                                                  Лозинский Д.Н.
                                                Москва, 292-40-76

               Антивирусная программа AIDSTEST.EXE
         Версия от 10.01.90 на 18 вирусов, длина 26671.

               Внимательно прочтите эту инструкцию
        и старайтесь строго  следовать ее рекомендациям.

        Учтите, что при неаккуратной работе с  антивирусными
    программами можно не только переносить с ними вирусы, но
    и  вместо  лечения  программных  файлов  безнадежно   их
    испортить, хотя в новых версиях программы AIDSTEST такая
    возможность скорее всего исключена.

                     1. Общие рекомендации.

    Панацеи от комтьютерных вирусов не существует и  существовать
не может.  Однако  соблюдение  следующих правил  по крайней  мере
снизит вероятность тяжелых последствий.

 1) При лечении своих  дисков от вирусов старайтесь  использовать
    заведомо чистую операционную систему, загруженную с дискетты.
    Защищайте   дискетты   от   записи,   если  есть  хоть  малая
    вероятность заражения.

 2) Избегайте  случайных связей.  Старайтесь пользоваться  только
    законными  путями  получения  программ.  Учтите, что AIDSTEST
    пока  распространяется  бесплатно.

 3) Не  собирайте  коллекции  антивирусных  программ неизвестного
    назначения. Во-первых, с ними  можно получить новый вирус,  а
    во-вторых, как  и в  медицине, иллюзии опасны несвоевременным
    началом настоящего лечения.

                    2. Основные возможности.
    Программа AIDSTEST предназначена в основном для обнаружения и
исправления программ, зараженных  определенными типами вирусов  -
всеми типами,  известными в  настоящее время  автору. В  процессе
исправления,  программные  файлы,  которые  исправить невозможно,
стираются.  Описание  вирусов   дается  ниже.  Список   постоянно
пополняется  по  мере  появления   в  Москве  новых  вирусов.   В
выдаваемых AIDSTEST сообщениях виды вирусов обозначаются  буквами
латинского   алфавита   (иногда   со   штрихом).  Многие  вирусы,
приписываясь к модулю, сначала округляют его длину, в связи с чем
в  длинах  могут  быть  отклонения.  Кроме  того  программу можно
использовать и для обнаружения вирусов новых типов. Для этого  ее
следует  скопировать   на  основной   диск  в   хорошо  доступную
директорию  и  почаще  запускать  без  параметров  (в частности в
процедуре  загрузки),  чтобы   она  оказалась  одной   из  первых
зараженных и сразу сообщила об этом.  Для удобства  идентификации
начиная с последней версии 1989 года в  протокол включена и длина
вируса.

A)  Длина  648. Наиболее  примитивный из  известных вирусов.  При
    загрузке в память просматривает  все COM программы в  текущем
    каталоге и в  доступных через PATH.  Первую найденную еще  не
    зараженную программу либо заражает, либо, с вероятностью 1/8,
    портит   таким   образом,   что   она  при  запуске  вызывает
    перезагрузку   системы.   Если   испорченной   таким  образом
    оказывается  одна  из  программ,  вызываемых из AUTOEXEC.BAT,
    процедура начальной загрузки зацикливается.

A') Длина  534.  Слегка  подправленная  версия  вируса A.  Скорее
    всего сделана личностью, считающей способность разобраться  в
    примитивной чужой программе признаком гениальности.

A") Длина  623.  Еще одна версия того-же вируса. Отличается нали-
    чием обработки ненормальных окончаний  (при защите записи со-
    общения появляться не должны). В имеющемся экземпляре  стран-
    ность, заключающаяся в том, что в "убиваемые" модули  пишется
    вместо перезагрузки переход по адресу  C000:0000.  Если у Вас
    будет обнаружен этот вирус, можете сами искать модули,  в на-
    чале которых стоит EA 00 00 00 C8, и стирать их с диска.

