                                             Лозинский Д.Н.
                                          Москва, 292-40-76

            Антивирусная программа AIDSTEST.EXE

            Версия 29 от 18.04.90, длина 34595.

            Внимательно прочтите эту инструкцию
     и старайтесь строго  следовать ее рекомендациям.

    Учтите, что  при неаккуратной  работе  с  антивирусными
программами можно  не только переносить с ними вирусы, но и
вместо лечения  программных файлов безнадежно их испортить,
хотя в  новых версиях  программы AIDSTEST такая возможность
скорее  всего   исключена.  Поскольку  программа  постоянно
переделывается   для   включения   новых   типов   вирусов,
гарантировано наличие  в ней  некоторого количества ошибок.
Есть впрочем  надежда, что  они принесут  меньше вреда, чем
вирусы.


                  1. Общие рекомендации.

    Панацеи  от   компьютерных  вирусов   не  существует  и
существовать не  может. Однако  соблюдение следующих правил
по крайней мере снизит вероятность тяжелых последствий.

    1) При  лечении  своих  дисков  от  вирусов  старайтесь
использовать   заведомо    чистую   операционную   систему,
загруженную с  дискетты. Защищайте дискетты от записи, если
есть хоть малая вероятность заражения.

    2) Избегайте случайных  связей. Старайтесь пользоваться
только законными путями получения программ.

    3) Не   собирайте   коллекции   антивирусных   программ
неизвестного назначения.  Во-первых, с  ними можно получить
новый вирус,  а во-вторых, как и в медицине, иллюзии опасны
несвоевременным началом настоящего лечения.

    4) Не используйте  одновременно с  AIDSTEST резидентные
антивирусные программы типа FluShot, а если используете, не
удивляйтесь, если не получите положительного результата.


                 2. Основные возможности.

    Программа  AIDSTEST   предназначена  в   основном   для
обнаружения    и     исправления    программ,    зараженных
определенными типами  вирусов -  всеми типами, известными в
настоящее время автору. В процессе исправления, программные
файлы, которые  исправить невозможно,  стираются.  Описание
вирусов дается  ниже. Список  постоянно пополняется по мере
появления в  Москве новых  вирусов. В  выдаваемых  AIDSTEST
сообщениях виды  вирусов долгое  время обозначались буквами
латинского  алфавита   (иногда  со  штрихами).  Пропуски  в
алфавите вызваны  тем, что ряд вирусов был объединен в одну
группу с  новым обозначением. В последнее время эта система
обозначений пересматривается. Многие вирусы, приписываясь к
модулю, сначала  округляют его  длину, в связи с чем длины,
приводимые в  списке вирусов,  могут отличаться от величины
изменения длины файла. Для удобства идентификации начиная с
последней версии  1989 года  в протокол  включена  и  длина
вируса.

    Поскольку в  последнее  время  широкое  распространение
получила программа  SCAN, предназначенная  для  обнаружения
самого  большого   количества  вирусов,   везде,  где   это
возможно, приводится название вируса в ее классификации.

    Программу AIDSTEST можно использовать и для обнаружения
вирусов новых  типов. Для  этого ее  следует скопировать на
основной  диск  в  хорошо  доступную  директорию  и  почаще
запускать  без   параметров  (в   частности   в   процедуре
загрузки), чтобы она оказалась одной из первых зараженных и
сразу сообщила об этом.

