     ╔════════════════════════════════════════════════╗
     ║ Если у Вас есть проблемы с русификацией,       ║
     ║ если хотите получить от принтера все, на что   ║
     ║   он способен,                                 ║
     ║ если не хотите расходовать память на           ║
     ║   резидентные драйверы,                        ║
     ║ если Вас не удовлетворяют халтурные шрифты     ║
     ║   фирменной русификации,                       ║
     ║                                                ║
     ║       позвоните по телефону 292-07-23.         ║
     ╚════════════════════════════════════════════════╝

                                                          Лозинский Д.Н.

                  Антивирусная программа AIDSTEST.EXE

                  Версия 314 от 26.04.92, длина 73564.
       0. Информация о последних версиях
       1. Общие рекомендации
       2. Основные возможности
          2.1. Программные вирусы
          2.2. Вирусы в начальном секторе
          2.3. О "музыкальной" группе
          2.4. Вирус "DIR"
       3. Параметры
       4. Сообщения и дополнительные возможности
       ПРИЛОЖЕНИЕ. Условия распространения программы AIDSTEST

                  Внимательно прочтите эту инструкцию
            и старайтесь строго  следовать ее рекомендациям.

    Учтите, что  при неаккуратной  работе  с  антивирусными  программами
можно  не   только  переносить  с  ними  вирусы,  но  и  вместо  лечения
программных файлов  безнадежно их  испортить. С  середины 1990  в  нашей
стране разразилась  эпидемия писания  вирусов, которой подвержены отнюдь
не самые  сильные программисты.  Из-за наличия  в их  продукции  ошибок,
зараженная  операционная  система  часто  становится  неработоспособной.
Поэтому  рекомендую   для  запуска  AIDSTEST  использовать  операционную
систему, загружаемую с дистрибутивной дискеты.

    Поскольку программа  AIDSTEST постоянно переделывается для включения
новых типов  вирусов, гарантировано  наличие в ней некоторого количества
ошибок. Есть,  впрочем, надежда,  что они  принесут  меньше  вреда,  чем
вирусы.

                   0. Информация о последних версиях

30 - 69 вирусы:
     Joshi; V-600,  Voronezh, Murphy, Ysh--1961, A-23693; sI-492, Abs-1,
     V-257,  V-4096,   Atn-394,  Rostov,  BEBE,  V-644,  V-1049,  V-512,
     Den Zuk, MGTU-273,  LCh-488, V-905,  V-707, V-572, Loz-1023, V-516,
     MSTU-554 (551), V-948, SVC-1689, V-699, V-696, MLTI-830, HYMN-1865,
     HYMN-1962, HYMN-2144,  Kuku-448, V-1024,  Mgn, Fu-417,  Minsk-1075,
     Loz-1915, Loz-776.
     Переключатель /S; переключатель  /Q; реализована работа не только с
     полным диском; выдача копии протокола в файл.

 70 - 100 вирусы:
     AT-144, Loz-1018,  M53-1905(1909), Words-1085,  V-1150, Words-1069,
     Words-1387, V-370, SVC-1740, SVC-3103, Hero-506, ATA-1150, DLk-920,
     Flip-2343, FORM (Boot), Sov-1193, Edd-2100, V-512 - 5 новых версий,
     MS-457, MS-550,  Piter (Boot),  IBM-547,  Words-1503,  LCh  (Boot),
     Invader-4096, AT-132, SVC-1064, Pascal-7808.

101 - 150 вирусы:
     M06-1269,  M17-1753,   M2A-2997,  M2E-2981,   Edd-651,   Mgn4-2048,
     NearDark (MBR),  Alabama-1560,   Tula-419,  MSTU-532(531),  DM-400,
     STARSHIP, JOCKER-1371,  Tumen-1255, V-765,  V-1232(1472), Hero-394,
     Some-658,  Kiev-483,  mutant-1744,  A-625,  LOZ-2968,  TAIWAN-2900,
     PRTSCR-1024,  Tula-635,   IFS-361,  IFS-377,   Chemist-650,  V-695,
     Feist-670, Loz-1882,  Abs-2 (MBR),  MusicBug (BOOT),  Bloody (MBR),
     Loz-1958,  V-1308,   V-1233,   Loz-2970,   DADA-1356,   Words-1391,
     Words-1485,  Bloody-2 (MBR),   DM-400  (версия   1991),   AIDS-552,
     XPEH-4016,  March6 (MBR),   SEAT-1614,  Sistor-2380,   Siskin-1017,
     TEQUILA-2468.
     В  связи  с  появлением  весьма  эффективного  ревизора  ADINF,  из
     AIDSTEST удален поиск на дисках новых неизвестных вирусов.

152 - MPHTI (Boot), ABS-3 (MBR).

153 - DIR-1024 - описан в особом разделе.

154 - MANOVAR-921.

157 - GELENDZIK (MBR), V-537, SVC-4644.

163 - KBbug-1596, Mgn5-2560, Sov-1205, BMK-513, V-900, Penza-700.

166 - XPEH-3600, XPEH-4048, BootEXE-452.

170 - SADIST-1434,   SVCX-3103,   Lip-286,   Rust-1710,   вирус   V-1233
     переименован в SUM-1233.

181 - Write-1514/1554,    DUSHANBE-458,     Sverdlov-921,    Tetris-552,
     ChDir-783,  Tired-1740,   Sistor-2225,  CROSS-734,   V-310,  V-384,
     KBbug-1720.

187 - Ghost-1963, Day7-839, IMP-1445, SVC-4661, MIX-1618, MIX-2280.

189 - XPEH-4928, Enola-1864.

191 - V-1202, Find-1575.

194 - Liberty-2857, MPHTI-2 (Boot), Clock (MBR).

198 - NOMEN-1024, DCR-1168, DCR-1280, DCR-1480.

199 - KBbug-895.

204 - Mgn6-3000, Sverdlov-1064, October1 (MBR), Hard-662, Siskin-948.
     Добавлен параметр  /E для  загрузки в адаптеры EGA и VGA начертаний
     русских букв.

213 - Mini-145,  Korea-1947,   Penza-1210,  Sistor-1000,   Dinamo (MBR),
     BootEXE-451, V-821, Estonia-1712/1716, Attn-629.

215 - Problem-863, SUM-1569.

223 - JEWS-2339,  SeaCat-160,  Phx-800,  Phx-1226,  Phx-1302,  Phx-1701,
     Phx-1704, Jassy-778; BMK-513 переименован в JEWS-513.

225 - Ninja-1376, Maxi-2332/2859.

227 - XPEH-5808, XPEH-3840.

230 - V─1014,  Tula-1480,  Tula-593;  семейство  "A"  получило  наиболее
     распространенное имя Vienna.

232 - Andryushka-3568, Andryushka-3536.

233 - V-715.

237 - DM-400 (3), Vienna-1239, Tim-1600, Hi-460.

239 - Ghost─1447, Vienna-998.

256 - Tiny-198 ... -114 (14 вирусов), V-300, V-748, Vienna-507.

258 - Vienna-565, XPEH-5856.

262 - V-756, BEBE-486, Problem-856, IRON-636.

264 - Astra-976, Astra-1010.

270 - Blaise-720,   KLF-356,    Nov_7 (MBR),    Loa (BOOT),    SUM-3022,
     Ballad-1581.

271 - Anti_TEL (MBR).

272 - XPEH-5648.

276 - AMOEBA-2477, Adolf-475, Vienna-1201, IMP-1402.

280 - Problem-734, Lycee-1975, Pause-1024, Plastique-3004.

284 - INFO-1256, V-1355, Spook (MBR), V-1131.

286 - XPEH-4752, mutant-1680.

300 - SVC-4677,  Tiny-108,  Mini-145,  Mini-146,  Mini-150,  Search-238,
     Search-496,   Vienna-618,   Alive (MBR),   Mini-143,   Sistor-2630,
     Ieronim-512, Ieronim-560, Ieronim-600.

302 - Protect-1196, Digger-1475.

305 - Klaeren-971, TimA-1600, Mikola (MBR).

306 - DIR_2-1024.

307 - Civil-6656.
     Сообщения на двух языках (ключ /L).

308 - Terror-1085.

312 - Later-981/1009, Pravda-1940, Ion-231, Ion-2372.

314 - Alex-368, Alex-818.

     Для отключения рекламы параметр /a04.

                         1. Общие рекомендации

    Панацеи от  компьютерных вирусов  не существует  и  существовать  не
может.  Однако  соблюдение  следующих  правил  по  крайней  мере  снизит
вероятность тяжелых последствий.

    1) При лечении  своих  дисков  от  вирусов  старайтесь  использовать
заведомо чистую  операционную систему,  загруженную с дискеты. Защищайте
дискеты от записи, если есть хоть малая вероятность заражения.

    2) Избегайте  случайных   связей.  Старайтесь   пользоваться  только
законными путями получения программ.

    3) Не  собирайте   коллекции  антивирусных   программ   неизвестного
назначения. Во-первых,  с ними  можно получить новый вирус, а во-вторых,
как и  в медицине,  иллюзии опасны  несвоевременным  началом  настоящего
лечения.

    4) В момент  запуска AIDSTEST  в памяти  не должно  быть резидентных
антивирусных  программ   типа  FluShot,   которые  блокируют   запись  в
программные файлы.

    5) Поскольку  AIDSTEST  обнаруживает  только  уже  известные  автору
вирусы, полезно  иметь и  программу, обнаруживающую  появление на  диске
новых  вирусов.  Из  известных  в  настоящее  время  дисковых  ревизоров
наиболее эффективным  является, пожалуй,  ADINF,  который  за  несколько
секунд просматривает  весь  диск  и  сообщает  обо  всех  подозрительных
происшествиях. Распространяет ADINF та же организация, что и AIDSTEST.

                        2. Основные возможности

    Программа  AIDSTEST  предназначена  в  основном  для  обнаружения  и
исправления программ,  зараженных определенными  типами вирусов  - всеми
типами, известными  в настоящее  время автору.  В  процессе  исправления
программные файлы,  которые исправить  невозможно,  стираются.  Описание
вирусов дается  ниже. Список  постоянно пополняется  по мере появления в
Москве новых  вирусов. В  выдаваемых AIDSTEST  сообщениях  виды  вирусов
долгое  время   обозначались  буквами  латинского  алфавита  (иногда  со
штрихами).  Пропуски  в  алфавите  вызваны  тем,  что  ряд  вирусов  был
объединен в  одну группу  с новым  обозначением. В  последнее время  эта
система обозначений  пересматривается.  Многие  вирусы,  приписываясь  к
модулю, сначала  округляют его  длину, в связи с чем длины, приводимые в
списке вирусов,  могут отличаться от величины изменения длины файла. Для
удобства идентификации  в протокол  включена номинальная   длина вируса.
Кроме того при лечении выдается разность длин до и после лечения.

    Поскольку  в   последнее  время   широкое  распространение  получила
программа  SCAN,   предназначенная  для   обнаружения  самого   большого
количества вирусов,  везде, где это возможно, приводится название вируса
в ее классификации.

    Программу AIDSTEST  можно использовать  и  для  обнаружения  вирусов
новых типов.  Для этого ее следует скопировать на основной диск в хорошо
доступную директорию  и почаще  запускать без параметров (в частности, в
процедуре загрузки  - AUTOEXEC.BAT), чтобы она оказалась одной из первых
зараженных и  сразу сообщила  об этом.  К сожалению,  есть класс вирусов
(см. V-4096),  заражение которыми  обнаружить почти невозможно, если его
предварительно не обезвредить в памяти. Правда, разработка такого вируса
требует достаточно большого ума, который обычно сочетается с достаточной
порядочностью, чтобы  не заниматься  столь гнусным  делом, поэтому  есть
надежда, что новые такие вирусы будут появляться не слишком часто.

                        2.1. Программные вирусы

Vienna
     Длина 648. Наиболее примитивный из широко распространенных вирусов.
     При загрузке  в память  просматривает все  COM-программы в  текущем
     каталоге  и  в  доступных  через  PATH.  Первую  найденную  еще  не
     зараженную программу  либо  заражает,  либо,  с  вероятностью  1/8,
     портит таким  образом, что  она при  запуске вызывает  перезагрузку
     системы.  Если   испорченной  таким  образом  оказывается  одна  из
     программ, вызываемых  из AUTOEXEC.BAT, процедура начальной загрузки
     зацикливается. Самым  опасным свойством  этого вируса оказалась его
     простота. Из-за  этого в  малопочтенное  общество  авторов  вирусов
     смогла вступить группа личностей, способных разобраться в несложной
     чужой программе и слегка ее модифицировать. Таким образом появилось
     несколько  разновидностей   этого  вируса,   отличающихся  от  него
     длинами. Пока  мне известны  длины 534,  623, 625,  627,  23693.  В
     модификации длиной  623 вместо  ухода на перезагрузку стоит переход
     по  адресу   C800:0000.  Вероятно,  предполагалось,  что  от  этого
     произойдет форматизация  диска. Если  у Вас  будет  обнаружен  этот
     вирус, можете  сами искать  модули, в начале которых стоит EA 00 00
     00 C8,  и стирать  их с диска. Думаю, что предметом особой гордости
     автора  этой   модификации  была   обработка  ошибок  ввода/вывода,
     благодаря чему  не должны  выдаваться сообщения о попытке записи на
     защищенную дискету.  В версии 627 отключена ветка порчи программ, в
     связи с  чем  она  занимается  только  размножением.  Версия  23693
     появилась в  Ленинграде и  является, вероятно, самой безграмотной и
     гнусной.  Естественно,   проверка  длины  заражаемой  программы  не
     скорректирована. SCAN  идентифицирует оригинальный  вирус и вариант
     534 как  "Vienna (DOS  62) Virus - Version A [Vienna]". Вариант 623
     идентифицируется как  "VHP-2 Virus  [VHP2]". Оригинальный  вирус и,
     если  не  ошибаюсь,  все  модификации  помечают  зараженные  файлы,
     проставляя во  времени коррекции  файла 62 секунды. При лечении эта
     пометка не снимается. Некоторые антивирусные программы реагируют на
     эту пометку, заявляя о наличии вируса "Time Stamp".

-1239
     Портит первые  3 сектора  на секторе  0 головка  1 первого твердого
     диска (обычно это BOOT и два первых сектора FAT). SCAN его опознает
     как "Vienna/Violator Virus [Vienna]".

-998 Весьма творческая  переработка: добавлено  кодирование  и  изменена
     пометка во времени.

-507 Заражает только  в текущем каталоге. Зараженные файлы помечает 13-м
     месяцем.

-565 Вместо перезагрузки пишет 5 нулей.

-1201
     Изготовлен  в   лучших  традициях   структурного  программирования.
     Попытка испортить  загрузочный сектор  диска реализована  не вполне
     удачно.

-618 Вместо команды перезагрузки портит файлы командой "JMP 0:FFF0", что
     приводит к повисанию системы при запуске испорченной программы.

B)   Имеется два  варианта с  длинами 1701  и 1704. В протоколе их можно
     различать по  разности длин.  Также заражает  только COM-программы,
     однако опознает  их не  по имени,  а по  внутреннему  формату.  Это
     широко известный  вирус, вызывающий  осыпание букв на экране. Как и
     большинство  вирусов,  он  остается  в  памяти  машины  и  заражает
     запускаемые после  него программы.  Алгоритм активизации использует
     часы и  устроен таким  образом, что  наблюдать  деятельность  этого
     вируса (осыпание  букв) можно  обычно только  на  PC-XT,  да  и  то
     необходимо устанавливать дату. На AT этот вирус демонстрировал свои
     способности  только   в  третьем   квартале  1988   года.  Приятной
     особенностью  этого,   как  и  большинства  действительно  грамотно
     написанных вирусов,  является отсутствие  непоправимых  последствий
     его деятельности.  Следует отметить, что автор вируса хотел сделать
     его не  заражающим машины  фирмы IBM, но сделал в этом месте ошибку
     (перепутал  сегментный  регистр).  Название  в  классификации  SCAN
     "1701/1704 Virus - Version B [170X]".

C)   Длина 1808.  Заражает и  EXE- и  COM-программы. К  сожалению,  этот
     вирус различает  их по  имени и  потому  делает  неработоспособными
     программы, у  которых имя не соответствует содержанию. Из-за ошибки
     этот вирус многократно заражает одну и ту же EXE-программу. Внешние
     проявления -  "черный квадрат" на экране (координаты 5,5 - 16,16) и
     замедление работы  машины. Главная  опасность от него грозит, когда
     на 13  число приходится  пятница. По  таким дням  вирус стирает все
     загружаемые программы.  Название в  классификации  SCAN  "Jerusalem
     Virus Version B [Jeru]".

