
                      7. КАТАЛОГ БУТОВЫХ ВИРУСОВ,
                          ОБНАРУЖЕННЫХ В СССP

   Как уже  указывалось, бутовые  вирусы  обладают  существенно  меньшей
инфицирующей способностью,  чем файловые (дискет значительно меньше, чем
файлов).  Их  общее  количество  на  порядок  меньше  общего  количества
файловых вирусов.  Зараженность компьютера  этим  типом  вируса  удобнее
всего проверять  при загрузке,  вставив в  AUTOEXEC.BAT вызов  программы
SysTest Я.У.Гринфельдса  (Софтпанорама, т.2,  No. 10)  или ей  аналогичной
(AVB).

   В настоящее  время можно  выделить четыре     группы бутовых вирусов:
итальянскую, пакистанскую,  новозеландскую и  индийскую. Первыми  в СССР
появились вирусы итальянской группы. Наиболее распространенными в насто-
ящее время являются вирусы новозеландской и индийской групп.

   Основным методом борьбы с бутовыми вирусами является входной контроль
поступающих дискет  и периодическая  ревизия имеющихся архивов. Методика
входного контроля  для  бутовых  вирусов  аналогична  методике  контроля
программного обеспечения  на зараженность  файловыми вирусами.  Дополни-
тельно рекомендуется  вакцинирование дискет  с помощью  бутовой  вакцины
VitaminB (Софтпанорама,  т.3, No. 2), разработанной А.В.Сессой (Днепропет-
ровск). Указанная  вакцина заменяет стандартный бут-сектор дискеты и при
получении управления не только диагностирует  изменения бут-сектора дис-
кеты, но  и в большинстве случаев предотвращает заражение компьютера бу-
товым вирусом  при нечаянной загрузке с зараженной дискеты. Использовать
VitaminB для винчестера не рекомендуется.

   Важной  мерой   профилактики  против  заражения  этим  типом  вирусов
является создание  резервной копии  основных системных блоков винчестера
(MBR, бут-сектора,  FAT и  главного каталога).  Это удобно  выполнять  с
помощью программы  Image из  Norton Utilities или программы Mirror из PC
Shell. При  борьбе с бутовыми вирусами важно не ограничиваться уничтоже-
нием вируса на винчестере, а провести ревизию всех используемых дискет.

                        7.1. Итальянская группа

   Итальянская группа,  в основном,  представлена бутовыми вирусами, де-
монстрирующими интересный визуальный эффект: во время работы пользовате-
ля ни  с того ни с сего на экране появляется хаотически движущееся свет-
лое пятно  (мячик). Первым  и наиболее  распространенным  представителем
этой группы  является вирус  Bx1-1C, на примере которого мы и рассмотрим
эту группу.


              7.1.1. Вирус Bx1-1C  (Ping-Pong -- Пинг-понг;
               Italian Bouncing -- Итальянский попрыгунчик)

   Многие из неформальных названий данного вируса связаны с тем, что ви-
рус визуально  проявляется в  виде светлого  ромбика на  экране дисплея,
двигающегося в случайном направлении и "отражающегося" от символов псев-
дографики. Формально  данный вирус относится к резидентным бутовым виру-
сам типа Вx1: он заражает как дискеты, так и винчестер, а его хвост рас-
положен в одном кластере, помеченном как сбойный, как на дискетах, так и
на винчестере.

   Дамп головы  и хвоста вируса приведены ниже. Как уже указывалось, ин-
фицируются любые дискеты, а не только системные. Оригинальный бут-сектор
находится во  втором секторе  сбойного кластера, что позволяет использо-
вать его  при восстановлении  с помощью  Norton Utilities  или PC Tools.
Длина вируса составляет 1536 (600h) байтов.

   Процесс начальной  загрузки на  IBM-совместимых компьютерах состоит в
считывании бут-сектора, который размещается по адресу 0000:7C00, и пере-
даче управления  по указанному адресу. Когда происходит загрузка с зара-
женного диска,  вместо бут-сектора  считывается голова вируса. Затем уп-
равление передается на начало вируса. Вирус определяет объем памяти ком-
пьютера (слово  по адресу  0040:0013) и уменьшает его значение на 2, ре-
зервируя место  размером 2K  под свою копию. Затем вирус копирует себя в
зарезервированную область,  передает туда  управление, ищет  свою вторую
часть на  диске, дописывает  к себе  свое продолжение и считывает ориги-
нальный бут-сектор  (второй сектор псевдосбойного кластера с хвостом ви-
руса) в память по адресу 0000:7C00. Затем вирус перехватывает прерывание
13h с тем, чтобы контролировать обращения к диску, и запускает стандарт-
ный системный  загрузчик (передавая  управление на адрес 0000:7C00). По-
следний, в свою очередь, загружает IBMBIO.COM и IBMDOS.COM (или IO.SYS и
MSDOS.SYS), т.е.  происходит стандартная загрузка системы. В дальнейшем,
в процессе  работы пользователя  на ЭВМ,  вирус активируется всякий раз,
когда выполняется  операция чтения  с дискеты. Получив управление, вирус
анализирует, относится оно к дискете или к винчестеру. Если это прерыва-
ние относится к дискете, то сначала вирус проверяет, заражена уже данная
дискета или  нет. Для этой цели считывается бут-сектор и проверяется его
содержимое. Если  дискета еще  не заражена, то вирус заражает дискету, а
затем обрабатывает  команду READ.  В случае,  если дискета уже заражена,
вирус сразу  переходит к  обработке команды  READ; так же он поступает в
случае, если дискета защищена от записи.

   Заражение выполняется  следующим образом. Сначала вирус копирует ори-
гинальный бут-сектор  в оперативную  память. Затем  вирус ищет свободный
кластер, который он может пометить как сбойный. Если ни одного свободно-
го кластера  на дискете нет, то заражение не происходит. Если подходящий
кластер найден,  то вирус  копирует туда  оригинальный бут-сектор и свoй
хвост (в первый сектор кластера записывается хвост, а во второй сектор --
оригинальный бут-сектор). Для того, чтобы занятый вирусом кластер не был
использован MS DOS  при создании  нового файла, вирус помечает этот кла-
стер как  сбойный. И, наконец, вирус записывает свою голову в бут-сектор
заражаемого диска, предварительно записав в ней номер кластера, содержа-
щего хвост  вируса. Заражение дискет происходит стандартным образом: при
обращении к  дискете. При  заражении винчестера  вирус анализирует в MBR
таблицу разделов (Partition Table) и определяет положение бут-сектора на
винчестере.

   Стадия проявления у данного вируса наступает через случайный промежу-
ток времени,  варьирующийся от десятков минут до десятков часов. Условия
активизации точно  автору не  известны, однако   эффект, заключающийся в
появлении на экране светлого ромбика (знак 07h ASCII), который хаотичес-
ки движется  по диагоналям,  наблюдается при  любом типе  установленного
адаптера. Для  обеспечения этого  эффекта вирус перехватывает прерывание
10h. Ромбик беспрепятственно проходит сквозь обычные символы, однако от-
ражается от границ экрана и символов псевдографики.  В некоторых случаях
при прохождении  через символ  ромбик изменяет цвет символа или заменяет
символ собой,  искажая содержимое экрана. Изменение цвета часто наблюда-
ется со стандартной подсказкой DOS. При записи в память искажения сохра-
няются. Поэтому  можно исказить редактируемый текст, работая на заражен-
ной машине.  Если экран  находится в  графическом режиме,  то движущийся
ромбик изменяет цвет полей, через которые он проходит. Для некоторых игр
это приводит к быстрому окрашиванию экрана в черный цвет, что делает не-
возможным продолжение игры.

   В теле вируса имеется экзотическая команда, которую выполняет микроп-
роцессор 8086/8088  и не  выполняет микропроцессор  80286. Поэтому вирус
работоспособен только  на машинах  класса XT.  При попытке загрузиться с
зараженной дискеты  на IBM  PC AT система  зависает. Заражаемые  дискеты
должны иметь  сектора размером  512 байтов  и кластер, состоящий из двух
секторов.

   Исторические сведения.  Данный вирус  появился на  Западе примерно  в
конце 1987 г.  В СССР  появился  в  конце  1988 г.  (в  Киеве  в  начале
1989 г.).  Bx1-1C был первым бутовым вирусом, попавшим в СССР, и получил
значительное распространение. Пик эпидемии наблюдался в сентябре 1989 г.
Первым и достаточно удачным фагом для этого вируса, появившимся в Киеве,
была зарубежная  программа PNCL (Софтпанорама, т.1, No. 1). Поскольку дан-
ный вирус является одним из самых распространенных бутовых вирусов, име-
ются многочисленные  штаммы. Описанная  версия в настоящее время практи-
чески полностью уничтожена.

