recursal/Fanatic-Fandom huggingface dataset:
BackTime

BackTime是在MS-DOS上執行而且有一定危險性的TSR檔案寄生病毒。

有5個已知變種，分4個版本（以下為代表）：

* Virus.DOS.BackTime.496
* Virus.DOS.BackTime.512
* Virus.DOS.BackTime.527
* Virus.DOS.BackTime.1234

## 感染行為

當病毒在記憶體時，會使用INT 8和21h以感染任何執行的DOS應用程式。

BackTime.496在使用INT 8時有時不會回復部分的記憶體登錄資料。

BackTime.527存在編程問題，執行它只會印一個「S」字然後回到DOS，而且不會留在RAM中。而BackTime.528就是其修正版本。

BackTime.1234在執行時還會放置一個啟動磁區病毒Stoned.Michelangelo，此病毒單獨執行時在記憶體佔用2K。

## 進階資料

下表列出所有變種在記憶體時所佔用的空間。

 BackTime.512
 BackTime.527
 BackTime.528
 BackTime.1234

MD5：

### BackTime.527和528

這些變種如其名，使用INT 8將系統時間不斷往後退，這會當掉任何使用到INT 8的TSR程式。但因為它不修改CMOS的時間，在重新啟動後如果病毒沒有自動載入到RAM的話時間將會回復正常。

### BackTime.1234

此變種本身不觸發，但其放置的病毒會，並在3月6日觸發。

變種
--

BackTime總共有5個變種：

* Virus.DOS.BackTime.496
* Virus.DOS.BackTime.512
* Virus.DOS.BackTime.527
* Virus.DOS.BackTime.528
* Virus.DOS.BackTime.1234

## 其他資料

BackTime.496包含以下內部字串：

```
Joker

```

BackTime.512包含以下內部字串：

```
Shaker

```

BackTime.527和528包含以下內部字串：

```
BackTime

```
Leprosy

## Leprosy

### 檔案類型

* MS-DOS應用程式（COM）
* MZ應用程式（EXE）

### 族

Leprosy

Leprosy是一系列的MS-DOS檔案覆寫病毒，在1990年8月1日首次被發現。

整個系列有141個變種，當中感染大小最小的只有81個位元組，而最大的則有47,857個位元組。

## 感染行為

此系列的病毒主要以覆寫檔頭，破壞原本檔案的功能，並賦予傳播該病毒的能力。

因為這些病毒在感染檔案前不會檢查大小，所以如果目標檔案比自己小，感染後的大小就是病毒的大小，也就是將整個原本檔案的內容都被病毒碼取代。

此外，它亦可能會感染COMMAND.COM，一旦被覆寫，下次啟動時將無法被系統辨認到。

## 觸發行為

並非每一個變種都帶有觸發行為的程式碼。然而大多數會觸發的變種，條件都設定在每月的25日而且當天是星期五。

## 變種名單

以下為所有變種的清單：

* Virus.DOS.Leprosy.81
* Virus.DOS.Leprosy.146
* Virus.DOS.Leprosy.321
* Virus.DOS.Leprosy.350
* Virus.DOS.Leprosy.370
* Virus.DOS.Leprosy.377
* Virus.DOS.Leprosy.554
* Virus.DOS.Leprosy.555
* Virus.DOS.Leprosy.562
* Virus.DOS.Leprosy.585
* Virus.DOS.Leprosy.595
* Virus.DOS.Leprosy.600
* Virus.DOS.Leprosy.615
* Virus.DOS.Leprosy.625（連同B變種共2個）
* Virus.DOS.Leprosy.647
* Virus.DOS.Leprosy.666（共26個：A至X、Night和Tapeworm）
* Virus.DOS.Leprosy.736
* Virus.DOS.Leprosy.797
* Virus.DOS.Leprosy.800
* Virus.DOS.Leprosy.808（A、B、M和N）
* Virus.DOS.Leprosy.814
* Virus.DOS.Leprosy.907
* Virus.DOS.Leprosy.946
* Virus.DOS.Leprosy.1207
* Virus.DOS.Leprosy.1580
* Virus.DOS.Leprosy.1818
* Virus.DOS.Leprosy.1992（A和B）
* Virus.DOS.Leprosy.5120
* Virus.DOS.Leprosy.5370（A和B）
* Virus.DOS.Leprosy.5600
* Virus.DOS.Leprosy.47857（A和B）
* Virus.DOS.Leprosy.Acid.792
* Virus.DOS.Leprosy.BadBrains（2個變種）
* Virus.DOS.Leprosy.BadCommand.281
* Virus.DOS.Leprosy.Beavis.201
* Virus.DOS.Leprosy.Busted（3個變種）
* Virus.DOS.Leprosy.Echo.425（連同B變種共2個）
* Virus.DOS.Leprosy.Error.625（連同B變種共2個）
* Virus.DOS.Leprosy.Flood.999
* Virus.DOS.Leprosy.H-Greed.666（A、B、C和J）
* Virus.DOS.Leprosy.HTTM.651
* Virus.DOS.Leprosy.Jas.792
* Virus.DOS.Leprosy.Jobo（2個變種）
* Virus.DOS.Leprosy.Kansas.648
* Virus.DOS.Leprosy.Lubec.731
* Virus.DOS.Leprosy.Merci.308
* Virus.DOS.Leprosy.Misery.664
* Virus.DOS.Leprosy.Morrison.870
* Virus.DOS.Leprosy.Oss.591
* Virus.DOS.Leprosy.Peace.777（連同B和C變種共3個）
* Virus.DOS.Leprosy.Peppy.2209
* Virus.DOS.Leprosy.Popov.777
* Virus.DOS.Leprosy.Riot（7個變種）
* Virus.DOS.Leprosy.Sandra（6個變種）
* Virus.DOS.Leprosy.Sandra\_II（2個變種）
* Virus.DOS.Leprosy.Sector（2個變種）
* Virus.DOS.Leprosy.Seneca（8個變種）
* Virus.DOS.Leprosy.Skism（3個變種）
* Virus.DOS.Leprosy.Spam.1396
* Virus.DOS.Leprosy.Taz（8個變種）
* Virus.DOS.Leprosy.TheThing（2個變種）
* Virus.DOS.Leprosy.Ultra.1306
* Virus.DOS.Leprosy.Vic.1000
* Virus.DOS.Leprosy.Violator（A和B）
* Virus.DOS.Leprosy.YH.880

## 參考來源

1. 在Online VSUM上的描述
2. VX Heaven上的變種清單
Golden Pig

Golden Pig，即金猪报喜病毒，是“熊猫烧香”的变种。图标由熊猫变成金色的小猪图标，并在此基础之上加壳。它也是一个感染型的蠕虫病毒。

## 感染特征

病毒运行后,会把自己拷贝到：C:\WINDOWS\System32\Drivers\spoclsv.exe

它会添加自启动项：HKEY\_CURRENT\_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare ->

C:\WINDOWS\System32\Drivers\spoclsv.exe

它能感染系统中扩展名为exe，com，pif，src，html及asp等文件，还能感染RAR、ZIP压缩包。感染的exe文件全部替换为金色小猪图标，无法正常执行。

每隔1秒寻找桌面窗口,并关闭窗口标题中含有以下字符的程序：QQKav、QQAV、防火墙、进程、VirusScan、网镖、杀毒、毒霸、瑞星、江民、黄山IE、超级兔子、优化大师、木马克星、木马清道夫、QQ病毒、注册表编辑器、系统配置实用程序、卡巴斯基反病毒、Symantec AntiVirus、Duba、esteem proces、绿鹰PC、密码防盗、噬菌体、木马辅助查找器、System Safety Monitor、Wrapped gift Killer、Winsock Expert、游戏木马检测大师、msctls\_statusbar32、pjf(ustc)、IceSword，并会使用的键盘映射的方法关闭安全软件IceSword

中止任务管理器以下进程：Mcshield.exe、VsTskMgr.exe、naPrdMgr.exe、UpdaterUI.exe、TBMon.exe、scan32.exe、Ravmond.exe、CCenter.exe、RavTask.exe、Rav.exe、Ravmon.exe、RavmonD.exe、RavStub.exe、KVXP.kxp、kvMonXP.kxp、KVCenter.kxp、KVSrvXP.exe、KRegEx.exe、UIHost.exe、TrojDie.kxp、FrogAgent.exe、Logo1\_.exe、Logo\_1.exe、Rundl132.exe

每隔18秒点击病毒作者指定的网页,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享

每隔10秒下载病毒作者指定的文件,并用命令行检查系统中是否存在共享，共存在的话就运行net share命令关闭admin$共享

每隔6秒删除安全软件在注册表中的键值，并修改以下值不显示隐藏文件：HKEY\_LOCAL\_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL CheckedValue -> 0x00

删除以下服务：navapsvc、wscsvc、KPfwSvc、SNDSrvc、ccProxy、ccEvtMgr、ccSetMgr、SPBBCSvc、Symantec Core LC、NPFMntor MskService、FireSvc

病毒会感染扩展名为exe，pif，com，src的文件，把自己附加到文件的头部，并在扩展名为htm，html，asp，php，jsp，aspx的文件中添加一网址。用户一但打开了该文件，IE就会不断的在后台点击写入的网址，达到增加点击量的目的，但病毒不会感染以下文件夹名中的文件：

Windows、Winnt、System Volume Information、Recycled、Windows NT、WindowsUpdate、Windows Media Player、Outlook Express、Internet Explorer、NetMeeting、Common Files、ComPlus Applications、Messenger、InstallShield Installation Information、MSN、Microsoft Frontpage、Movie Maker、MSN Gamin Zone

该病毒还会删除扩展名为gho的文件（该文件是系统备份工具Symantec Ghost的备份文件），使用户的系统备份文件丢失。
Ambulance

Ambulance是在MS-DOS上運作的檔案寄生病毒，源自德國，以觸發時出現的ASCII救護車來命名。

已知的變種有7個：

* Virus.DOS.Ambulance.793（B、C和D）
* Virus.DOS.Ambulance.795
* Virus.DOS.Ambulance.796（A、B和C）

## 感染行為

這個病毒在每次執行時感染一個DOS應用程式。然而如果在資料夾內只有1個這類型的程式時，它不會進行任何感染行為。換言之，Ambulance只在有至少2個DOS應用程式在同一資料夾時才會散播出去。

## 進階資料

此病毒執行過後不會留在記憶體中。

MD5：

## 其他資料

Ambualnce.793的實際感染大小為796個位元組，因此有部分防毒軟體辨識它們為Ambulance.796。

Ambualnce\_II.2124為這病毒的繼承者，除了含有上述觸發行為，亦有另一觸發行為：將檔案刪除。

Hafenstrass，另一同樣源自德國的DOS病毒，但比較危險。

## 參考來源

1. Ambulance在Online VSUM上的描述
2. Ambulance在VX Heaven上的變種清單
Skism

Leprosy.Skism是在MS-DOS上運作的檔案覆寫加密病毒。

已知的變種有3個：

* Virus.DOS.Leprosy.Skism.554
* Virus.DOS.Leprosy.Skism.1992
* Virus.DOS.Leprosy.Skism.x

## 感染行為

每次執行受感染的檔案後，此病毒會隨機覆寫一個DOS應用程式檔案，但不是每次都進行，可能要持續執行數次甚至數十次才會出現一個被覆寫的檔案。

這是取代式覆寫，被覆寫的檔案將無法復原。

## 進階資料

此系列的病毒不會常駐在記憶體中。

MD5：

```
The man who brought you 622, Skism One, Caption Trips, and Sub-Zero now shanks you again,  with his latest...

Skism 1992 - Virus!!!!
Get a late pass!

