दुर्भावनापूर्ण सॉफ़्टवेयर जो इतिहास में नीचे चला गया। भाग III

कला का विषय एक चित्र, मूर्तिकला, कविता, सिम्फनी और यहां तक ​​कि एक कंप्यूटर वायरस हो सकता है, चाहे कितना भी अजीब लगे। दुर्भाग्य से, इन दिनों वायरस का निर्माण उनके निर्माण से लाभ के साथ भरा हुआ है या दूसरों को नुकसान पहुंचा रहा है। हालाँकि, कंप्यूटर प्रौद्योगिकी के दौर में, वायरस लेखक सच्चे कलाकार थे, जिनके रंग कोड के टुकड़े थे, कुशलता से मिश्रित, वे एक उत्कृष्ट कृति में बदल गए। और उनका लक्ष्य किसी को इतना अपमानित करना नहीं था जितना कि खुद को घोषित करना, अपनी बुद्धिमत्ता और सरलता का प्रदर्शन करना, और कभी-कभी, बस लोगों को खुश करने के लिए। आज हम अपने परिचितों को वायरस लेखकों की विभिन्न कृतियों के साथ जारी रखेंगे, जो एक तरह से या दूसरे हमारे ध्यान के योग्य हैं। (यदि आप पिछले हिस्सों से खुद को परिचित करना चाहते हैं, तो यहां लिंक दिए गए हैं: भाग I और भाग II )

कांटा बम (सब कुछ सरल है) - 1969

कांटा बम एक अलग वायरस या कृमि नहीं है, बल्कि अत्यंत साधारण मैलवेयर का परिवार है। फोर्क बम कोड संरचना में सिर्फ 5 लाइनें शामिल हो सकती हैं। इस तरह के मैलवेयर को लिखने के लिए कुछ भाषाओं का उपयोग करने से कॉलन, कोष्ठक और कभी-कभी सभी अल्फ़ान्यूमेरिक वर्णों का उपयोग करने की आवश्यकता समाप्त हो जाती है।

एक बहुत ही सरल तरीके से फोर्क बम है: शुरुआत के लिए, कार्यक्रम खुद को मेमोरी में लोड करता है, जहां यह खुद की कई प्रतियां बनाता है (आमतौर पर दो)। इसके अलावा, इन प्रतियों में से प्रत्येक मूल के रूप में कई प्रतियां बनाता है, और इसी तरह जब तक कि मेमोरी पूरी तरह से भरा नहीं है, जो सिस्टम क्रैश की ओर जाता है। डिवाइस के आधार पर, यह प्रक्रिया कुछ सेकंड से लेकर कई घंटों तक होती है।

फोर्क बम के पहले दर्ज मामलों में से एक इसकी उपस्थिति 1969 में वाशिंगटन विश्वविद्यालय में 5500 कंप्यूटर के बरोज़ पर है। इस मैलवेयर को RABBITS नाम दिया गया था। 1972 में, वायरस लेखक Q द मिसंथ्रोप ने BASIC में एक समान कार्यक्रम बनाया। यह मजेदार है कि इस समय लेखक 7 वीं कक्षा में था। एक अज्ञात कंपनी में भी एक मामला था, 1973 में, जब उनके आईबीएम 360 खरगोश कार्यक्रम से संक्रमित थे। परिणामस्वरूप, वायरस फैलाने के आरोपी एक युवा कर्मचारी को निकाल दिया गया।

कैस्केड (नीचे गिरना) - 1987

अपने समय के सबसे मजेदार वायरस में से एक। हम आगे का पता क्यों लगाते हैं।

जब वायरस सिस्टम में प्रवेश करता है और सक्रिय होता है, तो सबसे पहले यह लाइन की उपस्थिति की जाँच करता है “COPR। आईबीएम। " यदि एक था, तो वायरस को रोकना चाहिए और इस मशीन को संक्रमित नहीं करना चाहिए, लेकिन वायरस कोड में त्रुटि के कारण, संक्रमण वैसे भी हुआ। अगला, कैस्केड स्मृति में निवासी बन गया। बाद में लॉन्च होने पर वायरस किसी भी .com फ़ाइल को संक्रमित करता है। कैस्केड ने फ़ाइल के पहले 3 बाइट्स को कोड के साथ बदल दिया जिससे वायरस खुद कोड हो गया।

और अब वायरस के परिणामों के लिए। यदि 1 अक्टूबर से 31 दिसंबर, 1988 तक संक्रमित फ़ाइल लॉन्च की गई थी, तो उन्होंने प्रभाव डाला। डॉस स्क्रीन पर सभी वर्ण बस बेतरतीब ढंग से गिरने लगते हैं, शाब्दिक रूप से स्क्रीन के नीचे। इसीलिए इस वायरस का नाम कैस्केड (कैस्केड) रखा गया। कभी-कभी एक ही समय में कुछ ध्वनियों को पुन: पेश किया गया था।

दुनिया भर में फैलने के बाद, कई कैस्केड वेरिएंट दिखाई दिए - लगभग 40. उनमें से कुछ पिछले लेखक द्वारा आईबीएम कॉपीराइट को पहचानने के साथ बग को ठीक करने की उम्मीद में बनाए गए थे, हालांकि, इन वायरस वेरिएंट ने कंप्यूटर की विशालकाय प्रणालियों को सफलतापूर्वक संक्रमित करना जारी रखा। पात्रों के एक झरने के बजाय अन्य विकल्पों ने हार्ड ड्राइव को प्रारूपित किया या केवल किसी प्रकार का संदेश निहित किया। किसी भी मामले में, यह मूल कैस्केड वायरस था जिसे कई लोगों ने याद किया।

यह हास्यास्पद है कि लेखक ने आईबीएम कंप्यूटरों को संक्रमित करने से बचने की कोशिश की, लेकिन एक ही समय में न केवल वे संक्रमित थे, बल्कि बेल्जियम में पूरा कार्यालय पीड़ित था। नतीजतन, आईबीएम ने अपने एंटीवायरस को जनता के लिए जारी किया, जो पहले केवल कंपनी के भीतर उपयोग किया गया था।

वायरस की उत्पत्ति और इसके लेखक के बारे में कुछ भी ज्ञात नहीं है। ऐसी अटकलें हैं कि कास्केड जर्मनी या स्विट्जरलैंड के किसी व्यक्ति द्वारा लिखा गया था।

एडी (हाल ही में आपका नाम) - 1988

पहले बल्गेरियाई वायरस में से एक और डार्क एवेंजर की पहली रचना, जो न केवल अपने वायरस के लिए, बल्कि तथाकथित डार्क एवेंजर म्यूटेशन इंजन (इसके बारे में थोड़ी देर बाद) के लिए बेहद प्रसिद्ध धन्यवाद बन गया। डार्क एवेंजर ने आयरन मेडेन समूह के प्रतीक के सम्मान में अपने वायरस का नाम रखा - एडी नामक कंकाल।

कंप्यूटर में प्रवेश करने के बाद, वायरस स्मृति निवासी बन गया। संक्रमण के शिकार थे .com और .exe फ़ाइलें। उसी समय, संक्रमण के लिए इन कार्यक्रमों को निष्पादित करने की कोई आवश्यकता नहीं थी, यह उन्हें बस पढ़ने के लिए पर्याप्त था (प्रतिलिपि, स्थानांतरित करें, फ़ाइल की सामग्री की जांच करें)। एंटीवायरस सॉफ़्टवेयर द्वारा संक्रमण का एक मौका भी था, जिससे इस सॉफ़्टवेयर द्वारा स्कैन की गई किसी भी फ़ाइल का संक्रमण हो सकता है। हर 16 वें संक्रमण के बाद, वायरस ने एक यादृच्छिक क्षेत्र को फिर से लिखा।


