
                 6. ИСКОПАЕМЫЕ, МИФИЧЕСКИЕ И ИЗВЕСТНЫЕ
                  ТОЛЬКО ПО ЛИТЕРАТУРЕ ФАЙЛОВЫЕ ВИРУСЫ

                          6.1. Общие сведения

   Лишь  немногие   из  разработанных  вирусов  получают  сколько-нибудь
значительное  распространение.   В  последнее  время  уровень  понимания
проблемы пользователями  быстро  растет  и  они  начинают  предпринимать
необходимые меры  предосторожности. Поэтому  в настоящее  время  имеется
класс  вирусов,   который  можно   назвать  ископаемыми   вирусами:  они
существуют, в  основном, в  коллекциях вирусологов, и не встречаются "на
свободе".

   Многие из упоминаемых в зарубежной литературе файловых вирусов в СССР
пока не  обнаpужены. В  случаях, когда  эпидемия локальна и подавлена "в
зародыше", соответствующие  вирусы скорее  всего в  СССР и  не  попадут;
другая  часть   вирусов,  успевшая   к  моменту   обнаружения   получить
значительное распространение, рано или поздно появится. Поэтому сведения
о таких  вирусах представляют  определенный интерес, позволяя лучше под-
готовиться к предстоящей встрече с ними.

   И, наконец,  некоторые вирусы  существуют  только  в  программистском
фольклоре или "околовирусных" публикациях. В этой области, как и в любой
другой, существуют свои бароны Мюнхаузены.



                         6.2. Файловые вирусы,
                     известные только по литературе

   Вирусы, разработанные  за рубежом,  обычно   попадают в  СССР со зна-
чительным запаздыванием,  поэтому сведения  о новых вирусах зачастую по-
являются до  регистрации первых случаев заражения.  Большинство из них к
моменту попадания  в СССР  уже диагностируется доступной версией полиде-
тектора  Scan.   Поскольку     регистрация  случаев  заражения  вирусами
выполняется на  инициативном уровне  Киевским семинаром  "Системное про-
граммирование" и  отдельными разработчиками антивирусных программ, отно-
сительно многих вирусов неясно, попадали они в СССР или нет.

   К сожалению,  в условиях характерной для СССР информационной изоляции
доступа к оперативной информации по вирусам, распространяющейся по таким
сетям, как  Internet или Bitnet, автор не имеет, поэтому приводимые све-
дения неполны,  а в ряде случаев и неточны. Наиболее полной на сегодняш-
ний день  информацией, доступной автору, является созданный американским
вирусологом  Патрицией   М.Хоффман  (Patricia   M.Hoffman)  файл   Virus
Information Summary  (версия от  10.08.90). Этот  файл был опубликован в
бюллетене Софтпанорама (т.2, No. 8). Другим более или менее стабильным ис-
точником информации  является документация  к полидетектору  Scan, новые
версии которого в последнее время появляются практически ежемесячно. Оба
эти источника содержат ошибки и неточности.


                       6.2.1. Новые стелс-вирусы

   В последнее время наблюдается появление новых вирусов, при разработке
которых приняты изощренные меры по маскировке их присутствия на заражен-
ной машине. Описываемые ниже вирусы основаны на RCE-04096.FRD и, возмож-
но, принадлежат тому же автору.


                 6.2.1.1. Вирус RCE-03584 (Fish -- Рыба)

   Неформальное название данного вируса связано с тем, что иногда в теле
зараженных программ встречается строка "FISH FI". Кроме того, просматри-
вая оперативную память при резидентном вирусе, можно обнаружить названия
некоторых рыб.  Формально вирус  представляет собой резидентный файловый
вирус, заражающий как COM-, так и EXE-файлы. Вирус заражает COMMAND.COM.
Подобно некоторым бутовым вирусам, RCE-03584 переживает "теплую" переза-
грузку, перехватывая комбинацию нажатий Ctrl-Alt-Del.

   При выполнении  зараженной программы  вирус проверяет  свое наличие в
памяти и,  если отсутствует,  то инсталлируется в младших адресах опера-
тивной памяти.  При этом, если прерывание 13h не перехвачено другой про-
граммой, то вирус перехватывает это прерывание и резервирует 8192 байта.
Если прерывание  13h уже  перехвачено, то  вирус резервирует только 4096
байтов памяти  и через  некоторый случайный  интервал времени инициирует
"теплую" перезагрузку,  в процессе которой он заражает COMMAND.COM и пе-
рехватывает прерывание 13h.

   Будучи резидентным,  вирус заражает все открываемые COM- и EXE-файлы.
При этом длина зараженных файлов увеличивается на 3584 байта, однако это
увеличение при  резидентном вирусе  маскируется. При  запуске  программы
CHKDSK на  зараженной машине диагностируются ошибки в распределении фай-
лов. Если  при этом  CHKDSK запущена с ключом /F, то попытки исправления
ведут к потере кластеров и сращиванию файлов.

   Проявление вируса  связано с  тем, что он замедляет запись в видеопа-
мять и на инфицированных машинах заметно мерцание экрана дисплея. Другие
проявления вируса неизвестны, хотя вирус проверяет, равен ли текущий год
1991. Подобно вирусу RCE-04096, данный вирус не обнаруживается ревизора-
ми, запущенными на зараженной системе. Вирус также обходит сторожа, сле-
дящие за  операциями записи на диск. Кроме того, вирус постоянно переко-
дирует себя в оперативной памяти.

   Исторические сведения. Данный вирус является существенно переработан-
ной модификацией  вируса RCE-04096 и был выделен в мае 1990 г. К моменту
выделения он был достаточно распространен в Западной Европе. Предполага-
ется, что  он был  разработан в  Германии. В СССР не выделен. Приводимые
сведения базируются в основном на списке П.Хоффман.

   Методы и  средства защиты.  Вирус детектируется  полидетектором  Scan
(версии 66+).