A)   Длина   648.    Наиболее   примитивный    из    широко
     распространенных  вирусов.   При  загрузке   в  память
     просматривает все COM программы в текущем каталоге и в
     доступных  через   PATH.  Первую   найденную  еще   не
     зараженную   программу    либо   заражает,   либо,   с
     вероятностью 1/8,  портит таким  образом, что  она при
     запуске   вызывает    перезагрузку    системы.    Если
     испорченной  таким   образом   оказывается   одна   из
     программ,  вызываемых   из   AUTOEXEC.BAT,   процедура
     начальной  загрузки   зацикливается.   Самым   опасным
     свойством этого  вируса оказалась  его простота. Из-за
     этого в  малопочтенное общество авторов вирусов смогла
     вступить группа  личностей,  способных  разобраться  в
     несложной чужой  программе и слегка ее модифицировать.
     Таким образом появилось несколько разновидностей этого
     вируса,  отличающихся   от  него   длинами.  Пока  мне
     известны длины 534, 623, 627. В модификации длиной 623
     вместо ухода  на перезагрузку  стоит переход по адресу
     C800:0000.  Вероятно   предполагалось,  что  от  этого
     произойдет  форматизация   диска.  Если  у  Вас  будет
     обнаружен этот  вирус, можете  сами искать  модули,  в
     начале которых  стоит EA  00 00  00 C8, и стирать их с
     диска. Думаю,  что предметом  особой  гордости  автора
     этой модификации  была обработка  ошибок ввода/вывода,
     благодаря  чему   не  должны  выдаваться  сообщения  о
     попытке записи  на защищенную  дискетту. В  версии 627
     отключена ветка  порчи программ,  в связи  с  чем  она
     занимается только  размножением.  SCAN  идентифицирует
     оригинальный вирус  и вариант 534 как "Vienna (DOS 62)
     Virus -  Version A  [Vienna]". Оригинальный  вирус  и,
     если не  ошибаюсь, все модификации помечают зараженные
     файлы,  проставляя   во  времени  коррекции  файла  62
     секунды.  При   лечении  эта   пометка  не  снимается.
     Некоторые  антивирусные  программы  реагируют  на  эту
     пометку, заявляя о наличии вируса "Time Stamp".

B)   Длина  1701.  Также  заражает  только  COM  программы,
     однако опознает  их не  по  имени,  а  по  внутреннему
     формату.  Это   широко  известный   вирус,  вызывающий
     осыпание букв  на экране.  Как и все следующие вирусы,
     он остается  в памяти  машины и  заражает  запускаемые
     после него  программы. Алгоритм активизации использует
     часы  и   устроен   таким   образом,   что   наблюдать
     деятельность этого  вируса можно  обычно только на PC-
     XT, да  и то необходимо устанавливать дату. На AT этот
     вирус демонстрировал свои способности только в третьем
     квартале 1988 года. Приятной особенностью этого, как и
     большинства действительно грамотно написанных вирусов,
     является  отсутствие   непоправимых  последствий   его
     деятельности. Следует отметить, что автор вируса хотел
     сделать его  не заражающим машины фирмы IBM, но сделал
     в этом  месте ошибку  (перепутал сегментный  регистр).
     Название  в  классификации  SCAN  "1701/1704  Virus  -
     Version B [170X]".

C)   Длина  1808.   Заражает  и  EXE  и  COM  программы.  К
     сожалению, этот  вирус различает  их по имени и потому
     делает неработоспособными  программы, у которых имя не
     соответствует  содержанию.  Из-за  ошибки  этот  вирус
     многократно заражает  одну  и  ту  же  EXE  программу.
     Внешние  проявления   -  "черный  квадрат"  на  экране
     (координаты 5,5  - 16,16)  и замедление работы машины.
     Главная опасность  от него  грозит, когда  на 13 число
     приходится пятница.  По таким  дням вирус  стирает все
     загружаемые программы.  Название в  классификации SCAN
     "Jerusalem Virus Version B [Jeru]".

E)   Длина 1800.  Заражает и  EXE и  COM. Появился, судя по
     содержимому, из  Болгарии. Заражает  программные файлы
     даже при  их чтении,  из-за  чего  размножается  очень
     быстро. Главная  опасность состоит  в том,  что  вирус
     портит  на   диске  относительно  случайно  выбираемые
     сектора. При  этом очень  трудно определить,  какие же
     файлы  он   успел  испортить.   Судя  по  впечатлению,
     создавшемуся   при    анализе   текста   вируса,   это
     проделывается   при    каждом   шестнадцатом   запуске
     зараженной программы.  Испорченные сектора  содержат в
     начале  фразу   "Eddie  lives...somewhere  in  time!",
     которая имеется  в начале  вируса. После лечения диска
     можно найти  по этому  признаку все испорченные файлы.
     Эта фраза  должна  стоять  по  адресу,  кратному  512.
     Название по SCAN "Dark Avenger virus [Dav]".

