
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-FF                                                Редакция 10.03.92

     ИМЯ: Clock (BootChecker, AIDSTEST, -V)

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию.
Перехватывает прерывание 13h (xxxx:0003) - операции с диском, а с 1991 года еще
и прерывание 08h (xxxx:0200) - таймер.  При установке с дискеты пытается  зара-
зить жесткий диск.

     ЗАРАЖЕНИЕ: Голова записывается в сектор 0/0/1, замещая бут на дискете, MBR
на жестком диске.  Хвост (2 сектора) содержит в 1-м секторе продолжение вируса,
во  2-м  -  исходный бут или MBR;  хранится на дискете в секторах 0/1/2 - 0/1/3
(конец корневого каталога для DS/DD), на жестком диске в секторах 0/0/6 - 0/0/7
(как  правило,  неиспользуемая  область  перед первым разделом).  При заражении
жесткого диска сохраняет в себе исходную таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при каждой операции  чтения/записи  в  дисководах
A:,B: (если в момент обращения мотор дисковода не был включен). Распознает себя
по первым 4-м байтам:  E9 B9 00 1E.  Распознает Stoned по его метке и корректно
замещает его.

     МАСКИРОВКА: Нет. Xарактерные текстовые строки отсутствуют.

     ПРОЯВЛЕНИЯ: Предполагалось,  что  с начала 1991 года в правый верхний угол
экрана должно выводиться время в формате часы:минуты:секунды. Однако из-за гру-
бой ошибки эти часы попадают в видеопамять лишь через каждые 32 заражения,  а в
остальных случаях могут оказаться в произвольном месте памяти и там тикать (что
может  вызвать  серьезные  неприятности при использовании этой области).  Из-за
другой ошибки при наличии монохромного монитора (точнее,  в видеорежиме 07) ма-
шина просто виснет.  Кроме того, в 12:00 и в 24:00 запускается ROM-Basic. Ника-
ких специальных деструктивных действий не предусмотрено.

     ПОБОЧНЫЕ ЭФФЕКТЫ: Часы, тикающие в памяти, описаны выше.
     Последние два  сектора  каталога дискеты DS/DD используются при наличии на
ней большого количества файлов (более 80). При заражении такой дискеты попавшие
туда файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяет-
ся,  файлы теряются на дискетах QD,  если их больше 52,  на дискетах HD 3.5"  -
больше 16, 5.25" - всегда.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Не сохраняет правильный BPB, что может сделать зараженную дискету (особен-
но нестандартного формата) нечитаемой в некоторых случаях.
     Исходные бут и MBR хранит там же, где Stoned. Сам Stoned распознается, од-
нако  при заражении диска,  инфицированного ранее кем-нибудь из аналогов,  пра-
вильный бут или MBR теряется и загрузка становится невозможной.

     ИСТОРИЯ: Обнаружен, по-видимому, в Москве в ноябре - декабре 1991 г.
     Хвостатый Stoned - что может быть противнее... Непонятно, зачем автору по-
надобилось отращивать хвост. Вирус внутри полупустой.