Edd  Группа вирусов  одного  автора,  в  которую  объединены  и  вирусы,
     имевшие имена "E" и "Bch". Изготовлены в Болгарии, заражают и EXE и
     COM. Программные  файлы заражают  даже при  их чтении,  из-за  чего
     размножаются очень  быстро. Главная  опасность состоит  в том,  что
     вирусы портят  на диске  относительно случайно  выбираемые сектора.
     При  этом   очень  трудно  определить,  какие  же  файлы  он  успел
     испортить.  Это   проделывается  при  каждом  шестнадцатом  запуске
     зараженной программы.

-651 Только заражает и только при загрузке программ.

-1800
     Прежнее название  этого вируса  "E". Испорченные сектора содержат в
     начале фразу  "Eddie lives...somewhere in time!", которая имеется в
     начале вируса.  После лечения  диска можно  найти по этому признаку
     все испорченные  файлы. Эта фраза должна стоять по адресу, кратному
     512. Название по SCAN "Dark Avenger virus [Dav]".

-2000
     Дальнейшее развитие  вируса.  В  этой  версии  появилось  заражение
     создаваемых программных  файлов  и  элементы  невидимости.  Прежнее
     название "Bch",  по наличию  в теле  вируса  текста  "(c)  1989  by
     Vesselin Bontchev". Существует два варианта, отличающиеся текстом в
     начале: "Only  the Good  die young..."  и "Zopy  me  -  I  want  to
     travel". AIDSTEST  различает их,  но  не  отражает  этого  факта  в
     протоколе. Этот вирус, как и следующий, в испорченные сектора пишет
     BOOT Sector  текущего диска.  SCAN опознает  его  как  "2000  Virus
     [2000]"

-2100
     Следующая разновидность.  Содержит в  начале и в конце текст "Eddie
     Lives", поскольку именно эти слова стали "пакостной маркой" автора,
     которой он  очень гордится.  Сохранен и текст "(c) 1990 by Vesselin
     Bontchev". Отличия  от предыдущей  версии не слишком принципиальны.
     SCAN опознает его как "2100 Virus [2100]"

I)   Длина 529.  Заражает только COM, но различает типы только по имени,
     из-за  чего   делает  неработоспособными   EXE-программы,   имеющие
     расширение COM.  Остается резидентным,  перехватывая прерывание 21.
     Никакой вред  не предусмотрен.  Не  проверяет  версию  операционной
     системы, но  использует имя программы, которое ставят в Environment
     версии не  ниже 3.0.  Записывается  в  начало,  переписывая  старое
     начало в конец файла. Внешне опознается только по длине. Прислан из
     Ленинграда 15.12.89.  Судя по  всему, автором  является  начинающий
     пакостник,   так   как   почти   все   передрано   из   знаменитого
     "Израильского" вируса  - в классификации AIDSTEST - вирус (C). Есть
     шансы  на   появление   новых   версий,   поскольку   предусмотрена
     подпрограмма обработки  EXE-файлов, которая  пока состоит из одного
     RET.

M)   Весьма большая  группа вирусов одного автора. Внутри каждого из них
     есть номер  разновидности в  авторской  классификации.  Этот  номер
     приводится в  протоколе вслед  за буквой  "M". Подробности о разных
     версиях  приведены   в  отдельном   разделе  ниже.   SCAN  называет
     представителей этой  группы  "Vacsina  virus  [Vacs]"  или  "Yankee
     Doodle Virus [Doodle]", а иногда и обоими именами одновременно, что
     обычно не означает наличия в модуле сразу двух вирусов.

Sun) Длина 1631+5  (5 - длина признака  зараженности,  приписываемого  к
     концу файла).  Весьма похож  на "Израильский"  вирус, что позволяет
     подозревать либо  одного автора,  либо плагиат. Отсутствует ошибка,
     вызывавшая многократное  заражение одного  EXE модуля.  В  качестве
     пакости  предусмотрено   стирание  всех   загружаемых  программ  по
     воскресеньям с  выдачей при  этом на  экран совета  по воскресеньям
     отдыхать. В  связи с  этим  свойством  вирус  известен  под  именем
     "SUNDAY". Впрочем,  есть надежда,  что в  этом месте вирус содержит
     ошибку и пакостная ветка никогда не должна работать. Дополнительная
     неприятность заключается  в том,  что вирус,  приписываясь к началу
     заражаемых  COM-модулей,   не  контролирует   их  длину  и  поэтому
     безнадежно портит модули, длина которых вместе с ним превышает 64К.
     SCAN опознает как "Sunday Virus [Sunday]".

IV)  Группа, состоящая  пока из трех представителей с длинами 847, 740 и
     345 байт. Устройство предельно примитивное - заражаются только COM-
     модули  в   текущей  директории,   причем  не   предусмотрено  даже
     сохранение даты, не говоря о контроле длины. Заражение производится
     приписыванием к  началу. IV-740  не контролирует и своего наличия в
     модуле, в  связи с  чем заражение происходит многократно. Остальные
     довольно  скоро   и  часто  начинают  вместо  исполнения  программы
     выдавать сообщение "Program sick error:Call doctor or buy PIXEL for
     cure description".  Очень похоже  на то, что первый из этих вирусов
     был опубликован  в виде  исходного текста  в  каком-то  издании  по
     компьютерным  вирусам  в  качестве  наиболее  простого  примера.  В
     результате получился  наглядный  пример  того,  что  нельзя  давать
     такого  рода   информацию,  которой   может  воспользоваться  любое
     ничтожество. На расстоянии 2-3 байта от начала в этих вирусах стоят
     буквы "IV".  Из этой  группы SCAN опознает IV-345 и IV-847, называя
     их "Amstrad Virus [Amst]".

V)   Эта буква  в дальнейшем  будет использоваться  для обозначения всех
     новых вирусов,  о которых  нельзя сказать  ничего  интересного.  Их
     перечень будет следовать ниже с вынесением на поля длины.

-600 Заражает только  COM-программы. Приписывается  к началу.  600  байт
     правильного начала  программы переписываются в конец, причем зачем-
     то кодируются  (XOR 0xBB). Программы  с флагом  защиты от записи не
     заражает. В  процедуре обработки  неустранимой ошибки  ввода/вывода
     (INT 24) есть неточность.

-257 Заражает только  COM-программы, причем только в текущей директории.
     Получен из  Кемерово. По-видимому,  местного происхождения.  Иногда
     вызывает   перезагрузку   операционной   системы.   Сделан   весьма
     неграмотно. Никогда  не закрывает  файлы, причем  открыть их  может
     очень много.  Портит время.  Не блокирует  сообщения  о  защите  от
     записи.  Зараженные   программы  теряют   способность  обрабатывать
     параметры.

-4096
     Заражает и  COM и  EXE. Scan  опознает его как "4096 Virus [4096]".
     Все зараженные  программы удлиняются  ровно на  4096, а  в дате год
     увеличивается на  100. Впрочем, обычно этого обнаружить не удается.
     Этот вирус  превосходит все мыслимые пределы затраты труда на столь
     ничтожную цель.  В нем  обрабатываются 20  функций DOS  (INT 21), в
     результате чего в зараженной машине полностью маскируются следы его
     деятельности. Мне представляется, что универсальный сторож, который
     обнаружил бы  появление в машине этого вируса, должен просматривать
     каталоги  не   стандартными  средствами   MS DOS,  а  через  прямое
     считывание секторов, поскольку все средства доступа к файлам отдают
     программам информацию,  из которой  удалены все  следы деятельности
     вируса.  Мне   пока  не  удалось  обнаружить  никакой  специфически
     пакостной деятельности  вируса, но уверяют, что он портит каталоги.
     Я достаточно  тщательно  изучил  его  средства  размножения,  а  на
     детальный анализ  прочих  частей  пока  не  хватило  времени.  SCAN
     опознает его как "4096 Virus [4096]"

-644 Заражает только  COM в  текущей директории,  причем не  в корневой,
     причем только  первые 20 минут каждого часа. Является, по-видимому,
     свободной вариацией на тему вируса "A". При этом, однако, автору не
     удалось  справиться   с  регистрами,  и  заражение  через  PATH  не
     происходит.  Время   создания  файла  портится,  поскольку  в  него
     довольно глупо  ставится признак зараженности.

-1049
     Заражает COM  и EXE.  Очевидный плагиат  из "музыкальных"  вирусов,
     впрочем,  только   достаточно  тривиальной   части.  "Оригинальной"
     является  только  пересылка  содержимого  AX  в  BX  до  сравнения,
     вставленная, по-видимому, в соответствии с моими рекомендациями для
     авторов вирусов.

-512 Заражает  только   COM.  Является   первым   представителем   давно
     ожидаемого  семейства   вирусов,  не   меняющих  длину   заражаемой
     программы. Как  это сделать  знают достаточно  многие.  Думаю,  что
     такие  вирусы   до  сих   пор  не  появлялись  из-за  одного  очень
     неприятного их  свойства - после  копирования зараженной  программы
     она становится неработоспособной. Текущая версия AIDSTEST различает
     6 вариантов  этого вируса,  хотя и  не  отражает  этих  различий  в
     протоколе, поскольку  они существенны  только для  лечения, а не по
     последствиям. Даже  главная ошибка,  упоминаемая ниже, присутствует
     во всех  версиях. Судя  по некоторым приметам, и этот вирус написан
     автором вируса  "Dark Avenger".  Ему, очевидно, доступна внутренняя
     документация  фирмы  Microsoft,  поскольку  в  тексте  использовано
     большое число  недокументированных возможностей  MS DOS.  Есть  две
     довольно грубых  ошибки, одна из которых должна с вероятностью 2/n,
     где n  - количество системных буферов (параметр Buffers), приводить
     к повисанию  системы в  момент  первой  загрузки  вируса  в  память
     машины. Учтите,  что при  лечении  программ  от  этого  вируса  нет
     гарантии того,  что они  будут восстановлены  в исходное  состояние
     (особенно  для  двух  из  шести  версий).  В  частности,  абсолютно
     невозможно восстановить  программы, которые  после  заражения  были
     переписаны на  другой диск  или даже  на новое место того же диска.
     SCAN опознает пять из шести версий как "512 Virus [512]".

-900, -905
     Заражает только EXE. При заражении сегментированной программы может
     сделать  ее   неработоспособной,  однако  лечению  это  не  мешает.
     Предусмотрена оригинальная  шутка: на  адаптере EGA с определенного
     момента времени  каждые 10  секунд изображения  символов на  экране
     переворачиваются.

-707 Заражает только COM, отличая их по имени. При определенных условиях
     появляется треск  (18 раз  в секунду  включает и  выключает  звук).
     Текст вируса  интересен упорной  борьбой автора  с  несуществующими
     трудностями. Вирус  активизируется только  в  MS DOS-3.30,  однако,
     зачем  автору   это  понадобилось   понять  трудно,  поскольку  все
     специфичное для этой версии можно было в вирус не вставлять.

-572 Заражает только EXE. При заражении сегментированной программы может
     сделать  ее  неработоспособной.  В  этом  случае  и  после  лечения
     программа  может   оказаться  испорченной   (недоступны  правильные
     параметры длины  в EXE  HEADER). Привезен  из Воронежа.  Из  текста
     вируса видно,  что автор  очень  спешил  напакостить,  не  успев  в
     достаточной мере изучить MS DOS.

-516 Заражает только  COM,  причем  только  начинающиеся  командой  JMP.
     Является первым представителем давно ожидаемой мной разновидности -
     не меняет  начало, а  вставляет JMP  на  себя  в  позицию  перехода
     первого JMPа.  По мелким  приметам похоже,  что и его сочинил автор
     "Dark Avenger".  Содержит ошибку в использовании системных буферов,
     приводящую к повисанию системы, впрочем, с вероятностью вдвое ниже,
     чем у V-512.

-948 Заражает COM  и EXE.  За счет  округления истинное  изменение длины
     больше на  1-16. При  заражении COMMAND.COM  его длину  не  меняет.
     Работает только  в MS DOS  3.xx.  В  качестве  шутки  предусмотрено
     изменение случайно  выбираемых букв  на экране, но мне кажется, что
     эта ветка никогда не работает.

-699 Заражает только COM, отличая их по имени. Не заражает COMMAND.COM и
     файлы короче  1700. Истинное  удлинение файлов  от 704  до  719.  В
     качестве пакости  предусмотрена периодическая  симуляция  сбоев  на
     устройствах гибких  дисков, но,  как  мне  кажется,  в  этом  месте
     имеется ошибка, которая может приводить к повисанию системы.

-696 Заражает только  COM, просматривая  каталоги. Это,  кажется, первый
     вирус, который  работает не  только в  текущем  каталоге  (если  не
     считать "A",  работающего через  PATH). Впрочем,  хотя в  алгоритме
     хождения по  каталогам я детально не разбирался, некоторые ошибки в
     нем обнаружил.  До заражения  округляет длину до кратной 16, причем
     точную исходную длину восстановить не удается. Дату и время портит.
     Не заражает  COMMAND.COM и  файлы с  атрибутами Read only,  Hidden,
     System. После  64 запусков  зараженной программы  предусмотрено  ее
     стирание и попытка испортить первый твердый диск.

-1024
     Заражает COM и EXE. Содержит безграмотный плагиат из чужого вируса,
     в   результате   чего   очень   быстро   делает   неработоспособной
     операционную систему.  Предусмотрено периодическое  уменьшение, а в
     пятницу 13-го  и обнуление параметра размера диска (BOOT+13h). Если
     у вас  произойдет такое  на твердом диске, для восстановления можно
     использовать значение  из Partition  Table. Лечение возможно только
     при загрузке  с чистой  операционной системы,  поскольку зараженная
     успевает безнадежно испортиться до начала работы программы.

-1150
     Все откровенно  украдено из  "музыкальных" вирусов,  хотя  украдено
     далеко  не  все.  В  частности,  автор  не  сумел  даже  обеспечить
     однократное  заражение   модуля.   Впрочем,   автору   можно   быть
     благодарным  за  то,  что  он  не  вставил  какой-нибудь  пакостной
     самодеятельности.

-370 Предыдущая и более примитивная версия Воронежского вируса V-600.

-765 Заражает только EXE. На дискетах делает фиктивные BAD Cluster'ы (по
     одному на каждый вызов функции Select default drive).

-1232 при заражении COM и
-1472 при заражении EXE. Через каждые 10 минут устраивает мелкую пакость
     с клавиатурой  - пятикратное  повторение последней нажатой клавиши.
     Время создания файла портит.

-695 Заражает COM  и EXE,  различая их по имени. Резидентный. Для второй
     половины  1990  года  предусмотрена  шутка:  каждый  час  5  раз  с
     небольшой задержкой  гасит экран. Не заражает файлы Read Only, хотя
     и хотел это делать. Дату не портит.

-1308
     Заражает  только   COM  просматривая   диск  классическим   Венским
     алгоритмом. В  качестве  пакости  предусмотрено  быстрое  забивание
     свободного места  в  FAT  признаками  конца  файла.  После  лечения
     необходимо пустить  CHKDSK и  затем удалить  из корневого  каталога
     файлы с именами FILEnnnn.CHK.

-537 Заражает только  EXE в  текущем  каталоге.  Портит  дату  и  время,
     устанавливая  фиксированные   значения:  17.08.88   -  02:08:34.  В
     процессе поиска  файла для заражения забывает их закрывать, в связи
     с чем при исполнении программы возможна ошибка.

-310 Заражает только COM. Резидент в области векторов прерываний. Иногда
     вызывает перезагрузку системы.

-384 Содержит гордую  фразу: "Infects  ani .COM  or  .EXE  file  on  any
     writeable Device".  На самом  деле и те и другие безнадежно портит,
     причем только в текущей директории. Единственное почти оригинальное
     достижение  -  использование  доступа  FCB.  Все  зараженные  файлы
     приходится удалять.

-1202
     Вариант V-1150.

-821 Заражает только  EXE. Новая продукция автора V-900 и V-905. Однако,
     на этот  раз вместо  шутки с  экраном вставлена мелкая пакость - на
     дисках, имеющих  12-битовый FAT, постоянно образуются псевдосбойные
     кластеры. Алгоритм  заражения сохранен полностью. Scan опознает как
     "905".

-1014
     Заражает только  EXE, однако,  из абсолютно непонятных соображений,
     COM-программы, имеющие  в начале JMP, обрабатывает по тому же пути.
     В результате  вирус оказывается  дописан к  концу файла, а в начале
     портятся 6  байт  (+4-+5  и  +14-+15h).  Такие  файлы  AIDSTEST  не
     обнаруживает. Опасности  они не  представляют, но работоспособность
     могут потерять. Очень редко вирус может производить мелкие шутки на
     адаптере типа  EGA/VGA -  смещать по вертикали развертку на экране.
     Scan опознает его как "Armagedon [Arma]".

