data curenta a sistemului. (Fisierele mai vechi nu sunt infectate.) In timpul infectarii, dimensiunea fisierului este sporita la un multiplu de 16, apoi cei 2011 bytes ai codului virusului sunt adaugati la sfarsitul fisierului. Fisierele de date nu sunt modificate de virus, care este gata sa sparga atributul read-only. In limba Germana, Hallochen inseamna "HI!". Identificatori asignati de diverse scanner-e: Cheyenne: Hallochen
ESaSS: Halloechen
Frisk: Halloechen.unknown?
H+BEDV: Halloechen #2
McAfee: Hallo [Hal]
NORMAN: Hallochen
Norton: Halloechen
S&S: This virus is like Halloechen Alti virusi corelati: Halloechen #2, Halloechen #3, Halloechen #1. Replicare: virusul apare ca infectand fisierele atunci cand sunt incarcate si executate. Muta pointerul de fisiere, citeste fisiere, scrie in fisiere, inchide fisierele. Obtine si seteaza atributele.Obtine si reseteaza data fisierului. De retinut: Contine o rutina de decriptare - comun, de altfel, pentru virusi dar si pentru software-ul de protectie. Cod rezident in memorie. Programul ar putea sta in memorie.


 Heevahava.514

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
514 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Helloween.1447

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1447 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hi.895

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
895 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 HLLC.5472

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5472 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Wizard.3677

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3677 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Horse.1594

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1594 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hymn.1962

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1962 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ieronim.1492

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1492 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Infector.822

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
822 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Int83.855

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
855 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Intruder.1440

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1440 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Istanbul.1349

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1349 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Mesaje neafisate dar continute de corpul virusului:
'Anti-Virus??Written in the city of Istanbul (c) 1993'
'Installed'
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului


 Jd.276

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
276 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Jerusalem.1767

Virusul produce efecte vizuale.
Virusul se adauga la fisiere astfel: 1767 bytes (COMs); 1762 (EXEs).
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul se adauga la fisiere astfel: 1767 bytes (COMs); 1762 (EXEs).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Virusul se adauga la fisiere astfel: 1767 bytes (COMs); 1762 (EXEs).
Spatiul ocupat pe disc:
1767 o.
Virusul se adauga la fisiere astfel: 1767 bytes (COMs); 1762 (EXEs).
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tehnici de ascundere:
Sunt folosite.
Indexul de ascundere este 6, deci aproape de medie: reseteaza atributele, seteaza data fisierului, se ascunde in memorie, dezactiveaza handler-ul de eroare).
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
** INFECTED BY FRIDAY 13th ** ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
21
08
24
Comentarii:
Identificatori asignati de diverse scanner-e:
Cheyenne: Jerusalem-1767
ESaSS: Jerusalem related
Frisk: Jerusalem.1767
H+BEDV: Jerusalem #6
McAfee: Jerusalem [Jeru]
NORMAN: Jerusalem 1767
Norton: nu este detectat.
S&S: Jerusalem.1767 Eicar ID: 604f95d9 Replicare: infecteaza doar fisiere COM; pare ca infecteaza fisierele doar cand sunt incarcate si executate; deschide fisierele, muta pointerul de fisiere, citeste fisierele, scrie in fisiere, inchide fisierele; obtine si seteaza atibutele; obtine si reseteaza data fisierelor. Simptome: sterge fisierele, afiseaza un mesaj sau o grafica, efectele pot fi activate in functie de data, verifica daca data este Sambata 1987. De retinut: Acces dubios la fisiere. Ar putea fi capabil sa infecteze un fisier. Programul intercepteaza incarcarea software. Ar putea fi un virus care sa intercepteze incarcarea programului pentru a infecta software-ul. Este rezident in memorie. Programul poate sta rezident in memorie. Foloseste intrerupere/DOS nedocumentata. Programul poate fi doar o farsa, dar poate fi foarte bine si un virus care foloseste o modalitate nestandard pentru a se autodetecta. Face determinare EXE/COM. Programul incearca sa verifice daca fisierul este un COM sau un EXE, avand nevoie sa stie asta pentru a putea infecta un program.


 Kaszana.1992

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1992 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kela.1904

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1904 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 KeyKapture.1077

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1077 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Keypress.Ufo

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2728 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.


 Khizhnjak.692

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
692 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.Hallo.726

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
726 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kiss.1015

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1015 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Kohntark.K-CMOS.937

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
937 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Kthulhu.512

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
"Today is my birthday." "IT is coming." "IT has gone." ; Mesajul continut de virus si afisat nu este criptat.
Daca (Date == May_20th) atunci mesajul afisat este "Today is my birthday.", sau daca (May_1st <= Date <= May_19th) atunci mesajul afisat este "IT is coming." ori daca (May_21st <= Date <= May_31st) atunci mesajul afisat este "IT has gone."; Daca (Date == May_20th) atunci mesajul afisat este "Today is my birthday.", sau daca (May_1st <= Date <= May_19th) atunci mesajul afisat este "IT is coming." ori daca (May_21st <= Date <= May_31st) atunci mesajul afisat este "IT has gone."
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului
Efecte nedistructive:
Scrie "Today is my birthday.", emite un sunet (beep) si asteapta o tastare inainte de a reboot-a.
Conditii de declansare a efectelor nedistructive:
Date == May_20th
Efecte colaterale:
Fisierele sunt redenumite KTHULHU inainte de infectare. Daca intervine o eroare anormala in oricare din stadiile infectarii, numele original al fisierului nu este restaurat. In acest caz, atributele fisierului sau time/date au fost si ele modificate, iar linia "!" a fost scrisa pe ecran.
Conditii de declansare a infectarii:
IF exista in directorul curent un *.COM avand atributul "normal" AND fisierul gasit in directorul curent folosind masca 2Fh AND (258h < filesize%64k < 0EE48h)
Modul de autodetectare a virusului pe disc:
File[9] == 0FA8Bh || File[13] == 0FA8Bh
Comentarii:
Semnatura infectiei (o instructiune 'mov di,dx' testata de doua ori) sugereaza ca exista cel putin doua versiuni ale acestui virus.


 Lame.207

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
207 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Line.908

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
908 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Littlegirl.1004

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1004 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Lokjaw.518

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
518 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21
A se vedea si:
Lokjaw.493


 Lost.2878

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2878 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 LptOff.271

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
271 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Lyceum.1950

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1950 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Macgyver.4480

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4480 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MadSatan.King.1424

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1424 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Manu.4096

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4096 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Marky.478

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
478 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Vootie.66

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
66 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Tula.593

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
593 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Twer.1000

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 UNCARING. 1054

Dimensiunea memoriei ocupate:
3072 o.
Spatiul ocupat pe disc:
1054 o.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Se copiaza la sfirsitul fisierului si inscrie la inceput un JMP la virus; se executa mai intii virusul, apoi programul cerut.
ntreruperi interceptate:
21 / 4B00
Efecte colaterale:
Distruge ultimul MCB din memoria de baza, cel care face legatura cu UMB-urile. Reduce memoria de baza cu 3K.
Modul de autodetectare a virusului in memorie:
Daca prin executia Int_21 cu AX=3521h se obtine BX=7Ah, atunci memoria este considerata virusata.
Modul de autodetectare a virusului pe disc:
Compara 12 octeti: File[EOF-1043]…File[eof-1032] cu Virus[11]…Virus[22]. Daca coincid, fisierul este considerat virusat.
Comentarii:
Virusarea fisierelor mai scurte de 1054 nu se produce daca intre virusarea memoriei si executia acestuia nu a avut loc o alta virusare de fisier. Explicatia este ca tentativa nereusita de citire in vederea autorecunoasterii nu modifica memoria, iar testul de virus deja prezent da, ca rezultat, un fals pozitiv. Nu este clar daca este un bug sau o masura antisondaj. Int24 nu este interceptat pe perioada virusarii unui fisier numai pentru ascunderea unei eventuale erori de scriere, ci si pentru revenirea normala in DOS la terminarea virusarii. In virus, au fost identificate structuri de cod destinate saltului la codul executabil original al unui fisier de tip EXE, dar avind parametrii anulati pentru a functiona pe structuri de cod de tip COM. Se pare ca virusul nu a fost terminat si a fost scapat de sub control neterminat.


 Uruguay.2623

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2623 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 UVR.3919

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3919 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 V.1441

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.302

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
302 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.516

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
516 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.743

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
743 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.608

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
608 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.662

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
662 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.774

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
774 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.BigPiter

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
23693 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Violator.801

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
801 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vinchuca.925

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
925 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Virogen.1680

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1680 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Virogen.Simplex.504

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
504 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VLAD.August

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1225 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VLAD.Replicator.651

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
651 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 WM.Fury.A

Pseudonime:
WordMacro/Fury.A
WM.GreenFury
WM/Fury
Winword.Fury
Fury
FURY.A
Macro.Word.GreenFury
Efecte distructive:
In alte versiuni ale Word-ului decit cea italiana, virusul va sterge toate fisierele din directorul curent.
Comentarii:
Este un virus de Word foarte periculos, care are trei macro-uri originale dar in timpul infectiei numarul acestora este patru. Cind infecteaza NORMAL.DOT numele acestora sint: GreenFury, FileSalvaConNome, GGGFFF si FFFGGG. Cind infecteaza fisierele sint: GreenFury, GGGFFF, FFFGGG si AutoOpen. Virusul se inmulteste numai in versiunea italiana a Word-ului. Sistemul este infectat cind un document care contine virusul este deschis cu AutoOpen si se copiaza in fisiere la comanda FileSalvaConNome. Un contor care depinde de data sistemului va determina virusul sa seteze pentru documentul activ o parola aleatoare.


 WM.Mercy.A

Pseudonime:
MW:Mercy-A
WordMacro/Mercy.A
Winword.Mercy
Mercy
WM/Mercy.a
Mesaje afisate de virus:
In ziua a 11-a din fiecare luna va afisa o fereastra de dialog cu mesajul : "Episode 2: TenFaces [the series continue...]

The 10Faces is back! hey AVers the name is 10Faces!!

not Mercy.A -(c)reator of NoMercy-"
Mesaje neafisate dar continute de corpul virusului:
Hiya Pyro are you decrypt again !

I don't borrow the code from "Outlaw" anymore

(it's now original)

this random code is smaller than before and better randomize result Using Simple-Little-Fast -random generator

Thankz to ya Pyro without your critics this never happen
Comentarii:
Este un virus de Word care are 6 macro-uri cind infecteaza documente: Autoexec, AutoOpen si alte 4 cu nume aleatoere. Cind infecteaza NORMAL.DOT virusul are 8 macro-uri: AutoClose, ToolsMacro, FileTemplates, Organizer si alte 4 cu nume aleatoare. Sistemul este infectat cind un document care contine virusul este deschis cu AutoOpen, iar fisierele sint infecteate cind sint inchise cu AutoClose. Foloseste o metoda de auto detectie in sistem, astfel isi semnaleaza prezenta prin string-ul "I_am_Here" in sectiunea [Intl]. Este criptat. Se ascunde. A aparut in Martie 1997.


 WM.Socks.A

Pseudonime:
MW:Socks-A
WordMacro/Socks.A
WinWord.SOK
Macro.Word.Socks
WM/Socks.A
Efecte distructive:
In data de 9 Septembrie de cele mai multe ori sau la o data aleatoare sterge fisierele: .EXE, .COM, .OVL, .BIN, .TXT, .DOC, *.DOT, .ZIP, .ASM, *.DLL.
Comentarii:
Este un virus de Word care are 4 macro-uri: AutoOpen, SOK, ToolsMacro (ascuns), ToolsCustomize. Rutina de infectie este in macro-ul SOK care este apelat prin AutoOpen cind un document infectat este deschis. Nu infecteaza Normal.Dot. Afecteaza doar fisierele care se afla in lista de utilizari recente. Nu se ascunde. A aparut in Septembrie 1997.


 WM.Wompie.A

Pseudonime:
MW:Wompie-A
WordMacro/Wompie.A
WM/Wompie.A
Wompie.A
MacroWord.Wompie
Mesaje neafisate dar continute de corpul virusului:
"The United Hackers of Amsterdam Presents the Wombat1 or Wompie Created by The Wombat . "
Comentarii:
Este un virus de Word care are 6 macro-uri: autoexec, autoopen, FileSave, FileSaveAll, one, Wompie. Sistemul si documentele sint infectate cind sint folosite comenzile AutoOpen si FileSave.


 Wormsign.1710

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1710 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 XorA.1024

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Xtc.2153

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2153 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 16 cu rotunjire la paragraf. pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Yankee.1202

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1202 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yankee.29

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2932 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mini.218

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
218 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Miras.640

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mix.1618

Pseudonime:
Mixer1
Mix1
Virusul produce efecte vizuale.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1618 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 15 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Originea geografica:
Israel
Mesaje neafisate dar continute de corpul virusului:
'MIX1' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In circulatie.
ntreruperi interceptate:
08
09
14
17
21
Modul de autodetectare a virusului in memorie:
Un flag, aflat la offset-ul 33Ch in segmentul 0, este setat pe 77h atunci cand virusul este activ.
Modul de autodetectare a virusului pe disc:
Fisieerele infectate sfarsesc intotdeauna prin MIX1.
Comentarii:
Simptome: Cincizeci de minute dupa infectare, virusul altereaza setarile Num Lock si Caps Lock. Saizeci de minute dupa infectare, virusul produce un afisaj similar cu cel al virusului Italian ("bouncing ball"). In acest caz, mingea saltareata este litera mica 'o', in loc de un punct. Caracterul se misca prin text, inlocuind originalul din text intr-o rata de 18% de pozitii pe secunda. Marca de timp este stocata si restaurata mai tarziu. Pagube: Virusul intercepteaza intreruperile de imprimanta si pe cele asincrone si substituie, in mod aleator, textul strain si caracterele grafice atunci cand fisierele sunt imprimate sau transmise pe liniile de comunicare. Propagare: Virusul se adauga la sfarsitul programelor pe care le infecteaza. Cand se executa un fisier infectat, virusul se copiaza in topul memoriei libere si modifica blocurile de memorie pentre a se ascunde de programele de mapare ale memoriei. Unele programe pot suprascrie aceasta zona, provocand blocarea calculatorului. Virusul va intercepta INT 21h si, cand functia 4B (EXEC) este uneori apelata, virusul va infecta programul care este in curs de executie. El va verifica lungimea fiecaruia al zecilea program care se executa, pentru a-l infecta si, daca cu este deja infectat, o face. Apoi, virusul va elimina atributul Read-Only inainte de a incerca sa infecteze programele; acest atribut nu este restaurat ulterior. Fisierele infectate pot fi usor recunoscute, din moment ce ele sfarsesc intotdeauna prin sirul text "MIX1". Pentru infectarea sistemului, se face verificarea byte-ului de la adresa 0:33Ch - daca acest contine valoarea 77h, inseamna ca virusul este instalat in memorie. Virusul are doua variante: a, c. Note: Virusul incorporeaza cod din virusul Icelandic sau Saratoga, incluzand majoritatea rutinei de infectare a .EXE-urilor. Totusi, incorporarea marcii de timp, precum si verificarea prevenirii infectarii fisierelor mici face ca MIX1 sa fie o creatie ulterioara. Virusul contine urmatoarele parti: 1. Programul principal - executat atunci cand se executa un program infectat. Se va verifica daca sistemul este deja infectat, daca nu, va instala virusul. 2. Noul handler INT 17. 3. Noul handler INT 14. 4. Noul handler INT 8. 5. Noul handler INT 9. Dezactiveaza cheia Num Lock la 50 de minute dupa ce virusul devine rezident. 6. Noul handler INT 21. Va cauta apelurile EXEC si, (uneori) va infecta programul care se executa Partile 1 si 6 sunt aproape identice cu versiunea Icelandic-1. Codul pentru mingea saltareata, desi din punct de vedere algoritmic este similar, prezinta diferente semnificative fata de virusul sectorului de boot - Italian.


 Mnemonix.Dementia.1027

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1027 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Monarch.1040

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1040 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Morse.1060

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1060 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mr_Twister.239

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
239 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mte-Small.Sepultura

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4203 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MtE.Pogue

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3017 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Murphy.1008

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1008 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.Delirium.1659

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1659 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.090.Agent

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1305 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mutant.1680

Virusul produce efecte sonore.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1680 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 N-Xeram.1664

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1664 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Ambulance.795

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
795 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Neko.1964

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1964 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Ng.706

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
706 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Nines.705

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
705 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 NoFrills.Kcat.1358

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1358 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 NTMY.1722

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1722 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Nuke.Marauder.855

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
855 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Sirius.402

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
402 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nygus.278

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
278 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ontario.1024

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Otto.415

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
415 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pac-Man.Blinky

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1302 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pcbb.2277

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2277 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 539 ... 795
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Peace.2064

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2064 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Phantom.2201

Virusul produce efecte vizuale.
Virusul are lungimea de doar 2201 bytes, insa el adauga un numar variabil de bytes-garbage, la fisierele pe care le infecteaza, astfel ca, in final, se adauga 2253-2274 bytes.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Virusul are lungimea de doar 2201 bytes, insa el adauga un numar variabil de bytes-garbage, la fisierele pe care le infecteaza, astfel ca, in final, se adauga 2253-2274 bytes.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2201 o.
Virusul are lungimea de doar 2201 bytes, insa el adauga un numar variabil de bytes-garbage, la fisierele pe care le infecteaza, astfel ca, in final, se adauga 2253-2274 bytes.
Lungimea fisierului infectat creste cu:
lungimea virusului + 52 ... 73
Originea geografica:
Hungary
Virusul are lungimea de doar 2201 bytes, insa el adauga un numar variabil de bytes-garbage, la fisierele pe care le infecteaza, astfel ca, in final, se adauga 2253-2274 bytes.
Mesaje neafisate dar continute de corpul virusului:
The PHANTOM Was HERE - Sorry...HI ROOKIE! Im a THESEASE! I live in YOUR computer - sorry... Thanks to Brains in the Computer Siences! Copyright (c PHANTOM

HUNGARIAN VIRUS DEVELOPING LABORATORY. (H.V.D.L.)v1 ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Raspandirea virusului:
Rapoarte nesemnificative.


 Piazolla.874

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
874 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ancient

Virusul produce efecte sonore.
Ecranul va fi curatat sau va fi afisata cu culori diferite pentru '*' pina cind tasta va fi eliberata.
Virusul produce efecte vizuale.
Ecranul va fi curatat sau va fi afisata cu culori diferite pentru '*' pina cind tasta va fi eliberata.
Spatiul ocupat pe disc:
796 o.
Ecranul va fi curatat sau va fi afisata cu culori diferite pentru '*' pina cind tasta va fi eliberata.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Nu este rezident in memorie. Vor aparea mesaje de eroare cind virusul incearca sa infecteze fisiere protejate la scriere.


