Технологии борьбы с компьютерными вирусами. Практическое пособие

;0 = Конец данных

;3 = #1 Часть стихов

;4 = #2 Часть стихов

;5 = #3 Часть стихов

;6 = Финальный хлопок руками

;Большинство других цифр получены как данные для вывода таймером

MusicData:

;Если вы спаситель и знаете об этом

dw 3

dw 1,1473d,-1,2,1,1473d,-1,2,1,1084d,-1,2,1,1084d,-1,2,1,1084d,-1,2

dw 1,1473d,-1,2,1,1473d,-1,2,1,994d,-1,2,1,994d,-1,2,1,994d,-1,2

; Õëîï, õëîï

dw -1,-2,-1,-2,-1

; Если вы спаситель и знаете об этом dw 3

dw 1,1084d,-1,2,1,883d,-1,2,1,822d,-1,2,1,822d,-1,2,1,822d,-1,2

dw 1,822d,-1,2,1,994d,-1,2,1,883d,-1,2,1,883d,-1,2,1,883d,-1,2

dw 1,994d,-1,2,1,994d,-1,2,1,994d,-1,2,1,1084d,-1,2,1,1193d,-1,2

; Õëîï, õëîï

dw -1,6,-1,6,-1,0

В данной программе рисуется образ Иисуса Христа на кресте, идут авторские стихи, паралелльно авторская музыка, а Иисус Христос хлопает в ладоши в самые ответственные моменты.

На этом с графическими и музыкальными спецэффектами в вирусах мы закончили.

Windows вирусы

Теперь переходим к наиболее актуальной части нашего повествования — к разработке вирусов под операционные системы семейства Microsoft Windows. В какие-то моменты может показаться, что разработка вирусов под Windows системы гораздо легче, чем под MS DOS, но должен вас заверить, что это не так. Написание грамотного вируса под MS WINDOWS ничуть не легче, даже сложнее, чем под MS DOS. Если в MS DOS вирусах не наблюдается существенных различий в зависимости от верси DOS'а, то в MS Windows вирусах существуют существенные различия в вирусах, адаптированных под разные версии ОС. Windows вирусы мы тоже будем разбирать, начиная с простейших и постепенно переходя к более сложным и более трудно детектируемым.

Ì å ò î ä û ð à ç ì í î æ å í è ÿ â è ð ó ñ î â

Глава 1 Простейшие overwriter вирусы

Начнем наши исследования компьютерных вирусов под операционные системы MS Windows, как обычно, с вирусов типа overwriter. Чем отличается вирус overwriter под операционную систему MS DOS от overwriter вируса под операционную систему MS Windows? Основное различие заключается в том, что в MS DOS вирусах типа overwriter используются 16-битные DOS-функции, а в вирусах под ОС семейства Windows используются 32-битные Windows функции. Возможно так же использование 16-битных Windows функций, которые используются в Windows 3.11, но данная ОС не является в полном понимании операционной системой. Это своего рода надстройка над DOS'ом. Поэтому мы не будем рассматривать написание вирусов под эту операционную систему. Нашей основной задачей будет написание вирусов, совместимых с большинством операционных систем семейства Windows, начиная от Windows 95 и заканчивая Windows XP.

Итак, начнем наше знакомство с overwriter вирусами под операционные системы семейства Windows с простого вируса, написанного на C++.

Следует рассмотреть, как выглядит файл до инфицирования и после:

а) до инфицирования:

б) после инфицирования:

Перейдем к листингу:

//---------------------------------------------

Язык C++ для написания вирусов под Windows мы выбрали не зря, так как сама система Windows (не важно какой версии) написана на C++ с применением Ассемблера. Поэтому удобнее всего использовать WIN32 API при помощи языка программирования C++. Рассмотрим данный вирус по частям.

Начинаем с первой части:

char msg1[50]="[ VIRUS WIN32 OVERWRITER -=w32.zorbot=- ]"; // Имя вируса find_handle=FindFirstFileA("*.exe",&ff); // Вызов функции поиска первого файла

//---------------------------------------------

Сначала в ней описываются переменные. Первая — find_handle — это указатель поиска. Она используется в функции FindNextFileA. Следующая — это переменная ff типа WIN32_FIND_DATA. Ее следует рассмотреть подробнее, так как в ней хранятся все параметры найденного файла. Если быть более точным, то это даже не переменная, а структура.

