
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-05-r                                              Редакция 06.04.92

     ИМЯ: Rostov (BootChecker, AIDSTEST, -V)

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию
(440 байт).  Перехватывает прерывание 13h (xxxx:0015) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/7 (как правило,  неиспользуемая область перед первым разделом). При
заражении жесткого диска сохраняет в себе исходную таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при каждой операции чтения/записи в дисководе  A:
(если в момент обращения мотор дисковода не был включен). Из-за ошибки в вирусе
при чтении дискеты в дисководе B:  также делается попытка заразить дисковод A:.
Распознает себя по первым 4-м байтам: 9A 05 00 C0 (far call на следующую коман-
ду).

     МАСКИРОВКА: Нет.  При заражении дискет обычно отсутствует  концевая  метка
загружаемого бута  [01FE]=AA55h.  В конце имеются характерные текстовые строки:
"Non-system disk       " и "Replace and strike " , не очень удачно  имитирующие
обрывки сообщений из настоящего бута.

     ПРОЯВЛЕНИЯ: При установке с дискеты с вероятностью 1/32 (используется сис-
темный таймер) затираются секторы 1-8 на  нулевой  стороне  какого-то  цилиндра
жесткого диска.  Обычно это 0-й цилиндр, но возможно изменение его номера. (Но-
мер цилиндра увеличивается после затирания; при этом вирус не перезаписывается,
однако  может  заражать  диски в таком виде.  Диски,  зараженные в этом сеансе,
включая жесткий диск, будут иметь новый номер. Таким образом, могут распростра-
няться штаммы, различающиеся номером затираемого цилиндра.) После этого загруз-
ка (включая попытку заразить жесткий диск) нормально продолжается.

     ПОБОЧНЫЕ ЭФФЕКТЫ: Последний сектор каталога дискеты DS/DD используется при
наличии на ней большого количества файлов (более 96).  При заражении такой дис-
кеты попавшие туда файлы будут потеряны. Поскольку при заражении дискеты ее тип
не проверяется,  файлы теряются на дискетах QD,  если их больше 64, на дискетах
HD 5.25" - больше 16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Не сохраняет  правильный  BPB,  что  может  сделать   зараженную   дискету
(особенно нестандартного формата) нечитаемой в некоторых случаях.
     Исходные бут и MBR хранит там же, где Stoned. При заражении диска, инфици-
рованного ранее Stoned или аналогами, правильный бут или MBR теряется и загруз-
ка становится невозможной.

     ИСТОРИЯ: Обнаружен летом 1990 г.  в Ростове.  Вероятно, это первый бутовый
вирус советского производства.
     Внутри почти полностью совпадает со Stoned.  Исправления, очевидно, вноси-
лись в двоичный код без реассемблирования.  Развитие этих идей  с примесью  Sex
Revolution - в вирусе Mikola (см.).
