
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-05-n                                              Редакция 10.03.92

     ИМЯ: Near Dark (BootChecker, AIDSTEST, SOS, -V)

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию
(512 байт).  Перехватывает прерывание 13h (xxxx:0015) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/7 (как правило,  неиспользуемая область перед первым разделом). Ис-
ходные BPB и таблицу разделов не сохраняет.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при некоторых тщательно отобраных операциях (02h,
03h, 04h, 06h, 07h, 0Ah, 0Bh, 0Ch, 0Dh, 0Eh, 0Fh, 10h, 11h, 16h - различных ви-
дах чтения,  записи, верификации и др.) в дисководе A:, если в момент обращения
мотор дисковода не был включен.  Распознает себя по первым 4-м байтам: EA 05 00
C0 (far jump на следующую команду).  Это метка вируса Stoned, который благодаря
этому распознается и не заражается.

     МАСКИРОВКА: Stealth.  При  чтении/записи  сектора  0/0/1  на жестком диске
подставляет сектор с исходной MBR (регистры не  сохраняет).  Впрочем,  вынужден
это делать ввиду отсутствия таблицы разделов на положеном месте. В конце имеют-
ся характерные текстовые строки: "Near Dark" и "MARIJUANA++".

     ПРОЯВЛЕНИЯ: При установке с жесткого диска с вероятностью  1/8  (используя
системный таймер) выводит на экран сообщение "Near Dark" ,  после чего затирает
себя и исходный MBR.  В результате диск перестает  читаться,  и  восстановление
таблицы разделов требует соответствующей квалификации и некоторой возни. Второй
текст - "MARIJUANA++" - на экран никогда не выводится и служит лишь для  указа-
ния на происхождение вируса.

     ПОБОЧНЫЕ ЭФФЕКТЫ:  При  чтении/записи  нескольких секторов жесткого диска,
начиная с 0/0/1,  из-за маскировки последующие секторы окажутся указанными  не-
верно, что может привести к ошибке при работе с нестандартными дисками, а также
служить для обнаружения вируса.
     Таблица разделов в положеном месте не сохраняется,  поэтому при отсутствии
или нейтрализации вируса в памяти (в частности,  при  загрузке  с  незараженной
дискеты)  жесткий диск читаться не будет.  На дискете не сохраняется правильный
BPB, что может сделать зараженную дискету (особенно нестандартного формата) не-
читаемой в некоторых случаях.
     Последний сектор  каталога  дискеты  DS/DD используется при наличии на ней
большого количества файлов (более 96). При заражении такой дискеты попавшие ту-
да файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяется,
файлы теряются на дискетах QD, если их больше 64, на дискетах HD 5.25" - больше
16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный  MBR окажется в FAT и может там потеряться.  Последнее весьма
печально, поскольку таблица разделов не дублируется.
     Исходные бут и MBR хранит там же, где Stoned. Сам Stoned распознается, од-
нако  при заражении диска,  инфицированного ранее кем-нибудь из аналогов,  пра-
вильный бут или MBR теряется и загрузка становится невозможной.
     При обработке  операции  16h  (была ли заменена дискета) обычно возвращает
отрицательный результат,  так как перед этим пытается ее  заразить.  Это  может
приводить к сбоям и ошибкам катастрофического характера (например, порче FAT).

     ИСТОРИЯ: Появился в одном из московских ящиков  (НПО "Кибернетика") в сен-
тябре 1990 года. Вероятно, в нем и изготовлен (продукт конверсии).
     Забавно, что  в  этом же ящике существовал поврежденный вариант,  лишенный
способности заражать жесткие диски.  Причину повреждения установить не удалось:
вроде прицельно,  но на ручные исправления не похоже.  Повреждение,  однако, не
мешало вирусу распространяться там долгое время; распространителя (возможно, он
же  автор)  так и не нашли.  В этом случае мы имеем дело с новым типом вируса -
штаммом, размножаемым вручную...
     Весной 1991 года там же была обнаружена более поздняя версия, имеющая сле-
дующие отличия:  (1) устранена ошибка при выполнении функции 16h (замена диске-
ты),  для чего написан отдельный обработчик; (2) при маскировке регистры сохра-
няются;  (3) вирус взрывается с вероятностью 1/16;  (4) из-за недостатка  места
текст "MARIJUANA++" снят.
     Внутри представляет собой попытку доработки Stoned до современного уровня,
весьма бестолковую.
     SCAN (McAfee) распознает обе версии как Swedish  (Шведский)  Stoned,  что,
скорее  всего,  неправда.  AIDSTEST  Д.Н.Лозинского почему-то распознает раннюю
версию под именем Azusa (настоящая Azusa называется у  него  ABS-2).  Вероятно,
отсюда же происходит путаница этих вирусов в MARTINs Virus List (M.Kupchs).
     В документации  к нескольким версиям AIDSTEST было указано,  что вирус сам
лечит диск.  В дальнейшем эта ошибка была исправлена, однако успела распростра-
ниться и появилась,  например,  в документации к SOS Е.Н.Сусликова.  Желательно
все-таки проверять подобную информацию, публикуемую с чужих слов, даже если это
слова Лозинского.
