: Вы читаете файл дескрипторов вирусов, предназначенный для
: программы Вирусный Локатор. Дескриптор (ключевое слово)
: представляет собой слово не более чем из 7 букв, которое
: записывается сразу после точки в первой позиции строки.
: Весь текст после дескриптора и до следующего дескриптора
: за исключением строк с двоеточием в первой позиции выводится
: по желанию пользователя на экран при работе Локатора при
: обнаружении вируса или при просмотре вирусных масок.
:
: Для формирования файла дескрипторов использовались части
: из:
:
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.
:
:   'Доктор'  Е. Касперский                           9 апpеля 1990 г.
:   "Компьютерные вирусы"         файл -VIRUSES.DOC
:
:   Лозинский Д.Н.           Москва, 292-40-76
:   Антивирусная программа AIDSTEST.EXE, файл AIDSREAD.ME
:
:(C) MasterSoft , А. Сесса, Днепропетровский НИИТМ.
:   Файл V600.DOC
:
: и некоторые мои собственые сведения и впечатления.
:
:
:
:                      август 1990 г.  Шеховцов Александр



.Reboot
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.

        Вирус С-648 (Vienna - Вена; Time Bomb - Часовая мина; DOS-62)

     Название  вируса  С-648   связано  с  тем,    что  после    запуска
зараженной  программы  вирус  активируется  и  ищет  файл-жертву.   Если
файл-жертва  был найден  в  определенный момент времени (среди последних
трех  битов  шестнадцатеричного  представления   секунд  нет  ни   одной
единицы), то вместо  заражения  программы,   содержащейся в этом  файле,
С-648 вставляет в начало этой программы команды перехода на подпрограмму
"теплого  рестарта",   делая   тем   самым  программу  в соответствующем
СОМ-файле неработоспособной.  "Убитые"  вирусом программы не могут  быть
восстановлены без  наличия  информации о начале программы, а  зараженные
могут "излечиваться" с помощью соответствующего фага.

     Формально  вирус    С-648    -    файловый  нерезидентный    вирус,
поражающий файлы типа  СОМ. Функционирует на  версиях MS DOS,  начиная с
2.0.

     Стратегия заражения - поиск файла-жертвы по PATH. Поражает СOMMAND.
COM. При заражении он дописывается  в  конец  программы  и  одновременно
вставляет  в первые три байта COM-файла команду перехода на тело вируса.
При этом размер файла увеличивается на 648 байтов, дата создания файла и
атрибуты файла не меняются.  Заражение выполняется однократно. Минималь-
ный размер заражаемых файлов - 10 байтов (0Ah), максимальный - (FA00h).

     Для отличения  зараженных файлов от незараженных используются млад-
шие четыре бита времени создания файла (для зараженных  файлов  они  все
устанавливаются в единицу,  что соответствует несуществующему количеству
секунд: 62-м секундам).

     Поскольку вирус  C-648  не  проверяет,  находится  ли заражаемый
или уничтожаемый файл на защищенной дискеты или нет,  то в этом случае
выдается обычное сообщение операционной системы:

     Write protect error writing device <лог.имя.устройства>
     Abort, Retry, Ignore, Fail


                         Неформальные названия

     Данный вирус имеет не менее десятка  неформальных  названий.  Среди
них: Vienna (Вена),  DOS-62, Time Bomb (часовая мина), Flea (Блоха), ви-
рус перезагрузки,  VHP-648', RESTART (Рестарт - О.Котик), P-virus, Omega
(Омега).
     Полидетектор SCAN называет данный вирус
             "Vienna (DOS 62) Virus - Version A [Vienna]".

                      Программные средства защиты

     Уничтоженные вирусом файлы, т.е. файлы, в которых вместо первых пя-
ти байтов записана команда безусловного перехода на перезагрузку  MS DOS
(EA F0 FF 00 F0), можно восстановить, только если первые байты программы
были предварительно записаны  в  справочном  файле  программой-ревизором
(типа CRCDOS).


   Штамм вируса C-648
         Вирус С-623 (Vienna X)

     Вирус С-623 отличается от C-648 наличием обработки ненормальных
окончаний, что обеспечивает подавление сообщений вида

     Write protect error writing device <лог.имя.устройства>
     Abort, Retry, Ignore, Fail?

при попытке записи на защищенную дискету. Кроме того, в уничтожаемые мо-
дули записывается переход по адресу C800:0000. Возможно автор
предполагал, что в результате будет выполнена форматизация диска.
Уничтоженные модули можно искать по сигнатуре EA000000C8.  В отличии от
предыдущего данный штамм обеспечивает обработку ошибок ввода вывода.
Поэтому при попытке заражения программы, расположенной на защищенной
дискете не выдается соответствующего сообщения MS DOS.


   Штамм  C-627 (Vienna Y)

    В  штамме 627 исключен блок уничтожения программы.



.Micro88
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.

    Вирус С-534 (Vienna-B - Вена-Б; Тринадцатый месяц; Micro-88).

     В коде вируса C-534 прослеживается явное влияние вируса С-648 (по
сути это плагиат) в сочетании с низкой квалификацией автора.

     Формально вирус  С-534  -  файловый нерезидентный вирус,
поражающий файлы типа СОМ. Функционирует на версиях MS DOS, начиная с
2.0. Длина 534 (216h) байт. Заражаются  только  .COM-файлы  длиной  от
256(100h)  до FA00h байт в текущем  и  корневом  каталогах.    Заражение
происходит  при   запуске инфицированной программы, при этом заражается
не более одного файла.

        При  выполнении  зараженной  программы  управление передается на
начало вируса.  Вирус восстанавливает первые 3 байта основной программы,
ищет незараженный  файл с раcширением СОМ и  заражает его. Это ведет к
уничтожению EXE файлов, записанных с расширением COM.

     Стратегия заражения - поиск файла-жертвы в текущем  и корневом
каталогах.  Поражает СOMMAND.COM.  При заражении он дописывается
в конец программы и одновременно  вставляет  в  первые три байта
COM-файла команду перехода на тело вируса. При этом размер файла
увеличивается на 534 байта, дата создания файла и атрибуты файла
изменяются (вирус снимает атрибут READ ONLY и из-за ошибки в тексте не
восстанавливает его; кроме того, в дате подставляется 13 (0Dh)
месяц).  Заражение выполняется однократно. Минимальный размер
заражаемых  файлов - 256 байтов (100h),  максимальный - чуть меньше 64К
(FA00h). При  попытке  заражения  у  файла  проверяется  значение  месяца
последней его модификации и, если оно равно 0Dh (13-й месяц), то файл не
заражается.

