
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-FA                                                Редакция 10.03.92

     ИМЯ: LoveChild b3 (BootChecker, -V)
          LCh (AIDSTEST)

     УСТАНОВКА: Скрывает  от DOS  1 Кб памяти  и создает там  резидентную копию
(446 байт).  Перехватывает прерывание 13h (xxxx:7D38) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.  На жестком диске перезапи-
сывает MBR с новым значением счетчика.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/7 (как правило,  неиспользуемая область перед первым разделом). При
заражении жесткого диска сохраняет в себе исходную таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при каждой операции чтения сектора 0/0/2 (это на-
чало FAT, поэтому читается часто) в любом дисководе. При попытке заразить защи-
щенную от записи дискету  зацикливается.  Распознает  себя  по  первому  байту:
[0000]=37h.

     МАСКИРОВКА: Stealth. При чтении с дискеты одного сектора 0/0/1 подставляет
сектор  с исходным бутом;  регистры сохраняет.  При чтении нескольких секторов,
начиная с 0/0/1,  не маскируется.  На жестком диске читается нормально,  однако
при попытке перезаписать его затирает диск. При заражении дискет обычно отсутс-
твует  концевая  метка  загружаемого  бута [01FE]=AA55h.  В теле вируса имеется
текстовая строка:  "LoveChild b3 in reward for software stealing." ("Внебрачный
ребенок b3 в награду за кражу программ.").

     ПРОЯВЛЕНИЯ: Через 256 загрузок с жесткого диска затирает его.  Точнее, за-
тираются сначала секторы 0 - 5 на 0-й стороне 0-й дорожки, затем по 16 секторов
на сторонах 0 - 2 всех дорожек с четными номерами. Кроме того, жесткий диск за-
тирается таким же образом при записи в сектор 0/0/1  (т.е.  попытке  уничтожить
вирус). В известной мне версии текст на экран никогда не выводится и предназна-
чен для тех, кто сумеет заглянуть внутрь.

     ПОБОЧНЫЕ ЭФФЕКТЫ: Последний сектор каталога дискеты DS/DD используется при
наличии на ней большого количества файлов (более 96).  При заражении такой дис-
кеты попавшие туда файлы будут потеряны. Поскольку при заражении дискеты ее тип
не проверяется,  файлы теряются на дискетах QD,  если их больше 64, на дискетах
HD 5.25" - больше 16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления FAT можно воспользоваться второй копией,  а правильный вариант таблицы
разделов позаимствовать из тела вируса.
     Не сохраняет правильный BPB, что может сделать зараженную дискету (особен-
но нестандартного формата) нечитаемой в некоторых случаях.
     Имеющийся у меня экземпляр почему-то располагает счетчик загрузок не внут-
ри себя, а внутри исходной MBR (байт со смещением 01BD). Обычно это неиспользу-
емое место перед таблицей разделов.  Забавно,  что внутри вируса имеется анало-
гичная ячейка,  которая даже обнуляется при заражении,  но не увеличивается при
загрузке. Кроме того, вирус зачем-то подсчитывает зараженные дискеты, хотя ниг-
де не проверяет этот счетчик.

     ИСТОРИЯ: Существует импортный файловый вирус (RC-448,  Flu-2,  LoveChild),
содержащий аналогичную текстовую строку без b3 и имеющий некоторые сходные чер-
ты.  Так, позаимствовано затирание диска, однако из-за ошибки в b3 затираются 3
стороны,  а не 4,  что позволяет предположить плагиат. Вышеописанная переделка,
по утверждению ее автора (прорезался письмом, мерзавец) отличается от оригинала
большей "вероятностью вредительства". Остается неясным, воспользовался ли автор
существовавшей бутовой версией или сам скрестил Stoned  с  файловым  LoveChild,
наделав при этом ошибок (подходящие родители для такого внебрачного дитяти,  да
и сводник не лучше...).
     Никаких упоминаний  о бутовой версии LoveChild в зарубежных источниках об-
наружить не удалось.