                6.2.1.2. Вирус Mother Fish -- Мать-рыба,
                              Whale -- Кит

   Данный вирус  является наиболее  сложным и изощренным среди известных
стелс-вирусов. Размер кода достигает 9К. Это приблизительно 6 тыс. строк
исходного текста, т.е. от нескольких месяцев до года упорной работы. Ви-
рус написан программистом, знакомым с непосредственным программированием
входящих в  состав IBM PC контроллеров, в частности контроллера прерыва-
ний 8259  и контроллера  8255, управляющего  периферийными устройствами.
Вирус зашифрован и имеет самомодифицирующийся инсталлятор. Это несколько
усложнает детектирование,  хотя Scan  вроде бы  успешно   справляется  с
данной задачей.

   Следует отметить,  что данный  вирус тратит настолько много системных
ресурсов при  работе, что заметно замедляет работу компьютера, тем самым
существенно упрощая  свое обнаружение. Возможно, этот вирус следует счи-
тать направленным  не столько против пользователей (поскольку из-за сво-
его размера и сложности он не очень "жизнеспособен"), сколько против ви-
русологов: пусть,  мол, ломают себе голову, разбираясь с 30-метровым ли-
стингом дизассемблированного текста.

   Исторические сведения.  Данный вирус, по-видимому, является развитием
предыдущего. Обнаружен  примерно в июле-августе 1990 г. в Западной Евро-
пе. В  СССР не  выделен. Приводимые  сведения базируются, в основном, на
материалах Virus forum FIDO NET.

   Методы и  средства защиты.  Вирус детектируется  полидетектором  Scan
(версии 66+).


           6.2.2. Вирусы с самомодифицирующимся инсталлятором

   Данный класс  вирусов содержит  специальные средства,  обеспечивающие
изменение инсталлятора при каждом заражении таким образом, чтобы простые
строковые сигнатуры  в теле  вируса  не  встречались.  Другими  словами,
различные копии  вируса не содержат общих строк. Обычно переход к сигна-
турам, основанным  на регулярных выражениях, позволяет справиться с этой
проблемой. В более сложных случаях сигнатура может быть определена с по-
мощью символического выполнения начального участка вируса. Следует отме-
тить, что  в связи с ограниченностью размера вируса, применяемые способы
просты и обычно лишь незначительно затрудняют детектирование.


               6.2.2.1. Вирус RC-1701p (Phoenix -- Феникс)

   Несмотря на  идентичную длину,  вирус не  связан с  группой Буквопад.
Формально данный  вирус представляет  собой файловый  резидентный вирус,
заражающий  COM-файлы   и  имеющий  специальный  механизм  инфицирования
COMMAND.COM. Инсталлируется  в старшие адреса свободной памяти, резерви-
руя 8192 байта. Перехватывает прерывание 2Ah.

   Вирус использует  метод заражения COMMAND.COM, впервые использованный
в Лехайском  вирусе и позволяющий сохранить  первоначальную длину коман-
дного процессора после заражения. Поиск командного процессора выполняет-
ся на диске, указанном в COMSPEC. При заражении тело вируса записывается
в область с нулевыми байтами. Затем вирус выполняет попытку поиска и за-
ражения командного  процессора на диске С (на случай, если диск, указан-
ный в COMSPEC, является электронным).

   Заражает COM-файлы,  увеличивая их длину на 1701 байт. Проверка файла
на зараженность  выполняется некорректно,  поэтому вирус  может повторно
заражать один  и тот  же файл, каждый раз увеличивая длину на 1701 байт.
Инфицируются файлы  как при  выполнении, так  и при открытии. Использует
сложный метод  шифровки тела,  включая самомодификацию инсталлятора, по-
этому детекторы,  основанные на поиске контекстных строк, не в состоянии
обнаружить данный вирус.

   Исторические сведения.  Вирус был обнаружен в Болгарии в июле 1990 г.
На Запад  был передан В.Бончевым. Приводимые сведения основаны на описа-
нии П.Хоффман.  Разработан техно-крысой,  по кличке  Dark Avenger. Вирус
имеет ряд штаммов.

   Неформальные названия. Помимо приведенных выше, используются названия
V1701New и P1.

   Методы и средства защиты. При попытке выполнить утилиту CHKDSK на за-
раженной системе вирус инициирует "теплую" перезагрузку системы. Это мо-
жет служить  косвенным признаком зараженности компьютера. Вирус детекти-
руется полидетектором Scan (версии 66+).


                  6.2.2.2. Вирус RCE-2560 (Virus-101)

   Данный  вирус   является  первым   известным  резидентным  вирусом  с
самомодифицирующимся инсталлятором и первым, заражающим, наряду с файла-
ми, бут-сектор. Вирус заражает файлы только на дискетах. Если на дискете
нет файла, который можно заразить, то он заражает бут-сектор.

   Исторические сведения.  Вирус написан Патриком Толме (Patrick Toulme)
в январе  1990 г. якобы в качестве "учебного пособия", и автор некоторое
время распространял за плату исходный текст вируса. По-видимому, это был
первый компьютерный вирус с самомодифицирующимся инсталлятором.

   Неформальные названия: Помимо приведенного выше, неизвестны.

   Методы и  средства защиты. Детектируется полидетектором Scan, начиная
с версии 66.


                6.2.3. Новые вирусы группы Dark Avenger

   Как уже  указывалось, болгарская  техно-крыса по  кличке Dark Avenger
является одним  из основных  поставщиков файловых  вирусов для СССР. По-
этому сведения  о разработанных  этой техно-крысой  вирусах представляют
особый интерес. Приводимые ниже сведения основаны на описании П.Хоффман.
Западным вирусологам эти вирусы передал В.Бончев.

              6.2.3.1. Вирус RCE-02100 (2100, UScan Virus)

   Формально  данный   вирус  является   резидентным  файловым  вирусом,
заражающим как  COM-, так и EXE-файлы, включая оверлеи. Заражает процес-
сор COMMAND.COM.  При  выполнении  зараженной  вирусом  программы  вирус
инсталлируется, уменьшает  системную память  на  4288  байтов,  а  затем
заражает командный  процессор. Заражает  программы  при  выполнении  или
открытии файла.  Минимальная длина  заражаемой программы  -- 2100 байтов.
Увеличение длины  при резидентном  вирусе маскируется.  Как обычно,  при
резидентном вирусе  появляется побочный  эффект, связанный  с появлением
потерянных кластеров  при проверке целостности файловой системы командой
CHKDSK /F.

