Введение

Семейство компьютерных вирусов "Онтарио" – это семейство компьютерных вирусов, названное в честь места их обнаружения, канадской провинции Онтарио. В это семейство входят вирусы Ontario.1024, Ontario.512 и Ontario.2048. Первый вариант, Ontario.512, был обнаружен в июле 1990 года. Поскольку Ontario.1024 также был обнаружен в Онтарио, вероятно, что оба вируса были созданы в пределах этой провинции. К моменту появления варианта Ontario.2048 автор уже использовал название "Онтарио" для обозначения всего семейства и даже включил в код вируса строку "Онтарио 3".

Инфекция

Ontario.512 – шифрующий файловый DOS-инфектор. При запуске зараженного COM, EXE или OVL файла, Ontario.512 устанавливается в память и заражает файлы этих типов при их открытии. Файл COMMAND.COM заражается с использованием специальной подпрограммы. Размер зараженных файлов увеличивается на 512 байт (для COM-файлов) или от 512 до 1023 байт (для EXE и OVL-файлов). На некоторых системах с большими секторами файлов размер зараженных файлов этих типов может увеличиваться более чем на 1023 байта.

Симптомы

Онтарио.512 заражает преимущественно файлы, поэтому ярко выраженных симптомов нет. Два основных признака:

Увеличение размера зараженных COM-файлов на 512 байт. Увеличение размера зараженных EXE и OVL-файлов на 512–1023 байта, а на некоторых системах – и больше. Системы, серьезно зараженные Ontario.512, со временем могут столкнуться с растущей порчей файлов и другими проблемами с жестким диском. В семействе вирусов Ontario наблюдались неуточненные проблемы с принтерами, однако большинство этих случаев связано с Ontario.1024, а не с Ontario.512. Неизвестно, в чем заключаются эти проблемы и затрагивают ли они Ontario.512. Увеличение размера COM-файлов в сочетании с увеличением размера EXE и OVL-файлов является хорошим индикатором заражения Ontario.512, хотя изменение длины файлов характерно для большинства файловых вирусов.

Распространенность

WildList, организация, отслеживающая компьютерные вирусы, никогда не сообщала о появлении Ontario.512 в реальных условиях. Однако Ontario.1024 некоторое время находился в списке. Неизвестно, была ли Ontario.512 обнаружена в реальных условиях или на BBS в Торонто, где была опубликована Ontario.2048.

Онтарио.1024

Ontario.1024 – компьютерный вирус, обнаруженный в октябре 1991 года, более чем через год после обнаружения первого вируса Ontario, Ontario.512. По сравнению с Ontario.512, большинство изменений направлены на затруднение его обнаружения.

Инфекция

Ontario.1024 – это шифрующий, скрытный файловый вирус для DOS. При запуске зараженного COM или EXE файла, Ontario.1024 устанавливается в память и заражает файлы этих типов при их открытии. Файл COMMAND.COM заражается с использованием специальной подпрограммы. Размер зараженных файлов увеличивается на 1024 байта. Однако, пока Ontario.1024 находится в памяти, увеличения размера файла не будет заметно благодаря механизмам скрытности вируса. В отличие от Ontario.512, он не заражает файлы OVL.

Симптомы

Ontario.1024 – наименее легко идентифицируемая версия семейства Ontario. Можно наблюдать следующие симптомы:

Увеличение размера зараженных COM- и EXE-файлов на 1024 байта. Уменьшение объема доступной системной памяти на 3072 байта. Изменение размера файла после запуска исполняемых (зараженных) файлов, отображающее исходный размер файла. Периодические проблемы с принтером. Первые три симптома являются хорошими признаками присутствия вируса, но не обязательно указывают именно на Ontario.1024.

Распространенность

В WildList, организации, отслеживающей компьютерные вирусы, Ontario.1024 был зарегистрирован как активный с июля 1993 года по декабрь 1998 года, когда он был исключен из списка из-за отсутствия предоставленного образца. Согласно этим отчетам, в период пиковой активности в 1994–1995 годах Ontario.1024 распространился так же широко, как в Австралии и Израиле. Как и все вирусы, заражающие DOS-файлы, распространение Ontario.1024 значительно замедлилось с появлением Windows. Trend Micro сообщает о 301 заражении с 6 ноября 2000 года, при этом к 2005 году частота снизилась примерно до одного-двух случаев в месяц.

Онтарио. 2048

Ontario.2048 – компьютерный вирус, обнаруженный в сентябре 1992 года. Это третий и последний известный вариант семейства Ontario, как по времени появления, так и по сложности. Из-за значительных отличий от исходного вируса, некоторые производители относят его к отдельному семейству, поэтому он также известен под именем Bootache.2048.

Инфекция

Ontario.2048 – шифрующий, полиморфный, скрытный DOS-вирус, заражающий файлы. При запуске зараженного COM, EXE, OVL или SYS файла, Ontario.2048 становится резидентным в памяти и заражает файлы этих типов при их открытии. Файл COMMAND.COM заражается с использованием специальной процедуры и не увеличивается в размере. Размер зараженных файлов увеличивается на 2048 байт. Однако, когда Ontario.2048 находится в памяти, увеличение размера файла не наблюдается из-за маскировки вируса. Если в памяти запущена программа DOS DEBUG, Ontario.2048 обнаруживает ее и дезинфицирует программы в памяти, чтобы избежать анализа. Ontario.2048 также использует чрезвычайно сложную систему шифрования; различные образцы Ontario.2048 могут иметь только два общих байта.

Распространенность

WildList, организация, отслеживающая компьютерные вирусы, никогда не регистрировала Ontario.2048 как активный в реальных условиях. Однако Ontario.1024 некоторое время находился в списке. Как и все вирусы, заражающие DOS-файлы, распространение Ontario.2048 значительно замедлилось с появлением Windows. Статистика Trend Micro сообщает лишь о двух случаях заражения с 6 ноября 2006 года, что свидетельствует об устаревании этого вируса.