
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: D-34                                                Редакция 10.03.92

     ИМЯ: Aircop (BootChecker, -V, SCAN, F-PROT, ...)

     УСТАНОВКА: Скрывает от DOS 1 Кб памяти и  создает  там  резидентную  копию
(512 байт).  Перехватывает прерывание 12h (xxxx:00E4) - размер основной памяти;
при первом вызове этого прерывания (оно вызывается часто) восстанавливает его и
перехватывает прерывание 13h (xxxx:0131) - операции с диском.  Кроме того,  пе-
рехватывает прерывание 19h (xxxx:00C8) - начальная загрузка.

     ЗАРАЖЕНИЕ: Записывается в бутсектор дискеты,  жесткие диски  не  заражает.
Хвост  (1  сектор) содержит исходный бут,  хранится на дискете в секторе 39/1/9
(конец области данных для DS/DD) и никак не защищен.  Сохраняет в себе исходный
BPB.
     Попытка заражения дискеты происходит при любой операции (кроме  сброса)  с
корневым  каталогом DS/DD (т.е.  когда cx,dx указывают один из секторов 6-12) в
дисководах A:,B:.  Кроме того, делается попытка заразить дискету в дисководе A:
при  мягкой перезагрузке Alt-Ctrl-Del;  если при этом дискета не обнаружена или
не читается, вирус на некоторых машинах выдает сообщение "Non-system" и ожидает
нажатия  клавиши,  после чего повторяет попытку.  Распознает себя по первым 175
байтам.

     МАСКИРОВКА: Нет. Копирует в себя байты 0002 - 0035 (OEM ID и BPB). Сообще-
ние  зашифровано  и выглядит так: "┌▌.ЕТУўДГЦГТ, Р▓е║ў╕▒▒▓╣д╛╣░  ··Ц╛е┤╕з┌▌". В
конце вируса имеется текстовая строка: "Non-system".

     ПРОЯВЛЕНИЯ: Через каждые 8 заражений с момента установки выдает  на  экран
текст ".RED STATE, Germ offensing --Aircop", после чего выполняет операцию (при
которой произошло заражение) и 16 раз переводит строку,  подбрасывая  текст  на
экране  вверх.  Текст  выводится  белыми мигающими символами повышенной яркости
(кроме точки и запятой) на черном фоне и сопровождается прерывистым  писком  от
автоповтора, создавая некоторую иллюзию телетайпа. Никаких специальных деструк-
тивных действий не предусмотрено.

     ПОБОЧНЫЕ ЭФФЕКТЫ:  Исходный бут на дискете накладывается на область данных
и никак не защищается. При заражении он затрет данные в последнем секторе, если
они там были,  а в дальнейшем может быть затерт сам.  Впрочем, последний сектор
дискеты (особенно системной) действительно используется редко,  так что надежды
автора оправданы.
     Хуже обстоит дело на дискетах с 80 дорожками - форматов QD и HD,  где сох-
раненный бут окажется в середине дискеты со всеми вытекающими  отсюда  последс-
твиями. Для таких дискет вирус опасен.
     При обработке операции 16h (была ли заменена дискета) может возвращать от-
рицательный результат,  если перед этим пытается ее заразить.  Это может приво-
дить к сбоям и ошибкам катастрофического характера (например, порче FAT).

     ИСТОРИЯ: Обнаружен в штате Вашингтон (США) в июле  1990  года.  По  данным
P.Hoffman, попытка  обнаружить  источник распространения вируса привела на Тай-
вань, где этот вирус,  вероятно,  и был разработан.  В СССР, видимо, попал нес-
колько позже через Прибалтику,  но распространения не получил. В Москве в живом
виде не замечен.
     SCAN 8.3V86 (J.McAfee 1992) распознает 3 версии.
