Часть 3 . Загрузочные вирусы

Глава 1 . Разработка загрузочной

ВИРУСНОЙ ПРОГРАММЫ

1.1 Краткие сведения о начальной загрузке

персонального компьютера

Для начала следует сказать несколько слов о том,

как происходит начальная загрузка ЭВМ.

После проверки аппаратной части компьютера и запо-

лнения таблицы векторов прерываний BIOS пытается

прочитать первый сектор нулевой дорожки нулевой

стороны диска в дисководе " A ". Этот сектор поме-

щается в память по адресу 0000:7C00h,после чего на

указанный адрес передается управление. В прочитан-

ном секторе содержится программа начальной загруз-

ки (BOOT - запись) и некоторые другие сведения,не-

обходимые для доступа к данным на диске. Программа

начальной загрузки проверяет, является - ли диск

системным. Если это так, то загрузка операционной

системы с диска продолжается, а если нет,то на эк-

ран выводится сообщение :

Non system disk or disk error

Replace and press any key when ready .

после чего система ожидает действий оператора.

Если же диск в " A " - дисководе отсутствует, то

программа BIOS считывает первый сектор нулевой до-

рожки нулевой стороны первого жесткого диска. Он

также помещается в память по адресу 0000:7C00h,по-

сле чего по указанному адресу передается управле-

ние.В прочитанном секторе на жестком диске записа-

на так называемая MBR (главная загрузочная за-

пись). MBR является программой, которая определяет

активный раздел жесткого диска, считывает загру-

зочную запись (BOOT - запись) этого раздела в опе-

ративную память и отдает ей управление. Дальше все

происходит, как при загрузке системы с гибкого ди-

ска. Как видим, процесс загрузки с винчестера яв-

ляется как бы двухступенчатым.

Если же программа MBR не нашла активный раздел, то

выдается сообщение об отсутствии загрузочных уст-

ройств, и система останавливается.В некоторых ста-

рых машинах при невозможности запустить операцион-

ную систему загружался интерпретатор языка БЕЙСИК,

записанный в микросхемах ПЗУ. Однако новые модели

компьютеров не содержат встроенного интерпретато-

ра и не используют его.

1.2 Понятие о загрузочных вирусах

Загрузочными называют вирусы, способные заражать

загрузочные сектора гибких и жестких дисков и по-

лучающие управление при попытке " запустить " опе-

рационную систему с зараженного диска.

Можно выделить следующие основные разновидности

вирусных программ указанного типа :

1. Заражающие BOOT - сектора гибких дисков

2. Заражающие BOOT - запись активного раздела же-

сткого диска и BOOT - сектора гибких дисков

3. Заражающие MBR ( Master Boot Record ) жесткого

диска BOOT - сектора гибких дисков

Отметим,что заражение BOOT - секторов дискет явля-

ется обязательным, иначе вирус просто не сможет

распространяться .

Кроме того, почти все загрузочные вирусы являются

резидентными,что объясняется спецификой их работы.

Нерезидентный вирус смог бы размножаться только в

том случае, если при загрузке с диска " A " из

дисковода " B " забыли вытащить дискету, или при

загрузке с зараженного винчестера диск находится в

одном из дисководов.Очевидно,что при таком алгори-

тме работы вирус размножался бы очень медленно,

и его создание было бы просто бессмысленным.

Большое распространение получили также файлово -

загрузочные вирусы, которые могут заражать файлы

типов EXE, COM а иногда и другие. Ярким представи-

телем этой разновидности можно считать ONEHALF,ко-

торый может заражать EXE и COM - файлы. Файлово -

загрузочные вирусы являются более заразными, чем

файловые. Создать такой вирус также сложнее, и по-

этому их подробное рассмотрение выходит за рамки

данной книги.