
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-34                                                Редакция 10.03.92

     ИМЯ: ABS-3 (BootChecker, AIDSTEST, -V)

     УСТАНОВКА: Скрывает от DOS 1 Кб памяти и  создает  там  резидентную  копию
(512  байт).  Перехватывает прерывание 13h (xxxx:00B2) - операции с диском.  На
жестком диске перезаписывает себя с новым значением счетчика.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/3 (как правило, неиспользуемая область перед первым разделом). Сох-
раняет в себе исходные BPB и таблицу разделов.
     Попытка заражения дисков (жесткого и гибких во всех дисководах) происходит
при каждом (!) обращении к дисководу, что приводит к резкому увеличению подвиж-
ности головок и замедлению дисковых операций.  После 60 загрузок заражение дис-
кет заменяется их порчей.  Прочие деструктивные действия заражению  не  мешают.
Распознает  себя  по  слову  [0039]=D88Eh.  На  дискетах  проверяет  также байт
[0036]=B8h,  распознавая по нему стандартный бут старого формата DOS (8  секто-
ров/трек), и не сохраняет его.

     МАСКИРОВКА: Stealth.  При  чтении/записи  сектора  0/0/1  (на любом диске)
подставляет сектор с исходным бутом или MBR; регистры не сохраняет.
     Копирует в  себя  байты  0002 - 0035 (OEM ID и BPB),  01BE - 01FF (таблицу
разделов для MBR, тексты для бута). Характерных текстов не имеет.

     ПРОЯВЛЕНИЯ происходят при обращении к диску.  Весьма прихотливо зависят от
числа загрузок после заражения,  типа операции и  значения  системного  таймера
(младшее слово, т.е. считаются только минуты).
     После 17 загрузок при операции записи (и если число минут >  20)  операция
записи заменяется на операцию верификации (при этом записи не происходит).
     После 40 загрузок при тех же условиях в буфере записи (или  рядом  с  ним)
случайным образом меняется произвольный байт.  Обнаружить такие изменения очень
трудно, что делает этот вирус ОДНИМ ИЗ САМЫХ ОПАСНЫХ.
     Наконец, после  60 загрузок при обращении к дискете через каждые 70 секунд
на ней затираются секторы 0/0/1-0/0/7 (бутсектор и FATы), т.е. разрушается фай-
ловая структура и теряется вся информация. На жестком диске продолжаются шалос-
ти с буфером.

     ПОБОЧНЫЕ ЭФФЕКТЫ: При увеличении счетчика не проверяет, заражен ли жесткий
диск; поэтому при установке с дискеты слегка портит MBR перед тем, как заразить
его,  увеличивая байт 007F.  Обычно это конец программы, выводящий сообщение об
ошибке, так что на загрузку это не влияет.
     При чтении/записи нескольких секторов,  начиная с 0/0/1,  из-за маскировки
последующие  секторы окажутся указанными неверно,  что может привести к ошибкам
(на дискетах - к порче FAT), а также служить для обнаружения вируса.
     Последний сектор  каталога  дискеты  DS/DD используется при наличии на ней
большого количества файлов (более 96). При заражении такой дискеты попавшие ту-
да файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяется,
файлы теряются на дискетах QD, если их больше 64, на дискетах HD 5.25" - больше
16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Исходный бут на дискетах хранит там же,  где Stoned (хотя внутри на них не
похож), поэтому при заражении дискеты, инфицированной ранее Stoned или аналога-
ми, правильный бут теряется и загрузка становится невозможной.
     При обработке операции 16h (была ли заменена  дискета)  обычно  возвращает
отрицательный  результат,  так  как перед этим пытается ее заразить.  Это может
приводить к сбоям и ошибкам катастрофического характера (например, порче FAT).

     ИСТОРИЯ: Обнаружен и изучен в Улан-Удэ (Бурятия) в мае 1991 года.