     Как и С-648, вирус C-534 не проверяет, находится заражаемый или
уничтожаемый файл  на  защищенной дискете или нет,  и в этом случае
выдается обычное сообщение операционной системы:

     Write protect error writing device <лог.имя.устройства>
     Abort, Retry, Ignore, Fail?


     Фрагмент дампа программы DUMY0400.COM, зараженной вирусом C-534

0410   4D 00 4D 00 00 00 00 20 00 E4 81 24 00 00 00 00  M.M.... ...$....
0420   00 07 3F 3F 3F 3F 3F 3F 3F 3F 43 4F 4D 03 09 00  ..????????COM...
0430   00 00 46 51 0F 09 20 E4 81 24 00 90 01 00 00 54  ..FQ.. ..$.....T
0440   52 59 30 2E 43 4F 4D 00 4D 00 00 00 6F 73 6F 66  RY0.COM.M...osof
0450   74 79 72 69 67 68 74 20 4D 69 63 72 6F 73 6F 66  tyright Microsof
0460   74 79 72 69 67 68 74 20 4D 69 63 72 6F 73 6F 66  tyright Microsof
0470   74 79 72 69 67 68 74 20 4D 69 63 72 6F 73 6F 66  tyright Microsof
0480   74 79 72 69 67 68 74 20 4D 69 63 72 6F 73 6F 66  tyright Microsof
0490   74 79 72 69 67 68 74 20 4D 69 63 72 6F 73 6F 66  tyright Microsof

.Droppy
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.

                    Группа "КАСКАД"

     Данная группа   берет начало  с вируса  RС-1701 и  настоящее  время
включает ряд вирусов  с длиной порядка  1700 байтов имеющие  характерный
визуальный  эффект  "опадания"  букв  на  экране.  Большинство   штаммов
однократно заражает файлы типа  COM, однако встречаются  упоминания о
штаммах, многократно заражающих файлы.

           Вирус RС-1701 (LetterFall - Буквопад;
                     Cascade    - Каскад, сыпучка)

     Данный вирус, по видимому, является родоначальником группы.
Его название связано с тем,  что в зараженной им системе при
определенных  условиях начинается "падение" букв с верхних строк эк-
рана вниз, сопровождаемое негромким звуком, напоминающим шорох, и блоки-
ровкой клавиатуры. Длина вируса 1701 (6А5h).

     Формально  вирус   RС-1701  -    файловый    резидентный     вирус,
поражающий файлы типа СОМ.  Функционирует на версиях MS DOS,  начиная  с
2.0  (в  теле  вируса  имеется  проверка).   В связи с особенностью кода
(наличия  экзотической команды,  имеющейся  только  на микропроцессоре
8088/8086) данный вирус  не распространяется на  машинах типа PC/AT  и
машинах с процессором  80386.   Стратегия  заражения  -  при  запуске
файлов   на выполнение. Файлы заражаются  однократно. Максимальная длина
заражаемого файла составляет 63803 (F93Bh) байт.

     Подобно вирусу  С-648, при  заражении RС-1701  дописывается в конец
программы и, одновременно вставляет в первые три байта COM-файла команду
перехода на тело  вируса.  При  этом размер файла  увеличивается на 1701
байт, дата  создания файла  и атрибуты  файла не  меняются.   Аналогично
вирусу С-648,  вирус   RC-1701 не  проверяет,   находится ли  заражаемая
программа (которая загружается на выполнение) на защищенной дискеты  или
нет, и пытается выполнить  запись  на защищенную   от  записи   дискету.
При  этом операционная система выдает сообщение:

     Write protect error writing device <лог.имя.устройства>
     Abort, Retry, Ignore, Fail?


     Механизм функционирования  данного вируса существенно отличается от
С-648.  В частности, для различения зараженных файлов от незараженных
используются не время создания,  а первые три байта файла. Кроме того,
вирус по BIOS определяет фирму-изготовитель для того, чтобы в случае,
если таковой является IBM, сразу передать управление зараженной
программе, не проявляя никаких признаков активности.  Возможно,
разработчик  опасался санкций со стороны такой могущественной фирмы как
IBM.  Однако при программировании указанной проверки допущена ошибка,
и вирус заражает и ПЭВМ фирмы IBM.


     Демонстрационный эффект привязан к часам,  причем  условие  запуска
выбрано так, что он проявляется в основном на машинах типа XT, при уста-
новленной дате.  На AT визуальный эффект наблюдается при установке  даты
на третий квартал 1988 года.  В указанных случаях, если загружается файл
COMMAND.COM и он отмечен как зараженный, то вирус демаскируется, демонс-
трируя  свое присутствие с помощью эффекта "падающих букв" на экране мо-
нитора.  "Сеансы опадания букв" происходят через определенные  интервалы
времени.  В  процессе  падения  букв клавиатура блокируется и работать с
компьютером становится невозможно до полного опадения  букв  на  экране.
При этом падение каждой буквы сопровождается характерным звуком, напоми-
нающим шорох. На неспециалистов эта "шутка" часто производит впечатление
аппаратной неисправности.

     Никаких других несанкционированных действий вирус не выполняет.

     Вирус RC-1701 является одним из немногих вирусов первой волны, в
котором предприняты определенные усилия,  направленные на усложнение
процесса  его дисассемблирования.  В частности,  основная часть тела
вируса шифруется с помощью операции "исключающее ИЛИ". Поэтому
непосредственное дисассемблирование  зараженной  программы пакетным
дисассемблером полной информации о структуре вируса не дает.

     Ключ шифровки  зависит   от длины   файла, поэтому   два зараженных
файла  разной  длины  не  имеют  общих  подстрок  за  исключением начала
инсталлятора.  По  той  же  причине  текстовых  строк  тело  вируса   не
содержит.


                         Неформальные названия

     Данный вирус порядка  десятка  неформальных  названий.  Среди  них:
Falling Letters (Падающие буквы),  LetterFall (Буквопад),  Cascade (Кас-
кад,  сыпучка), Rash (Сыпь), вирус падающих букв, 1701, Letters (буквы -
О.Котик).