 Pixel.251

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
251 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.846

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
846 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Hydra.368

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
368 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Platov.1644

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
1644 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Polimer.512

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Powertrip.423

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
423 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Print_Screen_Boot.A

Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Virusul este rezident in memorie. Nu se manifesta distructiv. Nu este criptat. Nu foloseste tehnici de ascundere. Nu se poate raspindi prin e-mail, Internet, sau prin alte servicii online. Virusul "deplaseaza" sectorul original de boot la ultimul sector din directorul radacina,


 Prudents.1205

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1205 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Quake.518

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
518 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Radyum.519

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
519 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rape.1882

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1882 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Ravage

Pseudonime:
Dodgy
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13
Mesaje afisate de virus:
"RAVage is wiping data! RP&muRPhy"
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 0/0/14,15 pe un hard disc.
- Pista/capul/sectorul 0/1/14,15 pe un floppy de 1.44 MO.
Efecte distructive:
Distruge primele 14 sectoare ale pistei 1 (a doua) de pe fiecare cilindru. Se distrug toate boot-urile , prima copie a FAT-ului de pe fiecare partitie si citeva sute de fisiere (adica o mica parte dar asta reprezinta destul de mult in special pentru aplicatiile complexe). Fisierele mari decit jumatate de cilindru au sanse reduse de a mai fi salvate.
Conditii de declansare a infectarii:
Prima pornire a calculatorului dupa 3 luni de la infectare sau dupa 26 de executii ale programului RAV.


 Retribution

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1663 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Riot.441

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
441 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Conjurer.433

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
433 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Eternity.562

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
562 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Angarsk.238

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
238 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Keyb.756

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
756 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Ravage.393

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
393 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Robal.2048

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Russel.1235

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1235 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Saratoga.642

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
642 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 SayNay

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5115 o.
Mesaje afisate de virus:
Magic! ;) ; Mesajul continut de virus si afisat nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
SayNay

naysaynay.asm saynay.bat

Magic! ;) ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Modul de autodetectare a virusului pe disc:
Compara sase bytes, aflati la offset-ul 3 in fisier, cu sirul 'SayNay'.
Comentarii:
Referitor la rutina principala de infectare, virusul SayNay nu are surprize. Singurul punct interesant despre SayNay este faptul ca poate lasa (drop) propriul sau cod sursa intr-un fisier ASM. Nu am mai intalnit un alt virus care sa posede un format executabil (COM, EXE, SYS, etc) si care sa faca asta asa de bine.
Pentru a realiza aceasta, virusul contine propriul sau cod sursa criptat (4633bytes), in corpul sau, ceea ce explica de ce este asa de mare.
SayNay lasa codul sursa daca utilizatorul cere el asta. Inainte de a trece controlul rutinei de infectare, virusul verifica argumentele liniei de comanda date programului gazda de catre utilizator. Daca primul argument incepe cu caracterele 'NAY', virusul apleaza codul 'dropper'.
Mai intai, rutina de trigger afiseaza, pentru utilizatorul norocos, mesajul urmator:
Magic! ;)
In continuare, virusul creeaza doua fisiere, numite SAYNAY.ASM si SAYNAY.BAT. Apoi, rutina trigger decripteaza atâat propriul sau cod din corpul virusului, plasandu-l in fisierul .ASM, precum si in unele fisiere de comenzi batch, plasandu-l in fisierul .BAT.
Cand aceste operatii s-au terminat, SAYNAY.BAT contine comenzile:
Tasm /M2 SayNay.Asm
Tlink /T SayNay.Obj
Copy /B SayNay.Com+SayNay.Asm
iar, SAYNAY.ASM contine 4633 bytes care reprezinta codul sursa al virusului.
Ca rezultat, exista doua noi fisiere in directorul curent. Primul contine codul sursa al virusului; al doilea, instructiunile necesare compilararii codului sursa pentru a construi virusul.
Atunci cand este executat, fisierul BAT executa asamblorul Borland si link editorul (daca acestea nu sunt prezente, fisierul batch va esua) pentru a realiza codul 'imediat' al virusului, care contine codul binar al infectiei si rutinele de trigger, dar nu si textul sursa.
Apoi, virusul adauga textul sursa la codul binar, folosind comanda COPY. Fisierul rezultant (dropper-ul) contine codul virusului impreuna cu sursa sa, in forma necriptata. Cand se executa, acest 'dropper' (numit SAYNAY.COM) cripteaza aceasta sursa inainte de a cauta orice alte fisiere COM pentru a le infecta.
Acum ciclul este complet: virusul si-a produs codul sursa si fisierul batch, acesta din urma, la randul lui a creeat dropper-ul care va infecta, apoi, fisierele cu un virus ca si cel original.
SayNay este un virus putin curios - el se poate raspandi in lumea reala prin intermediul tehnicii sale principale de infectare; cea a infectarii directe a fisierelor COM. Si totusi, a doua tehnica, este cu totul alta poveste. Aceasta este activata doar atunci cand utilizatorul furnizeaza un argument specific, in linia de comanda, ceea ce in realitate nu se intampla prea des.
Eliminarea virusului: In conditiile unui sistem curat, se identifica fisierele infectate si se inlocuiesc. De asemenea, se cauta si se sterg fisierele SAYNAY.ASM si SAYNAY.BAT.


 Search.198

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
198 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.413

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
413 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Semtex.619

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
619 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shaman.251

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
251 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shira-2048

Pseudonime:
Shira-2048
Virusul produce efecte sonore.
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Micsoreaza MCB-ul curent si creeaza un nou MCB in spatiul eliberat, copiind marcajul MCB-ului original.
Dimensiunea memoriei ocupate:
8336 o.
Spatiul ocupat pe disc:
2048 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje neafisate dar continute de corpul virusului:
"Producted by Mr.Watshira Sae-eu KMIT-NB Date 12/28/1990 BIOS" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului (pentru fisiere COM).
- Foloseste lungimea fisierului DOS (pentru fisiere EXE).
Raspandirea virusului:
In circulatie. Regiunea geografica: Thailand ; la data: 4/13/94
ntreruperi interceptate:
21 / 11
21 / 12
21 / 4e
21 / 4f
21 / 4b00
21 / 19
09
1C
Efecte colaterale:
Daca CapsLock, NumLock, ScrollLock si Insert sunt pe "on", iar Ctrl-Alt-w este apasat, virusul face ca sistemul sa sune (beep).
Conditii de declansare a infectarii:
(INT21/4B00) and (Length>2048)
Modul de autodetectare a virusului in memorie:
Daca virusul este rezident si se produce un INT21/1900, el compara apelantul cu el insusi, si daca virusul este apelantul, trece controlul mai de graba inapoi gazdei si nu virusului. Astfel, atunci cand virusul este cel care se executa primul si face un INT21/1900, nu returneaza daca virusul este deja rezident. (INT21/1900 => runs host)
Modul de autodetectare a virusului pe disc:
0x28 words at start (COM) or end-2048 (EXE) == virus startup code.
Comentarii:
Stilul de codificare foarte ciudat sugereaza faptul ca virusul s-ar putea sa fi fost scris manual, in DEBUG sau altceva. Handler-ul INT1C (timer exit) este folosit pentru a re-encripta, constant, o a doua copie a virusului, folosind o noua cheie, aparent pentru nici un motiv (aceasta a doua copie este folosita in timpul infectarii; poate ca a fost cel mai bun generator de numere aleatoare pe care autorul l-a putut gandi). Handler-ul INT09 este folosit pentru a realiza un beep Ctrl-Alt-w, daca toate tastele Lock sunt pe "on". (Iata un test la indemana pentru infectare!)


 Silence.555

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
555 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyC.155

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
155 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.264

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
264 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyC.553

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
553 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 AntiPascal.400

Pseudonime:
Anti-Pascal 400
AP-400
Anti-Pascal II
Anti_Pascal(2)
Anti-Pascal II-A
Anti-Pascal_II.400
Pascal-400
Fam3 [F3]
Anti-Pascal
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
Sofia, Bulgaria
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
0CA (the signature), *.COM,

?????????A?, PAD. ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
Infecteaza COM-uri daca dimensiunea lor, anterioara infectarii, este de 2K sau peste, dimensiune acestora dupa infectare va fi sub liita de 64K. Modifica sectorul de boot, dar nu rezida acolo.
ntreruperi interceptate:
24
Intreruperi utilzate: 21/0E, 21/13, 21/19, 21/1A, 21/3D, 21/3E, 21/3F, 21/40, 21/4200, 21/4202, 21/4301, 21/4C, 21/4E, 21/5701, 25, 26.
Efecte distructive:
Pagubele sunt substantiale. Daca nu poate gasi un fisier COM pe care sa-l infecteze pe drive-ul disponibil, sau doua fisiere COM pentru a le infecta pe drive-ul curent, virusul Anti-Pascal II va sterge o pereche de .BAK, .PAS si .BAT, daca le poate gasi. Poate altera sectorele de boot de pe hard disc.
Comentarii:
Propagare: Cand un program infectat este executat, acest virus incearca sa infecteze un fisier COM in fiecare director root disponibil (A:, B:, C:, etc.). Virusul plaseaza un jump la startul fisierului COM, iar restul corpului virusului este plasat in bottom. Marcajele de data si ora ale fisierelor nu sunt schimbate dupa infectie asa cum se intampla in cazul altor variante. Virusul a re mai multe versiuni: Anti-Pascal II 440A are lungimea de 440bytes; Anti-Pascal II 480A are o lungime de 480bytes. Ultimele versiuni nu sterg fisierele .BAT.


 SillyOR.DOS5.66

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
66 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 SillyRC.169

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
169 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRCE.263

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
263 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Simulation

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1205 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sirius.Annihilator.304

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
304 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Sistor.2605

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2605 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Slava.492

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
492 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Slowlite

Loc de rezidenta:
Virusul nu este rezident in memorie dar instaleaza un 'payload' rezident.
Spatiul ocupat pe disc:
4505 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 7/28/93
ntreruperi interceptate:
08 / payload
Conditii de declansare a efectelor nedistructive:
Payload instalat in memorie daca anumite conditii sunt indeplinite in timpul actiunii directe de infectare la scanare: si anume, daca un director scanat pentru fisiere .EXE contine deja sase fisiere infectate.
Efecte colaterale:
Deoarece virusul redenumeste originalul .EXE si-l inlocuieste cu el insusi, programele care citesc date critice, din imaginea lor de pe disc, vor accesa un fisier gresit. Astfel de programe fie trebuie sa detecteze aceasta problema, fie vor esua in executie. La executarea unui program infectat, fiecare director, aflat la un nivel sub root, este scanat pentru fisiere .EXE, cu o sansa de 1 la 4. Oricare astfel de .EXE gasit are sanse, de a fi lovit, de 1 la 3.
Modul de autodetectare a virusului pe disc:
Prezenta unui fisier companion.
Comentarii:
Fisierele devenite infectate sunt redenumite cu o extensie de trei litere, derivata via o secvente pseudo-aleatoare, formata cu ultima litera din numele fisierului. Fisierul .EXE original este recreeat, via un apel CreateFile, iar virusul este rescris la inceputul acestui fisier. Fisierul este astfel aranjat, pana cand ajunge sa aiba aceeasi dimensiune ca si programul original. Cand se executşa un program infectat, de fapt ceea ce se executa este virusul. El pretinde sa replice via o actiune directa, iar apoi face "Exec" cu fisierul companion redenumit astfel. Pentru a preintampina simpla eliminare a virusului prin redenumirea fisierelor companion, virusul encripteaza primii 500 bytes din companion, facand peste ele XOR cu un buffer fixat. Aceasta encriptare este realizata inainte de Exec si reaplicata ulterior. Extensiile fisierului companion sunt create astfel: chr(ord('A'+random(26))) +
chr(ord('A'+random(26))) +
chr(ord('A'+random(26))) ceea ce are ca efect initializarea lui "randseed" la valoare ultimului caracter din numele fisierului. Blocul de encriptare XOR este reprezentat de primele 500 numere rezultate dintr-o randomizare(256), dupa initializarea lui "randseed" la 128. Codul generatorului de numere aleatoare se potrivese cu cel din Turbo Pascal 5.5 - daca nu chiar exact, cel putin ca functionalitate.


 Small.128

Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
128 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.185

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
185 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smiley.1983

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1983 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip.


 Soldier.545

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
545 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Spellbound.1164

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1164 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ssi.Uncle.1377

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1377 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Steryd.399

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
399 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Stoned.Manitoba

Pseudonime:
Stonehenge
Stonheng
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza boot-ul.
- Infecteaza MBR-ul de pe hard disc.
Comentarii:
Virusul este rezident in memorie. Sistemul infectat va raporta cu 2K mai putin din memoria totala. Cind se boot-eaza de pe o discheta infectata sistemul se va opri. Cind se boot-eaza de pe un hard infectat, este posibil ca unele dischete sa nu mai pot fi citite, si asta pentru ca virusul afecteaza (usor) BIOS-ul, dar asta depinde de versiunea sistemului de operare si de tipul dischetei. Sectorul original de boot de pe hard va fi "mutat" la locatia fizica : cilindru 0, fata 0, sector 6. Virusul a aparut in Decembrie 1993.


 Appelscha.2161

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2161 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Stupid.1355

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1355 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SVC.3103.a

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3103 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sword.794

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
794 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Comentarii:
Este a varianta a virusului Sword.794.B care este putin corupta, contine textul 'The POWER of my SWORD!!!' si nu infecteaza bine fisierele COM,ů. Ambele variante sunt detectate cu acelasi pattern hexa.


 Tack.460

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
460 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tankard.493

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
493 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 TenBytes.1514

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1514 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 32 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TerraX.1027

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1027 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 TimerJack.1106

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1106 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Timid.330

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
330 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.143.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
143 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tiny.Fred

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
255 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Torm.263

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
263 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 TPE.Girafe.d

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3002 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Trash.512

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.157

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
157 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.32

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
32 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.335

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
335 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.46

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
46 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Banana.139

Pseudonime:
Minimal.Banana
Banana
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
139 o.
Originea geografica:
Stockholm, Sweden
Mesaje neafisate dar continute de corpul virusului:
BANANA, coded by

Morbid Angel' '-92 in Stockholm/Sweden*.COM. ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie o parte din fisier, distrugandu-l


 Australian.Twelve.320

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
320 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 B3

Spatiul ocupat pe disc:
483 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AX=4B00h
24
Efecte distructive:
Virusul verifica daca data sistemului este 26 Iunie cind va distruge toate datele de pe hard disc. Altfel verifica daca este rezident in memorie iar daca nu este va deveni rezident interceptind intreruperea INT21h
Comentarii:
Cu o copie a sa, virusul va infecta fiecare fisier neinfectat care se executa. Fisierele EXE nu sint infectate. Intreruperea INT24heste folosita cind sint infectate fisiere.


 Backtime.512

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 BadSector.3428

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3428 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Barrotes.849

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
849 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Batman.186

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
186 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Burger.509

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
509 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 BWME.Test.1287

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1287 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Career.697

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
697 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 CASTEGGI

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
2881 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21 / AX=4B00h
1C
24
Efecte distructive:
Daca DAY>10, virusul va intercepta INT 1Ch, pentru aproximativ 6 min., cind imaginea ecranului va fi distrusa.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "Nu" va deveni rezident interceptind INT 21h. Apoi se va executa programul original, dupa care infecteaza orice fisier "curat" COM sau EXE. INT 24h este interceptata pentru a nu fi divulgat cind infectaza fisiere protejate la scriere.


 CGA Driver Trojan

Virusul nu este de fapt un virus, ci un cal troian, adica un program care nu se raspandeste, ci doar provoaca stricaciuni.
Virusul este scris intr-un limbaj de nivel inalt deci seamana cu programele scrise in acel limbaj.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Cga Graphics Driver - Version 12.23 Beta

Written by Dustware Software (C)opyright 1986,90 by Dustware Inc

Thank you for selecting this product. We here at Dustware hope you enjoy this new technology product designed for the CGA user. If you have any questions or comments, please call our business office at 1 800 383 5444 Extension 38. Thank you. Press ENTER:

Type of Computer:

1 IBM XT 8088

2 IBM AT 80286

3 IBM 386

Your type:

Type of CGA card:

1 Hurcules

2 Zenith

3 Auto Detect for Card Brand (Best Choice!)

Your Type:

Scanning For Card...

Done!

Does your Computer have a Hard Disc y/n?

Saving Information...

Done!

Example: C:\

Path of Autoexec.Bat and Config.Sys:

Thanks. Your Information has been saved and written to disk. Files:

CGADRV.SYS has been added to your Config.sys. Reset your Computer NOW.

Thanks for using this Dustware Product. Order your catalog today! Free.

Refer to the Doc for Help.

Waiting for Reset...
Comentarii:
In timp cevirusul isi afiseaza mesajul, drive-urile H: pana la A: (in aceasta ordine) vor fi suprascrise. Acest Trojan este scris in Pascal.


 Chaos.1241

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1241 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cyberloard.381

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
381 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 D-TINY

Spatiul ocupat pe disc:
126 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Virusul verifica daca este rezident in memorie. Daca "nu" intercepteaza INT 21h pentru a deveni rezident. Se executa apoi programul original, dupa care va infecta toate fisierele COM "curate" care se executa. Cind virusul incearca sa infecteze fisiere protejate la scriere vor aparea mesaje de eroare. (nu intercepteaza INT 24h)


 Dark_Avenger.1801

Pseudonime:
Dark Avenger
Dark Avenger #6
Dark Avenger [Dav]
Dark Avenger-1801
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Dimensiunea memoriei ocupate:
1801 o.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza (din greseala) overlay-urile (.OVR).
- Infecteaza drivere de dispozitive (.SYS).
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
A se vedea si:
Dark_Avenger.1800
Dark Avenger-1801
Dark Avenger #6
Eddie #5
Dark Avenger #4
Dark Avenger #7
Dark Avenger #3
Dark Evil
Comentarii:
Infecteaza fisierele atunci cand sunt dechise, inchise sau la scanarea directorului. Ca replicare: muta pointerul de fisiere, citeste/scrie fisiere, obtine/reseteaza data fisierelor. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se putea lega la orice locatie dintr-un fisier executabil - ceea ce este comun virusilor. Programul intercepteaza incarcarea unui software, pentru a-l putea infecta. Are acces in scriere la disc, realizand aceasta fara a folosi DOS. Codul sau este rezident in memorie - programul ar putea ramane rezident. Determina EXE/COM pentru a putea infecta programele respective.