B)  Длина  1701.  Также  заражает  только  COM программы,  однако
    опознает их не по имени, а по внутреннему формату. Это широко
    известный вирус,  вызывающий осыпание  букв на  экране. Как и
    все следующие вирусы, он остается в памяти машины и  заражает
    запускаемые  после   него  программы.   Алгоритм  активизации
    использует  часы  и  устроен  таким  образом,  что  наблюдать
    деятельность этого вируса можно обычно только на PC-XT, да  и
    то   необходимо   устанавливать   дату.   На  AT  этот  вирус
    демонстрировал  свои  способности  только  в третьем квартале
    1988  года.  Приятной  особенностью  этого, как и большинства
    действительно   грамотно    написанных   вирусов,    является
    отсутствие непоправимых последствий его деятельности. Следует
    отметить, что автор вируса хотел сделать  его  не  заражающим
    машины фирмы IBM, но сделал в этом  месте  ошибку  (перепутал
    сегментный регистр.

C)  Длина 1808. Этот и все следующие вирусы заражает и EXE и  COM
    программы. К сожалению,  этот вирус различает  их по имени  и
    потому делает неработоспособными программы, у которых имя  не
    соответствует содержанию. Из-за ошибки этот вирус многократно
    заражает одну  и ту  же EXE  программу. Внешние  проявления -
    "черный  квадрат"  на  экране  (координаты  5,5  -  16,16)  и
    замедление работы машины.  Главная опасность от  него грозит,
    когда на  13 число  приходится пятница.  По таким  дням вирус
    стирает все загружаемые программы.

D)  Длина 2885. Очень грамотно написанный вирус. Против него пока
    беспомощны  резидентные  антивирусы,  следящие  за  записью в
    программные файлы. Единственным внешним проявлением  является
    очень редко исполняемая мелодия. Имеется разновидность длиной
    в 2933 байта, которая в протоколе помечаеся как (D').  Новей-
    шие исследования показали, что исполнение мелодии  начинается
    ровно в 16:59:53. Версия (D") имеет длину 2756 байт.

E)  Длина  1800.   Появился,  судя  по  содержимому, из Болгарии.
    Заражает программные  файлы даже  при их  чтении, из-за  чего
    размножается очень быстро.  Главная опасность состоит  в том,
    что вирус  портит на  диске относительно  случайно выбираемые
    сектора. При этом очень трудно определить, какие же  файлы он
    успел испортить. Судя по впечатлению, создавшемуся при анали-
    зе текста вируса, это проделывается при  каждом  шестнадцатом
    запуске зараженной программы. Испорченные сектора  содержат в
    начале  фразу   "Eddie lives...somewhere in time!",   которая
    имеется в начале вируса. После лечения диска можно  найти  по
    этому признаку все испорченные файлы. Эта фраза должна стоять
    по адресу, кратному 512.

F)  Длина  1339 при  заражении COM  и 1483  - EXE.  Заражение EXE
    программ  происходит   в  две   стадии.  После   первой  файл
    удлиняется на 132 байта. При диагностике AIDSTEST  обозначает
    эти файлы пометкой (FL). Похоже, что этот вирус ничем  плохим
    кроме размножения не занимается.  Для опознания может служить
    наличие внутри него слова VACSINA. Одно тонкое обстоятельство
    позволяет  предполагать,  что  этот  вирус  и (D) изготовлены
    одним автором. Вторая разновидность, имеющая  длину  для  COM
    1206, помечается (F').  Эта  разновидность  явно  изготовлена
    раньше, поскольку она еще портит дату коррекции файла.

G)  Длина 2568. Внешнее проявление такое же, как и у (D),  однако
    внутренняя организация довольно существенно отличается.  Этот
    вирус может служить лишним  аргументом в пользу того,  что он
    вместе с (D) и (F) принадлежат  перу  одного мастера.  Версия
    (G') имеет длину 2680 байт.

H)  Длина 1760. Из той же группы вирусов, что и ("D", "F" и "G").
    Играет  мелодию  перед  перезагрузкой  при нажатии на клавиши
    Ctrl+Alt+Del. Имеется версия (H') длиной 1805.