```

如果COMMAND.COM受到感染，那麼在這天啟動電腦必定會觸發，而在其他日子則可能只會當掉系統又或者無法被系統辨認。
Alert

## Alert

### 別名

* Alert

Alert是在MS-DOS上運作的病毒。此條目介紹2個不同的版本，而兩者並沒有直接的關係。

以下為它們的全名：

* Virus.DOS.Alert
* Virus.DOS.VCC.Alert.736

## 感染行為

### VCC.Alert.736

這是檔案寄生病毒，一旦執行就立即觸發，然後感染所有在目前資料夾內的DOS應用程式。

## 觸發行為

### Alert

此病毒以紫色ASCII符號拼砌以下文字：

```
VIRUS
ALERT

```

### VCC.Alert.736

執行受感染的程式會先顯示以下文字，並播放不同長短和音頻的嗶嗶聲：

```
ALERT! ALERT!
 CALL YOUR SYSTEM ADMINISTRATOR!
 YOU HAVE A MAJOR SYSTEM PROBLEM
 BACKGROUND DIAGNOSTICS INDICATE
 YOUR HARDDRIVE IS LOSING TRACK 0
 This could make your data NOT RECOVERABLE!
 Please turn off your PC now and wait for
 further instructions.

```

之後才會執行原本的程式。

## 其他資料

Alert包含以下內部字串：

```
Please wait for the program to load..

```

VCC.Alert.736包含以下內部字串：

```
Alert E Virus
Thespian
I-EAS Virus Creation Centre v0.19
[AE]
[TP]
[IE-VCC v0.19 ]
.COM

```
The Committee for the Dissemination and Propagation of Artistic Endeavors

One of the Guilds of Reynir. Also known as **The Committee** or **The Patrons**.

## Membership

A guild made up of some of the wealthiest members of society, rigorously tests the artistic knowledge, and has a large membership fee.

## Activities

The Committee works in two ways, arranging galleries for showings/performances and patroning the creation of arts. The members are mostly connoisseurs rather than artists, and spend time founding schools and finding young persons of great skill to promote.

## Politics

Despite being only a semi-popular guild, the wealthy members often make up a disproportionate percentage of the council. They use their power to sway important votes, often allying with the Merchants in exchange for large amounts of money.
WannaCry

wannacry

WannaCry，本名WanaCrypt，又名Wana Crypt0r或Wana Decrypt0r，是在Windows執行的勒索軟體。它利用NSA所泄漏出的安全漏洞，攻擊世界各地任何存在有關保安漏洞的電腦系統，在機場，銀行，大學，醫院及其他機構電腦系統造成嚴重破壞。

目前它傳播到150個國家和地區，中國大陸、台灣和俄羅斯的受災情況最為嚴重。它使用AES-128配合RSA-2048的加密演算法，所以極難破解。

## 感染行為

這個勒索軟體先後發佈了若干變種，最初的版本為非主動攻擊性，只要用戶安全意識高，就不會受到感染。

### 第1版

這是最初版本，在4月後期出現。這個版本並沒有針對特定的漏洞作出攻擊，而是經電郵可疑附件、有毒的Dropbox連結和一些廣告連結下載到受害者的電腦。

### 第2版

這個有高度攻擊性和危險性的變種目前正肆虐世界各地，最初的版本以木馬程式存在，而此版本則以蠕蟲的形式高速散播。它利用Windows的SMB漏洞，經正在聆聽的TCP和UPD連接埠139和445來進入目標電腦系統，這個過程完全不需要任特別的使用者網絡活動（例如瀏覽網頁），只要連上網絡，它就會不請自來。

### 漏洞來源

此勒索軟體係利用一個由駭客組織「影子經理人」所發佈的可以針對SMB漏洞的工具「永恆之藍」（EtheralBlue）進行攻擊。雖然有關漏洞早在3月14日時，微軟推出一個重要更新MS17-010後所修補，但仍有很多公司、組織和個人用戶因不同的理由，並沒有安裝有關更新。在第2版的主動攻擊來臨時，這些用戶迅速成為第一波的受害者。

### 傳播方式

進入到受害者的電腦系統後，它會經TCP和UDP連接埠139和445查看同一內部網絡以內還有沒有其他可被攻擊的電腦，如有就會將自己複製過去。

在開始前它會先以一個隨機HEX值產生的檔名以偽裝成一般程式，並開始將電腦內所有硬碟、插入的卸除式磁碟、同步的雲端資料夾內的所有檔案通通加密，只有牽涉到系統使用的重要檔案才會例外。它先產生了一個加密的檔案，然後將原本的檔案刪除。在這個過程中，會一直佔用一定量的CPU資源，而且Windows PowerShell會保持在背景作業。

## 觸發行為

在完成加密後，它會顯示一個視窗，表示受害者的所有檔案都已被加密。如果要解密，就得付相當於300比特幣作為代價，3天後勒索價格就會升至600比特幣；一星期後都沒提交贖金的話就會「撕票」，將私有密鑰從駭客的秘密伺服器中刪除，使用者將永遠無法復原檔案。

視窗當中的訊息還分成多國語言，然而除了英文，其他語言相信只是使用了機器翻譯而成。

### 受影響的系統

幾乎所有現今仍可以使用網絡服務的系統都可以成為攻擊目標。

* Windows XP
* Windows Vista
* Windows 7
* Windows 8
* Windows 8.1
* Windows 10（針對3月起沒有再自動更新的系統）

對於預設開啟自動更新的Windows 10用戶，因為系統會盡量令自己更新到最新的狀態，故是次攻擊幾乎對他們沒有影響。然而對於因為各種原因而沒有升級為Windows 10的Windows 7、8和8.1則成為重災區，受災的主要因為沒有開啟自動更新，又或者沒安裝必要的更新。

### 重災區

多國的大型機構率先受到攻擊。

在英國，部分醫院的系統因為這個勒索軟體，大部分病人檔案被加密，系統癱瘓，常規手術被迫延遲，甚至有病人需要緊急移送到其他醫院。

台灣有為數非常多的用戶亦受到攻擊，部分媒體亦有多篇有關報導。

在中國大陸，亦有極大量的用戶受到此勒索軟體的攻擊，為數不少的公安機關以及政府的伺服器都受重創而要暫停服務。對於個人用戶，雖然他們的網絡提供者都封鎖了連接埠445，但受災情況仍然嚴重，這主要是因為他們主要使用的國產防毒軟體自行阻擋系統應該接收的重要更新，令漏洞不能及時修補。

### 緊急修補

針對是次攻擊，微軟特別為已停止支援的Windows XP、Vista和8推出可以堵截有關漏洞的緊急安全性更新，供這些用戶下載使用。

此外，微軟亦多次呼籲仍受支援的系統用戶盡快啟用和下載必要的更新，任何包括MS17-010的更新即可有效防止受到攻擊。

可以通过Windows防火墙的高级设置，来封堵455端口和139端口，而Windows XP则需要使用命令行的特殊命令来封堵455端口和139端口

### 停止散播

在首天爆發後的大約12小時，一名英國網絡工程師達里恩．霍斯（Darien Huss）透過反向編譯發現這個勒索軟體會檢查一個未被登記的網址。只要這個網址一直不存在，又或者沒有任何回應，它就會繼續攻擊。於是達里恩將有關發現通報Malware Tech的成員，其將有關網址買下並讓它上線，這個勒索軟體就立即停止散播了。這個亦稱為「自爆按鈕」（Kill switch）。

可是，在停止散播後的約3個半小時，就出現第二變種，它沒有自爆機制，換言之它可以無止境的傳播。到5月15日，第三變種亦相繼出現，不過自爆機制再度出現在其病毒碼當中，Malware Tech成員針對第三變種再買下一個網址和上線，它的傳播行為很快被制止了。

### 解密工具發佈

法國的一名資安專家阿德里安．圭奈（Adrien Guinet），發現此勒索軟體在完成檔案加密程序後只將私鑰刪除，但沒有將用來產生這將加密鑰的質數從記憶體中刪除，換言之可以透過取得這對質數來產生這私鑰。

RSA在產生加密鑰前，要先選擇一對質數，而這對質數必須要在產生加密鑰後保密，以免被其他使用者或駭客找到而重製有關加密鑰。而WanaCrypt就做漏了這一步。

WanaKiwi係針對這項發現而製的解密工具程式，透過搜尋這對質數產生私鑰，從而協助將被加密的檔案解密。然而不是在任何情況下都一定成功，因為受到以下的限制：

1. 中毒的電腦必須從未重啟過，否則這對質數就會完全從記憶體中移除。
2. 雖然這對質數未有被從記憶體中移除，但因為已經不屬任何程序，如果有新的程序使用儲存這對質數的位址，它們就可能會被消除。故這是一場時間競賽，解密工具最好在最短的時間內取得並尋找這對質數。

## 其他資料

「永恆之藍」和其餘一批SMB漏洞泄漏工具係由「方程式組織」（Equation Group）釋出，有人相信這個方程式組織正是美國國家安全局。

## 參考來源

1. （Ars Technica）意外中止Wana Decryptor在全球擴散
2. （The Independent）NHS攻擊：感染英國多個醫院系統的極度可怕的軟體
3. （駭客新聞）以為WannaCry自爆了？還沒結束的！2.0版出現了
4. （T客邦）中國為什麼勒索病毒災情慘重？這些中國國產防毒軟體「貼心」關閉系統更新助攻成幫兇
5. （駭客新聞）Wannacry的解密工具程式
Rensenware

Rensenware是在Windows系統上執行的勒索軟體，係由一個韓國大學生（網名0x00000FF）以玩笑形式發佈。

## 觸發行為

一旦執行，此軟體即把所有硬碟的檔案都加密，但不包括系統檔案，然後顯示一個視窗訊息，告知使用者的檔案已被封鎖。

不過這個軟體存在編程問題，如果目標地點的檔案不能被存取或修改的話（例如CD-ROM），在嘗試更改檔案時會把自己當掉。

但不像一般的勒索軟體要求使用者在指定時限內遞交贖金，而是要求使用者玩一個《東方Project》的遊戲「東方星蓮船」，並在最困難的模式中得分最少2億方可解鎖檔案，這個軟體會自動偵測分數變動。而使用者有無限次機會嘗試，直到檔案可以解鎖為止。

## 其他資料

開發者透露，他純粹以玩笑性質開發此勒索軟體，但沒想到在檔案和源始碼上載到Github後不久就出現不少關於這個軟體的影片。開發者亦表示他自己的電腦也在開發期間受到感染，而且也沒能在最困難模式中得分過2億，之後他上載了直接解密檔案的程式作為更新這個軟體的程式碼，移除了加密檔案的部分並保留遊戲部分。

## 參考來源

1. ACGdoge的報導：就是要你成為東方廚，韓國開發者勒索軟體要求《東方星蓮船》L難度得分超過2億
Virdem

Virdem是在MS-DOS上運作而且相當危險的檔案寄生病毒。這是DOS病毒史上的第一款檔案感染病毒，距離第一個可在PC上運作的病毒Brain出現的時間僅一年左右。

有16個已知的變種並分5個版本（以下為代表）：

* Virus.DOS.Virdem.463
* Virus.DOS.Virdem.601
* Virus.DOS.Virdem.792
* Virus.DOS.Virdem.1336
* Virus.DOS.Virdem.1542

## 感染行為

執行受感染的檔案後，此病毒會感染第一個未被感染的DOS應用程式，它先將檔案原本的程式碼放置到檔末，然而將自己放置到檔頭。

部分的變種會搜尋其他資料夾以感染更多檔案，但不會搜尋其子資料夾內的檔案。

### Virdem.463、792、824、1336.c和1542

這些變種在當前資料夾的所有檔案都被感染過後，它們會搜尋其他資料夾以感染更多檔案。

Virdem.792不感染C:\COMMAND.COM，但會嘗試存取軟碟機A:和B:。

### Virdem.601和1336.f

這些變種會嘗試存取D:並感染當中的檔案，如果D:未被指派到任何裝置，又或者指派到唯讀的裝置的話，它將無法感染任何檔案。

Virdem.601亦會感染C:\COMMAND.COM。

### Virdem.833

這個變種先感染C:\COMMAND.COM，然後感染目前資料夾內的第一個未被感染的檔案，再設定一個計數器，開始為0。如果感染到達到9（但不包括COMMAND.COM），它就停止感染。

## 進階資料

此系列的病毒在執行過後並不留在記憶體中。

MD5：

## 觸發行為

### Virdem.792

這個變種在每次執行受感染的檔案時會損毀任何插入到A:和B:的軟碟的檔案配置表（FAT）。

### Virdem.1336.a、b、e、f、g和h

在感染一個檔案後，它顯示一個估數字遊戲：

```
VirDem Ver.: 1.06 (Generation #) aktive.
Copyright by R.Burger 1986,1987
Phone.: D - 05932/5451

This is a demoprogram for
computerviruses. Please put in a
number now.
If you're right, you'll be
able to continue.
The number is between
0 and x

```

當中*x*為一個數字，如果使用者猜錯，它不會讓寄主的程式執行，並顯示以下訊息：

```
Sorry, you're wrong
More luck at next try

```

反之，猜對的話，它顯示：

```
Famous. You're right.
You'll be able to continue.