 Datacrime

Pseudonime:
1168
Columbulus Day
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21
Efecte distructive:
In data de 12 Octombrie va formata hard discul low-level.
Comentarii:
Virusul verifica daca este deja rezident in memorie. Daca "Nu" va deveni rezident interceptind INT 21h, dupa care se executa fisierul original. Intre 1 si 12 Octombrie va infecta toate fisierele COM. Dupa 12 Octombrie va afisa mesajul "DATACRIME VIRUS Released: 1 March 1989.", dupa care va formata hard discul.


 Dead.1362

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1362 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Dei.1780

Virusul produce efecte vizuale.
Structura virusului din fisierele EXE si COM infectate difera: detectarea nu se poate baza pe un simplu template. Pentru EXE este cea indicata alaturat, iar pentru COM-uri este urmatoarea: C706 ???? 2E30 B60E C706 ???? 0743 B??? ??E9
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Structura virusului din fisierele EXE si COM infectate difera: detectarea nu se poate baza pe un simplu template. Pentru EXE este cea indicata alaturat, iar pentru COM-uri este urmatoarea: C706 ???? 2E30 B60E C706 ???? 0743 B??? ??E9
Spatiul ocupat pe disc:
1780 o.
Structura virusului din fisierele EXE si COM infectate difera: detectarea nu se poate baza pe un simplu template. Pentru EXE este cea indicata alaturat, iar pentru COM-uri este urmatoarea: C706 ???? 2E30 B60E C706 ???? 0743 B??? ??E9
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Mesaje neafisate dar continute de corpul virusului:
'Devils & Evangels Inc. [DEI] MnemoniX v2.00\DEI.COM' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.1459

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1459 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Jasper

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2829 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ein-Volk

Spatiul ocupat pe disc:
482 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Efecte nedistructive:
Nu se manifesta distructiv.
Comentarii:
Virusul cauta fisiere COM din directorul curent. Va infecta toate aceste fisiere daca sint "curate". Vor aparea mesaje de eroare cind virusul incearca sa infecteze fisiere protejate la scriere.


 Emmie.3097

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3097 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 3Y.853

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
853 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Europe.424

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
424 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 FrodoSoft.563

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
563 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Galya.500

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Gergana.222

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
222 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ginger.Orsam.2624

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2624 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Abal.758

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
758 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Glemp.877

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
877 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Gotcha.605

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
605 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 HLLC.Globe.6610

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
6610 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.Xmas.15264

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
15264 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.7392

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7392 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.10304

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
10304 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Acapulco.1971

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1971 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 HLLP.5792

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Nazi.4415

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
4415 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.CVEX.6144

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
6144 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Maroccan

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1970 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Satan.1719

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1719 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 1 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Taiwan.3454

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3454 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 AE-BUG

Spatiul ocupat pe disc:
1016 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Romania
Mesaje afisate de virus:
La data de 6 Septembrie este afisat un mesaj obscen.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Efecte distructive:
La 6 Septembrie, memoria CMOS este stearsa, iar primele doua sectoare de pe hard disc sint suprascrise. Deasemenae distruge fisierele EXE in timpul link-editarii.


 Joker3.1084

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1084 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Justice

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1242 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Lct.762

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
762 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leningrad.2000

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Leprosy.591

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
591 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.BadBrains.570

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
570 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Alabama

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2884 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Sandra.534

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
534 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.Taz.2209

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2209 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MBRExe

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 MemLapse.449

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
449 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Mephisto.6.654

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
654 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MGUL.950

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
950 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Alia.Prodigy

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
4096 o.
Spatiul ocupat pe disc:
1024 o.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 4B
21 / 3D
Virusul prinde int 21/4B si 21/3D pentru virusare. Pentru a se ascunde de anti-virusii care scaneaza memoria euristic si care ar putea sa depisteze comparatia cu 4B si 3D, inaintea testului pentru functia DOS, registrul AH (selector de functie DOS) este incrementat, iar testul se face cu 4C si 3E, valori "inofensive" care nu trezesc vigilenta anti-virusilor.; Virusul prinde int 21/4B si 21/3D pentru virusare. Pentru a se ascunde de anti-virusii care scaneaza memoria euristic si care ar putea sa depisteze comparatia cu 4B si 3D, inaintea testului pentru functia DOS, registrul AH (selector de functie DOS) este incrementat, iar testul se face cu 4C si 3E, valori "inofensive" care nu trezesc vigilenta anti-virusilor.; Virusul prinde int 21/4B si 21/3D pentru virusare. Pentru a se ascunde de anti-virusii care scaneaza memoria euristic si care ar putea sa depisteze comparatia cu 4B si 3D, inaintea testului pentru functia DOS, registrul AH (selector de functie DOS) este incrementat, iar testul se face cu 4C si 3E, valori "inofensive" care nu trezesc vigilenta anti-virusilor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Romania
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor. ; numarul de octeti constanti din decriptor este 3
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
ntreruperi interceptate:
21 / 4B
21 / 3D
A se vedea si:
Alia.8087
Efecte colaterale:
Memorie mai putina si UMB-uri inaccesibile.
Modul de autodetectare a virusului in memorie:
0:[510h]=43h
Modul de autodetectare a virusului pe disc:
File[1Ah]='C'
Comentarii:
Sistemul de criptare este deosebit, insa ceva mai slab decat la Alia.8087.


 Mindless.423

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
423 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mini.129

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
129 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VACSINA.06

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1269 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 132 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VCOMM.637

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
637 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Veronika.1549

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1549 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Vico.500

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
500 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Arcv.795.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
795 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.353

Pseudonime:
VHP 353
1701
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
353 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Bulgaria
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
ntreruperi interceptate:
24
Efecte distructive:
Pagubele sunt substantiale. Un fisier COM selectat este stricat permanent: prin suprascrierea primilor cinci bytes cu un far jump la HD-low-level-format-routine (doar pentur XT).
Conditii de declansare a efectelor distructive:
IF (system seconds AND 7) = 0, ELSE infection!
Modul de autodetectare a virusului pe disc:
Marca de timp a fisierelor infectate este modificata: secundele sunt setate la valoarea 62 (= 2 * 1Fh).
Comentarii:
Atunci cand un fisier infectat este executat, fisierele COM din directorul curent precum si cele din directoarele prevazute in PATH vor fi extinse prin adaugarea codului viral. Fisierele COM sunt infectate aleator, daca este indeplinita conditia: IF (system seconds AND 7) <> 0. Nu vor fi infectate fisierele mai mici de 10 bytes si mai mari de 64000bytes. Virusul ignora atributele read-only si hidden. Virusul a derivat din Vienna.648, deosebindu-se de acesta prin cei cinci bytes stricati, prin codul optimizat si prin lungimea scazuta.


 Vienna.520

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
520 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Voronezh.650

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
650 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 W97M.KLA.A

Pseudonime:
MW97:KLA family
Word97Macro/KLA.A
W97M/KLA
Macro.Word97.kla
KLA.A
Mesaje afisate de virus:
Cind se intra in meniurile : Tools/Macro, Tools/Templates, Tools/Macro/ViewVBCode , virusul va afisa mesajul : "Word Basic Err =7".
Comentarii:
Este un virus de Word care are doua module: Kim, KLAFrm. Modulul "Kim" contine 11 macro-uri: Kim, FileNew, FileSave, FileClose, FileSaveAs, FilePrint, FileExit, ToolsMacro, FileTemplates, ViewVBCode, n. Apelind fiecare macrou, implicit se va apela macroul "Kim", care va infecta sistemul si documentele.


 Werehere.836

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
836 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WINSTART

Virusul este de fapt un "dropper"'.
Acesta este pattern-ul hexa din memorie (HMA); pentru fisiere este urmatorul: 4045 4348 4F20 294F 4646 0D0A 3A73 2572 230D 0A43 4F50 5920
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH.
Dimensiunea memoriei ocupate:
173 o.
Acesta este pattern-ul hexa din memorie (HMA); pentru fisiere este urmatorul: 4045 4348 4F20 294F 4646 0D0A 3A73 2572 230D 0A43 4F50 5920
Spatiul ocupat pe disc:
297 o.
Acesta este pattern-ul hexa din memorie (HMA); pentru fisiere este urmatorul: 4045 4348 4F20 294F 4646 0D0A 3A73 2572 230D 0A43 4F50 5920
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
2F
24
Partea rezidenta a virusului intercepteaza doua functii Int 2Fh. Prima este un apel 'Are you there?' cu AX=B700h. Daca apelul corespunzator este realizat, virusul intoarce imediat valoarea Ffh in registrul AL. A doua functie este AX=AE00h, fiind cea folosita de fisierul COMMAND.COM inainte de fiecare comanda executata pentru a vedea daca linia de comanda trebuie tratata de un TSR sau de COMMAND.COM insusi. Indiferent de apel, virusus primeste controlul.

Apoi, el decide daca face dau nu 'drop' cu o copie a sa pe drive-ele floppy. Aceasta se intampla daca anumite conditii sunt indeplinite si anume:

• daca drive-ul curent este A sau B

• daca discul este plin mai mult de 50% (probabil in incercarea de a ascunde WINSTART.BAT din listingul director).

Daca se decide sa infecteze, virusul inetrcepteaza Int 24h pentru a preveni aparititia mesajelor de eroare DOS in eventualitatea ca incearca sa scrie pe un disc protejat la scriere. Apoi, creaza un nou fisier WINSTART.BAT pe drive-ul curent si copiaza acolo C:\WINSTART.BAT.
Modul de autodetectare a virusului in memorie:
Apelul 'Are you there?' folosind Int 2Fh with AX=B700h. Segmentul TSR al virusului returneaza FFh in registrul AL.
Comentarii:
In ultimii ani, numarul metodelor diferite de infectare cu virusi a crescut de cateva ori. Pentru a lista doar cateva, au putut fi vazuti virusi 'cavity', 'link' precum si virusi de cod obiect si sursa. Toate aceste tehnici sunt noi si nici nu putea fi imaginate pe la mijlocul anilor 1980. Multe dintre variantele fiecarei metode si tehnici folosite pentru a le implementa exista deja. Noul infector companion, al fisierelor BAT, rezident in memorie, cunoscut ca WINSTART, este o exemplificare buna pentru ceea ce se poate face cu sistemele bazate pe DOS.
Instalare --> Virusul isi trage numele de la fisierul WINSTART.BAT, in care rezida corpul virusului. Acest fisier particular are doar 297 bytes lungime si contine urmatoarele patru linii text:
@ECHO
:s%r#
COPY %0.BAT C:\Q.COM>NUL
C:\Q
La executia acestui fisier BAT, virusul se copiaza intr-un dropper COM, care se executa ca un fisier COM. Dropper-ul se auto-instaleaza in High Memory, intercepteaza Int 2Fh si creeaza WINSTART.BAT pe drive-urile floppy. In final, corpul virusului este copiat in noul fisier BAT creeat.
Rezidenta --> Daca virusul nu este deja rezident, el va aloca un bloc de memorie din High Memory Area (HMA), folosind Int 21h, functia AX=4A02h. Solicitarea este doar pentru 173 bytes - desi, acest spatiu este suficient de mare pentru ca virusul sa se instaleze in memore. El copiaza din codul sau 168 bytes, in blocul de memorie, de asemenea, stocheaza acolo adresa handler-ului curent Int 2Fh. Codul copiat contine doar handler-ul Int 21h al virusului si rutina de infectare: rutina de instalare nu este plasata in segmentul TSR al virusului.
Eliminare--> Se sterg fisierle WINSTART.BAT care contin sirurile text ASCII, listate anterior.


 Arcv.Ice.224

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
224 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WM.Andry.A

Pseudonime:
MW:Andry-A
Winword.Andry
Andry
Macro.Word.Andry
WordMaco/Andry
Originea geografica:
Bandung, Indonesia
Data aparitiei: 28 Februarie 1997.
Mesaje afisate de virus:
La data de 1 Martie, virusul seteaza asupra documentelor infectate parola "Andry Christman" si afiseaza in status bar : "* I'M ANDRY CHRISTIAN, IF YOU THOUGHT, YOUR DOCUMENTS

OR TEMPLATES WERE SAFE, YOU WERE WRONG ! * " , cit si un dialog cu urmatorul mesaj ; "HACKERS Labs '96 - Hackware Technology Research

ANDRY [CHRISTIAN] WORD MACRO VIRUS IS HERE !!!

DO YOU SUPPORT MY VIRUS ?

YES NO ". In cazul in care este selectata optiunea "NO", virusul va suprascrie fisierul C:\AUTOEXEC.BAT cu comanda: @ECHO OFF CLS ECHO Please wait... FORMAT C:/U/C/S/AUTOTEST>NUL cit si fisierul C:\CONFIG.SYS cu comanda : DOS=HIGH,UMB

FILES=40

BUFFERS=40

DEVICE=C:\DOS\HIMEM.SYS

DEVICE=C:\DOS\EMM386.EXE RAM . Virusul (depinde de timpul sistemului) insereaza textul " Hello..." in documentul curent.
Efecte distructive:
La data de 1 Martie, la un anumit moment, virusul declanseaza o comanda de formatare: COMMAND /C FORMAT C: /U /C /S /AUTOTEST > NUL .
Comentarii:
Este un virus de Word care contine un macro AutoOpen. Infecteaza documentele cind sint deschise. Nu se ascunde. De cele mai multe ori fisierele infectate pot fi reparate.


 WM.Boom.A:De

Pseudonime:
MW:Boom-A:De
WM/Boom
Winword.Boom
WordMacro/Boom
BOOM
BOOM.A:De
WORD.BOOM
Boombastic
Originea geografica:
Germania
Data nasterii: Julie 1996
Efecte distructive:
Manifestarea distructiva a acestui virus consta in redenumirea meniului din Word dupa cum urmeaza: Datei -> Mr.Boombastic; Bearbeiten -> and; Ansicht -> Sir WIXALOT; Einfuegen -> are; Format -> watching; Extras -> you; Tabelle -> !; Fenster -> !; Hilfe -> !; Un sunet va insoti acest proces de redenumire.
Comentarii:
Boom este al doilea virus scris pentru varianta iu limba germana a Microsoft Word. Are un numar de 4 macro-uri, fiecare cu dimensiunea de 2863 Bytes. Dupa schimbarea meniului creaza un nou Normal.doc in care a introdus urmatorul text: "Greetings from Mr. Boombastic and Sir WIXALOT !!! Oskar L., wir kriegen dich!!! Dies ist eine Initiative des Institutes zur Vermeidung und Verbeitung von Peinli chkeiten, durch in der Oefentlichkeit stehende Personen, unter der Schirmherrschaft von Rudi S.!". Virusul este criptat si se afla in libertate.


 YanShort.Vote.1961

Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1961 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Yog.794

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
794 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Zipper.2779

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2779 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Arianna.2864

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2864 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Ash.Pizza.1602

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1602 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Astra.7821

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
7821 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza drivere de dispozitive (.SYS).


 Athens.1561

Pseudonime:
Trajector
Trojector.1561
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
3776 o.
Spatiul ocupat pe disc:
1561 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Athens, Greece
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.

Regiunea geografica: Athens, Greece ; la data: 7/1/93
Regiunea geografica: Iceland ; la data: 6/15/94
Regiunea geografica: USA ; la data: 6/15/94
Efecte nedistructive:
Intregul virus este encriptat, inclusiv primii trei bytes originali ai fisierului COM, precum si portiuni din header-ul original al fisierelor EXE. Ca urmare, eliminarea unui astfel de virus necesita o abordare generica sau una specifica care sa inteleaga algoritmul utilizat. Virusul infecteaza orice fisier avand extensia COM sau EXE, si care poate fi infectat. In plus, orice COM sau EXE care este copiat, indiferent de nume, va avea copia destinatie infectata. Astfel, daca ABC.COM este copiat ca ABC.BAK, ambele vor fi infectate, precum si 1561 bytes adaugati. Atunci cand este rezident, cresterea in dimnsiune a fisierelor nu este vizibila. Gradul de infectare este extrem de ridicat.
Comentarii:
Cand virusul este rezident, fisierele infectate nu vor "arata" nici un fel de crestere a dimensiunii lor. Totusi, datele lor vor fi afisate cu vreo12 ani mai devreme fata de cand a fost infectat fisierul. Tot cand este rezident, comanda TYPE nu va arata nimic in fisier. Daca aplicatia din care Athens se executa prima data necesita reincarcarea unei portiuni tranzitorii din COMMAND.COM, Athens va infecta imediat COMMAND.COM cu care s-a boot-at, atunci cand primul fisier infectat este executat. Dupa prima executie, Athens ajunge rezident, incarcabil in topul memoriei conventionale. Fisierele infectate au 100 de ani adaugati la data lor. Infecteaza fisierele in deschidere (pentru executie, scanare, copiere). Cand este rezident iar un fisier este copiat, Athens infecteaza deopotriva fisierul sursa cat si pe cel destinatie. Tot cand este rezident, scanner-ele traditionale vor raspandi infectia catre toate fisierele infectabile care sunt scanate. Cand un fisier avand extensia COM este infectat (sau EXE-ul nu incepe cu MZ), primii trei bytes sunt inlocuiti printr-un "jump" la virus. Cand este rezident, virusul esueaza (functioneaza eronat) in ascunderea datei pe care o plaseaza in fisiere. Un fisier neinfectat avand o marca de data 1993 (afisata ca 93) va avea deci data setata la 2093 (afisata in mod normal ca 93). Dar Athens va afisa data de... 81. Un program de afisare a unui director plin va arata anul ca fiind 1981!


 Australian.1135

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1135 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.221

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
221 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.635

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
635 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.Little.152

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
152 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beer.2794

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2794 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Berserker.3537

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3537 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 BigMouse.1007

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1007 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 BitAddict.512.a

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Blackjec.276

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
276 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Blackmonday

Pseudonime:
Black Monday #2
DNR [DNR]
Black Monday
Black Monday #1
Black Monday #3
Black Monday #4
Black Monday #5
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1055 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
ntreruperi interceptate:
21
24
A se vedea si:
Black_Monday
Black_Monday.A
Black_Monday.B
Black_Monday.1055.A
Black_Monday.1055.A.2
Black_Monday.1055.A.3
Black_Monday.1055.A.4
Black_Monday.1055.A.5
Black_Monday.1055.A.6
Black_Monday.1055.A.7
Black_Monday.1055.B
Black_Monday.1055.C
Black_Monday.Bordeline
Black_Monday.Bordeline.2
Comentarii:
Replica la deschiderea fisierelor, obtinand si setand atributele. Dezactiveaza si activeaza intreruperile. Efectele pot fi activate in functie de data. Verifica daca data este o zi de Luni. Virusul acceseaza discul in scriere; scrie pe disc fara a folosi DOS.


