Энциклопедия компьютерных вирусов
Win95.Boza
Неопасный вирус. При запуске ищет NewEXE(PE)-файлы, создает в файле дополнительную секцию и записывает в нее свой код. Является первым известным вирусом, заражающим PE-файлы (Win95). При заражении вирус использует вызовы GetDir, SetDir, FindFirst, FindNext, OpenFile, LSeek, Read, Write и CloseFile, причем делает эти вызовы напрямую в KERNEL32 без использования ссылок на KERNEL32.DLL, как это делают обычные Win95-программы. Для того чтобы найти нужный адрес в KERNEL32, вирус проверяет код KERNEL32 по двум адресам. Если по какому-либо из этих адресов находится некоторый код (код обработчика функций?), вирус использует этот адрес для вызова перечисленных выше функций. Если же этот код не обнаружен в KERNEL32, вирус возвращает управление программе-носителю. Алгоритм работы вируса довольно прост: вирус запоминает имя текущего каталога, ищет EXE-файлы, проверяет их на наличие PE-сигнатуры, затем увеличивает на единицу поле NumberOfSections в заголовке PE, добавляет еще однин заголовок секции (с именем ".vlad") и записывает свой код в конец файла. Новый заголовок секции создается таким образом, что код вируса получает управление при запуске зараженного файла. При запуске вирус ищет и заражает не более трех файлов. Если в текущем каталоге нет незараженных EXE-файлов, то он переходит на один каталог выше. Перед возвращением управления программе-носителю вирус переходит в первоначальный каталог, имя которого запоминает перед началом поиска файлов. Вирус проверяет системную дату и по 31-м числам выводит Message Box, в заголовке которого находится строка:
Bizatch by Quantum / VLAD
а в самом окне текст:
The taste of fame just got tastier! VLAD Australia does it again with the world's first Win95 Virus From the old school to the new.. Metabolis Qark Darkman Automag Antigen RhinceWind Quantum Absolute Overlord CoKe
Вирус также содержит строки:
.vlad Please note: the name of this virus is [Bizatch] written by Quantum of VLAD
В вирусе есть ошибки, и иногда зараженные файлы оказываются испорченными. При запуске таких файлов Windows95 выводит сообщение об ошибке.