-715 Заражает только  COM в  корневом и текущем каталоге текущего диска.
     Содержит довольно  интересный алгоритм обхода резидентных сторожей.
     Зараженная программа через месяц после своего заражения после 13.00
     перезагружает систему. Из непонятных соображений заражает и файлы с
     атрибутом System,  в т.ч.  ibmbio.com и  ibmdos.com, что приводит к
     очевидным  результатам.   Весьма  тяжелое   впечатление   оставляет
     сочетание хорошего  уровня программирования  и  столь  примитивного
     результата.

-300,-748
     Заражают только  COM в  текущем каталоге.  Судя по  почерку, одного
     автора. 300  по 3-м  числам месяца  портит 19  секторов в случайном
     месте диска  D: и  выдает текст  "Happy Birthday,Cheef!", а 748 в 5
     часов утра  в субботу портит все EXE-файлы в текущем каталоге таким
     образом, что  они портят  при запуске  сектора в  случайных  местах
     первого твердого диска.

-756 Заражает только  EXE. Довольно  грамотно и  оригинально  реализован
     тривиальный "Венский"  алгоритм просмотра  каталогов по  PATH. Тело
     вируса кодируется.  Совершенно оригинально сделан обход слежения за
     DOS-функциями,  но   дубово  до   изумления  -   по  памяти  ищется
     последовательность байтов,  стоящая на входе в MS DOS 3.30, в связи
     с чем  на других  версиях вирус  добровольно отказывается работать.
     Замедляет работу  машины, оставляя на прерывании по времени цикл из
     восьми байт. Интересные люди пишут вирусы!

-1355
     Заражает EXE  и COM.  Резидентный.  Стирает  и  не  восстанавливает
     атрибуты. Если не ошибаюсь - проверить не было возможности - каждый
     час устраивает дрожание экрана.

-1131
     Заражает EXE и COM. Резидентный. По шестым числам месяца устраивает
     осыпание букв при помощи довольно примитивного алгоритма.

Mur) Длина  1277,  причем  точно,  что  встречается  при  заражении  EXE
     довольно редко.  Заражает и  COM и  EXE. Близко  от начала содержит
     текст "I'm Murphy. ...". Главное внешнее проявление: в интервале от
     10 до  11 часов  пищит с  частотой 11.9 Кгц.  В процедуре обработки
     INT 24 применен  очень хитрый  прием выхода - прямое восстановление
     всех регистров  непосредственно из  стека  (наглядная  демонстрация
     того, что  лишние знания  дураку только  вредят).  Поскольку  автор
     забыл, что  может понадобиться восстановление и стековых регистров,
     последствия этой  хитрости при попытке писать на защищенную дискету
     являются  непредсказуемыми.   Например,  при  загрузке  AIDSTEST  с
     защищенной дискеты  появлялись совершенно  некорректные  сообщения.
     Заметен  плагиат   из  "Dark   Avenger",  причем  без  достаточного
     понимания функций копируемых фрагментов.

Vrn) Длина ровно  1600. Заражает  и COM  и EXE.  Заражение производит не
     только при  загрузке программ, но и при открывании на чтение файлов
     с  расширением   EXE.  Имеется   ряд   признаков,   позволяющих   с
     уверенностью говорить  о родстве  с V-600.  Произведен в  Воронеже,
     причем мне  сообщили имя  автора -  Стас Олейников. В подтверждение
     этой информации  Касперский Е.В. обнаружил  в V-600  закодированный
     текст "Oleynikoz S.,1990".  Для меня  абсолютно непостижим  стимул,
     которым руководствовался автор, сочиняя этот вирус. Дело в том, что
     его единственная  задача  -  обойти  самозащиту  AIDSTEST,  которая
     описана  в   последнем  разделе   настоящего  описания,   причем  с
     предельным старанием,  без проблеска  новых идей  и даже  с ошибкой
     реализована рекомендованная  процедура. Сообщая  эту  процедуру,  я
     надеялся, что  главной  движущей  силой  авторов  вирусов  является
     болезненное самолюбие и желание доказать свою способность придумать
     нечто  принципиально  новое.  На  этот  раз  воронежский  пакостник
     недалеко ушел  от тех,  кто гордится умением поменять пару команд в
     простейшем вирусе "Vienna (DOS 62)".

Ysh) Длина 1961.  Заражает только  EXE, просматривая  в  момент  запуска
     зараженной программы  все каталоги  диска. Перед  тем как  передать
     управление исходной  программе, исполняет  мелодию. В  конце вируса
     имеется слово  "motherfucker".  Поступил  из  коллекции  известного
     болгарского  вирусолога  Бончева  и  ему  же  принадлежит  название
     YANSHORT. В  живом виде  пока не  замечен, как я думал в момент его
     обработки,  но   уже  на  следующий  день  мне  его  прислали,  как
     отловленного в  Кемерово. SCAN  опознает его  как "Yankee Two Virus
     [Doodle2]".

sI)  Длина 492.  Заражает только COM. В памяти остается в области второй
     половины векторов  прерываний (0:200-0:3FF).  Кроме  прерывания  21
     берет и  1C, которое использует для выбора момента порчи случайного
     места диска "C:". Есть, впрочем, надежда, что автор немного напутал
     и такой  момент никогда  не наступает.  Первым делом вирус пытается
     заразить "C:\COMMAND.COM".  До заражения в конец файла дописывается
     от 1  до 16  нулей, чтобы  длина стала  кратной 16.  Исходную длину
     файла восстановить  невозможно. Время  также портится.  Более того,
     время постоянно  указывает на  момент последнего запуска программы,
     пока количество  запусков с момента заражения не станет равным 256.
     Сообщение о  попытке записи  на защищенную  дискету не блокируется.
     Комбинация  "sI"   присутствует  со  смещением  3  от  начала  всех
     зараженных   программ    и   используется    вирусом   в   качестве
     опознавательного знака.

Atn) Длина 394.  Заражает только  COM, различая  их по  имени.  Остается
     резидентным, занимая  416 (1A0)  байт в конце памяти. В начале всех
     зараженных файлов  стоит текст  "ATTENTION  !".  Дату  портит.  При
     попытке записи  на  защищенную  дискету  (точнее  при  неустранимой
     ошибке ввода/вывода)  сообщение блокирует, однако трижды включает и
     выключает мотор дисковода "A".

BEBE-1004
     Заражает только  COM в  текущей директории,  различая их  по имени.
     Оставляет в памяти резидентную часть, которая помещается по адресам
     0:1CE-3EB и  перехватывает прерывание от часов (1C). Через 10 минут
     после загрузки  на экран выдается идиотский текст, после чего из-за
     абсолютно безграмотной  работы с  клавиатурой вирус зацикливается и
     приходится перезагружать  систему  кнопкой  RESET  или  выключением
     машины. Блокирование этого фрагмента пока не предусмотрено, поэтому
     рекомендуем запускать  AIDSTEST для  лечения с  чистой системы  или
     сразу после загрузки, а после лечения сразу перезагружаться.

-486 Отличается  тем,   что  резидентный   фрагмент  вместо  организации
     остроумного диалога  пакостит на  диске -  при  исполнении  функции
     WRITE меняет  символы "+"  на "-"  и наоборот.  Важным достоинством
     обоих  разновидностей   вируса  является   их   неработоспособность
     практически на всех типах машин.

MGTU Длина 273. Заражает только COM в текущей директории, различая их по
     имени. Содержит  текст "Эта  пpогpамма написанна  в МГТУ  студентом
     гpуппы ИУ4" (текст полностью скопирован из вируса).

LCh) Длина 488.  Заражает только  COM, различая  их по  имени.  Содержит
     текст  "LoveChild  in  reward  for  software  sealing".  Специально
     настроен на  работу в  MS DOS-3.30, причем  из-за ошибки  мгновенно
     вешает  любую   другую  версию.   Заражение  производит  не  только
     загружаемых программ,  но и  при исполнении  функций OPEN и RENAME,
     однако содержит  счетчик на  5000 до  первого заражения. Иногда при
     создании файла  вместо него  создает под  тем же именем оглавление.
     Самым гнусным  свойством является его способность записать в начало
     EXE-программы последовательности  команд, которая  полностью сотрет
     все содержимое  диска. Естественно,  такие модули  AIDSTEST с диска
     стирает.

Loz  Вирусы,  объединяемые   под  этим  именем,  являются  расплатой  за
     популярность AIDSTEST.
-1023, 1018
     Заражает  только   COM,  однако   заметно  желание   в   дальнейшем
     распространить   деятельность   и   на   EXE-программы.   Заражение
     происходит и  при открытии  файла на  чтение. Атрибуты и дата файла
     портятся. Главной  задачей, которую  поставил  перед  собой  автор,
     является  борьба   против  AIDSTEST.   Вирус,  как   и  большинство
     остальных, остается  резидентным в  памяти, перехватывая  обработку
     функции 4B  (загрузка программ).  При попытке  исполнить  программу
     AIDSTEST он вместо этого выдает текст:
        Welcom to demo version (C) Zherkov
        Лозинский-ДУБ , AIDSTEST - горбуха
     и  пытается  стереть  AIDSTEST  с  диска.  Для  лечения  необходимо
     работать в  чистой операционной  системе,  загружаемой  с  дискеты,
     либо, если  у вас  такой нет,  переименовать  AIDSTEST  (защита  от
     переименования  снята).   Еще  раз  напоминаю  -  имейте  копию  на
     защищенной дискете.  В вирусе предусмотрена и еще одна пакость: при
     записи на  дискету BOOT Sector  (например, при  форматизации) в нем
     заменяется на 0 параметр количества поверхностей (смещение 1A). Как
     ни странно,  исправить такую  дискету довольно трудно. Программу NU
     (Norton Utilities)  следует запустить командой "nu a: /m", причем в
     это время  дискета не  должна быть загружена, и только после начала
     работы  программы   ее  можно  загрузить.  В  противном  случае  NU
     зацикливается. Из  анализа текста  вируса видно, что автор знаком с
     довольно тонкими  возможностями MS DOS,  но применяет  их  довольно
     бессмысленно.

-1915
     Новая версия вируса того же автора. На этот раз добавлена обработка
     EXE-программ. Пострадавшим от этого вируса могу сообщить координаты
     автора.

-1882
     Тот же вариант с исправлением нескольких ошибок.

-2968
     Отличается от предыдущей регулярной выдачей на экран весьма изящной
     рекламы AIDSTEST, а также тем, что не портит дискеты.

-1958
     Почти точное подобие 2968, но без рекламы AIDSTEST.

-2970
     Функционально подобен 2968, но с фрагментами из 1958.

-776 Очередная вариация  на тему "Vienna (DOS 62)". Пометка зараженности
     заменена с  62 на  58 секунд.  Автору можно быть благодарным за то,
     что он,  по крайней  мере, выкинул порчу программ и заражает только
     программы длиной от 813 до 3302. Иногда выдает сообщение:
          Я, кажется, подхватила какую-то заразу...
          Срочно звоните Дмитрию Николаевичу Лозинскому
          по телефону 292-40-76 (Москва) и приобретите
                   ПРОГРАММУ AIDSTEST !!!

MSTU Заражает и  COM (длина  554), и  EXE (длина  551) только  в текущей
     директории, различая  их по  имени. Другая версия имеет длины 532 и
     531. В  качестве признака  зараженности ставит  фиксированное время
     (10:47:22). Файлы  с флагом  Read only не  заражает. Содержит текст
     "This program  was written  in MSTU,1990".  Думаю, что позорит МГТУ
     своим  безграмотным  творением  тот-же,  кто  сочинил  и  MGTU-273.
     Поскольку  никакие   проверки  длин   в  вирусе  не  предусмотрены,
     полноценное лечение всех файлов не гарантируется.

SVC) Группа вирусов  одного автора,  живущего по  имеющейся информации в
     Нижнем Новгороде. Все имеющиеся версии заражают COM и EXE. Содержат
     близко от  конца текст:  "(c) 1990  by SVC,Vers. 4.0". Корректируют
     время создания  файла, ставя  в  нем  60  секунд.  Если  зараженную
     программу загружает  DEBUG, вирус ее исправляет. При вызове функций
     просмотра каталога,  вирус корректирует  в информации  о зараженных
     программах время и длину, скрывая свое наличие в них.

-1689, 1740
     Две разновидности  одной версии,  отличающиеся в  одном  фрагменте,
     который, кажется, так и не был отлажен.

-3103
     Существенно переработанная  версия - 5.0, в которую добавлены новые
     старания скрыть  свое наличие  в  машине,  впрочем,  основанные  на
     известных методах.  Можно одобрить  стремление автора  не испортить
     диск при  работе программы  CHKDSK  и  не  заражать  COMMAND.COM  и
     системные модули.

-1064
     Версия 3.1. Занимается только заражением.

-4644
     Очередная  версия   6.0.  На   этот  раз  добавлено  заражение  MBR
     (Partition Table)  и даже  программ в  формате драйвера.  В связи с
     последним обстоятельством  при обнаружении  этого вируса необходимо
     производить чистку  с параметром /G (просмотр не только EXE и COM).
     Вставлена защита  от трассировки,  позаимствованная из  музыкальных
     вирусов. Трудолюбию  автора можно  только  удивляться.  Сколько  же
     можно тратить  сил, повторяя  давно  сделанное  другими?  Формально
     новое - заражение драйверов достаточно тривиально. Думаю, что этого
     до  сих  пор  никто  не  делал,  поскольку  этот  путь  размножения
     абсолютно бесперспективен  - драйверы  практически никогда с машины
     на машину не копируют.

-4661
     Отличается от  4644 только  исправлением одной  ошибки -  теперь  к
     AIDSTEST.EXE приписывается  текст: "/* (c)  1990-91 by  Moscow SVC,
     Vers.". Прочие ошибки остались в неприкосновенности.

-4677
     Весьма мало отличается от 4644.

SVCX-3103
     Переделка вируса  SVC-3103. Вставлена  обработка INT  13 (работа  с
     диском),  причем  весьма  безграмотно.  Используется  фиксированный
     адрес, по которому MS DOS 3.30 хранит вход в INT 13. В результате в
     остальных версиях MS DOS вирус неработоспособен.

MLTI Длина 830. Заражает только COM. Дату портит. По пятницам после трех
     часов непрерывной работы стирает с диска все загружаемые программы.
     Содержит тексты,  свидетельствующие о  том, что  вирус изготовлен в
     МЛТИ. Способ  фиксации в оперативной памяти заимствован из одной из
     последних версий "музыкальных" вирусов (как и в V-1049).

HYMN Серия, состоящая пока из трех вирусов. Заражает и COM и EXE, причем
     не  только  при  загрузке  программы,  но  и  при  открытии  файла,
     переименовании, изменении  атрибутов и  даже  при  создании  нового
     программного файла. При совпадении номера дня и месяца (1 января, и
     т.д.) портит  BOOT Sector диска "C", после чего, довольно фальшиво,
     исполняет Гимн  Советского Союза  с выводом  на экран  саморекламы.
     Особенно неприятно,  что на  PC XT в  момент загрузки системы стоит
     дата  01.01.80,   и,  если  COMMAND.COM  заражен,  диск  "C"  сразу
     портится.  Исправить   BOOT  Sector  диска  "C"  можно  при  помощи
     программы NU.EXE. Для этого ее следует запустить с дискеты командой
     "nu c: /m", выбрать  сектор 0,  скопировать вручную 9 байт, которые
     стоят со  смещением 1F3,  в байты со смещением 0C и записать сектор
     на диск.  Обезвредить эти  вирусы в  памяти абсолютно чисто удается
     только для  версии MS DOS 3.30,  поскольку автор  вируса использует
     некоторые особенности,  присущие  только  этой  версии,  не  давая,
     естественно, себе  труда проверить, в какой версии пакостит. Версии
     вируса  имеют   длины:  1865   -  записывается   в  программу   без
     модификации; 1962 - кодирует себя до записи в заражаемую программу;
     2144 -  кроме  кодирования  содержит  некоторые  хитрости,  которые
     должны затруднить  его изучение.  Еще раз советую чистить машину от
     вирусов, загружаясь с дискеты с чистой операционной системой.

