
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-AC                                                Редакция 10.03.92

     ИМЯ: March 6 (BootChecker, AIDSTEST, -V, SOS)
          Michelangelo (SCAN, F-PROT)

     УСТАНОВКА: Скрывает  от  DOS  2  Кб памяти и создает там резидентную копию
(446 байт).  Перехватывает прерывание 13h (xxxx:000E) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете DS/DD 360 Кб в секторе 0/1/3 (конец корневого каталога),  на других диске-
тах  в секторе 0/1/14 (посдедний сектор корневого каталога для HD 5.25",  пред-
последний - для HD 3.5"),  на жестком диске в секторе 0/0/7 (как правило, неис-
пользуемая область перед первым разделом).  При заражении жесткого диска сохра-
няет в себе исходную таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS), дискеты - при каждом обращении к дисководу A: (если в момент
обращения мотор дисковода не был включен).  Распознает себя по первым 4-м  бай-
там: E9 AC 00 F5.

     МАСКИРОВКА: Нет.  Копирует  в  себя байты 01BE - 01FF (таблица разделов на
жестком диске,  тексты или нули на дискете).  Характерные текстовые строки  от-
сутствуют.

     ПРОЯВЛЕНИЯ: При  загрузке  проверяет  дату,  извлекая  ее из CMOS (если он
есть). 6 марта затирает диск, с которого загружен. Сообщений не выдает.
     Существует переделка под 1 октября.

     ПОБОЧНЫЕ ЭФФЕКТЫ: При заражении дискеты анализирует дескриптор в BPB и де-
лит дискеты на два типа:  DS/DD 360 Кб (дескриптор FD) и все остальные, состоя-
щие,  по мнению автора,  исключительно из дискет HD.  На этих дискетах исходный
бут попадает в последний или предпоследний сектор корневого каталога.  На любых
других дискетах (включая QD) исходный бут попадет в начало области данных, где,
скорее всего, испортит какой-нибудь файл, а потом будет затерт. Замечу, что не-
которые  нестандартные  драйверы  (например,  800 A.Pasquale) всегда ставят при
форматировании дескриптор F0 (нестандартная дискета),  так что любые отформати-
рованные под ними дискеты, даже на стандартные 360 Кб, будут восприниматься ви-
русом как HD, со всеми вытекающими последствиями.
     При заражении жесткого диска никаких проверок не производится,  поэтому на
дисках,  у которых первый раздел начинается сразу за MBR,  сохраненный MBR ока-
жется в FAT.
     Последний сектор каталога дискеты используется при наличии на ней большого
количества файлов (более 96 у DS/DD). При заражении такой дискеты попавшие туда
файлы будут потеряны. На дискетах HD это маловероятно.
     Исходные бут и MBR хранит там же, где Stoned. При заражении диска, инфици-
рованного ранее Stoned или кем-нибудь из аналогов, правильный бут или MBR теря-
ется и загрузка становится невозможной.
     При обработке  операции  16h  (была  ли заменена дискета) часто возвращает
неправильный результат, так как перед этим пытается ее заразить. Это может при-
водить к сбоям и ошибкам катастрофического характера (например, порче FAT).

     ИСТОРИЯ: Обнаружен в мае 1991 г.  в одной из московских школ. В конце года
(также в Москве) был обнаружен аналог,  отличающийся от оригинала двумя деталя-
ми: (1) 6 марта было перенесено на 1 октября; (2) на жестком диске для хранения
исходной MBR вместо сектора 0/0/7 используется сектор 0/0/15.  Обычно его назы-
вают October 1 (-V - Stone-d).
     События, завершившиеся 6 марта (битва в Хелмском ущелье и разрушение Изен-
гарда) подробно описаны во 2-й книге трилогии Дж.Р.Толкиена "Властелин колец".
     В зарубежных источниках этот  вирус  описан  под  названием  Michelangelo.
Действительно, Микеланджело  Буонаротти родился 6 марта 1475 года,  но зачем же
по этому поводу диски стирать?  Мне кажется, что события, описанные у Толкиена,
подходят для этого больше...
     Внутри - бездарно переделанный Stoned.
