
   Только кепка с двумя дополнительными боковыми козырьками
       надежно защитит Вас от мощной лапши на Ваши уши !
  ═══════════════════════════════════════════════════════════


    Уважаемые читатели СП!  Все что Вы прочтете в данной статье
не обязательно может быть Вами одобрено и,  возможно, не совпа-
дет с мнением редакции СП!
    Заранее приношу извинения за немного резкий тон этой статьи
авторам всех антивирусных программ, а также редакции СП.

                                      Ю. И. Панков     07.07.93




            Почему я решил написать данную статью.
          ───────────────────────────────────────────
    - Да потому,  что НАДОЕЛО ждать (уже более трех лет), когда
автор известной программы AIDSTEST исправит алгоритм ("я хозяин
вся страна") трассировки прерывания Int 13h. Для чего ему надо-
бы знать, что бит трассировки, выставленный программой AIDSTEST
в регистре флажков,  могут сбрасывать ВИРУСЫ и другие резидент-
ные программы. А самое главное, что истинного адреса обработчи-
ка Int 13h BIOS программа AIDSTEST может никогда  не  получить,
если не принять специальных мер!
    Вот уже три года эти пожелания в  адрес  AIDSTEST  украшают
документацию  на одну из моих антивирусных утилит.  Даже ключик
"/t - отмена индикации трассировки системы" в  программе  приш-
лось  завести  во избежании зависания лучшей антивирусной прог-
раммы AIDSTEST.  Совковые обыватели заявляют мне в таких случа-
ях,  что мои программы не работают с программой AIDSTEST, ставя
при этом все с ног на голову!
    К тому  же  программа AIDSTEST и ее автор переживают сейчас
период "звездной болезни" ,  ибо напрочь отказываются обнаружи-
вать и лечить некоторые виды древних вирусов, которые успешно
обнаруживают и лечат любые другие антивирусные программы.

    - Да еще и потому,  что НАДОЕЛА мощная реклама,  а вернее -
лапша на Ваши уши. Программу можно рекламировать, если она это-
го заслуживает, например AIDSTEST, являющуюся лидером в области
антивирусных средств - можно, даже с учетом всего вышесказанно-
го мною в ее адрес. К сожалению я не могу этого сказать о прог-
рамме ADINF,  которая поддерживается мощной лапшой на Ваши уши.
Так  один  из  ведущих вирусологов СНГ БНН (да и многие другие)
считают комплексный подход: AIDSTEST, ADINF и пара других анти-
вирусных средств и программ наилучшим антивирусным средством на
сегодняшний день.  Вот выдержки одной из последней антивирусной
статьи БНН (СП 56):
═══════════════════════════════════════════════════════════════
                                                 H.H.Безруков

*************** О МЕТОДИКЕ ЗАЩИТЫ ОТ ВИРУСОВ, *****************
****** ОТВЕЧАЮЩИЙ ПРИНЦИПУ РАЗУМНОЙ ДОСТАТОЧНОСТИ *************

  ... 1.8. Отслеживание изменений в режиме "раз в сутки".  Сис-
 тематический  запуск  при  каждой перезагрузке или раз в сутки
 ревизора Adinf версии 7.00 или более поздней  (необходим режим
 переименования создаваемых Adinf файлов) с обязательным переи-
 менованием создаваемых им файлов и размещением их вне корнево-
 го каталога диска С.  Рекомендуется также хранить дополнитель-
 ную копию дистрибутива Adinf в защищенном  от  записи  разделе
 винчестера. ...
═══════════════════════════════════════════════════════════════
    Это очень  маленькая вырезка из довольно большой статьи БНН
и достаточно неудачная (вырезка),  т.к.  БНН вообще-то советует
очень  серьезно и довольно комплексно заняться всем нам антиви-
русной проблемой.
    Большинство участников   Московского   семинара   системных
прорграммистов считают тандем AIDSTEST и ADINF наилучшим  анти-
вирусным средством на сегодняшний день.
    Я один  из  немногих, кто  относит  программы типа ADINF к
очень слабым антивирусным и конечно-же не к коммерческим средс-
твам.  Поэтому  и мощную рекламу этой программе я рассматриваю,
как мощную лапшу на уши нашему совковому обывателю. И вот поче-
му:
    Мне постоянно всеми способами указывают на то,  что мои или
иные средства,  обнаруживающие вирусы СЕГОДНЯ, а не ЗАВТРА, ни-
куда  не годны,  не надежны и не профессиональны,  "НЕ ОТВЕЧАЮТ
ПРИНЦИПАМ РАЗУМНОЙ ДОСТАТОЧНОСТИ" (вроде бы надо обратить  осо-
бое внимание на свою крышу - вдруг поехала ?  А вообще, что та-
кое РАЗУМНАЯ ДОСТАТОЧНОСТЬ? Достижима ли когда нибудь? Ведь бы-
ло  же  у  Леонида Ильича Брежнева "ЦЕЛИКОМ И ПОЛНОСТЬЮ" и всем
было сие ясно и понятно, а вот мне нет.) и т.д., и что, мне (да
всем  Вам) надо поставить ревизор типа ADINF,  который:

  - разрешит все мои проблемы, которых, к сожалению, у меня по-
ка нет;
  - работая по принципу "раз в сутки" напрочь отвергает русскую
пословицу: "А после драки - кулаками не машут";
  - профессионально обгадит всю мою машину своими файлами,  ко-
торые мне не нужны вовсе.  Для приближения наступления "аффекта
КОНЕЦ  СВЕТА" господин БНН рекомендует запускать ADINF в режиме
переименования файлов;
  - не  запрещает  сразу же после своего успешного запуска (ус-
пешной ревизии) СЕГОДНЯ целый день,  до следующей перезагрузки,
любому вирусу  безнаказанно обгадить всю мою машину - этого мне
еще не хватало! БНН в этих случаях советует воспользоваться ка-
ким нибудь из сторожей или приманок;
  - а на другой день (ЗАВТРА), если машмна загрузится, сообщить
мне,  что моя машина заражена (обгажена) неизвестным ему  виру-
сом. А если и AIDSTEST ко всему же не сможет вылечить эту зара-
зу! Только этого всего мне и не хватало для полного ...!?


    И  после всего этого, согласно "ПРИНЦИПУ РАЗУМНОЙ ДОСТАТОЧ-
НОСТИ" мне придется форматировать и  восстанавливать винчестер!
А за что, позвольте спросить, я добровольно могу отдать деньги!
У меня не было бы никаких вопросов к ADINF, если бы не вешалось
столько  коммерческой  лапши на уши нашему совковому обывателю.
Раньше это с успехом делали коммунисты. Возможно они ушли в сп.
ДИАЛОГ?

   Я иногда задаю себе вопрос: существует ли некое лицо из про-
фессиональных  программистов-хакеров интегрирующее производите-
лей вирусов,  антивирусов и рекламы в один блок?  И не знаю что
ответить.  Посудите сами. Разработчики антивирусных средств при
описании алгоритма,  очередного не ими  разработанного  вируса,
проявляют  абсолютное знание документированных и недокументиро-
ванных функций DOS и различных тонкостей работы BIOS.  Сами  же
антивирусные  средства  разрабатанные  ими  на  яэыках высокого
уровня, при этом никак не содержат уже заявленной эрудиции! Ин-
тересна  и  география  распостранения  вирусов и антивирусов во
времени.  В Москве и ее окрестностях очередной вирус и  антиви-
русное средство появляются, как правило, с интервалом в 2 меся-
ца.  В Киев вирус и антивирус могут прибыть одновременно. В Си-
бирь вирус прибывает гораздо позже антивируса.
  И только поэтому (в Москве или ее окрестностях), купив тандем
AIDSTEST и ADINF, Вы можете за свои собственные деньги перефор-
матировать Ваш винчестер в случае неожиданной вирусной атаки. Я
бы ничего не имел против,  если бы фирма ДИАЛОГ в своей рекламе
гарантировала бы Вам в этом случае компенсацию в размере эдак $
100. Вот это уже настоящая реклама, а не лапша на уши. Это даже
лучше кепки с двумя боковыми козырьками. Но этого же нет!


  Ну, скажите Вы, а сами то Вы чем пользуетесь? Отвечу. Я поль-
зуюсь в основном только тем,  что написал  сам  (и  конечно  же
всегда  имею  под рукой "свежую" некоммерческую версию AIDSTEST
из СП и другие некоммерческие версии древних антивирусных прог-
рамм).  У  меня  есть свои мною разработанные средства и методы
борьбы с вирусами. Разработана даже целая антивирусная техноло-
гия  работы  на  ПК.  Здесь я не ставлю целью рекламировать Вам
свои собственные разработки.  Но с некоторыми из них я хочу Вас
познакомить, и даже не с ними, а с идеями, которые они реализу-
ют.