   Неформальные названия.  Для данного  вируса существует порядка десяти
неформальных названий.  Среди них:  Bouncing  Dot  --  Танцующий  зайчик;
Bouncing Ball  -- Прыгающий  мячик; Italian Bouncing -- Итальянский попры-
гунчик; Ball  -- Мячик, Vera Cruz -- Вера Круз, Italian -- Итальянский. По-
лидетектор Scan  опознает этот  вирус как  "Ping Pong  Virus -- Version B
[Ping]".

   Методы и средства защиты. При проверке полученных дискет удобнее все-
го сравнивать  первые три  байта (J-сигнатуру)  дампа. Перед считыванием
информации с  полученной дискеты  рекомендуется обязательно  провести ее
вакцинирование с помощью бутовой вакцины VitaminB.

   Вирус можно  идентифицировать путем визуального просмотра содержимого
бут-сектора (использовать  Norton Utilities удобнее чем PCTools). Norton
Utilitis (NU)  выдает FAT  в "полуинтерпретированном"  виде и  позволяет
сразу определить  номер кластера, помеченного как сбойный, что облегчает
его поиск  и анализ.  Как уже  указывалось, вирус хранит содержимое нор-
мального  бут-сектора   во  втором  секторе  своего  сбойного  кластера.
Рекомендуемые в  прил.2 полифаги  распознают и  уничтожают  этот  вирус,
предварительно нейтрализуя  его в  памяти. Тем  не менее лучше выполнять
эту операцию, загрузившись с защищенной от записи эталонной дискеты. При
борьбе с  данным вирусом  важно не ограничиваться уничтожением вируса на
винчестере, а провести полную ревизию всех используемых дискет.

                        Дамп головы вируса Bx1-1C

000: EB1C90504320546F 6F6C730002020100  ...PC Tools.....
010: 027000D002FD0200 09000200000033C0  .p............3.
020: 8ED0BC007C8ED8A1 13042D0200A31304  ....|.....-.....
030: B106D3E02DC0078E C0BE007C8BFEB900  ....-......|....
040: 01F3A58EC80E1FE8 000032E4CD138026  ..........2....&
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
120: F77DFE5A595B5807 1FEA1B0300C8B801  .}.ZY[X.........
130: 02B600B90100E88A FFF606F87D807423  ............}.t#
140: BEBE81B90400807C 0401740C807C0404  .......|..t..|..
150: 740683C610E2EFC3 8B148B4C02B80102  t..........L....
160: E860FFBE0280BF02 7CB91C00F3A4813E  .`......|......>
170: FC8157137515803E FB8100730DA1F581  ..W.u..>...s....
180: A3F57D8B36F981E9 0801C3813E0B8000  ..}.6.......>...
190: 0275F7803E0D8002 72F08B0E0E80A010  .u..>...r.......
1A0: 8098F726168003C8 B82000F726118005  ...&..... ..&...
1B0: FF01BB0002F7F303 C8890EF57DA1137C  ............}..|
1C0: 2B06F57D8A1E0D7C 33D232FFF7F3408B  +..}...|3.2...@.
1D0: F88026F77DFB3DF0 0F7605800EF77D04  ..&.}.=..v....}.
1E0: BE01008B1E0E7C4B 891EF37DC606B27E  ......|K...}...~
1F0: FEEB0D01000C0001 00240200571355AA  .........$..W.U.
          Хвост вируса, записанный в "псевдосбойном" кластере

000: FF06F37D8B1EF37D 8006B27E02E88DFE  ...}...}...~....
010: EB39B80300F606F7 7D04740140F7E6D1  .9......}.t.@...
020: E82A26B27E8BD881 FBFF0173D38B9700  .*&.~......s....
030: 80F606F77D04750D B104F7C601007402  ....}.u.......t.
040: D3EA80E60FF7C2FF FF7406463BF776C2  .........t.F;.v.
050: C3BAF7FFF606F77D 04750D80E60FB104  .......}.u......
060: F7C601007402D3E2 099700808B1EF37D  ....t..........}
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .

                         7.1.2. Штамм Bx1-1C-y
   (Ping-Pong modified by Yankee Doodle -- Пинг-понг, модифицированный
                          вирусом Янки Дудль)

   В данном  штамме имеются изменения, вносимые вирусами подгруппы музы-
кальных самоедов.  Изменения состоят во введении счетчика, увеличивающе-
гося на  единицу при каждом заражении. При достижении счетчиком значения
255 вирус теряет способность к дальнейшему размножению.

   Исторические сведения. Выделен и изучен И.В.Сысоевым. Приводимые све-
дения опираются непосредственно на его сообщение на семинаре.

   Неформальные названия. Помимо приведенного выше, отсутствуют.

   Методы и средства защиты. Рекомендуется использовать полифаг AV.


                         7.1.3. Штамм Bx1-1C-h
              (Hacked Ping-Pong -- Искромсанный пинг-понг)

   Данный штамм  является версией  оригинального вируса, в котором непо-
средственно в загрузочном модуле сделаны изменения, направленные на сти-
рание первых  секторов диска при нажатии клавиши Scroll Lock. Из-за оши-
бок при  корректировании загрузочного  модуля "по  живому" данный  штамм
только размножается. Впрочем, возможно имеется и "доработанная" версия.

   Исторические сведения. Выделен и изучен И.В.Сысоевым. Приводимые све-
дения опираются непосредственно на его сообщение на семинаре.

   Неформальные названия. Помимо приведенного выше, отсутствуют.

   Методы и средства защиты. Рекомендуется использовать полифаг AV.

                       7.2. Южнозеландская группа

   Для данной  группы характерно заражение MBR на винчестере и минималь-
ный хвост,  размером в  один сектор, содержащий только оригинальный бут-
сектор (или  MBR), который размещается не в псевдосбойном кластере, а по
определенному абсолютному  адресу, приходящемуся  на  начальные  сектора
диска. Другой  особенностью вирусов  данной группы  является то, что они
заражают винчестер сразу после инсталляции в оперативную память, т.е. до
передачи управления  стандартному загрузчику, а не после, как это делает
большинство вирусов других групп.


                7.2.1. Вирус M-05 (Stoned -- Забалдевший)

   Неформальное название  данного вируса связано с тем, что при загрузке
MS DOS с  вероятностью 1/8  на экран  выдается сообщение "Your PC is now
Stoned" ("Ваш  компьютер забалдел"),  после которого, с некоторой задер-
жкой, возрастающей  по мере  увеличения количества перезагрузок и сопро-
вождающейся характерным звуком, выполняется нормальная загрузка.

   Формально M-05  представляет собой бутовый вирус, заражающий как дис-
кеты,  так   и  винчестер.   Голова  вируса  содержит  строку  "LEGALISE
MARIJUANA!". Хвост  состоит только из оригинального бут-сектора. Работо-
способен как на PC XT, так и на PC AT.

   Заражение дискет выполняется стандартным образом. Вирус перехватывает
прерывание 13h  и проверяет запрашиваемую по данному прерыванию функцию.
Если это чтение или запись, то вирус определяет, к какому диску идет об-
ращение. Если  это диск А, то вирус считывает бут-сектор с дискеты и оп-
ределяет, заражен ли он уже или нет. Если нет, то считанный оригинальный
бут-сектор записывается по адресу 0/1/3, а вместо него записывается тело
вируса.

   Заражение винчестера выполняется при инсталляции вируса. Вирус считы-
вает MBR  винчестера и  по первым  четырем байтам определяет, заражен он
или нет.  Если не заражен, то выполняется его заражение путем записи го-
ловы вируса   в MBR. Расположение хвоста вируса отличается для дискеты и
винчестера. Как уже указывалось, на дискете хвост вируса расположен не в
сбойном кластере, а в секторе с абсолютным адресом (цилиндр/дорожка/сек-
тор) 0/1/3  -- последнем секторе главного каталога дискеты. На винчестере
хвост располагается  в свободном секторе с абсолютным адресом 0/0/7, ко-
торый обычно  представляет собой неиспользуемое пространство между MBR и
началом логического диска С.

   При заражении  дискеты проверок, занят указанный выше сектор информа-
цией или нет, вирус не выполняет. Поэтому на дискете, содержащей в глав-
ном каталоге  много мелких программ (более 96), возможно уничтожение ча-
сти каталога. Поскольку при заражении дискет вирус не проверяет тип дис-
кеты, то  при заражении дискет 720K или 1.2M может быть уничтожена часть
FAT. Пораженные  дискеты могут быть восстановлены, поскольку MS DOS хра-
нит две копии FAT.