```

如果所有的檔案都已被感染，它顯示：

```
All your programs are
struck by VIRDEM.COM now.

```

B、E、G和H變種的文字都是以德文顯示。

F變種在使用者猜中後當掉系統。

### Virdem.1542

除了COMMAND.COM，如果整個硬碟的所有DOS程式都已被感染，執行它會將畫面切換成CGA模式並顯示一個ASCII彩色菱形動畫。

變種
--

Virdem總共有16個變種：

* Virus.DOS.Virdem.463
* Virus.DOS.Virdem.601
* Virus.DOS.Virdem.792
* Virus.DOS.Virdem.824
* Virus.DOS.Virdem.833
* Virus.DOS.Virdem.836
* Virus.DOS.Virdem.1336（A至I）
* Virus.DOS.Virdem.1542

## 其他資料

Virdem的作者Raff Burger亦為「Computer Viruses: A High-Tech Disease」一書的作者。他在混沌電腦學會（Chaos Computer Club，一個德國的地下駭客討論區）中演示這個病毒的運作方式。此討論區大多數的會員都對VAX／VMS平台產生興趣，不過也對這個病毒的概念有點好奇。他還指出電腦病毒「在正當使用下可以帶出自我修改的電腦系統」。

Virdem.1136.c亦名Virdem.Killer。

很多變種在原本的變種發佈後約6至7年才流出。

Virdem.463包含以下內部字串：

```
*.com
IRUS

```

Virdem.601包含以下內部字串：

```
*.com

```

Virdem.792、824、1336和1542都包含以下內部字串：

```
*.com
????????exe
????????com

```

Virdem.1336的所有變種還包含受感染檔案的檔名在內。

Virdem.1542還包含以下內部字串：

```
a:\lo*.*

```

## 參考來源

1. F-Secure對Virdem的簡要描述
2. Virdem在Online VSUM上的描述
3. Virdem在VX Heaven上的變種清單
Goat程式

Goat是一種用以自我「犧牲」的程式，一般用作測試各種電腦病毒的檔案。Goat執行的內容通常都是一些對系統沒有實際作用的程式碼，例如以NULL（ASCII 0）、NOP指令（ASCII 90h），又或者一些可執行的亂碼來填充。它最大的作用是可以代替一般的程式來測試病毒，研究完畢後可以隨意刪除，幾乎不會造成任何損失。

Goat檔案可以說是一個電腦病毒的最佳載體（除非該病毒會自我加密），它一般都能載著完整的病毒碼，而且因為寄主的內容跟病毒碼內容構成極大對比，在研究的時候可以省掉很多找尋病毒程式碼的時間。

現在仍流傳不少可以產生Goat檔案的Goat產生器，例如RoseGoat，使用者亦可自定要產生的檔案大小以符合需求。

為了更容易觀察大小改變，部分Goat內有指令顯示原本的大小，在測試時只要比較目前的檔案大小，就知道這個檔案是否受到感染。然而有些技巧還是一定要知道，因為不是所有病毒都可以透過大小改變得知。

### 修改時間變更

有些病毒在感染檔案後會將修改時間（Timestamp）改變，而一般情況下執行程式是不會變更這個時間的。所以如果留意到它不同了，但最近系統以及使用者都沒有對該檔案進行任何實際的修改的話，那麼就可以說這檔案已被感染。

### 自我隱藏

部分病毒在RAM時，會將自己的感染大小從受感染的檔案中減去，使之在檔案清單中看不到大小改變。然而如果該病毒會變更修改時間，又或是可變的感染大小，那麼還是能觀察到。

令病毒無所遁形的最簡單的方法就是重新開機，如此做法會將病毒的TSR碼從RAM中移除。但如果開機執行的檔案受感染（例如DOS中的COMMAND.COM），你亦可以利用開機磁片，病毒就會因為這些受感染的檔案沒有執行而無法載入RAM。

但如果MBR受感染，就可能需要進階技巧。

### 檔案覆寫

有些病毒會直接將檔案覆寫，而且分成兩類：

* 檔頭覆寫
* 取代覆寫

檔案覆寫在一定的大小以下時才會看到大小改變，而被取代覆寫的檔案的大小會變成病毒的大小。

如果原本的Goat會顯示文字，而之後沒有顯示又或者顯示別的文字的話，就可以判斷這個檔案的檔頭已被覆寫。

### 執行問題

如果受感染的Goat沒有執行又或是一執行就當掉系統，那麼也可能是這個檔案已經受到感染。

### 感染大小限制

有些病毒自定了感染對象的大小限制，例如不感染小於1,000位元組的檔案。如果這個Goat檔案不符合條件，那麼它就不會受到感染，所以要準備一系列不同大小的Goat。

### Goat偵測

有些病毒會偵測哪些是Goat，如是，它就不感染。在這種情況下可以利用帶有可執行的亂碼的Goat來測試來擾亂該病毒的判斷，但如果還是不感染的話就可能需要有實際作用的程式來測試，建議先將該程式複製一份副本然後測試。
Tumen

## Tumen

### 作者

* MMA公司
* Max Soft

### 別名

* Tumen

Tumen（圖們）是在MS-DOS上運作的TSR檔案寄生病毒，它透過追蹤鍵盤輸入來觸發。

這病毒有4個已知的變種：

* Virus.DOS.Tumen.1092
* Virus.DOS.Tumen.1242
* Virus.DOS.Tumen.1255
* Virus.DOS.Tumen.1663

## 感染行為

病毒進入記憶體後會使用INT 9和21h，感染任何執行的DOS應用程式，受感染的程式的修改日期會變更至感染的時間。INT 9用來偵測特定的鍵入以觸發。

受感染的檔案可能會無法正常工作，執行它們有機會當掉系統。

## 進階資料

下表列出這些變種在記憶體所佔用的空間。

 Tumen.1242
 Tumen.1255
 Tumen.1663

MD5：

## 觸發行為

### Tumen.1092

如果使用者開啟ASCII視訊形式的程式時，例如QBASIC，在一個鍵入後當掉系統。

### Tumen.1663

當使用者輸入CTRL-ALT和一任意鍵（部分控制鍵除外），此變種會從主機蜂鳴器播放音樂，同時逐漸將畫面變黑。這時候系統不會回應大部分的鍵盤輸入。

## 其他資料

如果偵測到以下的鍵入組合，觸發所播放的音樂速度會變的非常快：

* CTRL-ALT和Insert、Delete、Home、End、PageUp或PageDown，這6個鍵剛巧都在同一組按鍵群
* 觸發期間再次鍵入CTRL-ALT和任意鍵
* 長按CTRL-ALT

觸發所播放的音樂為尼可羅．帕格尼尼的《第24號小提琴隨想曲》其中一部分（不包括Tumen.1092）。

SSR會偵測受此病毒感染的檔案。

Tumen.1092包含以下內部字串：

```
Be careful... Hacker time tonight...
This present was created in Tumen at 1990.
v 2.0.(c) Max Soft corporation

```

Tumen.1242包含以下內部字串：

```
Tumen.,v1.3;

```

Tumen.1255包含以下內部字串：

```
Tumen.,v1.2;

```

Tumen.1663包含以下內部字串：

```
Full moon tonight...
The time of Wolfbacks...
U...U...U...
This is only demonstration version, but you hear some howl.

(C) Copyright MMA Company
All rights reserved. USSR Tumen 1990-v0.5
This program was created in Tumen by group of three Wolfbacks at April,1990
General System_&_Files affecting effects by Max
Main consultant -- Tall Lazy Micle
General Music_&_Video harmless effects by Alex
BACKWOLFS OF THE WORLD, UNITE ! ! !

```

## 參考來源

1. Tumen在VX Heaven上的變種清單
2. Tumen在Online VSUM上的描述
MeltingScreen

MeltingScreen，本名Melting，是在Windows 9x系列系統執行的電郵蠕蟲，以Visual Basic編寫，其名稱來自附帶的畫面效果。這個蠕蟲分為病毒和木馬的部分，木馬程式部分為一個螢幕保護裝置，而病毒部分為TSR同儕檔案偽裝。

這個蠕蟲經電子郵件傳播，本身大小約為18KB，在可疑的電郵樣本中是一個附件，名稱為「MeltingScreen.exe」。

## 感染行為

如果使用者在開啟這個可疑的電郵而又開啟過這個程式檔，它就會進入RAM而且取得部分系統控制權，並開始傳播。

### 自動轉發

它會到Outlook中的連絡人清單，取得他們的電郵地址，然後發放以下電郵訊息到這個地址，並附帶自己到附件：

```
Hello my friend !

Attached is my newest and funniest Screensaver, I named it MeltingScreen.
Test it and tell me what you think.
Have a nice day my friend.

p.s.: Please install the Runtime Library for VB 5.0, before you run the ScreenSaver.

