                                Сусликов Е Н
                              (383-2-)23-44-03
                           Кемеровский университет



        Не заражаемая антивирусная программа-фаг K32
("Goalkeeper") расчитана на мало-мальски опытных поль-
зователей (тех, кто не ищет Partition table на дискет-
тах).

        Главное достоиство программы после высокой ско-
рости проверки то, что она может служить как детектор на
неизвестные ей ( и может быть вообще еще не написанные)
вирусы. Для этого от пользователя не требуется ничего -
как только новый вирус заражает К32 фаг сообщает ее длину
и предлагает:

                (K)ill or (Q)uit ?
             (уничтожить или выйти ?)

если нажимается буква К вирус удаляется из файла и затем
предлагается перегрузиться с чистого диска, в противном
случае происходит возврат в MS-DOS. В любом случае вирус
'запоминается в лицо' и при следующих запусках программы
все файлы будут проверяться и на новую заразу.

        Возможно два исключения, когда детектирование
может не сработать:
1. Если ассемблерный код вируса меняется от файла к файлу
2. Если точки входа в файлах типа COM и типа EXE различны
   ( в этом случае новый вирус будет детектироватся только
     в COM-файлах)

        Новому вирусу присваивается очередной 'библиотечный'
номер (например в версии 8.0 это 30) и в случае обнаружения
выдается - number 30.
        Т.к. библиотека К32 расчитана на 32 вируса а занято
30 'мест' то при заполнении всей библиотеки выдается

                    Library full
              ( библиотека заполнена)

и новый вирус игнорируется.

        Возможно появление сообщения

                    Good length - bad file
              ( верная длина - испорченный файл)

Автор будет признателен за сведения о таком случае - может
быть появился вирус, не изменяющий длину файла.


        Параметры "Goalkeeper" можно менять как в диалоговом
режиме так и с командной строки :

        K32 [d:] [опции], где

        d: - проверяемый диск, если указать *: то будут
проверяться все логические диски начиная с C:

        опции:
        /h - короткая подсказка о параметрах запуска
        /k - уничтожать найденные вирусы
        /b - отключить гудок
        /r - записать рапорт в файл K32.LOG
        /p - выдать рапорт на печать
        /a - проверять все файлы (по умолчанию проверяются
             только файлы, имеющие расширения .COM и .EXE)

        При запуске без параметров происходит переход в
диалоговый режим.

        При каждом запуске происходит тестирование на
предмет поиска известных вирусов в памяти, причем может быть
обнаружен и неактивный вирус, например обезвреженный
программой AIDSTEST. При обнаружение вируса выдается
сообщение о необходимости перезагрузки системы с чистого
диска. Можно выйти из программы только через DUSTER, PK_AT,
RELEASE и им подобные, но лучше этого не делать.

        Появление сообщения

                Filesize over 64K
          ( размер файла более 64 Kбайт)

говорит о том, что обнаружен COM-файл размером более 64
Kбайт, это может быть при заражении вирусами, не
контролирующих длину файла. Восстановление таких файлов не
гарантируется.


        Boot-сектор проверятся 10 раз, если и после этого
находится зараза, выдаются предупреждение

                   Bootvirus count over 10
              (счетчик бутовых вирусов свыше 10)

и проверка boot'a прекращается. Например возможна потеря
оригинального boot'a при заражение  вирусом Stoned еще
с каким-нибудь бутовым вирусом.



                        О вирусах

        написано столько всего, что повторяться не имеет
смысла, скажу лишь о двух последних, полученных от  Д.Н.
Лозинского.

        Voronezh 2.01 - файловый вирус длиною 1600 байт,
заражает и COM- и EXE-файлы.  Не меняет точку входа в
EXE-файле, из-за этого уж слишком сложно их заражает,
изменяя Relocation table.  Весь алгоритм заражения в
точности соответствует 'рекомендациям' Лозинского, описанных
в AIDSREAD.ME - сопроводиловке к его AIDSTEST'у.  EXE-файлы
заражаются при открывании ( копирование, просмотр).
Просмотр листинга вызывает противоречивые впечатления.
Где-то применен интересный прием, а где-то написан бред
обезьяны.  Можно порекомендовать автору читать больше книжек
по асемблеру, но во-первых где их взять ?  , а во-вторых
можно получить новую, более жестокую версию.

        Joshi - бутовый вирус ( на винчестере 'живет' в
Partition table) занимает 6 секторов под свое тело, затем
пустой сектор и затем оригинальный boot. На дискетте все это
хранится на 40 дорожке - в ущерб размножению. Был написан с
целью максимально усложнить свое обнаружение. Найти его на
зараженной машине, просматривая boot ( или Partition)
невозможно - перехватывая при загрузки 13 прерывание, вирус
перенаправляет чтение на оригинальный boot. При теплом
рестарте (CTRL-ALT-DEL) остается в памяти. 
         Из зарубежных eго не знает никто
- ни SCAN на 80 , ни Turbo ANTIVIRUS на 187 вирусов.
         Больше всего 'радости' принесет тем, кто пользуется
программой ADM - при заражении вирусом Joshi потеряюся
служебные сектора ADM, расположенные во втором секторе
винчестера со всеми вытекающими последствиями.


                              * * *