   Исторические сведения.  Вирус был обнаружен в Болгарии в июле 1990 г.
Распространялся через троянскую версию антивирусной программы UScan, ко-
торая была  загружена в  несколько европейских  BBS.  При  этом  наличие
вируса в самой программе было замаскировано, и его было невозможно обна-
ружить детектором,  рассчитанным на  данный  вирус.  В  начале  1991  г.
обнаружен в СССР.

   Неформальные названия. Помимо приведенных выше, неизвестны.

   Методы и  средства защиты.  Вирус детектируется  полидетектором Scan,
начиная с версии 66.

                        6.2.3.2. Вирус RCE-01024

   Формально данный вирус является резидентным файловым вирусом, заража-
ющим как  COM-, так  и EXE-файлы.  При запуске зараженной програмы вирус
проверяет значения  ряда прерываний, включая 1h и 3h. Если прерывания 1h
и 3h перехвачены, то вирус не инсталлируется в оперативной памяти, а за-
пускает программу-вирусоноситель и после ее окончания вызывает зависание
системы. Если  указанные прерывания  свободны, то  вирус инсталлируется,
уменьшая значения свободной памяти на 1072 байта и перехватывая ряд пре-
рываний. Являясь  резидентным, вирус  заражает каждую  выполняемую  про-
грамму, имеющую  длину больше  1024 байтов. Увеличение длины маскируется
при резидентном  вирусе. Вирус  дописывается в  конец зараженных файлов.
Файлы заражаются  однократно. В  конце зараженных  файлов имеется строка
'7106286813'. Вирус, по-видимому, не имеет стадии проявления.

   Исторические сведения.  Вирус был  обнаружен в Болгарии в мае 1990 г.
По ряду признаков данный вирус можно считать предшественником RCE-02000.

   Неформальные названия. Помимо приведенных выше, неизвестны.

   Методы и  средства защиты.  Вирус детектируется  полидетектором Scan,
начиная с версии 66.

                         6.2.3.3. Вирус RC-800
              (800, Live after Death -- Жизнь после смерти)

   Неформальное название  связано с  тем, что  вирус содержит  текстовую
строку "Live  after Death", хотя она не видна при просмотре дампа (вирус
шифрует собственное  тело при заражении). Формально RC-800 -- резидентный
файловый вирус, заражающий файлы при запуске их на выполнение, но не за-
ражающий   COMMAND.COM.   При   запуске   зараженной   программы   вирус
инсталлируется в  старших адресах  памяти, уменьшая  системную память на
16К  (возможно,   из-за  ошибки)   и  используя   старшие  8192   байта.
Перехватывает  прерывание   2Ah.  Файлы   заражаются  при   запуске   на
выполнение. Зараженные файлы заражаются повторно, причем каждый раз дли-
на увеличивается  на 800  байтов. Минимальная  длина заражаемых файлов --
1K, однако файлы, большие 1K, также заражаются выборочно. Имеется штамм,
заражающий файлы  как при  выполнении, так  и при  открытии. Этот  штамм
уменьшает системную память ровно на 8192 байта.

   Исторические сведения. Вирус был обнаружен в Болгарии в мае 1990 г. В
СССР не отмечался.

   Неформальные названия. Помимо приведенных выше, неизвестны.

   Методы и  средства защиты.  Вирус детектируется  полидетектором Scan,
начиная с версии 66.

               6.2.3.4. Вирус RCE-0651 (Eddie-3 -- Эдди-3)

   Вирус уменьшает  системную память на 688 байтов. Уменьшение системной
памяти маскируется. Заражаются программы длиной более 651 байта. Зараже-
ние происходит  при  запуске  файлов  на  выполнение.  Увеличение  длины
маскируется при резидентном вирусе. Инфицированные файлы содержат строку
"Eddie Lives"  в конце  инфицированного файла.  Побочным эффектом вируса
является  появление   потерянных  кластеров   при  проверке  целостности
файловой системы командой CHKDSK /F.

   Неформальные названия. Помимо приведенного в заголовке, неизвестны.

   Исторические сведения.  Вирус  был  обнаружен  в  Болгарии  в  апреле
1990 г. В СССР не отмечался.

   Методы и  средства защиты.  Вирус детектируется  полидетектором  Scan
(версии 66+).


            6.2.4. Файловые вирусы восточного происхождения;
                 Вирус RCE-2900 (Taiwan-3 - Тайвань-3)

  Поскольку наша страна закупает основную массу персональных компьютеров
с странах  Юго-западной Азии,  появляющиеся там  вирусы легко попадают в
СССР. Мы  рассмотрим лишь один пример файловых вирусов восточного проис-
хождения -- вирус RCE-2900.
  Неформальное   название   этого   опасного   вируса-вандала   отражает
порядковый номер  поступления вирусов  с Тайваня  к  сотрудникам  Макафи
(первыми двумя были Bx3-EB.OGR (Disk Killer) и C-743 (Taiwan-2)).
  При запуске  зараженной программы вирус инсталлируется в нижние адреса
свободной оперативной  памяти, резервируя 3152 байта. Перехватывает пре-
рывание 21h. Являясь резидентным, заражает все исполняемые программы. По
данным П.Хоффман, COM-файлы увеличиваются на 2900 байтов, а EXE-файлы  --
на 2900-2908 (скорее, 2900-2915). Заражаются и оверлейные файлы.
  По данным  М.И.Цала, фаза проявления наступает при попадании вируса на
компьютеры, содержащие  систему AutoCAD. В этом случае вирус  уничтожает
информацию на дискетах, винчестере и CMOS-памяти.
   Исторические сведения.  Вирус был обнаружен на Тайване в июне 1990 г.
Приводимые сведения основаны на описании П.Хоффман. В СССР был обнаружен
и исследован М.И.Цалом в Ленинграде в начале 1991 г.

