1.3 Алгоритм работы загрузочного

вируса

Несмотря на огромное разнообразие загрузочных ви-

русных программ, алгоритмы их работы незначительно

отличаются друг от друга. В этом пункте мы рассмо-

трим одну из возможных реализаций такого алгорит-

ма. Только сначала условимся, что наш вирус будет

заражать загрузочные сектора гибких дисков и MBR

( Master Boot Record) первого жесткого диска. Поэ-

тому можно предложить следующий " план работы " :

Попав при начальной загрузке машины в память по

адресу 0000:7C00h, вирус должен выполнить такие

действия :

1. Установить регистры SS и SP на собственный стек

2. " Отрезать " у системы несколько килобайтов па-

мяти ( сколько именно - зависит от длины вирус-

ного кода )

3. Переписать свой код в полученную область (кста-

ти, она будет находиться в старших адресах ос-

новной памяти)

4. Передать управление следующей секции своего ко-

да, уже расположенной в конце основной памяти

Эта секция, в свою очередь, должна :

1. Переопределить вектор прерывания Int 13h на ви-

русный код

2. Считать настоящий загрузочный сектор в память

по адресу 0000:7C00h

3. Проверить, заражен - ли винчестер. Если нет, то

заразить его MBR

4. Передать управление настоящему загрузочному се-

ктору, находящемуся по адресу 0000:7C00h

Далее загрузка ОС выполняется, как обычно.

Когда система будет загружена,вирус должен занять-

ся заражением BOOT - секторов дискет. С этой целью

он выполняет такие действия :

1. При чтении секторов с номерами 2...N нулевой

дорожки нулевой стороны диска " A " проверяет

BOOT этого диска на зараженность

2. Если диск еще не инфицирован - заражает его

3. Передает управление системному обработчику Int

13h

Под заражением понимают запись вирусного кода в

BOOT - сектор дискеты или в MBR винчестера.

Понятно, что при загрузке с винчестера проверять

его на зараженность бессмысленно. И тем не менее,

наш вирус делает это, так как отключить проверку

жесткого диска не так просто, как это может пока-

заться. Кроме того, она выполняется очень быстро и

поэтому совершенно не ощущается пользователем.

На первый взгляд, приведенный алгоритм кажется до-

вольно сложным. Тем не менее, его достаточно про-

сто реализовать, в чем вы скоро убедитесь.

Хотелось бы сказать о том, какой должна быть мак-

симальная длина вирусного кода.Если мы хотим поме-

стить вирус в загрузочный сектор целиком, следует

учесть два момента.

1. Собственно программа загрузки в MBR занимает

не более, чем 446 байт ( см. ПРИЛОЖЕНИЕ 2 )

2. Программа загрузки в BOOT - секторе дискеты

имеет разный размер в разных версиях DOS. В са-

мом " предельном " случае она начинается со

смещения 0055h относительно начала сектора. Два

последних байта BOOT и MBR содержат код: 55AAh.

Если его затереть,система перестанет загружать-

ся с испорченного таким образом диска. Некото-

рые вирусы используют этот прием для приведения

дискеты или винчестера в " частично нерабочее "

состояние.

Отсюда следует очевидный вывод - размер кода виру-

са не может превышать : 200h - 55h - 02h = 1A9h =

= 425 байт! Если вы не выйдете за эту границу, об-

ращение к диску будет происходить корректно. Кроме

того,даже NORTON DISK DOCTOR не будет замечать из-

менений программы загрузки в BOOT - секторе дис-

кеты или MBR винчестера, что, согласитесь, очень

важно.

1.4 Как начинается распространение вируса

В отличие от файловых вирусов,для внедрения загру-

зочного вируса в компьютер достаточно просто по-

пробовать загрузиться с зараженной дискеты, при

этом дискета не обязательно должна быть загрузоч-

ной.В этом состоит особенность вирусов этого типа.

Итак, чтобы вирус начал распространяться, достато-

чно заразить им гибкий диск, а потом попытаться

загрузиться с него на той или иной машине.