При инсталляции в память выводит текст:
This file infected with [yet another data encryption kernel advance] demo virii
Содержит также строки:
[yet another data encryption kernel advance] v1.00
Yafo.328
Maccabi Yafo Alufa !!!
Vacsina, Yankee, семейство
Вирусы "Vacsina.NN" содержат в своем теле слово "VACSINA".
Заражают COM- и EXE-файлы при их выполнении (вирусы версий до 26h) или загрузке в память (вирусы версий 26h и выше).
Стандартно заражают COM-файлы. Вирусы версий до 9-й включительно проверяют у заражаемого COM-файла первый байт. Если он не равен E9h (JMP), то файл не заражается. Вирусы старших версий заражают COM-файлы вне зависимости от их первого байта. Кроме того, вирусы "Vacsina" увеличивают длину заражаемого файла до параграфа. Начиная с версии 2Ah к файлу после заражения дописываются дополнительные 4 байта.
Вирусы младших версий (до 23h) инфицируют EXE-файлы специальным образом: файлы переводятся в формат COM-файлов. Для этого к файлу дописывается небольшой фрагмент вируса (132 байта), настраивающий адреса по таблице адресов при загрузке файла в память для выполнения, и изменяются первые три байта файла (JMP на фрагмент). Дописанные к файлу 132 байта не распространяют вируса. Их действие заключается только в настройке адресов программы при ее запуске. Обработанный таким образом файл будет выполняться операционной системой и заражаться многими вирусами как COM-файл. При запуске EXE-программы, содержащейся в подобном файле, управление передается на фрагмент настройки адресов, который анализирует таблицу адресов в заголовке файла и соответствующим образом корректирует загруженную программу. Затем управление передается на стартовый адрес, указанный в заголовке файла.
Вирусы перехватывают вектор прерывания 21h, а некоторые представители семейства "Yankee" - INT 1, 3, 9, 1Ch.
Вирусы вызывают звуковые эффекты: при заражении файла вирусом "VACSINA" раздается звуковой сигнал (BELL), вирусы "Yankee" в зависимости от некоторых условий (при одновременном нажатии клавиш Alt-Ctrl-Del либо в 17.00) исполняют мелодию "Yankee Doodle Dandy". При некоторых условиях вирус "Vacsina.06" расшифровывает и выдает на экран строку "Az sum vasta lelja."
Вирусы семейства содержат несколько "изюминок". Так, начиная с версии 18h, вирусы определяют первоначальное значение вектора 21h-го прерывания (адрес обработчика прерывания в DOS) и при внедрении в файлы вызывают прерывание по этому значению. Таким образом вирусы обходят резидентные антивирусные мониторы. При определении адреса обработчика прерывания используется следующий алгоритм:
- установка прерывания 01h (точка входа при отладке; это прерывание вызывается в режиме отладки после выполнения процессором каждой команды) на подпрограмму определения истинного значения вектора прерывания;
- включение режима отладки;
- вызов "безопасной" с точки зрения резидентных антивирусов функции INT 21h.
При выполнении "безопасной" функции 21h-го прерывания последовательно выполняются команды всех программ, которые изменяли вектор прерывания 21h, а затем команды операционной системы, обрабатывающие данное прерывание. При этом после каждой выполненной команды управление получает подпрограмма вируса, определяющая первоначальное значение вектора прерывания. Она анализирует адрес последней выполненной команды и, если этот адрес указывает на область памяти, принадлежащую операционной системе, выключает режим отладки, а адрес данной команды рассматривает как первоначальное значение вектора прерывания 21h.
00000 | ... | |----------------| |Операционная | +------------------>|система | | |----------------| | |COMMAND.COM | | INT 21h |----------------| +-------------------|Пользовательская|------- Программы, +------------------>|программа | | изменявшие | |----------------| | вектор прерывания | | ... | | 21h | INT 21h |----------------| | +-------------------|Пользовательская|---+ +------------------>|программа | | |----------------| | | ... | | |----------------| | |Вирус | | INT 21h | -------------| +-------------------|Команда вызова | |прерывания 21h | ^ | | -------------| | +------------>|Подпрограмма | | |определения | +----------------|вектора | |----------------| FFFFF | ... |
Начиная с версии 21h вирусы перехватывают действия, совершаемые отладчиком, и если под отладчиком находится тело вируса, блокируют процесс отладки. При этом при попытке просмотреть зараженный файл под отладчиком файл "самоизлечивается".