```

如果對方的電腦沒有安裝Visual Basic Runtime Library，螢幕保護裝置部分將不能執行，但當中的病毒部分還是會載入到RAM然後傳播。

### 取代檔案

在受感染的系統中，每執行一次這個程式，它就從C:\WINDOWS隨機選擇一個EXE檔，改其副檔名為BIN，然後放置自己到原本的檔名。

感染前：

```
PROGRAM.EXE

```

感染後：

```
PROGRAM.BIN（原本的檔案）
PROGRAM.EXE（蠕蟲）

```

使用者還是能執行受感染的程式，但一定會經過蠕蟲的執行緒後才開啟。

## 觸發行為

如果系統中沒有Visual Basic Runtime Library，就無法觸發。

一旦觸發，它會將畫面逐漸「溶解」，正如這個蠕蟲的名稱一樣，而且往後每次開機都必定觸發。
HLLO.187Killa

## HLLO.187Killa

### 別名

* HLLO.187Killa
* HLLO.41714

### 族

HLLO

HLLO.187Killa是在MS-DOS運作且非常危險的檔案覆寫病毒，覆寫大小為48,117個位元組。以C++語言編寫。

## 感染行為

一旦執行受感染的檔案，此病毒覆寫目前資料夾內的第一個未感染的EXE應用程式，然後將C:\CONFIG.SYS的內容以這個字串覆寫：

```
187Killa

```

被修改的CONFIG將會只有8位元組的大小，下次開機時這些依賴這個系統檔案的程式將無法正常載入和工作（見畫面截圖）。

感染檔案後再輸出字句：

```
Out of memory error

```

不論原本的檔案是比病毒的大或小，被覆寫的檔案的大小必定是48,117個位元組。

但如果目前的位置沒有EXE檔案，執行它就會因為嘗試存取無效的硬碟磁區位置而當掉甚至癱瘓系統。

## 進階資料

此病毒執行過後不會留在記憶體中。

MD5：

```
1dc8282204375cd87d6bb5d8b0737694

```
NightKing

## NightKing

### 檔案類型

* MS-DOS應用程式（COM）
* MZ應用程式（EXE）

### 別名

* NightKing

NightKing是在MS-DOS上運作且非常危險的TSR檔案寄生病毒，感染大小為1,568個位元組。

## 感染行為

在病毒載入記憶體後會使用INT 21h以感染任何執行的應用程式，但不包括AVG.EXE。

在第一次感染時，此病毒會先將這一刻時間記錄到MBR中，以用作往後的觸發行為。

## 進階資料

此病毒在記憶體佔用2,416位元組的空間。

MD5：

```
ad2f6eb2977f47e47303104d066ee941

```

## 觸發行為

在距離第一次感染的時間隔了至少完整的一個月後，執行任何已受感染的程式即會觸發。

此病毒先將硬碟中的檔案配置表（FAT）儲存至記憶體，然後將原本的FAT損毀，再顯示以下信息：

```
Hello dear friend, your computer is attacking
by NIGHT KING I. virus. If do you like your
data very much, don't reset your computer
before midnight !

```

*翻譯（英文）：*

```
好吗朋友，你的电脑正被NIGHT KING I病毒攻击中。如果你非常疼爱你的资料，那么在午夜前千万不要重启你的电脑！

```

如果使用者在午夜12時之前沒有將電腦重啟，病毒會將已經損毀的FAT還原，然後當掉系統，事後使用者可以如常重新開機。否則就會因為沒有還原FAT而無法啟動系統。

## 其他資料

此病毒並非以比較天數和當前日子來判斷是否觸發，而且比較月份和年份。假如第一次感染是在1月9日，那麼它在整個2月都不會觸發，而是在3月1日或往後才觸發。

如果可用記憶體不足以讓病毒載入整個FAT，那麼只會當掉系統而且不會損毀原本的FAT。
SSR

SSR，又稱Stainless Steel Rat，是在MS-DOS上運作，結構非常複雜且有一定危險性的TSR檔案寄生加密病毒。

這個病毒的感染大小有18,273個位元組，在DOS系統而言，這個感染大小可以說是非常大，因為當時很多的應用程式的功能還沒令其可以發展到這個大小。

此病毒帶有4個解密程式，為巢狀層次。本體的大小有18,273個位元組，而其餘的約7,000位元組則是這個解密程式和多餘迴圈的程式碼。這18,273位元組的內容包含病毒本身以及3個驅動引擎，Random Encryption Syntezator（隨機加密合成器，RES）、Stainless Steel Rat Mutation Engine（SSRME）以及Metamorphic Mutation Engine（MME）。

## 感染行為

執行後將自己解密，然後使用INT 21h感染任何執行的應用程式，此病毒將加密的病毒碼放置到檔案後尾，再將一個Jump指令放置到檔案的開頭，用以呼叫其多形解密器。在執行時會耗用一段相當長的時間，因為要經過解密程式、病毒TSR安裝過程和一些多餘的迴圈。然而不是每一個執行過的程式都會受感染。

為防止被追蹤到，病毒在記憶體會直接修改自己所在的記憶體區塊同時準備另一塊放置自己的TSR碼。在自己移到新的記憶體區塊後，就將原本的設為Null，如此一來在MEM檢視下就看不到病毒的蹤影。然後在新的記憶體區塊中，將INT ABh的處理程序加密，再將其擁有者設成Null，最後將之前設成Null的區塊以「#」號覆寫。

在執行程式時，病毒修改INT 21h使DOS核心呼叫INT ACh來取得權限。

此病毒還帶有大量INT 1和3的指令，用以停用除錯器的功能，其中INT 3的一個指令，`CD 03`，會將指令指標指向一個未指定的地方。

此病毒在INT 6放置一個處理程序，開始位址0EC5h，令受感染的程式跑進無效的指令，可能會導致系統癱瘓。

此病毒會偵測以下副檔名，並以INT 21h/AH=41h指令刪除這些檔案：

```
BAS
ICO
PAS

```

完成後用以下字串回值：

```
Ш И Т !

```

*翻譯（保加利亞文）：*

```
媽的！

```

## 進階資料

此病毒在記憶體佔用51,296位元組的空間。

MD5：

```
78c7b906dd940694a4f7f2755582af11

```

### 反追蹤INT ABh

如果病毒偵測到INT ABh被追蹤，它就損毀CMOS儲存的校對碼，並顯示以下訊息和當掉系統：

```
И долго он INT`ы трассировал...
Теперь я грустный терминал!

```

*翻譯（俄文）：*

```
他追蹤了這麼久INT
現在我是一個低落的終端！

```

### 檔名偵測

如果執行的檔案檔名的第2和第3個字元為以下：

```
ID

```

例如「AIDSTEST」，病毒就顯示以下訊息並當掉系統：

```
А не поpa ли г-нy Лoзинcкoмy нa пeнcию!

```

*翻譯（俄文）：*

```
還沒到Lozinsky先生退休的時候！

```

### 偵測病毒和防毒軟體

SSR不只是反病毒，也是反防毒。

它會偵測部分TSR防毒軟體以及部分的病毒，例如Fingers、Jerusalem、OneHalf、Sunday、Tumen等，FLUSHOT也是會受到偵測的一個。如果找到，除了感染它們，還會顯示置中的訊息（見右邊的附圖），以及將背景顏色由黑至紅循環，播放警報聲並當住系統。

### 檔案處理觸發

病毒會設置一個計數器，由它載入記憶體後的15分鐘起，如果執行過的檔案數量等於50，就顯示一個全螢幕的ASCII圖像（見本頁頂），當中的「REVENGE」會閃動，而下面的文字會不停轉換顏色。

按下ESC鍵後，則顯示它的版權訊息，同時隨機挑一個磁區並將其格式化。

這時候系統已經癱瘓，不會再接收鍵盤輸入，故必須強制重啟才可以繼續使用電腦。

## 其他資料

在原本包裝的病毒樣本執行後，其大小會改變，而且不能再正常執行，如果使用者在感染任何檔案前就重啟電腦，那麼它就沒機會散佈。

此病毒包含以下加密的內部字串：

```
Hi Hacker! Welcome to Hell

```
Ooops

Ooops是危險的檔案覆寫病毒，可在MS-DOS上執行，覆寫大小為368個位元組。

## 感染行為

執行此病毒即把第一個未感染的DOS應用程式檔案的檔頭覆寫，被感染過的檔案除了傳播它之外，將無法執行原本的內容。

檔案被覆寫後修改時間會變更，然而此病毒會在感染前先儲存原本的時間戳記，感染後將其還原，使之看起來跟沒被感染的一樣。它不會避過比自己小的檔案，所以在感染後這些檔案的大小會變成感染的大小。

## 進階資料

此病毒執行過後並不會留在記憶體中。

MD5：

```
063bd4a5b4325b86797f4987fcb9ad66

```

## 觸發行為

此病毒隨機觸發，它會顯示以下的文字：

```
Ooops.. I've managed to erase your File Allocation Tables...
Good thing I made a copy of them... now where did I put these damn things?

```

*翻譯（英文）：*

```
噢..我已經把你的檔案配置表刪除了...
還好我留了一個備份...現在我應該把這東西放哪？

```

並印出一些檔案的內容，而這些內容可以是來自不同的檔案。

## 其他資料

此病毒不會損害檔案配置表。

此病毒包含以下內部字串：

```
..
*.COM
*.*

```
HXH

## HXH

### 檔案類型

* MS-DOS應用程式（COM）
* MZ應用程式（EXE）

### 別名

* HXH

HXH屬於在MS-DOS上運作的TSR檔案寄生病毒，感染大小可變。

有3個已知的變種：

* Virus.DOS.HXH.1576
* Virus.DOS.HXH.1585
* Virus.DOS.HXH.1680

## 感染行為

當病毒進入記憶體後會使用INT 21h感染任何執行又或者經DIR指令顯示的應用程式。

此外，它還會嘗試將自己從程式中隱藏，但因為其可變的感染大小，部分受感染檔案還是有可能被發現其大小比平時不同。

在病毒載入進駐記憶體後的第一個DIR指令會比平時的慢，這是病毒在感染檔案和判斷是否要觸發。

## 進階資料

下表列出所有變種在記憶體所佔用的空間。

 HXH.1585
 HXH.1680

MD5：

## 觸發行為

除了HXH.1680不能觸發，其餘的變種都在2月19日觸發。

在第一個DIR指令發出後，它顯示以下字句和播放音樂：

```
HXH:

Wherever,Long Live Our Friendship!

Good Luck With You! My Friend.

Yours Sincerly 6162910

```

## 其他資料

HXH.1680的唯一樣本有可能是損毀的，在感染檔案後有機會癱瘓系統。而受感染的檔案中的觸發行為的程式碼即是完全空白，以ASCII FFh字元填充著這部分。
Ashwhisker

*"Skill comes with experience. Experience comes with failiure."*

*-Ashwisker*

HEAD

Early Life

WIP

Appearence & Personality

A Norwegian forest cat with a smokey-black pelt, Ashwhisker has a sarcastic nature and is always equipped with a sharp tongue. Albeit having a short temper, she has a strong respect for her elders & superiors. Her eyes often surprise most at first, with their heterochromia iridum nature. Her left eye is green, while the right is amber.

Statistics

Family

Friends

Gallery

Ashwhisker by XxEternalEmberxX
Blackstar

**Deceased**

This feline has passed. Please leave this article at rest, unless you have permission from the author or a member of staff. Thank you.

