
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-3С                                                Редакция 10.03.92

     ИМЯ: Gelendzik (BootChecker, AIDSTEST)
          Stone-b (-V)

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию
(512 байт).  Перехватывает прерывание 13h (xxxx:00DA) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/7 (как правило,  неиспользуемая область перед первым разделом). При
заражении сохраняет в себе исходные BPB или таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS), дискеты - при каждой операции чтения ее (только стороны 0) в
дисководах A:, B:. Распознает себя по слову [00D6]=7C00h.

     МАСКИРОВКА: Stealth. При чтении сектора 0/0/1 на жестком диске подставляет
сектор с исходной MBR;  регистры сохраняет (даже ax),  причем не забывает сбро-
сить флаг переноса.
     Копирует в себя байты 0003 - 003D  (OEM ID и BPB на дискете),  01BE - 01FF
(таблицу разделов или тексты). Характерные строки отсутствуют.

     ПРОЯВЛЕНИЯ: Никаких проявлений не предусмотрено, но место оставлено...

     ПОБОЧНЫЕ ЭФФЕКТЫ:  При чтении нескольких секторов,  начиная с 0/0/1, из-за
маскировки прочитан будет лишь один сектор, что может привести к ошибке при ра-
боте с FAT и нестандартными MBR, а также служить для обнаружения вируса.
     Последний сектор  каталога  дискеты  DS/DD используется при наличии на ней
большого количества файлов (более 96). При заражении такой дискеты попавшие ту-
да файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяется,
файлы теряются на дискетах QD, если их больше 64, на дискетах HD 5.25" - больше
16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Исходные бут и MBR хранит там же,  где Stoned и его потомки. При заражении
диска,  инфицированного ранее Stoned или кем-нибудь из аналогов, правильный бут
или MBR теряется и загрузка становится невозможной.

     ИСТОРИЯ: Обнаружен в мае - июне 1991 года в г. Геленджик (Россия), немного
позже - в Московском институте стали и сплавов.
     Внутри очень похож на добросовестно выполненное домашнее задание  по  теме
"Как я бы написал Stoned сегодня". Сохранились некоторые отладочные фрагменты -
возможно, вирус убежал в процессе отладки.
