Полигон-2

Rio444 написал:

[q]

Ни MBR ни Boot Record никакой информации не несут.

[/q]

MBR содержит таблицу разделов диска.


Rio444 написал:

[q]

Лечить там нечего.

[/q]

Если один раздел на весь диск, то да.


Rio444 написал:

[q]

Если найдётся антивирус, который сможет это "вылечить", уверен, он просто создаст новую MBR и Boot Record.

[/q]

Мне интересно сможет ли он это сделать на загрузочной флешке.

XPOHOMETP написал:

[q]

И в той, и в другой исполняемый код однозначно есть, пусть и небольшой. Значит есть откуда вызвать вирус.

[/q]

Имел в виду, что код этот типовой. Проще записать его заново, чем пытаться вычленить и удалить вирус.

Теоретически вирус может зашифровать таблицу разделов. И антивирус теоретически может её расшифровать. Это единственная польза от антивируса в таком случае.

Что касается флешки, не сталкивался. Не знаю, как там организованы данные.

FDISK /MBR можно использовать, если есть уверенность, что в MBR-секторе сидит какой-нибудь примитив типа Stoned-подобного.
Иначе можно остаться без информации на диске.
Например, вирус, садящийся в MBR-сектор, может зашифровать таблицу разделов и расшифровывать ее на лету при загрузке,
если командой FDISK /MBR заместить вирусный код, то таблица разделов останется зашифрованной, со всеми вытекающими...
Или известный всем файлово-загрузочный OneHalf шифрует сектора начиная с конца диска и расшифровывает их на лету при обращении к ним, голова вируса находится в MBR-секторе и если командой FDISK /MBR заместить ее, то при следующей
перезагрузке невозможно будет получить доступ к зашифрованным секторам...
Или еще вот такой пример - вирус вроде бы не ахти какой, но все сектора, к которым идет обращение через обычные функции
чтения/записи (02h и 03h) прерывания 13h, может перезаписывать функцией длинной записи, при обращении к таким секторам
он их считывает длинным чтением. Использование команды FDISK /MBR сделает эти сектора недоступными для чтения обычными
средствами при следующей перезагрузке...
Опять же - самый простейший вирус может вообще не касаться MBR-сектора, а садиться в BOOT-сектор активного загрузочного
раздела, он только посмеется при вводе команды FDISK /MBR... ))
То же самое будет, если более продвинутый вирус изменит в MBR-секторе не загрузочный код, а всего лишь ссылку на BOOT-сектор
активного раздела в таблице разделов на сектор, содержащий его голову, где-нибудь на нулевой дорожке. Команда FDISK /MBR
окажется импотентна...
Еще более продвинутый загрузочный или файлово-загрузочный вирус может при загрузке определить адрес прерывания DOS
Int 21h и фильтровать, например, файловые операции - при запуске любой программы через функцию 4Bh узнать имя файла
и если это FDISK, то сделать с ним все, что душа пожелает...
А еще я видел сон если стелсирующийся через Int 13h вирус может мониторить не только функцию чтения, но и записи,
подставив при запуске команды FDISK /MBR вместо MBR-сектора любой другой...
Вообще стелсироваться вирус может гораздо интереснее - не на уровне Int 13h, а на уровне аппаратного прерывания
контроллера жесткого диска...
И т.д. и т.п.
Компьютерная вирусология достаточно интересна и разнообразна.

Так что лечить есть чего...))
Точнее не лечить, т.е. исправлять последствия и снимать симптомы, чем занимается наша официальная медицина,
а разбираться в причинах возникновения...

XPOHOMETP написал:

[q]

Если эти вирусы такие страшные, то зачем их исключили из баз современного антивируса

[/q]

Его не исключили, он видит, но лечить не может.


XPOHOMETP написал:

[q]

(да и какой использовал ТС)?

[/q]

SEP 12


XPOHOMETP написал:

[q]

Нужны ли ТС-у эти файлы

[/q]

Считай, что не нужны, но еслиб антивирус мог полечить это было минимум телодвижений.


XPOHOMETP написал:

[q]

это спортивный интерес по выяснению кто победит - вирус или антивирус?

[/q]

Это основное.


XPOHOMETP написал:

[q]

Как отформатирована флешка - под FAT16 или FAT32 (есть ли длинные имена)?

[/q]

FAT16


XPOHOMETP написал:

[q]

а там Norton Disk Editor, Norton Disk Doctor и т.п. в зубы и воевать!

[/q]

"Прибить" флешку проще ;-)


Forza3dfx написал:

[q]

а разбираться в причинах возникновения...

[/q]

Причина, я думаю, в утилите делающей флешку загрузочной, но в ней антивирус ничего подозрительного не видит.

Forza3dfx написал:

[q]

Имя конкретного загрузочного вируса?

[/q]

Ща не помню, буду на неделе на работе - напишу точно.


Forza3dfx написал:

[q]

Т.е. за вирус может сойти в таком случае какой-нибудь нестандартный (вовсе не вирусный!) MBR- или BOOT-сектор

[/q]

Всё возможно, но если при старте этой флешки подключен другой диск, то материнка запрашивает разрешение на перезапись бутсектора, т.ч. это "жжжж" скорее всего не спроста.