   В случае, если винчестер разбит более чем на четыре логических разде-
ла с  помощью SpeedStore, содержимое записей Partition Table всех разде-
лов  после   четвертого  при  заражении  теряется  и  до  восстановления
оригинального MBR становится недоступной. Кроме того, если диск размечен
так, что  сектор 0/1/7 используется для хранения информации, вирус унич-
тожит эту  информацию. Такие случаи наблюдаются при разметке диска c по-
мощью ADM.  Информацию об  этих разделах  можно восстановить  с  помощью
Norton Disk Doctor.

   Фаза проявления привязана к загрузке с дискеты. Если компьютер загру-
жается с  зараженной дискеты,  то с веротностью 1/8 на экране появляется
приведенное выше сообщение.

   Исторические сведения. Вирус M-05 впервые был обнаружен в Веллингтоне
(Новая Зеландия) в начале 1988 г. и быстро распространился в Азии, а за-
тем в  США и  Европе. Исторически  это первый  бутовый вирус, заражавший
MBR. По данным П.Хоффман, оригинальный вирус заражал только пятидюймовые
дискеты 360K.  С этой точки зрения описанный выше вирус следует рассмат-
ривать как  штамм оригинального  (Stoned-B). В  нашей стране  появился в
конце 1989 г. практически одновременно в нескольких городах. В настоящее
время является самым распространенным в СССР бутовым вирусом.

    Имеется несколько штаммов, среди которых отметим штамм Stone Rostov,
описанный ниже,  а также Stoned-C: штамм с удаленным сообщением; Stoned-
D: аналогичен  описанному выше, однако способен заражать дискеты типа HD
(как трех-, так и пятидюймовые).

   Неформальные названия.  Помимо приведенного  выше, встречаются назва-
ния: Marijuana  -- Марихуана,  Hawaii -- Гаваи, New Zealand -- Новая Зелан-
дия, San  Diego --  Сан Диего, Smithsonian -- Смитсонианский. Полидетектор
Scan называет данный вирус "Stoned Virus [Stoned]".

   Методы и средства защиты. Рекомендуемые детекторы и полифаги приведе-
ны в  прил.2. В связи с тем, что вирус заражает винчестер в процессе ин-
сталляции,  универсальная   бутовая  вакцина  VitaminB  способна  только
диагностировать факт  заражения, но  не в состоянии предотвратить его. В
таких случаях нужно сразу перегрузиться с защищенной от записи дискеты с
эталонной операционной  системой и  запустить подходящий  фаг. В  случае
обнаружения вируса  в организации  рекомендуется провести  ревизию  всех
используемых дискет.


           Дамп бут-сектора дискеты, зараженной вирусом M-05

000: EA0500C007E99900 0043A300F0E40040  .........C.....@
010: 9F007C00001E5080 FC02721780FC0473  ..|...P...r....s
020: 120AD2750E33C08E D8A03F04A8017503  ...u.3....?...u.
030: E80700581F2EFF2E 0900535152065657  ...X......SQR.VW
040: BE0400B801020E07 BB000233C98BD141  ...........3...A
050: 9C2EFF1E0900730E 33C09C2EFF1E0900  ......s.3.......
060: 4E75E0EB359033F6 BF0002FC0E1FAD3B  Nu..5.3........;
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
170: 1F0E07BEBE03BFBE 01B94202F3A4B801  ..........B.....
180: 0333DBFEC1CD13EB C507596F75722050  .3........Your P
190: 43206973206E6F77 2053746F6E656421  C is now Stoned!
1A0: 070D0A0A004C4547 414C495345204D41  .....LEGALISE MA
1B0: 52494A55414E4121 0000000000000000  RIJUANA!........
1C0: 0000000000000000 0000000000000000  ................
1D0: 0000000000000000 0000000000000000  ................
1E0: 0000000000000000 0000000000000000  ................
1F0: 0000000000000000 0000000000000000  ................


   Следует обратить внимание, что в конце зараженного бут-сектора отсут-
ствует двухбайтовый признак загружаемого бут-сектора 55h AAh.

                           7.2.2. Штамм M-05r
                   (Stone Rostov -- Ростовский балдеж)

   Данный  штамм   практически  идентичен   базисной  версии.   В  конце
зараженного бут-сектора  отсутствует характерная  подпись 55AAh  и видны
обрывки стандартных  текстовых сообщений. Изменена лишь часть кода, свя-
занная с проявлением вируса: данный штамм не содержит ни характерных для
базисной версии текстовых строк, ни кода, который выводит их на дисплей.
Вместо этого  вставлен код,  который при загрузке с зараженной дискеты с
вероятностью 1/32 стирает на винчестере 8 секторов.

   Исторические сведения.  Вирус M-05r  был обнаружен  в  Ростове  летом
1990 г. Автору передан Д.Н.Лозинским.

   Неформальные названия. Помимо приведенных выше, неизвестны.

   Методы и  средства защиты.  Аналогичны  рекомендованным  для  базовой
версии.


           Дамп бут-сектора дискеты, зараженной вирусом M-05r

000: 9A0500C007E99900 00E90100C8E40080  ................
010: 9F007C00001E5080 FC02721780FC0473  ..|...P...r....s
020: 120AD2780E33C08E D8A03F04A8017503  ...x.3....?...u.
030: E80700581F2EFF2E 0900535152065657  ...X......SQR.VW
040: BE0400B801020E07 BB000233C98BD141  ...........3...A
050: 9C2EFF1E0900730E 33C09C2EFF1E0900  ......s.3.......
060: 4E75E0EB359033F6 BF0002FC0E1FAD3B  Nu..5.3........;
070: 057506AD3B450274 21B80103BB0002B1  .u..;E.t!.......
080: 03B6019C2EFF1E09 00720FB8010333DB  .........r....3.
090: B10133D29C2EFF1E 09005F5E075A595B  ..3......._^.ZY[
0A0: C333C08ED8FA8ED0 BC007CFBA14C00A3  .3........|..L..
0B0: 097CA14E00A30B7C A113044848A31304  .|.N...|...HH...
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
170: 1F0E07BEBE03BFBE 01B94202F3A4B801  ..........B.....
180: 0333DBFEC1CD13EB C5074E6F6E2D7379  .3........Non-sy
190: 7374656D20646973 6B20202020202020  stem disk
1A0: 200D0A0A00526570 6C61636520616E64   ....Replace and
1B0: 20737472696B6520 0000000000000000   strike ........
1C0: 0000000000000000 0000000000000000  ................
1D0: 0000000000000000 0000000000000000  ................
1E0: 0000000000000000 0000000000000000  ................
1F0: 0000000000000000 0000000000000000  ................


             7.3. Вирус Bx3-EB (Disk Killer -- Диск-киллер)

   Неформальное название  данного вируса  связано с  содержащимися в его
теле текстовыми  строками (см. ниже). Формально данный вирус относится к
бутовым вирусам  типа Вx3,  поскольку поражает как дискеты, так и винче-
стер, причем  на дискете хвост вируса расположен в трех кластерах, поме-
ченных как сбойные. Дамп секторов, содержащих данный вирус, приведен ни-
же. Иногда  из-за ошибки  в вирусе эти сектора "отнимаются" у некоторого
файла, а  не берутся из свободного пространства и создается впечатление,
что файл  заражен данным вирусом. Например, автору был передан экземпляр
программы DISKCOPY, содержащей в хвосте тело данного вируса.

   Вирус поражает  и винчестер, однако размещает свой хвост не в псевдо-
сбойных кластерах,  а в секторах, расположенных между MBR и началом раз-
дела С.

   Процесс размножения стандартен. Данный вирус, как и большинство буто-
вых вирусов, конфликтует с драйверами дискет, поддерживающих нестандарт-
ные форматы (например, 720K). При этом либо система зависает, либо выда-
ется сообщение о делении на нуль.

   Инфицированный диск  содержит сообщение  и часть  кода вируса  в бут-
секторе. Остальная часть вируса, включая копию оригинального (т.е. неза-
раженного) бут-сектора,  содержится в  трех кластерах,  которые, как уже
указывалось выше по разному размещаются на дискете и винчестере.

   Фаза проявления  данного вируса  состоит в  прописывании определенным
символом всего  содержимого раздела С. Если винчестер содержит несколько
разделов, то  остальные разделы  остаются нетронутыми (при использовании
ADM). Вирус подсчитывает время использования диска с момента заражения и
активируется после  достижения определенного  значения (примерно  48 ч).
Обычно это  означает 1-6 недель с момента заражения в зависимости от ин-
тенсивности использования компьютера. Фаза проявления начинается с выда-
чи сообщения, содержащегося в коде вируса.

  "Disk Killer -- Version 1.00 by COMPUTER OGRE 04/01/89
  Warning!!
  Don't turn off the power or remove the diskette while Disk Killer is
  Processing!
  PROCESSING
  Now you can turn off the power. I wish you Luck!"
  "Диск Киллер -- Версия 1.00 КОМПЬЮТЕРНОГО ЛЮДОЕДА
  01.04.89
  Предупреждение !!
  Не выключайте компьютер и не удаляйте дискету
  пока работает Диск Киллер!
  ОБРАБОТКА
  Теперь вы можете выключить компьютер. Желаю удачи!"