Kuku Длина  448.   Заражает  только   COM.  Алгоритм  поиска  содран  из
     классического вируса  "Vienna (DOS 62)" (поиск через PATH). Пишется
     в начало,  копируя старое начало в конец. Метит зараженные файлы во
     времени -  ставит 20  секунд. Ранее  зараженные  программы  портит,
     переписывая первые  49 байт.  При запуске такой программы на экране
     (только цветном) начинает бегать весьма остроумная надпись "Kuku!".
     Успешное лечение  от этого  вируса не  всегда  возможно.  В  случае
     сомнения в  возможности правильного  лечения  программа  спрашивает
     разрешение на удаление файла с диска.

Mgn  Пока имеется  шесть разновидностей  этого вируса.  Заражают и COM и
     EXE.  Длина  первого  и  четвертого  2048,  остальных  -  2560.  По
     имеющейся информации  произведен в Магнитогорске. Первая, четвертая
     и пятая версии в некоторые моменты переворачивают всю информацию на
     экране, причем  восстанавливает расположение  всех рамок  и скобок.
     Вторая вместо  этого выдает приветствие в мой адрес. Третья и пятая
     содержат обе  эти шутки.  Написан с  большой  изобретательностью  и
     довольно  аккуратно.  В  частности,  не  заражает  сегментированные
     программы. Более  того, в  вирусе предусмотрена возможность лечения
     зараженных  программ.   Остается  только  сожалеть,  что  автор  не
     объявляет об  этом  и  не  воздержался  от  распространения  своего
     вируса. В пятой версии есть довольно примитивный антитрассировочный
     прием. Кроме  того она  производит мелкую пакость в Partition Table
     на дисках,  если не  ошибаюсь, размеченных  программой DM (параметр
     System Code меняет с 50h на 51h).

Mgn6-3000
     Автор, вероятно,  надеялся этой  версией сделать большое открытие в
     области вирусологии  и поэтому оставил довольно солидное количество
     ошибок. При  этом новизна  состоит лишь  в записи  вируса в  начало
     файла, а  не в  конец. Новый  весьма патриотический  видео-эффект -
     раскрашивание экрана  в  цвета  Флага  России  реализован  также  с
     ошибкой, которая может приводить к повисанию системы.

Fu   Длина 417.  Заражает только  COM. Портит дату. Приблизительно через
     каждый час  стирает экран  и выдает  в  центре  текст,  который  не
     принято приводить в печати.

Tula-419
     Заражает только  COM. Портит  дату. Пишет  себя в  начало. Содержит
     текст "Tula 1990".  В  субботу  14-го  пытается  испортить  нулевой
     цилиндр диска "C:". Судя по почерку, изготовлен автором "Fu-417".

-635
     Заражает COM  и EXE. Того же автора. Через два часа выдает на экран
     текст "Formatting drive..." и начинает читать диск. Портит атрибуты
     файлов.

-593 Заражает COM  и  EXE.  С  интервалом  в  2  часа  выдача  на  экран
     аналогичная Fu-417, а через 3 часа блокирует работу с дисками.

-1480
     Заражает  COM   и  EXE.   После  каждых   50  программ   устраивает
     представление с  музыкой, включением  моторов дискетников и выводом
     на цветной экран двустишия на любимую автором тему.

Minsk
     Длина 1075.  Заражает COM  и EXE,  однако различает  их  по  имени.
     Портит  дату.   Безнадежно   портит   сегментированные   программы.
     Заражает, в  отличие от  большинства вирусов,  только при  открытии
     программного файла.  Предусмотрена пакость  против файлов  DBF: при
     каждом 20-м чтении вместо прочитанного блока возвращаются пробелы.

AT-144
     Заражает только COM, резидентный. Содержит пару команд, которых нет
     в процессоре  8088, в  связи с  чем не  должен работать  на  PC-XT.
     Написан явно  способным программистом  в расчете на побитие рекорда
     длины вируса.  Должен, однако,  его разочаровать  - есть болгарский
     вирус имеющий  длину  133,  причем  без  PUSHA.  Причем  его  автор
     отличается и большей порядочностью - этот вирус существует только в
     коллекциях вирусологов.

-132 Просто великолепно!

Words
     Группа вирусов, изготовленных, судя по тексту в некоторых из них, в
     Киеве. Заражают  и COM  и EXE, причем последние превращением в COM.
     Резидент в середине памяти (алгоритм взят из вируса осыпания букв).
     Предусмотрена весьма  гнусная пакость  - при  записи любых файлов в
     них  переставляются   соседние  слова,   под  которыми   понимаются
     последовательности букв,  цифр  и  знаков  препинания,  разделенные
     пробелами.  Поскольку   в  качестве  букв  принимаются  и  русские,
     очевидно отечественное  происхождение. Версия  длиной  1069  портит
     дату и  атрибуты файла. В версии 1085 эти ошибки исправлены. Версии
     1387, 1391,  1485 и 1503 кодируются и в алгоритме перестановки слов
     содержат что-то дополнительное, в чем я не разбирался.

Hero
     Длина 506.  Заражает COM  и EXE.  Резидентный.  Есть  разновидность
     длиной 394,  заражающая только  EXE. По  первым числам при загрузке
     зараженной программы выдает текст "С Л А В А  Г Е Р О Я М !". Некто
     неизвестный в  порыве благородного  гнева  заменил  этот  текст  на
     "АВТОР ВИРУСА - КРЕТИН" и пустил дальше новую разновидность...
     "И что  ты смотришь на сучок в глазе брата твоего, а бревна в твоем
     глазе не чувствуешь" (Матфея 7,3).

ATA  Длина 1150.  Заражает COM  и EXE.  Резидентный. Заражает  не только
     загружаемые программы,  но и  при открытии  файла, переименовании и
     т.д. Содержит тексты: "DESTRUCTOR V4.00 (c) 1990 by ATA", "The Time
     is my!".

DLk  Длина 920.  Заражает  COM  и  EXE,  причем  COM  не  короче  23000.
     Резидентный.  В  конце  содержит  текст  "DataLock  version  1.00",
     рекламируя тем  свою способность  блокировать работу с DBF-файлами.
     Впрочем, в  этом месте имеется ошибка, приводящая к непредсказуемым
     последствиям (не тем, к которым стремился автор вируса) при попытке
     открыть файл с расширением DBF.

Flip Длина 2343.  Заражает не  только COM  и EXE,  но и  Partition Table
     первого  твердого   диска.  От  первой  Partition  диска  в  момент
     заражения  отрезается  6  секторов.  При  лечении  этот  эффект  не
     исправляется,  что,  кажется,  не  должно  приводить  к  неприятным
     последствиям. Грамотные  специалисты могут это исправить при помощи
     программы NU.  При этом  придется прибавить  6 к  номеру последнего
     сектора и  общему количеству  секторов в  Partition Table,  а также
     аналогичный параметр  в BOOT  Record (смещение  +13).  При  наличии
     экранного  адаптера   EGA  устраивает   на   нем   шутки   в   виде
     переворачивания изображений букв и текста на экране. В подробностях
     этих шуток  пока разобраться  не удалось. Вирус производит еще одну
     непонятную работу:  во всех  программных файлах ищется определенная
     последовательность  команд   и  ее  начало  заменяется  на  команду
     "INT 9F".

Sov-1193
     Заражает только  COM.  Резидентный.  Портит  дату  файла.  Автор  -
     большой любитель  Советских праздников,  поскольку пять дней в году
     (23.02, 07.03,  22.04, 30.04  и 06.11)  вирус не  размножается, а в
     момент запуска  зараженной программы  заполняет экран вертикальными
     полосами.

-1205
     Новая версия,  которая по  праздникам выдает  вместо полос большими
     буквами "I AM VIRUS".

MS   Два варианта  длиной 457  и 550.  Заражают только  COM. Плагиат  из
     примитивного вируса  "IV". Добавлена примитивная шутка на экране, а
     в версии  550 и  довольно гнусная  пакость: порча  при определенных
     обстоятельствах всех EXE-программ в текущем каталоге.

IBM  Длина 547.  Очередная вариация  на тему "Vienna (DOS 62)". В начале
     стоит  слово   "IBM".  Длину   округляет,  причем   исходную  длину
     восстановить невозможно.

Invader
     Длина 4096.  Заражает COM,  EXE и  BOOT Sector.  Во многих  случаях
     через полчаса  играет вальс  Штрауса "На прекрасном голубом Дунае".
     Это, впрочем,  не компенсирует  того, что в некоторых случаях после
     нажатия на  клавиши Ctrl+Alt+Del  он может  затереть  все  диски  и
     стереть содержимое  CMOS (памяти  для параметров конфигурации машин
     типа AT).  Очень многое  в этом  вирусе скопировано  из  известного
     Иерусалимского вируса  (C). В  том числе,  различение COM  и EXE по
     имени и  безнадежная порча  сегментированных программ.  Оставлено и
     замедление работы  машины. Вообще  написан очень  длинно и  скучно.
     Черпать из  него идеи  для новых пакостей не советую. SCAN опознает
     этот вирус.

Pascal
     Длина 7808.  Заражает COM  и EXE  в текущей  директории. Написан на
     Turbo-Pascal.

Alabama
     Длина 1560.  Заражает только  EXE  в  текущей  директории,  хотя  и
     является резидентным.  Выдает на  экран протест  против незаконного
     копирования программ  и некий  адрес  в  штате  Алабама.  Scan  его
     опознает.

DM   Длина  400.   Заражает  только   COM.  В   конце   содержит   текст
     "(C)1990 DM". Может  испортить некоторые  дорожки первого  твердого
     диска. Версия  1991  года  диска  не  портит,  но  портит  файлы  с
     расширением TP.  Часть кода вируса кодируется, поэтому содержащийся
     в этой версии текст "(C)1991 1.01 DM" не виден. Третья версия файлы
     с расширением  TP из-за  ошибки не  портит, а  заражает как обычный
     COM.

STARSHIP
     Длина переменная. В качестве его формальной длины указывается 2616,
     что является  лишь оценкой  снизу. Заражает  COM, EXE  и  Partition
     Table. Заражение  программных файлов  происходит  только  в  момент
     копирования  их  на  дискету.  Активизируется  вирус  при  загрузке
     системы с зараженного твердого диска. После лечения от этого вируса
     в  операционной   системе,  загруженной   с   дискеты,   рекомендую
     произвести перезагрузку  и повторное лечение. Автор вируса приложил
     огромные  усилия   для  того,   чтобы  затруднить   его   изучение.
     Вероятность того,  что этот  вирус приведет к большим неприятностям
     довольно мала, за что можно быть благодарным автору.

JOCKER
     Длина 1371.  Заражает COM  и EXE.  Очередной плагиат из музыкальных
     вирусов.  В   качестве  пакости  предусмотрено  стирание  файлов  с
     расширением BAS  (обнуление длины).  Подозреваю, что  такой  эффект
     является  следствием   ошибки.  Другая  ошибка  может  приводить  к
     безнадежной порче  заражаемых программ,  причем в случае COM-файлов
     обнаружить  этот   факт   невозможно   и   программы,   объявленные
     исправлеными, работать не будут.

Tumen
     Длина 1255.  Заражает только  COM. Портит  дату создания файла. При
     перезагрузке по  Ctrl+Alt+Del с  вероятностью около  1/20 исполняет
     мелодию Паганини  и на  адаптере EGA меняет палитру, что приводит к
     постепенному исчезновению  изображения на  экране.  Содержит  текст
     "Tumen.,v1.2;", что, возможно, означает Тюмень.

Some Длина 658.  Заражает только  COM. Резидентный.  Пишется  в  начало.
     Содержит  текст   "Something v1.1".   По   11-м   числам   заменяет
     "AUTOEXEC.BAT", записывая в него пару строк:
        @del *.com
        @del *.exe
     По вторникам  в текущей директории пишет файл "SOME" нулевой длины.
     Первые четыре  и седьмой с восьмым байты исходной программы прячет,
     заменяя другими  значениями. И  откуда у  грамотных  людей  берется
     столько тупой злобы?

Kiev-483
     Заражает только  COM в  текущей директории.  Содержит  текст  "Kiev
     1990".

mutant-1744
     Заражает COM  и EXE,  но может заразить далеко не каждую программу.
     Некоторые  программы   может  заражать   несколько  раз  (например,
     COMMAND.COM два  раза). Длину  не меняет. Внешне, если не ошибаюсь,
     проявляется тем, что каждые два часа издает звук случайной частоты.
     Имеются существенные заимствования из "музыкальных" вирусов.

-1680
     Слегка модифицированная версия. Мне было бы очень интересно узнать,
     является  ли  она  авторской,  или  продукцией  "гения",  сумевшего
     разобраться в этом вирусе.

TAIWAN-2900
     Весьма похож  на Invader.  Отличается тем,  что не  заражает BOOT и
     исполняет другую  мелодию  (на  этот  раз  идентифицировать  ее  не
     удалось). Питает  лютую ненависть к Autocad. При попытке исполнения
     ACAD.EXE начинает стирать все диски. Scan опознает его как "TAIWAN3
     [T3]".

PRTSCR-1024
     Заражает только  COM. Для  внутренних надобностей  использует INT 5
     (BIOS функция  Print Screen),  в связи  с чем,  при  наличии  этого
     вируса в памяти, попытка распечатать экран вызывает непредсказуемые
     последствия.

IFS-361, 377
     Две разновидности  очередного примитивного подражания классическому
     вирусу  "Vienna".   Заражают  только   COM  в  текущей  и  корневой
     директориях. Пометка  о зараженности  ставится не  в секунды,  а  в
     определенные разряды даты.

Chemist-650
     Заражает только  COM.  Записывается  в  начало.  Спрятанное  начало
     кодирует. Содержит  текст "Химик  & Слон".  При запуске  зараженной
     программы в  третью минуту  каждого часа  переводит экран  в  режим
     40x25 и выдает текст "Video mode 80x25 not supported".

Feist-670
     Заражает COM  и  EXE.  Содержит  текст  "R.Feist".  Размещается  по
     сегментному  адресу   97F0,  не  пытаясь  защитить  эту  память  от
     повторного использования.  Как ни  странно,  до  повисания  системы
     иногда   успевает    что-нибудь   заразить.    Очередной    продукт
     непреодолимого желания срочно облегчиться.

DADA-1356
     Заражает только  EXE. Дату файла портит. Программы с атрибутом Read
     only не  заражает. Резидентный.  В конце содержит текст "да,да...".
     Временами циклически сдвигает на экране символы в строках.

AIDS-552
     Заражает только  EXE. Все  прочие  файлы  (не  только  программные)
     портит. Испорченные  COM  при  запуске  выдают  на  экран  большими
     буквами из мерцающих точек слово "AIDS".

XPEH-4016
     Заражает COM  и EXE  после марта  1991. Не  заражает COMMAND.COM  и
     AIDSTEST. Кроме  того, начиная с сентября 1991, будет портить файлы
     с расширениями  TXT, LEX, BAK и без расширения, прибавляя по модулю
     2 ко  всем  четверкам  байт  значение  90958D85.  В  альтернативной
     кодировке это  должно означать  "ХРЕН", хотя  и  с  переставленными
     буквами. Упоминание  этого  овоща  встречается  и  в  другом  месте
     вируса. Основная  часть вируса  очень добросовестно  переписана  из
     "M2C". На  этот раз  плагиат на  грани гениальности - скопированы и
     все тонкие антитрассировочные возможности.

-4048
     Активизируется в  июле вместо  марта, а  пакости в текстовых файлах
     планирует начать в ноябре.

-3600
     Активизация начиная  с мая.  Отсутствуют  все  упоминания  любимого
     овоща, а также порча текстовых файлов.

-4928
     Активизируется независимо  от даты.  Старается  скрывать  удлинение
     зараженных файлов  корректировкой  длин  после  исполнения  функций
     поиска в каталоге. Кроме того, из абсолютно непонятных соображений,
     при загрузке  COMMAND.COM с  параметром "/C DIR ..." самостоятельно
     выдает каталог  на консоль,  причем не  вполне корректно. Например,
     если задать  в качестве  параметра имя подкаталога, будет выдано не
     его содержимое,  а только  он сам.  Начиная с  1992 года  по  дням,
     которые совпадают  с номером  месяца, (1  января, 2 февраля и т.д.)
     собирается стирать  содержимое 1-го  твердого диска,  предваряя это
     сообщением:
        Если у вас есть индикатор работы с жестким диском
         и он горит, то форматизация диска близится к концу
         Большой привет
     Одного мне так и не удалось понять - откуда в людях берется столько
     тупой злобы.

-5808
     Дальнейшие попытки  так запутать  алгоритм кодирования, чтобы никто
     не разобрался.  Стирание диска не предполагается. Имеется текст: "В
     связи  с   получением   работы   выпуск   новых   ХРЕНов   временно
     приостанавливается.     1991-  МФТИ(77)".  Можно  представить,  что
     произойдет, если  этот ХРЕН  решит, что  заказчик его  обидел. Ведь
     против подлости программиста пользователь абсолютно беззащитен.