***Description: Blackstar was a fairly large Maine Coon. His pelage was ebony, with tinted azure eyes. His Banner was very floccose and long. He tended to wrap his banner around him in slumber. He had very dark achromic patterns on his chin and belly.***

***Personality: Blackstar was a loyal, sweet, soft spoken cat. He was very flirty with other she-cats, but his heart always lied with his mate, Daisyfeather. He liked to be silly, but was be serious when needed.***

https://images.cooltext.com/4859592.png

***Hunting: 8/10***

***Battle: 6/10***

***Fishing: 7/10***

***Swimming: 8/10***

***Stealth: 9/10***

***Loyalty: 10/10***

***Honesty: 8/10***

***Leaping: 8/10***

***Small Talk: 4/10***

***Opening up to others: 5/10***

https://images.cooltext.com/4859596.png
Devil

Devil屬非常危險的TSR檔案寄生病毒，在MS-DOS上運作。除了第一變種，其餘的感染大小都是941個位元組。

有4個已知的變種：

* Virus.DOS.Devil.941（還有E、F和G）

## 感染行為

執行後，所有在同一資料夾內的DOS應用程式都會被感染，包括COMMAND.COM，因此在每次開機後此病毒都會載入到記憶體。載入時感染大小為1,882個位元組，即是自己的2倍。之後使用INT 9和21h，感染執行的程式，而且會重複感染，但EXE檔不會。

### Devil.941

受感染的DOS應用程式執行後，病毒先將自己開頭1,630位元組的病毒程式碼放置到檔頭，其餘1,888位元組放置檔尾，總感染大小就是3,518位元組。

## 進階資料

下表顯示所有變種在記憶體所佔用的空間。

 Devil.941.e
 Devil.941.f
 Devil.941.g

MD5：

## 觸發行為

在6次鍵入後觸發第一個行為，它會將輸入的文字變色。

5,000次鍵入後，它將檔案配置表（FAT）摧毀。

當使用CTRL-ALT-DEL重啟電腦，此病毒顯示灰色畫面的訊息：

```
Have you ever danced with the devil under the weak light of the moon?
Pray for your disk!
The_Joker...
Ha Ha Ha Ha Ha Ha Ha Ha Ha Ha

```

翻譯（英文）：

```
你有曾在昏暗的月光下與魔鬼共舞？
為你的硬碟祈禱吧！
The_Joker
哈哈哈哈哈哈哈哈哈哈

```

如果FAT尚未被摧毀（鍵入不足5,000），那麼這個畫面只會閃一下然後就重新開機，否則會停留在這個畫面，並癱瘓系統。

## 其他資料

Devil被部分防毒軟體分類為Jerusalem，名Jerusalem.1631或Sunday。

Devil.941.g存在有問題的指令使其無法正確執行。

此病毒包含以下內部字串：

```
COMMAND.COM
Today is Sunday! Why do you work so hard? All work and no play make you a dull boy! Come on! Let's go out and have some fun!
*.com

```
HLLO.Install

HLLO.Install是在MS-DOS上執行且非常危險的檔案覆寫病毒，以高階編程語言編寫。基本大小為4,578個位元組，而覆寫大小為5,952個位元組。根據其名稱，這個病毒應該是用來偽裝成一般的軟體安裝檔。

## 感染行為

一旦執行，此病毒將目前資料夾內的所有EXE應用程式都覆寫，因為使用檔案取代的形式所以被覆寫的檔案大小一律都是5,952個位元組，之後顯示以下文字：

```
virus "????"
Dead_Byte

```

其中問號代表著可能是其他語言的文字，但無法解讀。

在感染過後此病毒還會從目前位置搜尋INSTALL.EXE，並將其刪除。

除了覆寫EXE檔，此病毒還會嘗試存取ARJ和ZIP檔。如果有，它會透過執行ARJ.EXE和PKZIP.EXE來存取它們，之後將這兩個程式以自己的病毒碼覆寫。但如果只是有這些檔案，但沒有ARJ.EXE和／或PKZIP.EXE，系統會在病毒執行期間顯示「無法執行的指令」。

覆寫過ARJ.EXE和PKZIP.EXE後，再次執行病毒則不會再顯示上述的文字，但執行時間會明顯延長。

## 進階資料

此病毒執行過後不留在記憶體中。

MD5：

```
22b9b282796b3a138eed55bd947e0580

```

## 其他資料

此病毒包含以下內部字串：

```
install.exe
*.arj
*.exe
/C arj a -y
install.exe >NUL
COMSPEC
*.zip
/C pkzip

```
NoESCAPE

NoEscape.exe

**NoEscape**是一個在Windows平臺運行的惡意程式。名字可以被簡單翻譯為“無路可逃”。病毒本身有很多時間事件，但是這個病毒對電腦的危害並不大，具有電腦維修經驗的人可以在十分鐘內修復NoEscape造成的影響

描述
--

NoEscape一種能運行於微軟Windows作業系統的病毒，它有很多病毒行為和時間事件，且檔案描述為“Windows美化工具”（wincustomize），檔案版本為6.6.6.6

## 病毒行为

在運行NoEscape之後，會修改案頭的桌面，同時改寫多個註冊表項目，並創建多個系統帳戶。將正在使用的帳戶的全名改為“NOESCAPE“，密碼改為death。在完成上述操作後，noescape會重啓電腦
Leo

## Leo

### 檔案類型

* MS-DOS應用程式（COM）
* Win32 PE應用程式（EXE）

### 別名

* Leo
* LLeo
* The Leo

### 族

Leo

Leo是在MS-DOS上運作的檔案寄生病毒。

有9個已知的變種，分5個版本（以下為代表）：

* Virus.DOS.Leo.293
* Virus.DOS.Leo.301
* Virus.DOS.Leo.333
* Virus.DOS.Leo.1965
* Virus.DOS.Leo.3948

## 感染行為

除了Leo.293，所有變種都是每執行一次感染一個檔案，而且修改時間會變更為感染的時間。

### Leo.293

執行受感染的檔案後，它會感染目前資料夾內的所有DOS應用程式。

受感染的程式會出現運作不正常的情況。

### Leo.301、328、331和332

這些變種每執行一次就感染一個DOS應用程式，但不是每一個都會被感染。

被Leo.301或332感染的檔案會出現運作不正常的情況。

### Leo.333

這是唯一感染EXE格式的變種，而且它針對Windows使用的檔案，但同樣是每執行一次感染一個檔案。它會覆寫這些檔案的檔頭，所以難以看到大小改變。

### Leo.1965、3948和3949

這些變種每執行一次就感染一個DOS應用程式。如果目前的資料夾內只有Goat程式檔案的話，執行它就會當掉系統。

如果目前的資料夾位置是C:\DOS，執行它不會感染任何檔案。

部分受Leo.1965感染的檔案會出現運作不正常的情況。

## 進階資料

此系列的病毒執行後不留在記憶體中。

MD5：

## 觸發行為

### Leo.3948和3949

在12月31日執行受感染的檔案，它會顯示ASCII文字和一些不同顏色的星號：

```
THE LEO

```

還有以下文字：

```
Hallo, I've got a virus for you..

Today is  the 31 of December, because I  want to
congratulate with a  Happy New Year...  Today is
a  holiday and I  want a pair of COM files... :)
You have a holiday and you'll have many presents
tommorow. I would like to join at this tradition
Could you take me a present as a file, please...
I'll be glad! Thank you for all, good bye..

Santa Leo...

```

按任意鍵後會執行寄主的程式並回到DOS。

變種
--

Leo總共有9個變種：

* Virus.DOS.Leo.293
* Virus.DOS.Leo.301
* Virus.DOS.Leo.328
* Virus.DOS.Leo.331
* Virus.DOS.Leo.332
* Virus.DOS.Leo.333
* Virus.DOS.Leo.1965
* Virus.DOS.Leo.3948
* Virus.DOS.Leo.3949

## 其他資料

Leo.293包含以下內部字串：

```
- Virus "Leo", created in 1997 -

```

Leo.301包含以下內部字串：

```
*.com
Leo

```

Leo.328和331包含以下內部字串和3個NOP指令：

```
*.com

```

Leo.332包含以下內部字串：

```
--== The Leo ==--

```

Leo.3948和3949包含以下內部字串以及受感染檔案的檔名：

```
LLEO3949.CO0
????????COM
COM
*.*
*.com

```
Remember

## Remember

### 別名

* Remember
* OVEL

Remember是在MS-DOS上運作而且危險的檔案寄生病毒。

有9個已知的變種，分2個版本：

* Virus.DOS.Remember.811
* Virus.DOS.Remember.1081

## 感染行為

執行受感染的檔案後，此病毒感染目前資料夾內的所有DOS應用程式。

1,081位元組或更大的變種還會指定感染C:\COMMAND.COM以及損毀CMOS記憶體，導致系統無法辨識COMMAND以及部分硬體設定遺失。

此外，受感染的檔案還可能已經損毀，執行它們有機會當掉系統。

## 進階資料

此系列的病毒都不會在執行過後留在記憶體中。

MD5：

### Remember.1081、1087、1091、1277、1283和1287

第一次執行會先顯示以下文字並發出3下嗶聲：

```
# The OVEL bbs Tel is 02-927-7432

```

執行受感染的檔案時此病毒會在執行寄主程式前將其程式碼輸出到畫面，而執行某些程式則會顯示一些亂碼和以下的文字：

```
Remember 4.0
Written by Jean at O.V.E.L

```

部分變種顯示的文字則不同。

變種
--

Remember總共有9個變種：

* Virus.DOS.Remember.811
* Virus.DOS.Remember.816
* Virus.DOS.Remember.818
* Virus.DOS.Remember.1081
* Virus.DOS.Remember.1087
* Virus.DOS.Remember.1091
* Virus.DOS.Remember.1277
* Virus.DOS.Remember.1283
* Virus.DOS.Remember.1287

## 其他資料

此病毒包含以下內部字串：

```
*.com

```
Arriba

Arriba是在MS-DOS上運作的TSR檔案寄生病毒，感染大小為1,590個位元組。

已知的變種有2個：

* Virus.DOS.Arriba.1590（A和B）

## 感染行為

當病毒進入記憶體後，它使用INT 21h和24h感染任何執行的DOS應用程式。

此病毒會自我隱藏，在執行MEM下不會看到它用了多少記憶體，但仍看到受感染的檔案的大小改變。

## 進階資料

下表列出所有變種的TSR在記憶體所佔用的空間：

MD5：

執行任何受感染的檔案時此病毒將當中被加密的文字解密，並在畫面頂部以跑馬燈形式顯示以下文字：

```
Cara al sol con la camisa nueva
que tu bordaste rojo ayer
hallaras la muerte si te llega
y no te vuelvo a ver
formare junto a mis compañeros
que hacen guardia sobre los luceros
impasible el ademan y están presentes
en nuestro afan
si te dicen que cai me fui al puesto que tengo alli
volveran banderas victoriosas al paso alegre
de la paz y seran prendidas cinco rosas las flechas de mi paz
volvera a reir la primavera que por cielo y tierra y mar
esperan arriba a España y a vencer, que en España empieza
a AMANECER
20-N-90 Spain Jaws & Shark ARRIBA ESPAÑA

```

過後當掉系統。

```
Tres Anillos para los Reyes Elfos bajo el cielo.
Siete para los Señores Enanos en palacios de piedra.
Nueve para los Hombres Mortales condenados a morir.
Uno para el Señor Oscuro sobre el trono oscuro en la Tierra de Mordor donde se extienden las Sombras.
Un Anillo para gobernarlos a todos.
Un Anillo para encontrarlos, un Anillo para atraerlos a todos y atarlos en las tinieblas en la Tierra de Mordor donde se extienden las Sombras.
Extracto de "El Señor de los Anillos" de J.R.R. TOLKIEN. 1955
Virus Tolkien vK&S. (c) IMV, STi, K&S 1995.
Created in Chiba City. The Spock's Mutation Factory are the fast in the world. We are professionals. Thanks to Central Point for their PC Tools Deluxe R4.20. Use your Debugger.

```
Eric Falkorsson

**Eric Falkorsson** is a Surrogate in Reynir.

## Family and Early Life

He’s the youngest of 10 brothers, all involved in dockworkig and sailing. His father is a ship captain working for a noble merchant.

At the age of 16, Eric decided to give his life to the goddess Helen in giving his body to help same sex female couples or women with an unfertile husband give birth. He was always feeling left out as his father couldn’t support another captain, and he never knew what to do with his life. He was acting out in a screaming match with his mother, and the leader of the Surrogates took him under his wing. After a couple of years of getting education on religion, he decided that it was a very worthy cause of his to be made available to the faithful who wanted to have children.

## Status in 7204 A.C.

He is 29. He is working as a Surrogate for any couple that needs his assistance, and performs the religious rites to Helen that accompany the ritual. He works with approximately 4 women a year, as the ritual to ensure everything is very consensual and that both partners in the couple are ok with the situation. The process usually takes about 3 months. He works with foreigners and locals. The foreigners pay for the privilege of using his services, often from civilizations that are less accepting of extramarital sex, which helps support the Surrogates.

