
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-34                                                Редакция 10.03.92

     ИМЯ: Dinamo (BootChecker, AIDSTEST)

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию
(512 байт).  Перехватывает прерывание 13h (xxxx:010F) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в конце корневого каталога,  который вирус вычисляет, используя BPB; из-за
ошибок  округления хвост может оказаться в последнем или предпоследнем секторе,
смотря по тому,  четное (как у HD) или нечетное (как у DD и QD) количество сек-
торов  занимает  корневой  каталог.  На  жестком диске хвост хранится в секторе
0/0/9 (как правило,  неиспользуемая область перед первым  разделом).  Благодаря
этому не конфликтует со Stoned & Co.  (0/1/3-0/0/7).  Сохраняет в себе исходные
BPB и таблицу разделов.
    Попытка заражения  жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при операциях чтения, записи, верификации в любом
дисководе (если в момент обращения мотор дисковода не был включен).  Распознает
себя на дискете по  слову  [0167]=6С43h="Cl",  на  жестком  диске  -  по  слову
[0096]=614Eh="Na".

     МАСКИРОВКА: Нет.  Характерные тексты отсутствуют.  Сообщение зашифровано и
выглядит так:"∙╘╙▄╨╥ХЎ╘╪╦ФР▐╒▄╨═╘╥╙ЭЬЬЬ║║║".  Никаких текстовых фрагментов  ис-
ходного бута не сохраняет; на месте OEM ID хранит свои данные.
     В середине кода есть неиспользуемый фрагмент (возможно, зашифрованная под-
пись). В 16-ричном формате видно CEBA ... 1991.

     ПРОЯВЛЕНИЯ: При установке с жесткого диска в случае ошибки чтения исходной
MBR на экран выводится сообщение "Dinamo(Kiev)-champion !!!", и после троекрат-
ного бипа машина зависает.  Разумеется,  такое бывает чрезвычайно редко, и уви-
деть текст практически невозможно.  В теле вируса имеется счетчик загрузок, ко-
торый  в  известной  версии не работает и не используется.  Никаких специальных
деструктивных действий не предусмотрено.

     ПОБОЧНЫЕ ЭФФЕКТЫ: Последние секторы корневого каталога дискеты используют-
ся при наличии на ней большого количества файлов.  При заражении дискеты попав-
шие туда файлы будут потеряны.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.

     ИСТОРИЯ: Судя по тексту сообщения, происходит с Украины. Обнаружен в конце
1991 года. Внутри чувствуется сильное влияние Stoned.
