Вирусы, замещающие программный код (Overwrite)

Такие вирусы уже стали раритетом. Главный их недостаток - слишком

грубая работа. Инфицированные программы не исполняются, так как

вирус записывается поверх программного кода, не сохраняя его. При

запуске вирус ищет очередную жертву (или жертвы), открывает найден-

ный файл для редактирования и записывает свое тело в начало про-

граммы, не сохраняя оригинальный код. Инфицированные этими виру-

сами программы лечению не подлежат.

Как уже говорилось, этот вид вирусов уже давно мертв. Изредка появ-

ляются еще такие вирусы, созданные на языке Assembler, но это, скорее,

соревнование в написании самого маленького overwrite-вируса. На дан-

ный момент самый маленький из известных overwrite-вирусов написан

Reminder'ом (Death Virii Crew group) и занимает 22 байта.

Алгоритм работы overwrite-вируса следующий:

1. Открыть файл, из которого вирус получил управление.

2. Считать в буфер код вируса.

3. Закрыть файл.

4. Искать по маске подходящий для заражения файл.

5. Если файлов больше не найдено, перейти к пункту 11.

6. Открыть найденный файл.

7. Проверить, не заражен ли найденный файл этим вирусом.

8. Если файл заражен, перейти к пункту 10.

9. Записать в начало файла код вируса.

10. Закрыть файл (по желанию можно заразить от одного до всех фай-

лов в каталоге или на диске).

11. Выдать на экран какое-либо сообщение об ошибке, например

"Abnormal program termination" или "Not enough memory", - пусть

пользователь не слишком удивляется тому, что программа не запу-

стилась.

12. Завершить программу.