     Полидетектор  SCAN  называет данный вирус как:
            "1701/1704  Virus   -      Version  B [170X]".

                      Программные средства защиты

     Общие средства  защиты достаточно эффективны против данного вируса.
В частности,  попытки записи вируса в запускаемый СОМ-файл детектируются
всеми  имеющимися  фильтрами.  Фильтр ANTI4US2 не срабатывает на попытку
вируса стать резидентным,  поскольку вирус предварительно  перехватывает
прерывание 21.


       Вирус RС-1704 (Cascade-B)

     Данный штамм отличается от исходного исправленной ошибкой,  связан-
ной с проверкой фирмы - изготовителя BIOS. Других особенностей, по-види-
мому, не имеет.

.Friday
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.

               Вирус RCE-1813 (Ierusalem     - Иерусалим;
                             Israeli Virus - Израильский вирус;
                             Black Friday  - Черная пятница)

     Вирус RСЕ-1813 получил название Black Friday - Черная пятница,
поскольку,  если 13 число месяца приходится на пятницу,  то он удаляет
все запускаемые файлы. Впервые обнаружен в Израиле, поэтому второе его
распространенное название Israeli Virus - Израильский вирус.

     Вирус RСЕ-1813 является резидентным файловым вирусом, поражающим
как СОМ-файлы, так и ЕХЕ-файлы. Вирус не проверяет версию MS DOS, на
которой функционирует, однако по-видимому, он работоспособен на версиях,
начиная с 2.0.  Заражаются  как COM, так и EXE-файлы  при  загрузке
их в память для выполнения  (прерывание  21-4Bh),   ограничений  на
длину  файлов  нет, поэтому вирус уничтожает COM-файлы, длина которых
после заражения превысит 64K. Вирус не заражает COMMAND.COM.
Перехватывает прерывания  8h и 21h.

     Файлы типа СОМ поражаются данным вирусом однократно,  при этом дата
их создания не меняется, а длина увеличивается на 1813 байтов. В инфици-
рованной  программе тело вируса размещается в начале файла. Это связано
 с тем, что при заражении COM-файла вирус выделяет область памяти
(с помощью int 21h,  ah=48h), в которую копирует сначала свое тело,  а
затем зараженный файл. Полученный образ зараженного
файла  записывается на диск с добавление 5 байтового поля (обычно
это поле содержит "MsDos", однако имеются штаммы с другим содержанием).
Указанное поле используется вирусом в качестве признака зараженности
COM-файлов.

     Файлы типа ЕХЕ поражаются многократно, порой разрастаясь до неверо-
ятных размеров,  достигающих 2 и более мегабайт. При этом дата их созда-
ния не изменяется,  а длина при каждом заражении увеличивается на 1808 -
1823 байта.  Тело вируса размещается обычно в конце файла, однако в слу-
чае, если поражаемый EXE-файл имеет неверную длину в заголовке (это име-
ет место,  например,  в ряде программ, использующих часть своего файла в
качестве  буфера  на диске для хранения промежуточных данных),  то вирус
размещается в середине.  Такой эффект имеет место для FOXBASE, QC и ряда
других больших  программ.  Вирус  может оказаться в середине также и для
программ на Turbo Pascal и Turbo C).

     Через некоторое время после того,  как вирус стал резидентным  (это
время  зависит  от  тактовой  частоты ЭВМ и для обычных РС/ХТ с тактовой
частотой 4.77 Мгц составляет порядка 40 мин.),  вирус переходит к стадии
проявления. Стадия проявления данного вируса зависит от даты и дня
недели. В "обычный" день, не приходящийся на пятницу, совпадающую с 13
числом, проявление данного вируса состоит в замедлении работы ЭВМ. При
этом выдача любой команды, например DIR привожит к медленному
"выползанию" строк на экран. Этот эффект основан на том, что вирус
перехватывает прерывание от таймера (8h) и при каждом прерывании 8h
выполняет цикл из нескольких тысяч команд.

     Обычно через  некоторое  время после начала стадии проявления дейс-
твия вируса приводят к зависанию MS DOS с сообщением

                            Stack overflow

     Вторым визуальным  эффектом является вырывание кусков изображения с
появлением на экране черного окна в левом нижнем углу экрана (вирус  вы-
полняет скроллинг части экрана).

     Как уже указывалось, помимо этих двух проявлений данный вирус имеет
стадию детонации,  наступающую 13 числа в пятницу (так называемая черная
пятница).  В этот день вирус не заражает собой все запускаемые файлы,  а
просто  удаляет  их  с  диска.   Таким  образом  при  попытке  запустить
программу   на   выполнение DOS   выдает сообщение  о   том, что файл не
найден.  В результате  будут уничтожены все файлы,  которые пользователь
пытается  запускать  пытаясь  выяснить,  что  происходит  с компьютером.

     Кроме того, из-за ошибки в тексте вируса при заражении как COM так
и EXE файлов, имеющих размер, дающий при увеличении на 1808 - 1821  байт
величину,  превосходящую  64К,    128К  и  т.д.,  заражаемая   программа
необратимо портится, перезаписываясь в начале.


                         Неформальные названия

     Данный вирус  имеет  не менее десятка неформальных названий.  Среди
них:  Black Friday (Черная пятница),  Israeli Virus (Израильский вирус),
Ierusalem (Иерусалим),  Hebrew University, PLO (ООП), Черная дыра, ви-
рус замедления, Time (Время - О.Котик).

     Полидектор  SCAN называет данный вирус
                  "Jerusalem Virus Version B [Jeru]".

                      Программные средства защиты

     Поскольку  для   каждого  зараженного   СОМ-файла  вирус   в  конце
дописывает  признак  зараженности,    который  состоит   из  5   байтов,
содержащих слово MsDos, можно реализовать    пассивное    вакцинирование
СОМ-файлов от  этого типа  вирусов. Для  этой цели  применима, например,
команда COPY,  если заготовить  слово MsDos  в отдельном  файле, а затем
конкатенировать COM-файлы с этим файлом.

