Worm.DOS.Info

Teknik detaylar

Bunlar, şifrelenmiş gizli virüs solucanlarının saklı hafızası değildir. İdam edilmek durumunda mesajlar görüntülenir:

"Worm.Info.2142":

– * – INFOSYSTEM – * –

sürüm 1.04

Ziff Co tarafından 1995 (C) 1995

Sistem Bilgisi Okuma …

Bilgisayar tipi: IBM PC

"Worm.Info.2191":

InfoSystem sürüm1.01

Sistem Bilgisi Okuma …

Bilgisayar tipi: IBM PC

"Worm.Info.2259":

Sistem Bilgisi Okuma …

Bilgisayar tipi: IBM PC

sonra bilgisayar türünü kontrol eder ve dizelerden birini görüntülerler:

orijinal

XT

AT

konvertibl

PS / 2

genç

Bilinmeyen

Sonra virüs mesajları görüntüler:

HDD denetleyicisi kontrol ediliyor …

SCSI denetleyici türü: Bilinmiyor (Hata14)

ve enfeksiyon rutinini çağırır. Bilgisayarı virüs bulaştırarak, PATH dizesinde listelenen dizinleri arar, orada INFO.COM dosyaları oluşturur ve kodunu buraya yazar. Sonra virüs bu dizinlerdeki .BAT dosyalarını arar ve komutları yazar:

@if mevcut değil info.com goto noinfo

@info> nul

:bilgi yok

toplu işlerin başlangıcına kadar. Bu tür BAT dosyaları çalıştırıldığında virüsü çalıştırır.

Daha sonra virüs kendisini UMB, HMA veya geleneksel bellek, bellek INT 1Ch, 21h içine yerleştirir ve daha sonra FindFirst (AH = 11h, 4Eh) çağrıları geçerli dizinlere düşer. Değiştirilen BAT dosyalarına ve FindFirst / Next çağrılarına erişimde virüs, stealth rutini çağırır. Virüs ayrıca, yürütülen programların adını da kontrol eder ve eğer isim CHDDSK, WEB veya DRWEB ise, virüs kendi stealth rutinlerini devre dışı bırakır.

INT 1Ch'nin takılmasıyla virüs INT 1 vektörünü (izleme) kontrol eder ve virüs kodunu izlemeyi devre dışı bırakır.

13 Kasım Cuma günü virüs, VGA video bağlantı noktalarını değiştirir.

Virüs ayrıca dahili metin dizelerini içerir:

COMMAND NET? .CHKDSK.WEB.DRWEB.INFO.COM ATH = *. BAT