   Неформальные названия. Помимо приведенного выше, неизвестны.

   Методы и  средства защиты.  Вирус детектируется  полидетектором SCAN,
начиная с версии 66.


              6.3. Некоторые "ископаемые" файловые вирусы

   Ряд вирусов,  ранее весьма  распространенных на  Западе, в  настоящее
время практически  полностью уничтожен,  и сведения о них представляют в
основном  исторический  интерес.  Впрочем,  последняя  фраза  не  совсем
корректна,  поскольку   необходимо  помнить,   что,  если  отвлечься  от
периодической смены  центрального  процессора  и  версий  MS DOS,  любой
компьютерный вирус практически "беcсмертен" и может "реанимироваться" из
архивов через  несколько лет после того, как о нем все забыли (если, ко-
нечно, пользователь  продолжает работать  на версии  MS DOS, для которой
вирус работоспособен).


               6.3.1. Вирус RC-0-346 (Lehigh -- Лехайский)

   Название вируса  связано с  тем,  что  он  впервые  был  обнаружен  в
университете Lehigh  (США) в  ноябре 1987 г.  В  настоящее  время  вирус
представляет лишь  исторический интерес  как  один  из  первых  файловых
вирусов, а  также как  первый  вирус,  использующий  специальный  способ
заражения командного процессора.

   Формально  вирус  RC-0-346  является  файловым  резидентным  вирусом,
распространяющимся через файл COMMAND.COM.  Иногда данный вирус называют
"системным вирусом",  акцентируя внимание на том, что он заражает только
командный процессор.  По мнению автора, такое название неоправданно, так
как,  хотя   командный  процессор   и   является   неотъемлемой   частью
операционной системы,  его выбор, в отличие от распространенного мнения,
произволен. Конечно,  стандартный командный  процессор,  поставляемый  с
MS DOS (COMMAND.COM),  является наиболее распространенным, однако он да-
леко  не  единственный.  Например,  ряд  фирм,  включая  Hewlett-Packard
(Хьюллет Паккард),  поставляют свои версии MS DOS c диалоговым командным
процессором,  и  пользователи  этих  машин  никогда  не  сталкивались  с
COMMAND.COM и  характерным приглашением C:\. Кроме того, учитывая весьма
низкое качество написания COMMAND.COM (а в MS DOS 4.0 он не только плохо
написан, но  и еще  "страдает от  ожирения", т.к. его размер вырос более
чем на  10К без  существенного увеличения  функциональных возможностей),
квалифицированные пользователи часто заменяют его на командный процессор
4DOS фирмы J.P. Software. Поэтому выбор COMMAND.COM как "среды обитания"
вируса ничем  принципиально не  отличается  от  выбора,  скажем,  Norton
Commander или другой распространенной программы.

  Вирус  имплантирует   свое  тело   в  область   памяти,   используемую
COMMAND.COM для  стека, и  изменяет первые байты зараженного COMMAND.COM
таким образом,  чтобы первым  получить управление  после  его  загрузки.
Поэтому длина  зараженного COMMAND.COM не отличается от длины нормально-
го. При  запуске  командного  процессора  вирус  получает  управление  и
становится резидентным,  перехватывая прерывание  21h. При возникновении
прерывания 21h  вирус  перехватывает  запросы  "выполнить  программу"  и
"найти  первый   файл".  При   обработке  этих  запросов  вирус  сначала
определяет, содержит  ли диск  COMMAND.COM.  Если  да,  то  он  заражает
COMMAND.COM диска,  к которому идет обращение, и увеличивает специальный
счетчик. Если  винчестер отсутствует,  то счетчик хранится в оперативной
памяти, иначе  --  записывается  на  диск.  Таким  образом,  перезагрузка
сбрасывает счетчик на ПЭВМ без винчестера, в то время как на ПЭВМ с вин-
честером  значение   счетчика  сохраняется.   При  достижении  счетчиком
значения 4  вирус, используя  прерывание 26h, обнуляет первые 32 сектора
того диска,  с которого  он был  загружен.  Обнаружение  данного  вируса
упрощается в связи с тем, что при заражении вирус изменяет дату создания
файла. Кроме того, вирус не проверяет, защищен диск от записи или нет, и
не снимает  атрибут READ  ONLY. Поэтому,  если  COMMAND.COM  имеет  этот
атрибут, то  вирус в  него не  попадет (не  исключено, что  в  некоторых
штаммах данного вируса эти "недостатки" устранены).
   Исторические  сведения.   Данный  вирус   является  первым  известным
вирусом-вандалом. Он был обнаружен студенческими консультантами Вычисли-
тельного центра  Лехайского университета  (Lehigh university, Bethlehem,
США) в  ноябре 1987 г. [Wyk89]. Они обратили внимание, что, начиная с 18
октября 1987 г.,  пользователи  начали  в  массовом  порядке  возвращать
выданные им  дискеты, заявляя,  что они дефектны. Хотя в условиях интен-
сивной эксплуатации  дискеты, характерной  для  университета,  последние
иногда   становятся    сбойными   из-за    физического   износа,   плохо
отрегулированного дисковода  или попадания грязи, скорость возврата дис-
кет  нарастала  настолько  заметно,  что  было  решено  проанализировать
ситуацию. В результате и был выявлен Лехайский вирус. Фактически это пе-
рвый файловый вирус, распространение которого приняло характер эпидемии.
Возможно, существуют  два штамма,  один из  которых не увеличивает длину
зараженного COMMAND.COM,  а другой  увеличивает ее  на 20 байтов. В СССР
явно не  отмечался. Излагаемые  сведения опираются на информацию в зару-
бежных печатных изданиях.

   Методы и средства защиты. Данный вирус диагностируется полидетектором
Scan. Вирус ищет файл с командным процессором по имени, а не по COMSPEC,
поэтому изменение имени командного процессора защищает командный процес-
сор от  заражения.  Как  уже  указывалось,  базисная  версия  вируса  не
сбрасывает атрибут  READ ONLY, поэтому, если командный процессор защищен
этим атрибутом,  то он  заражаться не  будет. Поскольку  вирус  является
резидентным, возможно создание резидентной вакцины. Вместо использования
фага проще  переписать командный процессор заново с дистрибутивной копии
операционной системы.


