                                                  Лозинский Д.Н.
                                                Москва, 292-40-76

               Антивирусная программа AIDSTEST.EXE
         Версия от 10.01.90 на 18 вирусов, длина 26671.

               Внимательно прочтите эту инструкцию
        и старайтесь строго  следовать ее рекомендациям.

        Учтите, что при неаккуратной работе с  антивирусными
    программами можно не только переносить с ними вирусы, но
    и  вместо  лечения  программных  файлов  безнадежно   их
    испортить, хотя в новых версиях программы AIDSTEST такая
    возможность скорее всего исключена.

                     1. Общие рекомендации.

    Панацеи от комтьютерных вирусов не существует и  существовать
не может.  Однако  соблюдение  следующих правил  по крайней  мере
снизит вероятность тяжелых последствий.

 1) При лечении своих  дисков от вирусов старайтесь  использовать
    заведомо чистую операционную систему, загруженную с дискетты.
    Защищайте   дискетты   от   записи,   если  есть  хоть  малая
    вероятность заражения.

 2) Избегайте  случайных связей.  Старайтесь пользоваться  только
    законными  путями  получения  программ.  Учтите, что AIDSTEST
    пока  распространяется  бесплатно.

 3) Не  собирайте  коллекции  антивирусных  программ неизвестного
    назначения. Во-первых, с ними  можно получить новый вирус,  а
    во-вторых, как  и в  медицине, иллюзии опасны несвоевременным
    началом настоящего лечения.

                    2. Основные возможности.

    Программа AIDSTEST предназначена в основном для обнаружения и
исправления программ, зараженных  определенными типами вирусов  -
всеми типами,  известными в  настоящее время  автору. В  процессе
исправления,  программные  файлы,  которые  исправить невозможно,
стираются.  Описание  вирусов   дается  ниже.  Список   постоянно
пополняется  по  мере  появления   в  Москве  новых  вирусов.   В
выдаваемых AIDSTEST сообщениях виды вирусов обозначаются  буквами
латинского  алфавита  (иногда  со  штрихом).  Пропуски в алфавите
вызваны тем, что ряд вирусов был объединен в одну группу с  новым
обозначением.  Многие  вирусы,  приписываясь  к  модулю,  сначала
округляют  его  длину,  в  связи  с  чем  в  длинах  могут   быть
отклонения.

    Программу можно использовать и для обнаружения вирусов  новых
типов. Для этого ее следует скопировать на основной диск в хорошо
доступную  директорию  и  почаще  запускать  без  параметров   (в
частности в  процедуре загрузки),  чтобы она  оказалась одной  из
первых  зараженных  и  сразу  сообщила  об  этом.  Для   удобства
идентификации начиная  с последней  версии 1989  года в  протокол
включена и длина вируса.

A)  Длина  648. Наиболее  примитивный из  известных вирусов.  При
    загрузке в память просматривает  все COM программы в  текущем
    каталоге и в  доступных через PATH.  Первую найденную еще  не
    зараженную программу либо заражает, либо, с вероятностью 1/8,
    портит   таким   образом,   что   она  при  запуске  вызывает
    перезагрузку   системы.   Если   испорченной   таким  образом
    оказывается  одна  из  программ,  вызываемых из AUTOEXEC.BAT,
    процедура начальной загрузки зацикливается.

A') Длина  534.  Слегка  подправленная  версия  вируса A.  Скорее
    всего сделана личностью, считающей способность разобраться  в
    примитивной чужой программе признаком гениальности.

A") Длина  623.  Еще одна версия того-же вируса. Отличается нали-
    чием обработки ненормальных окончаний  (при защите записи со-
    общения появляться не должны). В имеющемся экземпляре  стран-
    ность, заключающаяся в том, что в "убиваемые" модули  пишется
    вместо перезагрузки переход по адресу  C000:0000.  Если у Вас
    будет обнаружен этот вирус, можете сами искать модули,  в на-
    чале которых стоит EA 00 00 00 C8, и стирать их с диска.

B)  Длина  1701.  Также  заражает  только  COM программы,  однако
    опознает их не по имени, а по внутреннему формату. Это широко
    известный вирус,  вызывающий осыпание  букв на  экране. Как и
    все следующие вирусы, он остается в памяти машины и  заражает
    запускаемые  после   него  программы.   Алгоритм  активизации
    использует  часы  и  устроен  таким  образом,  что  наблюдать
    деятельность этого вируса можно обычно только на PC-XT, да  и
    то   необходимо   устанавливать   дату.   На  AT  этот  вирус
    демонстрировал  свои  способности  только  в третьем квартале
    1988  года.  Приятной  особенностью  этого, как и большинства
    действительно   грамотно    написанных   вирусов,    является
    отсутствие непоправимых последствий его деятельности. Следует
    отметить, что автор вируса хотел сделать  его  не  заражающим
    машины фирмы IBM, но сделал в этом  месте  ошибку  (перепутал
    сегментный регистр.

