      __________   __________   _____    ____
     ____         ____         ______   ____   Сусликов  Е Н
    ____         ____         ____ __  ____
   __________   __________   ____  __ ____      Кемеровский
        ____   ____         ____   ______       университет
       ____   ____         ____    _____
__________   __________   ____     ____    (384-2-) 23-44-03




   release 3.4
 25  марта  1991




                    Вирусов бояться - в MS-DOS не работать.


    Одни пишут вирусы, другие антивирусы, но страдают от их борьбы  тре-
тьи - рядовые пользователи далеко не персональных компьютеров. Есть  еще
и те, которые способны лишь на  то, чтобы переделать чужой вирус и  пус-
тить его "в свет". Эти,  в свою очередь, досаждают создателям  антивиру-
сов-фагов ( "выкусывающие" тело вируса ).

    Чтобы активнее искать НОВУЮ заразу,  и для тренировки в языке  С был
создан Lie Detector ("детектор лжи").

    Lie Detector НЕ  ПРЕДНАЗНАЧЕН для удаления  вирусов (для этого  есть
"SOS" ). Его основная цель - ПОИСК НОВОГО.

        У LD имеется библиотека LD.BIT, с известными ему вирусами, а та-
кже программами, не являющимися вирусами, но попадающими под  определен-
ный класс (см. ниже), например, программы защиты от копирования. Ограни-
чение библиотеки - 500 записей (до версии 3.4 - 100).

 НАЗВАНИЕ ВИРУСОВ НАЧИНАЕТСЯ С ЗАГЛАВНОЙ БУКВЫ !

(например "Dark Avenger" - это  вирус, а "converted" - файл,  преобразо-
ванный из формата EXE в формат COM специальной программой). Помимо свер-
ки с библиотекой LD ищет в файлах те действия, которые обычно предприни-
мают вирусы для распространения , например, открытие файла с режимом  по
записи. Конечно,  это делают  не только  вирусы, но  когда вместе с этим
найдена строка "*.COM", то стоит посмотреть на этот файл повнимательней.

    ' - lzexe' информирует о файле, свернотом программой LZEXE.

    Если  файл  начинается  с  команды  перехода, Lie Detector сканирует
хвост, если нет - сканируются как начало файла, так и конец (это связано
с тем, что существует уйма способов для вируса "незаметно" отдать управ-
ление в конец файла).


                        Выдаваемые обозначения.

                                 - I -

- [xxxx] - длина "хвоста" ( разница между длиной JMP'a и длиной  файла).
Если указано [TOP], то  что-то там найдено в  начале, или [END], если  в
конце.


- NEW ! XX - найден новый представитель класса.  Наш
      класс - это программы, которые базируются по
      какому-либо регистру т.е.  в начале стоят команды

                ...

                CALL METKA
        METKA:  POP  BX         ; базирование по регистру BX
                ...


      Новичку присваивается следующий порядковый номер - хх,
      но если хочется, его можно и обозвать в файле LD.BIT,
      структура которого предельно проста:  на каждого - по 32
      байта - 16 на строку идентификации и 16 на строку
      названия, которая должна кончаться нулем (0х0).
      Если первый символ этой строки есть точка (0x2E), то
      сообщение не выводится, что можно подавить опцией "/C".
      LD.BIT очень удобно смотреть и исправлять в PCtools'e.


                          - II -


  s o p t a m e w
  | | | | | | | |
  | | | | | | | |
  | | | | | | | +> w - найдены команды INT 26h, INT 13h
  | | | | | | |
  | | | | | | +--> e - возможно, зашифрованный код, посмотрите
  | | | | | |       на файл, может быть это только данные.
  | | | | | |
  | | | | | +----> m - найдена одна из следующих масок :
  | | | | |         "*.СOM", "*.EXE", "*.*"
  | | | | |
  | | | | +------> a - у файла изменяется атрибут
  | | | |
  | | | +--------> t - меняется дата создания файла
  | | |
  | | +----------> p - указатель чтения/записи передвигается
  | |               за конец файла
  | |
  | +------------> o - файл открывается по записи.
  |
  +--------------> s - найдена сигнатура "MZ" или "ZM"
                      в теле файла.



                          - III -


                * * *  Add [Y/N] ?  * * *

        При  совпадении  трех  и  более 'подозрительностей' предлагается
внести начало программы  (16 байт) в  библиотеку LD.BIT. Не  исключаются
ложные срабатывания,  например файл  INSTALL.COM в  игрушке A-10  ("Tank
Killer"). Исключить из дальнейшего по- иска эти ложные тревоги можно по-
ставив в 1-й байт строки названия точку.





                        Параметры:

    LD  [d:[\path]] [/a][/b][/c]

        d:  - проверяемый диск, можно поставить *:, означающий
              сканирование всех дисков, начиная с C:, по
              умолчанию проверяется текущий диск.

  d:\path   - имя каталога, (буква диска обязательна!),
              проверяются все подкаталоги.


       /a   - проверяются все файлы на предмет поиска известных
              вирусов, поиск нового отключается

       /b   - аналогично /a, но сканируются только .COM и .EXE

       /c   - выдается информация о всех совпадениях с библиотекой,
              даже не вирусных, т.е. игнорируется первая точка.



Претензии и замечания, а также дополненя принимаются по телефону

                      (384-2-) 23-44-03

                    Сусликов Е.Н., весна 1991.



P.S. (для авторов вирусов)

     Чем хитрее ваша зараза - тем изощреннее Lie Detector.

                              * * *