I)   Длина 529.  Заражает только  COM,  но  различает  типы
     только по  имени, из-за чего делает неработоспособными
     EXE-программы,  имеющие   расширение   COM.   Остается
     резидентным, перехватывая  прерывание 21. Никакой вред
     не  предусмотрен.  Не  проверяет  версию  операционной
     системы, но использует имя программы, которое ставят в
     Environment версии не ниже 3.0. Записывается в начало,
     переписывая  старое   начало  в  конец  файла.  Внешне
     опознается только  по  длине.  Прислан  из  Ленинграда
     15.12.89. Судя  по всему  автором является  начинающий
     пакостник, так  как почти все передрано из знаменитого
     "Израильского" вируса  - в  классификации  AIDSTEST  -     
     вирус (C).  Есть  шансы  на  появление  новых  версий,
     поскольку предусмотрена  подпрограмма  обработки  EXE-
     файлов, которая пока состоит из одного RET.

M)   Весьма большая  группа вирусов  одного автора.  Внутри
     каждого из  них есть  номер разновидности  в авторской
     классификации. Этот номер приводится в протоколе вслед
     за буквой  "M". Подробности о разных версиях приведены
     в отдельном разделе ниже. SCAN называет представителей
     этой группы  "Vacsina virus [Vacs]" или "Yankee Doodle
     Virus   [Doodle]",   а   иногда   и   обоими   именами
     одновременно, что  обычно не означает наличия в модуле
     сразу двух вирусов.

Sun) Длина   1631+5   (5 - длина   признака   зараженности,
     приписываемого  к   концу  файла).   Весьма  похож  на
     "Израильский" вирус,  что позволяет  подозревать  либо
     одного  автора,   либо  плагиат.  Отсутствует  ошибка,
     вызывавшая многократное заражение одного EXE модуля. В
     качестве   пакости    предусмотрено   стирание    всех
     загружаемых программ  по воскресеньям  с  выдачей  при
     этом на экран совета по воскресеньям отдыхать. В связи
     с этим  свойством вирус  известен под именем "SUNDAY".
     Впрочем, есть надежда, что в этом месте вирус содержит
     ошибку и  пакостная ветка  никогда не должна работать.
     Дополнительная неприятность  заключается  в  том,  что
     вирус, приписываясь  к началу  заражаемых COM модулей,
     не контролирует  их длину  и поэтому безнадежно портит
     модули, длина которых вместе с ним превышает 64К. SCAN
     опознает как "Sunday Virus [Sunday]".

IV)  Группа,  состоящая   пока  из  трех  представителей  с
     длинами 847,  740 и  345  байт.  Устройство  предельно
     примитивное -  заражаются только  COM модули в текущей
     директории, причем  не предусмотрено  даже  сохранение
     даты,  не   говоря   о   контроле   длины.   Заражение
     производится  приписываением   к  началу.   IV-740  не
     контролирует и  своего наличия в модуле, в связи с чем
     заражение происходит  многократно. Остальные  довольно
     скоро и  часто начинают  вместо  исполнения  программы
     выдавать сообщение  "Program sick error:Call doctor or
     buy PIXEL  for cure  description". Очень похоже на то,
     что первый  из этих  вирусов был  опубликован  в  виде
     исходного текста  в каком-то  издании по  компьютерным
     вирусам  в   качестве  наиболее  простого  примера.  В
     результате получился наглядный пример того, что нельзя
     давать   такого   рода   информацию,   которой   может
     воспользоваться любое  ничтожество. На  расстоянии 2-3
     байта от  начала в  этих вирусах  стоят буквы "IV". Из
     этой группы  SCAN опознает  только IV-847, называя его
     "Amstrad Virus [Amst]".

