
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-0E                                                Редакция 07.04.92

     ИМЯ: Alive (BootChecker, AIDSTEST)

     УСТАНОВКА: Скрывает от DOS 1 Кб памяти и  создает  там  резидентную  копию
(512 байт).  Перехватывает прерывание 13h (xxxx:0102) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/7 (как правило,  неиспользуемая область перед первым разделом). Ис-
ходные BPB и Partition Table НЕ сохраняет.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS), дискеты - при каждой операции чтения/записи в любом дисково-
де (если в момент обращения мотор дисковода A:  не был включен). При этом автор
забыл проверить номер дисковода и всегда пытается заражать A:.  Распознает себя
по байту [0085]=8Ah. Кроме того, опознает Stoned (и некоторые аналоги) по байту
[0089]=72h, еще какой-то вирус (мне неизвестный, возможно, раннее творение того
же автора) - по байту [008C]=72h; при совпадении замещает, предполагая исходный
бут или MBR уже сохраненным.

     МАСКИРОВКА: Stealth.  При чтении/записи сектора  0/0/1  (на  любом  диске)
подставляет сектор с исходным бутом или MBR;  регистры не восстанавливает. Мас-
кировка и заражение дискет отключаются при bp=1234h.
     В конце вируса имеется текстовая строка:" I AM ALIVE ", и подпись: "PA29".

     ПРОЯВЛЕНИЯ: После  установки вирус начинает считать обращения к диску (вы-
зовы прерывания 13h)  и иногда перед выполнением операции выводит вверху экрана
по центру текст " I AM ALIVE " (" Я ЖИВОЙ ").  Точнее, вирус выдает это сообще-
ние при 16 обращениях подряд,  а затем засыпает на 240 обращений. Текст копиру-
ется прямо в видеопамять, поэтому не виден в монохромном и графических режимах.
     Никаких специальных деструктивных действий не предусмотрено.

     ПОБОЧНЫЕ ЭФФЕКТЫ:  При чтении/записи нескольких секторов, начиная с 0/0/1,
из-за  маскировки  последующие  секторы окажутся указанными неверно,  что может
привести к ошибке при работе с дисками (на дискетах - к  порче  FAT),  а  также
служить для обнаружения вируса.
     Таблица разделов в положеном месте не сохраняется,  поэтому при отсутствии
или  нейтрализации  вируса  в памяти (в частности,  при загрузке с незараженной
дискеты) жесткий диск читаться не будет.  На дискете не сохраняется  правильный
BPB, что может сделать зараженную дискету (особенно нестандартного формата) не-
читаемой в некоторых случаях.
     Последний сектор  каталога  дискеты  DS/DD используется при наличии на ней
большого количества файлов (более 96). При заражении такой дискеты попавшие ту-
да файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяется,
файлы теряются на дискетах QD, если их больше 64, на дискетах HD 5.25" - больше
16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный  MBR окажется в FAT и может там потеряться.  Последнее весьма
печально, поскольку таблица разделов не дублируется.
     Исходные бут и MBR хранит там же, где Stoned. Сам Stoned распознается, од-
нако  при заражении диска,  инфицированного ранее кем-нибудь из аналогов,  пра-
вильный бут или MBR теряется и загрузка становится невозможной.

     ИСТОРИЯ: Обнаружен в ЧГПИ (Череповец) в марте 1992 года. Внутри чувствует-
ся сильное влияние Stoned.
     SCAN (J.McAfee) путает этот вирус с Azusa, а CLEAN умудряется даже лечить.
Поскольку настоящая Azusa хранит исходный бут совсем в другом  месте  (39/1/8),
последствия лечения  печальны:  вирус убивается,  но исходный бутсектор (в т.ч.
BPB) не восстанавливается, при этом выдается сообщение о корректном удалении.
