
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-FA                                                Редакция 13.04.92

     ИМЯ: November 7 (BootChecker, AIDSTEST)

     УСТАНОВКА: Скрывает от DOS 1 Кб памяти и  создает  там  резидентную  копию
(512 байт).  Перехватывает прерывание 13h (xxxx:00F0) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/11 (как правило, неиспользуемая область перед первым разделом). При
заражении жесткого диска сохраняет в себе исходную Partition Table.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при каждой операции  чтения/записи  в  дисководах
A:,B:. Распознает себя по слову [002E]=4A4D ("JM").

     МАСКИРОВКА: Stealth. На жестком диске при любых операциях с сектором 0/0/1
подставляет сектор с исходной MBR;  при операции с несколькими секторами, начи-
ная с 0/0/1, после ее выполнения повторяет ее отдельно для исходной MBR (поэто-
му перезапись нескольких секторов уничтожает вирус).
     Характерных текстов (кроме подписи "JM") не имеет.

     ПРОЯВЛЕНИЯ: При каждой загрузке проверяет дату,  извлекая ее из CMOS (если
он есть).  В октябре выдает на экран 10 физиономий (символ с кодом 01), очевид-
но, изображая народные массы, а 7 ноября в честь праздника затирает секторы 1-7
на нулевой стороне нулевой дорожки жесткого диска (в т.ч. себя с копией таблицы
разделов),  в результате чего диск перестает грузиться и читаться.  Для восста-
новления диска нужно скопировать на свое место исходный MBR из  сектора  0/0/11
(вирус его не затирает), и если первый раздел начинается раньше 0/0/8, то синх-
ронизировать его FATы по второй копии.
     
     ПОБОЧНЫЕ ЭФФЕКТЫ:  При записи нескольких секторов,  начиная с 0/0/1, из-за
неудачной маскировки вирус будет перезаписан,  однако резидент будет продолжать
работать.  Если в это время модифицировать таблицу разделов, то изменения будут
внесены  в  сохраненную копию MBR (0/0/11),  что приведет к разрушительным пос-
ледствиям после перезагрузки.
     Последний сектор  каталога  дискеты  DS/DD используется при наличии на ней
большого количества файлов (более 96). При заражении такой дискеты попавшие ту-
да файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяется,
файлы теряются на дискетах QD, если их больше 64, на дискетах HD 5.25" - больше
16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Не сохраняется правильный BPB,  что может сделать зараженную дискету (осо-
бенно нестандартного формата) нечитаемой в некоторых случаях.
     Исходный бут на дискетах хранит там же,  где Stoned, поэтому при заражении
дискеты,  инфицированной ранее Stoned или аналогами,  правильный бут теряется и
загрузка становится невозможной.

     ИСТОРИЯ: Обнаружен в марте 1992  года.  Судя  по  проявлениям,  произведен
местными большевиками.
