
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-05-m                                              Редакция 20.05.92

     ИМЯ: Mikola (BootChecker, AIDSTEST)

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию
(440 байт).  Перехватывает прерывание 13h (xxxx:0015) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/7 (как правило,  неиспользуемая область перед первым разделом). При
заражении жесткого диска сохраняет в себе исходную таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при каждой операции чтения/записи в дисководе  A:
(если  в  момент обращения мотор дисковода не был включен).  Распознает себя по
первым 4-м байтам: EA 05 00 C0 (far jump на следующую команду). Это метка виру-
са Stoned, который благодаря этому распознается и не заражается.

     МАСКИРОВКА: Нет.  При заражении дискет обычно отсутствует  концевая  метка
загружаемого бута  [01FE]=AA55h.  В конце имеется характерная текстовая строка:
"      ...Mikola v 1.13".

     ПРОЯВЛЕНИЯ: Предполагалось,  что каждый раз при установке с жесткого диска
на нем должна выполняться случайно выбранная  дисковая  операция  (функции  0-7
прерывания  13h)  над  1-м  сектором 0-й стороны случайно выбранной дорожки (из
первых 48) .  В качестве датчика случайных чисел используется, как обычно, сис-
темный  таймер.  Очень  опасная затея!  Однако начинающий хэкер Мiкола допустил
ошибку,  программируя в кодах,  и вместо этого происходят непредсказуемые (воз-
можно, разрушительные) вещи. Затем загрузка нормально продолжается.
     В известной мне версии текст на экран не выводится.

     ПОБОЧНЫЕ ЭФФЕКТЫ: Последний сектор каталога дискеты DS/DD используется при
наличии на ней большого количества файлов (более 96).  При заражении такой дис-
кеты попавшие туда файлы будут потеряны. Поскольку при заражении дискеты ее тип
не проверяется,  файлы теряются на дискетах QD,  если их больше 64, на дискетах
HD 5.25" - больше 16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Не сохраняет правильный BPB, что может сделать зараженную дискету (особен-
но нестандартного формата) нечитаемой в некоторых случаях.
     Исходные бут и MBR хранит там же, где Stoned. Сам Stoned распознается, од-
нако  при заражении диска,  инфицированного ранее кем-нибудь из аналогов,  пра-
вильный бут или MBR теряется и загрузка становится невозможной.

     ИСТОРИЯ: Обнаружен  в  Москве в начале 1992 года.  Судя по подписи внутри,
происходит с Украины. До Москвы пока добрался только один вариант, однако номер
версии (v 1.13) выглядит устрашающе...
     Внутри почти полностью совпадает со Stoned. Исправления, видимо, вносились
в  двоичный  код  без  реассемблирования  по  образцу Ростовского варианта (см.
Rostov).  Кроме замены вывода сообщения на шалости с диском,  автор  переставил
местами несколько push'ей (и соответствующих им pop'ов).  Полагаю, что развитие
идей Sex Revolution (см.) связано с попыткой испортить сигнатуру.
     SCAN (J.McAfee)  распознает этот вирус как No-Int (Stoned),  что неверно -
все Stoned'овые intы в нем на месте.  Что такое настоящий No-Int,  пока неясно,
хотя известны разновидности Stoned, действительно не использующие команду int.