## Appearance

Middling height, 5'8". Hesowythian olive skin. Corn yellow hair. Small nose and thin cheeks.

## Personality

Eric is a calm and highly spiritual man. He truly believes that the gods are doing holy work through his body and is happy with his chosen path.

## Abilities

In his spare time, Eric enjoys cooking. Due to his youth on ships, he is an expert knot tier, a moderate sailor, and a decent craftsman.

## Possessions

He keeps few possessions, living in a simple home.

## Relationships

He has a very close and loving relationship with his parents who are proud of his choice and sacrifices. They are sad that he will never be able to marry, but understand. He loves to spend time with his brothers.

## Religion

A passionate Hesorite, he is a devotee of Helen above all the other gods.
SkyNet

## SkyNet

### 別名

* SkyNet
* Terminator-1

SkyNet是在MS-DOS上運作的TSR檔案寄生病毒，感染大小為1,448個位元組。

## 感染行為

病毒進入記憶體後會使用INT 21h以感染任何執行過的EXE應用程式，同時設定一個計數器用以計數處理檔案的數量。

此病毒還會在INT 21h的呼叫程序中加入一些無用的迴圈以減慢執行的速度。

## 進階資料

此病毒在記憶體中佔用1,664位元組的空間。

MD5：

```
46aadc98a403befb9746edff3d6967a2

```

## 觸發行為

此病毒有2個觸發的行為，一個是隨機而另一個視乎計數器的值。

當病毒已經在記憶體時，有機率在執行任何程式時加插以下字句：

```
*** Terminator I *** Created by Sky Net in Chung-Li.

```

如果執行的程式是COM程式，也有機會出現這字句但檔案不會受感染。

過了一定數量的檔案處理後，此病毒顯示簡單的ASCII動畫模擬螢幕關閉，然後在紅色的背景緩慢的打出以下黃色的文字：

```
Terminator Message:

Don't be afraid.
I am a very kind virus.
You have do many works today.
So,
I will let your computer slow down.
Have a nice day,
Goodbye.

Press a key to continue. . .

```

之後將畫面完全變黑，但沒有當掉系統，使用者仍在DOS，仍可執行任何程式，只是什麼都不會顯示出來。
Casino

Casino是在MS-DOS上運作而且有一定危險性的TSR檔案寄生病毒，感染大小可變。

## 感染行為

此病毒在進入記憶體時先感染COMMAND.COM和建立「偽COMMAND.COM」，為病毒本身，之後它會開啟「偽COMMAND.COM」，再感染任何執行的DOS應用程式，同時額外感染1或2個同類型的檔案。在「偽COMMAND.COM」的TSR碼載入到RAM後病毒會將這個檔案從硬碟中移除。

這個病毒不能感染超過64KB的檔案，所以在MS-DOS 7.1，它無法感染COMMAND.COM（94,292位元組或92.08KB）。

在軟碟機放有讀寫保護的磁片時，這病毒會使用INT 13h來偵測，並移除唯讀屬性來感染當中的檔案。

雖然這個病毒會自我隱藏，但因感染大小可變，部分受感染的檔案仍能被觀察到有數個位元組的變化。

## 進階資料

此病毒在記憶體佔用3,216個位元組的空間。

MD5：

```
3468be4c2d90bd6f1c15314bc896f5e2

```

## 觸發行為

在1、4或8月15日時執行受感染的檔案，此病毒會將硬碟中的檔案配置表（FAT）載入到RAM並將原本的損毀（但失敗），然後顯示老虎機遊戲。使用者有5次機會，只有在畫面中擲到三個英鎊符號才可以保住資料；但如果5次都沒中，又或者擲到三個「?」的話，那麼硬碟的資料就取不回來。之後會把系統當掉。

因為COMMAND.COM已被感染，在觸發當日重新啟動電腦多少次，這個畫面還是會在系統啟動後顯示。

## 其他資料

透過UNDELETE可以找到刪除了的偽COMMAND.COM，大小為2,330個位元組，附加了隱藏的屬性。檔名如下：

```
COMMAND .COM

```

檔名中附有一個空白字元，在DOS內使用者基本上不能存取這個檔案。

此病毒包含以下內部字串：

```
*.COM
C:\COMMAND.COM
COMMAND
.COM
????????COM

```
Warez

## Warez

### 別名

* Warez
* Abraxas

Warez是在MS-DOS上運作且非常危險的檔案損毀病毒，感染大小為1,341個位元組。

## 感染行為

一旦執行即感染所有同一資料夾內的DOS應用程式，但不感染任何比自己小的檔案，而且第一次感染時會略過COMMAND.COM。

這個病毒不會檢查檔案是否曾被感染過，故會重複感染它們。

受感染的檔案將不能正常正作，執行它們只會當掉或癱瘓系統。

## 進階資料

此病毒不留在記憶體中。

MD5：

```
0c0e7a79da70cfc435137cf5af11ea89

```

## 觸發行為

感染檔案後會立即觸發並當掉系統。

它會顯示以ASCII符號所拼砌的文字，如畫面截圖所示：

```
SORRY ABOUT THE
WAREZ
DUDE

```

## 其他資料

受感染的檔案雖然也存在觸發行為的病毒碼，但一般都無法執行，繼而當掉系統。

此病毒包含以下內部字串：

```
*.com
- W A R E Z   D 0 0 D -

```
Sequência Lógica Emocional

A **Sequência Lógica Emocional** (**SLE**) é caracterizada pelo teor lógico-emocional de determinada ação, isto é, agir em virtude da qualidade ou do estado de subjetividade, influenciado pelo temperamento, pela personalidade e motivação, na grande maioria das vezes, baseada nas quatro principais emoções: alegria, medo, raiva e tristeza, de modo que sua ação pode ter um sentido, mas não necessariamente precise de explicação, uma verdade rígida e concreta. A SLE é intuitiva, diferente da SLR, que é dedutiva.
NoStart

NoStart是在Microsoft Windows上執行的木馬程式，其主要目的只是作弄使用者，不會對系統構成重大威脅。

## 執行時

這個木馬會在載入RAM後放置一個假的「開始」按鈕在左下角，那個位置亦是真的「開始」按鈕的預設位置。

它可以在任何版本的Windows上執行，64位元版本的除外。但因為這個「開始」按鈕必定是英文（永遠顯示「Start」），如果系統的語言不是英文（如右圖），使用的配色不同，又或是在Windows XP或更新的系統（Windows的標幟樣子不同）中執行，它就很容易被發現。

## 觸發行為

按下這個假的「開始」按鈕就會觸發。它將EXPLORER.EXE強制停止，然而將畫面變黑，再停用CTRL-ALT-DEL輸入的組合，這個時候使用者基本上什麼都不能做，而且必須以冷重啟方可繼續使用電腦。然而這個木馬不會進行其他有害的行為。

在Windows NT基礎的系統上，這木馬並不能停用CTRL-ALT-DEL輸入組合，使用者用以透過開啟工作管理員將這個木馬的執行程序停止，之後系統就能回復正常，無需重啟。
Ha1

Ha1是在MS-DOS上運作的TSR檔案寄生加密病毒，基本大小為1,383個位元組，而感染大小由1,458至1,472個位元組之間。

## 進階資料

此病毒留在記憶體時佔用1,456位元組的空間。

MD5：

```
ee0a7d2f480416a3c0618124fd9cc2c6

```

## 觸發行為

此病毒有兩個觸發行為。

以一整年第一日起計（但2月29日並不計算在內），每8天此補病毒亦會使用INT 16h將輸入的空格和感嘆號互換，而每16天此病毒更會使用INT 9，在使用者發出CTRL-ALT-DEL時顯示ASCII符號拼砌的文字：

```
####                     ###
 ###                    #####
 ###                    #####
 ###  ###    #####      #####
 ##### ###       ###     ###
 ###   ###   #######      #
 ###   ###  ###  ###
 ###   ###  ###  ###     ###
####   ###   #### ###    ###

          version A

```

使用者將無法再次發出這個指令，必須使用冷重啟方可重新開機。

## 其他資料

此病毒包含以下加密的內部字串：

```
ha! version A

```

此外，不要跟Ha混淆。Ha雖然同樣是DOS病毒，但有2個變種，而且感染大小遠比此病毒的小。
Fingers

## Fingers

### 檔案類型

* MS-DOS應用程式（COM）
* MZ應用程式（EXE）

### 別名

* Fingers

Fingers是在MS-DOS上運作的TSR檔案寄生病毒，感染大小可變。

## 感染行為

此病毒在載入RAM後使用INT 21h以感染任何執行的應用程式，同時使用INT 9偵測鍵盤輸入以計數。

它會嘗試先感染COMMAND.COM但失敗，不過當它在RAM時執行COMMAND的話還是會感染。

## 進階資料

此病毒的TSR碼在記憶體中佔用1,600位元組的空間。

MD5：

```
c425eba2cc7d270c6f179284ee36d7f5

```

## 觸發行為

在鍵入3000次後顯示以下訊息：

```
CRITICAL ERROR 08/15: TOO MANY FINGERS ON KEYBOARD ERROR

```

同時停掉鍵盤輸入偵測，並當掉系統。

## 其他資料

SSR會偵測此病毒。

此病毒包含以下內部字串：

```
COMMAND.COM

```
ADT

## ADT

### 檔案類型

* MS-DOS應用程式（COM）
* MZ應用程式（EXE）

### 別名

* ADT

ADT是在MS-DOS上運作的TSR寄生病毒，感染大小為1,778個位元組。其名稱來自觸發行為顯示的ASCII符號所拼砌出來的文字。

## 感染行為

此病毒使用INT 21h以感染任何執行過的DOS應用程式。

除此之外，每執行一個受感染的程式時，這個病毒亦會在資料夾內搜尋第一個未感染的DOS和EXE應用程式並感染它們，也就是每次會感染2至3個檔案。

## 進階資料

此病毒在記憶體佔用2,048位元組的空間。

MD5：

```
91d80dfff5b8cf94238bae1a9522dce8

```

## 觸發行為

在每月的19日此病毒亦會使用INT 9，在游標後方顯示「Andreas」。

而另一個觸發行為，當使用者嘗試利用DEBUG對受感染的檔案進行偵錯，此病毒會顯示ASCII文字：

```
ADT!

```

再當掉系統，並停止鍵盤輸入偵測。
LunchTime

## Lunchtime

### 別名

* Lunchtime
* Lunc

LunchTime屬TSR檔案寄生病毒，會在MS-DOS上執行，感染大小為2,050個位元組。

## 感染行為

此病毒在記憶體時會使用INT 21h感染任何執行的EXE應用程式。如果檔名的開頭為以下字串，則該檔案不會受到感染：

```
MKS

```

部分受感染的檔案可能無法正常工作，以致執行時當掉系統。

這個病毒還會搜尋和刪除以下的檔案：

```
CHKLIST.MS
CHKLIST.CPS

```

## 進階資料

此病毒佔用4,352位元組的記憶體。

MD5：

```
0eab7a0493cf8672e9c87e07fddad1fe

```

## 觸發行為

在12:00至13:59期間執行任何受感染的程式，或者病毒在RAM時執行任何程式，就會顯示以下的訊息並當住系統：

```
Po co tak ciezko pracujesz ?
Zrób sobie przerwe i idz na lunch.
Twój dysk twardy zostal zakodowany do godziny 14:00.
O tej godzinie zostanie odkodowany. Jesli wylaczysz
komputer wczesniej, stracisz na nim dane bezpowrotnie.

Czas do konca przerwy : (time)

NIE WYLACZAJ ANI NIE RESETUJ KOMPUTERA !!!