Начиная с версии 21h вирусы семейства кодируют себя линейным блоковым кодом и хранят в своем теле проверочные байты. Периодически вирусы проверяют себя на наличие исправлений и по возможности восстанавливают их.
Начиная с версии 2Сh дезактивируют резидентную часть вируса "PingPong" , а начиная с 2Eh принимают некоторые меры противодействия вирусам семейства "Cascade" .
Модификации "VACSINA" и "Yankee"
Вирусы "Yankee.1049,1150,1202" - файловые резидентные безобидные вирусы. Поражают COM- и EXE-файлы при их запуске на выполнение (int 21h, "Yankee.1049" - ax=4B00h, "Yankee.1202" и "Yankee.1049" - ah=4Bh). Изменяют первые 32 байта файла и дописываются в его конец. Во многом совпадают с вирусами "Yankee" . Перехватывают INT 21h.
"Yankee.3045" содержит тексты: "LOGIN.EXE SUPERVISOR. HESLO.".
"Yankee.Flip.2167": в зависимости от текущей даты перехватывает INT 8, 9, 10h и "переворачивает" экран.
Yankee.2189
Yankee.Estonia.1716
Демонстрации вирусных эффектов:
|
YANKEE.COM |
YanShort, семейство
Зараженные файлы содержат строку "motherfucker", по которой вирус различает зараженные и незараженные файлы. Вирус "Yanshort.1961" проявляется проигрыванием мелодии "Yankee Doodle Dandy" при запуске зараженной программы. При некоторых условиях программы, пораженные вирусом "Yanshort.1624", зависают при запуске.
"Yanshort.1835" стирает сектора дисков и выводит на экран текст:
Happy birth day Black Peter (c) 1992 yar
YanShort.Bandit
!!PCBANDIT!!
YanShort.Enigma
This is the voice of the Enigma virus ...... the spirits of the hell are coming back! (C) 1991 by Cracker Jack * Italy *.*.exe newenigmavir
YanShort.Vote.1961
Press any key to continue...
YanShort.Wizard
Демонстрации вирусных эффектов:
|
YANSHORT.COM |
Yard, семейство
Yard-keeper
YB, семейство
Содержат строки:
"YB.299,300": INSERT YOUR NAME HERE *.?OM "YB.316": Silent Runner by Nostradamus [NuKE'94] "YB.402,405": \DOS Abraxas 13 00000001. OUCH! "YB.425,426,466": YB-1 & Handsome Dick Manitoba / KФhntark*.COM "YB.647,2277": YB-2 / KФhntark*.COM "YB.2328,2330": YB-1 / KФhntark*.COM "YB.Funkware.235": AV Funkware Evaluation League of [NuKE'94]*.c?m
YCHV.1080
Your Computer Has Virus! Tel: 0517-3932764 TO 2815
YCTC, семейство
"YCTC.1729": COMMAND IBM ET PC TB CKVI KLVI DEVI BTOOL RTOOL TDISK SCAN CLEAN HUNT F- TR G "YCTC.1975": COMMAND LIU2 EMM386 JEAN RAR VTHUNT VTSCAN
Перехват INT 2Fh используется для стелс-продедур.
"YCTC.1729" использует антиотладочные приемы. Уничтожает файлы, если имя файла либо имя корневого каталога начинается на 'Z', затем выводит текст:
You have a Y.C.T.C.Virus... Ha! Ha! Ha! Ha! == Written by Y.C.T.C.student 1995. == === I am y.c.t.c. student written... ===
"YCTC.1975" портит файлы при заражении (т.е. является "intended"-вирусом). В зависимости от текущей даты уничтожает файлы и выводит тексты на китайском и английском:
Hello !! I am a cute virus baby. You can call me [ YCTC ] virus.. Come on,to go to study YCTC school !! Written by Jean 1995.08.01.