Посмотрим, как она выглядит:

} WIN32_FIND_DATA; //---------------------------------------------

Теперь вы можете наглядно убедиться, что в этой структуре хранятся все параметры найденного нами файла. Далее идет непосредственный вызов WIN API функции FindFirstFileA и сохранение хэндла поиска в переменную find_handle.

При вызове функции FindFirstFileA ей в качестве параметров передаются:

•маска поиска (*.exe);

•и переменная ff, которая была рассмотрена выше. Перейдем ко второй части разбираемого нами вируса:

}

//---------------------------------------------

В данной части вируса и происходит непосредственное инфицирование. Оно заключается в том, что просто копируется вирусная программа в найденный нами файл. Копирование производится WIN API функцией, аналогичной DOS-команде copy. При копировании очень удобно использовать параметр argv[0], в котором хранится имя программы, из которой вирус был запущен. Параметр 0 в функции копирования говорит о том, что файл будет перезаписываться. Далее идет поиск нового файла, и, если он найден, происходит его инфицирование. Если файлы закончились, цикл прерывается командой break.

Переходим к последней части данного вируса:

Для создания рабочей программы вам необходимо выполнить следующие действия:

1)tasm32 -ml -m3 example.asm;

2)tlink32 /c /aa /Tpe example.obj,,,imp32i.lib/

При помощи первого действия производится ассемблирование и создается файл example.obj. А при помощи второго производится компоновка и создается уже готовая программа example.exe. Файл imp32i.lib — это библиотечный файл, в котором содержатся основные Windows функции.

После этой небольшой подготовки мы готовы перейти к первому ассемблерному вирусу под Windows.

Следует рассмотреть, как выглядит файл до инфицирования и после: а) до инфицирования:

б) после инфицирования:

Рассмотрим листинг:

;Функция GetCommandLine()

;Возвращает в eax смещение на командную строку

Начнем с первого блока.

;----------------------------------------------

;Функция GetCommandLine()

;Возвращает в eax смещение на командную строку

;Функция FindFirstFileA(LPSTR lpszSearchFile, LPWIN32_FIND_DATA lpffd)

;Возвращает хэндл поиска

В начале данного блока вызывается WIN API функция GetCommandLineA. Этот вызов необходим, чтобы мы получили имя файла, из которого запущены.

Данная функция возвращает в регистре eax смещение на командную строку. Затем при помощи функции lstrcpyA командная строка копируется в переменную host_name. После этого вызываем функцию FindFirstFileA, и если файл найден, сохраняем хэндл поиска в переменную Fhandle.

Переходим ко второму блоку:

;----------------------------------------------

В начале данного блока мы копируем вирусную программу в найденный нами файл, после этого вызываем процедуру поиска следующего файла, и если файл найден, инфицируем его. Если файлов больше нет, то закрываем поиск и завершаем работу программы.

И теперь рассмотрим последний блок:

;bool FindNextFileA( handle, pointer find_file)

;Возвращает 0, если файлов больше нет, и 1 в обратном случае

;----------------------------------------------

Это процедура поиска следующего файла. В ней, как и положено, параметры ложатся в стек в обратном порядке, вызывается сама функция FindNextFileA, и после этого управление возвращается в основную программу.

Ассемблирование и компоновка осуществляются так же, как и в предыдущем случае. Антивирусами этот вирус не обнаруживается, что говорит не в их пользу. Основным недостатком вирусов, описанных в этой части, является то, что они портят заражаемую программу. Напомню, мы исследовали overwriter вирусы под системы семейства Windows.

Лечение вирусов данного типа такое же, как и их DOS-аналогов — удаление.

Глава 2 Простейшие companion вирусы

Пришло время начать разбор companion вирусов для систем семейства MS Windows. Данные вирусы отличаются от схожих вирусов под операционные системы семейства MS DOS. При инфицировании, в отличие от их аналогов под DOS, они не создают файла двойника с *.com расширением. При размножении вирусная программа ищет *.exe файлы, затем копирует их в файлы с аналогич- ным именем, но отличным расширением, например если найден файл 123.exe, то он копируется в файл 123.xxx, а сама вирусная программа копируется в файл 123.exe. После того как все файлы таким способом заражены, вирусная программа копирует файл с именем, идентичным тому, из которого сам вирус был запущен в файл 31337.exe. После этого запускает этот файл и, когда работа программы (31337.exe) завершена, данный файл удаляется. Таким образом, появляется иллюзия того, что была запущена просто оригинальная программа. Данная иллюзия появляется из-за того, что вирус работает довольно-таки быстро.

Следует рассмотреть как выглядит файл до инфицирования и после.