```

翻譯（波蘭文）：

```
幹嗎做的這麼辛苦？
休息一下吃個午餐吧。
你的硬碟已經被加密直到14:00。
到時它就會解密。但如果你提早關機，你就會永遠失去所有資料。

尚餘休息時間：（計時器）

不 要 關 掉 或 重 新 開 機 !!!

```

然而此病毒並不會加密任何內容。

## 其他資料

因為編程錯誤，計時到最後1分鐘就會解除，而且不會在13:59或之後觸發。

此病毒包含以下內部字串：

```
Jakze tu wszedles,powiedz i dlaczego?
Nielatwo wspiac sie na ten mur wysoki.
I smierc tu znajdziesz,zwazywszy, kim
jestes, Jesli cie spotka którys z moich krewnych.
Lunchtime  Kraków -styczen 97

```
Sov

## Sov

### 別名

* Sov
* Copyright

Sov是在MS-DOS上運作的TSR檔案寄生病毒，感染大小可變。根據內部字串，這可能是實驗室製作的病毒，用以測試i286系統的漏洞。

有2個已知的變種：

* Virus.DOS.Sov.1193
* Virus.DOS.Sov.1205

## 進階資料

下表列出所有變種在記憶體期間所佔用的空間。

 Sov.1205

MD5：

## 觸發行為

此病毒在2月23日觸發，兩個變種所顯示的畫面都不同。

Sov.1193顯示全畫面的直線：

而Sov.1205則顯示ASCII圖片和文字（見頁頂的截圖）：

```
I AM
VIRUS

```

顯示後按任何鍵則可以如常執行寄主的程式並回到DOS。

## 其他資料

Sov.1193包含以下內部字串：

```
(C)1987 American Megatrends Inc.286-BIOS (C)1989 American Megatrends Inc
(c) COPYRIGHT 1984,1987 Award Software Inc.ALL RIGHTS RESERVED

```

Sov.1205包含以下內部字串：

```
(C)1991 SoftWare Developed by Maxi____Lena All Rights Reserved
(c) COPYRIGHT 1984,1987 Award Software Inc.ALL RIGHTS RESERVED

```

## 參考來源

1. Sov在VX Heaven的變種清單
2. Sov亦名Copyright，參看在Online VSUM的描述
HLLO.AIDS

HLLO.AIDS是在MS-DOS上運作而且非常危險的檔案覆寫病毒，原始大小為13,847個位元組而感染大小有13,952個位元組。這個病毒以高階編程語言編寫，語言為Turbo Pascal版本3.01a。

在1989年首次發現這個病毒，它是由Corrupted Programming International（CPI）的成員開發。

這個病毒有2個版本，一個為演示版本（即不感染檔案）而另一個為真實的。

## 感染行為

此病毒是首個會透過DOS內的同名同儕檔案執行機制的漏洞感染檔案，對於兩個同名但不同格式的檔案，如果其中一個是COM格式，透過無副檔名指令執行程式的話，COM檔案必定為第一個執行。

以下的字串存在於被覆寫的檔案中：

```
This File Has Been Infected By AIDS! HaHa!

```

因為它不檢查檔案大小，感染比自己小的檔案就會看到感染後的大小為13,952個位元組，而且修改時間亦會被改為感染的時間。

被覆寫的檔案不可能復原，只能以乾淨的備份取代它們。

雖然這病毒不會留在記憶體，但因為執行時對系統有一定影響，在它執行過後再執行部分的EXE應用程式可能會癱瘓系統。

## 進階資料

此病毒執行過後不會留在記憶體中。

MD5：

```
06e5389543f280afff117d0a62735c02

```

## 觸發行為

每執行一個受感染的檔案，這個病毒都會從1至10中隨機抽取一個數字，如果抽到7就觸發。

觸發後先顯示一個女性性別符號（ASCII 0Ch）和播放兩次嗶聲，然後顯示全畫面的訊息，當中有一個由ASCII符號拼砌出來的「AIDS」文字，這些文字都以亮白色顯示。之後會將系統當掉。

演示版本顯示的文字以黃色顯示。

## 其他資料

此病毒的原名叫NumberOne。

AIDS-B和AIDS.1992為此病毒的改版。

HLLC.AIDS\_II是一隻同儕偽裝病毒，同樣利用DOS的這個漏洞進入系統，但不感染檔案，而是複製自己成為跟執行過的EXE程式的同名COM檔案。
BugsBunny

## BugsBunny

### 別名

* BugsBunny
* Dan
* Trivial

BugsBunny是DOS病毒，有2個不同的版本，其一為檔案覆寫屬性，另一則為寄生。

有3個已知的變種，分2個版本（以下為代表）：

* Virus.DOS.BugsBunny.282
* Virus.DOS.BugsBunny.497

## 感染行為

### BugsBunny.282

此為極危險的非TSR檔案覆寫病毒。一旦執行，此病毒覆寫所有DOS應用程式，除了COMMAND.COM。

### BugsBunny.497和497.b

這些是一般的TSR檔案寄生病毒。當病毒在記憶體時，它使用INT 21h以感染任何執行的DOS應用程式，除了COMMAND.COM和非常小的檔案。

受感染的檔案的修改時間會被更改，但不可見，它將當中的秒數改為62。

## 進階資料

下表列出所有變種在記憶體時所佔用的空間。

 BugsBunny.497（以及B）

MD5：

## 觸發行為

### BugsBunny.282

執行任何受感染的程式顯示以下字句：

```
Datei nicht ausführbar. Neujahrsgrüße von Bugs-Bunny (ß_¿-ßTTí)
Bugs-Bunny Virus, Created by iRS-EB 03848

```

*翻譯（德文）：*

```
檔案無法執行。Bugs-Bunny祝你新年快樂
Bugs-Bunny病毒，iRS-EB 03848製作

```

## 其他資料

BugsBunny.282包含以下內部字串：

```
BB/iRSCOMMAND*.COM

```

BugsBunny.497和497.b包含以下內部字串：

```
COMMAND.COM
BUGS BUNNY

```
Blazer

Blazer屬非常危險的檔案寄生病毒，在MS-DOS上執行。感染大小為1,000個位元組。

## 感染行為

執行病毒即感染C:\COMMAND.COM，以及目前資料夾內的第一個未感染的DOS應用程式。

## 進階資料

此病毒依附在COMMAND.COM，其啟動時一同執行。

MD5：

```
03b72805fa577af46e1e0d4c987d4293

```

## 觸發行為

在月份和日子而且時和分都相同時，即例如3月3日10:10，此病毒會觸發。它會顯示一些ASM程式碼，同時將目前資料夾內的檔案全數刪除，但不刪除子資料夾。

如果是在系統啟動時觸發（受感染的COMMAND.COM），所以會將C:最頂層的檔案全數刪除，而且任何隱藏或系統檔案都不能倖免，包括IO.SYS和MSDOS.SYS。如果沒有在重新開機前復原它們，那麼下次啟動將無法執入系統。

## 其他資料

剛被刪除的檔案可以立即用UNDELETE復原，但受感染的檔案一定要用乾淨的複本取代，否則下次載入時可能會再次觸發又或者當掉系統。
Mask

## Mask

### 檔案類型

* MS-DOS應用程式（COM）
* MZ應用程式（EXE）

### 別名

* Mask

Mask屬於在MS-DOS上運作的TSR檔案寄生加密病毒，感染大小為2,389個位元組。

## 感染行為

病毒進入記憶體後，會使用INT 21h以感染任何執行的應用程式。不過不是每一個檔案都會受感染。

## 進階資料

此病毒在記憶體佔用3,424位元組的空間。

MD5：

```
937b8c99880849d718700112d458827c

```

### 4月1日

它先顯示以下文字以及嗶一聲：

```
System diagnostic failure: cylinder #1 of your hard disk is cracked.
There is a peril of hard disk explosion.
Only an immediate formatting can help.

Confirm format now [Y/N]?

```

無論使用者按什麼鍵，它都會表示一定要將硬碟格式化，然而這是假的，並帶有假的硬碟活動反映在主機的硬碟LED上，這會看似硬碟真的在格式化。

按Y鍵：

```
Say GOOD BYE to all data on your hard disk!
Start formatting ...

```

按其他鍵：

```
Wrong. Your hard disk NEEDS to be formatted.

Say GOOD BYE to all data on your hard disk!
Start formatting ...

```

按下ESC鍵會中止「格式化」，並顯示以下文字：

```
Relax !  It's a joke. Your hard disk is OK.

Press the ENTER key.

```

按下ENTER後會執行寄主的程式然後回到DOS。

### 12月30日和31日

它顯示一棵ASCII聖誕樹和以下的文字：

```
Happy New Year, buddy !

Yours Truly
The Mask 2

```

同樣按下ENTER後會執行寄主的程式然後回到DOS。
5lo

5lo是在MS-DOS上運作的TSR檔案寄生病毒，基本大小為1,024個位元組，而感染大小界乎1,030至1,040個位元組之間。

## 感染行為

病毒載入到記憶體後先感染3個EXE應用程式，然後使用INT 21h感染其他檔案，它在每執行一個程式時，感染最首2或3個未感染的EXE檔，但執行的檔案不一定會被感染，而且也不是每個檔案都會被感染。被感染的檔案的修改時間會變更為感染的時間。

每感染一個檔案，病毒內的一個計數器會加一次，用以觸發。但因為沒有編寫檢查這個計數器的指令，所以不能觸發，這個計數器基本上沒用。

在感染期間此病毒將檔案的位址0Ch和0Dh的資料改寫成FFAAh，用以辨認是否被感染過。

這個病毒在載入記憶體時會將自己放置到系統分配空間，使自己的TSR不會被MEM檢查到，但仍可以留意到它使用了約2K的記憶體。

## 進階資料

在記憶體的使用空間為2,064位元組。

MD5：

```
92f81cb8ba5d65ea98088df8d3cbd6c8

```

## 其他資料

此病毒包含以下內部字串：

```
92.05.24.5lo.2.23MZ
????????EXE

```

此外還包含受感染檔案的檔名在內。
Semtex

## Semtex

### 別名

* Semtex

Semtex屬於在MS-DOS上運作的TSR檔案寄生病毒。

有5個已知的變種並分3個版本（以下為代表）：

* Virus.DOS.Semtex.515
* Virus.DOS.Semtex.619
* Virus.DOS.Semtex.686

## 感染行為

除了Semtex.515和686，當病毒載入到記憶體後，即感染C:\COMMAND.COM，然後使用INT 8和21h感染任何執行的DOS應用程式。

對於Semtex.686，如果病毒已經在記憶體中，再次執行會當掉系統。

## 進階資料

下表列出所有變種在記憶體所佔用的空間。

 Semtex.619
 Semtex.686
 Semtex.1000.a
 Semtex.1000.b

MD5：

 Semtex.686

## 觸發行為

在特定時間後病毒在畫面顯示不同顏色的亂碼，但不會當掉系統，所以使用者還是能如常使用。

### Semtex.619和1000.a

當病毒在RAM時偵測到鍵盤有至少1分鐘沒有任何輸入的話就觸發一次，觸發後重設計時器以準備下一次的觸發。

### Semtex.686和1000.b

當分鐘和秒鐘都到達0的時候，這些變種就觸發一次，並重設計時器。

變種
--

Semtex總共有5個變種：

* Virus.DOS.Semtex.515
* Virus.DOS.Semtex.619
* Virus.DOS.Semtex.686
* Virus.DOS.Semtex.1000（A和B）

