
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: B-21                                                Редакция 10.03.92

     ИМЯ: Print Screen (BootChecker, -V, SCAN, F-PROT, NAV)
          ABS-1 (AIDSTEST)

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию
(512 байт).  Перехватывает прерывание 13h (xxxx:0095) - операции с диском.  Для
собственных обращений к нему создает новое прерывание 6Dh. На жестком диске пе-
резаписывает себя с новым значением счетчика.

     ЗАРАЖЕНИЕ: Записывается на дискете в сектор 0/0/1, замещая бут, на жестком
диске в сектор 0/1/1,  замещая (по его мнению) бут раздела C:. Хвост (1 сектор)
содержит исходный бут и хранится на дискете в секторе  0/1/3  (конец  корневого
каталога для DS/DD), на жестком диске в секторе 1/3/13 (конец корневого катало-
га раздела C: при стандартной разметке). Сохраняет в себе исходный BPB. Попытка
заражения  дисков  (жесткого и гибких во всех дисководах) происходит при каждой
операции чтения, что приводит к резкому увеличению подвижности головок и замед-
лению дисковых операций. Распознает себя по слову [0156]=9082h.

     МАСКИРОВКА: Нет.  Копирует в себя байты 0003 - 0022 (OEM ID и BPB), 0171 -
01FF (последние 144 байта c текстами). Характерных текстов не имеет.

     ПРОЯВЛЕНИЯ: Предполагался вывод экрана на печать через каждые 255 операций
чтения с диска, однако в известной мне версии этого никогда не происходит из-за
ошибки при работе со счетчиком. В литературе упоминается и исправленная версия.
Никаких специальных деструктивных действий не предусмотрено.

     ПОБОЧНЫЕ ЭФФЕКТЫ:  Предполагается,  что на жестком диске бутсектор первого
раздела всегда находится в секторе 0/1/1, а конец корневого каталога - в секто-
ре  1/3/13.  Никаких  проверок  не производится,  хотя это верно лишь при очень
стандартной разметке.  Аналогично,  про всякую дискету считается, что это стан-
дарт  DS/DD.  При невыполнении этих условий исходный бутсектор может наложиться
на FAT, данные или что-нибудь еще (и в дальнейшем затерт).
     Последний сектор  каталога  дискеты  DS/DD используется при наличии на ней
большого количества файлов (более 96). При заражении такой дискеты попавшие ту-
да файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяется,
файлы теряются на дискетах QD, если их больше 64, на дискетах HD 5.25" - больше
16, 3.5" - больше 32. С жестким диском это маловероятно.
     Исходный бут на дискетах хранит там же,  где Stoned, поэтому при заражении
дискеты,  инфицированной ранее Stoned или аналогами,  правильный бут теряется и
загрузка становится невозможной.

     ИСТОРИЯ: По данным из зарубежных источников, обнаружен и изучен в Бомбее в
ноябре 1989 года. Таким образом, это один из первых бутовых вирусов (и, вероят-
но,  первый вирус, изготовленный в Индии). Широкого распространения не получил.
Имеется исправленная версия (в частности, работает печать экрана).
     P.Hoffman считает, что основой для Print Screen служил вирус Italian Ball
(Ping-Pong). Я практически ничего общего не нашел.
