Энциклопедия компьютерных вирусов
Vienna, семейство
Нерезидентные вирусы. При запуске ищут .COM-файлы и записывается в их конец. Ищут файлы текущем каталоге и в зависимости от версии вируса в корневом каталоге, либо в каталогах, отмеченных системной переменной PATH. Заражение происходит при запуске инфицированной программы, при этом заражается не более одного файла. Многие вирусы семейства при попытке заражения проверяют у файла значение секунд (или месяца в зависимости от версии вируса) последней модификации файла. Если оно равно 1Fh (62 секунды, соответственно 0Dh - 13-й месяц), то файл не заражается. Некоторые представители семейства в зависимости от таймера могут "убивать" файлы, записывая в их начало 5 байтов либо команды перехода на перезагрузку JMP F000:FFF0, либо JMP C800:0005, JMP C800:0000 или JMP C800:0006 в зависимости от версии вируса. Вирус "Vienna.648.b" ("Lisbon") записывает в начало файла текст "@AIDS". Восстановить в первоначальном виде такие файлы невозможно. Содержат строку "*.COM" или:
"Vienna.457": (C) ITV85020203 "Vienna.458": DUSHANBE M&A "Vienna.466": Gosia "Vienna.483": Kiev 1990 "Vienna.534": Microsoftyright Microsoft 1988 "Vienna.547": Hey you! You are lucky! YOU HAVE ME!!! written in WARSAW (c) Plumbum "Vienna.547": IBM "Vienna.573": PERSEUS by Mr Doctor "Vienna.625": Greetings from Ivanov V." (string is encoded); "Vienna.648.b": @AIDS"; "Vienna.679": -+[BetaBoys]+- "Vienna.700": <* Vienna-D Scan String Eliminator Field Test, (C) 1991 RABID International Development Corp *> "Vienna.726": (c) Copyright IBM Corp 1981,1987 Licensed Material - Program Property of IBM "Vienna.732": SKISM ReplicatoR FiRe is a LAMER... destroy InFiniTy! "Vienna.742": BlackICE [FoG] Mobius Sobriquet "Vienna.777": I come to you from The Ayatollah! (c)1990, VirusMasters An Iraqui Warrior is in your computer... "Vienna.777.b": -=IWG=-=IWG=-=IWG=-=IWG=-=IWG=-=IWG=-=IWG=-=IWG=-=IWG=- IraquiWarriorG (C) '93 by Grog - Italy "Vienna.939": (C) Monxla "Vienna.Norilsk.481": /I l A.B./ "Vienna.Norilsk.520": /MW Soft./1993Feb6/Norilsk/Shura M./Depeche Mode/ "Vienna.SPb.641": C-641.SPb Sankt-Petersburg (C) 1992 "Vienna.W13.600": I am back...
The world will hear from me again. Pray for your disks NEW (c)W13 1994
Некоторые версии периодически выводят на экран текст:
"Vienna.494": REQ ! Ltd (c) 18:41:22 3-I-1991"; "Vienna.776": Я, кажется, подхватила какую-то заразу... Срочно звоните Дмитрию Николаевичу Лозинскому по телефону 292-40-76 (Москва) и приобретите ПРОГРАММУ AIDSTEST !!! "Vienna.757": Безвредный вирус: Долой Кузьмичей !!! "Vienna.810": Мы на горе всем буржуям мировой пожар раздуем !!! Кузьмичи "Vienna.827": Alan Solomon Doctor of what? Thinks he's a copper, A copper he's not. "Vienna.961": Sorry, I'm INFECTED! I'm already NOT infected! "Vienna.1000": Arf Arf Got you! -- RABID '90
"Vienna.311" переименовывает файл COMMAND.COM в COMMAND.CON. "Vienna.457" по 13-м пятницам освобождает оперативную память, занимаемую программой-носителем. "Vienna.644" поражает файлы, только если значение минут таймера меньше 20. Изменяет 5 байт начала файла (PUSH CS; POP DS; CALL Loc_Virus). Устанавливает некоторые биты времени файла (OR 1234h). "Vienna.716,1000" периодически пытаются форматировать диски. "Vienna.730" стирает сектора дисков, уничтожает файлы, содержит текст:
BetaBoys
"Vienna.757" изменяет первые 4 байта файла, не поражает файл "COMMAND.COM". "Vienna.774" записывает в .COM-файлы программу, которая при старте стирает FAT диска C: и сообщает :
<<>> THE GRITHER <<>> Courtesy of Elexion
"Vienna.778" расшифровывает и выводит текст: "Only GHOSTBUSTERS would repair this disk now !!!". Также содержит зашифрованную строку: "STANISLAV SLACKA". "Vienna.849" стирает сектора дисков и выводит текст на экран:
Matthew Stolarski - "A Loser in deep trouble..." Matthew Stolarski is a born loser... Let's kill him!!!! YAM '92. Remember that name.