 Bob

Spatiul ocupat pe disc:
1117 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
"1 Bob Ross lives! 2 Bob Ross is wathing! 3 Maybe he lives here…."
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
ntreruperi interceptate:
8
Comentarii:
Virusul cauta in directorul curent toate fisierele COM "curate" pe care apoi le infecteaza cite 3 deodata. In data de 7 Septembrie este interceptata INT 8h si se afiseaza mesajul.Virusul Bob nu este rezident in memorie. Nu intercepteaza INT 24h pentru a se feri cind infecteaza un fisier care este protejat la scriere.


 Bow

Virusul este scris intr-un limbaj de nivel inalt deci seamana cu programele scrise in acel limbaj.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
5856 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / AH=4Bh
Efecte distructive:
Nu se manifesya distructiv.
Comentarii:
Vor aparea unele mesaje de eroare pentru ca virusul nu intercepteaza INT 24h si va surprins cind va incerca sa infecteze fisiere protejate la scriere.


 Bua

Pseudonime:
Big Caibua
Bua
Vienna.Bua
Butthead
Virusul are manifestari extrem de puternice si imediate care-l fac sa fie detectabil imediat, chiar si de catre utilizator, deci el nu ar putea apare pe un PC decat daca a fost pus intentionat acolo.
Loc de rezidenta:
Virusul nu este rezident in memorie dar instaleaza un 'payload' rezident.
Spatiul ocupat pe disc:
2200 o.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Mesaje afisate de virus:
'O.J. IS GUILTY!!' ; Mesajul continut de virus si afisat este criptat.
'Tempest, Live for yourself... You do not know what love is yet... wait, it will come... No worries...' ; Mesajul continut de virus si afisat este criptat.
Mesaje neafisate dar continute de corpul virusului:
'Big Caibua' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
Conditii de declansare a infectarii:
Nu se declanseaza inainte de 5 mai 1995, sau inainte de 3pm si dupa 7pm. Altfel, afiseaza intotdeauna o animatie obscena si, dupa douazeci de generari, poate face una din urmatoarele "fapte benefice": creeaza directoare, avand nume dubioase, in directorul curent; sterge *.* din directorul curent, incearca sa formateze prima pista a tuturor drive-urilor sau distruge primele 800 sectoare de pe hard disc.
Modul de autodetectare a virusului pe disc:
Campul secundelor din marcajul de timp este 56 sau mai mare.
Comentarii:
Bua este un exemplu pentru cat de repede se poate raspandi un virus in moderna lume electronica, puternic conectata - in acest caz prin intermediul unui screensaver infectat, COOLSAVR.COM, care a fost distribuit ca o colectie de astfel de programe, numita BESTSSVR.ZIP. Aceasta arhiva a fost gasita intr-un numar foarte mare de BBS-uri Nord Americane, care i-au asigurat distribuirea - mai ales ca micile BBS-uri le oglindeau pe cele mari.
Odata infectat cu Bua, fisierul original era comprimat cu PKLITE, iar bytes-ii semnaturii PKLITE erau eliminati. Aceasta da de inteles ca virusul a fost plasat acolo in mod deliberat. De asemenea, pare putin probabil ca scanner-ele vor detecta virusul intr-un fisier PKLITE: chiar daca sunt capabile sa vada si sa verifice intr-un fisier comprimat, precum acesta, eliminarea bytes-ilor semnaturii semnifica faptul ca scanner-ele nu vor mai putea realiza ca este vorba despre un fisier comprimat.
Procedura de infectare --> Codul din cadrul virusului care se refera la infectie nu este cu totul original; in esenta, virusul este o varianta simpla de Vienna. Totusi, el este infasurat intr-o criptare constanta si are un 'payload' extins, care ajunge la 1.6KB din totalul de 2.2KB câat este dimensiunea virusului.
Infectia urmeaza drumul obisnuit al unei variante Vienna: mai intai, stocheaza DTA-ul original (Disk Transfer Area), care va fi restaurat mai tarziu, si instaleaza un nou DTA pentru a nu nimici argumentele liniei de comanda ale programului principal.
Rutina de infectare este apelata de doua ori de codul virusului, astfel incat Bua infecteaza, la fiecare executie, maximum doua fisiere COM. Prima infectie va fi cu un byte mai lunga decat parintele; a doua infectie, cu doi bytes mai lunga. Desi nu este in mod strict un contror de generare, serveste acelasi scop pentru acest virus.
Partea din Bua care-l califica drept virus, rutina de infectare, este veche si neinteresanta: singura diferenta de o varianta standard Vienna este data de auto-recunoastere pe care virusul o marcheaza pe fisierele infectate.
Eliminare --> In conditiile unui sistem curat, se identifica si se inlocuiesc fisierele infectate.


 ChineFish

Pseudonime:
Fish Boot
Virusul este prost scris (are erori).
Loc de rezidenta:
Virusul este rezident ca un TSR. adresa 8F20h:000
Dimensiunea memoriei ocupate:
2 ko.
Spatiul ocupat pe disc:
3 sectoare.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 13h / 02h
13h / 03h
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Originea geografica:
Taiwan
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Hello! I am FISH, please don't kill me. Congratulate 80th year of the Republic Of China Building, Fish will help to kill stone Written by Fish in NTIT. TAIWAIN 80.10.18
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.
Locul unde este restul virusului (si BOOT-ul original):
- Pista/capul/sectorul 79.0.11..13(Hard) pe un hard disc.
- Pista/capul/sectorul 0.0.8..10 (Hard) pe un hard disc.
- Pista/capul/sectorul 39.0.1..3
- Pista/capul/sectorul 79.0.1..3 (1.2) pe un floppy de 1.2 MO.
- Pista/capul/sectorul 79.0.11..13 (1.44) pe un floppy de 1.44 MO.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: South Africa ; la data: 9/15/93
ntreruperi interceptate:
10 / 02
10 / 03
10 / 09
13
13 / 00
13 / 02
13 / 03
1A / 04
Atunci cand este rezident, sunt interceptate cateva functii. Acestea sunt: AH = 11h ; Find_First using FCBs

AH = 12h ; Find_Next using FCBs

AH = 30h ; Get DOS version

AX = 4B00h ; Load_and_Execute

Rutina pentru subfunctia 30h este pur si simplu un apel 'Are you there?'; Atunci cand este rezident, sunt interceptate cateva functii. Acestea sunt: AH = 11h ; Find_First using FCBs

AH = 12h ; Find_Next using FCBs

AH = 30h ; Get DOS version

AX = 4B00h ; Load_and_Execute

Rutina pentru subfunctia 30h este pur si simplu un apel 'Are you there?'
Efecte nedistructive:
Afiseaza un mesaj
Conditii de declansare a efectelor nedistructive:
Int13 and (Year>=1992) and (DayOfWeek mod 10 = 1)
Efecte distructive:
Nu
Conditii de declansare a efectelor distructive:
n/a
Efecte colaterale:
Elimina virusul Stoned.Michelangelo
Conditii de declansare a infectarii:
Int13Citire, Int13Scriere
Modul de autodetectare a virusului pe disc:
(M, F)BR[B3h..B4h] = 15h 20h


 Cinderella_II

Virusul modifica data si ora fisierelor infectate.
Si fisierele COM sunt infectate la deschiderea lor.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
63 paragrafe.
Si fisierele COM sunt infectate la deschiderea lor.
Spatiul ocupat pe disc:
779
Si fisierele COM sunt infectate la deschiderea lor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Si fisierele COM sunt infectate la deschiderea lor.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Si fisierele COM sunt infectate la deschiderea lor.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
Finlanda
Si fisierele COM sunt infectate la deschiderea lor.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
"Cinderella II"
Encriptat
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Locul in fisierul infectat unde se instaleaza virusul:
- Suprascrie inceputul fisierului si adauga partea suprascrisa la sfarsitul fisierului (pentru fisiere COM).
- Se adauga la sfarsitul fisierului (pentru fisiere EXE).
Raspandirea virusului:
Eradicat.
ntreruperi interceptate:
21 / 4B
21 / 3D
21 / FA
21 / F9
24
Efecte nedistructive:
"Cinderella II" este scris pe ecran intr-o bucla fara sfarsit.
Efecte distructive:
Distruge primele 8 sectoare de sub capul 1 al cilindrului 0, al primului hard disc.
Efecte colaterale:
Cand vectorul int24 este presupus a fi restaurat dupa infectie, din greseala se restaureaza vectorul int12.
Comentarii:
Infecteaza fisierele *.COM care sunt mai mari de 390 octeti. Dintr-o eroare de programare, virusul poate infecta fisiere cu extensia CO, DOC, OC sau fara extensie. Virusul creaza un fisier numit CINDEREL.LA si reseteaza calculatorul.


 Civilwar.599

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
599 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Ratboy.545

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
545 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Cobra.400

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Companion.246

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
246 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Companion.TrekWar.547

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
547 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Cossiga.883

Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Dimensiunea memoriei ocupate:
883 o.
Spatiul ocupat pe disc:
883 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
"

COSSIGA ?! NO GRAZIE!

By Amissi dee Panoce (c) 1991 PADOVA

"
Mesaje neafisate dar continute de corpul virusului:
"AEGE/B V 1.2" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE.
Efecte nedistructive:
Scrie MSG_DISPLAYED pe ecran si termina
Conditii de declansare a efectelor nedistructive:
(Date >= October_11th) || (Year >= 1992)
Efecte colaterale:
Daca (CS: == DS: ) termina, in loc sa revina la gazda.
Conditii de declansare a infectarii:
IF Volume_label[0..3] != "AEGE" THEN
contorizeaza subdirectoarele din root,
IF (x=(Day_of_Month & Subdir_count)%256 != 0) THEN infecteaza root_subdir #x ELSE infecteaza in directorul curent. (cauta atributul "normal")
Constrangeri necesare virusului pentru a functiona:
Fisierele read-only nu sunt infectate
Comentarii:
In timpul cautarii fisierelor infectabile in directorul tinta, fisierele sunt numarate de fiecare data pentru a incrementa pointerul, cu scopul de a gasi fisierul #X, pentru fiecare fisier cautat.


 CrazyPriest

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1416 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Csl.381

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
381 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Deliver.BlueShark.1771

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1771 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Diamond.584

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
584 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.Lucifer.1086

Pseudonime:
Damage-B
Dark Avanger-1110
Diamond
Lucifer
Rocko [RKO]
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
1086 o.
Spatiul ocupat pe disc:
1086 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
24
A se vedea si:
Dark Avanger-1110
Diamond #3
Diamond #4
Diamond #1
Tuesday #4
Damage-A
Comentarii:
Ca simptome, seteaza secundele fisierelor infectate la 60. Efectele pot fi activate in functie de data, verificand daca este vorba de ziua de Marti. Acces dubios la fisiere. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se putea lega la fiecare locatie dintr-un fisier executabil, ca majoritatea virusilor. Programul intercepteaza incarcarea unui software pentru a-l putea infecta. Acces in scriere la disc, fara a folosi DOS. Marcaj incorect pentru ora. Apel la intreruperi DOS nedocumentat. Detectie EXE/COM, pentru a-si determina tinta. Revenire in punctul de intrare. Contine cod pentru a restarta programul dupa efectuarea modificarilor, precum fac majoritatea virusilor.


 Dir.522

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
522 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dismember

Virusul modifica data si ora fisierelor infectate.
Toate fisierele din directorul curent
Spatiul ocupat pe disc:
288 o.
Toate fisierele din directorul curent
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Toate fisierele din directorul curent
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Toate fisierele din directorul curent
Originea geografica:
Suedia
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
Inclusiv fisierele sistem incluse
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Eradicat.
Comentarii:
Virusul contine, la incarcare, urmatorul sir de caractere, dar care nu sunt transmise la infectare: " The Dismember Virus 1.00 ( 288 Bytes Version ) Self-Encrypting Non-Resident Parasitic .COM infector Coded 1992 by Anihilator, Sweden ..(c) Copyright FPCF 1992 ".


 Doomsday.733

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
733 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Drwatson.1503

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1503 o.


 Dutch_Tiny.191

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
191 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Eader.2000

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 ExeHeader.Bob.448

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
448 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.Pure.De'buger.427

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
427 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 F_word.377

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
377 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 FatherMac.1445

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1445 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FaxFree.Mosquito

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 FFFF.432

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
432 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FindMe.695

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
695 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Fist.709

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
709 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Flex.491

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
491 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Fred.657

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
657 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Grog.1007

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1007 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Grog.480

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
480 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Grog.902

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
902 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GTM.727

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
727 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ha.311

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
311 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hamster.546

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
546 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Hehehe.331

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
331 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Helloween.1839

Pseudonime:
Zak2
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
2608 o.
Spatiul ocupat pe disc:
1839 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21 / 3521
21 / 2521
Gradul de evidenta a prezentei virusului:
Virusul nu poate fi observat decat cu totul intamplator sau cu ajutorul unui antivirus.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje neafisate dar continute de corpul virusului:
"Virus napsany specialne pro inzenyra ZAKA ze SPS

*******************

Nepodlehejte panice, mate nakazeno jen par souboru...

(c) 1993 II.A 1988

Tak a ted si vyzkousime treba: RESET" ; Mesajul continut de virus si neafisat este criptat.
"SCANSHIETRAPVIRUVCOPASTAALIKAZORREX COMM

UEXEUCOMVIRTCLEATSAFNAV INI BOOT3P F-PR" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Raspandirea virusului:
In atentia cercetatorilor. Regiunea geografica: Czech Republic ; la data: 7/9/93
ntreruperi interceptate:
21 / 25
21 / 35
21 / 4B00
Conditii de declansare a efectelor nedistructive:
(Day=20) and (Day=10) => None !
Conditii de declansare a infectarii:
(Exec) and (not in List) and (LengthCOM>63184) and (LengthEXE<=Length_in_EXE_Header)
Modul de autodetectare a virusului in memorie:
INT_21; AX=EC27h -> AX=4A52h
Modul de autodetectare a virusului pe disc:
FILE[LASTBYTE-1..LASTBYTE] = 6Ch FDh
Comentarii:
Virusul nu este niciodata activat din cauza unei erori existente in conditia de evaluare a actionarii trigger-ului (conditiile de declansare a infectiei).


 Hi.924

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
924 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.7952

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
7952 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Hm.828

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
828 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Horse.1610

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1610 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hymn.2144

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2144 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Ieronim.1596

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1596 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Infiltrator.304

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
304 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Int83.864

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
864 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Intruder.1555

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1555 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Itavir.3187

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
3187 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jd.356

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Jerusalem.1807

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.

Virusul poate reinfecta. - Reinfecteaza fisierele de tip .EXE.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1807 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 KbrBug.1568

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 36
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Kela.2002

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2002 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Keypress.1000

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khai.1835

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1835 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Khizhnjak.692.b

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
692 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.Hallo.751

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
751 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kit.2384

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2384 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 80 pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Kohntark.Kompanion.268

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
268 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Kukac.448

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
448 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lame.435

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
435 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 LionKing.3531

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3531 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Littlegirl.1008

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1008 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Lokjaw.520

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
520 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21
A se vedea si:
Lokjaw.493


 LostFriend.882

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
882 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 LSD.1600

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1600 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Lyceum.1975

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1975 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Macgyver.4643

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4643 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MadSatan.King.2175

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2175 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Manuel.1155

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1155 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Marzia.Baracuda

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 Trivial.Vsafe.72

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
72 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Tula.635

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
635 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Twin.351

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
351 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Unerase.329

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
329 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Uruguay.3

Pseudonime:
Uruguvau
Virusul produce efecte sonore.
(1400h=140P)
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
Dimensiunea memoriei ocupate:
5120 o.
(1400h=140P)
Spatiul ocupat pe disc:
2454 o.
(1400h=140P)
Modul de penetrare a virusului:
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
(1400h=140P)
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Este rezident si un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
Mesaje afisate de virus:
"'Uruguay-#3' Virus

Programmed in Montevideo (URUGUAY) by F3161. 06/92.

This is a research virus - DO NOT DISTRIBUTE." ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Tehnici de protejare:
- Foloseste nivele de criptare multiple.

; la data: 1/31/94
Nu a fost vazut niciodata in natura!
ntreruperi interceptate:
01
13
21 / 4B00
21 / 3D00
24
2A
2A (doar pentru a restaura controlul asupra lui INT_21 daca s-a piedut)
A se vedea si:
Uruguay.1
Uruguay.2
Uruguay.4
Uruguay.5
Uruguay.6
Uruguay.7
Uruguay.8
Efecte nedistructive:
Virusul arata pe ecran continutul mesajului afisat, folosind serviciul DOS INT_21=AH=2. Imprimarea este intarziata si dureaza cateva secunde. Ea este acompaniata de tonuri muzicale aleatoare, calculate folosind codul ASCII al caracterelor imprimate.
Conditii de declansare a efectelor nedistructive:
ExecInfected and (byte[0:46C]=0)
Conditii de declansare a infectarii:
(Exec or (Open and (*.COM or *.EXE))) and
(Size>200h and Size= (Size mod 17h)<>0 and
(not COMMAND.COM)
Modul de autodetectare a virusului in memorie:
INT_21;AX=3032;DX=1234 -> AX=5678
Comentarii:
Fisierele EXE infectate sunt comutate in COM-uri, iar codul virusului este adaugat la sfarsitul fisierului, intr-o forma encriptata. Fisierul incepe cu un JMP la decriptorul virusului (offset E9). Cand un program infectat primeste controlul, virusul se copiaza in segment, in topul memoriei conventionale utilizate. Memoria disponibila pentru DOS este redusa. Daca calculatorul are 640K, puteti calcula usor codul segmentului virusului (MEMORY_SIZE=140para, CS=A000-140=9EC0; veti obtine 9EBF daca UMB este utilizat, deoarece topul paragrafului va fi BFFF, si nu A000). Dupa decriptarea corpului sau, virusul restaureaza startul fisierului infectat (3 bytes) si, daca fisierul era un EXE, face el relocarile necesare. Apoi, codul este mutat jos, in memorie, deoarece nu mai este nevoie de header-ul EXE. Virusul intercepteaza DOS INT_21 rescriind startul rutinei de service DOS in segmentul DOS cu FAR JMP la codul viral. Segmentul DOS este definit ca utilizand INT_2F/1203. Virusul foloseste dimensiunea fisierului pentru a indica infectia. Fisierele infectate cu Uruguay.3 au intotdeauna o dimensiune divizibila cu 17H. Virusul are un generator intern, de numere aleatoare , folosit extensiv in motorul polimorfic. El accepta un parametru (AL) si returneaza BH=0, BL=[1;AL]. Generatorul de numere aleatoare foloseste BIOS-ul calculatorului si continutul timer-ului curent [0:46C] pentru a calcula output-ul (cateva XOR-uri si SUB-uri). Pentru a opera, foloseste variabile statice. Generatorul de numere aleatoare este localizat la adresa cea mai din top din codul virusului. Antivirusul Scan v.108 detecteaza Uruguay.3 si-l denumeste virusul [Uruguvau].


