
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: D-FF                                                Редакция 10.03.92

     ИМЯ: Track Swap (BootChecker)
          TrkSwap (-V)

     УСТАНОВКА: Скрывает от DOS  1 Кб памяти  и создает там  резидентную копию.
(512 байт).Перехватывает прерывания 9 (xxxx:01C3) - клавиатура, 13h (xxxx:0116)
- операции с диском. Перезаписывает себя с новым значением счетчика.

     ЗАРАЖЕНИЕ: Записывается в бутсектор дискеты,  жесткие диски  не  заражает.
Хвост (1 сектор) содержит исходный бут и хранится в секторе 0/1/3 (конец корне-
вого каталога для DS/DD).
     Попытка заражения  дискет  происходит  при каждой операции чтения, записи,
верификации  в любом дисководе  (если в момент обращения мотор дисковода не был
включен).  После обнуления счетчика загрузок  перестает размножаться и начинает
вредить. Распознает себя по слову [0000]=FF33h.

     МАСКИРОВКА: Stealth.  Характерных текстов не имеет. При чтении/записи сек-
тора 0/0/1 (на любом диске) подставляет сектор с исходным бутом; при чтении/за-
писи сектора корневого каталога 0/1/3, в котором спрятан исходный бут, подстав-
ляет предыдущий сектор корневого каталога. При чтении/записи замененных дорожек
подставляет правильные. Регистры сохраняет.
     Отлавливает нажатие  Alt-Ctrl-Del и пытается до перезагрузки заразить дис-
кету в дисководе A:,  чтобы тут же установиться с нее  снова.  Перезагрузку  не
блокирует.
     Имеющийся у меня экземпляр вакцинирован от вируса Ball (Italian,Ping-Pong)
меткой [01FC]=1357h.  Была ли она изначально или вирус был обработан вакцинато-
ром, неизвестно.

     ПРОЯВЛЕНИЯ: При каждой загрузке уменьшает счетчик,  пока он не обратится в
ноль. После этого при чтении дискеты в любом дисководе, если в момент обращения
мотор дисковода не был включен, меняет местами 0-ю и 39-ю дорожки (точнее, сек-
тора 1-9);  перед этим проверяется,  была ли произведена замена ранее (есть  ли
бут в секторе 0/0/1), и повторная замена не производится. При резидентном виру-
се замена маскируется.  При заражении счетчик не изменяется; первоначальное его
значение неизвестно.

     ПОБОЧНЫЕ ЭФФЕКТЫ:  При чтении/записи нескольких секторов, начиная с 0/0/1,
из-за  маскировки  последующие  секторы окажутся указанными неверно,  что может
привести к порче FAT, а также служить для обнаружения вируса.
     Отсутствие замены  опознается по бутсектору,  а тот - по метке AA55h.  При
отсутствии этой метки (на некоторых  backup-дискетах,  а  также  при  заражении
Stoned) начинает путать дорожки и гробит дискеты.
     Последний сектор  каталога  дискеты  DS/DD используется при наличии на ней
большого количества файлов (более 96). При заражении такой дискеты попавшие ту-
да файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяется,
файлы теряются на дискетах QD, если их больше 64, на дискетах HD 5.25" - больше
16, 3.5" - больше 32.
     Не сохраняется правильный BPB,  что может сделать зараженную дискету (осо-
бенно нестандартного формата) нечитаемой в некоторых случаях.
     Исходный бут на дискетах хранит там же,  где Stoned, поэтому при заражении
дискеты,  инфицированной ранее Stoned или аналогами,  правильный бут теряется и
загрузка становится невозможной.

     ИСТОРИЯ: Происхождение неясно.  Зарубежными детекторами не опознается.  По
обработке Alt-Ctrl-Del - прямой потомок Joshi & Co.
