Cофтпанорама 1990, No. 7 (11)                 Составитель: Н.Н. БЕЗРУКОВ
************************************************************************
                         Данный выпуск новостей посвящен преимущественно
                         "антивирусной" тематике. Это связано с цейтнотом
                         при его подготовке и не означает сужения тематики
                         бюллетеня.

                 ***************************************
                 *  П А Н О Р А М А   Н О В О С Т Е Й  *
                 ***************************************

*********** ОБЪЕМ СОФТПАНОРАМЫ УВЕЛИЧИВАЕТСЯ ВДВОЕ *********************
********** И НАЧИНАЯ С ЭТОГО НОМЕРА БУДЕТ СОСТАВЛЯТЬ 720К **************

    Начиная с этого номера бюллетень будет издаваться в двух форматах: 1
дискета объемом 720К или 2 дискеты объемом 360K. Последний предназначен
для пользователей, имеющих только дисководы 360К. В этом случае номер
будет состоять из частей A и B, например сентябрьский номер будет
записан на 2 дискеты - SP2-7A и SP2-7B.
                                                                 Б.Н.Н
                                *  *  *

******** ИНОГОРОДНИЕ ИНДИВИДУАЛЬНЫЕ ПОДПИСЧИКИ МОГУТ ПОДПИСАТЬСЯ *******
********************  НА СОФТПАНОРАМУ НА 1991 ГОД **********************

    С 1991 года помимо организаций на бюллетень смогут подписаться
индивидуальные подписчики. Условия подписки см. файл READ.ME.
                                                                 Б.Н.Н
                                *  *  *

*** Научный центр СП "ДИАЛОГ" ПРИ ВЦ АН СССР СТАНОВИТСЯ ОФИЦИАЛЬНЫМ ****
*******************  РАСПРОСТРАНИТЕЛЕМ БЮЛЛЕТЕНЯ  **********************

    По договору центр получил исключительные права распространения
бюллетеня на территории РСФСР.
                                                                 Б.Н.Н
                                *  *  *

***************  СОЗДАНА АССОЦИАЦИЯ БЕЗРАБОТНЫХ УЧЕНЫХ ****************

    Проблема безработных ученых в СССР существует и возможно обострится
в ближайшем будущем. Только в Москве, по данным бюллетеня "НТР.Трибуна",
насчитывается около двухсот незаконно уволенных научных
сотрудников. Недавно они обьединились в Ассоциацию безработных. Причины
увольнения во всех случаях практически одинаковы - разногласия с
руководством. Многие стали жертвами пресловутой аттестации. "Директор
научного учреждения единолично назначает состав аттестационной комиссии,
- пишет автор статьи, - а остальное, как говорится, дело техники, если
нужно избавиться от неугодного сотрудника".

                                                                 Б.Н.Н
                                *  *  *

********************** ОБ ОРГАНИЗАЦИИ КОНФЕРЕНЦИИ  *********************
************ ПО МЕТОДАМ И СРЕДСТВАМ ЗАЩИТЫ ОТ ВИРУСОВ ******************

     Как уже сообщалось с 14 по 17 ноября в Киеве на базе КИИГА
состоится первая Всесоюзная конференция "Методы и средства защиты от
компьютерных вирусов в операционной системе MS DOS". В связи с
"выпадением" отпускного периода сроки подачи докладов и перечисления
оргвзносов продлены до 1.10.90 и 15.10.90, соответственно.

    Помимо объявленных в предыдущем номере премий, СП "Новые
информационные технологии" установлена специальная премия, размером 1000
руб.

     Уточненные темы секций, которые предполагается включить в программу
конференции:

     - классификация вирусов и методы анализа вирусоподобных программ,
инструментальные средства вирусолога: разработка и использование средств
дизассемблирования, трассировки и других методов анализа загрузочных
модулей (руководитель секции Н.Н.Безруков);

     - вопросы конструирования, cравнительный анализ и перспективные
методы усиления фагов (руководитель секции Д.Н.Лозинский);

     - вопросы конструирования детекторов, эвристические методы де-
тектирования вирусов, организация входного контроля, конструирование
ревизоров и алгоритмы самотестирования программ;