 V-Sign

Pseudonime:
Cansu
Sigalit
Virusul produce efecte vizuale.
Dupa ce infecteaza 64 de dischete, virusul afiseaza pe ecran litera "V" de culoare rosie si dimensiuni mari.
Spatiul ocupat pe disc:
512 o.
Dupa ce infecteaza 64 de dischete, virusul afiseaza pe ecran litera "V" de culoare rosie si dimensiuni mari.
Tipuri de fisiere infectate:
- Infecteaza MBR-ul de pe hard disc.
- Infecteaza boot-ul.
Comentarii:
Este rezident in memorie. Cind afiseaza litera "V",calculatorul infectat se opreste. Acest virus incearca sa activeze alt virus: Stoned, dar din cauza unor greseli de scriere nu reuseste acest lucru. Este criptat.Este polimorfic. Codul virusului pe disc se afla la fata 0, cilindru 0, sector4 si 5. Pe floppy disk se gaseste in ultimele doua sectoare din directorul radacina.


 V.1443

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1443 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 V.343

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
343 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 V.550

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
550 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 V.756

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
756 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.610

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
610 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.670

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
670 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.776

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
776 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.BNB.429

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
429 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.Violator.803

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
803 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vindicator.734

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
734 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Virogen.BombTrack.2054

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2054 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Virogen.Simplex.507

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
507 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VLAD.Daddy.1093

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1093 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VLAD.Replicator.655

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
655 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 WM.Gangsterz

Pseudonime:
WM/Gangsterz
Winword.Donoso
Gang
WinWord.Gangsterz
GANGSTERZ
WORD.GANGSTERZ
Mesaje afisate de virus:
In data de 15 Ianuarie afiseaza un mesaj cu caractere de marimea 26 : " Big_Daddy_Cool Virus generated by NJ ", dupa care deseneaza ceva.
Comentarii:
Este un virus de Word care are doua macrouri : Paradise si Gangsterz. Acestea nu sint auto macrouri. Ele se executa cind sint apasate tastele 'SPACE' si 'E'. Infecteaza NORMAL.DOT. Este criptat. Nu se ascunde. A aparut la 30 August 1996.


 WM.Innuendo.A

Pseudonime:
MW:Innuendo-A
WordMacro/Innuendo.A
WM/Innuendo
INNUENDO.A
Macro.Word.Innuendo
Mesaje afisate de virus:
" Innuendo v1.00 "
Comentarii:
Este un virus de Word care are un singur macro AutoOpen. Se respindeste in documente cind acestea sint deschise cu AutoOpen. Dupa infectie documentul este trimis la E-mail (File/Send menu). In E-mail vor fi Subject = "Welcome to.." si Message = "Innuendo v1.00".


 WM.Minimal

Pseudonime:
WM/Minimal
Minimal
MINIMAL
Familia virusului:
WM.Minimal
Mesaje afisate de virus:
Multi dintre acesti virusi afiseaza diferite feresrtre de dialog.
Comentarii:
Este un virus de Word, care are in componenta un singur macro (AutoOpen), cu exceptia variantei 'X' care are macroul AutoClose. Nu este polimorf. Nu se ascunde. A aparut in Ianuarie 1996. Exista multe variante.


 WM.Spiral

Pseudonime:
MW:Spiral-A
WM/Spiral
WordMacro/A
Spiral
WinWord.Spiral-a
Mesaje neafisate dar continute de corpul virusului:
" see if we're already installed

add FileSaveAs and copies of AutoOpen and FileSaveAs.

PayLoad is just for fun.

see if we're already installed

add FileSaveAs and copies of AutoOpen and FileSaveAs.

PayLoad is just for fun.

this becomes the FileSaveAs for the global template

this becomes the FileSaveAs for the global template ".
Comentarii:
E ste un virus de Word care are 4 macro-uri: AutoOpen, C, D si B. Documentele sint infectate cind sint deschise. Nu se ascunde. Se rapindeste de obicei prin fisierele .DOC sau .DOT pe care le infecteaza. A aparut in Februarie 1997.


 WM/Fake.A

Pseudonime:
MW:Fake-A
WordMacro/Fake.A
WM.Lox
WM/Fake.A
Fake.A
Macro.Word.Foxz
Mesaje neafisate dar continute de corpul virusului:
/---------------------------------------------------------------\

| You know Phardera?,he is X-SLAM member who kick out from SLAM |

| and USE my Name [foxz] for spaming SLAM VIRUS TEAM. |

| His real Name is Anton Reinhard Pardede!, he is a "Mikrodata |

| Crewz"(Computer Magazine in my country), as long as I know, he|

| work on Virus Division on that Magazine. |

| By this virus I want everybody know that "the fucking lamer |

| who Spaming SLAM" is not Me [foxz] |

| Regards, |

| Foxz/NoMercyVirusTeam Leader |

\---------------------------------------------------------------/

------------------------------------------------------------

Code Name : WM.FoxZ Gn.III also know as "WinFake"

Author : Foxz [NoMercy]

Origin : Yogyakarta

Dedicated : for the fucking lamer "Phardera" who spaming SLAM

VirusTeam with my Name !

Greetz : Cicatrix, SLAM Crewz and NoMercyVirusTeam Crewz

Group : NoMercyVirusTeam

Effect : Change Windows 9x Register !

Thanks to : CJC, Lucifer, Gurita, CrazyMan, Aurodreph and You

who was see this Text !, see you in my Next virus :)

------------------------------------------------------------

October 30 '97

THANKS FOR SLAMVIRUS TEAM FOR THIS INFO !!! (SLAM mag)
Efecte distructive:
Modifica informatiile din unii registrii din Windows 95.
Comentarii:
Este un virus de Word care are patru macrouri cind infecteaza documentele: AutoClose, AutoOpen, Action si Foxz. Cind infecteaza Normal.Dot, virusul are 9 macrouri: AutoClose, AutoOpen, Action, Foxz, ToolsMacro, FileTemplates, ToolsMacro, ViewToolbars si
HelpWordPerfectHelp. Sistemul este infectat cind un document este deschis cu AutoOpen iar documentele sint infectate cind sint inchise cu AutoClose.


 Write.474

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
474 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 XPEH.3600

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3600 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 128 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Xuxa.1037

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1037 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Yankee.1256

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1256 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yankee.2968

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2968 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mini.233

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
233 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mirea.1086

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1086 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Mix.1636

Pseudonime:
Mix.1.A
MIX/1
Mixer1
Virusul produce efecte vizuale.
Adauga 1618-1636bytes, in functie de dimensiunea originala a EXE-ului.
Virusul produce blocaje ale PC-ului.
Virusul este prost scris (are erori).
Adauga 1618-1636bytes, in functie de dimensiunea originala a EXE-ului.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Adauga 1618-1636bytes, in functie de dimensiunea originala a EXE-ului.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
2 ko.
Adauga 1618-1636bytes, in functie de dimensiunea originala a EXE-ului.
Spatiul ocupat pe disc:
1636 o.
Adauga 1618-1636bytes, in functie de dimensiunea originala a EXE-ului.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Originea geografica:
Israel
Adauga 1618-1636bytes, in functie de dimensiunea originala a EXE-ului.
Mesaje neafisate dar continute de corpul virusului:
MIX1
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
ntreruperi interceptate:
21
14
17
08
09
Int 08 si 09 vor fi interceptate, in mod optional, dupa al saselea nivel de infectare.
Constrangeri necesare virusului pentru a functiona:
PC-uri executand 2.0 sau versiuni ulterioare.
Comentarii:
Pagube: Virusul trimite un output 'ciudat' catre dispozitivele paralele si seriale (deci, la interceptarea lui Int 14h si 17h). Data fiind existenta unui bug, dupa sasea infectare, sistemul crapa. Dupa blocare, pe ecran, se va putea vedea o minge saltareata. Cheia Num Lock va fi dezafectata, astfel incat nu va putea fi pusa pe 'on'. Virusul este destul de rar; el a derivat din Icelandic 1(656). De retinut: Virusul nu aloca spatiu pe stiva, ca urmare va face ca unele fisiere sa devina inutilizabile. Alocarea memoriei se face prin control direct MCB. Infecteaza fisiere mai mari de 16K, ceea ce face foarte dificila dezasamblarea. Virusul este destul de rar; el a derivat din Icelandic 1 (656). Modificarile facute in Icelandic par intentionate sa pacaleasca. Schimbarile includ inlocuirea unor instructiuni cu altele. De exemplu,
XOR AX,AX
a fost inlocuit cu:
MOV AX,0000
iar
MOV ES,AX
a fost inlocuit cu has:
PUSH AX
POP ES
De asemenea, in cateva locuri au fost inserate instructiuni NOP, incluzand identificarea sirurilor folosite de VIRUSCAN si alte produse similare. Acesta pare a fi un raspuns/reactie impotriva celor care scriu programe anti-virus, care se uita dupa infectii prin identificare de siruri. Asa ceva s-a folosit in varianta '286 a virusului Ping-Pong. Lasand la o parte aceste modificari, unele arti ale virsului sunt aproape identice cu cele ale virusului Icelandic.


 Mnemonix.Dementia.512

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Monday.499

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
499 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mosquito.768

Virusul produce efecte sonore.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
768 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MRTI.577

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
577 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 MtE.Coffeeshop

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 MtE.Questo

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2824 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Murphy.1040

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1040 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Murphy.Delirium.1752

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1752 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MutaGen.095.Agent

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1332 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mutant.1744

Virusul produce efecte sonore.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1744 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 N8FALL

Virusul modifica data si ora fisierelor infectate.
Acesta este pattern-ul hexa din memorie; in ceea ce privesc fisierele: nu este posibila nici o cautare.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul utilizeaza o tehnica specifica pentru a se instala in memorie.
Acesta este pattern-ul hexa din memorie; in ceea ce privesc fisierele: nu este posibila nici o cautare.
Spatiul ocupat pe disc:
5800 o.
Acesta este pattern-ul hexa din memorie; in ceea ce privesc fisierele: nu este posibila nici o cautare.
Tehnici de ascundere:
Virusul se foloseste de urmatoarele intreruperi/functii: 21
Caracteristici polimorfice:
- Virusul foloseste o tehnica specifica de polimorfism.
Mesaje afisate de virus:
"Any means necessary for survival"

_ N8FALL72XS _

"By the perception of illusion we experience reality"

Art & Strategy by Neurobasher 1994 - Germany

"I don't think that the real violence has even started yet"
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Rutina de infecate verifica intai sa vada daca numele fisierului contine cateva siruri, incluzand 'PL', 'AV', 'MI' si CH', pe care nu le infecteaza.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
Poate lasa un virus companion 'copil', nepolimorfic, avand lungimea de 527 bytes.
ntreruperi interceptate:
21
Int 21 este interceptata pentru infectare, ascundere si pentru rutina trigger.
Efecte nedistructive:
In mod ocazional, dupa infectare, imprima un mesaj si asteapta apasarea unei taste.
Comentarii:
Cu putine exceptii, majoritatea virusilor din natura sunt creaturi simple, sigure si necomplicate: N8FALL este una din exceptii. Virusul are dimensiuni considerabile (aproximativ 5800 bytes lungime); mai cumplit insa, operatiile sale sunt complicate, iar metodele sale complicate si dificile. Un sir text, aflat in corpul sau, atribuie virusul lui 'Neurobasher', care se pare ca este responsabil si de alti virusi, cea mai reusita creatie a sa fiind virusul Tremor. Handler-ul Int 21h al virusului N8FALL intercepteaza un mare numar de functii DOS. Virusul ascunde cresterea in dimensiune a fisierelor infectate atunci cand este scanat un director, folosind FindFirst/FindNext. Ceea ce este interesant este faptul ca, daca este realizat un listing director pentru drive-ul C de pe drive-ul A, aceasta crestere nu este ascunsa, dar daca acelasi listing este obtinut de pe drive-ul C, atunci da. De asemenea, virusul ascunde LSeek to End (AX=4202h), Read (AH=3Fh) si Write (AH=40h), in toate cazurile de ascundere a lungimii fisierelor infectate. In loc sa infecteze un fisier EXE, uneori N8FALL l va lasa, in schimb, un virus companion, nepolimorfic, de 527-bytes. Acest companion va replica fara asistenta 'parintelui' sau si este complet functional. Codul sau este stocat aproape de sfarsitul virusului pbrinte, fiind codificat prin XOR cu valoarea 0033h. Dupa crearea companionului, virusul va imprima, ocazional, un mesaj text. Multe actiuni ale virusului companion si ale rutinei de trigger sunt implementate astfel incat sa previna detectarea euristica. Virusul companion isi ascunde prezenta in directoarele scanate, dar nu face nici un fel de alte eforturi pentru ascundere. Concluzii --> N8FALL este un virus extrem de complicat, care necesita cateva zile bune pentru analiza, speram ca aceasta sa nu fie indicatia unei noi tendinte printre scriitorii de virusi. Totusi, complexitatea acestuia, in special maniera in care virusul foloseste auto-modificarea codului sau, aproape la orice ocazie i se iveste, in loc sa mentina variabile de stare, este dincolo de eforturile majoritatii programatorilor.
Eliminare: In conditiile unui sistem curat, se identifica si se inlocuiesc fisierele infectate.


 Neko.1990

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1990 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Ambulance.796

Pseudonime:
Ambulance
Ambulance a/d
Ambulance Car
Red Cross
RedX
Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Dimensiunea memoriei ocupate:
796 o.
Spatiul ocupat pe disc:
796 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Originea geografica:
West Germany
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.

Regiunea geografica: West Germany ; la data: 6/1/90
Cateodata, este gasit prin natura; Cateodata, este gasit prin natura
ntreruperi interceptate:
21 / 1A
21 / 2F
21 / 3D
21 / 3E
21 / 3F
21 / 40
21 / 4200
21 / 4202
21 / 4E
21 / 4F
21 / 5700
21 / 5701
Dezarmeaza, armeaza intreruperile.; Dezarmeaza, armeaza intreruperile.
Efecte nedistructive:
Fisierele COM cresc cu 796 bytes. Ocazional, un fisier infectat va muta o ambulanta ASCII dea lungul bottom-ului ecranului, creand si un sunet de sirena cu ajutorul speaker-ului. Efectele pot depinde de adaptorul grafic disponibil.
Comentarii:
Cand un program infectat este incarcat, acest virus ajunge sa fie rezident si va incerca sa infecteze alte doua noi fisiere COM, selectate aleator din directorul curent sau din path, daca fisierul nu este primul in director, daca nu este COMMAND.COM, daca nu este deja infectat si daca rezida intr-un director ce nu contine nici un alt fisier infectat cu acest virus. Cand cei mai nesemnificativi 3 biti ai unui contor contin 110b (110 fiind numarul de telefon al politiei Germane!), atunci o ambulanta se va misca de la stanga la dreapta, in partea de jos a ecranului, iar o sirena va suna prin intermediul speaker-ului. Masina este realizata printr-un block ASCII din caractere grafice, avand si o luminita in top. Aceasta se intampla o data, setandu-se un flag, prevenind astfel de a se mai produce din nou la urmatorul boot. Virusul gaseste primul fisier neinfectat din director, muta pointerul de fisiere, citeste fisierele, scrie fisierele, inchide fisierele, obtine si reseteaza data fisierului. Identificatori asignati acestui virus de diverse scanner-e:
Cheyenne: Ambulance
ESaSS: Ambulance
Frisk: Ambulance.A
H+BEDV: Redx
McAfee: Redx iRedxs
NORMAN: Ambulance a/d
Norton: Ambulance
S&S: Ambulance.a. Eicar ID: fd11acb2


 Ng.914

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
914 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Nines.706

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
706 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Nomenklatura

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Coruperea treptata a datelor.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Micsoreaza MCB-ul curent doar daca este vorba de un bloc 'Z'.
Coruperea treptata a datelor.
Dimensiunea memoriei ocupate:
43 paragrafe.
Coruperea treptata a datelor.
Spatiul ocupat pe disc:
1024 o.
Coruperea treptata a datelor.
Lungimea fisierului infectat creste cu:
lungimea virusului
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
Coruperea treptata a datelor.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Coruperea treptata a datelor.
Caracteristici polimorfice:
- Nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
"Nomenklatura" ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
Locul in fisierul infectat unde se instaleaza virusul:
- Foloseste lungimea fisierului DOS
Raspandirea virusului:
Rapoarte nesemnificative. Regiunea geografica: South Africa ; la data: 9/16/93
ntreruperi interceptate:
21 / 4B
21 / 3D
24
13 / 02
13 / 03
24h (in timpul infectarii),

13h/02h (in timpul infectarii),

13h/03h (in timpul infectarii); 24h (in timpul infectarii),

13h/02h (in timpul infectarii),

13h/03h (in timpul infectarii)
Efecte distructive:
Coruperea treptata a datelor.
Conditii de declansare a efectelor distructive:
In timpul rutinei de infectare.
Conditii de declansare a infectarii:
Exec, OpenHandle: EXElength >= 1024,
COMlength >= 1024 AND COMlength < 64000,
FileExtension = "COM" OR "EXE" in timpul lui OpenHandle
Modul de autodetectare a virusului in memorie:
INT 21h/AX=4BAAH -> CF = 0
Modul de autodetectare a virusului pe disc:
file[0..2] = JMP filesize-403h (COM), file[14h..17h] = filesize-400h (EXE) {InitCS:InitIP}
Comentarii:
In timpul incercarilor de infectare, Nomenklatura intercepteaza INT 13h si examineaza buffer-ul I/O in timpul citirilor si scrierilor. Primul sector din buffer este scanat, cate 16 biti o data, fżacandu-se o verificare a secventelor de cuvinte prea lungi, in care cuvinte adiacente difera numeric prin 1. Daca este gasit un astfel de lant de cuvinte, doua dintre intrarile in acest lant sunt, uneori, schimbate intre ele. Din moment ce astfel de lanturi de cuvinte diferind prin 1 sunt cel mai potrivit sa fie gasite in FAT, rezultatul va fi o corupere treptata a FAT-ului. De notat, ca nu exista nici o distinctie scrisa in regiunile corupte -- tot ceea ce se intampla este inversarea lucrurilor. Efectul a doua cuvinte inversate in FAT este de a inversa ordinea a doua cluster-e dintr-un fisier, astfel incat "Buturuga mica rastoarna carul mare"! Daca sau nu se strica, este decis de catre un contor, care permite ca paguba sa se produca de fiecare data cand contorul ajunge la valoarea zero. Ciclul de viata al contorului este diminuat cu fiecare generare de virus, astfel incat paguba tinde sa apara cu atat mai repede cu cat virusul se raspandeste mai repede.