-3840
     Одна из  ранних версий.  Порча текстовых  файлов  имеется,  но  при
     помощи двухбайтового кода 9095.

-5856
     Отличается от  5808 странным пристрастием к программам, имя которых
     оканчивается на "SAFE" - у них первый байт меняется на команду RET.
     Обещание приостановить свою деятельность присутствует.

-5648
     Промежуточный вариант между 4928 и 5808. Еще содержит порчу диска и
     уже - дополнительное кодирование.

-4752
     Отличается от 4928 отсутствием порчи дисков.

SEAT-1614
     Заражает COM  и EXE.  При наличии  адаптера EGA  или VGA,  после 15
     успешных  заражений   в  одном   сеансе  в   центре  экрана  выдает
     изображение зада с мультипликационным и звуковым эффектами.

Sistor-2380
     Заражает COM  и EXE.  Есть основания  подозревать, что данный вирус
     является представителем  целого семейства.  После десяти  заражений
     происшедших после  16 часов  на цветном  экране появляется бегающий
     мячик,  иногда  выбивающий  строчные  латинские  буквы  (по  образу
     осыпающихся букв). Судя по коду, предусмотрен и звуковой эффект, но
     мне услышать его не удалось. Слово "Sistor" стоит в конце вируса, а
     за ним  самый последний  байт (05) обозначает, судя по всему, номер
     версии вируса.

-2225
     Версия 4.  Отличается весьма  удивительным методом определения кода
     MS DOS функции.

-1000
     Версия 1.  Только размножается.  Алгоритм  сравнения,  при  котором
     значения, например, 4Bh и 0Bh неразличимы, появился в этой версии и
     продержался до четвертой.

-2630
     На этот  раз автор забыл вставить в конец слово "Sistor", в связи с
     чем  заражение  происходит  многократно.  Настоятельно  советую  до
     изготовления следующих  версий поучиться программированию, чтобы не
     использовать 10 команд там, где вполне достаточно двух.

Siskin-1017
     Заражает COM и EXE. По 7-м числам через каждые 30 минут исполняет 3
     мелодии, в том числе "Чижик-пыжик".

-948 Мелодии только две.

TEQUILA-2468
     Заражает  EXE   и  Partition  Table  первого  твердого  диска.  При
     заражении Partition  Table прячет  его исходное  содержимое и  свое
     продолжение в  последних шести  секторах логического  диска. В этом
     месте можно обнаружить текст:
Welcome to T.TEQUILA's latest production.
Contact T.TEQUILA/P.o.Box 543/6312 St'hausen/Switzerland.
Loving thoughts to L.I.N.D.A.
BEER and TEQUILA forever
     Вирус активизируется только при загрузке с зараженного диска, а при
     запуске зараженной программы происходит только заражение диска.

MANOVAR-921
     Заражает EXE и COM. Резидентный. COMMAND.COM может заражать дважды,
     причем при  первом заражении  не  изменяет  длину.  При  исполнении
     функции OPEN  для программных  файлов (COM,  EXE) меняет  режим  на
     Read/Write, а  в момент  закрытия файла  пытается его  заразить.  В
     конце содержит текст "Dark Lord, I summon thee MANOVAR".

KBbug-1596
     Заражает EXE и COM. Способ перехвата функций MS DOS ориентирован на
     конкретные версии  операционной системы,  в связи  с  чем  возможны
     непредсказуемые  последствия  в  новой  или  нестандартной  версии.
     Изменение длины  при заражении  может отличаться  от базовой на 57.
     Каждые 15 минут посылает в буфер клавиатуры 10 случайных кодов.

-1720
     Отличается увеличением  интервала между  пакостями до  20  минут  и
     приближением к  полному маразму  использования  свойств  конкретной
     операционной системы.

-895 Заражает только  COM. Скорее  всего это первая версия вируса. Шутит
     не с  клавиатурой, а  с экраном  - периодически  меняет на  нем все
     символы "0"  на "9",  однако при этом не проверяет ни тип монитора,
     ни режим работы. Сообщения об ошибках обмена не блокирует.

JEWS-513
     Заражает  EXE   и  COM.   Отличается  гнусной   способностью  после
     определенного числа  запусков зараженной программы портить на диске
     "C:" Boot  Record и  следующие 7  секторов (начало FAT). При этом в
     начале Boot Record оказывается текст "Jews NEVER surrender!".

-2339
     Заражает COM,  EXE и  драйверы. Относительную  новизну представляет
     стратегия его  деятельности. При загрузке из COM- или EXE-программы
     он только заражает все драйверы, обнаруженные в CONFIG.SYS на диске
     "C:", а  резидентным становится  только  при  загрузке  зараженного
     драйвера. Став резидентным, лечит все программы на твердых дисках и
     заражает на гибких. Его главная опасность заключается именно в этом
     лечении. Дело  в том,  что как  признак зараженности  он использует
     классические 62  секунды и  в процессе  лечения не проверяет ничего
     другого. В результате, программы, у которых этот признак остался от
     других  вирусов,   оказываются  залеченными   до  смерти.  Внешними
     приметами являются  текст "JEWS-2  Virus. MSU  1991"  и  исполнение
     позывных радиостанции  "Маяк" вместе  с сигналами точного времени в
     конце каждого часа.

Penza-700
     Заражает  EXE  и  COM.  Довольно  часто  выдает  на  консоль  текст
     "Welcome to Penza!".

-1210
     Заражает EXE  и COM. Плагиат из "музыкальных". При наличии вируса в
     памяти в  момент запуска  любой программы  с вероятностью  1/32  на
     консоль выдает текст "Best whished from Penza!".

BootEXE-452
     Заражает некоторые EXE-программы и Boot Sector. Заражая Boot Sector
     прячет старое  содержимое на гибком диске в 0/1/3, а на твердом - в
     0/0/11. При  заражении EXE-программ  использует свободное  место  в
     Relocation Table,  причем  заражение  происходит  только  если  оно
     имеется в достаточном количестве. Длина программы не меняется.

-451 На твердом диске прячет старый BOOT в 0/0/12.

SADIST-1434
     Заражает только EXE на текущем диске путем поиска по каталогам. Для
     маскировки повторяет  в конце  файла последние  96 байт  заражаемой
     программы.  Название   авторское  -   хранится  в  конце  вируса  с
     инвертированными битами и применяется им для своего опознания.

SUM-1233, 1232
     Заражает только  COM. Резидентный.  Очень похоже, что автор намерен
     начать  этим   вирусом  большое   семейство  по  образу  и  подобию
     музыкальных вирусов.  А не  лучше ли  передумать и  заняться  более
     полезным делом?!  Версия 1.01 отличается на 1 байт в длину и в паре
     мест собственно  номером версии.  Переименование  из  "V"  в  "SUM"
     вызвано наличием уже вируса V-1232.

-1569
     Новая версия  2.00 того  же вируса.  На этот  раз автором  одержана
     большая победа  - заражаются  и EXE-программы.  Большая  просьба  к
     автору этого  вируса, как  и ко  многим остальным, - не выпускать в
     свет вирусы  с такими  грубыми ошибками.  Мне жаль  тратить  лишнее
     время  еще  и  на  оживление  ваших  вирусов  из  неработоспособных
     программ.

-3022
     Версия 2.01.  Содержит пространное послание ко мне. Главная ошибка,
     резко снижающая работоспособность вируса, не исправлена.

Lip-286
     Заражает только  COM в  текущем  каталоге.  В  определенный  момент
     выдает  на   экран  текст   "(C)RomlSoft(LipPI)1991"   и   пытается
     уничтожить содержимое  текущего диска. Как обычно, чем примитивнее,
     тем злее.

Rust-1710
     Заражает и  EXE и COM, причем последние, только если они начинаются
     с JMP.  Не заражает  COMMAND.COM и  AIDSTEST.EXE (я очень тронут!).
     Начиная с  13 числа до конца месяца при загрузке программ исполняет
     3 ноты.  Содержит закодированный  текст "(C) Dialogue, Rust. 1991".
     Scan опознает как "Alfa [Alf]".

Write-1514/1554
     При заражении  COM длина  1554, а EXE - 1514-1529. Имеет гнуснейшую
     пакость -  начиная с  сентября при любой записи на диск (точнее при
     исполнении функции  WRITE с  номером файла  больше 4) адрес области
     данных в памяти сдвигается на 8. Scan опознает как "1554".

DUSHANBE-458
     Очередной плагиат  из "Vienna". Впрочем, автор не сумел разобраться
     в обработке  PATH и  поэтому заражает  только в  текущем и корневом
     каталоге. Есть, впрочем, и личный вклад - вместо 62 секунд делается
     13-й месяц.  В конце  содержит текст "DUSHANBE M&A!". Scan опознает
     как "W13".

Sverdlov-921
     Заражает  и   COM  и  EXE.  При  заражении  EXE  безнадежно  портит
     сегментированные (алгоритм  Иерусалимского). Портит  время. Через 1
     час после загрузки исполняет начало траурного марша Шопена и уходит
     на перезагрузку системы.

-1064
     Заражает и COM и EXE. Не заражает программы, имя которых начинается
     на "AI"  или "SC", а также имеющие длину 25307 или 25312. Очевидно,
     имеется  в   виду  COMMAND.COM   из  PC DOS 3.30,   в   том   числе
     "вакцинированный"  при   помощи  TNTVIRUS,   дописыванием  в  конец
     "MsDos". Содержит в конце текст: "(C) 1991 by CHR,Sverdlovsk".

Tetris-552
     Заражает  только   COM,  резидентный.   Содержимое  всех  файлов  с
     расширением .PRG замещает текстом
        ?"PLAY TETRIS,HI-HI-HI"

ChDir-783
     Резидентный. Заражает  все COM-файлы  в текущем  каталоге в  момент
     исполнения DOS функции CD (CHDIR).

Tired-1740
     Заражает COM  и EXE. Длина может превышать номинальную на 31 (пишет
     от 0  до 31  байта после себя). Может выдать текст: "I think you're
     tired to  the bone. You'd better go home." и перезагрузить систему.
     Имеет хитрый  список 16-ти программ, которые не следует заражать, -
     сравнение ведется  по сумме  первых 16-ти  слов и  значению второго
     слова программного файла. Scan опознает как "Alfa [Alf]".

CROSS-734
     Заражает  только   COM.  Пишет   себя  в   начало.  Старое   начало
     переписывается в конец, причем первые 16 байт кодируются при помощи
     значений, взятых  из конца  BIOS. В  связи с этим, успешное лечение
     скопированных файлов  гарантировано только  при  совпадении  версии
     BIOS. При  запуске зараженных  программ на PC с другой версией BIOS
     включается часть вируса, выводящая в начале каждого часа на цветной
     экран на  мигающем фоне  красный диагональный  крест с  надписью  в
     центре "VINDICATOR".  В связи  с  тонкими  свойствами  процессоров,
     вирус работоспособен только на PC-XT.

Ghost-1963
     Заражает COM  и EXE. Не изменяет длину заражаемого файла, используя
     алгоритм, впервые  появившийся в V-512. Весьма аккуратно обеспечена
     "невидимость" вируса,  однако его  наличие  сразу  проявляется  при
     использовании  CHKDSK   в  виде   большого   количества   сообщений
     "Allocation error,  size adjusted.".  Как и в случае V-512, лечение
     скопированных файлов  невозможно. Столь  же безнадежной  становится
     ситуация и  после использования  CHKDSK с  параметром /F  или  NDD.
     Впрочем, если  AIDSTEST не предлагает стереть файл, вероятность его
     полноценного восстановления  достаточно велика. Никакие специальные
     пакости не предусмотрены. Scan опознает как "1963 Virus [1963]".

-1447
     Заражает COM  и EXE.  Накакого родства  с предыдущим  нет. B данном
     случае имя  отражает наличие  в вирусе  текста "MINSK  GHOST,1991".
     Типичная продукция  любителя ковыряться в системе. Потуги автора на
     открытия оставляют  довольно комическое  впечатление.  Используются
     абсолютные адреса действительные только в версии 3.30, одновременно
     с бессмысленным  копированием из  чужого вируса приема, дающего тот
     же  результат.  Зараженные  файлы  метятся  "невидимой"  меткой  62
     секунды, и  при этом портится дата - всегда ставится 07.13.82 (13-й
     месяц). Перехватываются  функции поиска  в  каталоге  чтобы  скрыть
     изменение длины, но при этом учитывается только базовая длина, в то
     время как истинная длина варьируется в диапазоне 1447-1483.

Day7-839
     Заражает COM  и EXE. В качестве буфера использует видео память, что
     иногда приводит  к безнадежной  порче программ вместо заражения. По
     7-м  числам  каждого  месяца  примерно  через  25  минут  исполняет
     мелодию, идентифицировать которую мне не удалось.

IMP-1445
     Заражает только  COM. Для  "невидимости" при  загрузке  программ  и
     перед открытием  программных файлов  их  лечит,  а  затем  повторно
     заражает. При  просмотрах  каталога  корректирует  длину.  Содержит
     текст "Crazy imp v2.0".

-1402
     Пишется в начало. "Crazy imp v1.5".

MIX-1618
     Заражает   только   EXE.   Атрибут   Read   Only   стирает   и   не
     восстанавливает.  Отличается   наличием  букета   милых   шуток   -
     перекодировка символов,  выдаваемых на  принтер и  последовательные
     порты,  замена   символов  на  экране,  переключение  регистров  на
     клавиатуре. Виден  почерк молодого  дарования  с  большим  чувством
     юмора.

MIX-2280
     Заражает COM  и EXE.  Добавлена обработка  ошибок  обмена.  Пакости
     переработаны, но не принципиально.

Enola-1864
     Заражает COM  и EXE.  Не работает в стандартных версиях MS DOS. Для
     его активации достаточно, например, наличия резидентного антивируса
     или другой программы, перехватывающей INT 13. Содержит текст "Enola
     Gay is  now flying  to SoftPanorama  !". После  некоторого  времени
     начинает перезагружать  систему или  распечатывать экран, а затем и
     портить случайные сектора на диске "C:".

Find-1575
     Заражает COM  и EXE  при исполнении  MS DOS функций  Find FCB (11h,
     12h). При каких то условиях возможно проползание по экрану зеленого
     "червяка". Scan опознает как "1575".

Liberty-2857
     Заражает COM,  EXE и  Boot гибких  дисков. При  загрузке вируса  из
     программы заражение Boot происходит только при переполнении диска в
     момент  заражения   программы.  После   загрузки  вируса   из  Boot
     активизируется  его   дальнейшее  Boot-размножение  и  замена  всей
     информации, идущей  на печать,  через последовательные  каналы и на
     экран через  BIOS на  повторяющееся слово  "MAGIC". Зараженные COM-
     файлы содержат  в начале  текст: "  - M Y S T I C -  COPYRIGHT  (C)
     1989-2000, by SsAsMsUsEsL" и отдельно слово "Liberty".

NOMEN-1024
     Заражает COM  и EXE.  В начале  содержит слово  "Nomenklatura", а в
     конце фразу  на болгарском языке. Весьма опасен способностью иногда
     менять местами пару элементов сектора шестнадцатибитового FAT.

DCR-1168, -1280, -1480
     Все заражают  COM, а  1480 и EXE. Заражение производится поиском по
     каталогам. Иногда  пытается форматировать  диск "C:", причем выдает
     текст "DATACRIME VIRUS ...". COM-файлы лечатся полностью успешно, а
     при  лечении   EXE  невозможно  восстановить  стековые  регистры  и
     исходный  размер   файла.   Сегментированные   программы   портятся
     безнадежно.

Hard-662
     Заражает только  COM, резидентный. Весьма опасен - по понедельникам
     после полудня  выводит на  экран текст  "It's hard  days night!"  и
     стирает на всех дисках, начиная с "C:", по 50 первых секторов.

Mini-145
     Заражает только  COM, резидентный.  Сделан довольно изобретательно,
     но рекорд длины, к которому явно стремится автор, не побит.

-145, 146, 150
     Еще три  вируса, по-видимому,  того же  автора. Два вируса Mini-145
     являются совершенно различными, хотя в протоколе неразличимы.

-143 Заражает только COM, в начале которых стоит команда JMP.

Korea-1947
     Заражает COM  и EXE.  Полностью плагиат  из DARK  EVENGER вместе  с
     порчей секторов  диска. В  связи с этим весьма трогательно выглядит
     нравоучительный текст  в начале  вируса: "If you are a thieve man ,
     virus lives...somewhere  always!You must  become good  man!". Кроме
     того  в  конце  имеется  текст:  "This  program  was  adjustted  in
     'Commputer Home' of KOREA (C) 1988-89 ,LSR+KYL".