     Фрагмент дампа программы MORE.COM, зараженной вирусом RCE-1813

08E0   C6 06 E8 01 01 C6 06 E7 01 01 4E 41 49 74 03 E9  ..........NAIt..
08F0   6E FF E9 54 FF 18 50 01 01 00 00 00 00 00 00 00  n..T..P.........
0900   0D 2D 2D 20 4D 6F 72 65 20 2D 2D 24 4D 4F 52 45  .-- More --$MORE
0910   3A 20 49 6E 63 6F 72 72 65 63 74 20 44 4F 53 20  : Incorrect DOS
0920   76 65 72 73 69 6F 6E 0D 0A 24 4D 73 44 6F 73     version..$MsDos


.Sunday
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.

              Вирус RCE-1636 (Sunday - воскресенье)

     Данный вирус получил название Sunday - воскресенье, поскольку,
в этом день недели данный вирус удаляет все запускаемые файлы.

     Вирус RСЕ-1636 является резидентным файловым вирусом, поражающим
как СОМ-файлы, так и ЕХЕ-файлы. Вирус не проверяет версию MS DOS, на
которой функционирует, однако по-видимому, он работоспособен на версиях,
начиная с 2.0.  Заражаются  как COM, так и EXE-файлы  при  загрузке
их в память для выполнения  (прерывание  21-4Bh),   ограничений  на
длину  файлов  нет, поэтому вирус уничтожает COM-файлы, длина которых
после заражения превысит 64K. Вирус не заражает COMMAND.COM.
Перехватывает прерывание  21h.

     Файлы типа СОМ поражаются данным вирусом однократно,  при этом дата
их создания не меняется, а длина увеличивается на 1636 байтов. В инфици-
рованной  программе тело вируса размещается в начале файла.  Со
смещением 184h от начала зараженного файла расположена текстовая строка
COMMAND.COM, а со смещением 351h - текст сообщения выдаваемого вирусом
на экран:

       Today is SunDay! Why do you work so hard?
       All  work and no play make you a dull boy!
       Come on ! Let's go out and have some fun!$

      (Сегодня воскресенье! Зачем работать так напряженно ?
      Постоянная работа без игр делает Вас занудой !
      Пошли ! Давай выйдем из дому и развлечемся !)

     В конец зараженного СОМ-файла  записывается пятибайтовое поле
(обычно это поле содержит "", однако возможны штаммы с другим
содержанием).  Указанное поле используется вирусом в качестве признака
зараженности COM-файлов.

     EXE-файлы заражаются однократно. контроль зараженности по тому же
пятибайтовому полю.

     Как  уже   указывалось,  данный   вирус  имеет   стадию  детонации,
наступающую  в  воскресенье.  В  этот день вирус  не заражает собой  все
запускаемые файлы,  а просто   удаляет  их  с   диска.   Таким   образом
при   попытке   запустить  программу     на     выполнение  DOS   выдает
сообщение  о   том, что файл не найден.  В результате  будут  уничтожены
все файлы,  которые пользователь пытается  запускать  пытаясь  выяснить,
что  происходит  с компьютером.

     При определенных, еще не выясненных, условиях вирус выдает на
экран дисплея приведенное выше сообщение. По мнению Д.Н.Лозинского
есть  надежда, что в этом месте вирус содержит ошибку и  данная ветка
никогда не выполняется.

                         Неформальные названия

     Полидетектор SCAN называет данный штамм "Sunday Virus [Sunday]".


     Фрагмент дампа программы DUMMY34, зараженной вирусом Sunday


0240:  1f 00 90 7e 5e 5b 58 2e ff 0e 1f 00 2e ff 2e 13    "...~^[X........."
0250:  00 54 6f 64 61 79 20 69 73 20 53 75 6e 44 61 79    ".Today is SunDay"
0260:  21 20 57 68 79 20 64 6f 20 79 6f 75 20 77 6f 72    "! Why do you wor"
0270:  6b 20 73 6f 20 68 61 72 64 3f 0a 0d 41 6c 6c 20    "k so hard?..All "
0280:  20 77 6f 72 6b 20 61 6e 64 20 6e 6f 20 70 6c 61    " work and no pla"
0290:  79 20 6d 61 6b 65 20 79 6f 75 20 61 20 64 75 6c    "y make you a dul"
02a0:  6c 20 62 6f 79 21 0a 0d 43 6f 6d 65 20 6f 6e 20    "l boy!..Come on "
02b0:  21 20 4c 65 74 27 73 20 67 6f 20 6f 75 74 20 61    "! Let's go out a"
02c0:  6e 64 20 68 61 76 65 20 73 6f 6d 65 20 66 75 6e    "nd have some fun"
02d0:  21 24 9c 80 fc ff 75 05 b8 00 04 9d cf 80 fc dd    "!$....u........."
02e0:  74 0e 3d 00 4b 75 03 eb 35 90 9d 2e ff 2e 17 00    "t.=.Ku..5......."



.Vacsina
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.

     Данная группа резидентных вирусов  имеет,  по-видимому,  болгарское
происхождение.  В  нее входит порядка 50 отличающихся друг от друга,  но
несомненно принадлежащих одному автору штаммов.
     Для большинства представителей этой группы отличительным признаком
является строка  F47A в начале  и конце  (кроме версии TP45 (2Dh) )
вируса.  При этом в конце вируса за этой строкой следует номер штамма.
Байт F4 расположен со смещением 4 от конца, а байт 7A - со смещением 3.
Следующий за байтом 7A байт и определет номер штамма.


                            Подгруппа VACSINA


     Данная подгруппа получила свое название в связи с тем, что все вхо-
дящие в нее штаммы содержат строку "VACSINA".  Заражаются как COM,  так
и EXE файлы, причем максимальная длина поражаемых файлов не превышает
64К.

     Заражение файлов происходит при запуске на выполнение соответствую-
щих программ.  При заражении вирусы данной подгруппы дописывают свое
тело в конец  COM-  и EXE-файлов.

     Штаммы подгруппы  работоспособны  на любой версии MS DOS.  Проверка
номера версии в теле вируса не выполняется. Перехватывают прерывание
21h.

