
   8. ИСКОПАЕМЫЕ, МИФИЧЕСКИЕ И ИЗВЕСТНЫЕ ТОЛЬКО ПО ЛИТЕРАТУРЕ БУТОВЫЕ
                                 ВИРУСЫ

   Касаясь чисто  бутовых вирусов, интересно отметить, что если файловые
вирусы имеют, в основном, западное происхождение, то бутовые -- восточное
(Индия, Индонезия,  Новая Зеландия,  Пакистан, Сингапур,  Тайвань, Южная
Корея). Учитывая, что из Индии, Сингапура, Тайваня, Южной Кореи мы полу-
чаем основную  массу персональных  компьютеров, эти вирусы имеют опреде-
ленные шансы на появление в нашей стране.

   Некоторые из упоминаемых в зарубежной литературе бутовых вирусов пока
в СССР  выделены не  были. Другие  -- практически  полностью уничтожены и
представляют, в  основном, исторический  интерес. Третьи  -- скорее всего
существуют только на страницах литературы.

   Изложение материала  данной главы  начнем со сравнительно нового типа
вирусов --  вирусов, способных размножаться как файловые, но при этом за-
ражать бут-сектор  и инсталлироваться в оперативной памяти с зараженного
бут-сектора (файлово-бутовые  вирусы  по  классификации,  приведенной  в
гл.2). На  момент сдачи  рукописи в  печать вирусы этого типа уже начали
попадать в  СССР и  в дальнейшем  следует ожидать,  что эта группа будет
представлена  несколькими   выявленными  в   СССР   разновидностями.   К
сожалению, подробного  описания этих вирусов автор подготовить не успел,
и ниже  приводятся лишь фрагментарные сведения.


                      8.1. Файлово-бутовые вирусы,
                        известные по литературе

   Данный тип  вирусов является  попыткой увеличить выживаемость вирусов
при наличии  средств входного контроля. Действительно, поскольку бутовый
вирус запускается  до MS DOS,  то он  может беспрепятственно стать рези-
дентным, а  затем уже  пытаться обходить средства слежения за операциями
ввода-вывода. В то же время размножение по типу файлового вируса создает
значительно лучшие шансы проникновения на новые компьютеры. Для удаления
бутовой части данного типа вирусов можно использовать команду SYS.


           8.1.1. Вирус C-2351 (Ghostballs -- Мячик призрака)

   Данный вирус  является комбинацией нерезидентного файлового вируса С-
648.VEN (Vienna)  и фрагментов бутового вируса Bx1-1C (Пинг-понг), обес-
печивающих зарактерный для последнего визуальный эффект. При запуске за-
раженной программы  заражает бут-сектор  дискеты или  винчестера бутовой
частью, основанной  на вирусе  Bx1-1C, в которой сохранен визуальный эф-
фект движущегося  светлого пятна,  однако отсутствует способность к раз-
множению. При  этом, если бут-сектор восстановлен каким-нибудь фагом, то
он повторно заражается при первом же запуске зараженной программы.

   Формально  данный  вирус  можно  рассматривать  как  файловый  вирус,
имеющий троянскую  компоненту, записываемую  в бут-сектор  (подобно рас-
смотренному   в гл.5 вирусу RCE-04096.FRD (Frodo)). Однако происхождение
троянской компоненты  таково, что она может быть легко доработана до бу-
тового вируса. Этот факт позволяет рассматривать данный вирус в качестве
первой, хотя  и неполной, попытки реализации вируса рассматриваемого ти-
па.

   Исторические сведения. Вирус был обнаружен в октябре 1989 г. в Ислан-
дии известным  исландским вирусологом Фридрихом Скуласоном (Fridrik Sku-
lason).

   Неформальные названия.  Помимо приведенного в заголовке, используются
названия Ghost Boot и Ghost COM.

   Методы и  средства защиты.  Вирус легко обнаруживается по визуальному
эффекту. Детектируется политетектором Scan (версии, начиная с 66).

                  8.1.2. Вирус МC-1253 (AntiCad, V-1)

   Данный вирус  заражает как  COM-файлы, так  и бут-сектор дискет и MBR
винчестера. При  выполнении зараженной  программы вирус инсталлируется в
младшие адреса  свободной памяти  и виден как дополнительная резидентная
программа, занимающая  2128 байтов (общий размер системной памяти не из-
меняется) и  перехватывающая прерывания  08h, 13h, 21h, 60h. Затем вирус
заражает MBR винчестера или бут-сектор дискеты в зависимости от конфигу-
рации компьютера.

   Являясь резидентным,  вирус заражает каждый выполняемый COM-файл, до-
писываясь в конец файла и вставляя в начало файла команду перехода. Раз-
мер зараженных файлов увеличивается на 1253 байта. При этом вирус не де-
лает попытки скрыть это увеличение. Зараженные файлы содержат строку "V-
1" (562D31), расположенную с четвертого байта, сразу после команды пере-
хода.

