
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-1C                                                Редакция 10.03.92

     ИМЯ: Anti-Telefonic (BootChecker, SCAN)

     УСТАНОВКА: Скрывает от DOS 1 Кб памяти и создает  там  резидентную  копию.
Перехватывает  прерывание 13h (xxxx:029F) - операции с диском.  При установке с
дискеты пытается заразить жесткий диск.  На жестком диске перезаписывает себя с
новым значением счетчика.

     ЗАРАЖЕНИЕ: Записывается  в  сектор 0/0/1,  замещая бут на дискете,  MBR на
жестком диске.  Хвост (2 сектора) содержит в первом секторе продолжение вируса,
во  втором  -  исходный  бут  или MBR;  хранится на на жестком диске в секторах
0/0/6 - 0/0/7 (как правило,  неиспользуемая область перед первым разделом),  на
стандартных дискетах - в конце корневого каталога:
  160 Кб (DS/SD, 8 с/т) - 0/0/6-7
  180 Кб (DS/SD, 9 с/т) - 0/0/8-9
  320 Кб (DS/DD, 8 с/т) - 0/1/1-2
  360 Кб (DS/DD, 9 с/т) - 0/1/2-3
  720 Кб (DS/QD, 80 тр) - 0/1/4-5
 1200 Кб (DS/HD, 5.25") - 0/1/13-14
 1440 Кб (DS/HD, 3.5" ) - 0/1/14-15
для чего хранит внутри себя вышеприведенную таблицу.  Сохраняет в себе исходные
BPB и таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при каждой операции чтения/записи в дисководе A:,
если в момент обращения моторы дисководов A:  и B:  были выключены.  Распознает
себя по слову [004A]=9EBC.

     МАСКИРОВКА: Stealth. На жестком диске при чтении сектора 0/0/1 подставляет
сектор с исходной MBR,  при чтении секторов 0/0/6-0/0/7 (хвост вируса) подстав-
ляет 0/0/5, при чтении нескольких секторов не маскируется;  при записи в сектор
0/0/1 блокирует ее, заменяя на операцию верификации (независимо от числа секто-
ров). На дискете маскируется только при чтении сектора 0/0/1 (одного), подстав-
ляя исходный бутсектор. Регистры сохраняет.
     Копирует в себя на дискете байты 0003 - 001D (OEM ID и  BPB),  на  жестком
диске 01BE - 01FF (таблицу разделов).  Характерные тексты отсутствуют. Сообщение
зашифровано и выглядит так: '╝ЮТПЮ[Ю▀╛СЛЦ╥л║│║╣░▒╢╝╛▀╫╜ЮНЬЪУРСЮ╓Єї'

     ПРОЯВЛЕНИЯ: После 400 загрузок с момента  заражения  затирает  собственный
диск,  причем весьма прихотливо: сначала обнуляет в себе счетчик загрузок и пе-
резаписывает себя (нулевую дорожку нулевого цилиндра с собой,  любимым,  он  не
трогает,  и если его быстро остановить,  что-то можно спасти). Затем затираются
цилиндры 0-5 - один раз,  от 6 до конца - несколько раз (по  числу  сторон,  но
каждый  раз затираются все стороны всех цилиндров).  После каждого прохода рас-
шифровывает и выдает на экран текст 'Campaдa Anti-TELEFONICA (Barcelona)' (тем,
кого смущает русское "д",  рекомендуется прочитать без русификатора). Затем вся
процедура повторяется для следующего устройства (правда,  со старыми параметра-
ми).  Параметры (число цилиндров и т.п.) определяет при помощи функции 8 преры-
вания 13h при заражении диска и хранит, пока они не понадобятся.
     Впрочем, опасен вирус в основном не этим...

     ПОБОЧНЫЕ ЭФФЕКТЫ:  При попытке заражения дискеты для чтения бутсектора ис-
пользуется буфер вызывающей программы. Это нормально при операции чтения, но не
очень приятно при операции записи, поскольку прочитанный бутсектор затрет запи-
сываемую информацию и будет записан вместо нее.  Неприятность усугубляется тем,
что  операция  записи  гарантирует сохранность буфера,  и многие программы этим
пользуются,  так что бутсектор может занести в самые неожиданные места.  Обычно
при  нормальной работе с дискетами записи предшествует чтение (FAT,  каталога и
т.п.) и к началу операции записи мотор дисковода включен, так что попытки зара-
жения не  происходит.  Если это не так (например,  при копировании с дискеты на
дискету), информация будет испорчена.
     На жестком  диске  блокирует запись в MBR без возвращения ошибки,  так что
манипуляции с таблицей разделов приводят к катастрофическим последствиям.
     Тип дискеты определяет по количеству секторов на ней, которое берет из BPB
и ищет в своей таблице.  Если дискета размечена нестандартно (например,  на 800
Кб),  он ее в таблице не находит и продолжает искать по всему своему коду и да-
лее 63 Кб за пределами основной памяти,  а потом  сначала.  Не  исключено,  что
где-нибудь найдет и тогда что-нибудь куда-нибудь запишет.
     Последний сектор каталога дискеты используется при наличии на ней большого
количества  файлов  (более  96 для DS/DD).  При заражении дискеты попавшие туда
файлы будут потеряны.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Исходные бут  (на  DS/DD) и MBR хранит там же,  где Stoned.  При заражении
диска, инфицированного ранее Stoned или аналогами, правильный бут или MBR теря-
ется и загрузка становится невозможной.

     ИСТОРИЯ: Судя по тексту внутри, происходит из Барселоны (Испания). В Моск-
ву прислан из Казани (Татария),  где был обнаружен в январе  1992  года.  Может
упоминаться под именем Kazan, Tatarin, а также Campaдa и Campana.

