                                                            Приложение 2

     КЛАССИФИКАЦИОННАЯ ТАБЛИЦА БУТОВЫХ ВИРУСОВ, ОБНАРУЖЕННЫХ В CCCР

   В таблице  собраны сведения о бутовых вирусах, обнаруженных в СССР по
состоянию на 10.01.90. Для нее имеют место все замечания по  структуре и
организации, указанные  для классификационной  таблицы файловых  вирусов
(прил.1), за  исключением того,  что главный  дескриптор отражает другой
набор свойств.  Эти свойства  главного дескриптора,  а  также  некоторые
другие особенности таблицы бутовых вирусов приведены ниже.

   1. В главном дескрипторе отражены следующие свойства:


            A -- деструктивные действия, выполняемые вирусом:

   c (corrupt) -- повреждает  или искажает  файлы  данных  или  отдельные
сектора, распределенные MS DOS;

   f (format) -- выполняет форматирование дисков;

   i (ignore) --  заменяет   операции  записи   на  операции  чтения  или
верификации;

   h (hang) -- "подвешивает" систему;

   р (parallel port) --   искажает    информацию,   передаваемую    через
параллельный порт;

   r (reboot) -- вызывает внезапную перезагрузку системы;

   s (sector destruction) -- уничтожает отдельные сектора диска;

   v (video effects) -- искажает информацию в видеопамяти;

   w (write port) -- пишет в порты;

   x -- создает сбойные сектора;

   z (zap) -- стирает  информацию в  файлах  или  на  диске,  а  также  в
управляющих таблицах, например в таблице FAT.


                         В -- проявления вируса:

   a (abort) --  появление  запроса  Abort,  Retry,  Ignore  при  попытке
заразить защищенную от записи дискету;

   m (music) -- исполняет  мелодию или  имеет какой-либо  другой звуковой
эффект;

   v (video effects) -- создает визуальный эффект(ы);

   t (text message) -- выдает на экран текстовые сообщения.


                L -- длины головы и хвоста вируса (байт),
                         разделенные знаком "+".


              М -- маскировка при наличии вируса в памяти:

   r (redirection) -- при попытке просмотреть голову на диске резидентный
вирус перехватывает  соответствующую операцию чтения и перенаправляет ее
на сектор, где хранится "оригинал" бут-сектора или MBR;

   c -- тело вируса закодировано;
   w -- блокирование записи в сектора, занимаемые вирусом;

   n -- маскировка отсутствует.


 N -- номер первого несовпадающего байта при сопоставлении зараженного и
                нормального секторов начальной загрузки.


                        S -- стратегия заражения:

Метод выбора жертвы:

   r (read) -- при любом обращении к дискете;

   в (boot) -- при мягкой перезагрузке.

Место  хранения   "хвоста"  вируса   и  оригинальной  копии  бут-сектора
(указывается  через  черточку  в  порядке  "расположение  на  дискете  --
"расположение на  винчестере"; при  совпадении адресов  для винчестера и
дискеты адрес указывается один раз):

   xN -- в N кластерах, помеченных вирусом как дефектные;

   tl -- на последней дорожке дискеты или винчестера;

   t<цифра> -- на дополнительной дорожке, например t40;

   N.N.N -- по абсолютному адресу (цилиндр.головка.сектор) на дискете или
винчестере.


    R (resident) -- положение в оперативной памяти, реакция на теплую
                перезагрузку и размер занимаемой памяти:

   u (upper) -- в  старших адресах  памяти с  соответствующим уменьшением
общего объема доступной системе оперативной памяти;

   w (survive Warm reboot) --   "выживание"   при   теплой   перезагрузке
(возможно, в основном, для вирусов, инсталлирующихся по типу u);

   <целое> -- объем оперативной памяти, резервируемый вирусом.


                Z -- побочные проявления действий вируса:

   e -- появление ошибок типа деления на нуль, переполнения стека и т.п.;

   f (FAT) -- искажения FAT;

   h (hang) -- зависания системы;

   v (video) -- мерцание  монитора или выдача на экран каких-то случайных
последовательностей символов.

   2. Бутовые вирусы  обычно  перехватывают  прерывание  13h  и  поэтому
конфликтуют с  драйверами накопителей  на  гибких  дисках,  реализующими
нестандартные форматы  (например, драйвером 800.COM). Данное проявление,
как правило, в таблице не указано.

   3. Для  бутовых  вирусов  предусмотрена  специальная  сигнатура,  для
которой в подграфе "Вид" принято обозначение:

   SJ -- J-сигнатура  (первые три  байта бут-сектора,  т.е. объектный код
команды JMP,  служащий для обхода таблицы параметров). Для незараженного
бут-сектора J-сигнатура в MS DOS 3.3 равна EB3490h.