   Если при  резидентном вирусе  выполняется доступ  к дискете,  то бут-
сектор заражается  вирусом. В частности, отформатированные на зараженном
компьютере дискеты  уже заражены.  Куда вирус  прячет хвост, в настоящее
время не известно.

   При попытке загрузки с зараженной дискеты вирус инсталлируется по ти-
пу бутового вируса, уменьшая системную память на 7840 байтов.

   Фаза проявления  заключается в  уничтожении содержимого  дискеты  или
винчестера и  наступает, по  данным П.Хоффман,  24 декабря. Уничтоженная
дискета имеет повторяющуюся структуру из девяти секторов.

   Исторические сведения. Вирус обнаружен в августе 1990 г. в Австрии и,
по-видимому, написан там же.

   Неформальные названия. Помимо приведенных выше, отсутствуют.

   Методы и  средства защиты. Характерным проявлением данного вируса яв-
ляются неожиданные попытки доступа к неактивным дисководам гибких дисков
при форматировании.  Например, если форматируется дискета в дисководе А,
то зажигается  лампочка в дисководе B. Детектируется полидетектором Scan
(начиная с версии 66).


              8.1.3. Вирус МCE-1040 (Anthrax -- Карбункул)

   Неформальное название данного вируса связано с тем, что в теле вируса
имеются текстовые строки "(c)Damage, Inc." и "ANTHRAX". Формально данный
вирус относится к файлово-бутовым резидентным вирусам. Заражает как COM-
, так  и EXE-файлы, включая COMMAND.COM. Помимо этого, заражает MBR вин-
честера и бут-сектор дискет.

   При заражении файлов их длина увеличивается на 1040 -- 1232 байта. При
выполнении зараженной программы вирус инсталлируется в оперативной памя-
ти, однако  в отличие от большинства известных вирусов не начинает зара-
жать файлы  немедленно. Только после того, как наступает некоторое собы-
тие, по-видимому  связанное с  количеством введенных с клавиатуры симво-
лов, он  начинает заражать  по одному файлу при каждом выполнении какой-
нибудь программы.  При этом  заражается не сама выполняемая программа, а
другой файл,  выбираемый вирусом для заражения сначала на диске С, начи-
ная с  корневого каталога,  и далее  по всему дереву каталогов, затем на
диске D и т.д.

   Детали заражения дискет и бут-сектора неясны.

   Проявления вируса в настоящий момент неизвестны.

   Исторические сведения. Вирус был выделен в Нидерландах в июле 1990 г.
Он был загружен в несколько BBS с троянской копией антивирусной програм-
мы USCAN.ZIP. Это третий в 1990 г. вирус, распространявшийся с троянской
копией антивирусной  программы. Первыми  двумя были RCE-2100 (также рас-
пространялся с  UScan) и RCE-1600 (распространялся с Aidstest). По-види-
мому, вирус имеет восточноевропейское (болгарское?) происхождение.
   Неформальные названия. Помимо приведенных выше, отсутствуют.

   Методы и  средства защиты. Детектируется полидетектором Scan (версии,
начиная с 66).


                 8.1.4. Вирус MCE-2343 (Flip -- Щелчок)

   Помимо COM-  и EXE-файлов, вирус заражает MBR первого винчестера. При
этом от первого логического диска указанного винчестера "откусывается" 6
секторов. Вирус  заражает командный процессор. Фаза проявления связана с
видео-эффектом, ориентированным  на дисплеи типа EGA: изображения букв и
текста на  экране  переворачиваются.  По  данным  Д.Н.Лозинского,  вирус
выполняет модификацию программных файлов, вставляя в начало определенной
последовательности команд вызов прерывания 9Fh.

   Вирус написан  квалифицированным программистом и к моменту публикации
разобраться в его коде автор не успел.

   Исторические сведения. Вирус был выделен в СССР в начале 1991 г.

   Методы  и   средства  защиты.   Детектируется  Scan   (версии  77   и
последующие). В  качестве фага можно использовать Aidstest (версию 100 и
последующие).

              8.1.5. Вирус BCE-4096 (Invader -- Захватчик)

   Как и  многие другие вирусы, данный вирус основан на распространенном
файловом вирусе  RCE-1813.IER. Подобно  прототипу, вирус  различает  тип
файла по  расширению.  При  заражении  сегментированных  программ  может
записываться в середину, затирая один из сегментов.

   Вирус заражает  как COM-,  так и EXE-файлы, так и бут-сектор дискет и
винчестера. Не заражает COMMAND.COM.

   Вирус имеет  несколько проявлений.  Из прототипа сохранено замедление
работы компьютера.  Иногда каждые      полчаса   играет   вальс  Штрауса
"На прекрасном  голубом   Дунае". В  других  случаях  после  нажатия  на
клавиши  Ctrl+Alt+Del     затирает   доступные  диски  и  CMOS  (энерго-
независимая память  компьютеров типа AT, в которой записываются данные о
конфигурации, включая тип используемого винчестера и объем установленной
оперативной памяти).

   По данным Д.Н.Лозинского, уровень программирования невысок.

