
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-05-s                                              Редакция 06.04.92

     ИМЯ: Sex Revolution (BootChecker, -V)

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию
(512 байт).  Перехватывает прерывание 13h (xxxx:0015) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/7 (как правило,  неиспользуемая область перед первым разделом). При
заражении жесткого диска сохраняет в себе исходную таблицу разделов. Попытка за-
ражения  жесткого  диска происходит при установке вируса с дискеты (до загрузки
DOS), дискеты - при каждой операции чтения/записи в дисководе A: (если в момент
обращения  мотор дисковода не был включен).  Распознает себя по первым 4-м бай-
там: EA A1 00 C0 (far jump).

     МАСКИРОВКА: Нет.  При заражении дискет обычно отсутствует  концевая  метка
загружаемого бута  [01FE]=AA55h.  В  конце имеется характерная строка с текстом
сообщения.

     ПРОЯВЛЕНИЯ: При установке с дискеты с вероятностью 1/8 (используется  сис-
темный таймер) на экран выводит сообщение "EXPORT OF SEX REVOLUTION ver, 1.1" ,
после чего загрузка (включая попытку заразить жесткий диск) нормально продолжа-
ется. Никаких специальных деструктивных действий не предусмотрено.

     ПОБОЧНЫЕ ЭФФЕКТЫ: Последний сектор каталога дискеты DS/DD используется при
наличии на ней большого количества файлов (более 96).  При заражении такой дис-
кеты попавшие туда файлы будут потеряны. Поскольку при заражении дискеты ее тип
не проверяется,  файлы теряются на дискетах QD,  если их больше 64, на дискетах
HD 5.25" - больше 16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Исходные бут и MBR хранит там же, где Stoned. При заражении диска, инфици-
рованного ранее Stoned или аналогами, правильный бут или MBR теряется и загруз-
ка становится невозможной.
     Не сохраняет правильный BPB, что может сделать зараженную дискету (особен-
но нестандартного формата) нечитаемой в некоторых случаях.

     ИСТОРИЯ: Возможно, вирус имеет местное происхождение (так что представляет
собой  скорее импорт).  Внутри - почти точная копия Stoned,  причем исправления
вносились,  очевидно,  прямо в двоичный код без  реассемблирования.  Вся  revo-
lution  при этом заключается в том,  что некоторые соседние push'и (и соответс-
твенно, пардон, pop'ы) поменялись местами. Возможно, это связано с желанием ис-
портить сигнатуру  (заменить пресловутый SQR на SRQ).  В развитие этих идей см.
Mikola.
     В сообщении, выводимом на экран, присутствует номер версии. Наряду с выше-
описанной версией 1.1 известна версия 2.0 со следующими отличиями:  (1) Revolu-
tion распространилась еще на пару push и pop;  (2) На жестком диске хвост пере-
несен в  сектор 0/0/8,  во избежание конфликтов со Stoned & Co.;  (3) Сообщение
стало таким: "EXPORT OF SEX REVOLUTION ver. 2.0".