C)  Длина 1808. Этот и все следующие вирусы заражает и EXE и  COM
    программы. К сожалению,  этот вирус различает  их по имени  и
    потому делает неработоспособными программы, у которых имя  не
    соответствует содержанию. Из-за ошибки этот вирус многократно
    заражает одну  и ту  же EXE  программу. Внешние  проявления -
    "черный  квадрат"  на  экране  (координаты  5,5  -  16,16)  и
    замедление работы машины.  Главная опасность от  него грозит,
    когда на  13 число  приходится пятница.  По таким  дням вирус
    стирает все загружаемые программы.

E)  Длина  1800.   Появился,  судя  по  содержимому, из Болгарии.
    Заражает программные  файлы даже  при их  чтении, из-за  чего
    размножается очень быстро.  Главная опасность состоит  в том,
    что вирус  портит на  диске относительно  случайно выбираемые
    сектора. При этом очень трудно определить, какие же  файлы он
    успел испортить. Судя по впечатлению, создавшемуся при анали-
    зе текста вируса, это проделывается при  каждом  шестнадцатом
    запуске зараженной программы. Испорченные сектора  содержат в
    начале  фразу   "Eddie lives...somewhere in time!",   которая
    имеется в начале вируса. После лечения диска можно  найти  по
    этому признаку все испорченные файлы. Эта фраза должна стоять
    по адресу, кратному 512.

I)  Длина 529. Заражает только  COM, но различает типы  только по
    имени,  из-за  чего  делает неработоспособными EXE-программы,
    имеющие  расширение  COM.  Остается резидентным, перехватывая
    прерывание  21.  Никакой  вред  не предусмотрен. Не проверяет
    версию  операционной  системы,  но  использует имя программы,
    которое ставят в Environment версии не ниже 3.0. Записывается
    в начало,  переписывая старое  начало в  конец файла.  Внешне
    опознается только по длине.  Прислан из Ленинграда  15.12.89.
    Судя по всему автором является начинающий пакостник,  так как
    почти все передрано из знаменитого  "Израильского" вируса - в
    классификации AIDSTEST - вирус (C).  Есть  шансы на появление
    новых версий, поскольку предусмотрена  подпрограмма обработки
    EXE-файлов, которая пока состоит из одного RET.

M)  Весьма большая группа вирусов одного автора.  Внутри  каждого
    из них есть номер разновидности  в  авторской  классификации.
    Этот  номер  приводится в  протоколе  вслед  за  буквой  "M".
    Подробности о разных  версиях  приведены в отдельном  разделе
    ниже.

                2.1. Вирусы в начальном секторе.

    В новые версии программы добавлена обработка вирусов, заража-
ющих  секторы  начальной  загрузки  (BOOT-вирус). В протоколе они
обозначаются  как  "Вирус   в  начальном  секторе".   Эти  вирусы
предельно легко  обнаруживаются и  удаляются с  диска при помощи,
например,  программы  NU   (Norton  Utilities).  Работа   с  ними
вставлена  только  для  обеспечения  комплексности   обслуживания
трудящихся. Следует  отметить, что  при наличии  в машине  вируса
"Stone" вместе с каким либо другим BOOT-вирусом дискетты начинают
заражаться  обоими  вирусами  поочередно,  что  приводит к потере
правильного Boot  record'a и  невозможности ее  лечения иначе как
при помощи команды SYS. Если  же дискетта не системная и  команда
SYS не проходит, ее можно не лечить, а просто избегать  случайнух
попыток  загрузки   с  нее.   Впрочем,  у   Вас  всегда  остается
возможность повторной форматизации дискетты - даже 1.44 Мбайта не
так уж сложно дважды скопировать.


Ball - мячик.
    Внешнее  проявление  -  при  определенных  обстоятельствах на
    экране начинает бегать точка, отражающаяся от краев экрана  и
    букв. Исходный "Boot Record" записывается в свободный cluster
    который при  этом помечается  как испорченный  (Bad cluster).
    Никакого существенного вреда этот вирус кажется не наносит.