     - конструирование резидентных программ защиты, методы контроля
"on the fly", нетрадиционные методы защиты от вирусов, незаражаемые и
самоизлечивающиеся программы (руководитель секции А.Водяник);

     - методы и алгоритмы защиты от несанкционированного копирования
коммерческого ПО (руководитель секции В.Герасимов);

     - меры воздействия и возможные санкции против разработчиков
и распространителей вирусов (общая дискуссия);

      Предварительный список докладчиков (по состоянию на 10.09.90)
Безруков Н.Н.(Киев), Бончев В.(София), Ветров И.(Москва), Водяник
А.(Донецк), Герасимов В.(Москва), Грязнов Д.О.(Переславль-Залесский),
Даян И.Л.(Киев), Еременко В.Е., Касперский Е. (Москва), Лозинский Д.Н.
(Москва), Котик В., Пономаренко В.В. (Киев), Рахимов А.Р.& Турсунов О.О.
(Газалкент), Рик Андрей Викторович (Тверь), Свиридов И.(Киев), Сусликов
Е.Н.(Кемерово), Сысоев В.(Москва), Шеховцов А.Л.(Киев). Прием докладов и
сообщений продолжается. Уточненный список докладов и стендовых
сообщений, а также программ, представленных на конкурс, будет
опубликован в октябрьском номере бюллетеня.

                                                                 Б.Н.Н

******** Компьютерная вирусология версия 6.0 выйдет в свет 14 ноября *******

   Издание объемом 25 п.л. выйдет в мягкой лакированной обложке в издатель-
стве Украинская Советская энциклопедия. Бумага типографская No.1. Тираж 50 
тыс. экз. Исключительные права на распространение тиража получил "Центр по 
изучению советского рынка СОВМАРКЕТ", финансирующий издание. Подробности см.
раздел MARKET.


**********************  B O R O D A мстит во времени *******************

    В Москве получил распространение штамм вируса RCE-1800 (Eddie), в
котором сообщение

    "Eddie lives somewere in time"

заменено на

    "B O R O D A мстит во времени"
                                                                 Б.Н.Н

                                *  *  *

**********************  КОМПЬЮТЕРНЫЙ ТЕРРОРИЗМ ************************

     Начиная с 12 декабря 1990 г., тысячи пользователей персо-
нальных компьютеров с операционной системой MS-DOS получили по
почте дискету  с названием "Вводная информация о СПИДе, версия
2.0" и голубой листок с инструкциями и декларацией о  лицензи-
ровании.
     Дискета содержала программу типа "Троянского  коня", т.е.
программу, предназначенную  для уничтожения данных и программ,
хранящихся на дисках,  и замаскированную под какую-нибудь дру-
гую, обычно безобидную. В одних случаях эта программа разруша-
ла данные и программы на диске,  а в других  случаях  изменяла
имена файлов и перемещала их в скрытые поддиректории.
     Это первый сдучай целенаправленного террористического ак-
та со стороны некой организации,  которая готова на все, чтобы
внести хаос. Программа была профессионально подготовлена, отп-
равлена с  фальшивого адреса из Лондона,  и нет сомнений,  что
такая "шутка" обошлась ее инициаторам в солидную сумму.
     Лицензионная декларация, высланная вместе с дискетой, со-
держала условия, которые давали основания подозревать, что эта
программа может  неблагоприятно воздействовать на другие прог-
раммы и данные, хранящиеся на жестком диске. Лицензионное сог-
лашение предлагало  покупателю выбор:  прокат программы с воз-
можностью использования 365 раз за 189$ или  ее использование
в течении времени существования жесткого диска за 398$ . Прог-
рамма предлагала высылать  деньги  фирме  "РС  Сайборг  корпо-
рэйшн" в Панаму.  Дискеты были разосланы пользователям Англии,
Франции, Западной Германии,  Италии и Швеции,  большинство  из
которых являлись  подписчиками  журналов  и газет,  освещавших
компьютерную технику.
     Лондонское периодическое издание "PC бизнес уорлд",  при-
надлежащее фирме "Интернэйшенал дейта гроуп", сообщила что ре-
дакция продала часть своего списка подписчиков, получающих это
издание по почте (7000 адресов),  фирме,  называвшейся "Кетема
анд ассошейтс" из Лондона. Эта фирма, видимо фиктивная, закры-
лась в декабре, и ее сотрудники бесследно исчезли.
     Английское министерство обороны, которое загрузило содер-
жимое дискеты в свою компьютерную сеть, Банк Австралии и Новой
Зеландии и Лондонская биржа пострадали от этой программы.

