

  __________   __________   _____    ____
  ____         ____         ______   ____    Сусликов  Е Н
  ____         ____         ____ __  ____
  __________   __________   ____  __ ____     Кемеровский
        ____   ____         ____   ______     университет
        ____   ____         ____    _____
  __________   __________   ____     ____  (384-2-) 23-44-03



   release 3.3
 5  ноября  1990




                    Вирусов бояться - в MS-DOS не работать.


    Одни пишут вирусы, другие антивирусы, но страдают от их
борьбы третьи - рядовые пользователи далеко не персональных
компьютеров.  Есть еще и те, которые способны лишь на то,
чтобы переделать чужой вирус и пустить его "в свет".  Эти, в
свою очередь, досаждают создателям антивирусов-фагов (
"выкусывающие" тело вируса ).
    В СССР появились и создатели вирусов, правда довольно
примитивных и без новых идей (из тех, которых знаю).

    Чтобы активнее искать НОВУЮ заразу, и для тренировки в
языке С был создан Lie Detector ("детектор лжи").

    Lie Detector НЕ ПРЕДНАЗНАЧЕН для удаления вирусов (для
этого есть "SOS" ). Его основная цель - ПОИСК НОВОГО.

        У LD имеется библиотека LD.BIT, с известными ему
вирусами, а также программами, не являющимися вирусами, но
попадающими под определенный класс (см.  ниже), например,
программы защиты от копирования.

 НАЗВАНИЕ ВИРУСОВ НАЧИНАЕТСЯ С ЗАГЛАВНОЙ БУКВЫ !

(например "Dark Avenger" - это вирус, а "converted" -
файл, преобразованный из формата EXE в формат COM
специальной программой).  Помимо сверки с библиотекой LD
ищет в файлах те действия, которые обычно предпринимают
вирусы для распространения , например, открытие файла с
режимом по записи.  Конечно, это делают не только вирусы, но
когда вместе с этим найдена строка "*.COM", то стоит
посмотреть на этот файл повнимательней.

    ' - lzexe' информирует о файле, свернотом программой
LZEXE, если вы опасаетесь вирусов, то проверить такой файл
можно через оболочку SHEZ.

    Если файл начинается с команды перехода, Lie Detector
сканирует хвост, если нет - сканируются как начало файла,
так и конец (это связано с тем, что существует уйма способов
для вируса "незаметно" отдать управление в конец файла).


                 Выдаваемые обозначения.

                          - I -

- [xxxx] - длина "хвоста" ( разница между длиной
JMP'a и длиной файла).  Если указано [TOP], то что-то там
найдено в начале, или [END], если в конце.


- NEW ! XX - найден новый представитель класса.  Наш
      класс - это программы, которые базируются по
      какому-либо регистру т.е.  в начале стоят команды

                ...

                CALL METKA
        METKA:  POP  BX         ; базирование по регистру BX
                ...


      Новичку присваивается следующий порядковый номер - хх,
      но если хочется, его можно и обозвать в файле LD.BIT,
      структура которого предельно проста:  на каждого - по 32
      байта - 16 на строку идентификации и 16 на строку
      названия, которая должна кончаться нулем (0х0).
      Если первый символ этой строки есть точка (0x2E), то
      сообщение не выводится, что можно подавить опцией "/C".
      LD.BIT очень удобно смотреть и исправлять в PCtools'e.


                          - II -


  s o p t a m
  | | | | | |
  | | | | | +->  m - найдена одна из следующих масок :  "*.COM",
  | | | | |         "*.com", "*.EXE", "*.exe", "*.*".
  | | | | |
  | | | | +--->  a - у файла изменяется атрибут
  | | | |
  | | | +----->  t - меняется дата создания файла
  | | |
  | | +------->  p - указатель чтения/записи передвигается за
  | |                конец файла
  | |
  | +--------->  o  - файл открывается по записи.
  |
  +----------->  s  - найдена сигнатура "MZ" или "ZM"
                      в теле файла.



                          - III -


                * * *  Add [Y/N] ?  * * *

        При совпадении трех и более 'подозрительностей'
предлагается внести начало программы (16 байт) в
библиотеку LD.BIT.  Не исключаются ложные срабатывания,
например файл INSTALL.COM в игрушке A-10 ("Tank Killer").
Исключить из дальнейшего по- иска эти ложные тревоги можно
поставив в 1-й байт строки названия точку.





                        Параметры:

    LD  [d:[\path]] [/a][/b][/c]

        d:  - проверяемый диск, можно поставить *:, означающий
              сканирование всех дисков, начиная с C:, по
              умолчанию проверяется текущий диск.

  d:\path   - имя каталога, (буква диска обязательна!),
              проверяются все подкаталоги.


       /a   - проверяются все файлы на предмет поиска известных
              вирусов, поиск нового отключается

       /b   - аналогично /a, но сканируются только .COM и .EXE

       /c   - выдается информация о всех совпадениях с библиотекой,
              даже не вирусных, т.е. игнорируется первая точка.



Претензии и замечания, а также дополненя принимаются по телефону

                      (384-2-) 23-44-03

                    Сусликов Е.Н., осень 1990.



P.S. (для авторов вирусов)

     Чем хитрее ваша зараза - тем изощреннее Lie Detector.


                              * * *

