
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-9F                                                Редакция 10.03.92

     ИМЯ: Canadian (BootChecker, -V)
          Empire (SCAN)

     УСТАНОВКА: Скрывает  от DOS  1 Кб памяти  и создает там  резидентную копию
(512 байт).  Перехватывает прерывание 13h (xxxx:0012) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается  в  сектор 0/0/1,  замещая бут на дискете,  MBR на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете  в  секторе 0/1/2 (предпоследний сектор корневого каталога для DS/DD),  на
жестком диске в секторе 0/0/7 (как правило, неиспользуемая область перед первым
разделом).  При заражении жесткого диска сохраняет в себе исходную таблицу раз-
делов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS), дискеты - при операции чтения любом дисководе с вероятностью
примерно 2/23 (видимо, предполагалась 1/16, но автор запутался в системах счис-
ления).  Распознает себя по первым 4-м байтам:  EA 9F 01 C0 (far jump на дешиф-
ровку).

     МАСКИРОВКА: Stealth. При чтении сектора 0/0/1 на жестком диске подставляет
сектор с исходной MBR;  запись в сектор 0/0/1 на жестком диске блокируется.  На
дискетах не маскируется. Регистры сохраняет.
     Большая часть кода вируса (0005-019E) шифруется по переменному ключу.
     В теле  вируса  имеется дополнительно зашифрованный текст:" Canadian ".  В
конце видна нешифруемая строка:".PC.AT."(вместо точек стоят сердечки - код 03).

     ПРОЯВЛЕНИЯ: Не предусмотрены.

     ПОБОЧНЫЕ ЭФФЕКТЫ:  При чтении нескольких секторов,  начиная с 0/0/1, из-за
маскировки последующие секторы окажутся указанными неверно,  что может привести
к ошибке при работе с нестандартными дисками,  а также служить для  обнаружения
вируса.
     Из за блокировки записи в MBR без выдачи сообщения об ошибке манипуляции с
таблицей разделов могут иметь катастрофические последствия.
     Предпоследний сектор каталога дискеты DS/DD используется  при  наличии  на
ней большого количества файлов (более 80). При заражении такой дискеты попавшие
туда файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяет-
ся,  файлы  теряются на дискетах QD,  если их больше 48,  на дискетах HD 3.5" -
больше 16, 5.25" - всегда.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Не сохраняется правильный BPB,  что может сделать зараженную дискету (осо-
бенно нестандартного формата) нечитаемой в некоторых случаях.
     Исходный MBR хранит там же,  где Stoned. При заражении жесткого диска, ин-
фицированного ранее Stoned или аналогами,  правильный MBR теряется  и  загрузка
становится невозможной.

     ИСТОРИЯ: Судя по подписи внутри, происходит из Канады. В Москве появился в
конце 1991 года.  Вероятно,  это первый бутовый вирус,  шифрующий свой код. Ос-
тальное в основном позаимствовано из Stoned.
     SCAN 8.3V86 (J.McAfee 1992) распознает 3 версии.