                                         "Computerworld" (США)


                                *  *  *

**********************  Вирус  RC-492 (sI) **************************

     Данный вирус, по видимому, является "сырой" или довольно древней
версией. Код вируса содержит много ошибок и неточностей.

     Формально вирус RС-492 - файловый резидентный вирус, поражающий
файлы типа СОМ. Длина вируса 492 байта (1ECh).

     Проверка версии MS DOS в теле вируса отсутствует. Вирус
работоспособен только на компьютерах серии AT. Это связано с наличием
команд, отсуствующих в микропроцессоре 8088/8086.

     Стратегия заражения - при запуске файлов на выполнение. Файлы
заражаются однократно. При заражении выполняется выравнивание на границу
параграфа. Максимальная длина заражаемого файла не проверяется, поэтому
вирус уничтожает файлы длина которых после заражения превысит 64К. В
качестве признака зараженного файла вирус использует два байта,
расположенные со смещением 3 от начала программы. В зараженных вирусом
программах эти байты содержат "sI".

     При запуске зараженной программы вирус ищет в главном каталоге
диска С файл с именем COMMAND.COM и если он будет найден пытается его
заразить.

     При заражении RС-492 дописывается в конец программы и одновременно
вставляет в первые три байта COM-файла команду перехода на тело вируса.
При этом размер файла увеличивается на 492 + байты выравнивания (вирус
вставляет нули в качестве байтов выравнивания). Из-за ошибки в теле
вируса файлы с длиной, кратной 16 заражаются с вставкой 16 нулей "для
выравнивания". Дата создания файла изменяется на дату заражения до тех
пор, пока количество запусков с момента заражения не станет равным 256.
Длина исходной программы вирусом не сохраняется. Атрибуты файла не
проверяются, поэтому вирус не заражает файлы с атрибутами READ-ONLY.
Вирус RC-492 не проверяет, находится ли заражаемая программа (которая
загружается на выполнение) на защищенной дискеты или нет, и пытается
выполнить запись на защищенную от записи дискету. При этом операционная
система выдает сообщение:

     Write protect error writing device <лог.имя.устройства>
     Abort, Retry, Ignore, Fail?

     Механизм функционирования данного вируса является "гибридным",
поскольку в вирусе имеются как элементы нерезидентного вируса, так и
резидентного вируса. Как уже отмечалось получив управление вирус сначала
пытается заражить файл COMMAND.COM в корневом каталоге - стратегия,
характерная, в основном для нерезидентных вирусов. Вместе с тем, став
резидентным вирус перехватывается прерывание 1С и 21 и заражает
программы, запускаемые на выполнение.

     В оперативной памяти вирус располагается в области второй половины
векторов прерываний (0:200-0:3FF).

     При запуске зараженной программы RС-492 сначала проверяет, имеется
ли уже резидентная копия данного вируса с помощью прерывания 21-35 (по
значению адреса обработчика прерывания 1С). Если условия выполнены, то
вирус передает управление зараженной программе, в противном случае он
приступает к поиску и заражению COMMAND.COM в главном каталоге диска С.
Затем вирус становится резидентным и перехватывает прерывания 1Ch и 21h.
В результате, при запуске любой программы вирус получает управление,
проверяет, является ли запускаемая программа зараженной, и если нет, то
заражает данную программу на диске. У зараженного файла изменены
значения первых 6 байтов (организуется переход на начало тела и признак
зараженности файла).

     Фаза проявления данного вируса в настоящее время еще не ясна. Есть
основания считать, что прерывание 1Ch используется вирусом для выбора
момента порчи случайного места диска С: похоже записывается 7 секторов
насиная со случайно выбранного номера информацией из оперативной памяти.
По мнению Д.Н.Лозинского есть, впрочем, надежда, что данный фрагмент
содержит ошибку и такой момент никогда не наступает.

     Резидентная часть вируса легко обнаруживается путем просмотра
списка резидентных программ (с помощью утилит MAP, SMAP, MMAP и т.д.).