I)  Длина 529. Заражает только  COM, но различает типы  только по
    имени,  из-за  чего  делает неработоспособными EXE-программы,
    имеющие  расширение  COM.  Остается резидентным, перехватывая
    прерывание  21.  Никакой  вред  не предусмотрен. Не проверяет
    версию  операционной  системы,  но  использует имя программы,
    которое ставят в Environment версии не ниже 3.0. Записывается
    в начало,  переписывая старое  начало в  конец файла.  Внешне
    опознается только по длине.  Прислан из Ленинграда  15.12.89.
    Судя по всему автором является начинающий пакостник,  так как
    почти все передрано из знаменитого  "Израильского" вируса - в
    классификации AIDSTEST - вирус (C).  Есть  шансы на появление
    новых версий, поскольку предусмотрена  подпрограмма обработки
    EXE-файлов, которая пока состоит из одного RET.

    В новые версии программы добавлена обработка вирусов, заража-
ющих  секторы  начальной  загрузки  (BOOT-вирус). В протоколе они
обозначаются  как  "Вирус   в  начальном  секторе".   Эти  вирусы
предельно легко  обнаруживаются и  удаляются с  диска при помощи,
например,  программы  NU   (Norton  Utilities).  Работа   с  ними
вставлена  только  для  обеспечения  комплексности   обслуживания
трудящихся. Следует  отметить, что  при наличии  в машине  вируса
"Stone" вместе с каким либо другим BOOT-вирусом дискетты начинают
заражаться  обоими  вирусами  поочередно,  что  приводит к потере
правильного Boot  record'a и  невозможности ее  лечения иначе как
при помощи команды SYS. Если  же дискетта не системная и  команда
SYS не проходит, ее можно не лечить, а просто избегать  случайнух
попыток  загрузки   с  нее.   Впрочем,  у   Вас  всегда  остается
возможность повторной форматизации дискетты - даже 1.44 Мбайта не
так уж сложно дважды скопировать.


Ball - мячик.
    Внешнее  проявление  -  при  определенных  обстоятельствах на
    экране начинает бегать точка, отражающаяся от краев экрана  и
    букв. Исходный "Boot Record" записывается в свободный cluster
    который при  этом помечается  как испорченный  (Bad cluster).
    Никакого существенного вреда этот вирус кажется не наносит.


Stone.
    Внешнее проявление  - с  вероятностью 1/8  в момент  загрузки
    системы  на  экран  выдается  текст  "Your PC is now Stoned",
    после  чего  загрузка  нормально  продолжается.  Этот   вирус
    записывается в абсолютный начальный сектор диска, который  на
    твердых  дисках  содержит  Partition  Table.  Исходный сектор
    записывается по  абсолютному адресу  (цилиндр/головка/сектор)
    на гибком диске  0/1/3, а на  твердом 0/0/7. На  гибком диске
    360  Кб   это  последний   сектор  главного   каталога  (Root
    Directory), а на твердом чаще всего свободное место.  Никаких
    проверок в момент заражения не производится. Вирус  предельно
    примитивен. Для визуального опознания вируса  на диске  может
    служить  пламенный призыв: "LEGALISE MARIJUANA!".

                  2.1. О "музыкальной" группе.

    Как  отмечалось  выше,  вирусы  D,F,G,H  явно  написаны одним
автором. Их общим признаком является наличие за 4 от конца байтов
с шестнадцатеричным  значением F47A.  Следующий байт  (в файле он
предпоследний)  содержит  номер   версии  вируса.  Пока   в  нашу
коллекцию попали следующие версии (номера - шестнадцатеричные):

    5-F', 10-F, 18-H, 19-H', 21-G', 22-G, 26-D", 29-D', 2C-D.

    В   антивирусных   публикациях   отмечалось,   что  некоторые
представители  этой  компании  модифицируют  "Мячик".  По   моему
впечатлению из  этого не  следует, что  и он  принадлежит тому же
автору.

                          3. Параметры.