उनमें से कुछ का लेखक कौन है अभी भी अज्ञात है। डार्क एवेंजर पेन से निकलने वाले एडी विकल्प:

• एडी। वी २ डी - में निम्नलिखित "संदेश" शामिल हैं: "मुझे कॉपी करें - मैं यात्रा करना चाहता हूं"; "वेसेलिन बोंचेव द्वारा 1989"; "ओनली द गुड डाई यंग ..."
• एडी। वी .2100 - इसमें "एडी रहती है" शब्द शामिल थे और, अगर डिस्क के अंतिम क्षेत्र में एक एंथ्रेक्स वायरस था, तो इसे विभाजन तालिका में स्थानांतरित कर दिया, जिससे वायरस बहाल हो गया।

लंबे समय तक, एडी ने सबसे आम वोल्गर वायरस की स्थिति को बनाए रखा, जबकि यह पश्चिम जर्मनी, यूएसए और यूएसएसआर में दर्ज किया गया था।

फादर क्रिसमस (हो-हो-हो) - 1988

1988 में क्रिसमस (कैथोलिक) से कुछ समय पहले, फादर क्रिसमस वर्म ने अपनी यात्रा की शुरुआत DECnet (इंटरनेट के शुरुआती संस्करण, आइए हम कहते हैं) के माध्यम से की। कृमि के जन्म का स्थान स्विटजरलैंड में यूनिवर्सिटी ऑफ नीचटेल माना जाता है।

HI.COM फ़ाइल ने एक कृमि के रूप में काम किया, जिसने खुद को एक DECnet नोड से दूसरे में कॉपी किया। फिर उन्होंने टास्क ऑब्जेक्ट 0 (एक प्रोग्राम जो आपको दो जुड़े कंप्यूटरों के बीच क्रिया करने की अनुमति देता है) या एक डीईसीनेट लॉगिन और पासवर्ड के माध्यम से खुद को लॉन्च करने की कोशिश की। यदि प्रक्षेपण विफल हो जाता है, तो कृमि पीड़ित के सिस्टम से अपनी HI.COM फ़ाइल को हटा देता है। सफल होने पर, कीड़ा को मेमोरी में लोड किया जाता है, जिसके बाद वह HI.COM फ़ाइल को हटाने के लिए MAIL_178DC प्रक्रिया का उपयोग करता है। यह कीड़ा तब SYS $ ANNOUNCE बैनर को 20597 :: PHSOLIDE पर भेजता है, जिसके बाद यह सिस्टम घड़ी की जांच करता है। यदि संक्रमण का समय 24/12/1988 को 00:00 से 00:30 के बीच गिरता है, तो कृमि सिस्टम के सभी उपयोगकर्ताओं की एक सूची बनाता है और इसकी प्रतियां उन्हें भेजता है। यदि संक्रमण उपरोक्त तिथि के 00:30 के बाद हुआ है, तो कृमि केवल सक्रिय होना बंद हो गया है।

एक नए शिकार की तलाश में, कृमि बेतरतीब ढंग से 0 से 63 * 1024 तक की संख्या उत्पन्न करते हैं। जब उपयुक्त संख्या मिल गई, तो उसने पीड़ित के पानी में HI.COM फ़ाइल की प्रतिलिपि बनाई। 24/12/1988 को 00:00 बजे के बाद, वितरण नहीं हुआ।

फादर क्रिसमस ने एक संदेश भी दिखाया (बहुत अनुकूल, अगर मैं मैलवेयर, चरित्र के बारे में ऐसा कह सकता हूं):

"से: NODE :: फादर क्रिसमस 24-DEC-1988 00:00
To: आप ...
सबज: क्रिसमस कार्ड।

हाय,

फिर कैसे हो? मेरे पास सभी प्रस्तुतियां तैयार करने का कठिन समय था। यह
काफी आसान काम नहीं है। मुझे अधिक से अधिक पत्र मिल रहे हैं
बच्चों को हर साल और यह भयानक पाने के लिए इतना आसान नहीं है
रेम्बो-बंदूकें, टैंक और अंतरिक्ष जहाज यहाँ पर
Northpole। लेकिन अब अच्छा हिस्सा आ रहा है। सभी का वितरण
मेरी बेपहियों की गाड़ी और हिरणों के साथ असली मज़ा है। जब मैं
नीचे की चिमनी पर स्लाइड करें जो मैं अक्सर पेश करता हूं
बच्चों, या पिता से भी थोड़ा ब्रांडी। (हाँ!)
किसी भी तरह चिमनियां हर जगह सख्त और तंग हो रही हैं
साल। मुझे लगता है कि मुझे फिर से अपना आहार लेना होगा। और उसके बाद

क्रिसमस मुझे अपनी बड़ी छुट्टियां मिल गई हैं :-)।

अब कंप्यूटिंग बंद करो और घर पर एक अच्छा समय है !!!

मेरी क्रिसमस
और नया साल मुबारक हो

आपका पिता क्रिसमस »

फादर क्रिसमस दुनिया का विजेता नहीं बना, उसने केवल 6,000 मशीनों को संक्रमित किया, और उनमें से केवल 2% ने कृमि को सक्रिय किया। हालांकि, एक जिज्ञासु तथ्य है: स्विट्जरलैंड से एक कीड़ा वाशिंगटन के एक उपनगर में केवल 8 मिनट में गोडार्ड स्पेस फ्लाइट सेंटर पहुंचा।

इस तरह के एक असामान्य और कालानुक्रमिक रूप से जुड़े कृमि का निर्माता कभी नहीं पाया गया। यह केवल ज्ञात है कि विश्वविद्यालय से एक कंप्यूटर का उपयोग किया गया था, जिसमें बहुत सारे लोगों की पहुंच थी।

आइसलैंडिक (आईजफजलजाजकुल) - 1989

पहला वायरस जिसने DOS सिस्टम पर केवल .exe फ़ाइल को संक्रमित किया है। जन्म स्थान - आइसलैंड

आइसलैंड को एक .exe फ़ाइल के रूप में कंप्यूटर से मिला, जिसके लॉन्च के समय वायरस ने सिस्टम मेमोरी में खुद के लिए जाँच की। यदि इसकी कोई प्रति नहीं थी, तो वायरस निवासी हो गया। उन्होंने अपनी उपस्थिति को छिपाने के लिए कुछ मेमोरी ब्लॉकों को भी संशोधित किया। यदि सिस्टम इन समान ब्लॉकों को लिखने की कोशिश करता है, तो यह सिस्टम क्रैश हो सकता है। वायरस ने फिर हर दसवें निष्पादन योग्य फ़ाइल को संक्रमित किया, प्रत्येक के अंत में अपना कोड जोड़ा। यदि फ़ाइल केवल पढ़ी गई थी, तो आइसलैंड अपना कोड हटा देगा।

यदि कंप्यूटर 10 मेगाबाइट से बड़े हार्ड ड्राइव का उपयोग करता है, तो वायरस ने एफएटी क्षेत्र का चयन किया था जिसका उपयोग नहीं किया गया था और इसे टूट के रूप में चिह्नित किया गया था। हर बार एक नई फ़ाइल संक्रमित होने पर यह ऑपरेशन किया गया था।

आइसलैंड की भी कई किस्में थीं, जो कुछ कार्यों और गुणों में एक-दूसरे से भिन्न थीं:

• आइसलैंडिक.632 - हर तीसरे कार्यक्रम को संक्रमित करता है। डिस्क पर टूटे हुए एक क्लस्टर के रूप में चिह्नित, अगर यह 20 मेगाबाइट से अधिक था;
• आइसलैंडिक.बी - कुछ एंटीवायरस द्वारा जटिल पहचान में सुधार किया गया; इसने वितरण के अलावा कोई कार्रवाई नहीं की;
• आइसलैंडिक.जोल आइसलैंडिक का एक उप-संस्करण है। बी, जिसने 24 दिसंबर को आइसलैंडिक गिलेडिल जोल (मेरी क्रिसमस) पर एक संदेश प्रदर्शित किया;
• आइसलैंडिक.मिक्स 1 - पहली बार इजरायल में खोजा गया था, जब उन्हें धारावाहिक उपकरणों (उदाहरण के लिए, प्रिंटर) में स्थानांतरित करने पर पात्रों की विकृति हुई;
• आइसलैंडिक। साराटोगा - 50% संभावना के साथ यह एक रनिंग फ़ाइल को संक्रमित करता है।

डायमंड (एक हीरे की तरह चमकदार) - 1989

बुल्गारिया का एक और वायरस। यह माना जाता है कि इसका लेखक डार्क एवेंजर है, क्योंकि यह वायरस अपनी पहली रचना, एडी के साथ बहुत आम है।

जब एक संक्रमित प्रोग्राम लॉन्च किया गया था, तो वायरस ने मेमोरी को भेद दिया, जिसमें 1072 बाइट्स थे। वायरस ने ऐसे प्रोग्रामों की जाँच की जिनमें 1 या 3 के मॉनिटर की रुकावट थी। यदि कोई थे, तो इस जाँच के कारण सिस्टम फ्रीज़ हो गया और वायरस अब खुद को रिप्लाई नहीं कर सका। यदि ऐसा कोई कार्यक्रम नहीं था, तो डायमंड किसी भी चल रहे कार्यक्रम में शामिल हो गया, जिसका वजन 1024 बाइट से कम था। संक्रमण प्रक्रिया के दौरान, वायरस ने COMMAND.COM फ़ाइल को टाला। इसके अलावा वायरस में भी, एक ऐसी रेखा का पता लगाना संभव था जो इसे पहचानना आसान बनाता है - "7106286813"।

डायमंड इसके कई प्रकारों का जन्मदाता बन गया, जो संक्रमित प्रणाली और प्रसार और प्रसार की विधि पर प्रभाव के प्रकार में भिन्न थे:

चट्टान स्थिर

एक 666-बाइट वायरस जो किसी भी महीने की 13 तारीख को संक्रमण होने पर स्मृति निवासी नहीं बन जाता है। इसके बजाय, इसने पहली हार्ड ड्राइव पर पहले 1 से 10 सेक्टरों को स्वरूपित किया। उसके बाद, मैं सी के पहले 32 क्षेत्रों को अधिलेखित करता हूं: जंक डेटा के साथ ड्राइव और सिस्टम को रिबूट किया। इसे पहली बार मॉन्ट्रियल (कनाडा) में खोजा गया था।

काफी उत्सुक था जिस तरह से फ़ाइल संक्रमित थी। शुरू करने के लिए, रॉक स्टेडी ने फ़ाइल का "वजन" चेक किया: 666 बाइट्स (किसी भी प्रारूप के लिए) से कम और 64358 बाइट्स (.com फ़ाइलों के लिए) से अधिक। इसके बाद, वायरस ने जाँच की कि क्या फ़ाइल के नाम "MZ" और "ZM" अक्षरों से शुरू होते हैं, जिसके बाद उन्होंने उन्हें "ZM" से "MZ" में बदल दिया और इसके विपरीत। वायरस ने भी मूल्य को 60 में बदल दिया और संक्रमित फ़ाइल के आकार से 666 बाइट्स का अपना "वजन" छीन लिया।

डेविड

शायद इटली से आया था। इसे पहली बार मई 1991 में देखा गया था। इस वायरस का पहला संस्करण .exe फ़ाइलों को संक्रमित नहीं कर सका, लेकिन अक्टूबर 1992 में जारी इसके उप-संस्करण में पहले से ही यह संभावना थी। जब .com फ़ाइल को निष्पादित किया गया था, तो यह लगातार सिस्टम क्रैश का कारण बना, जबकि संक्रमण के दौरान वायरस COMMAND.COM फ़ाइल से नहीं बचा था, जैसा कि मूल ने किया था। यदि संक्रमित .exe फ़ाइल को मंगलवार को लॉन्च किया गया था, तो वायरस ने डिस्क को स्वरूपित किया। स्क्रीन पर एक जंपिंग पिंग-पोंग बॉल और एक संदेश इस प्रकार प्रदर्शित होता है:

© डेविड ग्रांट वायरस रिसर्च 1991 PCVRF इस वायरस को मिटा देता है
स्वतंत्र रूप से ... आह ... जॉन ... भाड़ में जाओ तुम!

क्षति

एक राय है कि इस वायरस को डेविड ने लिखा था, क्योंकि डैमेज मई 1991 में इटली में भी पाया गया था। वायरस ने फ़ाइल को संक्रमित किया, जिसका आकार 1000 बाइट्स से अधिक था, जबकि फ़ाइल COMMAND.COM से परहेज नहीं था। यदि सिस्टम घड़ी ने 14:59:53 दिखाया, तो स्क्रीन पर एक बहु-रंगीन हीरा दिखाई दिया, जो छोटे हीरे में टूट गया, जिसने स्क्रीन से पात्रों को हटा दिया। वाक्यांश "डैमेज" (जिसके लिए इसे अपना नाम मिला) और "खुशी के लिए कूदो !!!" वायरस कोड में पाए गए थे।

लूसिफ़ेर

मई 1991 में खोजा गया इटली का एक और वायरस। फ़ाइल COMMAND.COM सहित 2 किलोबाइट से अधिक संक्रमित है। यदि संक्रमण से पहले फ़ाइल का टाइमस्टैम्प 12:00 था, तो संक्रमण के बाद वायरस गायब हो जाता है।

Greemlin

ओह, यह इटली, ओह, यह मई 1991। यह वायरस भी वहीं से है। सिस्टम को बहुत धीमा कर दिया (लगभग 10%)। किसी भी वर्ष के 14 जुलाई को मैंने ए:, बी: और सी: ड्राइव के कुछ क्षेत्रों को फिर से लिखा।

कई अन्य विकल्प भी थे, लेकिन उनकी मुख्य विशेषता यह थी कि उन्होंने पीड़ित फाइलों में अपनी प्रतियों की उपलब्धता की जांच नहीं की, जिसके कारण बाद में पुन: संक्रमण हो गया।

अलबामा (अलबामा शक्स) - 1989

डॉस सिस्टम के तहत एक वायरस जो संक्रमित है .exe फ़ाइलें। जब एक संक्रमित फ़ाइल सक्रिय हो गई थी, तो वायरस स्मृति निवासी बन गया। हालाँकि, अन्य निवासी वायरस के विपरीत, अलबामा ने फ़ाइल को चलाने पर संक्रमित नहीं किया। इस निर्देशिका में संक्रमण के लिए वायरस एक फ़ाइल की तलाश में था, और यदि यह काम नहीं करता था, तभी यह सक्रिय फ़ाइलों के संक्रमण के तरीके में बदल गया। इसके अलावा, शुक्रवार को, फ़ाइलों को संक्रमित करने के बजाय, उपयोगकर्ता ने जो खोलना चाहते थे, उसके बजाय कुछ मनमानी फ़ाइल खोली। अलबामा ने प्रणाली के संक्रमण के एक घंटे बाद स्क्रीन पर चमकता पाठ प्रदर्शित किया:

सॉफ़्टवेयर सॉफ़्टवेयर अंतर्राष्ट्रीय कानून द्वारा प्रमाणित ...
बॉक्स 1055 टस्कैम्बिया ALABAMA यूएसए।

डार्क एवेंजर म्यूटेशन इंजन (DAME) - 1991

यह एक वायरस नहीं है, लेकिन इस मॉड्यूल ने एक निश्चित डार्क एवेंजर बनाया है, जिसका हमने पहले उल्लेख किया था, बेहद प्रसिद्ध।