Bch) Длина 2000.  Заражает и  EXE и  COM, имеющие  длину не
     меньше 1959.  Удлинение выдерживается  точно, несмотря
     на  необходимость   округления   при   заражении   EXE
     программ. Основательно переделанная версия Болгарского
     вируса  "E".  В  этой  версии  используется  несколько
     "недокументированных" функций  MSDOS,  что  говорит  о     
     напряженном   труде   ради   возможности   максимально
     напакостить. Создается  впечатление,  что  этот  вирус
     должен обходить  слежение за  прерываниями  13  и  26.
     Легко опознается  по наличию  текста "Zopy me - I want
     to travel."  в начале  вируса и  "(c) 1989 by Vesselin
     Bontchev." вблизи  от конца.  Надеюсь,  что  последнее
     заявление является  клеветой. Как  и "E",  пакостит по
     отдельным  секторам   диска.  На   этот  раз   в   них
     переписывается нулевой сектор текущего диска. Из неких
     непонятных соображений  делается  пометка  во  времени
     создания файла, как в случае вируса "A".


             2.1. Вирусы в начальном секторе.

    В новые  версии программы  добавлена обработка вирусов,
заражающих  секторы   начальной  загрузки  (BOOT-вирус).  В
протоколе они обозначаются как "Вирус в начальном секторе".
Эти вирусы  обычно легко обнаруживаются и удаляются с диска
при помощи,  например,  программы  NU  (Norton  Utilities).
Впрочем, мое  первоначальное легкомысленное к ним отношение
не вполне  оправданно. Во-первых,  некоторые из  них  (пока
замечен Brain) могут довольно успешно скрывать свое наличие
на диске:  при чтении сектора, в котором находится вирус, в
буфере оказывается  не он,  а  нормальная  информация.  Во-
вторых, такие вирусы могут быть весьма опасными. Кроме того
весьма  трудно  заблокировать  заражение  такими  вирусами,
поскольку они  попадают в  память до  операционной системы.
Следует отметить,  что при  наличии в машине вируса "Stone"
вместе с  каким либо  другим BOOT-вирусом дискетты начинают
заражаться  обоими  вирусами  поочередно,  что  приводит  к
потере правильного Boot record'a и невозможности ее лечения
иначе как  при помощи  команды SYS.  Если  же  дискетта  не
системная и  команда SYS не проходит, ее можно не лечить, а
просто избегать  случайных попыток загрузки с нее. Впрочем,
у Вас  всегда остается  возможность повторной  форматизации
дискетты -  даже  1.44  Мбайта  не  так  уж  сложно  дважды
скопировать.

Ball - мячик.
     Внешнее проявление  - при определенных обстоятельствах
     на экране начинает бегать точка, отражающаяся от краев
     экрана и  букв. Исходный  "Boot Record" записывается в
     свободный кластер,  который при  этом  помечается  как
     испорченный  (Bad   cluster).  Никакого  существенного
     вреда этот  вирус кажется  не наносит.  SCAN  опознает
     этот вирус  как "Ping  Pong Virus - Version B [Ping]".
     Недавно  появилась   модификация  этого  вируса.  Есть
     подозрение, что местного производства.