Happy birthday to my dear !! Written by Jean 1995.08.01.
Yeke, семейство
Be Careful. YEKE Controls Your Computer.
и завешивают компьютер.
Yeke.2425
TERMINATOR 2 lives...
The Judgement Day has come!
Your system has been terminated.
Он также записывает в сектора дисков программу, которая при загрузке сообщает:
This system has been terminated.
Демонстрации вирусных эффектов:
|
YEKE.COM |
Yellow.1361
Демонстрации вирусных эффектов:
|
YELLOW.COM |
YesNo.862
r -> t n -> m y <-> n ESC <-> ENTER
В результате система возвращает неправильный символ, ято может привести к потере данных при сохранении их на диск, копировании и т.д.
YIL.1363
В 1997 вирус также перехватывает INT 13h и при обращениях к 1.4Mb дискетам меняет их Volume Label на строку "[YНl_1997]".
Yog.794
Ha! Jsem virus Yog-Sothoth a mam te rad. Kdyz budes hodnej, nezacnu ti hned formatovat hardisk. Ale treba az za chvili. Ha, ha, ha...!
Yong-Ga-Ri.1867
Вирус содержит код, который форматирует винчестер. Этот код получает управление при 10-м вызове DOS-функции Terminate AH=0, если AL=12h или 4Fh.
Вирус содержит строки, первая из которых зашифрована:
the virus name is yong-ga-ri ][ 1994.12.23 (C) Sk bbs\yb 1995.1.2 V3HWPTVTBAVISACN
Yosha DOS-вирусы
Yosha.745
Windoze crashes your system.
Также содержит строки:
Kein Mehrheit fБr die Mitleid KMFDM by Yosha/DC
Yosha.975,980
Give Yosha cold Mountain Dew!
При вызовах INT 8 (таймер) вирус постоянно устанавливает INT 21h на свой код. Вирус также содержит строку:
[Dew-Bug] (C) 1996 Yosha/DC
Yosha.LT
Malaria by Yosha/LT
Yosha.MDK
Murder-Death-Kill by Yosha/tCS/DC
Yosha.Smegma
[Smegma] by Yosha
Yosha.Stercor
Stercor by Yosha[LT/RSA]
Yosha.Zadig
Содержит строку:
Zadig by Yosha[LT]
YouAreIll.1186
*.EXE .PAS AIDS SCAN Вы больны !
YouHaveProblem.577
You have problem...
Youth, семейство
"Youth.580": Demoralized Youth "Youth.640": McAfee, geht nach Hause! Wir sind unБberwindlich! DemoralizedYouth vous a eu "Youth.991": -* DeMoRaLiZeD YoUtH *- (c) Hannibal Lechter Ni S Solu Sot Uk Ni Sakse Stain Skorin
Yukom, семейство
"Yukom.389": My Name is Yukom Pete and I am a Virus "Yukom.392": My Name is Yukom Pete and I am your Virus "Yukom.402": My Name is Yukom Pete and I am your unfriendly Virus
YZ, семейство
YZ
8-го марта стирают сектора дисков и выводят текст:
It is my birthday!!!
"YZ.1230" делает это в 15:00, "YZ.1339,1434" - при заражении очередного файла. "YZ.1339,1434" при этом также пищат системным спикером.
Yanush.934
Thanks to Yana Diagileva for their songs Thanks to Shunya for their love and hate And Thanks You Stupid User for using our virus Relax man ... relax ... [VivatNadym] v.2.0 [1998] Hello, Welcome to the Psychiatric Hotline.
Содержит также строку:
[Yanush Milovski] and [GloomyTanat]
Yusong.1471
This program is only a test.It does nothing to you. You are lucky to meet me.Thank you very much. Bye bye ! (C) Copy right by Yusong,3,1997. All right reserved !
Также содержит строку:
ERROR IN EXE FILE