Test.exe

cseg segment

assume cs:cseg, ds:cseg

Start:

db 1000 dup (OFAh,90h,OFBh,OF8h)

mov ah,4Ch

int 21h

cseg ends

sseg segment stack

assume ss:sseg

db 118 dup (OFAh,90h,OFBh,OF8h)

sseg ends

End Start

Скопируем приманки на зараженную машину. Выполним над ними как

можно больше операций: запустим, скопируем в другое место винчесте-

ра и на дискету, переместим, просмотрим их в NC и DOS (командой

dir). При этом желательно несколько раз поменять системное время

и дату, потому что вирусы нередко активны не каждый день и не круг-

лые сутки. Чтобы исключить Stealth-эффект, загрузимся с чистой дис-

кеты и рассмотрим внимательно эти файлы. Как правило, достаточно

бывает проконтролировать размер файлов и просмотреть их код при

помощи F3 - наличие вируса определить несложно.

в) Выделение нерезидентного файла. Самый неприятный случай.

Помимо того, что вирус нередко привередничает, распознавая

приманку, и по-прежнему отказывается работать "без выходных

и отпусков", так еще и заражаемость программ сильно зависит от

их расположения на винчестере. Одни нерезидентные вирусы за-

ражают только в текущем каталоге, другие - только в подкатало-

гах 1-го уровня, третьи - в каталогах, указанных в строке path

системной среды (Vienna), четвертые - вообще во всех каталогах

винчестера. Поэтому воспользуемся программой типа it, чтобы

скопировать приманки во все каталоги диска (запускаем из кор-

невого каталога):

rt copy a:\test.* .

Точка "." в конце - символ текущего каталога. Потом их можно будет

удалить:

rt del test*

Теперь выбираем заведомо зараженную программу и запускаем ее N раз,

постоянно изменяя время и дату. Проконтролировать изменение длины

поможет та же программа rt:

rt dir test.* >test.txt

Получаем файл test.txt, содержащий список файлов test.* с указанием

их длины. Выбираем тот файл приманки, который изменил длину.

Вот вирус и пойман.