जब DAME का उपयोग करने वाला वायरस किसी फ़ाइल को संक्रमित करता है, तो रैंसमवेयर ने कचरा के रूप में वायरस कोड दिया। और जब फ़ाइल खोली गई, तो डिकोडर ने वायरस कोड को अपने पिछले कार्य रूप में वापस कर दिया।

डार्क एवेंजर ने एक संग्रह भी जोड़ा जिसमें यादृच्छिक संख्याओं को उत्पन्न करने के लिए एक अलग मॉड्यूल था, जिसका उपयोग करते समय, वायरस फैलने में मदद करता था।

DAME मॉड्यूल के लिए धन्यवाद, मूल वायरस के कोड में मॉड्यूल को लागू करने की जटिलता के बावजूद, पॉलीमॉर्फिक वायरस बनाने के लिए वायरस लेखकों के लिए बहुत आसान हो गया है। इसके अलावा, मॉड्यूल के उपयोग ने एक ही वायरस के कई वेरिएंट बनाना संभव बना दिया। मालवेयर शोधकर्ताओं के अनुसार, 1992 के अंत तक, वायरस वेरिएंट की लगभग 900,000 किस्में थीं जो DAME का उपयोग करती थीं।

स्टारशिप (यूएसएसआर में वापस) - 1991

इसलिए हम अपनी जन्मभूमि के लिए हो गए। स्टारशिप वायरस यूएसएसआर में बनाया गया था। लेकिन उसकी विशिष्ट विशेषताएं वहाँ समाप्त नहीं होती हैं।

बहुत जटिल, एक समय में, और असामान्य स्टारशिप वायरस के संक्रमण का तरीका था। यह वायरस .com और .exe जैसी फ़ाइलों को संक्रमित करता है। जब ये फाइलें खुलीं, तो स्टारशिप ने मास्टर बूट रिकॉर्ड को संक्रमित कर दिया। उसी समय, वायरस स्मृति निवासी नहीं बन गया और अन्य .com और / या .exe फ़ाइलों को संक्रमित नहीं किया। स्टारशिप ने विभाजित डेटा टेबल में तीन बाइट्स को संशोधित किया और हार्ड ड्राइव के अंतिम ट्रैक के 6 लगातार क्षेत्रों में इसके कोड को इंजेक्ट किया।

स्टारशिप ने यह भी पता लगाया कि कंप्यूटर कितनी बार बूट हुआ। जब ऐसा हुआ, तो वायरस ने खुद को वीडियो मेमोरी में लोड किया, जहां इसे डिक्रिप्ट किया गया था (दूसरे शब्दों में, तैनात)। वीडियो मेमोरी में रहते हुए, वायरस ने खुद को हार्ड डिस्क पर फिर से लिखे जाने से बचाने के लिए इंटरप्ट का उल्लंघन किया और इसके पहले प्रोग्राम के पूरा होने का इंतजार किया। जब ऐसा हुआ, तो वायरस खुद को मुख्य मेमोरी में स्थानांतरित कर दिया, जहां उसने 2688 बाइट्स पर कब्जा कर लिया।

स्टारशिप ने A: और B: ड्राइव पर .com और .exe फ़ाइलों को संक्रमित किया। उसी समय, उन्होंने फ़ाइल बंद करने के बाद ही अपना कोड जोड़ा, जिससे पता लगाने में कठिनाई हुई।

वायरस का परिणाम 80 कंप्यूटर डाउनलोड के बाद दिखाई दे रहा था। स्क्रीन पर मधुर ध्वनियों के लिए, रंगीन पिक्सल प्रदर्शित किए गए थे, जिनमें से प्रत्येक ने डिस्क में एक कनेक्शन को दर्शाया था।

ग्रूव ("जब आप एक नाली जा रहे हो, समय उड़ जाता है") - 1992

और यहाँ सिर्फ वायरस है जो एन्क्रिप्शन (पैराग्राफ 8) के लिए डार्क एवेंजर डैम निर्माण का उपयोग करता है। ग्रूव पहला वायरस था जो उक्त मॉड्यूल का उपयोग .exe फ़ाइलों को संक्रमित करने के लिए करता था। इस दुर्भावनापूर्ण सॉफ़्टवेयर की मातृभूमि जर्मनी है, हालांकि यह दुनिया भर में फैलने में कामयाब रहा, यहां तक ​​कि संयुक्त राज्य तक भी पहुंच गया।

वायरस, संक्रमित फ़ाइल को सक्रिय करने के बाद, सीमा के नीचे "उच्च" मेमोरी में स्थित था


ग्रूव वायरस ने अपने कोड को .com और .exe फ़ाइलों के साथ जोड़ा था जो उपयोगकर्ता चला रहे थे। उसी समय, .exe फ़ाइलों को संक्रमित करने के लिए, बाद वाले को एक निश्चित आकार से छोटा होना चाहिए (दुर्भाग्य से, मुझे जानकारी नहीं मिली कि किसके बारे में)। कार्यक्रमों के संक्रमण से उनके काम में व्यवधान आया। और संक्रमण COMMAND.COM सिस्टम को बूट करने में असमर्थता के लिए।

00:30 के बाद, वायरस ने संदेश प्रदर्शित किया:

चिंता मत करो, आप इस घंटे में अकेले नहीं हैं ...
ThisVirus सारा को समर्पित नहीं है जो
उसके Groove (... Thats my name) को समर्पित है।
यह वायरस केवल एक परीक्षण वायरस है
जो मेरे अगले टेस्ट के लिए तैयार होने के लिए है ...।

अपने अस्तित्व को लंबा करने के लिए, वायरस ने एंटी-वायरस प्रोग्राम से संबंधित फ़ाइलों को हटा दिया या दूषित कर दिया।

Qark's Incest परिवार ("हम परिवार हैं, मेरी सभी बहनें मेरे साथ हैं ...") - 1994

इस खंड में, हम एक वायरस नहीं, बल्कि ऑस्ट्रेलियाई वायरस लेखक क्वार्क के संपूर्ण "परिवार" पर विचार करेंगे, जिसके परिणामस्वरूप हथियार समूह में वीएलएडी (वायरस लैब्स एंड डिस्ट्रीब्यूशन) भाइयों में शामिल हो गए। संगठन के रैंक में Qark की जोरदार गतिविधि 1994 से 1997 की अवधि में आती है।

और अब वायरल कबीले के "परिवार के सदस्यों" के बारे में अधिक।

डैडी

MCB (मेमोरी कंट्रोल ब्लॉक) के आकार को कम करके, लेकिन केवल अगर यह MCB श्रृंखला में अंतिम है। वायरस मालिक क्षेत्र मान (0x0008 - command.com) सेट करने के साथ अपना MCB भी बना सकता है और INT 21h में शामिल हो सकता है।

जब वे खोले जाते हैं या जब उपयोगकर्ता उनके डेटा या गुणों से परिचित हो जाते हैं तो फाइलें संक्रमित हो जाती हैं। डैडी ने भी अपने स्थान निर्देशिका के आकार को एफसीबी फाइंडफ्रस्ट / फाइनेक्स्ट से छिपाया। और संक्रमित फाइलों को टाइम स्टैम्प वैल्यू को डेट स्टैम्प वैल्यू में बदलकर चिह्नित किया गया था।

डैडी में निम्नलिखित पंक्तियाँ भी थीं:

[Incest Daddy]
Qark / VLAD द्वारा

Mummy

यदि, MS-DOS के तहत, इसके निष्पादन के लिए एक फ़ाइल एक्सटेंशन निर्दिष्ट नहीं किया गया था। .COM फ़ाइलों को .EXE फ़ाइलों को प्राथमिकता दी गई थी। संक्रमित .com फ़ाइलों ने वायरस लॉन्च किया, और फिर मूल .exe फ़ाइलों को खोला। शुरू करने के लिए, वायरस ने मूल .exe फ़ाइलों को लॉन्च किया, जिसके बाद वह INT 21h में शामिल होने के माध्यम से निवासी बन गया।

डैडी की तरह, वायरस को एन्क्रिप्ट किया गया था और पता लगाने से बचने के लिए इसी तरह के तरीकों का इस्तेमाल किया गया था। इसके अलावा, मम्मी के पास एक और असामान्य चुपके तंत्र था: .com साथी फाइलें विशेषताओं के छिपे हुए सेट के साथ बनाई गई थीं। जब ASCII FindFirst लॉन्च किया गया था, तो वायरस ने अनुरोधित विशेषता मास्क से छिपे हुए हिस्से को हटा दिया था। यह एंटीवायरस खोज परिणामों की सूची में संक्रमित फ़ाइलों को प्राप्त करने से बचता है।

मम्मी वायरस कोड में हस्ताक्षर थे:

[मम्मी Incest] ब्रिसबेन के वीएलएडी द्वारा।
नस्ल के बच्चे नस्ल!

सिस्टर

इस वायरस ने डैडी के रूप में एक ही MCB हेरफेर विधि का उपयोग किया। झंडे निम्नलिखित कार्यों के दौरान संक्रमित हुए थे: खोलना, निष्पादित करना, चामोद, नाम बदलना। MZ प्रारूप में "मैजिक" मान जोड़कर संक्रमित फ़ाइलों को चिह्नित किया गया था।

सिस्टर वायरस कोड में हस्ताक्षर:

वीएलएडी द्वारा [ इंसेस्ट सिस्टर] - ब्रिसबेन, ओज़ेड

भाई

दोहराने के लिए नहीं, बस यह कहें कि इस वायरस ने "परिवार" के अन्य प्रतिनिधियों के समान ही किया: इसने MCB को बदल दिया, INT 21h में शामिल हो गया। सेंट्रल प्वाइंट एंटी-वायरस और माइक्रोसॉफ्ट एंटी-वायरस एंटीवायरस चेकसम बेस को भी डिलीट कर दिया। संक्रमित फ़ाइलों को चिह्नित करने के लिए, समय स्टैम्प में सेकंड का मान 62 पर सेट करें।

टेंटकल (मैं टेंटकल वायरस हूँ!) - १ ९९ ६

वायरस का एक और परिवार, हालांकि इसके प्रतिनिधियों को एक ही समय में नहीं बनाया गया था, लेकिन केवल विभिन्न अद्यतन संस्करणों के रूप में एक दूसरे का पालन किया। इस वायरस की उत्पत्ति के संभावित देशों को ग्रेट ब्रिटेन या फ्रांस माना जा सकता है।

संक्रमित फ़ाइल को सक्रिय करने के बाद, वायरस ने वर्तमान में खुली निर्देशिका के वातावरण में और विंडोज निर्देशिका के वातावरण में खोजना शुरू किया। खोजों का उद्देश्य .exe फ़ाइलें है। खुली निर्देशिका में, 1 फ़ाइल को संक्रमित किया गया था, विंडोज में - 2. वायरस ऑपरेशन ने कुछ फ़ाइलों को क्षतिग्रस्त कर दिया।

टेंटेकल वायरस की एक विशिष्ट विशेषता संक्रमित फ़ाइल आइकन को अपने स्वयं के साथ बदलना था (नीचे दी गई तस्वीर देखें), लेकिन केवल अगर संक्रमण 00:00 से 00:15 तक हुआ।

इसके अलावा वायरस कोड में कोई भी वाक्यांश पा सकता है:

वायरस अलर्ट! यह फ़ाइल Win.Tentacle से संक्रमित है

सीएपी (डायोस वाई फेडेरियन) - 1996

वेनेजुएला के जैकी क्वर्टी द्वारा लिखे गए वर्ड के तहत मैक्रो वायरस। हालांकि, कुछ हफ्तों बाद वह दुनिया भर में फैल गया।

वायरस में 10 से 15 मैक्रो थे, जो वर्ड के भाषा संस्करण पर निर्भर करता है। यदि भाषा अंग्रेजी है, तो मैक्रोज़ निम्नानुसार थे:

• कैप
• AutoExec
• AutoOpen
• FileOpen
• स्वतः
• FileSave
• FileSaveAs
• FileTemplates
• ToolsMacro
• FileClose

अन्य भाषा संस्करणों पर, वायरस ने 5 और अतिरिक्त मैक्रोज़ बनाए, जो उपरोक्त सूची के अंतिम पाँच की प्रतियां थे। जब एक संक्रमित फ़ाइल सक्रिय हो गई, तो CAP वायरस ने NORMAL.DOT से मैक्रोज़ को हटा दिया, उन्हें अपने स्थान पर बदल दिया। लेकिन मैक्रोज़, कस्टमाइज़ और टेम्प्लेट बटन ड्रॉप-डाउन मेनू से गायब हो गए। यदि टूलबार पर एक आइकन था, तो उसने काम करना बंद कर दिया।

मैक्रो को डिक्रिप्ट करते समय, आप निम्न संदेश देख सकते हैं:

'CAP: अन वायरस सोशल ... y ahora digital ...
' 'j4cKy Qw3rTy' (jqw3rty@hotmail.com)।
'वेनेजुएला,
मराकै , डिक 1996. ' पीडी क्वे गोचिटो? ननका सीरस साइमन बोलिवर ... बोलसा!

एस्पेरांतो ("मैंने एक मूवी में किया था एस्पेरांतो") - 1997

दुनिया का पहला मल्टीप्रोसेसर वायरस। उन्होंने माइक्रोसॉफ्ट विंडोज और डॉस पीसी दोनों पर x86 प्रोसेसर के साथ और मैकओएस पर मोटोरोला या पावरपीसी प्रोसेसर के साथ अपंग किया।

विंडोज और डॉस पर काम करें

सबसे पहले, सक्रियण के बाद, वायरस ने मेमोरी में स्वयं की एक कार्य प्रतिलिपि के लिए जाँच की। यदि कोई नहीं था, तो यह स्मृति में निवासी हो गया। उनके उद्घाटन के दौरान संक्रमित .com और .exe फ़ाइलें। यह मुख्य DOS, NewEXE और पोर्टेबल EXE फ़ाइलों को भी संक्रमित कर सकता है।

MacOS पर काम करें

वायरस कोड के अंत में फ़ाइलों के सफल संक्रमण के लिए एक विशेष MDEF संसाधन था। ओएस इंटेल कोड को कबाड़ के रूप में व्याख्या करेगा और तुरंत मोटोरोला कोड प्रसंस्करण के लिए आगे बढ़ेगा। यह इस तथ्य की ओर जाता है कि कोड को बिना अनुकरण के ऑपरेटिंग सिस्टम द्वारा निष्पादित किया जाता है, जिससे वायरस स्मृति में निवासी हो सकता है। PowerOS प्रोसेसर के साथ MacOS पर वायरस को चलाने की क्षमता Macintosh कोर में मोटोरोला एमुलेशन से आती है। सिस्टम फ़ाइलों के संक्रमण को देखते हुए, वायरस सिस्टम स्टार्टअप पर सक्रिय हो गया था। एस्पेरांतो ने फाइंडर को भी संक्रमित किया, जिसके कारण इस कार्यक्रम के माध्यम से किसी भी फाइल को खोला गया। विंडोज और डॉस के साथ के रूप में, वायरस की केवल एक प्रति एक बार में मैकओएस पर चल सकती थी।