                           6.3.2. Вирус dBASE

   Вирус  представляет   интерес  как   представитель  класса   вирусов,
направленных на  модификацию данных. Он использует достаточно изощренную
схему изменения  DBF-файлов, причем  при  резидентном  вирусе  внесенные
изменения маскируются.  Формально вирус  dBASE является резидентным фай-
ловым вирусом,  который перехватывает  прерывание  21h  и  ждет  попытки
открытия файла  с расширением DBF. При этом вирус запоминает управляющий
блок файла  (file handle) и текущую длину файла с расширением DBF. Любая
последующая операция  по записи  в этот  файл искажается  вирусом  таким
образом, что  первые два байта записываемого блока меняются местами. При
последующих операциях  чтения вирус восстанавливает первоначальное поло-
жение этих  байтов, так что до тех пор, пока вирус является резидентным,
вся информация  читается правильно.  Через 90  дней вирус разрушает FAT.
При восстановлении  с  архивных  копий  пользователь  обнаруживает,  что
данные в  них искажены. Вирус dBASE создает специальный файл с атрибутом
HIDDEN, называемый  BUG.DAT, в  котором хранится информация о том, какие
записи файла  (записывается  смещение  в  байтах)  имеют  переставленные
байты. Для  каждого  каталога,  содержащего  DBF-файлы,  создается  свой
скрытый файл BUG.DAT.

   Исторические сведения.  Данный вирус  описан в  1989 г.  Р.Гринбергом
[Greenberg89]. В СССР случаи заражения не отмечались.

   Методы и  средства защиты.  При работе  с  файлом  BUG.DAT  вирус  не
проверяет установку  атрибута READ  ONLY. Поэтому,  если создать  искус-
ственный файл  с таким  атрибутом, то  вирус не  сможет записать  в него
информацию и тем самым повредить DBF-файлы.


                  6.3.3. Screen Virus -- Экранный вирус

   Данный вирус  также  является  резидентным  и,  как  и  вирус  dBASE,
выполняет перестановки  байтов. Он перехватывает прерывание от таймера и
каждые несколько  минут, начиная  со случайной  позиции, последовательно
сканирует память видеоадаптера. Если вирус находит четыре последователь-
ные цифры,  то он  переставляет  местами  две  из  них.  Вирус  повторно
заражает СОМ-файлы.  При первом запуске зараженной программы инсталлятор
вируса перед  тем, как  сделать код  вируса  резидентным,  заражает  все
подходящие файлы в текущем каталоге, включая и файл, содержащий запуска-
емую программу, если последняя находится в текущем каталоге.

   Исторические сведения.  Данный вирус  описан в  1989 г.  Р.Гринбергом
[Greenberg89]. В СССР случаи заражения не отмечались.

   Методы и  средства защиты.  Вирус содержит  ASCII-строку "InFeCt"  (с
указанным сочетанием  больших и  маленьких букв).  Непосредственно перед
этой  строкой   располагаются  четыре   байта  оригинальной   программы,
замененные вирусом.  Эти байты  можно вручную переставить в начало прог-
раммы или написать соответствующий фаг.

                 6.3.4. Группа первоапрельских вирусов

   Данная группа,  по-видимому, является  историческим  предшественником
иерусалимской группы и, возможно, принадлежит тому же автору. В нее вхо-
дят вирусы  RC-897 и  RE-1488. В  СССР отмечены  лишь  единичные  случаи
заражения.


               6.3.4.1. Вирус RC-897 (SURIV 1 -- Сурив 1,
                      April First -- Первое апреля)

   Резидентный файловый  вирус,  заражающий  COM-файлы  при  запуске  на
выполнение. При заражении очередного файла выдает на экран сообщение


  YOU HAVE A VIRUS.

а первого апреля выдает сообщение


  HA HA HA IT'S APRIL 1ST - YOU HAVE A VIRUS
  (1 апреля ха-ха-ха. У Вас вирус)

и вызывает зависание системы.

   Исторические  сведения.  Вирус  разработан  в  Израиле  в  1987 г.  и
относится к ранним представителям иерусалимской группы. В СССР обнаружен
в сентябре 1990 г. Е.В.Касперским.

   Методы и средства защиты. Данный вирус диагностируется полидетектором
Scan. Рекомендуемые полифаги приведены в прил.1.


               6.3.4.2. Вирус RE-1488 (SURIV 2 -- Сурив 2,
                      April First -- Первое апреля,
                       Jerusalem D -- Иерусалим Д)

   Штамм,  заражающий   EXE-файлы.  Проявляется   1   апреля   и   после
определенного времени работы на компьютере, выдавая сообщение


  HA HA HA IT'S APRIL 1ST - YOU HAVE A VIRUS.
  (1 апреля ха-ха-ха. У Вас вирус)

   При  этом   зависание  системы   приводит  к  потере  информации  при
редактировании или других аналогичных работах.

   Исторические  сведения.  Вирус  разработан  в  Израиле  в  1987 г.  и
относится к ранним представителям иерусалимской группы. В СССР обнаружен
в сентябре 1990 г. Е.В.Касперским.

   Методы и средства защиты. Данный вирус диагностируется полидетектором
Scan. Рекомендуемые полифаги приведены в прил.1.


