
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-FF                                                Редакция 10.03.92

     ИМЯ: Bloody (BootChecker, AIDSTEST, -V, SCAN, F-PROT)

     УСТАНОВКА: Скрывает от DOS 2 Кб памяти и  создает  там  резидентную  копию
(512 байт).  Перехватывает прерывание 13h (xxxx:001F) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.  На жестком диске перезапи-
сывает себя с новым значением счетчика.

     ЗАРАЖЕНИЕ: Записывается  в  сектор 0/0/1,  замещая бут на дискете,  MBR на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете  в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске в
секторе 0/0/6 (как правило,  неиспользуемая область перед первым разделом). При
заражении жесткого диска сохраняет в себе исходную таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS), дискеты - при каждой операции чтения/записи в любом дисково-
де. Распознает себя по первым 6-и байтам: 2E FF 2E 17 7C E9 (far jump на следу-
ющую команду).

     МАСКИРОВКА: Нет.  Xарактерные  текстовые строки отсутствуют (сообщение за-
шифровано и выглядит так: "777777U{xxsn67]by97#;7&./.").

     ПРОЯВЛЕНИЯ: При установке с жесткого диска после 128 загрузок через каждые
6 на экран выводится сообщение "      Bloody!  Jun.  4, 1989" , после чего заг-
рузка нормально продолжается (в версии A - сразу,  в версии B -  после  нажатия
клавиши). Никаких специальных деструктивных действий не предусмотрено.

      ПОБОЧНЫЕ ЭФФЕКТЫ:  Последний  сектор  каталога дискеты DS/DD используется
при наличии на ней большого количества файлов (более 96).  При заражении  такой
дискеты попавшие туда файлы будут потеряны.  Поскольку при заражении дискеты ее
тип не проверяется, файлы теряются на дискетах QD, если их больше 64, на диске-
тах HD 5.25" - больше 16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Не сохраняет правильный BPB, что может сделать зараженную дискету (особен-
но нестандартного формата) нечитаемой в некоторых случаях.
     Исходный бут на дискетах хранит там же,  где Stoned, поэтому при заражении
дискеты,  инфицированной ранее Stoned или аналогами,  правильный бут теряется и
загрузка становится невозможной.

     ИСТОРИЯ: Обе версии были обнаружены,  по-видимому, в Москве весной 1991 г.
(в апреле - мае). Версии не различаются ничем, кроме ожидания клавиши. Внутри -
переделка Stoned.