Вызов: AIDSTEST d: [/f] [/p] [/g]

где   d: - имя  диска.  Вместо  этого  параметра  можно поставить
           символ  "*",  который  означает  задание  на работу со
           всеми дисками, начиная с "C";

      /f - переключатель,  означающий   задание   на  исправление
           зараженных программ и стирание испорченных безнадежно;

      /p - задается при желании получить распечатку протокола на
           бумаге. При этом необходимо не забыть заранее включить
           печатающее устройство, поскольку напоминания не будет;

      /g - глобальная проверка всех  файлов на диске  (не  только
           COM и EXE).  Необходимость  такого режима вызвана тем,
           что некоторые вспомогательные  подпрограммы имеют рас-
           ширение имени  отличное от EXE и COM,  однако в момент
           загрузки некоторые вирусы успевают их заразить. С этим
           параметром программу  рекомендуется  запускать  только
           для чистки, когда известно о наличии в машине вируса.

    При неверном задании первого обязательного параметра на экран
выдается краткое описание программы.

           4. Сообщения и дополнительные возможности.

    Основной протокол AIDSTEST достаточно прост и понятен.

    Недоумение   может   вызвать   иногда  появляющееся  странное
сообщение о длине хвоста и подозрительных файлах. Появление этого
сообщения не означает действительное наличие вируса (и наоборот).
Это довольно слабый критерий, который, впрочем, помог  обнаружить
пару новых вирусов. Если у Вас появится такое сообщение, стоит на
всякий  случай  позвонить  по  телефону,  который  приводится   в
заставке.

    Значительно  серьезнее  следует   отнестись  к  сообщению   о
резидентном  вирусе.  Впрочем,  это  сообщение  иногда появляется
незаконно, например, при  использовании системы CLICK/MENU  фирмы
LOGITECH.  При   появлении  этого   сообщения  необходимо   очень
внимательно  разобраться  в  ситуации.  Нажимать  клавишу "N" для
продолжения без модификации памяти  можно только в случае,  когда
Вы абсолютно точно выяснили причину такого сообщения.

    AIDSTEST довольно  надежно контролирует  собственное здоровье
относительно  практически  любых  мыслимых  типов  вирусов.   Для
пакостников с болезненной жаждой самоутверждения ниже  приводятся
рекомендации по структуре  вируса, против которого  AIDSTEST пока
беззащитен.  При  обнаружении  собственного  заражения   AIDSTEST
выдает соответствующее сообщение.

    Последние  два  свойства  AIDSTEST  можно  использовать   для
индикации появления новых типов вирусов. Для этого AIDSTEST нужно
скопировать на диск в место, достаточно доступное для  заражения,
и  почаще   запускать  (для   скорости  можно   без  параметров).
Достаточно много  шансов, что  появление нового  вируса будет  им
обнаружено в памяти или в себе.

    Автор  обращается  с  убедительной  просьбой  ко  всем,   кто
обнаружит  у  себя  вирус  нового  типа,  передать ему зараженные
модули. В кратчайшее время вы получите новую версию для лечения и
этого типа вирусов. До  настоящего времени это отнимало  один-два
дня.

    С  22.11.89  программа   обнаруживает  и  обезвреживает   все
известные  ей  типы  вирусов  и  в  памяти машины. В связи с этим
обстоятельством можно не очень строго придерживаться рекомендации
об  использовании  в  момент  ловли  вирусов  чистой операционной
системы.

    Если программа обнаруживает и обезвреживает вирусы в  памяти,
то в конце на экран выдается рекомендация о перезагрузке системы.
Это не  означает наличия  реальной опасности  - известные  вирусы
надежно лишаются способности к размножению, но их прочие свойства
не убираются,  т.е. могут  продолжаться осыпания  букв, появления
черного квадрата и исполнение мелодии.

                ПРИЛОЖЕНИЕ. Для авторов вирусов.

    AIDSTEST  в  момент  запуска  считывает  начало  собственного
программного файла и проверяет точку входа. Простейший обход этой
проверки заключается в подстановке  в место точки входа  длинного
JMPa. Нужно только не  забыть добавить один элемент  в Relocation
Table  и  откорректировать  другие   ссылки  в  это  место.   Для
резидентных  вирусов  AIDSTEST  контролирует  в перехвате INT 21h
наличие  команд  "cmp  ah,4Bh"  или  "cmp ax,4B00h". Обход такого
контроля самоочевиден.

    Дерзайте! Что может быть приятнее, чем напакостить ближнему?