   Следует отметить,  что в  этот момент еще можно спасти часть информа-
ции, нажав  на кнопку перезагрузки (теряются системные блоки). Затем ви-
рус кодирует  сектора, выполняя  операцию XOR  со  значениями  0AAAAh  и
05555h. Как  известно, операция XOR обратима, поэтому можно восстановить
перекодированную информацию.

   Исторические сведения. В теле вируса содержится дата 04/01/89 (по-ви-
димому, в  американском формате месяц/день/год), которую можно интерпре-
тировать как  дату создания  вируса. По  данным П.Хоффман, был выделен в
Калифорнии в  апреле 1989 г.  и имеет  тайванское происхождение. В нашей
стране вирус появился в начале 1990 г.

   Неформальные названия.  Полидетектор Scan называет данный вирус "Disk
Killer Virus  [Killer]". Другими неформальными названиями, помимо приве-
денных в заголовке являются Ogre -- Людоед, Computer Ogre, Disk Ogre.

   Методы и средства защиты. Вирус можно идентифицировать путем визуаль-
ного просмотра  содержимого бут-сектора,  например, Norton  Utilities. В
качестве детектора  может использоваться  полидетектор Scan. Вместо фага
можно использовать команду SYS. При разбивке винчестера раздел С следует
создавать минимальным, записывая туда только компоненты операционной си-
стемы. В этом случае восстановление становится тривиальным.

              Дамп бут-сектора, зараженного вирусом Bx3-EB

000: FAEB4F4D53444F53 332E330002020100  ..OMSDOS3.3.....
010: 027000D002FD0200 0900020000000000  .p..............
020: 0000000000000000 0000000000000012  ................
030: 000000000100FA33 C08ED0BC0000CB3C  .......3.......<
040: B200AE0000007400 0000005500000000  ......t....U....
050: 55552EA11304B106 D3E08ED8813E3E00  UU...........>>.
060: CB3C75081E8D063B 0250FBCBB8007CB1  .<u....;.P....
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
1C0: F501A33F01EB0C90 B80000A34101FEC4  ...?........A...
1D0: A33F01B90300B001 51E867FF597308B4  .?......Q.g.Ys..
1E0: 00CD83E2F3F9C3F8 C300000000000000  ................
1F0: 0000000080010100 00000000000055AA  ..............U.

             Фрагмент дампа первого псевдосбойного сектора
                       с телом вируса Disk Killer

000: FA2EC60664018333 C08ED8A12000A304  ....d..3.... ...
010: 02A12200A30602A1 4C00A30C02A14E00  ..".....L.....N.
020: A30E02B87B02A320 00B88F02A34C008C  ....{.. .....L..
030: C8A32200A34E00FB EB159033C08ED88C  .."..N.....3....
040: C88EC0BE037CBF03 00B94700FCF3A433  .....|....G....3
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .

             Фрагмент дампа сектора с текстовой информацией

500: 00C70641010000C6 064001018CC88EC0  ...A.....@......
510: BBA208B001E82FFA B80006B90000BA4F  ....../........O
520: 18BB0800CD10B402 B700BA000CCD10BB  ................
530: 2C00BEDF07E85101 EBFE4469736B204B  ,.....Q...Disk K
540: 696C6C6572202D2D 2056657273696F6E  iller -- Version
550: 20312E3030206279 20434F4D50555445   1.00 by COMPUTE
560: 52204F4752452030 342F30312F313938  R OGRE 04/01/198
570: 390D0A005761726E 696E672021210D0A  9...Warning !!..
580: 0A446F6E27742074 75726E206F666620  .Don't turn off
590: 74686520706F7765 72206F722072656D  the power or rem
5A0: 6F76652074686520 6469736B65747465  ove the diskette
5B0: 207768696C652044 69736B204B696C6C   while Disk Kill
5C0: 6572206973205072 6F63657373696E67  er is Processing
5D0: 210050524F434553 53494E470D0A004E  !.PROCESSING...N
5E0: 6F7720796F752063 616E207475726E20  ow you can turn
5F0: 6F66662074686520 706F7765722E0D0A  off the power...
600: 0A49207769736820 796F75206C75636B  .I wish you luck
610: 20210057B93A00BE A508BF0300FCF3A4   !.W.:..........
620: 5FC3C60632080290 EB09C60632080390  _...2.......2...
630: EB01005033D28B0E 1A00F7F1C6064001  ...P3.........@.
640: 0188163F01A34101 A162088EC08A2632  ...?..A..b....&2
650: 08A01800E8F4F873 05B400CD13F958C3  .......s......X.
660: 00000000501EFF36 62081F2E8B0E6008  ....P..6b.....`.



                         7.4. Индийская группа

   Индийская группа является, по-видимому, продуктом деятельности техно-
крысы, живущей  в Бомбее.  В настоящее время в СССР обнаружены два пред-
ставителя этой группы.


                   7.4.1. Вирус WM-1F (Joshi -- Джоши)

   Название данного  вируса связано  с тем,  что при загрузке MS DOS с 5
января любого года на экран выдается соообщение

   Type "Happy Birthday Joshi" !

и компьютер  ожидает ответа.  Если ввести ответ Happy Birthday Joshi, то
загрузка будет  продолжена. По данным Д.Н.Лозинского, при программирова-
нии выдачи сообщения автор вируса ориентировался только на цветной мони-
тор.

   Вирус WM-1F  является наиболее  скрытным и тщательно маскирующимся из
попавших в CCCР бутовых вирусов. Это единственный из попавших в СССР ви-
русов, который "переживает" теплую перезагрузку. Для этого он перехваты-
вает прерывание  от клавиатуры, контролируя нажатие Ctrl-Alt-Del.  Зара-
жает дискеты емкостью как 360К, так и 1.2М, а также винчестер.

   При заражении  дискет, подобно  описываемому ниже  вирусу  D-29  (Den
Zuk), записывает хвост на дополнительную дорожку (41 для 360К дискет, 81
для 1.2М дискет). При этом проверок, заняты указанные сектора информаци-
ей или нет, вирус не выполняет. Поэтому на дискете, содержащей на 41 до-
рожке какую-то информацию (например, "замок" защиты от копирования), она
будет уничтожена. Как обычно, для заражения достаточно единственного об-
ращения к дискете при резидентном вирусе.

   Похоже, автор  лишь поверхностно знаком с особенностями формата 1.2M.
Распознавание дискет  1.2M выполняется  некорректно --  с помощью попытки
чтения 17 сектора. Поэтому возможно распознавание дискет 1.2М как 360K и
"вклеивание" тела  вируса в  середину дискеты с соответствующими послед-
ствиями.

   При заражении винчестера голова вируса записывается в MBR, аналогично
вирусу M-05  (Stoned). При этом хвост вируса располагается в восьми сек-
торах, начиная  с абсолютного  адреса 0/0/2, т.е. сектора, следующего за
MBR (как уже отмечалось, обычно эти сектора представляют собой неисполь-
зуемое пространство  между MBR  и началом  логического диска С). Из этих
восьми секторов  6 заняты  собственно хвостом  вируса, следующий седьмой
сектор --  пустой, а восьмой содержит оригинальный MBR. Как и при зараже-
нии дискеты, при заражении винчестера вирус не проверяет содержимое этих
секторов. Зараженный MBR при резидентном вирусе не виден. Механизм обес-
печения данного  эффекта заимствован  из вируса  Dx3-E9 (Brain):   вирус
анализирует запросы  к винчестеру и перенаправляет операцию чтения нуле-
вого сектора на сектор, где хранится "спрятанная" Partition Table.

   В памяти  вирус размещается  в старших  адресах, "откусывая" у MS DOS
6К. Вирус  перехватывает прерывания 8h, 9h, 13h и 21h -- почти как какой-
нибудь файловый вирус.

   Как уже  указывалось, отличительной особенностью данного вируса явля-
ется то,  что он  перехватывает прерывание  от клавиатуры, что позволяет
этому вирусу  "выживать" при  теплой перезагрузке  (с помощью  Ctrl-Alt-
Del).

   Исторические сведения.  Вирус WM-1F  впервые был  обнаружен в Индии в
июне 1990 г.  В нашей  стране появился уже в июле. В Киеве был обнаружен
Б.Ю.Литвиновым, а в Москве Д.Н.Лозинским.