Stone.
    Внешнее проявление  - с  вероятностью 1/8  в момент  загрузки
    системы  на  экран  выдается  текст  "Your PC is now Stoned",
    после  чего  загрузка  нормально  продолжается.  Этот   вирус
    записывается в абсолютный начальный сектор диска, который  на
    твердых  дисках  содержит  Partition  Table.  Исходный сектор
    записывается по  абсолютному адресу  (цилиндр/головка/сектор)
    на гибком диске  0/1/3, а на  твердом 0/0/7. На  гибком диске
    360  Кб   это  последний   сектор  главного   каталога  (Root
    Directory), а на твердом чаще всего свободное место.  Никаких
    проверок в момент заражения не производится. Вирус  предельно
    примитивен. Для визуального опознания вируса  на диске  может
    служить  пламенный призыв: "LEGALISE MARIJUANA!".

                  2.2. О "музыкальной" группе.

    В эту группу входит довольно большое количество вирусов, явно
сочиненных одним автором. Их общим признаком является наличие  за
4 от конца байтов  с шестнадцатеричным значением F47A.  Следующий
байт (в  файле он  предпоследний) содержит  номер версии  вируса.
Пока  в  нашу  коллекцию   попали  следующие  версии  (номера   -
шестнадцатеричные):

    04, 05, 10, 18, 19, 21, 22, 26, 27, 29, 2C, 2D.

    Ранние  версии   AIDSTEST  обозначали   представителей  этого
семейства буквами D, F, G, H, отмечая развитие способов заражения
и внешних проявлений.  Теперь они все  обозначаются буквой (M)  с
добавлением шестнадцатеричного номера. В литературе представители
этого семейства  известны под  именами VACSINA  (до 10  номера) и
Yankee  Doodle  Virus  (все  остальные).  Общей  для  всех версий
является способность заражать как COM, так и EXE программы.

    В  антивирусных  публикациях  уже  отмечалось,  что последние
представители этой компании (начиная с 29) модифицируют  "Мячик".
По моему впечатлению  из этого не  следует, что и  он принадлежит
тому же автору.

    Ниже описано все, что удалось выяснить о развитии версий из
анализа известных с некоторой долей интерполяции.

    До версии 5 при заражении портится дата создания файла.

    До 9 включительно  при заражении COM  требуется, чтобы первой
командой была JMP (код E9).

    До 10 заражение  EXE программ производит  в два приема  - при
первом  программа  формально  приводится  к  формату  EXE и к ней
добавляется  фрагмент  длиной  132  байта,  который  обеспечивает
преобразование EXE программы в памяти для ее правильной работы, а
при втором  - получившийся  агрегат заражается  как обычный  COM.
Если AIDSTEST встречает такой агрегат, он помечает его как (FL).

    Следующие  версии  включая  22  также  преобразуют EXE в COM,
однако делают это  в один прием.  Пока не известно,  где проходит
граница между 10 и 18 версиями.

    Начиная  с  версии  23  EXE  программы сохраняют свой формат,
причем во  всех заражаемых  модулях со  смещением 0x12  от начала
стоит расстояние до начала вируса, деленное на 16. Одновременно в
начале вируса дублируется пароль  F47A и номер версии.  Версия 2D
при заражении EXE в конец файла эту информацию не пишет.

    С  версии  18  размножение  не  обнаруживается   резидентными
антивирусными  программами,  следящими  за  записью в программные
файлы,  поскольку  вирус  передает  управление  непосредственно в
MSDOS, обходя сторожей.

    С  версии  21  вирусы  принимают  очень хитрые меры защиты от
вирусологов.  Вирус  оказывается  "невидимым"  при попытке пройти
через его  резидентную часть  отладчиком в  пошаговом режиме  или
поставить внутри  останов (Breakpoint).  Кроме того,  при попытке
изучить явно  зараженную программу  при помощи  DEBUG, она  вдруг
оказывается здоровой, конечно если вирус уже находится в памяти.

    В пользу  автора этих  вирусов следует  сказать, что  никакие
подлые шутки в них не предусмотрены. Более того, принимаются  все
меры  для  того,  чтобы  зараженные  программы  всегда   работали
правильно.  Даже   попытка  умышленно   заразить  программу   для
коллекции не всегда  кончается успехом. До  версии 10 не  удалось
обнаружить вообще никаких  шуток, а остальные  исполняют мелодию,
которую знатоки  идентифицируют как  Янки Дудль  (Yankee Doodle).
Версии 18-19 исполняют ее перед перезагрузкой по CTRL+ALT+DEL,  a
следующие в 17 часов (точнее в 16:59:53).

    Остается выразить сожаление, что явно талантливый программист
потратил столько сил  и изобретательности на  такую неблагодарную
работу, которая даже для саморекламы не очень годится.