स्क्रीनशॉट आसानी से विंडोज से मैकओएस पर जा सकता है और इसके विपरीत। .Com और .exe फ़ाइलों के माध्यम से एक MacOS कंप्यूटर को संक्रमित करने के लिए, वायरस ने MDEF संसाधन युक्त वायरस को डंप किया। और MacOS फ़ाइलों से .com और .exe फ़ाइलों को संक्रमित करने के लिए, वायरस एमुलेटर में चलने वाली विंडोज़ निष्पादन योग्य फ़ाइलों की तलाश करता था।

26 जुलाई को, वायरस ने एक संदेश प्रदर्शित किया (यदि वायरस 32-बिट विंडोज सिस्टम पर था):

कभी भी अपनी संस्कृति / Ne gravas को kulturo के माध्यम से याद न करें,
एस्पेरांतो इससे आगे जाएगी / एस्पेरान्तो preterpasos gxin;
मतभेदों को कभी मत मानिए / ne gravas la diferencoj,
एस्पेरांतो उन्हें दूर कर देगा / एस्पेरान्तो सुपरोस इलिन।

प्रोसोरो के माध्यम से अपने प्रोसेसर / नेव ग्रेव को कभी भी ध्यान में न रखें, इसमें
एस्पेरांतो काम करेगा / एस्पेरांतो फंकसीस उप गक्सी;
प्लेटफ़ॉर्मो के माध्यम से अपने प्लेटफ़ॉर्म / नेव ग्रेव्स का कभी भी ध्यान न रखें,
एस्पेरांतो इसे / एस्पेरांतो इनकैक्टोस जीएक्सएक्स को संक्रमित करेगा।

अब न केवल एक मानव भाषा, बल्कि एक वायरस भी ...
असंभव को संभव बनाना, एस्पेरांतो।

26 जुलाई को संयोग से नहीं चुना गया, क्योंकि यह अवकाश एस्पेरांतो दिवस है। 26 जुलाई, 1887 को लुडविक लाज़र ज़मन्होफ़ ने एक सार्वभौमिक भाषा बनाई, जिसका नाम है एस्पेरांतो।

गोलम ("मेरा अनमोल") - 1997

यह वायरस ग्रिएयो नाम के एक स्पेनिश व्यक्ति द्वारा लिखा गया था, जिसने दावा किया था कि उसकी रचना पहले हाइब्रिड डॉस / विंडोज वायरस थी।

गॉलम ने .exe फ़ाइलों को संक्रमित किया, उन लोगों से बचना, जिनके नाम में "v" था या "टीबी" के साथ शुरू किया गया था, इस प्रकार एंटीवायरस प्रोग्राम के साथ संपर्क से बचें।

पहले सक्रियण में, वायरस ने GOLLUM.386 फ़ाइल को सिस्टम फ़ोल्डर में पेश किया। और लाइन DEVICE = GOLLUM.386 को system.ini फ़ाइल में जोड़ दिया गया। इस ऐड ने वायरस को हर बूट पर चलने दिया।

पहली बार पुनरारंभ करने के बाद, वर्चुअल डिवाइस ड्राइवर की आड़ में स्मृति में गोलम निवासी बन गया। जब .exe फ़ाइल DOS विंडो से सक्रिय होती है, तो वायरस इस फ़ाइल में अपना कोड संलग्न करता है, जिससे यह संक्रमित होता है।

गोलम वायरस का परिणाम कुछ एंटी-वायरस प्रोग्रामों के डेटाबेस को हटाने और सिस्टम में GOLLUM.EXE ट्रोजन की शुरुआत थी।

निम्न पाठ को वायरस कोड में भी खोजा जा सकता है:

GriYo / 29A द्वारा GoLLuM ViRuS
गहरे पानी से यहाँ नीचे गहरी
Gollum, एक छोटा घिनौना प्राणी रहता था। मुझे नहीं पता
कि वह कहां से आया था, न ही वह कौन था या क्या था।
वह एक गुल्लूम था, अंधेरे के रूप
में, उसके पतले चेहरे में दो बड़े गोल पीले आंखों को छोड़कर ।
JRR ToLkieN ... HoBBit

यह जे। आर। आर। टोल्किन की पुस्तक "द हॉबिट" का एक अंश है, जिसमें गॉलम नामक प्राणी का वर्णन किया गया है, जो द लॉर्ड ऑफ द रिंग्स की किताबों के साथ-साथ पीटर जैक्सन के अनुकूलन से भी कई परिचित हैं। यह वह प्राणी था जिसने वायरस को अपना नाम दिया था।

बेबीलोनिया (सीशेल) - 1999

Vecna ​​वायरस लेखक पेन से ब्राजील का वायरस जो संक्रमित है। Windows 9x चलाने वाले कंप्यूटर पर .exe फ़ाइलें।

निष्कर्षण के बाद, वायरस तुरंत सक्रिय नहीं हुआ, शुरुआत के लिए, इसने JMP या CALL को पैच किया और कॉल का इंतजार कर रहा था। वायरस ने ओएस के कर्नेल को स्कैन किया, विंडोज एपीआई फ़ंक्शन के पते प्राप्त किए, और खुद को VxD सिस्टम ड्राइवर की आड़ में स्थापित किया।

वायरस ने एक निश्चित मात्रा में मेमोरी आवंटित की, आईएफएस हैंडलर में एक बंधन की स्थापना की। जिसके बाद मुझे हेल्प, पोर्टेबल एक्सेक्यूटेबल्स और WSOCK32.DL फाइलों के एक्सेस की उम्मीद थी। इसके अलावा, बैबीलोनिया वायरस ने एंटी-वायरस लाइब्रेरीज़ SPIDER.VXD और AVP.VXD को डाउनलोड करने के लिए सिस्टम को स्कैन किया। यदि कोई था, तो वायरस ने उन्हें पैच कर दिया, जिसके परिणामस्वरूप वे अब फाइलें नहीं खोल सकते थे।

जब बेबीलोनिया वायरस एक पोर्टेबल निष्पादन योग्य को संक्रमित करता है, तो यह खुद को अंतिम क्षेत्र में संलग्न करता है या .reloc अनुभाग को अधिलेखित करता है। सीओडीई अनुभाग वायरस को कॉल करने के लिए उपलब्ध स्थान के लिए भी स्कैन किया जाएगा। USER32 EnumWindows API कॉलबैक फ़ंक्शन के माध्यम से वायरस कोड पर नियंत्रण पास करने में मदद फ़ाइलें संक्रमित हैं।

वायरस ई-मेल से फैलता है। सबसे पहले, उसने WSOCK32.DLL में अपने कोड को भेजने () फ़ंक्शन में जोड़ा। यह इस तथ्य के कारण है कि उपयोगकर्ता ने संक्रमित मशीन से भेजे गए सभी पत्रों में, एक क्रिसमस आइकन के साथ एक्स-मैसएक्स नामक वायरस से संक्रमित फाइलें संलग्न की थीं।

विंडोज के बाद के संस्करण संक्रमित नहीं हो सकते, क्योंकि बेबीलोनिया में विशिष्ट VxD कॉल थे जो विशेष रूप से विंडोज 9x के लिए थे।

बेबीलोनिया वायरस को ऑनलाइन अपडेट मॉड्यूल का उपयोग करके अपडेट किया जा सकता है। यह मॉड्यूल KERNEL32.EXE नाम के तहत विंडोज सिस्टम फ़ोल्डर में स्थित था, जिसे सिस्टम के शुरू होने पर लॉन्च किया गया था। साथ ही, इसे CTRL + ALT + DEL के माध्यम से कार्य सूची में नहीं देखा जा सकता है।

हालांकि बेबीलोनिया वायरस व्यापक रूप से नहीं फैला और वैश्विक खतरा नहीं बना, लेकिन इसके प्रसार, संक्रमण और अद्यतन मॉड्यूल के तरीकों ने इस वायरस को लोकप्रियता हासिल करने की अनुमति दी।