   Неформальные названия.  Полидетектор Scan называет данный вирус Joshi
- Джоши. Среди других названий отметим Happy Birthday -- С днем рожденья.
   Методы и средства защиты. При попытке разметить дискету 1.2M на зара-
женной машине  начинаются "фокусы":  из меню  PC Tools этот формат может
пропасть, размеченные  дискеты сбоят  и т.д. Эта характерная особенность
может служить  достаточно надежным признаком заражения компьютера данным
вирусом. Рекомендуемые  детекторы и полифаги приведены в прил.2. В част-
ности для  входного контроля  можно использовать полидетектор Scan в со-
четании с  полифагом SOS.  В организациях,  использующих  ADM  или  Disk
Manager, при  обнаружении случаев заражения рекомендуется перейти к сис-
тематическому резервированию системных блоков, например с помощью встав-
ки вызова  программ Image  или Mirror  в AUTOEXEC.BAT. Наличие резервной
копии системных  блоков позволяет восстановить их "предпоследнее" (а для
MBR и  бут-сектора -- последнее, поскольку они являются статическими) со-
держимое, что  позволит провести  восстановление с минимальными потерями
информации. Вообще говоря, с учетом записи хвоста этого и некоторых дру-
гих вирусов в область между MBR и бут-сектором логического диска С, хра-
нение какой-то информации в секторах первой дорожки винчестера представ-
ляется нецелесообразным.


                    Фрагменты дампа MBR винчестера,
                       зараженного вирусом WB-1F

000: EB1F90C007E99900 021B0300C8E40080  ................
010: 7F007C00001E5080 FC02721780FC0002  ..|...P...r.....
020: 80FA8CC88ED88ED0 BC00F0FBA11304B1  ................
030: 06D3E08EC0B80002 2D2100BF0000BE00  ........-!......
040: 7C03F003F8B97901 2BC8FCF3A675108C  |.....y.+....u..
050: C00520008EC0BB00 000653B80100CBA1  .. .......S.....
060: 13042D0600A31304 B106D3E08EC0BE00  ..-.............
070: 7CBF0000B90002FC F3A48CC00520008E  |............ ..
080: C0BB000006530E1F B402B0018A2E1E7C  .....S.........|
090: 8A0E1F7CB6008A16 207C50B800B88ED8  ...|.... |P.....
0A0: 585053515206CD13 075A595B58731050  XPSQR....ZY[Xs.P
0B0: 53515206B400CD13 075A595B58EBE2FE  SQR......ZY[X...
0C0: C181C300021E0E1F 508AC12A061F7C2C  ........P..*..|,
0D0: 08581F72CCB80000 CB00000000000000  .X.r............
0E0: 0000000000000000 0000000000000000  ................
***  расположенные далее байты вирусом не меняются  ***


            7.4.2. Вирус B-21 (PrintScreen -- Печать экрана)

   Неформальное название  вируса связано  с тем,  что вирус  вызывает  в
определенные моменты  времени прерывание  5 (печать  экрана на принтер).
Cпецификация вируса  мало чем  отличается от спецификаций представителей
итальянской группы.  Правда в  отличие от  них  B-21  имеет  вырожденный
хвост, состоящий лишь из оригинального бут-сектора.

   При  инсталляции   "откусывает"  2К.   Как  и   все  бутовые   вирусы
перехватывает вектор  13h. Хвост вируса, состоящий из оригинального бут-
сектора записывается  по адресу  1/3/13  при  заражении  винчестера  или
0/3/13 при заражении дискеты.

   При заражении  винчестера вирус  не  определяет  реального  положения
бутсектора диска  С, а  исходит из  предположения, что бут-сектор всегда
расположен   по адресу     0/1/1. Хотя это предположение оправдывается в
большинстве  случаев,   при  любом  другом  положении  бутсектора  вирус
"попадает пальцем в небо".

   Фаза проявления  связана с  использование местом хранения хвоста, что
может привести  к уничтожению одного из секторов FAT. По замыслу автора,
при каждом  обращении к  диску должно  вызывать  прерывание  5h  (печать
экрана), но из-за ошибки, этого, по-видимому, никогда не происходит.

   Исторические сведения.  Вирус WM-1F  впервые был  обнаружен в  Бомбее
(Индия) в  ноябре 1989 г.  Невилем Булсара (Neville Bulsara). Это первый
известный  индийский   вирус.  Автору  был  передан  Д.Н.Лозинским.  Это
сравнительно редкий  вирус, не  получивший, в  отличие  от  предыдущего,
сколько-нибудь значительного распространения. Имеется два штамма, причем
второй -- более отлаженная версия первого.
   Неформальные названия.  Полидетектор Scan называет данный вирус Print
Screen. Среди других названий отметим    EB 21, 8290, PRTSC Virus.

   Методы обнаружения  и средства  защиты.  Основным признаком заражения
компьютера данным вирусом является резкое замедление доступа к винчесте-
ру. Рекомендуемые  детекторы и  полифаги  приведены  в  прил.2.  Входной
контроль можно выполнять полидетектором Scan.


           Дамп бут-сектора дискеты, зараженной вирусом M-21

000: EB2190504320546F 6F6C730002020100  .!.PC Tools.....
010: 027000D002FD0200 0900020000000000  .p..............
020: 000000FA33C08ED0 BC00F01E161FA113  ....3...........
030: 042D0200A31304B1 06D3E08EC033FFBE  .-...........3..
040: 007CB90002FCF2A4 BFB401BE4C008B04  .|..........L...
050: 89058B4402894502 BB95008CC0891C89  ...D..E.........
060: 4402FB06B8690050 CB33C08EC00E1FB9  D....i.P.3......
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
140: 5F5E5B07FAA15801 8ED08B265A01FB58  _^[...X....&Z..X
150: 1FCD6DCA02008290 6A02460801030000  ..m.....j.F.....
160: 2001A06001FEC875 07CD05FEC8A26001   ..`...u......`.
170: C34F532020434F4D 494F202020202020  .OS  COMIO
180: 5359534D53444F53 2020205359530A0D  SYSMSDOS   SYS..
190: 4469736B20426F6F 74204661696C7572  Disk Boot Failur
1A0: 65000A0D4E6F6E2D 53797374656D2064  e...Non-System d
1B0: 69736B206F722064 69736B206572726F  isk or disk erro
1C0: 72000A0D5265706C 61636520616E6420  r...Replace and
1D0: 707265737320616E 79206B6579207768  press any key wh
1E0: 656E207265616479 0A0D000000000000  en ready........
1F0: 0000000000000000 00000000000055AA  ..............U.


                        7.5. Пакистанская группа

   Представители пакистанской  группы вирусов отличаются тем, что они не
заражают винчестер,  заражая только  дискеты. Первым представителем этой
группы является вирус Dx3-E9. Известные представители группы имеют в бу-
товом секторе  фразу "Welcome to the Dungeon" -- "Добро пожаловать в дол-
говую тюрьму", связанную с мотивами авторов вирусов, освещенными в гл.1.


                7.5.1. Вирус Dx3-E9-s (Singapore Brain --
                Сингапурский вариант Душманских мозгов)

   Вирус Dx3-E9 во многом аналогичен вирусу Bx1-1C, однако, в отличие от
Bx1-1C, он никогда не инфицирует винчестер. При заражении дискеты ее имя
меняется на  (С)Brain, чем  и определяется неформальное название вируса.
Рассматриваемый штамм  появился несколько  позднее оригинальной версии и
имеет, по-видимому, сингапурское происхождение.

   На дискетах  хвост вируса  расположен в  трех кластерах (шести секто-
рах), помеченных  как сбойные.  На зараженной  ЭВМ вирус уменьшает объем
доступной памяти на 7К.

   В отличие от Bx1-1C, на инфицированной MS DOS (с вирусом, находящимся
в старших  адресах  памяти)  невозможно  прочитать  инфицированный  бут-
сектор. В  случае, когда  делается такая  попытка, Dx3-E9 перенаправляет
запрос на  чтение в оригинальный бут-сектор, хранящийся в одном из сбой-
ных кластеров.  Поэтому непременным  условием анализа является предвари-
тельная загрузка MS DOS с незараженной дискеты, защищенной от записи.

   Процесс загрузки в память для данного вируса полностью аналогичен ви-
русу Bx1-1C.

   После того, как вирус стал резидентным, он активируется при возникно-
вении прерывания  по чтению.  Получив управление по этому прерыванию, он
анализирует, относится оно к дискете или к винчестеру. Если это прерыва-
ние относится к дискете, то сначала вирус проверяет, заражена уже данная
дискета или  нет. Для этой цели считывается бут-сектор и проверяются его
четвертый и  пятый байты  (в зараженной  дискете там  находится  подпись
"1234", которая при просмотре дампа имеет вид 3412). Если подпись отсут-
ствует, то  вирус заражает дискету, а затем обрабатывает команду READ. В
случае, если  дискета уже заражена, вирус обрабатывает команду READ; так
же он поступает в случае, если дискета защищена от записи.

