
                    Вирусов бояться - в MS-DOS не работать.


    Одни пишут вирусы, другие антивирусы, но страдают от их
борьбы третьи - рядовые пользователи далеко не персональных
компьютеров.  Есть еще и те, которые способны лишь на то,
чтобы переделать чужой вирус и пустить его "в свет".  Эти, в
свою очередь, досаждают создателям антивирусов-фагов (
"выкусывающие" тело вируса ).
    В СССР появились и создатели вирусов, правда довольно
примитивных и без новых идей (из тех, которых знаю).

    Чтобы активнее искать НОВУЮ заразу, и для тренировки в
языке С был создан Lie Detector ("детектор лжи").

    Lie Detector НЕ ПРЕДНАЗНАЧЕН для удаления вирусов (для
этого есть  K32 "Goalkeeper"), а также НЕ ПРЕДНАЗНАЧЕН для
поиска общеизвестных вирусов. Его основная цель - ПОИСК НОВОГО.

    У LD имеется библиотека LD.DAT, с известными ему вирусами
определенного класса (см.  ниже), а также программами, не
являющимися вирусами, но попадающими под этот класс
(например, программы защиты от копирования).

 НАЗВАНИЕ ВИРУСОВ НАЧИНАЕТСЯ С ЗАГЛАВНОЙ БУКВЫ !

(например "Dark Avenger" - это вирус, а "converted" -
файл, преобразованный из формата EXE в формат COM
специальной программой).  Помимо сверки с библиотекой LD
ищет в файлах те действия, которые обычно предпринимают
вирусы для распространения , например, открытие файла с
режимом по записи.  Конечно, это делают не только вирусы, но
когда вместе с этим найдена строка "*.COM", то стоит
посмотреть на этот файл повнимательней.

    Если файл начинается с команды перехода, Lie Detector
сканирует хвост, если нет - то начало.  Итак, обозначеия,
выдаваемые LD:

- [xxxx] - длина "хвоста" ( разница между длиной jmp'a и длиной
файла). Если указано [TOP], то что-то там найдено в начале.

- m - найдена одна из следующих масок :  "*.COM",
       "*.com", "*.EXE", "*.exe", "*.*".

- o  - файл открывается по записи.

- p - указатель чтения/записи передвигается за
      конец файла

- s  - найдена сигнатура "MZ" в теле файла.

- NEW ! XX - найден новый представитель класса.  Наш
      класс - это программы, которые базируются по
      какому-либо регистру т.е.  в начале стоят команды

                ...

                CALL METKA
        METKA:  POP  BX         ; базирование по регистру BX
                ...

      Новичку присваивается следующий порядковый номер - хх,
      но если хочется, его можно и обозвать в файле LD.DAT,
      структура которого предельно проста:  на каждого - по 32
      байта - 16 на строку идентификации и 16 на строку
      названия, которая должна кончаться нулем (0х0).
      LD.DAT очень удобно смотреть и исправлять в PCtools'e.

Претензии и замечания, а также дополненя НЕ принимаются по
телефону   (384-2-) 23-44-03.

                    Сусликов Е.Н.,  лето 1990.



P.S. (для забывчАвых)

     LD контролирует свою длину, поэтому его можно заражать -
        сам выличится.

P.P.S. (для авторов вирусов)

     Чем хитрее ваша зараза - тем изощреннее Lie Detector.