     Вирус RC-492 не содержит приемов, затрудняющих дизассемблирование и
анализ программы.

     Данный вирус появился в СССР в июле 1990 года. Впервые был выделен
автором в ВЦ АН СССР (Moсква) 19 июля 1990 г. B Киеве не отмечался.

     sI (сочетание символов "sI" присутствует со смещением 3 от начала
любой зараженной программы)

     Фаг разработан В.Пономаренко. Для детектирования можно
использовать сигнатуры, приведенные в таблице 1. Вирус детектируется
всеми имеющимися резидентными сторожами.

     При использовании системы управления доступом к винчестеру (Disk
Manager, Advanced Disk Manager и т.д.) вирус не в состоянии попасть в
разделы винчестера, для которых установлен статус READ ONLY. Однако при
этом становится невозможным вызов программ с защищенной дискеты или
раздела винчестера.

     Специальные средства защиты от данного вируса принципиально могут
включать детектор, фаг для резидентной части, резидентный и пакетный
фаги для зараженных файлов и активную (резидентную) вакцину.

     Фрагмент дампа программы DUMY16.COM, зараженной вирусом RC-492

0000: E9 1D 00 73 49 FF 90 90  90 90 90 90 90 90 90 C3  ...sI...........
0010: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  ................
0020: 2E 8B 1E 01 01 83 C3 03  B1 04 D3 EB 8C D8 03 C3  ................
0030: 8E D8 2E A1 B0 01 A3 8C  02 BE 6F 01 BF 00 01 FC  ..........o.....
0040: B9 06 00 F3 A4 B8 1C 35  CD 21 81 FB 45 02 75 08  .......5.!..E.u.
0050: 0E 0E 1F 07 68 00 01 C3  B8 10 00 8E C0 B9 00 02  ....h...........
0060: BF 00 01 8B F7 F3 A4 06  1E BA 75 01 E8 35 00 1F  ..........u..5..
0070: B8 1C 25 BA 45 02 CD 21  B8 21 35 CD 21 89 1E 8E  ..%.E..!.!5.!...
0080: 02 8C 06 90 02 BA 92 02  B8 21 25 CD 21 EB C1 90  .........!%.!...
0090: 90 90 90 90 90 43 3A 5C  43 4F 4D 4D 41 4E 44 2E  .....C:\COMMAND.
00A0: 43 4F 4D 00 B4 3D B0 02  CD 21 5B 1F 53 73 03 E9  COM..=...![.Ss..
00B0: 91 00 8B D8 B4 3F B9 06  00 BA 6F 01 CD 21 72 7F  .....?....o..!r.
00C0: 81 3E 72 01 73 49 74 55  81 3E 6F 01 4D 5A 74 6F  .>r.sItU.>o.MZto
00D0: B8 02 42 B9 00 00 BA 00  00 CD 21 72 62 8B C8 83  ..B.......!rb...
00E0: C9 0F 83 E9 02 89 0E 25  02 83 C1 03 2B C8 BA 2A  .......%....+..*
00F0: 02 B4 40 CD 21 72 48 B4  40 B9 EC 01 BA 00 01 CD  ..@.!rH.@.......
0100: 21 CC 3C B8 00 42 B9 00  00 BA 00 00 CD 21 72 2F  !.<..B.......!r/
...   ...   ...   ...   ...    ...   ...   ...   ...    ...   ...   ...
01E0: 04 00 83 EF 01 8B F7 BF  83 01 AC E8 6C FF AE 74  ............l..t
01F0: 03 EB 0B 90 E2 F4 1F 5A  52 1E 0E E8 A6 FE 1F 5A  .......ZR......Z
0200: 07 5D 5F 5E 59 5B 58 2E  FF 2E 8E 02              .]_^Y[X.....

                                *  *  *


***** Вирус RC-1600 (Voronezh 2.01 - Воронеж 2.01, Пакость-3) ******

     Последний и наиболее сложный из группы отечественных вирусов 
включающей КС-529 и RC-600. Название  связано с наличием текстовой 
строки в теле вируса (см. дамп).