 NTU.Amour.3312

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3312 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Nuke.Ministry

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1168 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Nuke.Testing

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
438 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Nygus.295

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
295 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ontario.512

Pseudonime:
Bad Bug
Ontario
Ontario 2
Ontario 1
Virusul infecteaza interceptand apelurile DOS la fisiere.
La fisierele COM, virusul adauga 512 bytes. Pentru cele EXE si overlay-uri, cresterea in dimensiune este in intervalul 512 pana la 1023 bytes, ocupand sfarsitul sectorului inainte de ca virusul sa se plaseze la sfarsitul fisierului. Fisierele infectate vor arata o dimensiune care este multiplu de 512 bytes.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
2 ko.
La fisierele COM, virusul adauga 512 bytes. Pentru cele EXE si overlay-uri, cresterea in dimensiune este in intervalul 512 pana la 1023 bytes, ocupand sfarsitul sectorului inainte de ca virusul sa se plaseze la sfarsitul fisierului. Fisierele infectate vor arata o dimensiune care este multiplu de 512 bytes.
Spatiul ocupat pe disc:
512 o.
La fisierele COM, virusul adauga 512 bytes. Pentru cele EXE si overlay-uri, cresterea in dimensiune este in intervalul 512 pana la 1023 bytes, ocupand sfarsitul sectorului inainte de ca virusul sa se plaseze la sfarsitul fisierului. Fisierele infectate vor arata o dimensiune care este multiplu de 512 bytes.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Originea geografica:
Ontario, Canada
La fisierele COM, virusul adauga 512 bytes. Pentru cele EXE si overlay-uri, cresterea in dimensiune este in intervalul 512 pana la 1023 bytes, ocupand sfarsitul sectorului inainte de ca virusul sa se plaseze la sfarsitul fisierului. Fisierele infectate vor arata o dimensiune care este multiplu de 512 bytes.
Mesaje neafisate dar continute de corpul virusului:
C:\COMMAND.COM ; Mesajul continut de virus si neafisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza (din greseala) overlay-urile (.OVR).
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
In atentia cercetatorilor.
ntreruperi interceptate:
21 / 3D
21 / 3E
21 / 3F
21 / 40
21 / 4200
21 / 4202
21 / 4300
21 / 4301
21 / 4B
21 / 5700
21 / 5701
Conditii de declansare a infectarii:
Verifica daca data este 1985.
Modul de autodetectare a virusului in memorie:
Se verifica daca INT 21/AH=FF, returneaza AX=0.
Modul de autodetectare a virusului pe disc:
Pentru COM, se verifica daca al patrulea byte contine "V"; pentru EXE, se verifica daca Instruction Pointer este pe 1.
Comentarii:
Mare parte din codul virusului, foloseste criptarea prin auto-modificare, virusul fiind polimorfic. Poate fi eliminat, insa deoarece virusul poate rotunji fisierele printr-un garbage, anterior infectarii, dezinfectia nu este capabila sa restaureze dimensinea initiala a fisierului. Virusul contine in codul sursa urmatoarele comentarii: Older version of Bad Bug, also known as Ontario virus. --> Written by Death Angel <-- This virus first puts itself in memory, if not already.


 Otto.640

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
640 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pac-Man.Clyde

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1012 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 ParityError.621

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
621 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pcbb.3072

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Peacekeeper

Pseudonime:
MCG-Peace
Virusul produce blocaje ale PC-ului.
Dimensiunea este variabila. Un minimum de 3800 bytes pentru varianta Peacekeeper.a si 3830 bytes pentru Peacekeeper.b
Virusul este prost scris (are erori).
Atunci cand este executat un fisier COM, prima insula de jump-uri primeste controlul. Fiecare astfel de insula ar trebui sa se termine printr-o instructiune JMP (E9h) care transfera controlul urmatoarei insule din lant. In unele cazuri, acest JMP is urmat de un numar de instructiuni polimorfice. In mod evident, acesta este un bug in generatorul de insule al virusului. Mai exista inca un bug, cu mult mai serios, atunci cand virusul infecteaza fisiere COM scurte, virusul suprascriind in mod frecvent decriptorul cu ultima insula. Victimele astfel corupte se vor bloca la executie.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea este variabila. Un minimum de 3800 bytes pentru varianta Peacekeeper.a si 3830 bytes pentru Peacekeeper.b
Spatiul ocupat pe disc:
3800 o.
Dimensiunea este variabila. Un minimum de 3800 bytes pentru varianta Peacekeeper.a si 3830 bytes pentru Peacekeeper.b
Tehnici de ascundere:
Sunt folosite. 21
Semi-ascuns.; Semi-ascuns.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Dimensiunea este variabila. Un minimum de 3800 bytes pentru varianta Peacekeeper.a si 3830 bytes pentru Peacekeeper.b
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus rezident simplu, deci numai la executia unui fisier.
Caracteristici polimorfice:
- Ascunde punctul de intrare.
Motorul polimorfic continut in Peacekeeper nu este unul foarte puternic. Una dintre particularitatile cele mai notabile ale codului generat este aceea ca el contine un mare numar de jump-uri aditionale care au offset-ul jump-ului zero. Ca urmare, controlul trece la instructiunea urmatoare, indiferent de indeplinirea sau nu a conditiei. In plus, ca multe alte motoare polimorfice, codul generat este plin cu instructiuni foarte simple care nu fac nimic.
Mesaje neafisate dar continute de corpul virusului:
Peace-Keeper Virus V2.10 Written by Doctor Revenge 18-May-1994 , Italy [MCG v0.31 ß]
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
Virusul infecteaza fisiere COM prin crearea unui numar de 'jump islands' (insule de jump-uri) - fiecare insula transferand controlul urmatoareia. Prima insula se afla foarte la inceputul fisierului, celelalte fiind localizate de acolo si pana la decriptorul virusului, la locatii aleatoare in cadrul fisierului victima. Dimensiunea insulelor este si ea aleatoare. Totusi, decriptorul este localizat exact inainte de corpul principal al virusului. Numarul de jump-uri dintr-un fisier COM infectat este variabil, ceea ce este foarte neconvenabil pentru analiza automata. Din fericire, exista o limita superioara: virusul nu genereaza niciodata mai mult de cinci insule. In plus, lantul executiei, de la insula la insula, poate sa nu revina niciodata inapoi fisier. Pentru a-si executa programul gazda, virusul are nevoie sa refaca imaginea din memorie a fisierului sau gazda. Toate insulele de jump-uri trebuie sa fie inlocuite de codul original. Virusul salveaza toate informatiile necesare atunci cand infecteaza un fisier; iar datele suprascrise de insulele de jump-uri sunt salvate la sfarsitul fisierului (adica, dupa corpul virusului si inainte de marker-ul DEADh). Se pare ca autorul lui Peacekeeper a fost prea lenes/comod pentru a implementa o tehnica de infectare 'island' si pentru fisierele EXE: ea este cu mult mai complexa pentru a trata fisierele EXE decat cele COM. Totusi, fisierele EXE sunt infectate folosind o tehnica cu mult mai simpla (si mai standard). Fisierele EXE infectate poarta si ele marker-ul virusului (DEADh), insa acesta este situat in header-ul EXE, in campul checksum al fisierului.
Tehnici de protejare:
- Foloseste INT 1 pentru unele functii ale sale.
ntreruperi interceptate:
01
13
21
24
Int 01h (temporar, pentru armare), Int 13h (pentru payload), Int 21h (pentru infectie si ascundere), Int 21h (temporar, in timpul infectarii).
Modul de autodetectare a virusului in memorie:
Int 21h=, AX=DEADh. Raspunsul este AX iar BX este setat pe DEADh.
Modul de autodetectare a virusului pe disc:
Marcajul DEADh (pentru COM: cuvantul de la sfarsitul fisierului; pentru EXE: cuvantul aflat la offset-ul 12h, campul checksum al fisierului).
Comentarii:
Virusii polimorfici au fost creeati pentru a contracara (a infrange) scanner-ele antivirus - ei incearca sa-si ascunda codul modificandu-l continuu; mascandu-l printr-o bucla de decriptare mereu schimbatoare. Virusii polimorfici mai moderni folosesc aceasta abordare: ei isi concep bucla de decriptare (sau buclele) prin instructiuni garbage, facand variabile comenzile de decriptare. Totusi, exista o clasa de virusi polimorfici care incearca nu numai sa ascunda bucla de decriptare, dar si punctul de intrare in virus sau in decriptor. Primul virus care a folosit aceasta tehnica, probabil a fost Commander_Bomber, urmat apoi de familia One_Half si de ultimii membri ai familiei Uruguay. Acum aceeasi idee a revenit, de data aceasta cu virusii Peacekeeper. Se pare ca acum idea de a ascunde punctul de intrare al codului viral, prin intermediul unor constructii complexe de jump-uri, a devenit din ce in ce mai raspandita printre scriitorii de virusi. Desi virusii Peacekeeper sunt suficient de interesanti pentru a-si merita analiza, sa nu aveti impresia ca scriitorul lor este un programator talentat. Aproape fara nici un efort, codul virusului putea fi facut mai scurt cu cateva sute de bytes, iar bug-urile discutate anterior puteau fi eliminate. Indepartarea virusului: in conditii de sistem curat, se localizeaza fisierele infectate si se inlocuiesc cu copiile curate.


 Phantom1

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
7000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Picket.1034

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1034 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Pixel.257

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
257 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Andreev.805

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
805 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip.


 Pixel.847.abc

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
847 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Pixel.Hydra.372

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
372 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Playboy.1039

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1039 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Poloneise.2402

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2402 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Ppsp.1526

Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1526 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Printer.778

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
778 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 PS-MPC.Joshua

Virusul este prost scris (are erori).
Spatiul ocupat pe disc:
965 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Gradul de evidenta a prezentei virusului:
Virusul este extrem de evident. Nu are efecte neobservabile.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor constant.
Mesaje afisate de virus:
"

+---------------------------------------------------+

| Guess what ??? |

| You have been victimized by a virus!!! Do not |

| try to reboot your computer or even turn it |

| off. You might as well read this and weep! |

+---------------------------------------------------+

" ; Mesajul continut de virus si afisat este criptat.
Mesajul este afisat intr-o caseta din caractere grafice, nu Ascii.; Mesajul este afisat intr-o caseta din caractere grafice, nu Ascii.
Mesaje neafisate dar continute de corpul virusului:
"[Joshua]" ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
ntreruperi interceptate:
24
Conditii de declansare a infectarii:
Ext in {"EXE","COM"} && COM_name[5] != "ND" &&
32768 > COM_size%64k > 0FB80h
Modul de autodetectare a virusului pe disc:
File[1] == (word) COM_size-968 || EXE_SP == 5353h
Comentarii:
In testarea lungimii fisierelor COM este folosit un conditional gresit. Dimensiunea maxima intentionata pentru fisierele COM pare sa fie 0FB80h. Infectia este incercata mai intai in directorul curent si daca esueaza, sunt incercate directoarele parinte, pe toate caile pana la root. În fiecare director, mai intai se incearca cu "EXE", apoi cu "COM".


 Quake.960

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
960 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Radyum.698

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
698 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Rape.2877

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2877 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Raving.2300

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2300 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Revenge.1127

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1127 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.444

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
444 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Riot.Conjurer.TNG.181

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
181 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.Eternity.565

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
565 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Riot.Keyb.873

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
873 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Angel.1000

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Riot.RedMercury.823

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
823 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Ritzen.1087

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1087 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Rodolf.4096

Virusul produce efecte vizuale.

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4096 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Russel.3072

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Saratoga.656

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 School.403

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
403 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.205

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
205 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Search.437

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
437 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 3
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Semtex.686

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
686 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Shame.1455

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1455 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Shirley.4096

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
4096 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Silicon.1019

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in memoria extinsa.
Spatiul ocupat pe disc:
1019 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 SillyC.162

Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
162 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.281

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
281 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyC.563

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
563 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 SillyOR.DOS5.68

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
68 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 AntiPascal.407

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
407 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 SillyRC.172

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
172 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SillyRCE.266

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
266 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sinep

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
644 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Sirius.Annihilator.357

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
357 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Sistor.2630

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2630 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Slavery.929

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
929 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Slubdestr.1024

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Small.129

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
129 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Small.187

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
187 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Smvb.1023

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1023 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Soldier.557

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
557 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Spellbound.1806

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1806 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Ssi.Uncle.1410

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1410 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Stimp.248

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
248 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Stupidus.1504

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1504 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 April1st.AntiD

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
945 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 SVC.3103.b

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3103 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Sylvia

Pseudonime:
Holland Girl
Holland
Kranz
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1332 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Netherlands
Mesaje afisate de virus:
FUCK YOOU LAMER!!!!, and system halted....$ ; Mesajul continut de virus si afisat este criptat.
This program is infected by a HARMLESS Text-Virus V2.1. Send a FUNNY postcard to : Sylvia Verkade, Duinzoom 36b, 3235 CD Rockanje The Netherlands. You might get an ANTIVIRUS program..... ; Mesajul continut de virus si afisat nu este criptat.
Daca mesajele necripate de afisat sunt alterate, atunci mesajul criptat este descriptat/decodificat si afisat.; Daca mesajele necripate de afisat sunt alterate, atunci mesajul criptat este descriptat/decodificat si afisat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Nu infecteaza COMMAND.COM. Virusul infecteaza doar fisierele COM care au lungimea mai mica de 30Kb.
ntreruperi interceptate:
24
Efecte nedistructive:
In afara de a adauga 1301 bytes la inceputul fisierelor infectate si 31 de bytes la sfarsitul lor, alte pagube virusul nu produce.
Comentarii:
Atunci cand se executa un program infectat, virusul se uita dupa maxim 5 fisiere pe care sa la infecteze, cautand pe drive-ul C: si pe cel curent. Cele trei fisiere sistem, COMMAND.COM, IBMBIO.COM si IBMDOS.COM nu sunt vizate pentru a fi infectate. Variante posibile ale virusului sunt: a, b, c, Kranz, Hong Kong, d.


 Tack.477

Virusul produce efecte vizuale.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
460 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tankard.556

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
556 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tenerife.1707

Virusul produce efecte sonore.
Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1707 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Terror

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1085 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Timid.245

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
245 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Timid.371

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
371 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tiny.154

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul scrie in zona de date a DOS-ului.
Spatiul ocupat pe disc:
154 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Tired.1740

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1740 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 31
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Torm.358

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
358 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 TPE.Kela.4568

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4568 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 TrashSoft.1024

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1024 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Trivial.178

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
178 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Trivial.33

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
33 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.50

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
50 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.475

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
475 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Trivial.Diddler.91

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
91 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 AV_CK.508

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
508 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Baba.350

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
350 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Backtime.528

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
528 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Barrotes.Tecla.1303

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1303 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 BatVir94

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
458 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 2094
Tipuri de fisiere infectate:
- Infecteaza fisierele .BAT.


 Burger.512

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 BWME.Twelve.1378

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1378 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Carioca.951

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
951 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Caterpillar

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1575 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Cha.2391

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2391 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 ChaosYears.1837

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1837 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 CyberTech.1066

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1066 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Dada.1356

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1356 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Darkend

Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Spatiul ocupat pe disc:
1188 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
ntreruperi interceptate:
21

Efecte distructive:
In data de 15 Octombrie virusul distruge toate datele de pe hard disc.
Comentarii:
Pentru a infecta fisiere virusul intercepteaza INT 21h. Daca programul executat este in fisier EXE "curat", il va infecta direct.


 Datacrime II

Spatiul ocupat pe disc:
1514 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
Intr 12 si 31 Octombrie cu exceptia zilelor de luni, va afisa mesajul: "DATACRIME-2 VIRUS."
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Efecte distructive:
Virusul formateaza low level cilindrul 0 la hard discului in data de 12 Octombrie.


 Dead.1364

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1364 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Dei.1792

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1792 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.1530

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1530 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Eddie.Jerico.a

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1365 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Einstein.878

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
878 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Emorph.1696

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1696 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Error.628

Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
628 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 4on.1346

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1346 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 EVC.161

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
161 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 FrodoSoft.590

Virusul produce modificari in sistem.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
590 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Gambler.288

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
288 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Gergana.300

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
300 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Gippo.1000

Pseudonime:
Earthquake
Gippo.Earthquake
Gippo.EQ
Virusul produce efecte vizuale.
v. Efecte nedistructive.
Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
v. Efecte nedistructive.
Spatiul ocupat pe disc:
1000 o.
v. Efecte nedistructive.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
v. Efecte nedistructive.
Caracteristici polimorfice:
- Foloseste o metoda de criptare bazata pe o cheie constanta.
Mesaje afisate de virus:
"Earth is quaking! Public*Domain GIPPo MCMXCIII"
Mesaje neafisate dar continute de corpul virusului:
"Earthquake"

"\"

"*.*"

"*.exe"

"smartchk.cps"
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Raspandirea virusului:
Rapoarte nesemnificative. ; la data: 7/11/93
ntreruperi interceptate:
8h / Timer Int.
Efecte nedistructive:
Rutina rezidenta: un nou handler INT8 cu efect ecran.
Efecte distructive:
Virusul asteapta sa stearga fisierul "smartchk.cps", dar el contine un bug: "smartchk.cps" nu este sir ASCII.
Conditii de declansare a efectelor distructive:
La fiecare infectie.
Conditii de declansare a infectarii:
21h/6900h (Get Disk Serial Number - DOS 4+) -> (Carry Flag = 1) OR Disk_Serial_Number Check: ((WORD PTR DS:iBX+2s <> 0) AND (WORD PTR DS:iBX+4s <> 0))
Comentarii:
Cand testul 'Conditii-de-declasare' esueaza, daca Mem_Word[CS:495h]=002Ah atunci virusul afiseaza continutul lui MSG_DISPLAYED. Apoi, termina programul infectat, via 21h/4Ch.


