Глава 2 . Разработка резидентного

EXE - ВИРУСА

2.1 Алгоритм работы резидентного

EXE - вируса

Для начала рассмотрим алгоритм работы резидентного

вируса, заражающего EXE - файлы .Он очень похож на

соответствующий алгоритм для COM - вируса, поэтому

подробно рассматриваться не будет :

Секция инициализации выполняет следующие действия:

1. Получает управление при запуске зараженной про-

граммы .

2. Проверяет, установлена ли в память резидентная

часть вируса .

3. Если резидентная часть не установлена,выполняю-

тся следующие действия :

a.) Отыскивается свободный блок памяти достато-

чного для размещения вируса размера .

б.) Код вируса копируется в найденный блок па-

мяти .

в.) В таблице векторов прерываний соответству-

ющие вектора заменяются точками входа в ви-

русные обработчики .

г.) Определяются значения CS, IP, SS и SP,необ-

ходимые для правильной работы программы ,

из которой стартовал вирус .

д.) Управление передается зараженной программе.

Для этого вирус использует команду безусло-

вного дальнего перехода или возврата из да-

льней процедуры.Адрес перехода задается вы-

численными CS и IP. После этого начинается

обычное выполнение программы .

В том случае, если резидентная часть вируса уже

находится в памяти, он просто выполняет действия

перечисленные в п.п. " Г " и " Д " .

Резидентная часть работает по такому " сценарию ":

1. Анализирует все вызовы системного прерывания

INT 21h с целью выявить переход оператора в новый

каталог или смену текущего диска .

2. Если обнаружится смена текущего диска или ката-

лога, резидентная часть должна :

а.) Сохранить исходное состояние вычислительной

системы .

б.) Найти на диске подходящий EXE - файл .

в.) Записать вирусный код в конец этого файла .

г.) Скорректировать заголовок файла ( см. п.1.4

гл. 1 ч. 2 ) .

д.) Восстановить исходное состояние вычислите-

льной системы и передать ей управление .

Как и в случае с COM - вирусом, заражение файлов

выполняет только резидентная часть .Вредные дейст-

вия можно " возложить " как на резидентную, так и

на транзитную часть ( на транзитную - проще, а на

резидентную - обычно сложнее . ) .

2.2 Защита от программ - антивирусов

Честно говоря, эта глава просто является обобщени-

ем всех предыдущих . Поэтому все основное уже рас-

сказано .Но есть несколько весьма интересных и за-

служивающих вашего внимания вопросов,о которых по-

чти не упоминается в литературе .Речь идет о пос-

троении вирусов, " невидимых " для антивирусных

программ.В самом деле,один - единственный "обыск"

с помощью программы DOCTOR WEB на диске или в па-

мяти может свести все наши усилия к нулю . Поэтому

самое время поговорить о способах скрытия вирусом

своего наличия в вычислительной системе .

Технику защиты вирусной программы от обнаружения

мы рассмотрим на примере всем известного антивиру-

са DOCTOR WEB.Именно эта программа является наибо-

лее удачной и используемой.

Как вы знаете, для обнаружения неизвестных вирусов

DOCTOR WEB использует так называемый эвристический

анализатор, моделирующий действия человека, желаю-

щего обнаружить новый вирус.

Все изложенное ниже базируется на следующем пред-

положении :эвристический анализатор, по существу,

представляет собой комбинацию пошагового отладчика

и программы, анализирующей результаты его работы .

Перейдем к делу . Если вы " заразите " ваш ком-

пьютер написанным ранее резидентным COM - вирусом,

а потом запустите DOCTOR WEB ( режим тестирования

памяти должен быть включен ), то вирус будет обна-

ружен как неизвестный резидентный .Кроме того, ан-

тивирусная программа определит адрес в памяти, по

которому находится вирусный код . Если вы просмот-

рите содержимое памяти по этому адресу,то увидите,

что DOCTOR WEB " ошибся ".А именно - по указанному

адресу расположен собственно не сам вирус,а только

его обработчик прерывания INT 21h.На остальные ви-

русные обработчики антивирус не обратил внимания .

Исходя из этого можно сделать такие выводы :

1.) Эвристический анализатор определяет, на какой

адрес указывает вектор прерывания INT 21h в

таблице векторов .

2.) Далее вступают в действие следующие соображе-

ния : Обработчик прерывания INT 21h почти ни-

когда не может находиться в самых младших (на-

пример,в области данных BIOS) или в самых ста-

рших (например, в последнем сегменте) адресах

основной памяти .Поэтому при обнаружении такой

ситуации эвристический анализатор считает, что

система заражена неизвестным вирусом,и в каче-

стве адреса, по которому расположен его код ,

выдает адрес обработчика INT 21h .

Как видим, все не так уже и сложно.Далее пользова-

тель должен решать сам,действительно ли вирус при-

сутствует в его компьютере. Отметим, что для реше-

ния этого вопроса нужно иметь довольно высокую

квалификацию, поэтому для подавляющего большинства

пользователей задача представляется неразрешимой.