     Формально представляет собой резидентный файловый вирус, заражающий
COM- и EXE-файлы.  С сожалением приходится констатировать , что в данном
вирусе реализована идея, неосторожно высказанная Д.Н.Лозинским в
документации к полифагу AIDSTEST (AIDSREAD.ME): с целью затруднить
обнаружение обычными фагами, вирус не меняет точку входа в EXE-файле,
изменяя Relocation table.

     При заражении EXE-файлов тело вируса дописывается в конец
заражаетмой программы. Файлы заражаются не только при запуске программ
на исполение, но и при открытии файлов.

     Уровень программирования создает противоречивое впечатление.
Имеется ряд признаков,  позволяющих говорить о близости "почерка"
которым написаны данный вирус и вирус RC-600.

    Обнаружен в Воронеже 12 июня 1990 года А.Н.Мартемьяновым. Автору
передан Д.Н.Лозинским. Из полифагов, распространяющихся бесплатно,
первым его включил Е.Сусликов в полифаг К32.  Значительного
распространения вирус не получил.

     Для борьбы с вирусом годятся имеющиеся контекстные детекторы и
резидентные программы. В качестве фага можно рекомендовать
упомянутой выше полифаг К32.

                         Фрагмент дампа вируса

0000: 8C D8 0E 1F 50 E8 00 00  5B 81 EB 08 01 53 B4 AB   ....P...[....S..
0010: CD 21 3D 55 55 75 03 E9  D0 00 8C C0 2D 01 00 8E   .!=UUu......-...
0020: D8 BB 03 00 3E 8B 07 2D  EA 00 3E 89 07 06 1F BB   ....>..-..>.....
0030: 02 00 3E 8B 07 2D EA 00  3E 89 07 8E C0 BF 00 01   ..>..-..>.......
0040: BE 00 01 5B 53 01 DE 0E  1F B9 A4 06 F3 A4 8B D0   ...[S...........
0050: EB 74 90 9C FB 80 FC AB  75 05 B8 55 55 9D CF 3D   .t......u..UU..=
0060: 00 3D 75 40 50 53 51 52  56 57 06 B9 41 00 30 C0   .=u@PSQRVW..A.0.
0070: 8B FA 1E 07 F2 AE 83 EF  04 8B F7 56 0E 07 B9 04   ...........V....
0080: 00 BF 89 02 F3 A6 83 F9  00 75 04 5E EB 0D 90 BF   .........u.^....
0090: 8C 02 B9 04 00 5E F3 A6  83 F9 00 07 5F 5E 5A 59   .....^......_^ZY
00A0: 5B 58 74 09 50 FE C4 3D  00 4C 58 75 13 50 53 51   [Xt.P..=.LXu.PSQ
00B0: 52 56 57 06 1E E9 1F 01  1F 07 5F 5E 5A 59 5B 58   RVW......._^ZY[X
00C0: 9D EA 60 14 2B 02 8E DA  B8 21 35 CD 21 3E 89 1E   ..`.+....!5.!>..
00D0: C2 01 3E 8C 06 C4 01 3E  89 1E 75 03 3E 8C 06 77   ..>....>..u.>..w
00E0: 03 8D 16 53 01 B8 21 25  CD 21 5A BB B0 02 01 D3   ...S..!%.!Z.....
00F0: 2E 80 3F 00 74 41 1F 8C  D8 0E 1F 8B CA 5F 07 50   ..?.tA......._.P
0100: 83 EF 05 BE AF 02 01 CE  8A 14 26 00 55 05 26 38   ..........&.U.&8
0110: 55 05 77 03 4E FE 04 8B  D7 BE AA 02 01 CE B9 05   U.w.N...........
0120: 00 F3 A4 1F 06 52 8C D8  8E C0 31 C0 31 DB 31 C9   .....R....1.1.1.
0130: 31 D2 31 F6 31 FF CB 8C  C8 8E D8 8E C0 BE 68 02   1.1.1.........h.
0140: B9 00 01 BB 81 02 8B 3F  83 FF 00 75 02 CD 20 BB   .......?...u.. .
0150: 83 02 8B 07 01 C7 81 C7  00 01 FC 57 F3 A4 5F 8B   ...........W.._.
0160: 0E 83 02 A1 81 02 57 C3  05 00 01 8B F0 BF 00 01   ......W.........
0170: FC 8A 04 34 BB 88 05 46  47 E2 F6 B8 00 01 5B 50   ...4...FG.....[P
0180: C3 F7 85 40 06 CC 7D E5  11 45 58 45 65 78 65 55   ...@..}..EXEexeU
0190: 76 7F 63 74 73 71 75 60  56 6F 72 6F 6E 65 7A 68   v.ctsqu`Voronezh
01A0: 2C 31 39 39 30 20 32 2E  30 31 B4 30 CD 21 3C 00   ,1990 2.01.0.!<.
01B0: 01 00 08 1A 00 11 03 00  00 00 00 00 2A 39 00 00   ............*9..
01C0: F7 7D 9A F7 7D 00 00 00  00 22 00 00 01 00 01 00   .}..}...."......
01D0: 20 00 B8 2D 0E 4C CF 8B  DA 3E 8B 47 03 3D 43 4F    ..-.L...>.G.=CO
01E0: 75 03 E9 D3 FE 8B FA 31  C0 2E C6 06 CF 02 00 3E   u......1.......>
01F0: 80 7D 01 3A 75 09 3E 8A  05 24 9F 2E A2 CF 02 B8   .}.:u.>..$......
 ...  ...   ...   ...   ...    ...   ...   ...   ...     ...   ...   ...