Stone.
     Bнешнее проявление  -  с  вероятностью  1/8  в  момент
     загрузки системы  на экран  выдается текст "Your PC is
     now   Stoned",    после   чего    загрузка   нормально
     продолжается. Этот  вирус  записывается  в  абсолютный
     начальный сектор  диска,  который  на  твердых  дисках
     содержит Partition Table. Исходный сектор записывается
     по  абсолютному   адресу  (цилиндр/головка/сектор)  на     
     гибком диске  0/1/3, а  на твердом  0/0/7.  На  гибком
     диске 360  Кб это  последний сектор  главного каталога
     (Root Directory),  а на  твердом чаще  всего свободное
     место.  Никаких   проверок  в   момент  заражения   не
     производится.   Вирус    предельно   примитивен.   Для
     визуального опознания  вируса на  диске может  служить
     пламенный призыв:  "LEGALISE MARIJUANA!".  Название по
     SCAN "Stoned  Virus [Stoned]".  Обнаружено, что  очень
     неприятно заражение  этим вирусом  диска,  на  котором
     Boot Record      следует       непосредственно      за
     Partition Table. При  этом сектор  0/0/7 оказывается в
     FAT. Мне  пришлось наблюдать  такой случай, причем FAT
     испорчен не  был, а  зато  пропал  правильный  вариант
     Partition Table. Исправление  диска в  такой  ситуации
     возможно, но  для этого  необходима  довольно  высокая
     квалификация.

Brain.
     Один из самых знаменитых вирусов. Он считается первым,
     получившим  широкое   распространение  (разработан   в
     январе  1986   года).   Заражает   только   стандартно
     форматизованные   дискетты    емкостью   360 Кб.    На
     зараженных  дискеттах  появляется  метка  "(c) Brain".
     Занимает на  диске три  подрядидущих кластера, помечая
     их как испорченные. AIDSTEST освобождает эти кластеры,
     но метку  не удаляет.  SCAN  его  называет  "Pakistani
     Brain/Ashar Virus [Brain]".

Killer
     Сам себя называет "Disk Killer". Заражает Boot Record.
     При этом  продолжение (4 сектора) и старый Boot Record
     на гибком диске прячется, как обычно, в Bad Claster'ы,
     а на  твердом для них используется пять предшествующих
     секторов,  которые  обычно  имеются  в  наличии  и  не
     используются никаким  другим образом. Вирус производит
     соответствующую проверку  и  диски,  на  которых  Boot
     Record  стоит  сразу  за  Partition  Table,  оставляет
     чистыми.   Пока   не   хватило   времени   и   желания
     разобраться, в  чем состоит  "убийство диска", которое
     происходит после  того, как  некие счетчики, зависящие
     от  времени   и  количества   перезагрузок,  принимают
     определенные  значения,   но  по  первому  впечатлению
     содержимое диска  портится  безнадежно.  Гарантировать
     можно только, что легендарные физические поломки диска
     при этом не происходят. SCAN его называет "Disk Killer
     Virus [Killer]".


               2.2. О "музыкальной" группе.

    В  эту   группу  входит   довольно  большое  количество
вирусов, явно  сочиненных одним автором. Их общим признаком
является наличие  за 4  от конца байтов с шестнадцатеричным
значением F47A.  Следующий байт  (в файле он предпоследний)
содержит номер  версии вируса. Пока в нашу коллекцию попали
следующие версии  (номера -  шестнадцатеричные, в скобках -
длины):

    04 (1212), 05 (1206), 10 (1339), 18 (1760), 19 (1805),    
    21 (2680), 22 (2568), 26 (2756), 27 (2772), 29 (2932),
    2C (2885), 2D (2901).

    Ранние версии  AIDSTEST обозначали представителей этого
семейства буквами  D, F,  G, H,  отмечая развитие  способов
заражения и внешних проявлений. Теперь они все обозначаются
буквой (M)  с добавлением  шестнадцатеричного номера. Общей
для всех  версий является способность заражать как COM, так
и EXE программы.

    В  антивирусных   публикациях   уже   отмечалось,   что
последние  представители   этой  компании  (начиная  с  29)
модифицируют "Мячик".  По моему  впечатлению  из  этого  не
следует, что и он принадлежит тому же автору.

    Ниже описано  все,  что  удалось  выяснить  о  развитии
версий из анализа известных с некоторой долей интерполяции.

До версии 5 при заражении портится дата создания файла.

До 9 включительно при заражении COM требуется, чтобы первой
     командой была JMP (код E9).

