Энциклопедия компьютерных вирусов
файлы при их запуске. При
Опасный резидентный файлово-загрузочный полиморфик
-вирус. Заражает MBR винчестера, COM- и EXE- файлы при их запуске. При заражении MBR шифрует ее первоначальное содержимое, в результате попытка восстановления MBR при помощи команды FDISK/MBR приводит к потере данных на дискe. Вирус использует также разнообразные антиотладочные приемы, зашифрован полиморфик-кодом не только в файлах, но и в MBR. Содержит большое количество ошибок и часто портит файлы и MBR при их заражении.
Вирус заражает файлы различными методами в зависимости от версии DOS. Под DOS 7+ (Windows) вирус заражает только EXE-файлы, при этом никак не изменяет COM-файлы и MBR. При заражении EXE вирус шифрует свой код 512-байтным полиморфик-циклом и записывается в конец файлов. Длина файлов при этом увеличивается на 8542 байт.
Под DOS 6 и ниже вирус заражает COM-, EXE-файлы и записывается в MBR при запуске первого зараженного файла. При заражении EXE вирус записывается в середину файла, если там есть «дыра» (область постоянных данных) подходящего размера. В этом случае длина файлов не увеличивается. При заражении COM-файлов вирус либо использует тот же прием, что и при заражении EXE-файлов под DOS 7+ и при этом записывает команду JMP_Virus в начало файла, либо записывает команду перехода на свой код в середину файла. Для этого вирус считывает код COM-файла в память и некоторое время эмулирует его работу. В процессе эмуляции вирус в зависимости от различных условий выбирает место для команды JMP_Virus. При этом вирус шифрует себя только обычным XOR-циклом, и длины зараженных файлов увеличиваются на 8030 байт.
Под DOS 6 вирус также использует эмулятор для определения DOS-адреса обработчика INT 21h.
29 апреля вирус вызывает видео-эффект: переключается в видео-режим и выводит изображение «падающего снега», постепенно закрывающего текст:
[Ithaqua] virus by Wintermute/29A
Вирус также содержит строки:
I'm Ithaqua,... that who walks over the wind Welcome to my world, adventurer. Follow me. Love. Hate. I'll be awaiting you on the dark side, watching the nonsense.
