
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-05-ff                                             Редакция 20.05.92

     ИМЯ: Int FF (BootChecker)

     УСТАНОВКА: Скрывает от DOS 1 Кб памяти и создает  там  резидентную  копию.
Перехватывает прерывания 13h (xxxx:00EA) - операции с диском, 16h (xxxx:01A7) -
работа с клавиатурой. Кроме того, создает новое прерывание FFh (xxxx:01A2). При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается  в  сектор 0/0/1,  замещая бут на дискете,  MBR на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете  в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске в
секторе 0/0/7 (как правило,  неиспользуемая область перед первым разделом). Ис-
ходные BPB и Partition Table на положеном месте НЕ сохраняет.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при каждой операции чтения/записи в дисководе A:,
если в момент обращения мотор дисковода не был включен. Распознает себя по сло-
ву [0000]=EA05 (часть маркера Stoned).  Впрочем, маркер Stoned имеется целиком,
благодаря чему эти два вируса распознают и не заражают друг друга.

     МАСКИРОВКА: Stealth.  При чтении/записи сектора  0/0/1  на  жестком  диске
подставляет сектор с исходной MBR; регистры не сохраняет. На дискетах не маски-
руется. Характерных текстов не имеет.

     ПРОЯВЛЕНИЯ: При вводе с клавиатуры иногда заменяет символ ASCII на следую-
щий. Вероятность замены у первого поколения 1/256,  у дальнейших  увеличивается
(встроен счетчик заражений).  Для отключения этого эффекта нужно набрать пароль
"AIDS".
     Кроме того,  предусмотрен еще один неприятный эффект: при операциях записи
на диск вирус ищет в буфере код команды "int 21h" (21CD) и заменяет его на "int
FFh" (FFCD). Испорченные таким образом программы нормально работают на заражен-
ной машине (поскольку вирус заботливо создает прерывание FFh, вызывающее преры-
вание 21h),  и виснут после лечения или переноса на чистую машину. Правда, есть
надежда, что до этого дело не дойдет,  поскольку эта ветка начинает работать  у
очень далеких потомков (около 15 000).  То ли автор ошибся, то ли совесть взыг-
рала ...

     ПОБОЧНЫЕ ЭФФЕКТЫ:  При чтении/записи на жестком диске нескольких секторов,
начиная с 0/0/1,  из-за маскировки последующие секторы окажутся указанными  не-
верно, что может привести к ошибке (особенно при работе с нестандартной размет-
кой), а также служить для обнаружения вируса.
     Таблица разделов в положеном месте не сохраняется,  поэтому при отсутствии
или нейтрализации вируса в памяти (в частности,  при  загрузке  с  незараженной
дискеты)  жесткий диск читаться не будет.  На дискете не сохраняется правильный
BPB, что может сделать зараженную дискету (особенно нестандартного формата) не-
читаемой в некоторых случаях.
     Последний сектор каталога дискеты DS/DD используется при  наличии  на  ней
большого количества файлов (более 96). При заражении такой дискеты попавшие ту-
да файлы будут потеряны. Поскольку при заражении дискеты ее тип не проверяется,
файлы теряются на дискетах QD, если их больше 64, на дискетах HD 5.25" - больше
16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  Последнее  весьма
печально, поскольку таблица разделов не дублируется.
     Исходные бут и MBR хранит там же, где Stoned и его потомки. Stoned распоз-
нается,  однако при заражении диска, инфицированного ранее кем-нибудь из анало-
гов, правильный бут или MBR теряется и загрузка становится невозможной.

     ИСТОРИЯ: Обнаружен в Москве в мае 1992 года.  Впрочем,  по нежеланию рабо-
тать с  русскими  буквами можно предположить зарубежное происхождение.  Написан
под сильным влиянием Stoned.
     SCAN (J.McAfee) ошибочно распознает этот вирус как Azusa, однако лечить не
пытается.