Estonia-1712/1716
     При заражении  COM длинa  1716, EXE - 1712. Плагиат из музыкальных,
     причем не  вполне грамотный.  По понедельникам  в  14:00  выдает  в
     центре экрана:  "Independent  Estonia  presents",  играет  "Собачий
     вальс" и  перезагружает  систему.  Большая  честь  для  независимой
     Эстонии!

Attn-629
     Заражает только  COM в  текущем каталоге.  Предельно примитивный  с
     ошибками, приводящими  к повисанию системы. Предусмотрена выдача на
     консоль текста:  "Attention! I'm  virus",  но  это  событие  крайне
     маловероятно. Предполагается Запорожское происхождение.

Problem-863
     Заражает COM и EXE. Утверждают, что может "заражать" и другие файлы
     (данных), но  мне такой  возможности обнаружить не удалось. Написан
     довольно изобретательно - в стиле программирования на ламповых ЭВМ.
     В конце содержит текст "THIS IS YOUR PROBLEM !".

-856 Отличия минимальные.

-734 Заражает только EXE. Текст в конце отсутствует.

SeaCat-160
     Заражает только  COM в  текущем каталоге,  причем зараженным файлам
     ставится атрибут  Read Only.  Если убрать  этот атрибут, происходит
     повторное заражение.  По моей  информации, этот  вирус изготовлен в
     Омске, причем  был мне  прислан в начале 1991 года авторами. Теперь
     он появился  из независимого  источника, что  наводит  на  грустные
     размышления.

Phx (PHOENIX)
     Серия вирусов  одного автора  (Болгария). Длины:  800, 1226,  1302,
     1701, 1704.  Заражают только  COM, причем многократно. Резидентные,
     причем для  перехвата функций MS DOS используют весьма оригинальный
     прием.  Все   кодируют  свое   тело,   причем   сама   подпрограмма
     раскодировки случайным  образом варьируется  во всех версиях, кроме
     800. Scan  различает "V800",  а все  остальные называет "P1 Related
     Virus [P1r]". Прочие особенности версий:

-800,1226 содержат текст "Live after Death".

-1302 содержит текст "Proudly made in Sofia".

-1701 содержит текст "The evil that men do lives on and on...". В памяти
     восстанавливает на 1 байт меньше, чем портит при заражении, в связи
     с чем  зараженные программы  могут работать  неправильно.  Заражает
     EXE-программы  фрагментом   длиной  121   байт,  который,  сохраняя
     биологическую  терминологию,  следует  назвать  "токсином".  Он  не
     способен к самостоятельному размножению, но при отсутствии в памяти
     породившего его  вируса, или  одного  из  его  братьев,  уничтожает
     информацию на  всех доступных  твердых  дисках.  При  лечении  этот
     токсин обозначается как "Phx-121".

-1704 содержит текст "PHOENIX". Порождает токсин "Phx-132".

Jassy-778
     Заражает COM и EXE, кроме COMMAND.COM. Перехватывает INT 17 (работа
     с принтером)  и стирает  8-й  бит  из  всех  передаваемых  на  него
     символов. Утверждают,  что обнаружили  его в  Ясском  университете.
     Scan опознает как "Mannequin [Mn]".

Ninja-1376
     Заражает COM  и EXE.  Приписывает до  себя и  после случайные куски
     длиной  до   255,  в  связи  с  чем  изменение  длины  варьируется.
     Восстановить исходную  длину  файла  невозможно,  поскольку  нельзя
     определить величину  добавки до вируса. С вероятностью 1/256 вместо
     заражения портит  программу таким  образом,  что  она  при  запуске
     выдает на  экран текст:  "Mutant Ninja  Version 2.0  Copyright  (C)
     1990,91 Virus&Worm  Software". Исправить  их невозможно.  Поскольку
     никакого нового  вреда они нанести не могут, в AIDSTEST их удаление
     не вставлено  - можете  стереть их  самостоятельно. По  13-м числам
     1992 года  портит информацию на диске "C:". Не заражает COMMAND.COM
     и AIDSTEST.

Maxi-2332/2859
     При заражении  COM имеет  длину  2332,  а  EXE  -  2859.  Из  каких
     соображений делается  разная длина  понять невозможно.  Не заражает
     COMMAND.COM. Написан  удивительно длинно  и нудно.  Содержит немало
     абсолютно ненужных  хитростей. Например,  переименовывает  файл  до
     заражения, задавая случайное имя, а после заражения переименовывает
     обратно. Кроме  традиционного заражения  при  загрузке  и  открытии
     файлов, ищет  объекты для заражения в каталогах, включенных в PATH,
     причем  занимается   этим,   используя   простои   MS DOS.   Портит
     сегментированные  программы,  поскольку  использует  "Иерусалимский
     метод" -  длина файла  берется из  EXE-заголовка.  И  когда  же  вы
     перестанете передирать худшие образцы?!

Andryushka
     Пока обнаружено две разновидности этого вируса. Различия между ними
     даны ниже.  Оба заражают  и COM  и EXE.  Длины вирусов  могут  быть
     больше номинальных  на 128.   Заражение  происходит не  только  при
     непосредственном обращении  к программному  файлу, но и в некоторые
     моменты поиском  в текущем  каталоге. Через  некоторое время  после
     заражения системы вирус может испортить диск, после чего под музыку
     выдаст на  экран саморекламу  - в рамке текст: "Hello!!! My name is
     Andryushka I come from Perm,USSR".

-3536
     Заражение EXE  делает по COM алгоритму, причем только в том случае,
     если длина  зараженного файла  не выйдет  за 64K.  Из-за  ошибки  с
     вероятностью  чуть   меньше   1/2   делает   зараженную   программу
     неработоспособной, причем,  когда я запустил такую программу она не
     тилько повесила систему, но при этом также испортилась дискета. Это
     произошло, скорее  всего, из-за  порчи системных  таблиц в  памяти.
     Лечатся такие файлы успешно.

-3568
     Заражение EXE  происходит по  стандартной схеме  - с  заменой точки
     входа в EXE-заголовке, причем допускается произвольная длина файла.

Tim-1600
     Заражает COM  и EXE,  щадя только BACKUP.COM. После 6000 нажатий на
     клавиши пытается  блокировать команды  записи  на  диски.  Содержит
     слегка закодированный  текст "Hi  to Eastern  Digital.Greetings  to
     Mister  L.______  to  Mihai  Sirbu  --  MicroTimSoft.  "  (пришлось
     опустить одно не вполне приличное слово).

TimA-1600
     Новая версия  вируса Tim-1600.  Отличается отсутствием блокирования
     записи на  диск, но  зато при  первом нажатии  на клавишу  "Delete"
     выдает в центре экрана весьма остроумное приветствие в рамке.

Hi-460
     Заражает только  EXE. Не  заражает сегментированные.  Опознает свое
     наличие в  файле по  паре байт "Hi", которые находятся за 8 байт от
     конца.

Tiny
     Под  этим  именем  объединяются  вирусы,  создаваемые  для  побития
     рекорда размера  вируса. Если  не  будет  указано  специально,  все
     вирусы этой группы заражают только COM и резидентные.

-198, 167, 160, 159, 158, 156, 154, 143, 138, 134, 133
     Болгарского производства.  Сделаны весьма  изящно.  Все  используют
     только команды процессора 8088.

-122, 118, 114
     Произведены, скорее  всего, в  Москве. На  этот раз использован ряд
     команд, отсутствующих  в 8088.  На машине,  имеющей меньше  640  Кб
     памяти, портят  все загружаемые  программы. Надеюсь,  что автор  не
     станет пускать их в свободное распространение.

-108 Новый рекорд, правда за счет некоторой вероятности порчи файлов.

IRON-636
     Заражает COM  в текущем каталоге текущего диска и диска "C:". После
     10-го августа  по четвергам  пакостит на  диске - пишет в случайные
     места по  несколько секторов.  В конце имеетса текст "IRON MAIDEN",
     по которому вирус опознает зараженные файлы.

Astra
     Серия вирусов,  поступивших из  Ташкента. Все  они  содержат  текст
     "(C) AsTrA". Оба  вируса, описываемые  ниже, в определенные моменты
     слегка пакостят в Partition Table - меняют во всех строках параметр
     System Code (+4) сложением по модулю два с 0x55 и переводят адаптер
     EGA в  двухфонтовый режим,  при котором символы с атрибутом яркости
     выводятся фонтом  8x8. Кроме  них в  коллекции  имеется  3  вируса,
     заражающих только  драйверы устройств.  Их обработка  не включена в
     программу, поскольку  их размножение  весьма маловероятно,  так как
     драйверы друг  у друга почти не копируют. По всему видно, что автор
     накопил довольно  много информации,  но  абсолютно  не  знает,  что
     делать.

-976 Заражает только COM. Пакостит в 11-ю минуту каждого часа.

-1010
     Заражает COM  и EXE.  При этом EXE заражает вставкой команды CALL в
     точку входа,  абсолютно не думая о возможных ссылках на это место в
     Relocation  Table,  что  делает  неработоспособным  довольно  много
     программ, в том числе и NC.EXE. А ведь я писал об этом! Пакостит по
     10-м числам.

Blaise-720
     Заражает только  COM. Плагиат  из  1701/1704.  По  пятницам  каждую
     минуту демонстрирует  довольно примитивные  шутки с экраном - сдвиг
     на нем  изображения. В  начале имеется  текст "Signs  Of Life",  за
     которым в закодированном виде следует "By Lord Blaise".

KLF-356
     Заражает только  COM. В  начале зараженного  файла после  JMP пишет
     "KLM". Слова "The KLM" есть и в теле вируса. Сделан старательно.

Ballad-1581
     Заражает  только   COM.  В  конце  каждого  часа  выдает  на  экран
     "Романтическую балладу". Только графомания еще не была стимулом для
     писания вирусов!

AMOEBA-2477
     Заражает  EXE  и  COM,  кроме  COMMAND.COM.  Истинная  длина  может
     превышать базовую  на 119.  Содержит ряд  хитрых приемов,  мешающих
     расшифровке, но  заражает так  аккуратно, что  исходный файл  можно
     восстанавить абсолютно  точно. 15-го марта и 1-го ноября портит все
     доступные диски - пишет на первых 30 цилиндрах по четыре сектора на
     нулевой дорожке, а затем монитор заполняется меняющимися символами.
     При загрузке с испорченного диска на экране появляется:
         "To see a world in a grain of sand,
          And a heaven in a wild flower
          Hold Infinity in the palm of your hand
          And Eternity in an hour."

                                   THE VIRUS   16/3/91
     Кроме того в записанных секторах находится текст: "AMOEBA virus  by
     the Hacker  Twins (C) 1991 This is nothing, wait for the release of
     AMOEBA II-The  universal infector,  hidden to  any  eye  but  ours!
     Dedicated to  the University of Malta- the worst educational system
     in the  universe,and the  destroyer of  5X2 years  of human life.".
     SCAN опознает его как "Irish", однако, в документации утверждается,
     что "Irish" заражает и COMMAND.COM.

Adolf-475
     Заражает только  COM, резидентный.  С  вероятностью  1/4  блокирует
     выполнение функции  Delete (удаление  файла). Содержит текст "Adolf
     Hitler".

Lycee-1975
     Заражает только  COM. В  значительной  степени  "невидим".  Если  в
     течении 5  минут не  было нажатий  на клавиатуру,  выдает на  экран
     подробные координаты  заведения, в  котором, скорее  всего,  учится
     автор. Думаю, его удивит, что сотрудник этого учреждения, принесший
     мне вирус,  не считает  это большой  честью и  просил не  приводить
     здесь его названия.

Pause-1024
     Заражает только EXE в текущем и корневом каталоге. Портит параметры
     командной строки.  С вероятностью  1/7 перед  выполнением программы
     включает звук,  выдает на консоль "Press any key" и ждет нажатия на
     клавишу. Частоту звука не устанавливает.

Plastique-3004
     Очень похож  на TAIWAN,  даже исполняет ту же мелодию. Активизирует
     пакости через  7 дней после заражения. Стирание информации с дисков
     может  происходить   и  в   момент  попытки   нажатия  на   клавиши
     Ctrl+Alt+Del. Кроме  того, после  5000 нажатий на клавиши блокирует
     запись на диски. Испорченные диски во всех секторах содержат текст:
     "Program: Plastique  4.51 (plastic  bomb), Copyright (C) 1988, 1989
     by ABT  Group.Thanks to:  Mr. Lin  (IECS 762??), Mr. Cheng(FCU Inf-
     Center)". Scan опознает его как "Plastique [Plq]".

INFO-1256
     Заражает COM и EXE. Резидентный. Полностью плагиат из музыкальных.

Search
     Это название  будет даваться  многочисленным нерезидентным вирусам,
     которые ищут  объекты для  заражения  просмотром  каталогов,  кроме
     явных подражаний классическому Vienna. Поскольку большинство из них
     заражают только  COM-файлы, указываться  будут только отклонения от
     этого  правила.  Слова  "текущий"  "корневой"  будут  относиться  к
     каталогам текущего диска, в которых происходит поиск.

-238 Текущий и все его родители вплоть до корневого.

-496 Текущий. При  удачном заражения  выдает текст  "Hallo! I have got a
     virus for  you!", после чего на всех машинах, кроме некоторых PC-XT
     система повисает.  Даже  на  фоне  примитивных  вирусов  выделяется
     удивительной безграмотностью.

Ieronim-512, 560
     Заражают только  COM, приписываясь  к началу,  резидентные.  Делают
     длину зараженных  файлов кратной своей, причем первоначальную длину
     восстановить  невозможно.   Переход  на   начало  программы  делают
     некорректно, из-за  чего многие  программы  не  могут  работать.  В
     начале каждого  часа выдают  на экран  некий  текст  (вероятно,  на
     латыни), приписываемый святому Иерониму.

-600 Заражает более корректно. Шутка та же.

Protect-1196
     Заражает COM  и EXE.  Портит атрибуты.  Отключает COM1-COM4, LPT1 и
     Mouse driver, а также запрещает прерывания по IRQ3 и IRQ4. Содержит
     в начале тексты "File protection" и "File not found".

Digger-1475
     Заражает  COM   и  EXE   путем  поиска   в   текущем   каталоге   и
     C:\COMMAND.COM. При  заражении EXE длина 1478 и еще от 1 до 16 байт
     на округление. Ставит в память резидентную часть, которая каждые 15
     минут на  1.5 секунды переворачивает экран, аналогино части вирусов
     группы MGN.

Klaeren-971
     Заражает COM  и EXE.  Иногда выдает  на экран "Klaeren Haс, Haс!" и
     стирает Setup-параметры.  Очень тонко,  но неправильно,  определяет
     наличие защиты от записи на дискете. Scan опознает его как "Klaeren
     [Kla]".

Civil-6656
     Заражает EXE  на дискетах  и Master  Boot Record  на первом твердом
     диске. При  запуске зараженной программы происходит заражение MBR и
     программа исправляется. Работает только на AT, однако проверку типа
     компьютера делает  слишком поздно - уже после использования команд,
     отсутствующих на  стандартных XT. Содержит большое количество шуток
     разной степени  гнусности: блокирование  вывода на  принтер, выдача
     всевозможных, в  том числе  и матерных, сообщений, мигание лампочек
     на клавиатуре  и т.п. Разобраться в них полностью отняло бы слишком
     много времени.

Terror-1085
     Заражает COM  и EXE.  COM-файлы  короче  1024  и  длинее  64000  не
     заражает, но  успевает округлить их длину до кратной 16. Изготовлен
     с претензиями  на гениальные находки. В результате с весьма большой
     вероятностью до начала работы вешает систему. Scan опознает его как
     "Terror [Ter]".

Later-981/1009
     При заражении  COM длина  981, а  EXE -  1009  и  от  1  до  16  на
     выравнивание. COM-файлы  могут заражаться  многократно. При запуске
     зараженной программы исправляет ее. В версиях MS-DOS до 3.00 выдает
     сообщение "This program requires MS-DOS 3.00 or later" и прекращает
     работу программы.

Pravda-1949
     Заражает COM и EXE кроме COMMAND.COM и AIDSTEST.EXE. Содержит текст
     "(C) Правдиченко А.".

Ion-231, -2372
     Примитивные вирусы,  заражающие  только  COM  в  текущем  каталоге.
     Второй   достаточно    часто   образует   и   запускает   программу
     "IONKIN.COM",  которая   через  час   выдает  на  экран  требование
     "засунуть 10 рублей в дисковод A:".