   Основное отличие  в функционировании заключается в том, что при зара-
жении дискеты  вирус ищет не один, а три последовательных свободных кла-
стера. Если  их нет,  то заражения не происходит. Однако, если есть лишь
один свободный  кластер, который не относится к двум последним кластерам
дискеты, то  вирус использует его, затирая два соседних кластера и отме-
чая все три как сбойные. Очевидно, что соответствующий файл(ы) поврежда-
ется, и диск будет копироваться с ошибками.

   Фаза проявления состоит в переименовании заражаемых дискет.

   Так же,  как и  Bx1-1C, вирус  Dx3-E9 может загружаться с несистемной
дискеты. При этом после загрузки вирус выдает сообщение:


  Please Insert a Bootable disk
  Then Type [Return]

   Хотя размер  вируса достигает 3К, менее половины кода вируса действи-
тельно выполняется.  Часть кода,  похоже, не  получает управления ни при
каких обстоятельствах  и, возможно,  вставлена для затруднения дизассем-
блирования и анализа.

   Вирус заражает только 40-дорожечные двухсторонние 9-ти секторные дис-
кеты (360K).

   Исторические сведения.  Оригинальная версия  вируса  Dx3-E9  является
первым бутовым  вирусом для MS DOS, получившим массовое распространение,
и была  выявлена в США в октябре 1987 г., где она вызвала настоящую эпи-
демию. Название  Brain связано с тем, что он присваивает имя Brain любой
зараженной дискете. Это один из немногих вирусов, для которых установле-
ны авторы: Basit Farood Alvi (19 лет) и Bruder Amgad (23 года) из Лахора
(Пакистан). Поэтому  иногда  этот  вирус  называют  "Душманские  мозги".
П.Хоффман отмечает наличие ряда штаммов:

   1. Brain-B/Hard  Disk Brain/Houston  Virus - штамм, заражающий винче-
стер;

   2. Brain-C  -- доработанный  штамм Brain-B, в котором метка "(c)Brain"
удалена;

   3. Clone  Virus -- доработанный штамм Brain-C, в котором опять восста-
новлена оригинальная метка;

   4. Clone-B -- наиболее опасный штамм -- версия Clone Virus, модифициро-
ванная так, что она уничтожает FAT винчестера после 5.05.92.

   Рассматриваемый сингапурский  штамм Dx3-E9  был первым штаммом Brain,
обнаруженным в  СССР. Его  выделил А.В.Сесса  в Днепропетровске в начале
сентября 1989 г.  на "дистрибутивных" дискетах с пакетами Dr. Halo III и
GeniScan Edit,  входивших в  поставочный пакет  сканера фирмы Genius. По
данным А.В.Сессы,  вирус попал  в Днепропетровск  вместе с компьютерами,
привезенными из Тайваня на компьютерную ярмарку.

   Первым детектором  для данного вируса был полидетектор Scan, а первым
фагом --  программа NoBrain. Как детектор, так и фаг были известны в СССР
до появления самого вируса (распространялись через бюллетень Софтпанора-
ма в сентябре-октябре 1989 г.).

   Неформальные названия.  Помимо приведенного в заголовке, используется
название Brain-88 -- Душманские мозги-88.

   Методы и  средства защиты. Рекомендуемые полифаги приведены в прил.2.
Как уже  указывалось, вирус  нельзя идентифицировать  путем  визуального
просмотра содержимого бут-сектора, например, с помощью PCTools, на зара-
женной машине; его можно определить, только загрузившись с системной за-
щищенной дискеты.  Вакцинирование дискет от данного вируса удобно выпол-
нять с помощью бутовой вакцины VitaminB, которая полностью предотвращает
возможность заражения компьютера данным вирусом при нечаянной загрузке с
дискеты.


                  Бут-сектор, зараженный вирусом Brain

000: FAE94A0134120102 0600010020202000  ..J.4.......   .
010: 2020202020205765 6C636F6D6520746F        Welcome to
020: 207468652044756E 67656F6E20202020   the Dungeon
030: 2020202020202020 2020202020202020
040: 2020202020202020 2020202020202020
050: 2028432920313938 3820426173697420   (C) 1988 Basit
060: 2620416D6A616420 2870767429204C74  & Amjad (pvt) Lt
070: 642E202020202020 2020202020202020  d.
080: 20425241494E2043 4F4D505554455220   BRAIN COMPUTER
090: 5345525649434553 2E2E373330204E49  SERVICES..730 NI
0A0: 5A414D20424C4F43 4B20414C4C414D41  ZAM BLOCK ALLAMA
0B0: 20495142414C2054 4F574E2020202020   IQBAL TOWN
0C0: 2020202020202020 20204C61686F7265            Lahore
0D0: 2C50616B69737461 6E2E2050683A2034  ,Pakistan. Ph: 4
0E0: 33303739312C2034 34333234382E2056  30791, 443248. V
0F0: 6572202853696E67 61706F7265292020  er (Singapore)
100: 426577617265206F 6620746869732022  Beware of this "
110: 7669727573222E20 49742077696C6C20  virus". It will
120: 7472616E73666572 20746F206D696C6C  transfer to mill
130: 696F6E206F662044 69736B6574746573  ion of Diskettes
140: 2E2E2E2E20242340 2524402121208CC8  .... $#@%$@!! ..
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .


                  Фрагменты дампа хвоста вируса Brain,
                расположенного в псевдосбойных кластерах

     +----- начало оригинального бут-сектора
     |
000: EB349049424D4D53 332E330002020100  .4.IBMMS3.3.....
010: 027000D002FD0200 0900020000000000  .p..............
020: 0000000000000000 0000000000000012  ................
030: 000000000100FA33 C08ED0BC007C1607  .......3.....|..
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
1C0: 0D0A4469736B2042 6F6F74206661696C  ..Disk Boot fail
1D0: 7572650D0A004942 4D42494F2020434F  ure...IBMBIO  CO
1E0: 4D49424D444F5320 20434F4D00000000  MIBMDOS  COM....
1F0: 0000000000000000 00000000000055AA  ..............U.
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
00: EB26202843292031 3938382042617369  .& (C) 1988 Basi
210: 74202620416D6A61 6420287076742920  t & Amjad (pvt)
220: 4C74642E00040100 2EC60625021F33C0  Ltd........%..3.
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
340: 0000000000000000 0000000000000000  ................
350: EB25900300202843 2920313938382042  .%... (C) 1988 B
360: 6173697420262041 6D6A616420287076  asit & Amjad (pv
370: 7429204C746420E8 AD00A1BE063DFDFF  t) Ltd ......=..
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
4A0: 9F8D989F8EE02028 432920427261696E  ...... (C) Brain
4B0: 2024E8DB00720A57 E81F005F7203E8D7   $...r.W..._r...
4C0: 00C3BB9B04B90B00 8A07F6D888044643  ..............FC
                                  +----- еще одна копия
                             |      оригинального
                                  |      бут-сектора
6B0: 09C606090000FE06 0B00C3647461EB34  ...........dta.4
6C0: 9049424D4D53332E 3300020201000270  .IBMMS3.3......p
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
8A0: 424D444F53202043 4F4D000000000000  BMDOS  COM......
8B0: 0000000000000000 0000000055AA0000  ............U...
8C0: 0000000000000000 0000000000000000  ................
***  последующие строки идентичны предыдущей   ***
AB0: 0000000000000000 000000000000FDFF  ................
AC0: FF03400005600007 800009A0000BC000  ..@..`..........
AD0: 0DE0000F00011120 0113400115600117  ....... ..@..`..
AE0: 800119A0011BC001 1DE0011F00022120  ..............!
AF0: 0223400225600227 800229A0022BC002  .#@.%`.'..)..+..
B00: 2DE0022F00033120 0333F0FF00000000  -../..1 .3......
B10: 70FFF77FFF000000 0000000000000000  p..............
B20: 0000000000000000 0000000000000000  ................
***  последующие строки идентичны предыдущей   ***
BF0: 0000000000000000 0000000000000000  ................


                         7.5.2. Вирус Dx3-E9-b
                      (Оригинальная версия Brain;
                    Brain-86 -- Душманские мозги-86)

   Оригинальная версия  Brain в СССР, по-видимому, не отмечалась. Приво-
димый ниже фрагмент бут-сектора воспроизводится по статье [Highland88h].

   Исторические сведения.  Данный вирус является одним из первых компью-
терных вирусов,  созданных для  IBM-совместимых PC и первым компьютерным
вирусом, вызвавшим эпидемию.

   Неформальные названия. Помимо приведенных выше, используется название
Pakistani virus -- Пакистанский вирус.

   Методы и  средства защиты.  Рекомендуется использовать любой полифаг,
пригодный для описанных выше версий.