До 10  заражение EXE программ производит в два приема - при
     первом программа  формально приводится к формату COM и
     к ней  добавляется фрагмент  длиной 132 байта, который
     обеспечивает преобразование EXE программы в памяти для
     ее правильной  работы, а  при  втором  -  получившийся
     агрегат заражается  как  обычный  COM.  Если  AIDSTEST
     встречает такой агрегат, он помечает его как (ML).

Следующие версии  включая 22  также преобразуют  EXE в COM,
     однако делают  это в один прием. Пока не известно, где
     проходит граница между 10 и 18 версиями.

Начиная с  версии 23  EXE программы  сохраняют свой формат,
     причем во всех заражаемых модулях со смещением 0x12 от
     начала стоит  расстояние до начала вируса, деленное на
     16. Одновременно  в начале  вируса дублируется  пароль
     F47A и  номер версии.  Версия 2D  при заражении  EXE в
     конец файла эту информацию не пишет.

С версии  18  размножение  не  обнаруживается  резидентными
     антивирусными  программами,  следящими  за  записью  в
     программные файлы, поскольку вирус передает управление
     непосредственно в MSDOS, обходя сторожей.

С версии  21 вирусы  принимают очень  хитрые меры защиты от
     вирусологов. Вирус оказывается "невидимым" при попытке
     пройти  через   его  резидентную  часть  отладчиком  в
     пошаговом  режиме   или   поставить   внутри   останов
     (Breakpoint). Кроме  того, при  попытке  изучить  явно
     зараженную  программу  при  помощи  DEBUG,  она  вдруг
     оказывается здоровой, конечно если вирус уже находится
     в памяти.
    В пользу  автора  этих  вирусов  следует  сказать,  что
никакие подлые  шутки в  них не  предусмотрены. Более того,
принимаются все  меры для  того, чтобы зараженные программы
всегда работали  правильно. Даже попытка умышленно заразить
программу для  коллекции не  всегда кончается  успехом.  До
версии 10  не удалось  обнаружить вообще  никаких шуток,  а
остальные исполняют мелодию, которую знатоки идентифицируют
как Янки  Дудль (Yankee  Doodle). Версии 18-19 исполняют ее
перед перезагрузкой по CTRL+ALT+DEL, a следующие в 17 часов
(точнее в 16:59:53).

    Остается  выразить   сожаление,  что  явно  талантливый
программист потратил  столько сил  и  изобретательности  на
такую неблагодарную работу, которая даже для саморекламы не
очень годится.


                       3. Параметры.

    Вызов:
            AIDSTEST d: [/f] [/p] [/g] [/x] [/m]
где

d: -  имя диска.  Вместо этого  параметра  можно  поставить
     символ "*",  который означает  задание  на  работу  со
     всеми дисками, начиная с "C";

/f  -  переключатель,  означающий  задание  на  исправление
     зараженных программ и стирание испорченных безнадежно;

/p -  задается при желании получить распечатку протокола на
     бумаге. При этом необходимо не забыть заранее включить
     печатающее устройство, поскольку напоминания не будет;

/g -  глобальная проверка  всех файлов  на диске (не только
     COM и  EXE). Необходимость  такого режима вызвана тем,
     что  некоторые   вспомогательные  подпрограммы   имеют
     расширение имени  отличное от  EXE  и  COM,  однако  в
     момент загрузки некоторые вирусы успевают их заразить.
     С этим  параметром программу  рекомендуется  запускать
     только для  чистки, когда  известно о наличии в машине
     вируса;

/x -  переключатель, означающий разрешение стирать файлы, в
     которых обнаружен  вирус, но  дополнительный  контроль
     показывает, что  успешное лечение  маловероятно. Такая
     ситуация может  возникнуть после  лечения недостаточно
     грамотно написанными программами;

/m - специально для тех, кто на своей машине никак не может
     расстаться с "основной" кодировкой русских букв.

    Параметры должны  отделяться один от другого по меньшей
мере одним  пробелом. При  ошибке  в  параметрах  на  экран
выдается краткое описание программы.

