
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-3C                                                Редакция 06.04.92

     ИМЯ: Spook (BootChecker, AIDSTEST)

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию
(512 байт).  Перехватывает прерывание 13h (xxxx:00E8) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кетах с 9 секторами/трек (в т.ч. DS/DD 360 Кб) в секторе 0/1/3 (конец корневого
каталога DS/DD),  с 10 секторами/трек (стандарт 800 для DS/QD) в секторе 0/1/5,
на других дискетах в секторе 0/1/14 (последний сектор корневого каталога для HD
5.25",  предпоследний  - для HD 3.5"),  на жестком диске - в секторе 0/0/8 (как
правило, неиспользуемая область перед первым разделом). Сохраняет в себе исход-
ные BPB и таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - только при чтении бутсектора в дисководе A:.  Как
правило,  DOS читает бутсектор после смены дискеты для  получения  нового  BPB.
Распознает себя по слову [004E]=A156.

     МАСКИРОВКА: Stealth. На жестком диске при любых операциях с сектором 0/0/1
подставляет сектор с исходной MBR,  при операциях с сектором 0/0/8 (сохраненный
MBR) - следующий сектор; регистры не сохраняет. На дискетах не маскируется.
     Копирует в себя на дискете байты 000B - 003D (BPB), на жестком диске байты
01BE - 01FF (таблицу разделов).  На месте OEM ID хранит свои данные. В теле ви-
руса имеются текстовые строки: "Spook 1.0" и "  LIM ".

     ПРОЯВЛЕНИЯ: Вредить начинает после выработки счетчика  заражений  жесткого
диска (вероятно,  256 заражений с момента изготовления). После этого при каждом
пятом заражении жесткого диска заменяет у себя в таблице  разделов  две  первых
строки (описания разделов C: и D:) на свои собственные:

Boot Head C|S  Sys Head C|S  Start    Length

 00   01  0001 01   04  0E11 00000011 000004EA ( =  1258 sectors =   629 Kb )
 00   00  0001 05   05  ED91 00000000 00005D08 ( = 23816 sectors = 11908 Kb )

     В исходный экземпляр таблицы (в сохраненном MBR)  изменения  не  вносятся,
поэтому,  ввиду использования stealth-технологии, все программы, обращающиеся к
таблице разделов легальным образом (через прерывания),  будут иметь дело с  пра-
вильной таблицей и работать корректно. При чтении MBR прямым обращением к BIOS,
а также при загрузке с чистой дискеты (т.е.  обычных мерах предосторожности при
подозрении о вирусе!) используется неправильная таблица и возникают эти фантом-
ные разделы с непредсказуемыми, но разрушительными последствиями.
      Текст на  экран  никогда не выводится и предназначен для любителей читать
дампы.

     ПОБОЧНЫЕ ЭФФЕКТЫ:  При чтении/записи нескольких секторов  жесткого  диска,
начиная  с 0/0/1 или 0/0/8,  из-за маскировки последующие секторы окажутся ука-
занными неверно, что может привести к ошибке при работе с нестандартными диска-
ми, а также служить для обнаружения вируса.
     Последний сектор каталога дискеты используется при наличии на ней большого
количества файлов  (более  96  для DS/DD).  При заражении дискеты попавшие туда
файлы будут потеряны.
     При заражении  дискет  незнакомого  вирусу формата исходный бут может ока-
заться в неожиданном месте.  Например,  на дискетах с 8  секторами  на  дорожке
(старый формат DOS) и на дискетах DS/DD,  размеченных на 400 Кб,  он окажется в
начале области данных.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса,  проверив,  что она не  испорчена.  Для
проверки  можно сравнить разделы C:  и D:  с приведенными выше в этом описании.
Более надежно сравнить их с теми,  которые вирус хранит в себе для своих безоб-
разий; они лежат прямо перед таблицей (019E-01BD) после текста.
     Исходный бут на дискетах DS/DD хранит там же,  где Stoned, поэтому при за-
ражении  такой дискеты,  инфицированной ранее Stoned или аналогами,  правильный
бут теряется и загрузка становится невозможной.

     ИСТОРИЯ: Обнаружен в Москве в феврале 1992 года.