                  6.3.5. Группа Datacrime (Дейтакрайм)

   Данная группа  появилась в США в 1989 г. В настоящее время состоит из
четырех штаммов длиной 1168 (Datacrime), 1280 (Datacrime-B), 1480 (Data-
crime-II) и  1514 (Datacrime-IIb)  байтов. Стадия проявления для данного
вируса наступает  ежегодно после 12 октября (день открытия Америки, День
Колумба). Перед  поиском файла-жертвы вирус проверяет текущую дату. Если
дата больше 12 октября и компьютер имеет винчестер, то первые два штамма
дешифруют и выдают на экран сообщение:


  DATACRIME VIRUS
  RELEASED: 1 MARCH 1989

а последние два (Datacrime-II и Datacrime-IIb):
  DATACRIME II VIRUS

   Фазы проявления идентичны для всех упомянутых выше версий и состоят в
низкоуровневом форматировании  нулевого трека  (головки 1-9).  При  этом
вирус уничтожает  MBR, бут-сектор,  FAT и  главный каталог. В результате
при перезагрузке  машины винчестер  не опознается  и для  восстановления
требуются  резервные   копии  соответствующих  системных  блоков.  После
уничтожения нулевого трека вирус зацикливается, выдавая в этом бесконеч-
ном цикле  символ BELL  (звуковой  сигнал).  Это  еще  раз  подчеркивает
необходимость резервирования  первых треков при каждой загрузке в специ-
альный файл,  расположенный  в  фиксированном  месте  диска,  с  помощью
специальных программ (Image из пакета Norton Utilities или Mirror из па-
кета PC Shell).

   По данным  H.J.Highland [Highland89j], который до 1990 г. был главным
редактором журнала  Computers & Security, автор вирусов предпринял неко-
торые меры  маскировки. Вирусы,  входящие в  данную группу,  не заражают
файлы, седьмой  символ имени  которых равен  "D", и  в  частности,  файл
COMMAND.COM. Как  уже указывалось,  содержащееся в теле вируса текстовое
сообщение шифруется  с помощью команды XOR. Дешифровка выполняется непо-
средственно перед  выдачей сообщения  на экран, т.е. перед срабатыванием
троянской компоненты.  При поиске  зараженных файлов вирус просматривает
корневой каталог  и все  подкаталоги  винчестера.  Если  подходящие  для
заражения файлы  там не  обнаружены, то  выполняется просмотр диска A, а
затем диска B.


6.3.5.1. Вирус E-1168 (1168, Datacrime -- Дейтакрайм, Columbus Day -- День
                                Колумба)

   Данный вирус является нерезидентным файловым вирусом, заражающим EXE-
файлы. При  заражении дописывает себя в конец файла, увеличивая длину на
1168 байтов и заменяя первые пять байтов зараженной программы на команду
перехода к  началу вируса.  Вирус размножается  с 1 апреля по 12 октября
любого года.  До 1  апреля вирус  находится в  латентном состоянии и при
запуске зараженных  файлов  сразу  передает  управление  вирусоносителю.
Стратегия размножения  основана на  просмотре каталогов и заражении всех
найденных COM-файлов,  кроме тех, которые имеют в качестве седьмой буквы
имени букву  D. Сначала  просматриваются  разделы  винчестера,  а  затем
дисководы с  дискетами. Из-за  ошибок в  коде заражаются  не все  файлы,
создавая впечатление  случайного выбора.  Возможно зависание  системы  в
процессе заражения.

   При выполнении  зараженного файла  после 12 октября любого года вирус
выдает приведенное  выше сообщение  (зашифровано в теле вируса) и выпол-
няет низкоуровневое форматирование нулевого трека винчестера. Для PC AT,
а также систем c контроллерами типа RLL или SCSI алгоритм запуска низко-
уровневого форматирования неработоспособен.

   Исторические  сведения.  Данный  вирус  обнаружен  в  мае  1989 г.  в
Нидерландах.   По всей видимости, вирус разработан там же. Судя по выда-
ваемой надписи,  время разработки  относится в  началу 1989 г., а начало
распространения --  к марту 1989 г. Случаи заражения отмечались в США уже
летом того  же года.  Это первый вирус, в котором фаза распространения и
фаза проявления  отделены периодом  в десять  месяцев. В настоящее время
практически полностью  уничтожен. В  СССР  явно  не  отмечался,  однако,
учитывая  его   европейское   происхождение,   рекомендуется   проверять
программное обеспечение на зараженность вирусами данной группы в сентяб-
ре текущего года.

   Методы и средства защиты. Диагностируется полидетектором Scan.


6.3.5.2. Вирус E-1280 (1280, Datacrime B -- Дейтакрайм B, Columbus Day --
                             День Колумба)

   Штамм, заражающий  только файлы  типа EXE-  и способный форматировать
винчестер с контроллерами как типа MFM, так и типа RLL.
6.3.5.3. Вирус CE-1480 (1480, Datacrime II -- Дейтакрайм, Columbus Day --
                             День Колумба)

   Штамм, заражающий как COM-, так и EXE-файлы. Тело вируса зашифровано.
Обнаружен в Нидерландах в ноябре 1990 г.


 6.3.5.4. Вирус СE-1514 (1514, Datacrime IIB -- Дейтакрайм IIB, Columbus
                          Day -- День Колумба)

   Последний, наиболее  изощренный штамм,  обнаруженный в ноябре 1989 г.
Заражает как  COM-, так  и EXE-файлы, включая COMMAND.COM. Файлы, вторым
символом имени  которых является  буква "B" (IBMBIO.COM, IBMDOS.COM), не
заражаются. Тело  вируса зашифровано за исключением начала инсталлятора,
что ограничивает  выбор сигнатуры  этим участком  (аналогично  RC-1701).
Впрочем,  размер   этого  участка  вполне  достаточен  для  эффективного
детектирования (более 50 байтов).

   Поскольку вирус  не  является  резидентным,  он  заражает  файлы  при
выполнении зараженного  файла. При заражении тело вируса шифруется и до-
писывается  в   конец  файла.   Файлы  заражаются   однократно.  Признак
зараженности  основан   на  проверке   поля   даты.   Стратегия   поиска
потенциальных жертв  основана на  поиске еще  незараженных EXE-, а затем
COM-файлов на  диске в  текущем каталоге  и всех  его подкаталогах. Если
жертва найдена,  то она заражается. Таким образом, вызов зараженной про-
граммы приводит к заражению еще одного файла.

   Фаза проявления описана выше, однако условие ее наступления несколько
изменено. Вирус  пытается форматировать  нулевой трек винчестера в любой
день  после   12  октября,  кроме  понедельника,  если  компьютер  имеет
винчестер. Если  компьютер не  имеет винчестера,  то каждое  воскресенье
после 12  октября при  запуске зараженной  программы на  экран  выдается
сообщение


                            * DATACRIME II *

и система зависает.



