Worm.Info, семейство

Неопасные резидентные зашифрованные стелс вирусы-черви. При запуске выводят сообщения:

"Worm.Info.2142":

"Worm.Info.2191":

InfoSystem version1.01 Reading System Information... Computer type: IBM PC

"Worm.Info.2259":

Reading System Information... Computer type: IBM PC

Затем вирусы действительно проверяют тип компьютера и добавляют одну из строк:

Original XT AT Convertible PS/2 Junior Unknown

После этого вирус выводит текст:

Checking HDD controller... SCSI controller type: Unknown (Error14)

и вызывает процедуру заражения компьютера. При заражении вирус ищет каталоги, отмеченные в строке PATH, создает там файлы с именем INFO.COM и записывает свою копию в эти файлы. Затем вирус ищет BAT-файлы и записывает в их начало команды:

@if not exist info.com goto noinfo @info>nul :noinfo

При запуске такие BAT-файлы выполняют файл INFO.COM (т.е. вирус). Затем вирус копирует свой код в UMB, HMA или обычную память, перехватывает INT 1Ch, 21h и заражает текущие каталоги при вызове DOS-функций FindFirst (AH=11h,4Eh). При обращении к измененным BAT-файлам и при вызовах FindFirst/Next вирус вызывает "стелс"-процедуру. Проверяет имена запускаемых файлов и при запуске CHDDSK, WEB или DRWEB отключает часть своих "стелс"-функций. Используя вызовы INT 1Ch, вирус постоянно проверяет наличие трассировки (INT 1Ch) и блокирует ее. По пятницам, приходящимся на 13-е число, вирус как-то меняет содержимое VGA-портов. Содержит также строки:

COMMAND NET?.CHKDSK.WEB.DRWEB.INFO.COM ATH=*.BAT

Содержание раздела