 Gliss.1247

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1247 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Originea geografica:
Germany
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
Raspandirea virusului:
Rapoarte nesemnificative.
ntreruperi interceptate:
13
Comentarii:
Simptome: Un virus demonstratie care isi anunta actiunea pe masura ce infecteaza programe. Alte simptome: setarea locatiei cursorului. Identificatori asignati de diverse scanner-e: Cheyenne: Gliss
ESaSS: Gliss
Frisk: Gliss
H+BEDV: Gliss #2
McAfee: Gliss [Gls]
NORMAN NVC: Gliss
Norton: Gliss
S&S: Gliss Eicar ID: yb5fb6ce1 Virusi corelati: Gliss #2, Gliss #1, Gliss #3, Gliss #4. Replicare: infecteaza doar fisiere COM. Are actiune directa. Gaseste primul fisier neinfectat din director. Muta pointerul de fisiere, citeste fisiere, scrie in fisiere, inchide fisierele. Obtine si seteaza atributele. Reseteaza data fisierului. De retinut: Acces dubios la fisiere. Contine o rutina pentru cautarea fisierelor executabile (.COM sau .EXE). Punct de intrare flexibil. Codul pare proiectat pentru a fi legat la orice locatie din fisierul executabil. Cod rezident in memorie. Programul ar putea sta rezident in memorie. Are instructiuni de garbage. Contine cod care pare ca nu are nici un alt scop in afara de encriptare sau de a evita recunoasterea virusului de catre scanner-e. Revine in punctul de intrare. Contine cod pentru a restarta programul dupa ce modificarile la punctul de intrare au fost efectuate. Ceva foarte comun pentru virusi.


 Abba.9849

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
9849 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Gotcha.607

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
607 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 HLLC.Happy.LZ

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5476 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.10842

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
10842 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLO.Aids.13847

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
13847 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.10460

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
10460 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.5824

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5824 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Accept.3619

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
3619 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 HLLP.Nazi.5984

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
5984 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.CVEX.6400

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
6400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Math

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2132 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jerusalem.Scott.1716

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1716 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Jerusalem.Timor

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1562 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 5 pentru fisierele de tip .COM.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Jolter.2197

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2197 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 AEP.626

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
626 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jvirus.2267

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2267 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Lcv.864

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
864 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Leningrad.543

Pseudonime:
Sov1
Sov-543
USSR-543
C-543
Paniker
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).

Virusul poate reinfecta.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
543 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Index de ascundere: 3 (sub medie, ascundere slaba, seteaza data fisierului, se ascunde in memorie, seteaza data si ora fisierului pe 'hidden', ca marker.)
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un virus nerezident, deci infecteaza un fisier atunci cand se executa un alt fisier infectat.
Originea geografica:
St.Petersburg, Russia
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
That could be a crash, crash, crash ! ; Mesajul continut de virus si afisat nu este criptat.
Mesaje neafisate dar continute de corpul virusului:
*.COM, PATH= ; Mesajul continut de virus si neafisat nu este criptat.
Fisierele infectate contin astfel de siruri *.COM, PATH..; Fisierele infectate contin astfel de siruri *.COM, PATH..
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Raspandirea virusului:
Rapoarte nesemnificative.
Comentarii:
Simptome: Daca intr-o zi de vineri 13, se lanseaza un program infectat, virusul va afisa mesajul "That could be a crash, crash, crash !". In timpul executiei unui fisier infectat, virusul cauta path-ul si directorul curent. El infecteaza, folosind apeluri standard INT 21h. Este un virus eliminabil. Virusul nu face nici un fel de verificari priviind lungimea fisierelor pe care le infecteaza, astfel incat acestea pot ajunge sa fie mai mari de 64K, ne mai putandu-se executa. Identificatori asignati de diverse scanner-e: Cheyenne: Soviet 1
ESaSS: Leningrad
Frisk: Leningrad.543
H+BEDV: Sov-A
McAfee: Sov [Sov]
NORMAN: Leningrad 543
Norton: SOV (545/602)
S&S: Leningrad.543 Eicar ID:37bacf5b
Virusi corelati: Sov-A, Sov-1.0.
Replicare: Infecteaza doar fisierele COM. Are actiune directa. Gaseste primul fisier neinfectat din director. Deschide fisiere, muta pointerul de fisiere, citeste fisierele, inchide fisirele. Reseteaza data fisierului. Seteaza secundele fisierelor infectate la 62. Efectele pot fi activate in functie de data. Verifica daca data este Vineri. De notat: Acces dubios la fisiere. Contine o rutina pentru cautarea fisierelor executabile (COM sau EXE). Punct de intrare flexibil. Codul pare proiectat pentru a se lega la orice locatie dintr-un fisier executabil. Incorect marcaj de timp. Unii virusi folosesc aceasta informatie pentru a marca fisierele infectate.


 Leprosy.595

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
595 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Leprosy.BadCommand.281

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
281 o.
Tipuri de fisiere infectate:
- Infecteaza toate tipurile de fisiere.


 Leprosy.Sandra.535

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
535 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Alameda.A

Pseudonime:
Alameda
Merritt
Peking
Seul
Yale
Virusul este prost scris (are erori).
Loc de rezidenta:
Virusul se instaleaza la capatul memoriei, reducand dimensiunea memoriei BIOS la 0000:0413.
Dimensiunea memoriei ocupate:
1 ko.
Spatiul ocupat pe disc:
512 o.
Gradul de evidenta a prezentei virusului:
Virusul este destul de evident. Rareori trece neobservat.
Originea geografica:
Merritt College, Alameda, California, USA.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
Ataca PC compatibile, nu se executa pe 80286 si infecteaza dischetele 360K doar daca sunt plasate in drive-ul A:

Regiunea geografica: California
ntreruperi interceptate:
10 / 01
10 / 02
10 / 08
13 / 00
13 / 02
13 / 03
18 / 047
19
Efecte nedistructive:
Virusul ramane rezident in memorie. El suprascrie sectorul boot de pe floppy si-l muta pe pista 39, cap 0, sector 8, astfel incat orice fisier care era stocat in acel sector va fi partial suprascris. Deoarece acest sector nu este marcat "prost" in FAT, daca este supracris de un alt fisier, va crea un floppy neboot-abil. In conformitate cu multe rapoarte, acest virus provoaca pagube putin semnificative. Totusi, unii cercetatori raporteaza faptul ca daca o anumita cheie este tastata de 39 de ori, se va distruge FAT-ul, suprascriindu-l cu "O" si ca o alta tastare va avea ca efect decrementarea contorului. Ca urmare, unele rapoarte privind coruperea FAT-ului cu acest virus sunt plauzibile.
Efecte distructive:
Virusul muta blocul de boot pe pista 39, sectorul 8 (daca acolo era un fisier, el este corupt). Acest sector nu este marcat ca prost, ca urmare, un fisier poate suprascrie blocul de boot real, deci discheta va deveni "NOT Bootable". Virusul va conta pe ceea ce stie ca a pus la pista 39. De asemenea, virusul va contoriza o tastare (el contine si cod pentru a decrementa acest contor la o alta tastare).
Comentarii:
Se poate spune ca acest virus are o formatie universitara, iar majoritatea numelor sale sunt legate de acest mediu. A fost descoperit prima data la colegiul Merritt din California, in primavara lui 1987. In februarie 1988, a ajuns la colegiul Alameda, unde a castigat o popularitate considerabila. In octombrie 1988, a survolat Universitatea Yale, devenind astfel cunoscut precum virusul Yale. Alameda isi petrece viata in sectorul de boot al floppy-urilor de 360K de 5.25". Cand masina boot-eaza de pe un floppy de 360K infectat, Alameda devine rezident in memorie, ocupand 1K aproape de capatul memoriei conventionale, eliminand aceasta memorie din DOS. Infecteaza doar acele floppy-uri de 360K plasate pe drive-ul A:. Alameda redirectioneaza intreruperile de la tastatura, cautand de fapt secventele Ctrl-Alt-Del. Cand detecteaza o combinatie Ctrl-Alt-Del, el simuleaza o reboot-are prin stergerea ecranului, prin beep-uri si mutand capetele drive-ului floppy. In timpul procesului, el incearca sa infecteze orice floppy care se gaseste in drive-ul A:. Va infecta orice disc se afla in drive-ul A:, fie ca este sau nu boot-abil. Sectorul de boot original este dus pe pista 49, cap 0, sector 8 - un sector care este disponibil daca discul nu este deja plin. Acest sector nu va fi marcat "prost" in FAT, aceasta zona putand fi utilizata ulterior de un alt fisier, iar discul nu va mai boot-a. Aparent, el utilizeaza cap 0, sector 8 si nu cap 1, sector 9, deoarece acesta este comun pentru ambele formate simpla si dubla fata, precum si obisnuit pentru formatele 8 si 9 sectorizate (atat vechiul format 160K simpla-fata, cat si ulteriorul 180K simpla-fata). Virusul contine ceva cod (pe care nu-l apeleaza) pentru a formata pista 39, cap 0, in pregatirile sale de a plasa acolo sectorul de boot, dar acest cod nu este apelat. De asemenea, el contine un contor care numara de cate ori a infectat alte dischete, chiar daca este referit doar pentru scriere si nu este folosit in alta parte a algoritmului de activare. Virusul ramane rezident tot timpul dupa boot-are, chiar daca utilizatorul scoate floppy-ul de pe o masina neavand hard disc boot-abil, si reboot-eaza cu Ctrl-Alt-Del. Atunci cand se apasa Ctrl-Alt-Del, el infecteaza floppy-ul de pe drive-ul A:. Alameda nu contine nici un fel de mecanisme anti-detectie, precum virusul Brain. Deoarece instructiunea POP CS, din Alameda, nu este inteleasa de sistemele 80286 sau 80386, virusul original blocheza astfel de sisteme. POP CS isi transfera controlul in memoria "upper". Cand o astfel de masina este blocata, virusul s-a instalat deja in RAM si a interceptat intreruperile de la tastatura, astfel incat infectia se poate raspandi daca se realizeaza o lansare la cald. Versiuni succesive ale virusului corecteaza bug-ul legat de POP CS astfel incat, in prezent, virusul se executa pe toata familia Intel a masinilor din gama 80xx.


 Leprosy.Taz.2276

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2276 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 MBRExe.b

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
630 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 MemLapse.465

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
465 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Metallica.1103

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1103 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 MH.757

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
757 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Mindless.429

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
429 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Alien-3

Spatiul ocupat pe disc:
625 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
Daca timpul sistemului este intre 33 si 60 minute vor fi afisate simbolurile: " "
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Infectarea incepe cind se executa un fisier infectat. Virusul va rezida in memorie fiind capabil sa infecteze fisierele care sint accesate.


 Mini.130

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
130 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VACSINA.10

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1239 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 132 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 VCS.Manta

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1077 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Version.705

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
705 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Victor.2442

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
2442 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.361

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
361 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Arcv.826

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
826 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Vienna.526

Virusul poate reinfecta.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
526 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vote.1000

Pseudonime:
Vote
VOTE
SHITHEAD
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Dimensiunea memoriei ocupate:
256 o.
Spatiul ocupat pe disc:
1000 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Mesaje afisate de virus:
"DID YOU VOTE SHITHEAD??" ; Mesajul continut de virus si afisat nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierul COMMAND.COM.
- Virusul este de tip "companion".
ntreruperi interceptate:
24
Comentarii:
Din comentariile continute in codul sursa rezulta urmatoarele: VOTE, SHITHEAD este un virus rezident, companion, bazat pe codul lui Little Brother si pe rutinele din biblioteca .asm extrasa din Nowhere Man VCL. De asemenea, contine trei nop-uri impachetate care reusesc efectiv sa pacaleasca scanner-ele antivirus. Aceasta simpla alterare demonstreaza avantajul de a avea codul sursa: generarea rapida a unui virus complet diferit. Singurele instrumente necesare fiind un numar de scanner-e si multa rabdare. In orice caz, virusul VOTE este un exemplu ideal pentru actiunea virusului. Este in instrument perfect pentru raspandirea virala, deoarece este un infector rapid. Odata ajuns rezident, VOTE va crea un fisier companion pentru fiecare .EXE executat, de pe oricare drive, si va face asta atat de repede, incat utilizatorii, chiar si cei mai suspiciosi, nu vor notifica incetinirea sau eventuale 'scartaieli' in operarea masinii. Mai mult, .EXE-ul procopsit cu un companion, va continua sa se incarce si sa functioneze corespunzator atunci cand VOTE este rezident. De asemenea, VOTE, ca si alti virusi netratati suficient, loveste direct suitele antivirus vulnerabile (multe "no-name") si creaza fisiere companion ascunse 'hidden'. In fine, VOTE este un virus mic, in RAM nefiind discenarbil, ocupand mai putin de 0.25k. Ín mod caracterisitic, aceasta nu este raportat de un display mem /c. De fapt, VOTE este aproape invizibil oricaror teste de diagnosticare standard. In ziua de 3 noiembrie, VOTE va bloca masina infectata intr-o bucla care va afisa repetitiv, de-a lungul ecranului, intrebarea: "DID YOU VOTE, SHITHEAD??". In acea zi fatidica, calculatorul nu va mai fi operational pana cand virusul VOTE nu va fi eliminat de pe masina. Acest task consta in demascarea tuturor fisierelor .COM 'hidden' si stergerea lor, cat timp virusul nu este rezident. In oricare alte zile, virusul VOTE este complet transparent. Semneaza autorul: Urnst Kouch.


 W97M.NightShade.A

Pseudonime:
MW97:NightShade family
Word97Macro/NightShade.A
W97M/NightShade.a
Mesaje afisate de virus:
In functie de data sistemului si de un anumit contor, virusul va afisa mesajul: " Attention:

Word97.NightShade by Pyro [VBB]. "
Comentarii:
Este un virus de Word97 care are un singur macrou NightShade. Acest macrou contine functia AutoClose , astfel sistemul este infectat cind un fisier care conitne virusul este deschis, iar documentele sint infectate cind sint deschise. Vinerea, cind data sistemului este 13, virusul seteaza pentru documentul curent parola "NightShade".


 WestUkrain.274

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
274 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Winsurf

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1432 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Suporta formatul de fisiere NewEXE, dar nu verifica tipul sistemului de operare gazda.


 Arcv.Ice.250

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
250 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 WM.Buero

Pseudonime:
WM/Buero-A:De
WM/NOP.Buero
Winword.Buero_A
WordMacro/Buero.A
Originea geografica:
Germania
A fost semnalat prima oara in August 1996.
Efecte distructive:
Daca data este mai mare de 15 August 1996, virusul redenumeste fisierele IO.SYS in IIO.SYS , facind imposibila boot-area sistemului. Deasemenea sterge fisierele C:\*.DOC.
Comentarii:
Este un virus de Word care are doua macrouri. Cind infecteaza NORMAL.DOT acestea sint : DateiSpeichern si BuroNeu. Cind infecteaza fisierele macrourile se numesc AutoOpen si BuroNeu. Virusul infecteaza sistemul cind se foloseste AutoOpen iar in fisier "intra" cind este folosit FileSave.


 YanShort.Wizard

Virusul produce efecte sonore.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
2051 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Youth.580

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
580 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Zirate.1687

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1687 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Arianna.3375

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3375 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Ash.Pizza.1604

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1604 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Astra_II.1010

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1010 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Atomant.2143

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2143 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Australian.1149

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1149 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Australian.229

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
229 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.673

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
673 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Australian.Little.153

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
153 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Beer.2850

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2850 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Berserker.3561

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3561 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 BigMouse.900

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
900 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 BitAddict.512.b

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Blackjec.281

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
281 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 BlackWind

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
476 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Bob.718

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
718 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bootache.2048

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza drivere de dispozitive (.SYS).


 Boxes.1086

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1086 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Bubonic.2181

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2181 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Chinese_Fish

Pseudonime:
Fish
Fish Boot
Loc de rezidenta:
Virusul se instaleaza in memoria HIGH (adica, intre 1Mo si (1Mo + 64Ko - 16o)).
Tehnici de ascundere:
Sunt folosite.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector MBR.
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector MBR.
Originea geografica:
Taiwan
Caracteristici polimorfice:
- Nu este criptat.
Mesaje afisate de virus:
Hello! I am FISH, please don't kill me.

Congratulate 80th year of the Republic Of

China Building,Fish will help to kill stone

Written by Fish in NTIT. TAIWAIN 80.10.18 ; Mesajul continut de virus si afisat nu este criptat.
Mesajul, aratat alaturat, este afisat in urmatoarele zile ale fiecarei luni: prima, a 11-a, a 21-a si a 31-a. Acest text poate fi gasit in corpul virusului, care este situat in afara zonei sistem de pe floppy disc sau de pe gard disc. Va folosi la "help kill the stone", infectand hard discul, care daca este infectat cu Stoned, devine acum, in schimb infectat, cu Chinese Fish.; Mesajul, aratat alaturat, este afisat in urmatoarele zile ale fiecarei luni: prima, a 11-a, a 21-a si a 31-a. Acest text poate fi gasit in corpul virusului, care este situat in afara zonei sistem de pe floppy disc sau de pe gard disc. Va folosi la "help kill the stone", infectand hard discul, care daca este infectat cu Stoned, devine acum, in schimb infectat, cu Chinese Fish.
Tipuri de fisiere infectate:
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza DBR-ul de pe hard disc.
- Infecteaza MBR-ul de pe hard disc.
Raspandirea virusului:
Virus comun. Regiunea geografica: USA
Virus comun. Regiunea geografica: UK
Virus comun. Regiunea geografica: Iceland
Virus comun. Regiunea geografica: Australia
Virus comun. Regiunea geografica: South Africa
Virus comun. Regiunea geografica: Israel
Efecte nedistructive:
Nesemnificative.
Comentarii:
Simptome: Calculatorul s-ar putea bloca sau mesajul indicat ar putea fi afisat. De retinut: Atunci cand se boot-eaza de pe o discheta infectata, virusul se va autoinstala in memoria libera disponibila. Tot la acel moment, virusul va infecta MBR. Atunci cand este rezident, el ar putea provoca blocarea calculatorului sau esuarea unor programe. Aceasta se intampla deoarece programul care se executa foloseste aceeasi zona RAM ca si cea utilizata de virusul Chines Fish pentru handler-ul INT13. "NTIT" sunt initialele a doua scoli diferite din Taiwan. Cativa studenti, de la ambele scoli, au sustinut ca virusul provine de la ei.


 Civil.6656

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
6656 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza MBR-ul de pe hard disc.


 Civilwar.602

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
602 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Civilwar.Ratboy.671

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
671 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Codewar.2048

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
2048 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 Companion.247

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
247 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Compat

Pseudonime:
XM/Compat.A
Comentarii:
Este un virus de Excel 95. Contine 11 macro-uri. Numele lor sint: AutoOpen, AutoClose, Auto_Exit, Auto_Help, Macro1, Macro2, Macro3, Macro4, Macro5, Macro6 si Macro7. Acestea sint intr-un modul care are un nume polimorfic. Virusul pune la inceputul codului urmatorul mesaj: " Macro recorded (month) / (day) / (year) by (user)". Varibilele (month), (day), (year) and (user) sint diferite pentru fiecare imprejurare si replicare. Virusul isi salveaza codul in diferite fisiere si cai, acest lucru depinzind de imprejurari astfel : pe Macintosh fisierele sint"Office 97 Compatibility" si "MS Excel Visual Basic Example" iar pe Windows 95 acestea sint "Off97com.xla" si "Vba_xl.txt". Virusul construeste codul ca un Add-In in fisier de tipul Off97com.xla. Dupa data de 31 August 1998 Compat incepe sa se manifeste, astfel, va schimba usor valoarea unor celule, luate la intimplare. Acest lucru poate avea efecte dezastruoase.