                          Голова вируса Brain
             (видна только на незараженной вирусом машине)

000: FAE94A0134120102 2700010000000020  ·щJ4' 
010: 2020202020205765 6C636F6D6520746F        Welcome to
020: 207468652044756E 67656F6E20202020   the Dungeon
030: 2020202020202020 2020202020202020
040: 2020202020202020 2020202020202020
050: 2028632920313938 3620426173697420   (c) 1986 Basit
060: 2620416D6A616420 2870767429204C74  & Amjad (pvt) Lt
070: 642E202020202020 2020202020202020  d.
080: 20425241494E2043 4F4D505554455220   BRAIN COMPUTER
090: 5345525649434553 2E2E373330204E49  SERVICES..730 NI
0A0: 5A414D20424C4F43 4B20414C4C414D41  ZAM BLOCK ALLAMA
0B0: 20495142414C2054 4F574E2020202020   IQBAL TOWN
0C0: 2020202020202020 2020204C41484F52             LAHOR
0D0: 452D50414B495354 414E2E2E50484F4E  E-PAKISTAN..PHON
0F0: 45203A3433303739 312C343433323438  E :430791,443248
100: 2C3238303533302E 2020202020202020  ,280530.
110: 2020426577617265 206F662074686973    Beware of this
120: 2056495255532E2E 2E2E2E436F6E7461   VIRUS.....Conta
130: 637420757320666F 722076616363696E  ct us for vaccin
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .


                  7.5.3. Штамм Dx3-E9-a (Ashar -- Ашар)

   Данный штамм отличается от предыдущего тем, что, по данным П.Хоффман,
помимо дискет, он заражает и винчестер. Содержит модифицированное по от-
ношению к  предыдущему вирусу  текстовое сообщение  "VIRUS_SHOE  RECORD,
v9.0. Dedicated  to the dynamic memories of millions of virus who are no
longer with  us today".  Последнее, как  и в предыдущем случае, не видно
при просмотре  бут-сектора на зараженной машине. Используемое неформаль-
ное название  связано с  строкой "(c)ashar", которая обычно содержится в
теле вируса со смещением 04A6h.

   Исторические сведения.  Данный штамм  описан П.Хоффман  в  версии  от
10.08.90. Широко  распространен в США. Имеется версия 9.1, которая в от-
личие от  рассматриваемой версии 9.0 не заражает винчестер. В СССР выде-
лен Д.H.Лозинским в начале 1990 г.

   Неформальные названия.  Помимо приведенного в заголовке, используются
названия Shoe_Virus, UIUC Virus.

   Методы и средства защиты. См. предыдущий штамм.


                      Фрагменты дампа штамма Ashar

000: FAE94A0134120009 1700010000000000  ..J.4...........
010: 57656C636F6D6520 746F207468652020  Welcome to the
020: 44756E67656F6E20 2020202020202020  Dungeon
030: 2863292031393836 20427261696E1726  (c) 1986 Brain.&
040: 20416D6A61647320 2870767429204C74   Amjads (pvt) Lt
050: 6420202056495255 535F53484F452020  d   VIRUS_SHOE
060: 5245434F52442020 2076392E30202020  RECORD   v9.0
070: 4465646963617465 6420746F20746865  Dedicated to the
080: 2064796E616D6963 206D656D6F726965   dynamic memorie
090: 73206F66206D696C 6C696F6E73206F66  s of millions of
0A0: 2076697275732077 686F20617265206E   virus who are n
0B0: 6F206C6F6E676572 2077697468207573  o longer with us
0C0: 20746F646179202D 205468616E6B7320   today - Thanks
0D0: 474F4F444E455353 2121202020202020  GOODNESS!!
0E0: 2042455741524520 4F46205448452065   BEWARE OF THE e
0F0: 722E2E5649525553 20203A205C746869  r..VIRUS  : \thi
100: 732070726F677261 6D20697320636174  s program is cat
110: 6368696E67202020 20202070726F6772  ching      progr
120: 616D20666F6C6C6F 7773206166746572  am follows after
130: 207468657365206D 657373656765732E   these messeges.
140: 2E2E2E2E20242340 2524402121208CC8  .... $#@%$@!! ..
150: 8ED88ED0BC00F0FB A0067CA2097C8B0E  ..........|..|..
160: 077C890E0A7CE857 00B90500BB007EE8  .|...|.W......~.
170: 2A00E84B0081C300 02E2F4A113042D07  *..K..........-.
180: 00A31304B106D3E0 8EC0BE007CBF0000  ............|...
190: B90410FCF3A406B8 000250CB5153B904  ..........P.QS..
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .

                     Фрагменты дампа хвоста вируса,
                расположенного в псевдосбойных кластерах

200: EB26286329203139 383620427261696E  .&(c) 1986 Brain
210: 202620416D6A6164 7320287076742920   & Amjads (pvt)
220: 4C74642000040000 2EC60625021F33C0  Ltd .......%..3.
230: 8ED8A14C00A3B401 A14E00A3B601B876  ...L.....N.....v
240: 02A34C008CC8A34E 00B9040033C08EC0  ..L....N....3...
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
340: 0000000000000000 0000000000000000  ................
350: EB25900300202863 2920313938362042  .%... (c) 1986 B
360: 7261696E20262041 6D6A616473202870  rain & Amjads (p
370: 767429204C7464E8 AD00A1BE063DFDFF  vt) Ltd......=..
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
490: 0363000303BE0E01 000101E0D89DD7E0  .c..............
4A0: 9F8D989F8EE02028 6329206173686172  ...... (c) ashar
4B0: 2024E8DB00720A57 E81F005F7203E8D7   $...r.W..._r...
4C0: 00C3BB9B04B90B00 8A07F6D888044643  ..............FC
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
                                  +----- начало
                                  |   оригинального
                                  |    бут-сектора
6B0: 09C606090000FE06 0B00C3647461EB34  ...........dta.4
6C0: 9049424D2020332E 3300020201000270  .IBM  3.3......p
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
8B0: 0000000000000000 0000000055AA0000  ............U...
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .


                  7.6. Вирус D-29 (Den Zuk -- Ден Зук)
   Неформальное название  данного вируса связано с тем, что вирус выдает
на экран надпись Den-Zuk. Формально данный вирус относится к бутовым ви-
русам типа  D, поскольку  заражает только  дискеты, причем  хвост вируса
расположен на 41 дорожке дискеты, что приводит к тому, что при копирова-
нии зараженной  дискеты с помощью команды DISKCOPY или утилиты PC Tools,
он теряется.

   Следует обратить  внимание, что вирус сохраняет характерные для неза-
раженного вируса  текстовые сообщения в бут-секторе. Данный вирус, как и
большинство бутовых  вирусов, конфликтует с драйверами дискет, поддержи-
вающих нестандартные форматы (например, 720K). При этом либо система за-
висает, либо выдается сообщение о делении на нуль. Хвост вируса располо-
жен на 41 дорожке дискеты. В теле хвоста имеются текстовые строки


  "Welcome to the
  C l u b
  --The HackerS-
  Hackin'
  All The Time
  The HackerS"

   При заражении дискет, уже зараженных вирусами Brain и Ohio, вирус Den
Zuk распознает эти вирусы и удаляет их с дискет. Дискеты, зараженные ви-
русoм Brain, могут также быть переименованы в "Y.C.1.E.R.P.".

   Исторические сведения.  По данным  П.Хоффман, вирус  был разработан в
Индонезии программистом  или программистами,  которые разработали  вирус
Ohio. В  СССР был впервые обнаружен в Москве С.Алексеевым весной 1990 г.
Существуют штаммы  вируса, подсчитывающие количество перезагрузок, и по-
сле того,  как счетчик достигнет значения 5 или 10, форматирующие диске-
ту.

   Неформальные  названия.   Полидетектор  Scan  называет  данный  вирус
Den Zuk. Другими  названиями являются Search (поиск) и Venezuelan (вене-
суэльский).

   Методы и средства защиты. Вирус можно идентифицировать путем визуаль-
ного просмотра  содержимого  бут-сектора,  например,  с  помощью  Norton
Utilities. В  качестве детектора может использоваться полидетектор Scan.
Вместо фага можно использовать команду SYS.


               Дамп бут-сектора, зараженного вирусом D-29

000: EB29904934120001 002E320002020100  .).I4.....2.....
010: 027000D002FD0200 0900020000000000  .p..............
020: 000000000F000000 000100FAFA8CC88E  ................
030: D88ED0BC00F0FBB8 787C50C3730ABB90  ........x|P.s...
040: 7C53C3B9B07C51C3 33C08ED8A1130483  |S...|Q.3.......
050: 3EF604007509A3F6 042D0700A31304B1  >...u....-......
060: 06D3E00E1F8EC0BE 007C33FFB90014FC  .........|3.....
070: F3A406B8000450CB 32E4CD13720D33D2  ......P.2...r.3.
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
150: 0A36307C8BCA86E9 8B161E7CCD13C30D  .60|.......|....
160: 0A4E6F6E2D537973 74656D206469736B  .Non-System disk
170: 206F72206469736B 206572726F720D0A   or disk error..
180: 5265706C61636520 616E642073747269  Replace and stri
190: 6B6520616E79206B 6579207768656E20  ke any key when
1A0: 72656164790D0A00 0D0A4469736B2042  ready.....Disk B
1B0: 6F6F74206661696C 7572650D0A004942  oot failure...IB
1C0: 4D42494F2020434F 4D49424D444F5320  MBIO  COMIBMDOS
1D0: 20434F4D00000000 0000000000000000   COM............
1E0: 0000000000000000 0000000000000000  ................
1F0: 000000497A616B00 00000000000055AA  ...Izak.......U.