Alex Примитивные вирусы, заражающие только в текущем каталоге. Оставляют
     в памяти резидентную часть, предназначенную для глупых шуток.

-368 Заражает только COM. Не работает на PX-XT. Содержит текст: "The One
     Night Virus (C) Alex Hacker".

-818 Заражает только EXE. Резидентная часть производит что-то на экране.
     Содержит текст: "The Kite Virus (C) Alex Hacker".

                    2.2. Вирусы в начальном секторе

    В новые  версии программы  добавлена обработка  вирусов,  заражающих
секторы начальной  загрузки (BOOT-вирус).  В протоколе  они обозначаются
как "Вирус  в начальном секторе". Эти вирусы обычно легко обнаруживаются
и  удаляются   с  диска  при  помощи,  например,  программы  NU  (Norton
Utilities). Впрочем,  мое первоначальное  легкомысленное к ним отношение
не вполне  оправданно. Во-первых,  некоторые из них (пока замечен Brain)
могут довольно  успешно скрывать  свое  наличие  на  диске:  при  чтении
сектора, в  котором находится  вирус, в  буфере  оказывается  не  он,  а
нормальная  информация.   Во-вторых,  такие  вирусы  могут  быть  весьма
опасными. Кроме  того,  весьма  трудно  заблокировать  заражение  такими
вирусами, поскольку  они попадают  в  память  до  операционной  системы.
Следует отметить,  что при  наличии в  машине вируса  "Stoned" вместе  с
каким-либо  другим   BOOT-вирусом  дискеты  начинают  заражаться  обоими
вирусами поочередно,  что приводит  к потере правильного Boot record'a и
невозможности ее  лечения иначе  как при  помощи команды  SYS.  Если  же
дискета не  системная и  команда SYS  не проходит, ее можно не лечить, а
просто избегать  случайных попыток загрузки с нее. Впрочем, у Вас всегда
остается возможность  повторной форматизации  дискеты - даже 1.44 Мбайта
не так уж сложно дважды скопировать.

Ball - мячик.
     Внешнее проявление  - при  определенных обстоятельствах  на  экране
     начинает  бегать  точка,  отражающаяся  от  краев  экрана  и  букв.
     Исходный "Boot  Record" записывается  в свободный  кластер, который
     при  этом   помечается  как  испорченный  (Bad  cluster).  Никакого
     существенного вреда  этот вирус, кажется, не наносит. SCAN опознает
     этот вирус  как "Ping  Pong Virus  -  Version  B  [Ping]".  Недавно
     появилась модификация  этого вируса.  Есть подозрение, что местного
     производства.

Stoned.
     Внешнее проявление  - с  вероятностью 1/8 в момент загрузки системы
     на экран  выдается текст  "Your  PC  is  now  Stoned",  после  чего
     загрузка  нормально   продолжается.  Этот   вирус  записывается   в
     абсолютный  начальный  сектор  диска,  который  на  твердых  дисках
     содержит  Partition   Table.  Исходный   сектор   записывается   по
     абсолютному адресу  (цилиндр/головка/сектор) на гибком диске 0/1/3,
     а на  твердом 0/0/7.  На гибком  диске 360  Кб это последний сектор
     главного  каталога  (Root  Directory),  а  на  твердом  чаще  всего
     свободное  место.   Никаких  проверок   в   момент   заражения   не
     производится. Вирус предельно примитивен. Для визуального опознания
     вируса  на   диске  может   служить  пламенный   призыв:  "LEGALISE
     MARIJUANA!". Название  по SCAN "Stoned Virus [Stoned]". Обнаружено,
     что очень  неприятно  заражение  этим  вирусом  диска,  на  котором
     Boot Record следует  непосредственно за  Partition Table. При  этом
     сектор 0/0/7  оказывается  в  FAT.  Мне  пришлось  наблюдать  такой
     случай, причем  FAT испорчен  не  был,  а  зато  пропал  правильный
     вариант  Partition Table.   Исправление  диска   в  такой  ситуации
     возможно, но для этого необходима довольно высокая квалификация.

Brain.
     Один из  самых знаменитых  вирусов. Он считается первым, получившим
     широкое распространение  (разработан в  январе 1986 года). Заражает
     только  стандартно  форматированные  дискеты  емкостью  360 Кб.  На
     зараженных дискетах появляется метка "(c) Brain". Занимает на диске
     три подряд  идущих кластера,  помечая их  как испорченные. AIDSTEST
     освобождает эти  кластеры, но  метку не  удаляет. SCAN его называет
     "Pakistani Brain/Ashar Virus [Brain]".

Killer.
     Сам себя  называет "Disk  Killer". Заражает  Boot Record.  При этом
     продолжение (4  сектора) и  старый  Boot  Record  на  гибком  диске
     прячется, как  обычно, в  Bad  Claster'ы,  а  на  твердом  для  них
     используется пять предшествующих секторов, которые обычно имеются в
     наличии и  не используются никаким другим образом. Вирус производит
     соответствующую проверку и оставляет чистыми диски, на которых Boot
     Record стоит  сразу за  Partition Table.  Пока не хватило времени и
     желания  разобраться,  в  чем  состоит  "убийство  диска",  которое
     происходит после  того, как  некие счетчики, зависящие от времени и
     количества перезагрузок,  принимают определенные  значения,  но  по
     первому   впечатлению   содержимое   диска   портится   безнадежно.
     Гарантировать можно  только,  что  легендарные  физические  поломки
     диска при  этом не происходят. SCAN его называет "Disk Killer Virus
     [Killer]".

Joshi.
     Как  и   "Stoned",  при  заражении  твердого  диска  размещается  в
     Partition  Table.   Кроме  того,  под  свое  продолжение  и  старое
     содержимое Partition  Table использует 8 секторов. На твердом диске
     они размещаются на нулевой дорожке, начиная со второго сектора. Все
     неприятности, которые  могут  из  этого  проистекать,  описаны  для
     "Stoned".  Впрочем,   отныне   в   AIDSTEST   предусмотрена   новая
     возможность исправлять  Partition Table даже в довольно безнадежных
     случаях. На  гибких дисках  дополнительные сектора  размещаются  на
     "заграничной" дорожке  (40 или  80), что  следует признать довольно
     гуманным по  отношению к  клиентам. В  памяти вирус  размещается по
     старшим адресам, занимая 6 Кб, и перехватывает, кроме законного для
     таких типов  вирусов INT 13,  еще и  8 9  21. SCAN не знаком с этим
     вирусом. Название  вируса выбрано  по наличию  в нем  текста:  Type
     "Happy Birthday  Joshi", который  должен  появляться  на  экране  5
     января. Кстати,  в этом месте автор вируса ориентировался только на
     цветной монитор.

Abs-1
     Продукция какого-то  недоучки, не  утруждающего  свой  мыслительный
     агрегат.  Вирус  сделан  в  предположении,  что  существуют  только
     дискеты емкостью 360 Кб и диски емкостью 21 Мб. При этом последние,
     по  мнению   автора  вируса,  всегда  содержат  ровно  один  раздел
     (Partition), причем начинающийся на первой дорожке. На таких дисках
     абсолютный адрес,  по  которому  прячется  правильный  BOOT-сектор,
     приходится на  последний сектор  Root Directory  (на  гибком  диске
     0/1/3,  а   на  твердом   1/3/13).  Поскольку   эти   предположения
     выполняются  далеко   не  всегда,  последствия  могут  быть  самыми
     различными. Следует подчеркнуть, что вирус всегда портит на твердых
     дисках именно  сектор 0/1/1,  даже если  на нем расположен не BOOT-
     сектор (причем  не только  на первом  диске). AIDSTEST  при лечении
     твердых дисков  умеет обнаруживать  и удалять  этот вирус  только в
     BOOT-секторе первого диска. Если на секторе 0/1/1 расположено нечто
     иное, его  содержимое можно  переписать с сектора 1/3/13 при помощи
     NU  (Norton  Utilities).  Прочие  последствия  деятельности  вируса
     исправить невозможно.  В качестве шутки предусмотрена периодическая
     распечатка экрана на печатающее устройство (через INT 5). Однако, в
     соответствующих семи  командах имеется  одна ошибка и такое событие
     никогда не  наступает. Вирус опознает свое наличие на диске по паре
     байт, в  которых стоят коды 82 90. Если это русские буквы, то "ВР",
     что  может   быть  и   инициалами  автора.  Попытка  заразить  диск
     происходит  при  исполнении  каждой  команды  чтения  сектора,  что
     приводит к резкому повышению подвижности головок.

Rostov.
     Модификация вируса  "Stoned". Отличается способностью заражать диск
     "B", отсутствием  характерных текстов,  а также  способностью мелко
     пакостить на нулевой дорожке диска "C".

DenZuk.
     Заражает только  дискеты. Продолжение  и правильный BOOT записывает
     на 40-м  цилиндре,  причем  сектора  получают  номера  от  33.  При
     перезагрузке по Ctrl+Alt+Del на экран выдается фирменный знак. Если
     диск имеет метку, она заменяется на Y.C.1.E.R.P (вместо точек стоят
     символы с  кодом F9.  Если диск  был заражен вирусом Brain, Den Zuk
     замещает его.

FORM Заражает BOOT Record. При заражении твердого диска (C:) прячет свое
     продолжение  и   правильный  BOOT   Record  в   последних  секторах
     физического диска,  а на  дискетах в  Bad Cluster.  По 24-м  числам
     каждого месяца включает писк при каждом нажатии на клавишу.

Piter
     Заражает Partition  Table (на  дискетах BOOT  Record). Прячет  свое
     продолжение и правильный сектор в трех Bad Cluster-ах. Только на AT
     через месяц  после заражения  начинается осыпание  букв на  экране.
     Алгоритм этой  шутки  полностью  украден  из  классического  вируса
     1701/1704. Вирус привезен из Ленинграда. SCAN-67 его не опознает.

LCh  Заражает Partition  Table (на  дискетах  BOOT  Record).  Правильный
     сектор  прячет   как  Stoned.   Может  почти  безнадежно  испортить
     содержимое диска  "C:". Содержит  текст "LoveChild b3 in reward for
     software  stealing.".  Непонятно,  зачем  подчеркивать  особенности
     своего происхождения, бросая в других камни.

NearDark
     Вариация на  тему "Stoned".  В конце  содержит слова  "Near  Dark",
     которые могут появляться на экране при загрузке с диска "C:". После
     выдачи этого сообщения вирус портит Partition Table.

Abs-2
     При заражении  гибкого диска прячет исходный BOOT по адресу 39/1/8,
     а на  твердом диске,  заражая Partition  Table не  сохраняет старую
     программную часть,  выполняя ее  функцию самостоятельно.  В связи с
     этим,  при   лечении  твердого  диска  AIDSTEST  просит  разрешения
     поместить в  Partition Table  стандартную программную  часть. После
     пяти  загрузок   с  зараженного   твердого   диска   вирус   делает
     недоступными LPT1 и COM1, затирая в памяти их базовые адреса.

MusicBug
     Заражает BOOT  Sector. Заражает  твердый  диск  (C:),  только  если
     Active Partition  начинается на  первой дорожке  нулевого цилиндра.
     Прячет правильный  BOOT и  свое продолжение  в свободных кластерах,
     помечая их  как занятые  (конец файла).  Освободить это место можно
     при помощи  CHKDSK.  При  этом  образуются  2-4  файла  в  корневой
     директории, которые  можно стереть.  Если эту операцию проделать до
     лечения, последующее  лечение будет  значительно затруднено  (можно
     воспользоваться программой  SYS, загрузившись  с  чистой  дискеты).
     "Музыка" состоит из случайных звуков и начинает исполняться через 4
     месяца после  заражения. В  продолжении  содержит  текст  "MusicBug
     v1.06. MacroSoft Corp.". Scan его опознает.

Bloody
     Похож на  Stoned. Отличается  тем,  что  на  твердом  диске  прячет
     Partition Table  на 6-м  секторе и  после 128  загрузок с  твердого
     диска через  каждые 5 выдает на экран текст "Bloody! Jun. 4, 1989".
     Пытается заразить дискету при каждом обращении к ней, поэтому сразу
     проявляет себя  резким замедлением  работы с  дискетами. Обнаружено
     две очень близких разновидности.

March6
     На твердом  диске заражает  Partition Table.  Правильное содержимое
     прячет на  твердом диске  на 7-м  секторе, а  на гибком - в секторе
     0/1/3 или  0/1/14 в зависимости от типа диска. Обычно это последний
     сектор Root  Directory. При  наличии таймера реального времени 6-го
     марта стремится  стереть все  содержимое  диска,  с  которого  идет
     загрузка. Scan опознает как "Michaelangelo [Mich]".

October1
     Весьма творческая переделка вируса "March6" - 6-е марта заменено на
     1-е октября,  7-й сектор  заменен на  15-й и  удалена  одна  лишняя
     команда.

MPHTI
     Заражает Boot  record. Исходный прячет в предпоследнем секторе Root
     directory. Думаю,  что автор  метил в  последний,  но  промахнулся.
     Заражение твердого  диска происходит только в случае, если активный
     раздел описан  первой строкой  Partition Table. Предусмотрена порча
     при определенных  обстоятельствах восьми  секторов нулевой  дорожки
     дисков "A:"  и "C:"  и первой  дорожки диска  "C:". Судя  по тексту
     внутри, произведен в Физтехе.

MPHTI-2
     Снято ограничение на способность заражать твердые диски, но за счет
     неспособности работать  без их  наличия. На  этот раз  используется
     именно последний сектор Root directory.

ABS-3
     На твердом  диске заражает  Partition Table. Исходный сектор прячет
     на гибком  диске в  традиционном секторе  0/1/3, а  на твердом  - в
     0/0/3. Предусмотрена  порча семи  секторов  нулевой  дорожки  диска
     "A:".

GELENDZIK
     Старый MBR  хранит на гибком диске в 0/1/3, а на твердом - в 0/0/7.
     Ничего интересного.

Clock
     Очередное подражание  Stoned.  Предусмотрен  вывод  в  угол  экрана
     показаний часов,  однако из-за  пары  ошибок  этот  эффект  увидеть
     довольно  трудно,   а  при  монохронном  мониторе  просто  повисает
     система. Поместиться  в одном  секторе автору  не удалось и поэтому
     для продолжения  вируса используется  сектор перед  спрятанным BOOT
     (0/0/6 или 0/1/2).

Dinamo
     Старый MBR хранит на твердом диске в 0/0/9, а на гибком в последнем
     секторе Root  Directory. При ошибке чтения в момент загрузки выдает
     на экран: "Dinamo(Kiev)-champion !!!".

Nov_7
     Старый MBR хранит на твердом диске в 0/0/11, а на гибком в 0/1/3. В
     октябре при каждой загрузке выдает на экран 10 символов с кодом 01,
     а 7-го  ноября, вероятно,  в знак протеста против отмены праздника,
     портит первые  7 секторов  диска "C:".  Это легко исправлется, если
     только 1-й раздел диска не начинается на втором секторе.

Loa  На твердом  диске  заражает  сектор  0/1/1,  не  пытаясь  проверить
     находится ли там Boot Sector. Старый BOOT на твердом диске прячет в
     0/0/8, а  на гибком  в последнем  секторе Root  Directory. Довольно
     часто исполняет  мелодию. Scan  опознает его  как "Loa  Duong Virus
     [Loa]".

Anti_TEL
     Заражает  Master   Boot  Record.  Свое  продолжение  и  старый  MBR
     записывает на  твердом диске  в секторах  6 и 7, а на гибком в двух
     последних секторах  Root Directory. Адреса этих секторов определяет
     при помощи  таблицы, входами  в которую служат полные объемы диска.
     При использовании  нестандартно размеченных  дисков, объема которых
     нет в  таблице, например,  720 Кб последствия непредсказуемы. После
     400 загрузок  с зараженного  диска его  содержимое стирается  и  на
     экран выдается  текст: "Campaдa Anti-TELEFONICA (Barcelona)". Здесь
     буква "д" не опечатка, а "n" с тильдой.

Spook
     Заражает Master  Boot Record. Старый MBR на твердом диске сохраняет
     в секторе  8, а на гибких старается попасть в последний сектор Root
     Directory. Иногда портит Partition Table. Содержит текст "Spook 1.0
     LIM". Scan опознает как "Generic Boot Virus [GenB]".

Alive
     Очередная вариация  на тему  "Stoned". Использует  сектора 0/0/7  и
     0/1/3. Очень  часто на цветной монитор выводит текст: "I AM ALIVE".
     Scan опознает его как "Azusa".