              1. Борьба с BOOT (MBOOT) вирусами.
              ══════════════════════════════════
    Не удивляйтесь, но для себя я решил эту проблему уже давно.
Я  исправил  свой (M)BOOT,  а вернее переписал его заново таким
образом, что при каждой загрузке, как только он получает управ-
ление,  то  производит  БЕЗУСЛОВНУЮ  его запись на нужное место
жесткого диска непосредственно через BIOS,  обходя стороной Int
13h и все его обработчики! Вот фрагмент моего BOOT сектора:
        ...................................
        ...................................
        ..................................
; 1. Формируем стек для возврата из Int 13h:
        pushf                       ;регистр флажков
        push  cs                    ;сегмент возврата
        mov   ax,Offset Met1
        push  ax                    ;смещение возврата
; 2. Формируем обращение к функции записи Int 13h BIOS:
        mov   ax,301h               ;записать 1 сектор
;                                    es:bx ==> начало BOOT
; 3. Безусловная передача управления на обработчик
;    Int 13h BIOS:
db      0eah                        ;jmp far
dw      0,0f00h                     ;адрес Int 13h BIOS
;       └─────────────────────────── индивидуален для каждой PC
; 4. Возврат  после  выполнения  записи BOOT сектора:
Met1:                               ;метка возврата
        ...................................
        ...................................
        ..................................

   Из текста фрагмента моего (M)BOOT очевиден алгоритм борьбы с
BOOT вирусами.  Адрес обработчика Int 13h BIOS я определяю  для
каждой  машины индивидуально комбинированным способом - трасси-
ровкой Int 13h с последующими несколькими  итерациями уточнений
и  подтверждений  -  этот  алгоритм я не собираюсь обсуждать на
страницах этой статьи.
   Обратите внимание  на простоту борьбы с вирусами - безуслов-
ная запись (M)BOOT сектора средствами BIOS  в  обход  системных
векторов  прерываний.  Есть  еще  одна изюминка - перед записью
MBOOT производится безусловное восстановление  Partition  Table
из зашифрованного тайника.
   Таким образом, у меня после любой перезагрузки от вируса ос-
таются  только "рожки да ножки" и затирается его "чайник".  Так
вот я и живу уже  несколько  лет.  И  никакой  необходимости  в
ADINFе, как видите, у меня не возникает.


                2. Борьба с остальной заразой.
             ══════════════════════════════════

  И эту проблему я для себя решил тоже давно, написав небольшой
(~2kb) сторож PU_DISKM.COM (не надо путать с PU_DISK.COM),  на-
делив его специальными антивирусными свойствами.  Под этот сто-
рож была разработана и успешно используется  целая антивирусная
технология. Забегая вперед скажу, что применение последней поз-
воляет определить наличие вируса в машине не ЗАВТРА  утром (как
ADINF),  а в момент его размножения, т.е. СЕГОДНЯ, ЗАВТРА или в
любой другой удобный для Вас день!
    Сторож выполнен  в  виде резидентной довольно сложной прог-
раммы,  реализующей "алгоритм поплавка" на  одном  из  векторов
прерываний: 13h или 21h (постоянно отслеживает целостность сис-
темы векторов, слабо или вообще не используя для этих целей са-
му систему векторов).  Он совершенно "прозрачен" для работы ос-
новных программных  средств  и  пока  его  не  пробил  ни  один
извесный мне вирус (пока!). Из интересов своей же безопасности,
я не хотел бы в этой статье подробно останавливаться на  "алго-
ритме  поплавка".  Вообще-то я совершенно не удивлюсь,  получив
через месяц другой после выхода этой статьи в свет, BOOT-вирус,
обходящий описанную выше мою защиту. Но это все равно преодоли-
мо,  а вот с остальной заразой бороться гораздо сложнее,  да  и
времени на это просто нет.  Поэтому отложим "алгоритм поплавка"
на потом.



                          Заключение.
                       ────────────────

    В основе любой программы должна быть мощная идея, а не мощ-
ная реклама.  Невозвожно слабую концепцию воплотить  в  сильную
программу.  Поэтому,  по моему глубокому убеждению,  реклама на
ADINF должна обязательно содержать: "... предприятие ДИАЛОГ га-
рантирует  Вам  компенсацию  ВСЕХ  Ваших издержек,  связанных с
...".
    Лучше всего  такие  программные  продукты распостранять как
SHAREWARE, а еще лучше - как FREEWARE с соответствующими приме-
чаниями (и в купе с любым сторожем) и не надо столько лапши.
    И последнее.  На любом диске почти всегда есть свободное  и
никем не учтеное дисковое пространство.  А если такого нет,  то
его всегда можно создать искуственно. Это все равно лучше любо-
го слабообоснованного раздувания файловой системы. Да, на худой
конец,  можно работать всего лишь с одним своим, особо устроен-
ным системным файлом!



   Может быть  кому-то тон мой статьи покажется слишком резким,
извините. И еще раз извините.



    С уважением                           Панков Ю.И.

    г. Сергиев Посад                т. (254)-400-71    (дом)
                                       (095)-282-84-15 (раб)