                   7.7. Вирус Mx3-36  (Peter -- Питер,
                    Pseudo Cascade -- Псевдо-буквопад)

   Данный  вирус   представляет  интерес   как  первый   вирус,  имеющий
"дезинформирующее" проявление:  осыпание букв,  полностью заимствованное
из вируса RC-1701.CAS.

    Формально  данный вирус относится к бутовым вирусам типа Mx3: он за-
ражает как  дискеты, так и винчестер, а его хвост расположен в трех кла-
стерах, помеченных  как сбойные, причем как на дискетах, так и на винче-
стере. На винчестере голова вируса располагается в MBR.

   Фаза проявления  наступает только  на компьютерах  типа  PC AT  через
месяц после заражения.

   Исторические сведения. Обнаружен в Ленинграде в январе 1990 г. Автору
передан Д.Н.Лозинским.  Приводимые сведения  основаны на  документации к
Aidstest.

   Неформальные названия.  В документации  к  полифагу  Aidstest  данный
вирус назван Peter. Hазвание  Pseudo Cascade (Псевдо-буквопад) предложе-
но автором.

   Методы и средства защиты. Вирус можно идентифицировать путем визуаль-
ного просмотра  содержимого  бут-сектора,  например,  с  помощью  Norton
Utilities.  Полидетектор  Scan  (версии  до  77,  включительно)  его  не
опознают. Вместо фага можно использовать команду SYS.


                  Фрагменты дампа бут-сектора дискеты,
                       зараженной вирусом Mx3-34

000: EB3690504320546F 6F6C730002020100  .6.PC Tools.....
010: 027000D002FD0200 090002000000000C  .p..............
020: 000100006C2100C8 0000000007000002  ....l!..........
030: 0600020003000400 EA3D00C00733C08E  .........=...3..
040: D88ED0BC007C2E88 161E00FAA14C008B  .....|.......L..
050: 1E4E002EA324002E 891E2600FBA11304  .N...$....&.....
060: 2D0500B106D3E08E C02EA37C00B90002  -..........|....
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
100: 9303061C0033D2F7 361800FEC28AEA33  .....3..6......3
110: D2F7361A00B106D2 E40AE58BC886E98A  ..6.............
120: F28BC38A161E008B DF8BE8B80400508B  ..............P.
130: C59C2EFF1E240058 730E5033C09C2EFF  .....$.Xs.P3....
140: 1E2400584875E7F9 C38BC32D020033DB  .$.XHu.....-..3.
150: 8A1E0D00F7E30306 1F008BD8C30D0A4E  ...............N
160: 6F6E2D5379737465 6D206469736B206F  on-System disk o
170: 72206469736B2065 72726F720D0A5265  r disk error..Re
180: 706C61636520616E 6420737472696B65  place and strike
190: 20616E79206B6579 207768656E207265   any key when re
1A0: 6164790D0A000000 0000000000000000  ady.............
1B0: 0000000000000000 0000000000000000  ................
***  последующие строки идентичны предыдущим ***
1F0: 0000000000000000 0000000000000000  ................

                Фрагменты дампа псевдосбойных кластеров
                         с телом вируса Mx3-34

000: 33C08ED8812E1304 05008CC88EC08ED8  3...............
010: C7068C0200008A16 1E0052C6061E0080  ..........R.....
020: E8F5035A88161E00 E8B000E89101B8DC  ...Z............
030: 05E87C00402EA38A 022EA3AC022EC706  ..|.@...........
040: AE02010033C08ED8 FAC7064C0092058C  ....3......L....
050: 0E4E00FBB404CD1A 722D2E3B0E2C0077  .N......r-.;.,.w
060: 0A2E3B162E007303 EB1D90FAA170008B  ..;...s......p..
070: 1E72002EA328002E 891E2A00C7067000  .r...(....*...p.
080: 1A058C0E7200FBE9 5DFE820008000516  ....r...].......
090: F101000000000001 8001941429280000  ............)(..
0A0: 0000000000000000 3D02000082000100  ........=.......
0B0: 1E0E1F53515250B9 0700BB9C02FF378B  ...SQRP.......7.
0C0: 47FE11074B4BE2F7 5811078B17580BC0  G...KK..X....X..
0D0: 7402F7E28BC25A59 5B1FC31E06565751  t.....ZY[....VWQ
0E0: 0E07B940008ED9BF 8E02BE6C00B90800  ...@.......l....
0F0: FCF3A5595F5E071F C3561E528AC6F626  ...Y_^...V.R...&
100: 9E02B60003C2D1E0 0306A6028BF0F706  ................
...  ..  ..  ..  ..   ..  ..  ..  ..    . . . . . . . .
600: BA2201412E890E2C 002E89162E00B801  .".A...,........
610: 0333D28A161E00B9 0100BB0000E809F9  .3..............
620: C32028632920436F 7079726967687420  . (c) Copyright
630: 3139393020204B65 7964726F7020696E  1990  Keydrop in
640: 632E20EB29905043 20546F6F6C730002  c. .).PC Tools..
650: 020100027000D002 FD02000900020000  ....p...........
660: 0000000000000000 000000000000FA33  ...............3
670: C08ED0BC007C161F BE007DAC0AC07409  .....|....}...t.
680: B40EBB0700CD10EB F232E4CD16CD1900  .........2......
690: 0000000000000000 0000000000000000  ................
***  последующие строки идентичны предыдущим ***
740: 0000000A0D4E6F6E 2D53797374656D20  .....Non-System
750: 6469736B2E2E2E0A 0D5265706C616365  disk.....Replace
760: 20616E6420707265 737320616E79206B   and press any k
770: 6579207768656E20 72656164790A0D00  ey when ready...
780: 0000000000000000 0000000000000000  ................
***  последующие строки идентичны предыдущим ***
800: EB2990504320546F 6F6C730002020100  .).PC Tools.....
810: 027000D002FD0200 0900020000000000  .p..............
820: 0000000000000000 000000FA33C08ED0  ............3...
830: BC007C161FBE007D AC0AC07409B40EBB  ..|....}...t....
840: 0700CD10EBF232E4 CD16CD1900000000  ......2.........
850: 0000000000000000 0000000000000000  ................
***  последующие строки идентичны предыдущим ***
900: 0A0D4E6F6E2D5379 7374656D20646973  ..Non-System dis
910: 6B2E2E2E0A0D5265 706C61636520616E  k.....Replace an
920: 6420707265737320 616E79206B657920  d press any key
930: 7768656E20726561 64790A0D00000000  when ready......
940: 0000000000000000 0000000000000000  ................



                     7.8. Заключительные замечания

   Темпы появления  в СССР  новых бутовых  вирусов на  порядок ниже, чем
файловых. Несколько упрощая ситуацию, этот класс вирусов можно отнести к
вымирающим, поскольку  он постепенно  вытесняется  появившимися  недавно
файлово-бутовыми вирусами.  За время подготовки рукописи появилось всего
два новых  бутовых вируса,  имеющих неформальные  названия Form  и  Love
Child. Оба  эти вируса  "выкусываются" полифагом Aidstest (версией 100 и
более  поздними).   Приводимые  ниже  сведения  основаны  на  информации
Д.Н.Лозинского.

   Вирус Form  относится к  типу Bх1.  Он заражает  бут-сектор дискет  и
винчестера. При  заражении винчестера,  хвост записывается  в  последних
секторах, а при заражении дискет -- в создаваемом псевдосбойном кластере.
Фаза проявления  наступает 24-го  числа каждого  месяца. При  этом вирус
сопровождает писком  каждое  нажатие  на  клавишу.  Детектируется  поли-
детектором Scan.

   Вирус LoveChild  относится к  типу M. Вырожденный хвост, состоящий из
оригинального бут-сектора,  размещает как  вирус M-05  (Stoned). Подобно
своему файловому  "родственнику", рассмотренному  в гл.5,  данный  вирус
относится к  вирусам-вандалам. Фаза проявления состоит в уничтожении со-
держимого диска С. Тело вируса содержит текстовую строку

   "LoveChild b3 in reward for software stealing.".