     Заражаются только COM-файлы, имеющие размер мeнее 63К и начинающие-
ся с команды перехода (первый байт файла должен содержать E9h). Заражен-
ные COM-файлы увеличиваются в размере,  причем  дата их  создания и
атрибуты остаются неизменными.  Заражение выполняется однократно.  При
заражении вирус дописывает тело в конец файла, вставляя в первые  три
байта команду перехода на начало вируса.  Длина зараженного файла
увеличивается до значения, кратного 16, поэтому при лечении недос-
таточно  укорачивать файл на стандартную величину - исходная длина файла
должна быть извлечена из тела вируса. В конце тела вируса хранятся байты
F4h, 7Ah, по которым вирус определяет, что данный СOM-файл уже заражен.

     Заражение EXE- файлов выполняется данной группой очень
своеобразно: в  заголовок заражаемого EXE - файла записывается
команда перехода на тело вируса (в данном случае тело представляет
собой часть вируса размером 132 (84h),  обеспечивающую загрузку
EXE-файлов, т.е. по сути системный  загрузчик).  Таким  образом,  вирус
переделывает  зараженный EXE-файл  в COM-файл.  Системный загрузчик
EXE-файлов обеспечивает настройку загруженного в память файла и
передачу на него управления. Для лечения  такого  файла  достаточно
восстановить первые три байта с учетом первоначальной длины файла и
укоротить файл  на  132  байта.  EXE-файлы, требующие  не  всю
свободную  память  системы (не равна FFFF переменная MaxMem в
ExeHeader),  данным вирусом не заражаются. Кроме того, вирус не заражает
файлы, размер которых больше 64К или размер которых превысил бы 64К при
заражении. Поскольку после заражения EXE-файл фактически превращается
в COM-файл,  возможно его вторичное заражение  вирусом,  уже  как файла
типа COM.

                         Неформальные названия

     Вирус Vacsina, Sina.


  Фрагмент дампа программы DUMY1823.COM, зараженной вирусом RCE-1206

0820   4D 07 00 4B 00 00 00 00 00 00 00 00 00 00 00 00   M..K............
0830   60 02 0B 10 56 05 AB 0E 20 00 05 00 90 90 90 90   `...V... .......
0840   90 90 C3 1A 00 56 41 43 53 49 4E 41 20 20 20 20   .....VACSINA
0850   00 00 80 00 00 00 00 00 7C 11 37 A8 00 40 C2 00   ........|.7..@..
0860   46 0A 00 00 00 00 00 00 00 20 20 20 20 20 20 20   F........



.Doodle
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.

     Данная группа резидентных вирусов  имеет,  по-видимому,  болгарское
происхождение.  В  нее входит порядка 50 отличающихся друг от друга,  но
несомненно принадлежащих одному автору штаммов.
     Для большинства представителей этой группы отличительным признаком
является строка  F47A в начале  и конце  (кроме версии TP45 (2Dh) )
вируса.  При этом в конце вируса за этой строкой следует номер штамма.
Байт F4 расположен со смещением 4 от конца, а байт 7A - со смещением 3.
следующий за байтом 7A байт и определит номер штамма.


                        Подгруппа музыкальной перезагрузки


     Штаммы, входящие в данную группу имеют характерную фазу проявления:
в зараженной  ими системе попытка перезагрузки MS DOS с помощью комбина-
ции нажатий клавиш CTRL-ALT-DEL вызывает в начале звучание  мелодии  (по
некоторым оценкам,  эта мелодия называется "Янки дудль").  Звучание про-
должается примерно 20 секунд, а затем происходит нормальная перезагрузка
системы.

     Наиболее распространенным представителем этой группы является штамм
RCE-2890 (Five o'clock;  Самоед;  TP44).


                  Штамм TP-44 (RCE-2885; Five o'clock; Самоед)

     Вирус RСE-2885 является файловым резидентным вирусом, поражающим
как файлы типа  СОМ,  так и файлы типа EXE.  Заражение файлов происходит
при запуске на выполнение соответствующих программ.

     Наиболее часто поражается COMMAND.COM. Пораженный командный
процессор имеет длину 28197, при исходной длине 25307.

     Вирус работоспособен на любой версии MS DOS. Проверка номера версии
в теле вируса не выполняется. Перехватывает прерывания  1, 3, 1Ch, 21h.

     Дата создания  и  атрибуты  заражаемого файла остаются неизменными.
Заражение выполняется однократно.

    При заражении COM-файлов вирус  дописывает  свое тело в конец файла,
вставляя в первые три байта команду перехода на начало вируса.
Зараженные COM-файлы увеличиваются на 2885 (B45h) байт (с выравниванием
на границу параграфа).  Заражаются COM-файлы  длиной от  20h до  F277h байт
В конце зараженного файла расположена четырехбайтовая сигнатура вируса
7Fh, 39h, 2Ch, 00h.

     При заражении EXE-файлов вирус также дописывает ввое тело в конец
файла. При этом размер файла увеличивается на 2881 (B41h) байт. Длина
при заражении EXE-файлов не контролируется.  В конце зараженного файла
расположена четырехбайтовая сигнатура вируса 7Fh, 39h, 2Ch, 00h.

     Вирус RCE-2885 проверяет,  загружается ли файл с защищенной
дискеты или нет. Поэтому он не препятствует загрузке любого СОМ-файла с
защищенной дискеты.  Резидентная часть  вируса  не обнаруживается
путем просмотра списка резидентных программ (с помощью утилит MAP, SMAP,
MMAP и т.д.). При этом вирус не  детектируется программой RELEASE,
а попытка запустить RELEASE на зараженной машине приводит к выдаче
сообщения о том,  что RELEASE  не может стать резидентным.

     Вирус обходит контроль резидентных фильтров,  следящих за записью в
программные файлы.

     Фаза проявления данного вируса состоит в проигрывании
с вероятностью 1/8 мелодии Янки Дудль ("Yankee Doodle") в 17 часов
(точнее, в 16:59:53).  Никаких разрушений или манипулирований с данными
вирус не выполняет.



                         Неформальные названия

     Данный вирус известен под названиями Янки Дудль, Музыкальный, Лету-
чий Голландец, TP44.

                      Программные средства защиты

     Общие средства защиты недостаточно эффективны против данного  виру-
са. В частности, попытки записи вируса в запускаемый файл не обнаружива-
ются ни VIRBLK,  ни ANTI4US2.  Фильтр ANTI4US2 не срабатывает на попытку
вируса  стать резидентным,  поскольку вирус предварительно перехватывает
прерывание 21. Вирус также содержит средства защиты против трассировки.



.Eddie
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.

