Virus.Multi.Vecna

Detalhes técnicos

É um vírus stealth multipartido residente na memória muito perigoso. Ele se escreve para o MBR do disco rígido, para inicializar setores de disquetes e sobrescreve arquivos EXE em disquetes. Ao executar um arquivo EXE infectado, o vírus infecta o MBR, descriptografa e exibe a mensagem e, em seguida, retorna ao DOS. A mensagem é:

Fora da memória.

Durante o carregamento do disco infectado (HD ou disquete), o vírus prende INT 13h, permanece residente na memória e infecta discos e arquivos.

No depurador e nos computadores Pentium, o vírus exibe a mensagem:

Vecna ​​Live …

O vírus tem um erro muito sério – ele pode continuar com o fluxo de 13h com o registro incorreto do AX. Isso pode causar danos aos discos, incluindo a formatação do disco.

Vecna.313

Não é um vírus multipartido stealth residente com memória perigosa. Ele conecta o INT 21h e se escreve no final dos arquivos COM que são executados. O vírus grava-se no setor MBR quando um arquivo COM infectado é iniciado e, em seguida, retorna o controle de volta ao arquivo host. No carregamento do setor do MBR, o vírus conecta o INT 13h, que então oculta o código do vírus no setor do MBR e conecta o INT às 21h.

Vecna.Outsider

É um vírus multipartite criptografado residente de memória muito perigoso. Ele infecta arquivos .EXE e setor de inicialização em disquetes. Arquivos EXEs recebem infecção na forma de vírus "DirII" . O vírus prende INT 13h, 28h.

Em três meses após infectar o computador, ou sob o debugger o vírus corrompe o CMOS (escreve uma senha?) E exibe a mensagem:

[OUTSIDER]Esta minha intenção contra esta sociedade injustaE eu ainda n | o estou satisfeitoEspere e ver | o …

O vírus também contém as cadeias de texto:

Escrito por Vecna ​​/ SGWW no Brasil 1997

Vecna.Tron

É um vírus de boot residente de memória inofensivo. Ele conecta INT 1, 8, 13h e grava-se no MBR do disco rígido e nos setores de inicialização dos disquetes. O vírus contém o texto:

[ORGASMATRON] pela Vecna ​​/ SGWW no Brasil 1997

Para ligar INT 13h, o vírus usa os registros de depuração i386 DR0, DR6 e DR7. Usando esses registradores, ele define o ponto de interrupção no manipulador BIOS INT 13h. Quando esse manipulador assume o controle, o processador gera INT 1 e o controle é passado para o manipulador de vírus INT 1. O vírus desabilita o ponto de interrupção de depuração, verifica os registros e chama suas rotinas de infecção e invisibilidade em caso de necessidade e, em seguida, retorna ao manipulador original do BIOS INT 13h. Para redefinir o ponto de interrupção e para manter o gancho INT 1, o vírus usa o gancho INT 8 (temporizador).