
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: B-22                                                Редакция 06.04.92

     ИМЯ: Loa Duong (BootChecker, AIDSTEST, SCAN)

     УСТАНОВКА: Скрывает  от DOS  1 Кб памяти  и создает там  резидентную копию
(512 байт).  Перехватывает прерывание 13h (xxxx:7CCF) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается на дискете в сектор 0/0/1, на жестком диске в сек-
тор 0/1/1 (при стандартной разметке - бутсектор раздела C:), замещая бут. Хвост
(1 сектор) содержит исходный бут,  хранится на дискете в последнем секторе кор-
невого каталога (положение которого вычисляется с помощью BPB), на жестком дис-
ке - в секторе 0/0/8 (как правило,  неиспользуемая область перед первым  разде-
лом). Сохраняет в себе исходный BPB.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS), дискеты - при каждом обращении к ней в любом дисководе, если
в момент обращения моторы дисководов A: и B: были выключены. Распознает себя по
байту [0023]=99h.

     МАСКИРОВКА: Нет.  Копирует в себя байты 0002 - 001E (OEM ID и BPB). Харак-
терных текстов не имеет.

     ПРОЯВЛЕНИЯ: При установке не проявляется. При обращении к дискете при вык-
люченных моторах обоих флоппи-дисководов иногда  (с вероятностью 1/128, исполь-
зуется системный таймер) вместо заражения играет мелодию; опознать ее с ходу не
удалось. Никаких специальных деструктивных действий не предусмотрено.

     ПОБОЧНЫЕ ЭФФЕКТЫ:  Предполагается,  что на жестком диске бутсектор первого
раздела всегда находится в секторе 0/1/1. Никаких проверок не производится, хо-
тя это верно лишь при стандартной разметке.  При невыполнении этих условий  ис-
ходный бутсектор может наложиться на FAT,  данные или что-нибудь еще (и в даль-
нейшем затерт).
     Последний сектор каталога дискеты используется при наличии на ней большого
количества  файлов  (более  96 для DS/DD).  При заражении дискеты попавшие туда
файлы будут потеряны.
     Исходный бут на дискетах DS/DD хранит там же,  где Stoned, поэтому при за-
ражении такой дискеты,  инфицированной ранее Stoned или  аналогами,  правильный
бут теряется и загрузка становится невозможной.
     При обработке операции 16h (была ли заменена  дискета)  обычно  возвращает
отрицательный  результат,  так  как перед этим пытается ее заразить.  Это может
приводить к сбоям и ошибкам катастрофического характера (например, порче FAT).

     ИСТОРИЯ: Вирус имеет зарубежное происхождение; в Москве обнаружен в февра-
ле 1992 года. Происхождение названия не выяснено.
     Loa Duong (Ляо-Дун) - залив и образующий его полуостров на  северо-востоке
Китая. На его берегу расположен г. Люй-Шунь (Порт-Артур).