     Вирус СE1800R (Dark Avenger - Черный мститель;
                      Eddie        - Эдик)

     Вирус СЕ1800R получил свое название в связи с тем, что в теле виру-
са содержатся две достаточно длинные текстовые строки:

     1. "Eddie lives...somewhere in time" (в начале  вируса, т.е.  сразу
после конца зараженного СOM-файла)

     2. "This  program was written in the city of Sofia (C) 1988-89 Dark
Avenger".

     Вирус СE1800R является файловым резидентным вирусом, поражающим как
файлы типа СОМ так и файлы типа EXE.
Заражение происходит как  при запуске программ на
выполнение, так и при создании, переименовании,
открытии и закрытии  файла (прерывания 21-4Bh, 21-3Ch, 21-5Bh,
21-56h, 21-3Dh, 21-2Eh).  Последний факт делает этот вирус исключительно
опасным, поскольку  если в зараженной системе запустить программу,
систематически просматривающую файлы во всех подкаталогах, то большая
часть СOM и EXE файлов будет в результате заражена.

     При запуске зараженной программы вирус в  первую  очередь  поражает
командный процессор.  Пораженный  COMMAND.COM  имеет размер 27107 байтов
(если его первоначальный размер был 25307 байтов).  При  этом  не  имеет
значения, где  расположен командный процессор.  Это связано с тем, что
вирус при инсталляции затирает часть копии командного процессора. в
результате он вызывается с диска в процессе чего и происходит заражение.


     Вирус работоспособен на любой версии MS DOS. Проверка номера версии
в теле вируса не выполняется.  Перехватывает прерывания 13h, 21h, 27h.

     Зараженные COM-файлы увеличиваются в размере на 1800 байтов, причем
дата их создания и атрибуты остаются неизменными.  Заражение выполняется
однократно. При  заражении  вирус  дописывает  свое  тело в конец файла,
вставляя в первые три байта команду перехода на начало вируса.
Выравнивания на границу параграфа для COM-файлов не выполняется.
Инфицируются  COM-файлы  длиной  от 1775 (6EFh) до 63148(F6ACh) байт.

     Заражение EXE-файлов выполняется стандартно,  за исключением  того,
что  вирус  не  сохраняет в своем теле исходной длины заражаемого файла.
Однако,  восстановление длины программы все же возможно,  поскольку
вирус запоминает в теле некоторый байт.  При заражении  EXE-файлов вирус
дописывается в конец  файла с выравниванием на границу параграфа( т.е.
приращение длины колеблется в диапазоне 1800..1815 байт).  Инфицируются
EXE-файлы длиной больше 1775 (6EFh) байт.

     Вирус подсчитывает количество своих  инсталляций  (запусков  первой
зараженной программы после перезагрузки системы,  в ходе которых он ста-
новится резидентным) в байте со смещением 0Аh (10) бутсектора.
Чтение бутсектора выполняется с помощью прерывания 25h, что возможно
только для ОС, не поддерживающей диски размером более 32M. Сразу после
очередной инсталяии вирус анализирует 2  байта (8-й  и 10-й)
BOOT-сектора диска,  с которого была запущена зараженная программа.
Затем вирус увеличивает на  1 значение 10-го байта и сохраняет
увеличенное значение в том же байте BOOT-секторе (счетчик инсталляций).
При каждой 16-ой инсталляции он уничтожает содержимое одного из секторов
винчестера (номер, по видимому, выбирается случайно и зависит от
значения 8-го байта бутсектора) записывая туда первые 512 байтов своего
тела. При этом первые  байты  запорченного сектора будут содержать
указанную выше фразу "Eddie lives...somewhere in  time" по который все
уничтоженные сектора можно выявить с помощью контекстного поиска по
диску.

     При заражении файлов или уничтожении секторов вирус использует
прерывание 13 "напрямую" - управление передается в ПЗУ, минуя текущий
обработчик прерывания. Это позволяет обходить проверки резидентных
фильтров.

     Как уже указывалось, отличительной особенностью вируса
является то, что его обработчик прерывания 21h помимо стандартной
функции  4Bh (загрузка или исполнение программы) отслеживает такие
функции, как открытие и закрытие файлов,  изменение атрибутов файлов и
некоторые другие.  Это  существенно повышает  инфицируемость программ
данным вирусом.  Прерыванием 27h вирус пользуется для того,  чтобы
проверять,  не изменился ли вектор 21h, и при необходимости
восстанавливать его.


                         Неформальные названия

    Полидетектор SCAN называет данный вирус "Dark Avenger virus [Dav]".
Другими названиями являются Eddie - Эдик, Diana (Диана). Последние
название связано с тем, что в теле вируса содержится строка "Diana P"

    Любые действия по анализу содержимого диска следует выполнять только
при условии предварительной загрузки операционной  системы с эталонной,
защищенной по записи, дискеты.

     Фрагмент дампа программы VIRBLK.COM, зараженной вирусом CE1800R

0F10   3B D8 72 F5 5B 58 C3 A1 5B 07 BA 10 00 F7 E2 C3  ;.r.[X..[.......
0F20   54 68 69 73 20 70 72 6F 67 72 61 6D 20 77 61 73  This program was
0F30   20 77 72 69 74 74 65 6E 20 69 6E 20 74 68 65 20   written in the
0F40   63 69 74 79 20 6F 66 20 53 6F 66 69 61 20 28 43  city of Sofia (C
0F50   29 20 31 39 38 38 2D 38 39 20 44 61 72 6B 20 41  ) 1988-89 Dark A
0F60   76 65 6E 67 65 72 00 80 FC 03 75 0F 80 FA 80 73  venger....u....s
0F70   05 EA 7A 0F 70 00 EA 7A 0F 70 00 EA 7A 0F 70 00  ..z.p..z.p..z.p.
0F80   00 01 68 11 06 0E 2E C6 E9 15 05 00 00 00 00 00  ..h.............
0F90   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
0FA0   00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
0FB0   00 00 00 00                                      ....



.Lehigh
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.


