
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-8B                                                Редакция 20.05.92

     ИМЯ: Azusa (BootChecker, -V, SCAN)
          Azisa (SOS)
          ABS-2 (AIDSTEST)
          COMTEC

     УСТАНОВКА: Скрывает  от DOS  1 Кб памяти  и создает там  резидентную копию
(512 байт).  Перехватывает прерывание 13h (xxxx:000B) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.  На жестком диске перезапи-
сывает себя с новым значением счетчика.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (только на дискете, 1 сектор) содержит исходный бут и хра-
нится в секторе 39/1/8 (на DS/DD этот сектор  последний  при  8  секторах/трек,
предпоследний при 9 секторах/трек). На жестком диске MBR НЕ СОХРАНЯЕТ, выполняя
ее функции самостоятельно, для чего сохраняет в себе исходную таблицу разделов.
Попытка  заражения жесткого диска происходит при установке вируса с дискеты (до
загрузки DOS),  дискеты - при различных операциях чтения/записи (2,3,A,B,E,F) в
любом дисководе,  если в момент обращения мотор дисковода не был включен.  Рас-
познает себя по слову [0089]=90B1h.

     МАСКИРОВКА: Нет.  Копирует в себя байты 0003 - 000A (OEM ID  на  дискете),
0170 - 01FF  (последние 144 байта  c текстовыми строками  на дискете,  таблицей
разделов на жестком диске). Характерные тексты отсутствуют.

     ПРОЯВЛЕНИЯ: После  32  загрузок  с момента заражения жесткого диска делает
невидимыми параллельный и последовательный порты (LPT1 и COM1),  обнуляя их ба-
зовые адреса в области данных BIOS.

     ПОБОЧНЫЕ ЭФФЕКТЫ:  Исходный бут на дискете накладывается на область данных
и никак не защищается. При заражении он затрет данные в последнем секторе, если
они там были,  а в дальнейшем может быть затерт сам.  Впрочем, последний сектор
дискеты (особенно системной) действительно используется редко,  так что надежды
автора оправданы.
     Хуже обстоит дело на дискетах с 80 дорожками - форматов QD и HD (вероятно,
автор работал на XT),  где сохраненный бут окажется в середине дискеты со всеми
вытекающими отсюда последствиями. Для таких дискет вирус опасен.
     Эмулятор MBR  рассчитан на стандартную таблицу из не более чем 4 разделов,
среди которых есть загружаемый.  Если это не так,  то заражение жесткого  диска
приводит к катастрофическим последствиям.
     Не сохраняется правильный BPB,  что может сделать зараженную дискету (осо-
бенно нестандартного формата) нечитаемой в некоторых случаях.

     ИСТОРИЯ: В  Москве вирус появился с выставки "КОМТЕК-91" (апрель 1991 г.).
Однако он, вероятно, значительно старше - формат 8 секторов/трек заботит автора
больше, чем дискеты на 80 дорожек.
     Имеется точный функциональный эквивалент с несколько  отличной  сигнатурой
(вероятно, полученный путем реассемблирования).
     SCAN 8.3V86  (McAfee  1992)  распознает 2 версии.  Сигнатура для опознания
Azusa подобрана в SCAN крайне неудачно,  поэтому он иногда путает этот вирус  с
другими;  пока замечены Alive и Int FF,  причем Alive даже лечится (разумеется,
некорректно).
     MARTINs Virus  List  (M.Kupchs 1991) путает этот вирус с совсем не похожим
на него вирусом Near Dark. Некоторые версии AIDSTEST (Д.Н.Лозинский) также рас-
познают (и правильно лечат) под именем Azusa раннюю версию Near Dark.
