Worm.DOS.Info

Detalhes técnicos

Estes não são perigosos worms de vírus invisíveis encriptados residentes na memória. Sendo executado, eles exibem as mensagens:

"Worm.Info.2142":

– * – INFOSYSTEM – * –

versão 1.04

(C) 1995 por Ziff Co.

Lendo Informações do Sistema …

Tipo de computador: IBM PC

"Worm.Info.2191":

InfoSystem versão1.01

Lendo Informações do Sistema …

Tipo de computador: IBM PC

"Worm.Info.2259":

Lendo Informações do Sistema …

Tipo de computador: IBM PC

então eles verificam o tipo de computador e exibem uma das strings:

Original

XT

AT

Conversível

PS / 2

Júnior

Desconhecido

Então o vírus exibe as mensagens:

Verificando o controlador HDD …

Tipo de controlador SCSI: desconhecido (erro 14)

e chama a rotina de infecção. Ao infectar o computador, o vírus procura por diretórios listados na cadeia PATH, cria arquivos INFO.COM e grava seu código lá. Em seguida, o vírus procura por arquivos .BAT nesses diretórios e grava os comandos:

Não existe info.com goto noinfo

@info> nul

:Nenhuma informação

para o início dos arquivos em lote. Sendo executado, esses arquivos BAT executam o vírus.

Em seguida, o vírus se instala em memória residente em UMB, HMA ou memória convencional, conecta INT 1Ch, 21h e, em seguida, descarta seu código em diretórios atuais em chamadas FindFirst (AH = 11h, 4Eh). Ao acessar arquivos BAT modificados, e no FindFirst / Next, o vírus chama a rotina stealth. O vírus também verifica o nome dos programas que são executados e, se o nome for CHDDSK, WEB ou DRWEB, o vírus desativará suas rotinas ocultas.

Ao ligar INT 1Ch, o vírus verifica o vetor INT 1 (rastreamento) e desabilita o rastreamento do código do vírus.

Na sexta-feira 13, o vírus altera as portas de vídeo VGA.

O vírus também contém as cadeias de texto internas:

COMANDO NET? .CHKDSK.WEB.DRWEB.INFO.COM ATH = *. BAT