
КАТАЛОГ БУТОВЫХ ВИРУСОВ                            (C) Д.А.МАКАРОВ, Москва 1992
_______________________________________________________________________________

     КОД: M-05                                                Редакция 10.03.92

     ИМЯ: Stoned (BootChecker, AIDSTEST, SOS, SCAN, F-PROT, VR и многие другие)
          Stone  (-V Касперского)
          Marijuana, New Zealand; реже Havaii, San Diego, Smithsonian etc...

     УСТАНОВКА: Скрывает  от DOS  2 Кб памяти  и создает там  резидентную копию
(440 байт).  Перехватывает прерывание 13h (xxxx:0015) - операции с диском.  При
установке с дискеты пытается заразить жесткий диск.

     ЗАРАЖЕНИЕ: Записывается в сектор 0/0/1,  замещая бут на  дискете,  MBR  на
жестком диске. Хвост (1 сектор) содержит исходный бут или MBR, хранится на дис-
кете в секторе 0/1/3 (конец корневого каталога для DS/DD),  на жестком диске  в
секторе 0/0/7 (как правило,  неиспользуемая область перед первым разделом). При
заражении жесткого диска сохраняет в себе исходную таблицу разделов.
     Попытка заражения жесткого диска происходит при установке вируса с дискеты
(до загрузки DOS),  дискеты - при каждой операции чтения/записи в дисководе  A:
(если  в  момент обращения мотор дисковода не был включен).  Распознает себя по
первым 4-м байтам:  EA 05 00 C0 (far jump на следующую команду).

     МАСКИРОВКА: Нет.  При заражении дискет обычно отсутствует  концевая  метка
загружаемого  бута [01FE]=AA55h.  В конце имеются характерные текстовые строки:
"Your PC is now Stoned!" и "LEGALISE MARIJUANA!" (с ошибкой), которые, впрочем,
часто заменяются всякими шутниками на что-то столь же содержательное.

     ПРОЯВЛЕНИЯ: При установке с дискеты с вероятностью 1/8 (используется  сис-
темный  таймер)  на экран выводится сообщение "Your PC is now Stoned!" ,  после
чего загрузка (включая попытку заразить жесткий диск)  нормально  продолжается.
Вопреки  многочисленным  утверждениям,  в  известной  мне версии второй текст -
"LEGALISE MARIJUANA!" - на экран никогда не выводится  и  служит  исключительно
для украшения и устрашения.  Никаких специальных деструктивных действий не пре-
дусмотрено.

     ПОБОЧНЫЕ ЭФФЕКТЫ: Последний сектор каталога дискеты DS/DD используется при
наличии на ней большого количества файлов (более 96).  При заражении такой дис-
кеты попавшие туда файлы будут потеряны. Поскольку при заражении дискеты ее тип
не проверяется,  файлы теряются на дискетах QD,  если их больше 64, на дискетах
HD 5.25" - больше 16, 3.5" - больше 32.
     При заражении жестких дисков,  у которых первый раздел начинается сразу за
MBR,  сохраненный MBR окажется в FAT и может там потеряться.  При этом для исп-
равления   FAT  можно  воспользоваться  второй  копией,  а  правильный  вариант
таблицу разделов позаимствовать из тела вируса.  Впрочем, во время написания ви-
руса еще не были особо распространены ни дискеты HD, ни нестандартные диски.
     Не сохраняет правильный BPB, что может сделать зараженную дискету (особен-
но нестандартного формата) нечитаемой в некоторых случаях.
     Основной особенностью этого вируса является его простота,  что  привело  к
появлению многочисленного потомства с небольшими отклонениями от нормы.  Сейчас
все эти "дети лейтенанта Шмидта" составляют едва ли  не  половину  известных  в
стране  бутовых  вирусов.  Самое неприятное,  что исходный бут и MBR они обычно
хранят там же,  поэтому при заражении диска,  инфицированного ранее Stoned  или
кем-нибудь из них,  оригинальный бут или MBR теряется и загрузка становится не-
возможной.  Правильный экземпляр таблицы разделов можно обычно взять из тела ви-
руса.

