Полигон-2

FDISK /MBR можно использовать, если есть уверенность, что в MBR-секторе сидит какой-нибудь примитив типа Stoned-подобного.
Иначе можно остаться без информации на диске.
Например, вирус, садящийся в MBR-сектор, может зашифровать таблицу разделов и расшифровывать ее на лету при загрузке,
если командой FDISK /MBR заместить вирусный код, то таблица разделов останется зашифрованной, со всеми вытекающими...
Или известный всем файлово-загрузочный OneHalf шифрует сектора начиная с конца диска и расшифровывает их на лету при обращении к ним, голова вируса находится в MBR-секторе и если командой FDISK /MBR заместить ее, то при следующей
перезагрузке невозможно будет получить доступ к зашифрованным секторам...
Или еще вот такой пример - вирус вроде бы не ахти какой, но все сектора, к которым идет обращение через обычные функции
чтения/записи (02h и 03h) прерывания 13h, может перезаписывать функцией длинной записи, при обращении к таким секторам
он их считывает длинным чтением. Использование команды FDISK /MBR сделает эти сектора недоступными для чтения обычными
средствами при следующей перезагрузке...
Опять же - самый простейший вирус может вообще не касаться MBR-сектора, а садиться в BOOT-сектор активного загрузочного
раздела, он только посмеется при вводе команды FDISK /MBR... ))
То же самое будет, если более продвинутый вирус изменит в MBR-секторе не загрузочный код, а всего лишь ссылку на BOOT-сектор
активного раздела в таблице разделов на сектор, содержащий его голову, где-нибудь на нулевой дорожке. Команда FDISK /MBR
окажется импотентна...
Еще более продвинутый загрузочный или файлово-загрузочный вирус может при загрузке определить адрес прерывания DOS
Int 21h и фильтровать, например, файловые операции - при запуске любой программы через функцию 4Bh узнать имя файла
и если это FDISK, то сделать с ним все, что душа пожелает...
А еще я видел сон если стелсирующийся через Int 13h вирус может мониторить не только функцию чтения, но и записи,
подставив при запуске команды FDISK /MBR вместо MBR-сектора любой другой...
Вообще стелсироваться вирус может гораздо интереснее - не на уровне Int 13h, а на уровне аппаратного прерывания
контроллера жесткого диска...
И т.д. и т.п.
Компьютерная вирусология достаточно интересна и разнообразна.

Так что лечить есть чего...))
Точнее не лечить, т.е. исправлять последствия и снимать симптомы, чем занимается наша официальная медицина,
а разбираться в причинах возникновения...

XPOHOMETP написал:

[q]

Если эти вирусы такие страшные, то зачем их исключили из баз современного антивируса

[/q]

Его не исключили, он видит, но лечить не может.


XPOHOMETP написал:

[q]

(да и какой использовал ТС)?

[/q]

SEP 12


XPOHOMETP написал:

[q]

Нужны ли ТС-у эти файлы

[/q]

Считай, что не нужны, но еслиб антивирус мог полечить это было минимум телодвижений.


XPOHOMETP написал:

[q]

это спортивный интерес по выяснению кто победит - вирус или антивирус?

[/q]

Это основное.


XPOHOMETP написал:

[q]

Как отформатирована флешка - под FAT16 или FAT32 (есть ли длинные имена)?

[/q]

FAT16


XPOHOMETP написал:

[q]

а там Norton Disk Editor, Norton Disk Doctor и т.п. в зубы и воевать!

[/q]

"Прибить" флешку проще ;-)


Forza3dfx написал:

[q]

а разбираться в причинах возникновения...

[/q]

Причина, я думаю, в утилите делающей флешку загрузочной, но в ней антивирус ничего подозрительного не видит.

Forza3dfx написал:

[q]

Имя конкретного загрузочного вируса?

[/q]

Ща не помню, буду на неделе на работе - напишу точно.


Forza3dfx написал:

[q]

Т.е. за вирус может сойти в таком случае какой-нибудь нестандартный (вовсе не вирусный!) MBR- или BOOT-сектор

[/q]

Всё возможно, но если при старте этой флешки подключен другой диск, то материнка запрашивает разрешение на перезапись бутсектора, т.ч. это "жжжж" скорее всего не спроста.

Столько разговоров. За это время можно было 5 раз забэкапить данные, отформатировать, накинуть загрузчик DOS, и вернуть данные на место. И ещё просканировать данные всеми основными антивирусами с 1990 по 2018 годы, на всякий пожарный.

CodeMaster написал:

[q]

можно ли вылечить имидж EBD не создавая реальную дискету.

[/q]

В виртуалке делаете виртуальную машину с W9x, создаёте образ дискеты (IMA), штатным путём пишете туда ЕБД винды, далее копируете файл на флешку. Вообще, все дела с флешками легко делать при помощи Virtual PC/Virtual Box/VMware/PCem.


CodeMaster написал:

[q]

Обе сделаны загрузочными с помощью hpusbfw.exe и уставновлен DOS то ли от Win 95, то ли от Win 98.
Из автозапуска запускается Grub4DOS который запускает разные имиджи и пр.

[/q]

Есть смысл повторить операцию.