05B0: 59 5B 53 BA 40 07 CD 21  B8 00 42 BA 00 00 B9 00   Y[S.@..!..B.....
05C0: 00 CD 21 BB 10 01 BE 83  02 8B 0C BA 00 01 B4 40   ..!............@
05D0: 5B 53 CD 21 5B 5A 59 53  B8 01 57 CD 21 8B 16 D4   [S.![ZYS..W.!...
05E0: 02 8E 1E D2 02 B8 01 43  2E 8B 0E D0 02 CD 21 0E   .......C......!.
05F0: 1F 5B E8 03 00 E9 C0 FA  B8 00 3E CD 21 8B 1E 85   .[........>.!...
0600: 02 8E 06 87 02 B8 24 25  CD 21 C3 55 8B EC 1E B8   ......$%.!.U....
0610: 01 43 8B 16 D4 02 8E 1E  D2 02 31 C9 CD 21 73 06   .C........1..!s.
0620: 1F 5D 58 E9 45 FF 36 8B  5E 04 B8 00 3E CD 21 B8   .]X.E.6.^...>.!.
0630: 02 3D FA 9C 2E FF 1E C2  01 1F 36 89 46 04 5D C3   .=........6.F.].

                                *  *  *

**** Вирус WM-1F (Joshi - Джоши, Happy Birthday - С днем рожденья) *******

     Название данного вируса связано с тем, что при загрузке MS DOS с
5 января любого года на экран выдается соообщение
                     Type "Happy Birthday Joshi" !
и компьютер ожидает ответа. Если ввести ответ
                         Happy Birthday Joshi
то загрузка будет продолжена. По данным Д.Н.Лозинского при
программировании выдачи сообщения автор вируса ориентировался только на
цветной монитор.

     Вирус WM-1F является наиболее скрытным и тщательно маскирующимся из
попавших в CCCР бутовых вирусов. Это единственный из попавших в СССР
вырусов, который "переживает" теплую перезагрузку.  Заражает как 360К,
так и 1.2М дискеты, а также винчестер.

     Заражает дискеты емкостью как 360К, так и 1.2М.  При заражении
дискет, подобно вирусу D-29 (Den-Zuk), записывает хвост на
дополнительную дорожку (41 для 360К дискет, 81 для 1.2М дискет).
При заражении дискеты проверок, занят ли указанные сектора информацией
или нет, вирус не выполняет. Поэтому на дискете, содержащей на 41
дорожке какую-то информацию (например "замок" защиты от копирования),
она будет уничтожена. Как обычно, для заражения достатоно единственного
обращения к дискете при резидентном вирусе.