     ИСТОРИЯ: Первый  вирус этого семейства был обнаружен в феврале 1988 года в
Веллингтоне (Новая Зеландия).  По сведениям из зарубежных  источников  (где  он
часто именуется Stoned A), он умел заражать лишь 5-дюймовые дискеты 360K. Где и
когда появился вариант,  заражающий жесткий диск (Stoned  B),  мне  неизвестно.
Этот  вирус  быстро  получил широкое распространение во всем мире и вызвал мно-
жество подражаний. В СССР обнаружен в 1989 году почти одновременно в нескольких
городах  (в т.ч.  Москве и Киеве) и стал,  по-видимому,  вторым бутовым вирусом
после Ball. В настоящее время встречается все еще часто, хотя вытесняется свои-
ми потомками. Среди бутовых вирусов это семейство (часто называемое Новозеланд-
ским) составляет немалую часть как по тиражу,  так  и  по  наименованиям.  SCAN
7.6V80 (McAfee 1991) распознает 14 разновидностей, 7.8V82 - уже 26.
     Первые зарубежные аналоги - вирус с удаленным сообщением (Stoned C) и  ви-
рус,  умеющий  заражать HD дискеты 5.25" и 3.5" (Stoned D).  Первый известный в
СССР аналог (возможно,  легендарный) появился, видимо, вскоре после оригинала и
содержал строку MARIJUANA++. Никаких сведений об этих аналогах у меня нет.
     Наиболее частые  изменения  (вносимые  прямо  в код) - изменение текстовых
строк. Распространенные в Москве тексты приведены выше. За рубежом, видимо, бо-
лее популярен вариант "Your computer is now stoned" и "LEGALIZE MARIJUANA!".
     В некоторых зарубежных источниках упоминается, что вирус выводит на экран
оба текста. При этом его сообщение выглядит так (P.Hoffman):
     "Your computer is now stoned.  Legalize Marijuana"
или так (документация к TurboAntiVirus, Carmel Softvare):
     "Your PC is Stoned - LEGALIZE MARIJUANA."
Возможно, это относится к исходной флоппи-версии.
     Внутри вирус  выглядит  весьма  безалаберно.  Автор  прежде всего пытается
схватить 13 прерывание,  потом,  обнаружив,  что он еще не знает нового  адреса
(нет  резидентной  копии!),  бросает  его на полдороге и начинает создавать эту
копию.  Отводит  в  памяти  место  и,  вычислив  сегмент,  спохватывается,  что
прерывание еще недоперехвачено. Не создав собственно копии, он забывает о ней и
заканчивает перехват 13 прерывания (адрес которого в этот  момент  указывает  в
пустоту,  так  как  резидентной  копии  все  еще  нет).  Наконец,  создается  и
запускается резидентная копия с обработчиком  этого  прерывания.  Теперь  автор
собирается  заражать жесткий диск - и начинает мучиться,  поскольку собственный
обработчик 13 прерывания ему мешает!  И так написан весь вирус.  Справедливости
ради надо сказать, что дети не лучше ...
     Вот описание наиболее забавного из потомков.  Представьте себе,  что некая
аккуратная  ученица  из уважения к классике попыталась выучить Stoned наизусть.
При этом некоторые трудные места оказались воспроизведены близко к тексту  (без
нарушения логики,  но несколько проще и длиннее). В результате для таблицы раз-
делов места в конце не хватило.  Однако ученица этого еще не проходила и просто
уменьшила количество копируемых байт с 66 до 32...  Получившаяся версия отлича-
ется от оригинала следующими особенностями: (1) В скрытую память копируется 512
байт,  вектор перехваченного прерывания 13h - xxxx:0016; (2) От правильной таб-
лицы разделов в теле вируса остается лишь вторая половина,  что сильно  снижает
читаемость жесткого диска; (3) Из любви к круглым (шестнадцатеричным) числам от
"LEGALISE MARIJUANA" пришлось отрезать восклицательный знак; (4) В конце вируса
обычно присутствует метка загружаемого бута [01FE]=AA55h, а также метка жестко-
го диска [01FD]=80h.  Е.В.Касперский (подаривший мне это чудо) утверждает,  что
вирус  бегает  в живом виде.  -V распознает его как Stone-c,  Bootchecker - как
Pupillary (ученический) Stoned.
     См. также:  Rostov, Sex Revolution, Bloody, Near Dark, March 6, Gelendzik,
Canadian, LoveChild, Dinamo, Clock, etc...