                    6.4. Мифические файловые вирусы

   Как уже  указывалось, относительно  компьютерных  вирусов  существует
немало легенд. Некоторые из них мы рассмотрим в этом разделе.


                     6.4.1. Вирус Cookie-- Печенье,
                  Cookie Monster -- Печеньевое чудовище

   Данная легенда  основана на  демонстрационном  вирусе,  действительно
существовавшем на компьютерах с микропроцессором 8080 или Apple II. Или,
возможно, вирус  полностью уничтожен и относится к "ископаемым" вирусам.
Название данного  вируса связано  с персонажем  популярной в США детской
телевизионной программы SESAME STREET. Проявление этого вируса связано с
выдачей на экран сообщения


  I WANT COOKIE
  (Хочу печенья)

   Только ввод  с клавиатуры  слова COOKIE позволяет продолжить работу с
программой. Вводом  тайного пароля  "OREO" можно  "усыпить" вирус на не-
сколько недель.  В некоторых  вариантах легенды  вирус стирает файлы при
неправильном ответе или слишком длительной задержке с ответом.

   Отечественный аналог  данного мифа под названием Чуча (якобы выдающий
сообщение "Хочу чучу") опубликован в [Павлов89].
   Исторические сведения.  Слухи о  данном вирусе дошли до Киева в конце
1988 г., т.е.  до появления   в  Киеве настоящих  компьютерных  вирусов.
Вирус упоминается  в ряде  зарубежных публикаций.  В файле  П.Хоффман не
описан.

   Методы и  средства защиты.  Как ни  странно, но  для  данного  вируса
имеется фаг  (может быть,  вирус относится к классу ископаемых, а не ми-
фических) --  вирус диагностируется  и "выкусывается"  полифагом  Antivir
(версия 3.0 1988 г.), разработанным Д.Хоппенратом (D.Hoppenrath).


             6.4.2. Вирус, заражающий объектные библиотеки

   Автором легенды является А.А.Чижов. В статье [Чижов88] он неосторожно
высказал собственную  идею о вирусе, внедряющемся в библиотеку объектных
модулей компилятора.  Соответствующий  текст  представляет  исторический
интерес:

   "3. Вирус  в объектной  библиотеке. Вирус,  прикрепленный к объектной
библиотеке какого-либо  компилятора, --  наиболее изощренный  вид вируса.
Такой вирус  автоматически внедряется  в любую  программу,  составленную
программистом, работающим с зараженной библиотекой.

   Внедряется  вирус   в  библиотеку  следующим  способом.  В  объектную
библиотеку добавляется  модуль, содержащий  в себе  вирус, оформленный в
виде подпрограммы. Затем в модуль, который должен получать управление от
Дос  в   сформированной  программе,   вставляется  вызов   подпрограммы,
содержащей вирус.  При  этом  корректируется  таблица  глобальных  имен,
используемых в  библиотеке. При компоновке какой-либо программы модуль с
вирусом автоматически подключается к программе и всегда будет запускать-
ся при ее запуске..."


                6.4.3. Вирус Падающие головки винчестера

   Данная легенда  стала неотъемлемой частью программистского фольклора.
Попытку придать этой легенде статус научного факта предпринял Ю.Н.Основ-
ский. В брошюре [Основский90] написано буквально следующее:

   "Вирусы,   вызывающие    аварию    аппаратного    обеспечения    ЭВМ,
представляются наиболее  опасными из  всех классов  вирусов. Если  после
срабатывания  вируса   из  классов,   описанных  выше,  самым  серьезным
последствием  является   гибель  всей   информации  на   носителях,   то
срабатывание вируса,  вызывающего аварию  аппаратного  обеспечения  ЭВМ,
кроме логического  разрушения  информации,  вызывает  еще  и  физическую
поломку машины.

   К счастью,  автор не сталкивался еще с такими вирусами "лицом к лицу"
(т.е. на  своем персональном  компьютере),  однако  наблюдал  результаты
срабатывания одного  из таких вирусов на машине своих коллег. Этот вирус
заставил операционную  систему обращаться к жесткому диску с резонансной
частотой блока  его головок.  Как результат  -- падение  блока головок на
вращающийся диск,  заклинивание диска с повреждением всех его поверхнос-
тей  и,   естественно,  разрушением   информации.   Для   восстановления
работоспособности машины пришлось покупать новый жесткий диск."

   Далее автор приводит еще более интересные сведения:

   "Однако можно  с достаточной  степенью  уверенности  утверждать,  что
распространение этого  типа вирусов не грозит пользователям персональных
ЭВМ с  жесткими дисками  производства стран  -- членов  СЭВ только  в том
случае, если  жесткие диски  собраны в  этих странах.  При использовании
готовых "фирменных"  жестких дисков  проникший  на  машину  вирус  может
сработать, так  как для определения резонансной частоты диска необходимо
точно знать  его физические  параметры. Поэтому  опасность  срабатывания
подобного  вируса   грозит  только  тем  пользователям,  машины  которых
оснащены  "фирменными"   жесткими  дисками.  Автору  удалось  установить
(естественно, не  путем  эксперимента),  что  эти  вирусы  существуют  в
настоящее время  только  для  двух  типов  "фирменных"  жестких  дисков:
SeaGate и Amstrad."

                    6.4.4. Вирус в сетевом драйвере

   Источником данной  легенды  является  все  та  же  статья  [Чижов88].
Приведем соответствующую цитату.

   "Возможно создание вируса, внедряемого в сетевой драйвер. Такой вирус
переносит себя  по сети  на другой компьютер. Возможность перенесения по
сети, конечно,  зависит от  вида сети -- один вирус обычно может заражать
только сеть одного вида с однотипными драйверами обслуживания сети.

   Самый простой способ переноса такого вируса -- передача по сети нового
варианта сетевого  драйвера.  Для  этого  необходимо,  чтобы  зараженный
драйвер вызвал  от  незараженного  абонента  сетевой  драйвер  (или  его
часть), добавил  в него вирус и передал обратно. При последующем запуске
сетевого драйвера будет запущен уже новый зараженный драйвер.

