3.4.5 Розташування завантажувального вірусу

Існує декілька варіантів розміщення на диску первинного заван­тажу­вального сектора і продовження вірусу в сектори вільних кластерів логічного диска, у невикористовувані чи рідко використовувані системні сектори або у сектори, розташовані за межами диска.

1. Якщо продовження вірусу розміщається в секторах, що належать віль­ним кластерам диска (для пошуку цих секторів вірусу приходиться ана­лі­зувати таблицю розміщення файлів – FAT-таблицю), то, як правило, вірус по­зна­чає ці кластери як збійні (псевдозбійнй кластери). Цей спо­сіб використовується вірусами "Brain", "Ping-Pong" і деякими іншими.

2. У вірусах сімейства "Stoned" задіянийінший метод. Ці віруси розміщу­ють первинний завантажувальний сектор у невикористовуваному чи рід­ко викорис­то­ву­ваному секторі–в одному із секторів вінчестера (якщо такі є), розташованихміж MBR і першим boot-сектором, а на дис­кеті такий сектор вибирається з останніх секторів кореневого каталогу.

3. Деякі віруси записують свій код в останні сектори вінчестера, оскільки ці сектори використовуються тільки тоді, коли вінчестер цілком заповнений інформацією (що є досить рідким явищем, якщо врахувати розміри сучасних дисків). Однак такі віруси приводять до псування файлової системи OS/2, що у деяких випадках зберігає активний boot-сектор і системні дані саме в останніх секторах вінчестера.

4. Рідше використовується метод збереження продовження вірусу за ме­жа­ми диска.Досягається це двома способами:

• зменшення роз­мірів логічних дисків – вірус віднімає необхідні значення з відповідних полів BPB boot-сектора і Disk Partition Table вінчестера (якщо заражається вінчестер), зменшує в такий спосіб розмір логічного диску і записує свій код у "відрізані" від нього сектори;

• запис даних за межами фізичної розбивки диска.У випадку флоппі-дисків вірусу для цього приходиться форматуватина диску додатковий трек (метод нестандартного форматування), наприклад,80-й трекнадискеті. Існують віруси, що записують свій код за межами доступного простору вінчестера, якщо, зрозуміло, це допускається встановленим устаткуванням (вірус "Hare").

Звичайно, існують і інші методи розміщення вірусу на диску, наприклад, віруси сімейства "Azusa" містять у своєму тілі стандартний завантажник MBR і при зараженні записуються поверх оригінального MBR без його збереження.

При зараженні більшість вірусів копіює в код свого завантажника сис­темну інформацію, що зберігається в первісному завантажнику (для MBR цією інфор­ма­цією є Disk Partition Table, для Boot-сектора дискет – BIOS Parameter Block). Віншому випадку система виявиться нездатноюзавантажити себе, оскільки дискові адреси компонентів системи вира­хо­ву­ються на основі цієї інформації. Такі віруси досить лекго видаляються переписуванням заново коду системного завантажника в boot-секторі і MBR - для цього необхідно завантажитися з незараженої сис­тем­ної дис­ке­ти і використовувати команди SYS для знешкодження дискет і логічних дисків вінчестерачи FDISK/MBR для лікування зараженого MBR-сектора.

Однак деякі 100%-стелс віруси не зберігають цю інформацію чи навіть, більш того, навмисно шифрують її. При звертанні системи або інших програм до заражених секторів вірус підставляє їхні незаражені оригінали, і завантаження системи відбувається без якихось збоїв, однак лікування MBR за допомогою FDISK/MBR у випадку такого вірусу приводить до втрати інформації про розбивку диска (Disk Partition Table). У цьому випадку диск може бути "оживлений" або переформатуванням із втратою всієї інформації, або відновленням Disk Partition Table "вручну", що вимагає значеної кваліфікації.

Слід також зазначити той факт, що завантажувальні віруси дуже рідко "уживаются" разом на одному диску –часто вони використовують ті самі дискові сектори для розміщення свого коду (даних). У результаті код (да­ні)першого вірусу виявляються зіпсованими при зараженні другим вірусом, і система або зависає при завантаженні, або зациклюється,що також приводить до її зависання.

Користувачам сучаснихОСзавантажувальні віруси також можуть доставити неприємності. Незважаючи на те, щоцісистеми працюють з дискаминапряму,минаючи виклики BIOS(що блокує вірус і унеможливлює подальше його поширення), код вірусу все-таки, хоч і дуже рідко, одержує керування при перезавантаженні системи. Тому вірус "March6", наприклад, може роками "жити" у MBR сервера і ніяк не впливати при цьому на його (сервера) роботу і продуктивність. Однак при випадковому перезаван­та­женні 6-го березня цей вірус цілком знищить усі дані на диску.