 Costeau.512

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Crepate.1944

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
1944 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza DBR-ul de pe floppy discuri.
- Infecteaza MBR-ul de pe hard disc.


 Csl.457

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
457 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Deliver.Digi.3547

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3547 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Devastator.174

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
174 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Diamond.594

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
594 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Diamond.RockSteady.666

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
666 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 DIR2-910

Spatiul ocupat pe disc:
1024 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE.
- Infecteaza fisierele .COM.
Efecte distructive:
Cind toate fisierele COM & EXE au fost infectate nu va mai fi posibila executia niciunui fisier de pe disc.
Comentarii:
Cind virusul devine rezident in memorie va schimba strctura datelor directorului astfel unele fisiere executabile vor face legatura cu virusul. Asta face ca atunci cind se executa un fisier prin acea legatura sa se execute virusul. DIR2-910 este rezident in memorie dar nu intercepteaza nici o intrerupere. Infectia fisierelor se face cind acestea sint scrise sau citite. Vor aparea mesaje de eroare cind se incearca infectarea fisierelor care sint protejate la scriere.


 DKiller.Clouds.588

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
588 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Dos.184

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
184 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 DS.512

Virusul este prost scris (are erori).
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
512 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Dutch_Tiny.251

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
251 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 EAF0.638

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
638 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 ExeHeader.Bosco

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
453 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 ExeHeader.SkidRow.415

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in buffer-ele DOS.
Spatiul ocupat pe disc:
415 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 F1.337

Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Dimensiunea memoriei ocupate:
54 paragrafe.
Spatiul ocupat pe disc:
337 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.
ntreruperi interceptate:
21 / F1
21 / 6C
21 / 4B
21 / 3D
24
Efecte colaterale:
Vectorul Int24 nu este restaurat dupa infectarea unui fisier.
Modul de autodetectare a virusului in memorie:
Int21;AH=F1 cu iesire in programul gazda
Comentarii:
Tratarea secventei Int21;AH=6C presupune ca pointerul la numele fisierului este in DX, dar el de fapt este in SI. Verificarea pentru numele fisierului se face la "*CO?", iar apoi vor fi selectate cateva fisiere gresite.


 FatherMac.1470

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1470 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 FaxFree.Pinniz

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 FFFF.440

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
440 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Fingers.1322

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1322 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Fist.711

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
711 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Flip.2153

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2153 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Freddy.1870

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1870 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Grog.1072

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1072 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 133 pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Grog.488

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
488 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Grog.903

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
903 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 GTM.BewareBug.1436

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext si interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1436 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Hack.130

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
130 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Hannibal.970

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
970 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Heja.511

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
511 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Helloween.1888

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1888 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Hide.709

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
709 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 HLLC.8224

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
8224 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Hochiminh

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
950 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Horse.1776

Pseudonime:
Horse
Horse #12
Horse [Hrs]
Horse 1776
Horse 4
Naugthy Hacker-2
Virusul produce efecte vizuale.
Virusul modifica data si ora fisierelor infectate.
Virusul este prost scris (are erori).
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Dimensiunea memoriei ocupate:
1776 o.
Spatiul ocupat pe disc:
1776 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Caracteristici polimorfice:
- Nu este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierul COMMAND.COM.
- Infecteaza fisierele .EXE identificate prin tip si extensie.
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
A se vedea si:
Horse #12
Horse #3
Horse #4
Naughty-Hacker
Horse #2
Efecte distructive:
Suprascrie fisierele pe care le infecteaza.
Comentarii:
Ca simptome: seteaza secundele fisierelor infectate la 62. Seteaza modul de afisare video. Punct de intrare flexibil. Codul pare a fi proiectat pentru a se putea lega la orice locatie din fisierul executabil. Programul intercepteaza incarcarea software-ului. Macaj de timp incorect. Determina EXE/COM. Programul face asta pentru a sti ce fisiere sa infecteze. Contine cod care poate fi folosit pentru a suprascrie/muta un program in memorie.


 Hypervisor.3120

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3120 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tehnici de ascundere:
Sunt folosite.
Mesaje neafisate dar continute de corpul virusului:
'HYPERVISOR' ; Mesajul continut de virus si neafisat este criptat.
'SECURITY_EQUALS' ; Mesajul continut de virus si neafisat este criptat.
'GROUPS_I'M_IN' ; Mesajul continut de virus si neafisat este criptat.
'PASSWORD' ; Mesajul continut de virus si neafisat este criptat.
'IDENTIFICATION' ; Mesajul continut de virus si neafisat este criptat.
'LOGIN_CONTROL' ; Mesajul continut de virus si neafisat este criptat.
'The Hypervisor' ; Mesajul continut de virus si neafisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Comentarii:
Virusu apare ca tintind NetWare. Atunci câand un utilizatot, avand drepturi de supervizor, face log, in retea, de pe o statie de lucru infectata, virusul creeaza un nou cont supervizor sub numele de 'HYPERVISOR'. Cateva variante minore ale virusului pot fi detectate cu acelasi pattern.


 Ieronim.512

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Info.1355

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1355 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Int83.880

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
880 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Intruder.1967

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1967 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Itv.449

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
449 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Jd.392

Virusul infecteaza interceptand apelurile DOS la fisiere.
Spatiul ocupat pe disc:
392 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 KbrBug.1596

Virusul produce modificari in sistem.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1596 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 0 ... 36
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Kela.2010

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2010 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Keypress.1199

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1199 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 10 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Khizhnjak.1011

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1011 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.696

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
696 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Khizhnjak.Hallo.759

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
759 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Kiwi.550

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
550 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 Koko.1780

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1780 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 256 cu rotunjire la paragraf. pentru fisierele de tip .EXE.
lungimea virusului cu rotunjire la paragraf. pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Kukac.512

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
512 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lame.538

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
538 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lip.286

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
286 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 LoadError

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Lokjaw.808

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
808 o.
Tipuri de fisiere infectate:
- Virusul este de tip "companion".
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.
Locul in fisierul infectat unde se instaleaza virusul:
- Este de tip atasat ("companion")
ntreruperi interceptate:
21
A se vedea si:
Lokjaw.493


 LoveChild.2710

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2710 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Lseek.1461

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1461 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE; tipul fisierului este determinat dupa extensia acestuia.


 Lyceum.737

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
737 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Originea geografica:
Russia
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Macgyver.4645

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
4645 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 MadWill.2400

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2400 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Manuel.1388

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1388 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Marzia.Demian

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1536 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.
- Infecteaza MBR-ul de pe hard disc.


 Trivial.ZZ.127

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
127 o.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Tumen.1092

Pseudonime:
Backwolf B
Tumen v2.0
Tumen
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1092 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierul COMMAND.COM.


 Twister.1015

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1015 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Unexe.425

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
425 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Uruguay.4

Pseudonime:
Uruguvau
Virusul produce efecte sonore.
(1550h=155P)
Virusul modifica data si ora fisierelor infectate.
Loc de rezidenta:
Virusul se afla deasupra ultimului MCB.
(1550h=155P)
Dimensiunea memoriei ocupate:
5456 o.
(1550h=155P)
Spatiul ocupat pe disc:
2621 o.
(1550h=155P)
Modul de penetrare a virusului:
Virusul gaseste handler-ul original pentru INT 21h si-l apeleaza direct. Virusul foloseste trasarea intreruperilor.
Virusul gaseste handler-ul original (in DOS) pentru INT 13h si apoi il apeleaza direct. Virusul foloseste trasarea intreruperilor.
Cum sunt infectate obiectele pe o masina (sau LAN)
Infecteaza ca un infector rapid.
(1550h=155P)
Cum sunt infectate obiectele neconectate:
Infecteaza ca un infector rapid.
Este rezident si un infector rapid.
Gradul de evidenta a prezentei virusului:
Virusul nu este atat de evident. Adesea este neobservat.
Caracteristici polimorfice:
- Foloseste o criptare variabila, avand un decriptor variabil, un numar indicand octetii constanti din decriptor.
Mesaje afisate de virus:
"'Uruguay-#4' Virus

Programmed in Montevideo (URUGUAY) by F3161. 07/92.

This is a research virus - DO NOT DISTRIBUTE." ; Mesajul continut de virus si afisat este criptat.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM.
- Infecteaza fisierele .EXE.
- La infectie, cand determina tipul fisierului, verifica si ZM.
Locul in fisierul infectat unde se instaleaza virusul:
- Se adauga la sfarsitul fisierului
Tehnici de protejare:
- Dezactiveaza INT1 si INT 3.

; la data: 1/31/94
Nu a fost vazut niciodata in natura!
ntreruperi interceptate:
01
13
21 / 4B00
21 / 3D00
24
2A
2A (doar pentru a restaura INT_21 daca s-a pierdut)
A se vedea si:
Uruguay.1
Uruguay.2
Uruguay.3
Uruguay.5
Uruguay.6
Uruguay.7
Uruguay.8
Efecte nedistructive:
Virusul arata pe ecran continutul mesajului afisat, folosind servciul DOS INT_21=AH=2. Imprimarea este intarziata si dureaza cateva secunde. Ea este acompaniata de tonuri muzicale aleatoare, calculate folosind codul ASCII al caracterelor imprimate.
Conditii de declansare a efectelor nedistructive:
ExecInfected and (byte[0:46C]=0)
Conditii de declansare a infectarii:
(Exec or ((Open or OpenCreate) and (*.COM or *.EXE))) and
(Size>200h and Size= (Size mod 17h)<>0 and
(not COMMAND.COM)
Modul de autodetectare a virusului in memorie:
INT_21;AX=3032;DX=1234 -> AX=5678
Comentarii:
Fisierele EXE infectate sunt comutate in COM-uri, iar codul virusului este adaugat la sfarsitul fisierului, intr-o forma encriptata. Fisierul incepe cu un JMP la decriptorul virusului (offset E9). Cand un program infectat primeste controlul, virusul se copiaza in segment, in topul memoriei conventionale utilizate. Memoria disponibila pentru DOS este redusa. Daca calculatorul are 640K, puteti calcula usor codul segmentului virusului (MEMORY_SIZE=155para, CS=A000-155=9EAB; veti obtine 9EAA daca UMB este utilizat, deoarece topul paragrafului va fi BFFF, si nu A000). Dupa decriptarea corpului sau, virusul restaureaza startul fisierului infectat (3 bytes) si, daca fisierul era EXE, face el relocarile necesare. Apoi, codul este mutat jos, in memorie, deoarece nu mai este nevoie de header-ul EXE. Virusul intercepteaza DOS INT_21 rescriind startul rutinei de service DOS in segmentul DOS cu FAR JMP la codul viral. Segmentul DOS este definit ca utilizand INT_2F/1203. Virusul foloseste dimensiunea fisierului pentru a indica infectia. Fisierele infectate cu Uruguay.4 au intotdeauna o dimensiune divizibila cu 17H. Virusul are un generator intern, de numere aleatoare, folosit extensiv in motorul polimorfic. El accepta un parametru (AL) si returneaza BH=0, BL=[1;AL]. Generatorul de numere aleatoare foloseste BIOS-ul calculatorului si continutul timer-ului curent [0:46C] pentru a calcula output-ul (cateva ADD-uri si SUB-uri). Pentru a opera, foloseste variabile statice. Generatorul de numere aleatoare este localizat la adresa cea mai din top din codul virusului. Antivirusul Scan v.108 detecteaza Uruguay.4 si-l denumeste virusul [Uruguvau].


 V.1014

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1014 o.
Lungimea fisierului infectat creste cu:
lungimea virusului cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.1663

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident ca un TSR.
Spatiul ocupat pe disc:
1663 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 V.359

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in vectorul de intreruperi.
Spatiul ocupat pe disc:
358 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 V.572

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
572 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip.


 V.767

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
767 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 Vienna.612

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
612 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.679

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
679 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.777

Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
777 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vienna.ByteWarrior

Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1164 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.


 Vienna.Violator.821

Virusul produce efecte vizuale.
Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
821 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 Vinnitsa.1620

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1620 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Virogen.BombTrack.2349

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2349 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Viros.429

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident la o adresa particulara de memorie (fara a o marca ca fiind alocata) si anume
Spatiul ocupat pe disc:
429 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 VLAD.Daddy.1117

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1117 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 VLAD.Republic.1206

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1206 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip si extensie.
- Infecteaza fisierele .EXE identificate prin tip si extensie.


 WM.Goldfish.A

Pseudonime:
MW:Goldfish-A
WM/Goldfish
Winword.Goldfish.A
WordMacro/Goldfish
Goldfish
WORD_GOLDFISH
Originea geografica:
SUA
A aparut in Iulie 1996
Mesaje afisate de virus:
Afiseaza o fereastra de dialog cu mesajul:" I am the goldfish, I am hungry, feed me. ". Raspunsurile care vor fi acceptate sint:"fishfood", "worms", "worm", "pryme" si , "core".
Efecte distructive:
Nu se manifesta distructiv.
Comentarii:
Este un virus de Word care are 2 macro-uri AutoOpen si AutoClose. Cind un fisier infectat este deschis, virusul va infecta NORMAL.DOT. Documentele vor fi infectate cind vor fi deasemenea deschise. Este criptat. Nu se ascunde.


 WM.Irish

Pseudonime:
MW:Irish-A
WM/Irish
WinWord.Irish
Irish
IRISH
WORD.Irish
Mesaje neafisate dar continute de corpul virusului:
"If this is a first time save, exit to the File Save As dialog Rem and exit".
Comentarii:
Este un virus de Word care are patru macrouri. Numele acestora depinde de ce infecteaza, astfel : daca infecteaza NORMAL.DOT numele vor fi AntiVirus, AutoOpen, WordHelp si WordHelpNT, cind infecteaza documente numele vor fi AntiVirus, FileSave, WordHelp si WordHelpNT. Macro-urile WordHelp si WordHelpNT nu functioneaza automat. Daca acestea se executa manual,desktop-ul va deveni verde si va aparea mesajul in screen saver ; "Happy Saint Patties Day … CDJ 1995". Nu se ascunde. A fost semnalat prima oara la data de 28 Iunie 1996.


 WM.Mota.A

Pseudonime:
MW:Mota-A
WM/Mota.A
Mota
WinWord.No2
Macro.Word.Mota
Comentarii:
Este un virus Word care are 5 macro-uri. Autoexec si AutoOpen care infecteaza zona de macrouri, No2, FileSaveAs prin care se infecteaza documente si FileExit care ascunde mesajele de eroeare. Daca sistemul este deja infectat virusul va adauga documentului curent mesajul " Mota grows…". Este criptat. A aprut la 24 Martie 1997.


 WM.Spooky

Pseudonime:
MW:Spooky-A
WM/Spooky
Winword.Spooky
WordMacro/Spooky
Spooky
WinWord.Spooky
Macro.Word.Spooky
Spooky
WORD.SPOOKY
Originea geografica:
Germania
A aparut in Iulie 1996.
Mesaje afisate de virus:
Daca este apelat macro-ul extrasmakro va afisa mesajul " Diese Option wurde von Spooky gesperrt, Sie m ssen ein Passwort eingeben: " dupa care va astepta parola " ykoops". Daca parola nu este introdusa, va afisa o fereastra de dialog cu mesajul " Sie haben das falsche Passwort eingegeben ".
Mesaje neafisate dar continute de corpul virusului:
" savetemplate ".
Comentarii:
Este un virus de Word care are 9 macro-uri: spooky, autoexec, autoopen, datei ffnen, extrasmakro, dateidrucken, dateidokvorlagen, DateiSpeichernUnter, dateidruckenstandard. Virusul infecteaza cind fisierele sint deschise. Daca secunda curenta este mai mare de 55, virusul adauga la sfirsitul documentului care se tipareste, textul " Word.Spooky". Depinde de data curenta daca acelasi text va fi afisat in status bar. Este criptat.


 WM/Niknat

Pseudonime:
Niknat
Evah
Mesaje neafisate dar continute de corpul virusului:
" by NAENBGOURSG SO.HT.AI.KS 231076-GREECE Thanks to NEURO VRD 19-4-1997 VRP A.U.A "
Comentarii:
Este un virus simplu de word. Contine 6 macro-uri: Evahzg, AutoClose, ToolsMacro, FileTemplates,TCloseAN, DCloseAN. Creaza un director C:\EvaHzg2 unde scrie o serie de fisiere. Acestea creaza un fisier bitmap Evah.bmp folosind debug.exe din DOS. Virusul se activeaza la data de 23 Octombrie. Atunci Wallpaper-ul activ va schimbat cu unul nou care va contine Evah.bmp, reprezentind imaginea unei fete dezbracate. Cind se va incerca folosirea meniului Tools/Macro sau File/Templates, virusul va activa speaker-ul cu un beep si va afisa mesjul : " Windows Protection Error ".


 Wrzod.1043

Virusul produce efecte sonore.
Virusul produce efecte vizuale.
Virusul infecteaza folosind functiile DOS FindFirst, FindNext.
Spatiul ocupat pe disc:
1043 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM; tipul fisierului este determinat dupa extensia acestuia.


 XPEH.3840

Virusul corupe fisierele de date. Chiar daca pagubele nu sunt vizibile imediat, integritatea datelor a fost afectata.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
3840 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 128 cu rotunjire la paragraf.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Xuxa.1096

Virusul produce efecte vizuale.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1096 o.
Lungimea fisierului infectat creste cu:
lungimea virusului
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.


 Yankee.17

Virusul produce efecte sonore.
Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
1753 o.
Lungimea fisierului infectat creste cu:
lungimea virusului pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Yankee.2974

Virusul infecteaza interceptand apelurile DOS la fisiere.
Loc de rezidenta:
Virusul este rezident in MCB.
Spatiul ocupat pe disc:
2974 o.
Lungimea fisierului infectat creste cu:
lungimea virusului + 4 pentru fisierele de tip .COM.
Tipuri de fisiere infectate:
- Infecteaza fisierele .COM identificate prin tip.
- Infecteaza fisierele .EXE identificate prin tip.


 Virus insotitor

Virus insotitor
Sunt virusi companioni, dar nu si infectori ai fisierelor.