Семейство Andryushka

Очень опасные резидентные полиморфик-вирусы. Записываются в конец СОМ- и ЕХЕ-файлов, кроме COMMAND.COM. При старте зараженного файла ищут и заражают файлы в каталогах диска, затем перехватывают INT 21h, остаются резидентно и заражают файлы из своих TSR-копий при их открытии, выполнении, переименовании и т. д.

Andryushka.3536 при заражении переводит ЕХЕ-файлы в СОМ-формат (см. вирус "VACSINA"). Вирус внедряется в середину файла, при этом та часть заражаемого файла, куда записывается вирус, шифруется и помещается в конец заражаемого файла.

Вирусы достаточно сложно работают с обработчиками прерываний: сохраняют в своем теле часть обработчика INT 25h, а на освободившееся место записывают свой код (вызов INT 21h). При вызове INT 25h восстанавливают первоначальный обработчик INT 25h.

Организуют счетчики в загрузочных секторах дисков и в зависимости от их значения могут уничтожить несколько секторов на диске С:. При этом проигрывают мелодию и выводят на экран текст:

Hello!!!

My name is Andryushka

I come from Perm, USSR

Также содержат текст "insuffisient memory".

Ansi.881

Очень опасный нерезидентный вирус. При запуске ищет.ANS-файлы (по маске *.ANS) и записывается вместо них. При выводе зараженного файла на экран (если установлен драйвер ANSI) вирус пытается переименовать зараженный файл в СОМ и запустить его. Затем вирус выводит картинку.