                          3. Параметры.

Вызов: AIDSTEST d: [/f] [/p] [/g]

где   d: - имя  диска.  Вместо  этого  параметра  можно поставить
           символ  "*",  который  означает  задание  на работу со
           всеми дисками, начиная с "C";

      /f - переключатель,  означающий   задание   на  исправление
           зараженных программ и стирание испорченных безнадежно;

      /p - задается при желании получить распечатку протокола на
           бумаге. При этом необходимо не забыть заранее включить
           печатающее устройство, поскольку напоминания не будет;

      /g - глобальная проверка всех  файлов на диске  (не  только
           COM и EXE).  Необходимость  такого режима вызвана тем,
           что некоторые вспомогательные  подпрограммы имеют рас-
           ширение имени  отличное от EXE и COM,  однако в момент
           загрузки некоторые вирусы успевают их заразить. С этим
           параметром программу  рекомендуется  запускать  только
           для чистки, когда известно о наличии в машине вируса.

    При неверном задании первого обязательного параметра на экран
выдается краткое описание программы.

           4. Сообщения и дополнительные возможности.

    Основной протокол AIDSTEST достаточно прост и понятен.

    Недоумение   может   вызвать   иногда  появляющееся  странное
сообщение о длине хвоста и подозрительных файлах. Появление этого
сообщения не означает действительное наличие вируса (и наоборот).
Это довольно слабый критерий, который, впрочем, помог  обнаружить
пару новых вирусов. Если у Вас появится такое сообщение, стоит на
всякий  случай  позвонить  по  телефону,  который  приводится   в
заставке.

    Значительно  серьезнее  следует   отнестись  к  сообщению   о
резидентном  вирусе.  Впрочем,  это  сообщение  иногда появляется
незаконно, например, при  использовании системы CLICK/MENU  фирмы
LOGITECH.  При   появлении  этого   сообщения  необходимо   очень
внимательно  разобраться  в  ситуации.  Нажимать  клавишу "N" для
продолжения без модификации памяти  можно только в случае,  когда
Вы абсолютно точно выяснили причину такого сообщения.

    AIDSTEST довольно  надежно контролирует  собственное здоровье
относительно  практически  любых  мыслимых  типов  вирусов.   Для
пакостников с болезненной жаждой самоутверждения ниже  приводятся
рекомендации по структуре  вируса, против которого  AIDSTEST пока
беззащитен.  При  обнаружении  собственного  заражения   AIDSTEST
выдает соответствующее сообщение.

    Последние  два  свойства  AIDSTEST  можно  использовать   для
индикации появления новых типов вирусов. Для этого AIDSTEST нужно
скопировать на диск в место, достаточно доступное для  заражения,
и  почаще   запускать  (для   скорости  можно   без  параметров).
Достаточно много  шансов, что  появление нового  вируса будет  им
обнаружено в памяти или в себе.

    Автор  обращается  с  убедительной  просьбой  ко  всем,   кто
обнаружит  у  себя  вирус  нового  типа,  передать ему зараженные
модули. В кратчайшее время вы получите новую версию для лечения и
этого типа вирусов. До  настоящего времени это отнимало  один-два
дня.

    С  22.11.89  программа   обнаруживает  и  обезвреживает   все
известные  ей  типы  вирусов  и  в  памяти машины. В связи с этим
обстоятельством можно не очень строго придерживаться рекомендации
об  использовании  в  момент  ловли  вирусов  чистой операционной
системы.

    Если программа обнаруживает и обезвреживает вирусы в  памяти,
то в конце на экран выдается рекомендация о перезагрузке системы.
Это не  означает наличия  реальной опасности  - известные  вирусы
надежно лишаются способности к размножению, но их прочие свойства
не убираются,  т.е. могут  продолжаться осыпания  букв, появления
черного квадрата и исполнение мелодии.

                ПРИЛОЖЕНИЕ. Для авторов вирусов.

    AIDSTEST  в  момент  запуска  считывает  начало  собственного
программного файла и проверяет точку входа. Простейший обход этой
проверки заключается в подстановке  в место точки входа  длинного
JMPa. Нужно только не  забыть добавить один элемент  в Relocation
Table  и  откорректировать  другие   ссылки  в  это  место.   Для
резидентных  вирусов  AIDSTEST  контролирует  в перехвате INT 21h
наличие  команд  "cmp  ah,4Bh"  или  "cmp ax,4B00h". Обход такого
контроля самоочевиден.

    Дерзайте! Что может быть приятнее, чем напакостить ближнему?