       Вирус C346R (Lehigh - Лехайский)

     Название вируса связано с тем,  что он впервые был обнаружен в уни-
верситете Lehigh (США) в конце 1987 г.
     Вирус C346R является  узкоспециализированным  файловым  резидентным
вирусом, который распространяется через файл COMMAND.COM (командный про-
цессор MS DOS).
     Вирус имплантирует   свое   тело  в  область  памяти,  используемой
COMMAND.COM для стека.  Поэтому длина зараженного COMMAND.COM не отлича-
ется от длины нормального.  Помимо записи себя в область памяти для сте-
ка, вирус  C346R изменяет первые байты зараженного COMMAND.COM таким об-
разом, чтобы первым получить управление после  его  загрузки.  Поскольку
после загрузки COMMAND.COM остается в памяти, вирус становится резидент-
ным.
     Вирус C346R  перехватывает прерывание 21 и самостоятельно обрабаты-
вает запросы "выполнить программу" и "найти первый файл".  При обработке
этих запросов вирус сначала определяет, является ли диск системным (т.е.
содержит ли COMMAND.COM).  Если да,  то он заражает COMMAND.COM диска, к
которому  идет  обращение,  и увеличивает счетчик.  При конфигурации без
винчестера (EC 1840) счетчик хранится в памяти, а при наличии винчестера
счетчик  записывается  на диск.  Таким образом,  перезагрузка сбрасывает
счетчик на ПЭВМ без винчестера,  в то время как на  ПЭВМ  с  винчестером
значение счетчика сохраняется.
     При достижении счетчиком значения 4 вирус переходит в состояние де-
тонации. Используя  прерывание  26,  он  обнуляет первые 32 сектора того
диска, с которого он был загружен.
     Обнаружение данного вируса упрощается в связи с тем, что во-первых,
для имплантирования тела вируса в COMMAND.COM  используется  стандартная
функция MS DOS, что приводит к изменению даты создания файла COMMAND.COM
Во-вторых, вирус не проверяет,  защищен диск или нет. В-третьих, в отли-
чие  от  многих  других вирусов,  рассматриваемая версия вируса C346R не
снимает атрибут READ ONLY. Поэтому, если COMMAND.COM имеет этот атрибут,
то  вирус  в него не попадет  (не исключено,  что в некоторых "штаммах"
данного вируса эти "недостатки" устранены).

                         Исторические замечания

     Данный тип вируса относится к вирусам-убийцам. Как уже указывалось,
он получил свое название благодаря тому, что был обнаружен в университе-
те Lehigh в конце 1987 г.
     В СССР явно не отмечался. Излагаемые сведения опираются на информа-
цию в зарубежных печатных изданиях.

                  Методы и программные средства защиты

     Данный вирус диагностируется полидетектором SCAN.  Вирус ищет  файл
с командным процесором по имени, а не по COMSPEC, поэтому изменение име-
ни командного процессора защищает командный процессор от  заражения. Как
уже указывалось  базисная версия вируса не сбрасывает атрибут READ_ONLY,
поэтому если командный процессор защищен этим атрибутом, то он заражать-
ся не будет.



.MicroII
: Шеховцов Александр
:
                        Вирус Microsoft II

      Данный вирус, возможно, не существует и никогда не существовал.
Однако, программист, передавший мне эту маску, заявил, что это что-то
размножалось. Как и водится, программист отформатировал все то, на
чем ЭТО размножалось или могло быть, так что проверить его слова теперь
невозможно.
       Название вируса дал мне тот же программист, и я поместил данный
"вирус" в Локатор, поскольку остается ненулевая вероятность его
существования.


.PIXEL
:   Лозинский Д.Н.           Москва, 292-40-76
:   Антивирусная программа AIDSTEST.EXE, файл AIDSREAD.ME
:
:
              Вирусы C847 , C740 и C345

     Группа,  состоящая   пока  из  трех  представителей  с
     длинами 847,  740 и  345  байт.  Устройство  предельно
     примитивное -  заражаются только  COM модули в текущей
     директории, причем  не предусмотрено  даже  сохранение
     даты,  не   говоря   о   контроле   длины.   Заражение
     производится  приписыванием   к  началу.   C740  не
     контролирует и  своего наличия в модуле, в связи с чем
     заражение происходит  многократно. Остальные  довольно
     скоро и  часто начинают  вместо  исполнения  программы
     выдавать сообщение  "Program sick error:Call doctor or
     buy PIXEL  for cure  description". Очень похоже на то,
     что первый  из этих  вирусов был  опубликован  в  виде
     исходного текста  в каком-то  издании по  компьютерным
     вирусам  в   качестве  наиболее  простого  примера.  В
     результате получился наглядный пример того, что нельзя
     давать   такого   рода   информацию,   которой   может
     воспользоваться любое  ничтожество. На  расстоянии 2-3
     байта от  начала в  этих вирусах  стоят буквы "IV". Из
     этой группы  SCAN опознает  только C-847, называя его
     "Amstrad Virus [Amst]".

: Шеховцов Александр
    Примечание. Александр Сесса, передавший мне вирус C740,
                называл его Cancer.

.Unn.2
:   БЕЗРУКОВ Н.Н.  КОМПЬЮТЕРНАЯ ВИРУСОЛОГИЯ.  Часть  1:  Общие  принципы
:функционирования,  классификация и каталог наиболее распространенных ви-
:русов в операционной системе MS DOS / Редакция 3.0 от 11.04.90.- 1990.

       Вирус RC-529

     Заражает только COM-файлы, но различает типы только по имени, из-за
чего делает неработоспособными EXE-программы,  имеющие  расширение  COM.
Остается резидентным,  перехватывая прерывание 21.  Никакой вред не пре-
дусмотрен.  Не проверяет версию операционной системы,  но использует имя
программы, которое ставят в Environment версии не ниже 3.0. Записывается
в начало, переписывая старое начало в конец файла. Основная часть логики
заимствована из вируса  RСE-1813 и его  следует рассматривать как  штамм
RСE-1813.

                         Исторические сведения

     Впервые обнаружен,  по-видимому,  в Ленинграде.

.YanShrt
:   'Доктор'  Е. Касперский                           9 апpеля 1990 г.
:   "Компьютерные вирусы"         файл -VIRUSES.DOC
:

                             Вирус "Yanshort"
                        ───────────────────────

        Файловый нерезидентный вирус, не опасен, длина 1961 (7A9h) байт.