   Процесс заражения  сопровождается  довольно  большими  передачами  по
сети, поэтому  вирус может  быть обнаружен  за счет  не только изменения
размера сетевого  драйвера или  его контрольной  суммы, но и обнаружения
лишних передач по сети."


                     6.4.5. Сетевой вирус RCE-2231

   Эта легенда принадлежит, по-видимому, Ю.Н.Основскому, который пишет:

   "...Автору известен  только один  случай заражения  сетевым  вирусом,
когда  появление   вируса  на  одной  из  концевых  машин  сети  вызвало
немедленное заражение  головной машины сети, а за ней -- и всех остальных
концевых машин.

   Этот вирус  длиной 2231 байт распространялся через прерывание DOS 21H
(выполнение функций  DOS, номера функций 5EH, 5FH). Вирус заражал .СОМ и
.EXE-файлы,  увеличивая   их  длину.  Несмотря  на  то,  что  в  течение
нескольких дней  никаких внешних  проявлений вируса  не замечалось, было
решено полностью  очистить все  машины от  вируса. Лишь на одной машине,
исключенной из  сети, вирус  был обезврежен  в операционной ситеме, но с
исследовательскими целями  оставлен в  ряде  программ  пользователей.  В
результате исследования выяснилось следующее:

   -- вирус  и в  отсутствии сети способен заражать операционную систему,
причем не  только ее командный процессор, который поражается сразу, но и
скрытые системные файлы, которые поражаются в самом конце инкубационного
периода;

   -- инкубационный  период вируса составляет около месяца, после чего на
машине происходит  "ядерный взрыв"  (это название  предложено автором на
основании   анализа    пораженного   вирусом    жесткого   диска   после
срабатывания). Дело  в  том,  что  характер  поражения  напоминает  след
ядерного взрыва:  чем ближе  к  FAT-таблице,  которая  является  как  бы
"эпицентром"  жесткого   диска,  тем   больше  разрушенных   векторов  в
логических кластерах);"

   Ну  и   так  далее.  Здесь,  пожалуй,  четче  всего  видна  опасность
фантазирования на "вирусную тематику". Не случайно, по некоторым данным,
разведслужбы специально  анализируют  издаваемые  детективы  на  предмет
возможного использования приводимых сюжетных ходов в реальных операциях,
а  после  просмотра  "жестокого"  фильма  отмечается  возрастание  числа
опасных преступлений, близких по схеме к событиям на экране.


                       6.4.6. Вирусы, поражающие
                        скрытые системные файлы

   Данная  легенда,   по-видимому,   принадлежит   А.А.Чижову.   В   уже
упоминавшейся статье [Чижов88] он пишет:

   "Вряд ли вирус может внедриться в загрузчик, так как загрузчик должен
размещаться в  одном секторе  диска емкостью  512 байтов.  В  загрузчике
практически нет свободного места.
   Другое дело -- скрытые файлы ДОС. Вирус может прикрепиться к любому из
этих файлов,  при этом  его дальнейшее  поведение может  быть различным.
Само прикрепление  происходит просто -- вирус может дописать себя в конец
одного из  файлов. При  запуске каждого  из  скрытых  файлов  управление
передается на  начало файла, в котором стоит команда перехода на инициа-
тор соответствующей  части ДОС,  вместо которой  вирус  может  поставить
переход на  свое начало,  а после  настройки  запустить  инициатор  ДОС.
Наиболее действенным может быть прикрепление ко второму скрытому файлу --
IBMDOS.COM (MSDOS.SYS),  так  как,  во-первых,  в  конце  первого  файла
находится конфигуратор  системы,  обрабатывающий  файл  CONFIG.SYS,  что
мешает прикреплению вируса, во-вторых, в момент запуска первого скрытого
файла ДОС  еще не  функционирует. В  момент же  запуска второго скрытого
файла ДОС  уже частично  функционирует, полностью  сформированы драйверы
ввода-вывода."

   Ю.Н.Основский преподносит  эту легенду  как    факт, имеющий место на
начало 1990 г.:

   "Поражение  скрытых   системных  файлов  приводит  к  заражению  всей
операционной системы  ЭВМ,  а  если  ЭВМ  включена  в  состав  локальной
вычислительной сети,  то возможен  переход вируса на любую другую машину
сети, в том числе и на головную.

   Правда, обычно  заражение скрытых  системных  файлов  довольно  легко
распознается,  так   как  одна  из  первых  же  перезагрузок  пораженной
операционной системы  приводит к  срабатыванию вируса  и, как правило, к
потере информации  на носителе  (ничего себе  легкое распознавание  !  --
Н.Н.Безруков). Отметим,  что  большинство  вирусов,  заражающих  скрытые
системные  файлы,   относятся  к   классам  вирусов,  либо  повреждающих
системные области дисков, либо форматирующих диски.".

   Опыт  автора  показывает,  что  в  случае  поражения  скрытых  файлов
обычными файловыми  вирусами (резидентные  вирусы, заражающие  файлы при
открытии,  заражают   указанные  системные  файлы  при  их  копировании)
операционная система  становится неработоспособной. Специальных вирусов,
рассчитанных именно  на заражение  скрытых файлов,  в настоящее время не
существует (возможно,  потому, что слишком мала инфицирующая способность
такого вируса  -- меньше  чем у  бутового). Это,  конечно,  не  исключает
возможность использования  этого метода в комбинации с другими, как, на-
пример,  произошло  с  методом  заражения  COMMAND.COM,  использованного
вирусом RC-0-346(Lеhigh).


                     6.4.7. Вирус Sylvia -- Сильвия,
                   Holland Girl -- Голланская девушка

   Данный вирус  получил  общесоюзную  известность  благодаря  программе
Talker (Софтпанорама, т.2, No. 5, т.2, No. 10). Как уже указывалось в гл. 2,
Talker был  троянизирован сигнатурой, по которой полидетектор Scan опоз-
нает вирус Sylvia.