"Vienna.851,943" стирают сектора дисков и выводят тексты:
Sorry this computer is no longer operational due to an outbreak of Bushishiro Have a NICE day
VIPERizer, Strain B (c) 1992, Stingray/VIPER Happy Valentines Day!
"Vienna.988" при старте сообщает: "Vio-Lite, TAA, Virulent Graffiti, (k) 1992". Периодически выводит другое сообщение:
a MeSSaGe FRoM ViRuLeNT GRaFFiTi, PLeaSe ReMeMBeR:
VG DoeS NoT BeLieVe iN PeRMiNaNTeLY DeSTRoyiNG DaTa, JuST FuCKiNG WiTH YouR MiND! aNoTHeR oNe FRoM VG GoeS DoWN WiTHouT a HiTCH!
SMaSH a KeY [ ]
"Vienna.1014" в ноябре форматирует винчестер, содержит текст: "Interceptor - (c) by Cracker Jack 1991 IVRL Milan, Italy". "Vienna.1055" пытается форматировать диски. Содержит текст:
TransMogrified (TM) 1990 by RABID N`tnl Development Corp.
!!!!!!!!!!!!!!!!!!!!!!!!!!! !Copyright (C) 1990 RABID ! ! ! !Activation Date: 08/15/90! ! ! ! - Violator Strain B - ! ! ! !(Field Demo Test Version)! ! *NOT TO BE DISTRIBUTED* ! !!!!!!!!!!!!!!!!!!!!!!!!!!!
"Vienna.1059" содержит строки:
Pat Tinaggio Dan Zerino Al Galoppo =- DanZerino (C) '93 by GROG - Italy -= >>7/93<< --------------------------------------------------------------- | Dan Zerino, il famoso pattinatore, era preoccupato. | | La sua partner, Pat Tinaggio, era innamorata. | | Partecipando a uno spettacolo a Denver, | | aveva avviato una relazione con un cowboy di nome Al Galoppo. | ---------------------------------------------------------------
"Vienna.1881" с 19 декабря по 1 января рисует елочку:
* * **%** *****%***** **%** ****%**** *******%******* ***********%*********** ****%**** ******%%%****** *********%%%********* ************%%%************ ****************%%%**************** ********************%%%******************** ************************%%%************************ @ Merry Christmas @ * @ & @ * *#* @ a Happy New Year @ *#* **#** @ for all my lovely friends @ **#** ****#**** @ from @ ****#**** ******#****** @ FATHER CHRISTMAS @ ******#****** @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
"Vienna.5286,5302" обходят некоторые резидентные мониторы, форматируют диски. Выводят на экран картинку с елочкой. Записывают в MBR текст:
Violator Strain B4 - Written by The RABID Nat'nl Development Corp. RABID would like to take this opportunity to extend it's sincerest holiday wishes to all Pir8 lamers around the world! If you are reading this, then you are lame!!! Anyway, to John McAffe! Have a Merry Christmas and a virus filled new year. Go ahead! Make our day!
Remember! In the festive season, Say NO to drugs!!! They suck shit! (Bah! We make a virus this large, might as well have something positive!)".