मुझे इस वायरस के नाम के संबंध में डेटा नहीं मिला। हालांकि, बेबीलोनिया समुद्री गैस्ट्रोपोड्स के जीनस का नाम है। यह भी माना जा सकता है कि वायरस का नाम "बाबुल" शब्द से आया है (बाबुल प्राचीन मेसोपोटामिया का एक शहर है)।

डेमिट (इसे फिर से, वायरस) - 2000

विंडोज 9x श्रृंखला सिस्टम के लिए एक वायरस जो रूस में उत्पन्न हुआ था।

सक्रिय होने पर, वायरस ने स्वयं को मेमोरी में लोड किया, जिसके बाद उसने सक्रिय .exe फ़ाइलों को संक्रमित कर दिया, अपने स्वयं के कोड को उनके साथ जोड़ दिया।


सभी एक ही उद्देश्य के लिए - खुद को छिपाने के लिए - वायरस ने वीएक्सडी एंटीवायरस ड्राइवरों एवीपी और स्पाइडर को हटा दिया। माइक्रोसॉफ्ट के सॉफ्ट-आइस डिबगर द्वारा पता लगाने से भी परहेज किया।

हर महीने, पहले दिन, वायरस ने डेस्कटॉप से ​​सभी आइकन "HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ नीतियाँ \ Explorer कोई डेस्कटॉप" जोड़कर छिपा दिया।

निम्नलिखित डैमिट वायरस कोड में पाया जा सकता है:

ULTRAS द्वारा DAMMiT [MATRiX]
© 2000

जहां ULTRAS वायरस के लेखक हैं, और MATRiX वायरस लेखकों की पत्रिका है, जहां इस वायरस के लिए कोड प्रकाशित किया गया था।

ब्लेबला ("कभी भी जूलियट और उसके रोमियो की तुलना में अधिक शोक की कहानी नहीं थी") - 2000

डेल्फी में लिखा पोलैंड से पोस्टवॉर्म। वह पहले कीड़े में से एक बन गया, जिसे किसी संक्रमित मशीन के उपयोगकर्ता के हस्तक्षेप के बिना सक्रिय किया जा सकता था। जिसे वेरोना या रोमियो और जूलियट के नाम से भी जाना जाता है।


इस पत्र में 2 संलग्न फाइलें Myjuliet.chm और Myromeo.exe थीं। पत्र के पाठ में स्वयं HTML शामिल था, जिसने विंडोज टेंप फ़ोल्डर में संलग्न फाइलों को सहेजा और Myjuliet.chm को लॉन्च किया। बाद में, फ़ाइल Myromeo.exe से कीड़ा का मुख्य भाग निकाला गया।

Myromeo.exe ने रोमियो और जूलियट कार्य को लॉन्च किया, जिसे कार्य सूची में देखा जा सकता है। वह HH.exe नामक एक प्रक्रिया की खोज करता है जो .chm फ़ाइलों को संसाधित करता है, और उपयोगकर्ता को उसकी उपस्थिति के बारे में चेतावनी देने से बचने के लिए इसे निष्क्रिय करने का प्रयास करता है।

इसके बाद, वर्म पोलैंड में स्थित छह मेल सर्वरों के माध्यम से फैलता है (उनमें से कोई भी पहले से काम नहीं करता है):

• 213.25.111.2 memo.gate.pl
• 194.153.216.60 mail.getin.pl
• 195.117.152.91 dns.inter-grafix.com.pl
• 212.244.199.2 फाटक.पारनॉर्मिक्स.net.pl
• 195.116.62.86 madmax.quadsoft.com
• 195.117.99.98 प्रॉमिल.प्ल

कृमि का अपना एसएमटीपी इंजन भी है, जो संलग्न MIME फ़ाइलों के साथ एक ईमेल भेजने के लिए उपरोक्त सर्वरों में से एक के साथ संबंध स्थापित करने का प्रयास करता है।

इस तथ्य के बावजूद कि कृमि ने बहुत नुकसान नहीं पहुंचाया, इसे मीडिया में काफी प्रचार मिला।

याहक्स / सहाय (मैं आपको पसंद नहीं करता) - 2003

वायरस के लेखकों में भी अपने खुद के मोजार्ट और सालिएरी हैं। वे सिर्फ शानदार हैं, और बस एक-दूसरे को पसंद नहीं करते हैं। याहाक्स कीड़ा गीगाबाइट की रचना है, जिसने जाहिर तौर पर याहा कीड़ा के लेखक को नापसंद किया था।

पीड़ित को निम्नलिखित सामग्री के साथ "Fw: बैठो और आश्चर्यचकित हो ..." विषय पर एक ईमेल मिला:

1 और 52 के बीच एक संख्या के बारे में सोचो।
इसे ज़ोर से कहें, और जब आप पढ़ते हैं तो दोहराते रहें।
किसी ऐसे व्यक्ति के नाम के बारे में सोचें जिसे आप जानते हैं (विपरीत लिंग का)।
अब गिनती करें कि वर्णमाला में कौन सा स्थान है, उस नाम का दूसरा अक्षर है।
आप जिस नंबर के बारे में सोच रहे थे उस नंबर को उसमें जोड़ें।
3 बार ज़ोर से संख्या कहें।
अब गिनती करें कि आपके पहले नाम के पहले अक्षर में कौन सी जगह है, और
आपके पास जो नंबर था, उससे उस नंबर को हटा दें।
इसे 3 बार जोर से कहें।
अब वापस बैठो, संलग्न स्लाइड शो देखो, और आश्चर्यचकित हो ..

पत्र से जुड़ी यह फाइल स्क्रीनसेवर MathMagic.scr थी। कृमि फ़ाइल को सक्रिय करने के बाद, इसकी प्रतिलिपि और Yaha nav32_loader.exe वर्म निष्पादन योग्य फ़ाइलें सिस्टम फ़ोल्डर में हैं। यदि खोज ने कोई परिणाम नहीं दिया, तो YahaSux एक winstart.exe फ़ाइल की आड़ में खुद को एक फ़ोल्डर में कॉपी करता है।

इसके अलावा, नफ़रत करने वाले याहा के खिलाफ लड़ाई और भी मज़ेदार हो गई। YahaSux ने WinServices.exe (या WinSER ~ 1.EXE) नामक एक प्रक्रिया को समाप्त करने की कोशिश की, जो Yaha.K से संबंधित थी। चाबियाँ की रजिस्ट्री से हटाए गए Yaha.K निष्पादन योग्य फ़ाइलों को अपने मूल मूल्य को पुनर्स्थापित करता है। इसके अलावा, WinServices कनेक्शन में परिवर्तन किए गए थे (मान इस तरह सेट किया गया था: डिफ़ॉल्ट = (सिस्टम निर्देशिका) \ winstart.exe), जिसने सिस्टम चालू होने पर कीड़ा स्वचालित रूप से शुरू होने की अनुमति दी थी।

YahaSux ने सिस्टम फ़ोल्डर में और Mirc डाउनलोड फ़ोल्डर में yahasux.exe फ़ाइल भी बनाई। उन्होंने प्रोग्राम फाइलों में mirc \ download फोल्डर में सभी .exe फ़ाइलों के लिए खुद को संलग्न किया, और C: ड्राइव पर रूट में उन्होंने MathMagic.scr फ़ाइल जोड़ी।

आउटलुक एड्रेस बुक सूची में सभी प्राप्तकर्ताओं को भेजने से कीड़ा फैल गया।

40 सेकंड की गतिविधि के बाद, संक्रमित पीसी सिस्टम बंद हो जाता है। Yaha.K - tcpsvs32.exe से संबंधित किसी अन्य फ़ाइल को रिबूट और हटाने के बाद, YahaSux वर्म ने संदेश के साथ निम्न विंडो प्रदर्शित की:



क्यों, YahaSux के लेखक, गीगाबाइट ने कीड़ा Yaha.K और उसके लेखक को नापसंद किया? तथ्य यह है कि Yaha.K ने इंटरनेट एक्सप्लोरर में होम पेज को कोडरज़.नेट में बदल दिया, जिसने खुद गीगाबाइट के वेब पृष्ठों की मेजबानी की। यह सब कोडरज़.नेट सर्वर के पतन का कारण बना।

कोड में, Yaha.Q के अपने नए संस्करण में, लेखक ने अपने प्रतिद्वंद्वी के लिए एक संदेश छोड़ा:

to गीगाबाइट: chEErS pAL, kEEp uP tHe g00d w0rK..buT W32.HLLP.Yahaux है ... lolz;)

बुद्धि का ऐसा संघर्ष।

लवगेट (मुझे खोलें, मैं एक कीड़ा नहीं हूं। # विंक) - 2003

चीन का एक कीड़ा जिसमें ट्रोजन का गुण होता है।


सक्रियण के बाद, कीड़ा खुद को एक फाइल की आड़ में विंडोज सिस्टम फोल्डर में कॉपी करता है:

• WinRpcsrv.exe
• syshelp.exe
• winrpc.exe
• WinGate.exe
• rpcsrv.exe

सिस्टम शुरू होने के समय ही शुरू करने की अनुमति देने के लिए, कृमि ने सिस्टम के संस्करण के आधार पर कार्य किया।

विंडोज 95, 98 या एमई

Win.ini फ़ाइल में लाइन रन = rpcsrv.exe जोड़ा गया था। यदि सिस्टम पर रजिस्ट्रियां थीं, तो मान "syshelp =% सिस्टम% \ syshelp.exe", "WinGate इनिशियलाइज़ =% सिस्टम% \ WinGate.exe -remoteshell" और "मॉड्यूल कॉल इनिशियल = RUNDLL32.EXE स्थानीय मशीन की रजिस्ट्री कुंजी में जोड़े गए" reg.dll ondll_reg "।

मान "winrpc.exe% 1" को कुंजी रजिस्ट्री में भी जोड़ा गया था ताकि उपयोगकर्ता द्वारा पाठ फ़ाइल खोलने पर हर बार कृमि लॉन्च किया जा सके।

विंडोज 2000, NT, या XP

कृमि ने खुद को ssrv.exe फ़ाइल की आड़ में सिस्टम फ़ोल्डर में कॉपी किया और स्थानीय मशीन की कुंजियों की रजिस्ट्री में "रन = rpcsrv.exe" मान जोड़ा।

साथ ही स्थानीय मशीन Software \ KittyXP.sql \ Install की प्रमुख रजिस्ट्री को भी जोड़ा।

इन क्रियाओं के बाद, कृमि को सिस्टम फ़ोल्डर में पेश किया गया, और फिर सक्रिय किया गया, निम्न फाइलें, जो इसके ट्रोजन घटक हैं: ily.dll; task.dll; reg.dll; 1.dll।

इनमें से कुछ फाइलें सूचना को hello_dll@163.com या hacker117@163.com पर भेज सकती हैं। कृमि ने अपने निर्माता से आदेशों की प्रतीक्षा करते हुए, 10168 पोर्ट पर खुद को सुना, जिनके पास पासवर्ड के माध्यम से पहुंच थी। सही पासवर्ड दर्ज करते समय, कीड़ा खुद को इस तरह की फाइलों की आड़ में साझा नेटवर्क एक्सेस के साथ फ़ोल्डर्स में कॉपी करता है:


इसके बाद, वर्म ने LSASS.EXE प्रक्रिया (स्थानीय प्रमाणीकरण प्रणाली प्रमाणीकरण सेवा) की उपस्थिति के लिए सिस्टम को स्कैन किया और इससे जुड़ा। उन्होंने पोर्ट 20168 पर कमांड के वातावरण को खोलने के लिए जिम्मेदार प्रक्रिया के साथ वही किया, जिसे प्रमाणीकरण की आवश्यकता नहीं थी।

लोवेट वर्म ने सभी कंप्यूटरों को स्थानीय नेटवर्क पर स्कैन किया, उन्हें व्यवस्थापक के माध्यम से एक्सेस करने की कोशिश की। सबसे पहले, उसने एक खाली पासवर्ड फ़ील्ड के साथ ऐसा किया, फिर, विफलता के मामले में, निम्नलिखित सादे पासवर्ड लागू किए:


यदि पहुँच का प्रयास सफल रहा, तो Lovgate ने एक stg.exe फ़ाइल की आड़ में खुद को \ admin $ \ system32 \ folder की नकल कर लिया।

आगे वितरण के लिए, कृमि ने "winpath" फ़ोल्डर, उपयोगकर्ता के व्यक्तिगत फ़ोल्डर्स और उस फ़ोल्डर को स्कैन किया, जहां इसे लॉन्च किया गया था, जो .ht (उदाहरण के लिए, .html) के साथ शुरू होने वाले एक्सटेंशन में फ़ाइलों में ईमेल पतों की उपस्थिति के लिए था।

उपसंहार

इसलिए मैलवेयर की दुनिया में हमारी यात्रा समाप्त हो गई है। हालांकि आज के कई प्रदर्शनों के लिए एक अलग प्रदर्शनी की आवश्यकता है। वायरस, कीड़े और ट्रोजन की दुनिया बहुत बड़ी और विविध है। हानिरहित हैं, एक मुस्कुराहट पैदा करते हैं, विनाशकारी होते हैं, वे सब कुछ चोरी करते हैं जो वे भर में आते हैं। लेकिन ये दोनों एक उत्कृष्ट दिमाग के काम का नतीजा है, जो कुछ नया खोजना नहीं चाहता, तलाशना बंद नहीं करता। हालाँकि इन लोगों ने अपने मन को कुलीन पथ पर नहीं भेजा, फिर भी वे हमें सिखाते हैं कि अगर हम इससे परे दिखेंगे तो यह सीमा कभी पूरी नहीं होगी। मैं वायरस लिखने के लिए आंदोलन नहीं करता। बस स्थिर न रहें, विकास करें, अन्वेषण करें और अपने दिमाग को कभी सीमा तक न पहुंचने दें। आपका दिन शुभ हो और आपको जल्द ही देखूँ।

ब्लैक फ्राइडे कॉन्टेक्ट्स: 1-6 महीने के लिए ऑर्डर करते समय BLACK30% प्रोमो कोड पर पहले भुगतान पर 30% की छूट!

ये सिर्फ वर्चुअल सर्वर नहीं हैं! ये समर्पित ड्राइव्स के साथ VPS (KVM) हैं, जो समर्पित सर्वरों से बदतर नहीं हो सकते हैं, और ज्यादातर मामलों में - बेहतर! हमने नीदरलैंड और यूएसए में समर्पित ड्राइव के साथ VPS (KVM) बनाया (VPS (KVM) से कॉन्फ़िगरेशन - E5-2650v4 (6 करोड़) / 10GB DDR4 / 240GB SSD या 4TB HDDD / 1Gbps 10TB $ 29 / महीने से कम कीमत पर उपलब्ध है। , RAID1 और RAID10 के साथ विकल्प उपलब्ध हैं) , एक नए प्रकार के वर्चुअल सर्वर के लिए ऑर्डर देने का मौका न चूकें, जहां सभी संसाधन आपके पास हैं, जैसा कि एक समर्पित एक पर है, और कीमत बहुत कम है, बहुत अधिक उत्पादक हार्डवेयर के साथ!

भवन के बुनियादी ढांचे का निर्माण कैसे करें। एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग? डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है !