Mikola
     Очередной "Stoned".  Пытается портить  случайные сектора  диска C:.
     Содержит текст  "Mikola v  1.13". Scan  опознает  его  как  "No-Int
     [Stoned]".

                      2.3. О "музыкальной" группе

    В эту  группу  входит  довольно  большое  количество  вирусов,  явно
сочиненных одним  автором. Их  общим признаком  является наличие за 4 от
конца байтов с шестнадцатиричным значением F47A. Следующий байт (в файле
он предпоследний)  содержит номер  версии вируса.  Пока в нашу коллекцию
попали следующие версии (номера - шестнадцатиричные, в скобках - длины):

    04 (1212), 05 (1206), 06 (1269), 10 (1339), 17 (1753), 18 (1760), 19
    (1805), 21 (2680), 22 (2568), 26 (2756), 27 (2772), 29 (2932), 2A
    (2997), 2C (2885), 2D (2901), 2E (2981), 53 (1905).

    Ранние версии  AIDSTEST обозначали  представителей  этого  семейства
буквами D,  F, G,  H, отмечая  развитие  способов  заражения  и  внешних
проявлений.  Теперь  они  все  обозначаются  буквой  (M)  с  добавлением
шестнадцатиричного номера.  Общей для  всех версий  является способность
заражать как COM, так и EXE-программы.

    В   антивирусных   публикациях   уже   отмечалось,   что   последние
представители этой  компании (начиная  с 29)  модифицируют  "Мячик".  По
моему впечатлению  из этого  не следует,  что и  он принадлежит  тому же
автору.

    Ниже описано  все, что удалось выяснить о развитии версий из анализа
известных с некоторой долей интерполяции.

До версии 6 при заражении портится дата создания файла.

До 9  включительно при  заражении COM  требуется, чтобы  первой командой
     была JMP (код E9).

До 10  заражение EXE-программ  происходит в  два  приема  -  при  первом
     программа формально  приводится к  формату COM  и к ней добавляется
     фрагмент длиной 132 байта, который обеспечивает преобразование EXE-
     программы в  памяти для  ее  правильной  работы,  а  при  втором  -
     получившийся агрегат  заражается как  обычный  COM.  Если  AIDSTEST
     встречает такой агрегат, он помечает его как (ML).

Следующие версии, включая 22, также преобразуют EXE в COM, однако делают
     это в  один прием.  Пока не  известно, где  проходит граница  между
     версиями 10 и 17.

Начиная с версии 23, EXE программы сохраняют свой формат, причем во всех
     заражаемых модулях  со смещением 0x12 от начала стоит расстояние до
     начала  вируса,  деленное  на  16.  Одновременно  в  начале  вируса
     дублируется пароль  F47A  и  номер  версии.  Версии  2D  и  2E  при
     заражении EXE в конец файла эту информацию не пишут.

С версии  17 размножение  не обнаруживается  резидентными  антивирусными
     программами, следящими  за записью  в программные  файлы, поскольку
     вирус  передает   управление  непосредственно   в  MS DOS,   обходя
     сторожей.

С версии  21 вирусы  принимают очень  хитрые меры защиты от вирусологов.
     Вирус  оказывается   "невидимым"  при   попытке  пройти  через  его
     резидентную часть  отладчиком  в  пошаговом  режиме  или  поставить
     внутри останов  (Break point). Кроме того, при попытке изучить явно
     зараженную  программу  при  помощи  DEBUG,  она  вдруг  оказывается
     здоровой, конечно, если вирус уже находится в памяти.

    В пользу  автора этих  вирусов следует  сказать, что  никакие подлые
шутки в  них не  предусмотрены. Более  того, принимаются все меры, чтобы
зараженные программы  всегда работали  правильно. Даже попытка умышленно
заразить программу  для коллекции не всегда кончается успехом. До версии
10 не  удалось обнаружить  вообще никаких  шуток, а  остальные исполняют
мелодию,  которую   знатоки  идентифицируют  как  "Янки  Дудль"  (Yankee
Doodle). Версии  17-19 исполняют ее перед перезагрузкой по CTRL+ALT+DEL,
a следующие - в 17 часов (точнее в 16:59:53).

    Остается  выразить   сожаление,  что  явно  талантливый  программист
потратил столько  сил и изобретательности на такую неблагодарную работу,
которая даже для саморекламы не очень годится.

    Обнаруженная в  конце 1990  года  версия  53  является  плагиатом  с
последних версий, причем без наиболее тонких возможностей.

                            2.4. Вирус "DIR"

    Этот вирус начинает принципиально новую группу компьютерных вирусов.
Внешне он  проявляется весьма странно. Дискета, зараженная этим вирусом,
кажется безнадежно  испорченной. Программа  CHKDSK  выдает  сообщения  о
многочисленных пересечениях файлов ("... cross linked on cluster ...") и
цепочках  потерянных   кластеров  ("...   lost  clusters  found  in  ...
chains."). При  попытке скопировать с такой дискеты программные файлы из
них копируется  только 1024  байта, хотя  в каталоге стоят совсем другие
длины. Однако, стоит только исполнить одну из этих программ, как дискета
сама по себе исправляется.

    Основная идея  вируса заключается  в том,  что его тело находится на
диске в  одном месте.  Обычно это  последний кластер  диска, который при
этом помечается  в FAT  как "конец  файла". Одновременно в каталогах для
всех COM-  и EXE-файлов ссылка на начало файла меняется на этот кластер,
а правильный  указатель  в  закодированном  виде  прячется  в  резервной
области строки  каталога. Таким  образом, при  запуске любой программы в
память загружается  вирус. После  этого вирус  подключается к  дисковому
драйверу и  при всех  нормальных обращениях к каталогу отдает правильные
ссылки.

    К сожалению,  в вирусе  имеются ошибки.  Во-первых  тело  вируса  не
всегда записывается на диск, хотя ссылки и указывают на то место, где он
должен быть.  Кроме того,  вирус иногда неправильно определяет параметры
диска и образуются два потенциальных места размещения вируса. Если такая
ситуация происходит на диске "C:", система перестает загружаться.

    Почти безнадежно  испорченым диск  оказывается  в  случае,  если  до
лечения его  обработали программой  CHKDSK с  параметром /F (естественно
при загрузке со здоровой системы).

    В связи  с появлением  новой версии  вируса "DIR_2" алгоритм лечения
был  переработан.  Теперь  существенно  повышена  вероятность  успешного
лечения. Если  диск испорчен  вирусом, но  AIDSTEST вирус  на  диске  не
обнаруживает, можно попытаться использовать ключ "/S".

                              3. Параметры

    Вызов:
        AIDSTEST path [/f] [/p] [/g] [/x] [/m] [/s] [/q] [/e] [/l]
где

path задает  подмножество   файлов,   которые   следует   проверить   на
     зараженность. Кодируется  практически по  тем же  правилам, что и в
     команде DIR.  Вместо этого  параметра можно  поставить символ  "*",
     который означает задание на работу со всеми дисками, начиная с "C";

/f - переключатель,  означающий   задание  на   исправление   зараженных
     программ и стирание испорченных безнадежно;

/p[<имя файла>]
     задается при  желании сохранить протокол. Если имя файла не задано,
     выдача происходит  на первое  печатающее  устройство.  В  последнем
     случае  необходимо   не  забыть  заранее  его  включить,  поскольку
     напоминания не будет;

/g - глобальная проверка  всех файлов  на диске  (не только  COM и EXE).
     Необходимость   такого    режима   вызвана   тем,   что   некоторые
     вспомогательные подпрограммы имеют расширение имени отличное от EXE
     и COM,  однако в  момент  загрузки  некоторые  вирусы  успевают  их
     заразить.  С  этим  параметром  программу  рекомендуется  запускать
     только для чистки, когда известно о наличии в машине вируса;

/x - переключатель,  означающий  разрешение  стирать  файлы,  в  которых
     обнаружен  вирус,   но  дополнительный   контроль  показывает,  что
     успешное лечение  маловероятно.  Такая  ситуация  может  возникнуть
     после лечения недостаточно грамотно написанными программами;

/m - специально для тех, кто на своей машине никак не может расстаться с
     "основной" кодировкой русских букв;

/s - этот переключатель  можно попробовать  использовать в случае, когда
     вирус, объявленный  удаленным, продолжает  упорно появляться вновь.
     Дело в  том, что  иногда,  например,  при  лечении  некачественными
     антивирусными средствами,  болезнь загоняется  вглубь и диагностика
     требует замедленного просмотра программных файлов;

/q - при использовании  этого переключателя  до стирания каждого модуля,
     который невозможно исправить на консоль выдается запрос.

/e - загрузить в адаптеры EGA или VGA русские буквы.

/l - использовать при выводе сообщений второй язык.

    При  ошибке   в  параметрах   на  экран  выдается  краткое  описание
программы.

    ПРИ ИСПОЛЬЗОВАНИИ В СЕТИ параметр path рекомендуется задавать в виде
"d:*.*" или "d:." .

               4. Сообщения и дополнительные возможности

    Основной протокол AIDSTEST достаточно прост и понятен.

    Про  каждый   вирус,  обнаруженный  в  файле,  сообщается  его  имя,
номинальная длина  (в скобках после имени), а в случае успешного лечения
через косую черту величина изменения длины файла (бывает и нулевой).

    После сообщения  о неудачной  попытке исправить  вирус  в  Partition
Table программа может предложить записать стандартную версию программной
части Partition  Table. Пока  трудно  придумать,  какими  неприятностями
может грозить  согласие на  такое  предложение.  При  лечении  дискет  в
аналогичной ситуации  Вам может  быть предложено  "слегка испортить Boot
Record, чтобы  обезвредить вирус". Худшее, чем может грозить согласие на
это предложение,  что  с  этой  дискеты  не  будет  проходить  загрузка.
Доступность информации,  находящейся  на  этой  дискете,  измениться  не
должна.

    AIDSTEST  довольно   надежно   контролирует   собственное   здоровье
относительно большинства  типов вирусов.  При  обнаружении  собственного
заражения AIDSTEST выдает соответствующее сообщение и прекращает работу.

    Последние два  свойства AIDSTEST  можно использовать  для  индикации
появления новых  типов вирусов.  Для этого AIDSTEST нужно скопировать на
диск в  место, достаточно  доступное для  заражения, и  почаще запускать
(для  скорости   можно  без  параметров).  Довольно  много  шансов,  что
появление нового вируса будет им обнаружено в памяти или в себе.

    Автор обращается  с убедительной  просьбой ко  всем, кто обнаружит у
себя  вирус   нового  типа,   передать  ему   зараженные  модули  (через
распространителей AIDSTEST).  Новую  версию,  излечивающую  и  этот  тип
вируса, вы получите бесплатно.

    Программа обнаруживает и обезвреживает все известные ей типы вирусов
и в  памяти машины. В этом случае в конце на экран выдается рекомендация
о перезагрузке  системы. Это  не обязательно  означает наличие  реальной
опасности - известные вирусы надежно лишаются способности к размножению,
но их  прочие свойства  не убираются,  т.е. могут  продолжаться осыпания
букв, появления черного квадрата и исполнение мелодии.

    Иногда после  сообщения об исцелении может следовать приписка "(есть
вопросы)". Пока  она означает  неудачную  попытку  освободить  кластеры,
занятые BOOT-вирусом.

    Для  использования   AIDSTEST  в   командных  файлах   предусмотрена
выработка кода завершения (ERRORLEVEL):

    0 - вирусы не обнаружены;
    1 - нормальное завершение, вирусы обнаружены;
    2 - ненормальное завершение программы.

         ПРИЛОЖЕНИЕ. Условия распространения программы AIDSTEST

    Программа AIDSTEST поставляется в форме "КАК ЕСТЬ", в соответствии с
принципом "AS  IS", общепринятым  в международной компьютерной практике.
Это означает,  что за  проблемы,  возникающие  в  процессе  эксплуатации
программы AIDSTEST  (в  том  числе:  проблемы  совместимости  с  другими
пакетами и  драйверами, с  нестандартностью конфигурации  компьютеров, с
неполной совместимостью компьютеров Заказчика с IBM PC/XT/AT, а также за
проблемы, возникающие  из-за  неоднозначного  толкования  документации),
разработчик и распространитель ответственности не несут.

    Программа AIDSTEST  реализована в нескольких вариантах с интерфейсом
на различных языках: русском, английском, французском, испанском.

    Официальным   распространителем    программы    AIDSTEST    является
Акционерное общество  "ДиалогНаука", имеющее в различных регионах страны
сеть дилеров.

    Для личного  пользования индивидуальные  покупатели за 25 руб. могут
получить на  свои дискеты копию текущей версии AIDSTEST в АО ДиалогСалон
в павильоне  "Химия" Всероссийского  выставочного  центра  (бывш.  ВДНХ)
ежедневно с  10 до  17 часов,  тел.(095)181-96-83,  181-96-24.  Заказать
пересылку по почте одной дискеты с очередной версией AIDSTEST можно в МП
"Борис", переслав 150 руб. по адресу: 125195 Москва, а/я 99, Aidstest.

    Организации могут оформить подписку, что дает право получать на свои
дискеты копии новых версий программы в течение года и использовать их на
всех компьютерах  в рамках  организации. Дополнительно  к этому подписка
может включать  пересылку программы на дискетах по почте. Возможно также
оформление подписки  с получением  через модем  (с помощью  BBS, системы
телекоммуникации Lexand или электронной почты Relcom).

    По  отдельному   договору  может   быть  организовано   приоритетное
обслуживание:

   - экстренное  изготовление   в  рамках   очередной  версии  программы
     AIDSTEST средств  для обнаружения  и уничтожения новых (найденных и
     выделенных Заказчиком)  вирусов -  обращаться непосредственно  в АО
     ДиалогНаука;

   - скорая помощь по анализу сложных ситуаций и восстановлению данных с
     выездом  специалистов   на   территорию   Заказчика   (в   пределах
     московского региона) - обращаться в НПО ГелиоСофт, тел. 939-52-12.

    Для оформления подписки следует:

   - перевести на  счет  АО  ДиалогНаука  требуемую  сумму  с  указанием
     "Подписка на антивирус AIDSTEST";

   - выслать  в   АО  ДиалогНаука   по  адресу:   117967  Москва  ГСП-1,
     ул.Вавилова,  д.40,   ВЦ  РАН,   комн.103а  (тел.137-01-50)   копию
     платежного поручения и следующий купон

┌─────────────────────────────────────────────────────────────────────┐
│      Для оформления подписки на антивирусную программу AIDSTEST     │
│     денежные средства в составе (выбранный вариант подчеркнуть)     │
│   1280 руб.   - копирование на дискеты Заказчика,                   │
│   1920 руб.   - пересылки по почте на дискетах Поставщика           │
│                 (10 поставок, раз в месяц, кроме июля-августа),     │
│   2560 руб.   - пересылки по почте на дискетах Поставщика           │
│                 (20 поставок, 2 раза в месяц, кроме июля-августа),  │
│ переведены платежным поручением N _____ от "___" _________ 1992 г.  │
│ коммерческому банку "Диалогбанк" на корреспондентский счет 161625   │
│         в РКЦ ГУ ЦБ РФ по г.Москве, МФО 201791, участок 83          │
│      для зачисления АО "ДиалогНаука" на расчетный счет 467125       │
│                                                                     │
│ Дискеты с программой высылать (если требуется пересылка) по адресу: │
│ Почтовый индекс ________ , ________________________________________ │
│ ___________________________________________________________________ │
│ Наименование организации __________________________________________ │
│ ___________________________________________________________________ │
│ Кому (должность,  фамилия имя отчество) ___________________________ │
│ ___________________________________________ Телефон ______________. │
└─────────────────────────────────────────────────────────────────────┘
ПРИМЕЧАНИЕ. Указанные цены действительны на день выхода данной версии.

    Для получения версий AIDSTEST непосредственно в АО ДиалогНаука копия
платежного поручения  может быть  передана при личной явке представителя
организации.  Проезд:   метро  "Ленинский   проспект"   (выход   к   ул.
Орджоникидзе), далее  любым трамваем или автобусом 115 до остановки "ул.
Губкина" (4-я  остановка в сторону от центра города). Просьба обращаться
с 10 до 18 часов по рабочим дням.

Тел. (095) 137-01-84 - антивирусный отдел АО ДиалогНаука
     (095) 137-01-50 - директор, бухгалтер, телефакс
BBS  (095) 135-62-53 (20:00-10:00), FIDO 2:5020/6.13
E-mail lyu@dials.msk.su - по вопросам поставок и обслуживания
       loz@dials.msk.su - по поводу новых вирусов
