
                        ВИРУС RC-783

     Дескрипторы:
     
     DM   An Bn Cy Dn E. Itc Fjn K1 Li Mn
     DP   6 < LenC < 64496
     DH   21h
     SB   81 3E 56 01 FF 26 75 09 81 3E 5A 01 FF E0 75 01 C3
     DT1  set
     DT2  end of
     
          Проявление:
     В вирусе  отсутствуют  какие-либо  деструктивные действия
(помимо заражения) хотя тело его содержит строки "set" и  "end
of", но  к  которым отсутствует обращение.  Возможно вирус на-
писан "с продолжением".
     
          Общая схема:
     Вирус построен  примерно  по  классической схеме простого
резидентного вируса, но с некоторыми изменениями.
     Первым байтом  зараженного  файла является не стандартная
команда JMP <СМЕЩЕНИЕ> (Код Е9 XX XX),  а команда перехода  по
адресу в  ячейке  памяти JMP [XXXX] (Код 26 FF XX XX).  Факти-
чески содержимое этой ячейки есть базовый адрес вируса в файле
(он же - истинная длина файла).
     Вирус чрезвычайно "прозрачен" и доступен на уровне  учеб-
ного пособия.
          
          Получение управления:
     Вирус закрепляется  за  21-м   прерыванием   классическим
способом -  с помощью ф-ций DOS 35 и 25 для того чтобы контро-
лировать ф-цию DOS 3B "Change Directory".  Получив  управление
(например по  команде  DIR)  вирус ищет и заражает все файлы с
расширением .COM в текущем каталоге.  Не составляют исключения
файлы IBMBIO.COM и IBMDOS.COM, что приводит к зависанию систе-
мы. Становятся неработоспособными также файлы типа EXE(MZ)  но
с расширением .COM.
     
         Заражение:
     Заражаются файлы длиной от 6 до 64496 байт. Истинные пер-
вые 6 байт файла находятся в теле вируса по смещению от начала
вируса 1F0. В отличие от классического подхода в вирусе вместо
адресов типа  БАЗА  + СМЕЩЕНИЕ использована абсолютная адреса-
ция (Настраиваемые адреса).
     Вирус прост  и  написан  скорее  всего студентом КПИ - по
месту появления.