        4. Сообщения и дополнительные возможности.

    Основной протокол AIDSTEST достаточно прост и понятен.

    Недоумение может  вызвать иногда  появляющееся странное
сообщение о длине хвоста и подозрительных файлах. Появление
этого сообщения  не означает  действительное наличие вируса
(и  наоборот).   Это  довольно  слабый  критерий,  который,
впрочем, помог  обнаружить пару  новых вирусов.  Если у Вас
появится такое  сообщение, стоит на всякий случай позвонить
по телефону, который приводится в заставке.

    Значительно серьезнее  следует отнестись  к сообщению о
резидентном   вирусе.   Впрочем,   это   сообщение   иногда
появляется незаконно,  например, при  использовании системы
CLICK/MENU  фирмы   LOGITECH.  Оказалось   также,  что  его
вызывает и  COMMAND.COM версии  MS-DOS 2.0. Интересно,  что
он, в  отличие от более поздних версий, не проверяет версию
операционной системы,  в которой работает. В результате мне
пришлось разбираться  с системой  3.30, в  которой оказался
COMMAND.COM  из   2.0.  При   появлении   этого   сообщения
необходимо  очень   внимательно  разобраться   в  ситуации.
Нажимать клавишу "N" для продолжения без модификации памяти
можно только  в случае,  когда Вы  абсолютно точно выяснили
причину такого сообщения.

    AIDSTEST  довольно   надежно  контролирует  собственное
здоровье  относительно  практически  любых  мыслимых  типов
вирусов.   Для    пакостников    с    болезненной    жаждой
самоутверждения ниже  приводятся рекомендации  по структуре
вируса,  против  которого  AIDSTEST  пока  беззащитен.  При
обнаружении   собственного    заражения   AIDSTEST   выдает
соответствующее сообщение.

    Последние два  свойства AIDSTEST можно использовать для
индикации появления новых типов вирусов. Для этого AIDSTEST
нужно скопировать на диск в место, достаточно доступное для
заражения, и  почаще  запускать  (для  скорости  можно  без
параметров). Достаточно  много шансов, что появление нового
вируса будет им обнаружено в памяти или в себе.

    Автор обращается  с убедительной  просьбой ко всем, кто
обнаружит у себя вирус нового типа, передать ему зараженные
модули. В  кратчайшее время  вы получите  новую версию  для
лечения и  этого типа  вирусов. До  настоящего времени  это
отнимало один-два дня.

    С 22.11.89  программа обнаруживает  и обезвреживает все
известные ей типы вирусов и в памяти машины. В связи с этим
обстоятельством  можно   не  очень   строго  придерживаться
рекомендации об использовании в момент ловли вирусов чистой
операционной системы.

    Если программа  обнаруживает и  обезвреживает вирусы  в
памяти,  то  в  конце  на  экран  выдается  рекомендация  о
перезагрузке системы.  Это  не  означает  наличия  реальной
опасности - известные вирусы надежно лишаются способности к
размножению, но их прочие свойства не убираются, т.е. могут
продолжаться осыпания  букв, появления  черного квадрата  иисполнение мелодии.

    Иногда после  сообщения об  исцелении  может  следовать
приписка "(есть  вопросы)".  Пока  она  означает  неудачную
попытку освободить кластеры, занятые BOOT-вирусом.


             ПРИЛОЖЕНИЕ. Для авторов вирусов.

    AIDSTEST в момент запуска считывает начало собственного
программного файла  и  проверяет  точку  входа.  Простейший
обход этой проверки заключается в подстановке в место точки
входа длинного  JMPa. Нужно  только не забыть добавить один
элемент в Relocation Table и откорректировать другие ссылки
в это  место. Для резидентных вирусов AIDSTEST контролирует
в  перехвате   INT  21h  наличие  команд  "cmp ah,4Bh"  или
"cmp ax,4B00h". Обход такого контроля самоочевиден.

    Дерзайте! Что  может  быть  приятнее,  чем  напакостить
ближнему?