   Исторические сведения.  Вирус  был  выделен  в  Хабаровске  в  начале
1991 г. Автору  передан Д.Н.Лозинским.  Приводимые сведения  основаны на
документации к Aidstest.

   Методы и  средства защиты.  Детектируется полидетектором Scan (версии
66 и  последующие). В  качестве фага можно использовать Aidstest (версию
100 и последующие).

                     8.2. Ископаемые бутовые вирусы

   Ряд  бутовых  вирусов  в  настоящее  время  можно  считать  полностью
уничтоженными. Ниже приводятся сведения о некоторых из таких вирусов.


                     8.2.1. Вирус Alameda -- Аламеда

   Вирус Alameda,  подобно вирусу  M-05.STN (Stoned),  имеет вырожденный
хвост, который  размещается на последнем треке дискеты по адресу 39/8/0.
При этом кластер не отмечается как сбойный, оставаясь доступным для рас-
пределения. В  результате перезапись  содержимого этого кластера ведет к
зависанию системы  при перезагрузке.  После загрузки вирус уменьшает до-
ступную память на 1К.

   Отличительной особенностью  данного вируса  является то, что он пере-
хватывает прерывание  от клавиатуры, что позволяет этому вирусу "пережи-
вать" теплую  перезагрузку (с  помощью Ctrl-Alt-Del). Более того, данный
вирус размножается  не путем заражения всех дискет, к которым идет обра-
щение, а только дискет, которые расположены в дисководе в момент нажатия
Ctrl-Alt-Del. Заражаются только пятидюймовые дискеты 360К.

   Оригинальная версия вируса не содержала кода, ориентированного на на-
несение какого-либо  ущерба, однако, как любой вирус, вызывала ряд побо-
чных эффектов.  В частности, на некоторых машинах, зараженных этим виру-
сом, зависают  отдельные программы  или драйверы.  В настоящее время из-
вестны штаммы,  разрушающие бут-сектор  дискет (штамм  Alameda-C). Кроме
того, оригинальная  версия работоспособна только на PC XT, поскольку со-
держит команды,  отсутствующие в  микропроцессорах 80286  и 80386. Более
поздние версии размножаются и на PC AT.

   Исторические сведения. Один из первых бутовых вирусов и первый вирус,
способный "выживать"  при "теплой" перезагрузке. Впервые обнаружен в США
в 1988 г.  в Merritt College, Oakland, California. По мнению сотрудников
университета, вирус  написан студентом  из  колледжа  Peralta  community
college, входящим  в данный  округ. В  СССР  отмечен  лишь  один  случай
заражения.

   Неформальные названия.  Помимо приведенного выше, используются назва-
ния Merritt, Peking, Seoul, Yale.
   Методы и средства защиты. Данный вирус диагностируется полидетектором
Scan.

                       8.2.2. Вирус Ohio -- Огайо

   Заражает только  360К пятидюймовые дискеты. По-видимому, данный вирус
можно рассматривать  как раннюю версию вируса Den Zuk. Дискета, заражен-
ная вирусом Ohio, иммунизирована к заражению вирусом Brain. В теле виру-
са имеются строки:


  "V I R U S
  b y
  The Hackers
  Y C 1 E R P
  D E N Z U K 0
  Bandung 40254
  Indonesia
  (C) 1988, The Hackers Team...."

   Исторические сведения.  Вирус обнаружен в июне 1988 г. в Индонезии и,
по-видимому, разработан там же.

   Методы и средства защиты. Детектируется Scan (версии 66+).


                       8.2.3. Вирус Chaos -- Хаос

   Неформальное название данного вируса связано с тем, что в теле вируса
имеются текстовые  строки "Welcome  to the New Dungeon", "Chaos" и "Letz
be cool  guys". Формально данный вирус является бутовым вирусом, заража-
ющим как дискеты, так и винчестер. Отличительной особенностью вируса яв-
ляется то,  что при заражении он перезаписывает оригинальный бут-сектор,
не копируя  его в  новое место.  Стадия проявления заключается в пометке
всех свободных  кластеров как сбойные. Условия наступления стадии прояв-
ления неизвестны.

   Исторические сведения.  Обнаружен в декабре 1989 г. в Англии Джеймсом
Беррри (James  Berry). В СССР не отмечался. Приводимые данные базируются
на списке П.Хоффман.

   Неформальные названия. Помимо приведенного выше, неизвестны.

   Методы и средства защиты. Данный вирус диагностируется полидетектором
Scan.

                    8.3. Мифические бутовые вирусы;
                 Вирус Bxxx (Boot Killer -- Бут-киллер)

   Данный вирус при каждой активизации переводит часть имеющихся свобод-
ных кластеров  в потерянные и тем самым уменьшает размер доступного дис-
кового пространства. Это пространство, естественно, становится недоступ-
ным, если  не использовать  утилиту CHKDSK  с последующим удалением всех
файлов с  расширением CHK. Вторым эффектом является форматизация первого
трека диска.

   Исторические сведения. Вирус был описан в статье [Solomon88].

