
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: D-31                                                Редакция 10.03.92

     ИМЯ: Alameda, Yale (BootChecker,-V,SCAN,F-PROT,TurboAntiVirus,NAV,...)
          Merritt, Peking, Seoul, ...
                                                                          
     УСТАНОВКА: Скрывает  от DOS  1 Кб  памяти  и создает там резидентную копию
(512 байт). Перехватывает прерывание 09h (xxxx:7CAD) - клавиатура.

     ЗАРАЖЕНИЕ: Записывается в бутсектор дискеты,  жесткие диски  не  заражает.
Хвост  (1  сектор) содержит исходный бут,  хранится на дискете в секторе 39/0/8
(конец области данных для DS/DD) и никак не защищен.
     Попытка заражения  дискеты (в дисководе A:) происходит при мягкой перезаг-
рузке Alt-Ctrl-Del. Распознает себя по первым 246 байтам.

     МАСКИРОВКА: Нет. Характерных текстов не имеет. У известной в Москве версии
отсутствует концевая метка загружаемого бута [01FE]=AA55h.
     Отслеживает нажатие Alt-Ctrl-Del и имитирует мягкую перезагрузку,  остава-
ясь в памяти. При этом вирус гасит экран, восстанавливает сохраненную при уста-
новке таблицу прерываний BIOS (но не область данных BIOS!),  пытается  заразить
дискету в дисководе A:,  читает и запускает исходный бут, а при отсутствии дис-
кеты или ошибке чтения запускает ROM-BASIC.  Вовсе не факт, что после этого все
будет работать правильно.

     ПРОЯВЛЕНИЯ: В  известной в Москве версии (отличающейся от оригинала) ника-
ких проявлений нет. Имеется фрагмент, который готовится к форматированию диске-
ты, однако он выключен и никогда не работает.

     ПОБОЧНЫЕ ЭФФЕКТЫ: Работает только на процессорах 8086/8088 (pop cs).
     Не сохраняется правильный BPB,  что может сделать зараженную дискету (осо-
бенно нестандартного формата) нечитаемой в некоторых случаях.
     Исходный бут на дискете накладывается на область данных и никак не защища-
ется.  При заражении он затрет данные в последнем секторе, если они там были, а
в дальнейшем может быть затерт сам. Впрочем, последний сектор дискеты (особенно
системной) действительно используется редко, так что надежды автора оправданы.
     Хуже обстоит дело на дискетах с 80 дорожками - форматов QD и  HD  (в  1987
году их еще было мало), где сохраненный бут окажется в середине дискеты со все-
ми вытекающими отсюда последствиями. Для таких дискет вирус опасен.

     ИСТОРИЯ: Обнаружен в Merritt-College (Аламеда, Калифорния) в 1987 году. По
данным Н.Н.Безрукова,  сотрудники считают, что вирус написан одним из студентов
Peralta Community College,  расположенного в том же округе. Исходный вариант не
наносил повреждений, а только размножался.
     Alameda - один из первых и самых известных бутовых вирусов.  Вскоре  после
своего  появления он широко распространился и вызвал многочисленные подражания.
Более поздние версии работоспособны на процессорах 80286 и не столь  безобидны.
Вот некоторые переделки, описанные P.Hoffman: Alameda-C уничтожает оригинальный
бутсектор по достижении внутренним  счетчиком  определенного  значения;  Golden
Gate  форматирует диск C:  через 500 заражений (версия B - через 30 заражений);
Mazatlan - вариант Golden Gate,  умеющий заражать жесткие диски; SF форматирует
дискету после 100 заражений. SCAN 8.3V86 (J.McAfee 1992) распознает 3 версии.
     В настоящее время вирус со всеми его разновидностями практически полностью
уничтожен.  В СССР не распространился (похоже, упомянутый Н.Н.Безруковым случай
заражения так и остался единственным).  Этот экземпляр (описанный здесь) остав-
ляет впечатление не до конца переработанного варианта, в который кто-то пытался
встроить форматирование дискеты,  но то ли не закончил,  то ли потом  отломали.
Остальное,  кажется, оставлено без изменений. Возможно, это обезвреженный штамм
SF-вируса.
