3.4.6 Алгоритм роботи завантажувального вірусу

Практично всі завантажувальні віруси резидентні.

Резидентні завантажувальні віруси впровад­жу­ють­ся в пам'ять ком­п'ю­тера при завантаженні з інфікованого диска. При цьому системний завантажник зчитує вміст першого сектора диска, з якогоздійснюється завантаження, поміщаєпрочитануінформацію в пам'ять і передає на неї (тобто напрограму-вірус) керування. Після цього починають виконуватися інструкції вірусу, що

• як правило, зменшує обсяг вільної пам'яті (слово за адресою 00400013), копіюєу місце, що звільнилося, свій код і зчитує з диска своє продовження (якщо воно є). Надалі деякі віруси "чекають" завантаженняОСі відновлюють це слово в його первісне значення. У результаті вони виявляються розташованими не за межамиОС, а як окремих блокахпам'яті;

• перехоплює необхідні вектори переривань (зазвичай INT 13H), зчитує в пам'ять оригінальний boot-сектор і передає на нього керування.

Надалі завантажувальний вірус поводиться так само, як резидент­ний фай­ло­вий: перехоплює звертання операційної системи до дисків і інфі­кує їх, у залеж­ності від деяких умов робить деструктивні дії чи викликає звукові відеоефекти.

Існують нерезидентнізавантажувальні віруси–при завантажені вони заражаютьMBR вінчестера і дискети, якщо ті присутні в дисководах. Потім такі віруси передають керування оригінальному завантажнику і на роботу комп'ютера більш не впливають.

7. Приклади завантажувальних вірусів Brain, сімейство

Складається з двох практично співпадаючих нешкідливих вірусів "Brain-Ashar" і "Brain-Singapore". Вони заражають завантажувальні сектори дискет при зверненні до них (INT 13h, AH=02h). Продовження вірусу і первинний завантажувальний сектор розміщуютьсяу вільнихкластерах диска. При пошуку цих кластерів аналізують таб­лицю розміщення файлів (FAT). У FAT ці кластери позначаються як збійні ("псевдозбійні" кластери). У зараженого диска встановлюється нова мітка "(C) Brain". Віруси використовують "стелс"-механізм –при спробі проглянутизавантажувальнийсектор зараженого диска вони "підставляють"справжнійсектор.

CMOS

Небезпечний резидентний завантажувальний стелс-вірус. Псує CMOS. Копіює себе за адресою 9F800000, перехоплює INT 13h і записується в MBR вінчестера і boot-секторидискет. Оригінальний MBR зберігає за адресою 0/0/2, оригінальний boot-сектор флопі-диска–в останньому секторі кореневого каталога.

Pentagon

Небезпечний резидентний завантажувальний вірус. Частково зашифрований. Перехоплює INT 9, 13h і вражає boot-сектор флопі-дисків при зверненні до них. При зараженні диска оголошує в FAT збійні сектори і записує туди своє продовження і первинний boot-сектор (див. вірус "Brain"). Якщо при цьому дискета вже була уражена вірусом "Brain", то "Pentagon" лікує boot-сектор цього диска, змінює його мітку і потім заражає своєю копією. На диску, що заражається, створюється файл PENTAGON.TXT. Вірус "виживає" при теплому перезавантаженні. Містить тексти:

(c) 1987 The Pentagon, Zorell Group

first sector in segment

Stoned

При завантаженні із зараженого флоппи-диска з вірогідністю 1/8 на екрані з'являється повідомлення "Your PC is now Stoned!". Крім вказаної, містять рядок "LEGALISE MARIJUANA!". "Stoned.с" при зараженні MBR вінчестера знищує Disk Partition Table, після цього комп'ютер можна завантажити тільки з флопі-диска. "Stoned.d" 1 жовтня знищує інформацію на вінчестері.

Hare

Дуже небезпечні резидентні файлово-завантажувальні стелс-полі­мор­фік-вирусы. Записуються в кінець COM- і EXE-файлів, в MBR вінчестера і boot-сектора дискет. У файлах зашифровані тричі. Застосовують поліморфізм як у файлах, так і в заражених секторах.

При запуску зараженого файлу вірус розшифровує себе, заражає MBR, трасує і перехоплює INT 21h і повертає управління програмі-носію. Під Win95 він перехоплює також INT 13h. Потім вірус записується у файли при їх запуску, закритті або при виході в DOS (AH=0,31h,4Ch). При відкритті заражених EXE-файлів лікує їх.

При завантаженні із зараженої дискети вірус записується в MBR і повертає управління первинному boot-коду, при цьому вірус не залишає в пам'яті своєї резидентної копії.

При зараженні MBR вірус трасує INT 13h або напряму працює з портами контроллера, потім записує своє продовження (15 секторів) в трек, що знаходиться за межами оголошеного розміру диска (LandZone?). Потім затирає Disk Partition Table (в результаті цього команда FDISK/MBR може привести до повної втрати даних на диску).

При завантаженні із зараженого MBR-сектора вірус відновлює Partition Table для того, щоб нормально завантажилася DOS (у цей момент стелс на рівні INT 13h ще не працює), потім зменшує розмір пам'яті (слово за адресою 00000413), копіює свій код в "відрізану" ділянку пам'яті, перехоплює INT 1Ch і передає управління первинному MBR-сектору. Перехопивши INT 1Ch, вірус чекає завантаження DOS, потім відновлює розмір системної пам'яті і перехоплює INT 13h, 21h, 28h. При першому виклику INT 28h він знову псує Disk Partition Table.

При викликах INT 13h вірус перехоплює звернення до флоппи-дисків і заражає їх, для свого основного коду вірус форматує додатковий трек. При зверненнях до вже заражених дисків виконує стелс-програму.