        Заражает  EXE-файлы  любой  длины  во  всех оглавлениях текущего
диска,  изменяя  заголовок  файла  и  дописывая  вирус  в  его конец. Не
заражает файлы повторно. Зараженный файл содержит строку "motherfucker",
по котоpой виpус pазличает заpаженные и незаpаженные файлы.
: Шеховцов Александр
        Если текущий каталог - корневой, то сразу заражаются все находящиеся
в нем EXE-файлы.
: Касперский
        Пpоявляется пpоигpыванием мелодии "Yankee Doodle Dandy" каждый раз
в момент заражения файла.

: Шеховцов Александр
        Очевидно, данное свойство вируса не позволит ему хоть сколько-нибудь
серьезно размножиться на компьютере.


.Murphy
: Шеховцов Александр
:

                         Вирус RCE1277 "Murphy".

    Файловый резидентный вирус, заражает .COM и .EXE - файлы при любом
  обращении к ним, увеличивает их на 1277 байт.
    Вирус записывается в конец заражаемого файла, заражение однократное.
    Написан в Софии ( НРБ ), обнаружен и привезен оттуда мною в Киев для
  исследования.
    Вредительских и демонстрационных проявлений обнаружить не удалось, но
  у меня не было времени, чтобы с ним долго возиться.
    Общее впечатление: вирус написан любителями, еще не набившими руку в
  этом грязном деле.
    Вирус отлавливается с помощью сторожа ANTI4US, зависает, если в памяти
  находится драйвер русских букв ALFA. Вирус также почему-то зависает на
  компьютерах с процессором 80386.
    Содержит внутри себя в самом начале длинную текстовую строку :

   Hello, I'm Murphy. Nice to meet you friend. I'm written since Nov/Dec.
   Copywrite (c)1989 by Lubo & Ian, Sofia, USM Laboratory.

    Слово "Copywrite" так и написано (вместо Copyright), так что ребята Любо
  и Ян ко всему прочему и английский знают слабовато.
    Почему вирус назван Murphy? Возможно потому, что в Софии есть
  улица Мэрфи, и имя вируса следует воспринимать как адрес того места
  (USM Laboratory ?), где он был написан.



.Diana P
: Шеховцов Александр

                        Вирус RCE2000 "Диана П.", "666"


   Файловый резидентный вирус, очередное творение Dark Avenger-а, написавшего
  вирус Eddie ( София, НРБ ).
    Вирус заражает .COM и .EXE - файлы, как и Eddie, при любом к ним
  обращении, увеличивая их ровно на 2000 байт. Вирус записывается в конец
  заражаемого файла, заражение однократное.
    Как и Eddie, RCE2000 в первую очередь пытается заразить COMMAND.COM.
    Признаком зараженности файла служат 62 секунды в дате файла. Когда вирус
  находится в памяти компьютера, он перехватывает DOS-прерывания FindFirst
  и FindNext, которыми пользуется команда DIR при показе файлов в каталоге.
  Затем, при вызове DIR, он анализирует дату файла и вычитает из размеров
  зараженного файла 2000. Таким образом, на зараженной машине с вирусом в
  резиденте команда DIR покажет все файлы с "незараженным" размером.
    Идея неплохая, но не доведена до конца (к счастью для нас с вами).
  Вирус не проверяет тот случай, когда файл имеет размер менее 2000 байт и
  был вакцинирован от C648, например, установкой 62-х секунд в дату. Для
  такого файла команда DIR в данном случае даст гигантское число (что-то
  около 4 гигабайт) в размере файла.

    С этим вирусом нужно быть очень осторожным, поскольку, по утверждению
  Dark Avenger-а, все его вирусы портят данные на диске.

    Защита от RCE2000 проста : достаточно провакцинировать файлы от вируса
  C648, поставив 62 секунды в дату создания файла, любой из доступных
  вакцин.

    RCE2000 показывает, как далеко может зайти аморальность вирусописателя.
  В теле вируса встречается текст:

             (c) 1989 by Vesselin Bontchev

    В. Бончев известен в Болгарии как крупный специалист по борьбе с
  вирусами. Таким подленьким приемом Dark Avenger пытался ввести и ввел
  в заблуждение об авторе вируса многих программистов. В Болгарии, через
  журнал "Компютър за вас" В. Бончев объяснил ситуацию, ответив на пришедшее
  в этот журнал письмо с самовосхвалениями и подписью Dark Avenger, но
  программисты других стран (в том числе и СССР) остались в прискорбном
  заблуждении вплоть до того, что вирус назван RCE2000 Bontchev.
    Поэтому я полагаю, что данный вирус следует назвать либо Dark Avenger II,
  либо Диана П., поскольку это слово в альтернативной кодировке занимает
  последние байты вируса (а всего в вирусе встречается дважды), либо 666,
  поскольку данное число тоже встречается в теле вируса и отражает склонность
  Dark Avenger-a к разной чертовщине.

.Unn.1
:(C) MasterSoft , А. Сесса
                    Вирус RC600

    Обнаружен в Днепропетровске в середине апреля 1990г.
    Код  вируса  длиной  600  байтов  располагается  в инфицированных
файлах COM-структуры (даже если они с расширением ".EXE"). При первом
выполнении ,  код   вируса  остается  в  памяти  в  виде  резидентной
программы, занимая вместе со своим буфером 2 Кбайта в верхних адресах
доступной  памяти. Вирус создает "свою" функцию  DosFn 0ABh , которая
используется  для  проверки  наличия активного вируса при последующих
попытках  инсталляции. Вирус заражает файлы, получая управление в мо-
мент загрузки файла на выполнение. При этом первые 600 байт файла ко-
дируются  посредством логической функции XOR 0BBh и переносятся в ко-
нец файла, а на их место помещается тело вируса (тоже частично  зако-
дированное - 50 байт начиная с 17-го - XOR 0DDh). Вредительские и де-
монстрационные действия отсутствуют. Вирус содержит заглушку обработ-
чика  критических  ошибок. Дата и время создания зараженного файла не
изменяются. Не все COM-файлы могут быть заражены данным вирусом : им-
мунитетом обладают короткие ( < 600 байтов ) файлы и файлы, у которых
значение  первых двух байтов превышает  EF60h. Непреодолимым  препят-
ствием для вируса является атрибут R/O.
    Неприятным эффектом работы резидентного вируса  является  выход в
"голый" ДОС при попытке запуска файла из других программ ( NC и т.п.)
в случае, когда  COMMAND.COM находится на защищенном от записи диске.