## 其他資料

儘管的感染大小有異，部分防毒軟體還是把Semtex.619辨識為Semtex.1000.b。

Semtex.515包含以下的內部字串：

```
S E M T E X  by Dusan Toman, CZECHOSLOVAKIA (7)213-040 or (804)212-23

```

Semtex.619包含以下的內部字串：

```
S E M T E X  by Dusan Toman, CZECHOSLOVAKIA (7)213-040 or (804)212-23
Hell

```

Semtex.686包含以下的內部字串：

```
!!!  explosive  !!!       S  E  M  T  E  X       !!!  explosive  !!!
Written by Dusan Toman, CZECHOSLOVAKIA Pyrotechnician Lilo Hedera
(7)213-040 or (804)212-23

```

Semtex.1000.a包含以下的內部字串：

```
S E M T E X  by Dusan Toman, CZECHOSLOVAKIA (7)213-040 or (804)212-23
Hell
no label
v0412

```

Semtex.1000.b包含以下的內部字串：

```
S E M T E X  by Dusan Toman, CZECHOSLOVAKIA
***  Have a nice day  ***

```
Digi

Deliver.Digi屬於TSR多形檔案寄生病毒，在MS-DOS上執行，非常危險。感染大小為3,547個位元組。

## 感染行為

病毒進入記憶體後，它會使用INT 1、3、1Ch和21h以感染任何執行的DOS應用程式檔案。

除此之外，當有關格式的檔案在建立、開啟或執行時，此病毒即暫存該檔案的名稱，並在檔案關閉時感染它。不過在再次開啟受感染的檔案時，病毒會暫時解除其感染直到關閉為止。在FindFirst或Next的DOS呼叫期間病毒會將其大小縮小，使之使用者會看不到大小改變而難以察覺到有病毒潛伏在這些檔案中。

此病毒還會將帶有以下檔名的任何類型檔案刪除：

```
CHKLIST

```

執行CHKDSK期間此病毒會暫時停止FindFirst或Next處理器，而在MKS防毒軟體執行時它亦會暫停一切的感染行為。同時，此病毒亦會阻止DEBUG對受感染的檔案進行除錯。

## 進階資料

此病毒留在記憶體時會佔用5,376位元組的空間。

MD5：

```
00efa67e781b81574020f6cd93bc3c01

```

## 觸發行為

當系統日期在5月28至31日期間，執行任何受感染的檔案，又或者當病毒留在記憶體時系統時間進入有關區間，此病毒隨即將整個硬碟的資料區以同一字串複寫：

```
DIGI POWER

```

然後在畫面上顯示圖文和播放聲音，再當掉系統：

```
DIGI POWER

THIS IS A NEW ... DELIVER II SÆëâlÆH (R) WRITE BY DiGiT! ... SOUTH POLAND 1995

```
Piolin

## Piolin

### 檔案類型

* MS-DOS應用程式（COM）
* MZ應用程式（EXE）

### 別名

* Piolin
* Barrotes

Piolin是非常危險的TSR檔案寄生病毒，在MS-DOS上執行，感染大小為1,176個位元組。它的病毒特徵碼被部分防毒軟體辨認為Barrotes。

## 感染行為

當病毒在記憶體期間，它使用INT 21h來感染任何執行的應用程式。執行受感染的程式有機會發生不可修復的執行錯誤導致電腦重新開機。

此病毒不感染任何小於或等於3,000位元組的COM格式檔案。

## 進階資料

此病毒在記憶體佔用1,680位元組的空間。

MD5：

```
cac386fa75d591607a784d2c07c6d8d5

```

## 觸發行為

此病毒在10月8日觸發。

執行受感染的程式後會損毀MBR，並在畫面顯示一行藍底白字的文字：

```
Virus   PIOLIN

```

然後使用INT 19h重新啟動系統，但將不會成功載入系統。

## 其他資料

此病毒包含以下內部字串：

```
FGGI

```
Abraxas

Abraxas，又名Abraxas-5，屬於在MS-DOS上運作而且相當危險的檔案覆寫病毒。

有7個已知的變種，分3個版本（以下為代表）：

* Virus.DOS.Abraxas.1170
* Virus.DOS.Abraxas.1214
* Virus.DOS.Abraxas.1881

另有2個變種屬於此族。

## 感染行為

此病毒使用檔案取代形式覆寫，受感染的檔案大小必定為感染大小，被感染的檔案將無法復原。

### Abraxas.1170、1171、1200和1214

執行此病毒，會將C:\DOS\DOSSHELL.COM和當前資料夾的第一個EXE應用程式覆寫，如果DOSSHELL.COM不存在，它會自行建立新的。被覆寫的檔案的修改時間會變更為感染的時間。

感染檔案後它複製被覆寫的EXE檔到上一層的資料夾，並將當前的位置上移一層。

### Abraxas.1304

這是TSR變種，因為編程問題在第一次執行時不會感染檔案，但會觸發兩次。

感染檔案後它複製被覆寫的EXE檔到上一層的資料夾，並將當前的位置上移一層。

### Abraxas.1881

此變種的行為跟Brain相似，但跟其他變種的感染行為不同，亦不帶跟它們類似的觸發行為。

## 進階資料

下表列出所有變種在記憶體所佔用的空間。

 Abraxas.1171
 Abraxas.1200（A和B）
 Abraxas.1214
 Abraxas.1304
 Abraxas.1881

MD5：

## 觸發行為

### Abraxas.1170、1171、1200和1304

執行受感染的檔案時會在主機蜂鳴器播放一段向上的音階，然後在畫面中間顯示紅色的ASCII文字：

```
ABRAXAS

```

Abraxas.1200.b的顯示因為編程錯誤而變得不完整。

### Abraxas.1214

執行受感染的檔案時會在主機蜂鳴器播放一些聲音，然後顯示不雅的ASCII圖像。

變種
--

Abraxas總共有9個變種：

* Virus.DOS.Abraxas.1170
* Virus.DOS.Abraxas.1171
* Virus.DOS.Abraxas.1200（A和B）
* Virus.DOS.Abraxas.1214
* Virus.DOS.Abraxas.1304
* Virus.DOS.Abraxas.1881
* Virus.DOS.Abraxas.Cleton（2個變種）

## 其他資料

Abraxas係由病毒製作軟體PS-MPC產生，此軟體亦有用來製作其他的病毒，其特徵是很容易被偵測到，不過多數是加密的。

在遊戲Evolution中「Abraxas」也是用來命名一隻病毒。

Abraxas.1881被部分的防毒軟體辨認為Brain。

Abraxas.1170、1171、1200和1304包含以下內部字串：

```
*.exe
c:\dos\dosshell.com
..
MS-DOS (c)1992
->>ABRAXAS-5<<--
...For he is not of this day
...Nor he of this mind

```

Abraxas.1214包含以下內部字串：

```
*.exe
c:\command.com
..
Darkest Avenger
Isnt dedicated to Sara Gordon
Its dedicated to her GROOVE!

```

Abraxas.1881包含以下內部字串：

```
*.exe
*.com
..

```
Leprosy.1580

## Leprosy.1580

### 檔案類型

* MS-DOS應用程式（COM）
* MZ應用程式（EXE）

### 族

Leprosy

Leprosy.1580是在MS-DOS上運作的檔案覆寫病毒，覆寫大小為1,580個位元組。此病毒亦有一個非正式的名稱「Hellraiser」。

## 感染行為

如同一般的Leprosy變種，執行受感染的檔案會隨機感染一個應用程式檔案，但不是每次都一定感染。

## 進階資料

此病毒不會長駐記憶體。

MD5：

```
2ba2c8ab2a24be0231eed6c7c210fa8d

```

## 觸發行為

此病毒在任何月份的25日而且是星期五觸發，如同本頁所示的截圖。

它會顯示以下文字：

```
I'll be back...

```

以及以下閃爍的ASCII文字：

```
HELLRAISER

```
Terminator

Terminator的有效负载

Terminator是一个使用C++编写的Win32平台的病毒，不具备传播性质，但是会对运行了Terminator的系统造成不可逆的破坏。由Leo\_BONZI\_LzR制作。流行的版本为2.1

描述
--

Terminator在执行之后会覆盖磁盘的前5000扇区，导致摧毁系统的引导以及部分系统文件，让系统无法启动且无法使用DiskGenius等工具快速修复。Windows系统恢复有时是有效的，但是大部分情况下不会工作或者已经被Terminator摧毁。想要移除Terminator只能重新安装Windows

## 感染行为

* 覆盖前5000扇区
* 弹出标题为"TOO LATE"没有任何文本内容的错误弹窗
* 屏幕向右复制图像形成类似屏幕向右移动的效果
* 屏幕形成波纹
* 屏幕融化效果
* 随机键鼠输入
* 屏幕绘制反色圆环
* 屏幕变成灰色
* 屏幕绘制噪声三角
* 屏幕绘制随机颜色的矩形
* 屏幕颜色随机变化
* 屏幕倾斜复制
* 屏幕绘制错误图标
* 执行一段时间之后出现蓝屏死机
Claudia

Claudia是在MS-DOS上執行而且非常危險的TSR檔案寄生加密病毒，感染大小為8,772個位元組。

## 感染行為

一執行，此病毒先觸發，然後使用INT 21h感染任何執行的EXE應用程式。

此病毒的加密程序編寫得非常差，在感染檔案時因為它要先將自己的程式碼加密才放置到檔案中，故它有機會在感染的過程中當掉系統，執行它們也可能會將系統癱瘓。同時亦有部分編寫得很差的程序，在載入記憶體時有機會當掉系統。

## 進階資料

此病毒常駐在記憶體是佔用21,056個位元組的空間。

MD5：

```
c3996a10e66e5bf727feeebc1d2640d1

```

## 觸發行為

此病毒會將畫面切換成CGA模式，並顯示以下的文字以及克勞蒂亞．雪佛的圖片：

```
Das ist ClaudiaSchiffer virus by OS
Sometimes when U stroling down the
Avenue the way U walk it makes men
Thinkof HAVING U when U walking
Down the street everybody stops
&  turns 2 stare at U! (IrM)
Hope 2 meet U...somewhere in time

```

在這個畫面時按下任意鍵回到DOS並還原畫面的顯示模式。

## 其他資料

### 關於圖片

克勞蒂亞．雪佛（Claudia Schiffer）是德國名模，也是演員和時裝設計師，自1990年代成名，在全世界最成功的模特兒當中佔一席位。在歐美時裝界她亦有「真人芭比」的稱號。
BlackIce

## BlackIce

### 別名

* BlackIce

BlackIce屬危險的檔案寄生加密病毒，在MS-DOS上運作。感染大小可變（基本感染大小1,930個位元組）。

## 感染行為

當病毒在RAM時，它使用INT 21h感染任何不小於65,536位元組（64KB）的EXE應用程式。受感染的程式可能會無法正常運作，繼而當掉電腦。

它不感染帶有以下字串作為檔名的檔案：

```
SCAN CLEAN F-PROT

```

## 進階資料

此病毒的TSR在記憶體佔用5,008位元組的空間。

MD5：

```
af18f757059cd091200e9f0acdb41349

```

## 觸發行為

危險的觸發行為在8月至12月發生。

如果病毒已經在RAM時，執行任何程式會觸發它，並將目前資料夾和子資料夾內的所有檔案刪除，並在刪除一個檔案後顯示一行文字：

```

```

然而因為程序編寫的問題，它可能無法刪除所有檔案，並令到系統癱瘓。

## 其他資料

此病毒包含以下加密了的內部字串：

```
by Phil Katz ITALY. See U Soon

```