     При заражении винчестера голова вируса записывается не в
бутсектор раздела С, а в абсолютный начальный сектор диска, который на
винчестере содержит Partition Table (таблицу разделов диска), т.е.
аналогично вирусу M-05 (Stoned). При этом хвост вируса располагается в
восьми секторах начиная с абсолютного адреса 0/0/2, т.е. сектора,
следующего за MBR (как уже отмечалось, обычно эти сектора представляют
собой неиспользуемое пространство между MBR и началом логического диска
С). Из этих восьми секторов 6 заняты собственно хвостом вируса,
следующий седьмой сектор - пустой, а восьмой содержит оригинальный MBR.
Как и при заражении дискеты, при заражении винчестера вирус не проверяет
содержимое этих секторов при заражении винчестера. Такое поведение
вируса можно рассматривать как лишний аргумент в пользу использования
программы MIRROR в AUTOEXEC.BAT: если эти сектора содержат какую-то
важную информацию (как например, при использовании ADM), она будет
уничтожена, при загрузке машина зависнет и можно восстановить эти
сектора с помощью PCBACKUP. Если начальные сектора периодически
копируются на дискету с помощью Norton Utilities, то их можно
восстановить из соответствующего файла. Впрочем помимо резервирования
копии с помощью MIRROR некоторые фаги умеют исправлять эту ошибку.

     Зараженный MBR при резидентном вирусе не виден. Механизм
обеспечения данного эффекта уже описывался применительно к вирусу BRAIN:
вирус анализирует запросы к винчестру и перенаправляет операцию чтения
нулевого сектора на сектор, где хранится "спрятанная" Partition Table.

      В памяти вирус  размещается в старших адресах, "откусывая" у MS
DOS 6 Кб. Вирус перехватывает прерывания 8, 9, 13 и 21 - почти как
какой-нибудь файловый вирус.

      Как уже указывалось, отличительной особенностью данного вируса
является то, что он перехватывает прерывание от клавиатуры, что
позволяет этому вирусу "выживать" при теплой перезагрузке (с помощью
Ctrl-Alt-Del).

     Полидетектор SCAN называет данный вирус "Joshi".

     Вирус WM-1F впервые был обнаружен в Индии в июне 1990 года.  В
нашей стране появился уже в июле. Автору был передан Д.Н.Лозинским. По
данным П.Хоффман, начиная с конца 1989 года в Индии активно
разрабатываются бутовые вирусы и не исключено, что подобно тому как
Болгария является основным поставщиком файловых вирусов для СССР, на ту
же роль для бутовых вирусов скоро сможет претендовать Индия.

     В частности, в качестве детектора для данного типа вируса можно 
использовать полидетектор SCAN, а в качестве фага - полифаг Е.Сусликова 
K32.COM.  
           Дамп MBR винчестера, зараженного вирусом WB-1F

0000: EB 1F 90 C0 07 E9 99 00  02 1B 03 00 C8 E4 00 80   ................
0010: 7F 00 7C 00 00 1E 50 80  FC 02 72 17 80 FC 00 02   ..|...P...r.....
0020: 80 FA 8C C8 8E D8 8E D0  BC 00 F0 FB A1 13 04 B1   ................
0030: 06 D3 E0 8E C0 B8 00 02  2D 21 00 BF 00 00 BE 00   ........-!......
0040: 7C 03 F0 03 F8 B9 79 01  2B C8 FC F3 A6 75 10 8C   |.....y.+....u..
0050: C0 05 20 00 8E C0 BB 00  00 06 53 B8 01 00 CB A1   .. .......S.....
0060: 13 04 2D 06 00 A3 13 04  B1 06 D3 E0 8E C0 BE 00   ..-.............
0070: 7C BF 00 00 B9 00 02 FC  F3 A4 8C C0 05 20 00 8E   |............ ..
0080: C0 BB 00 00 06 53 0E 1F  B4 02 B0 01 8A 2E 1E 7C   .....S.........|
0090: 8A 0E 1F 7C B6 00 8A 16  20 7C 50 B8 00 B8 8E D8   ...|.... |P.....
00A0: 58 50 53 51 52 06 CD 13  07 5A 59 5B 58 73 10 50   XPSQR....ZY[Xs.P
00B0: 53 51 52 06 B4 00 CD 13  07 5A 59 5B 58 EB E2 FE   SQR......ZY[X...
00C0: C1 81 C3 00 02 1E 0E 1F  50 8A C1 2A 06 1F 7C 2C   ........P..*..|,
00D0: 08 58 1F 72 CC B8 00 00  CB 00 00 00 00 00 00 00   .X.r............
00E0: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................
 ***     далее следуют байты, содержимое которых вирусом не меняется  ***
