Алгоритм работы загрузочного вируса

Несмотря на огромное разнообразие загрузочных вирусных программ, алгоритмы их работы незначительно отличаются друг от друга. В этом пункте мы рассмотрим одну из возможных реализаций такого алгоритма. Только сначала условимся, что наш вирус будет заражать загрузочные сектора гибких дисков и MBR (Master Boot Record) первого жесткого диска. Поэтому можно предложить следующий "план работы":

Попав при начальной загрузке машины в память по адресу 0000:7C00h, вирус должен выполнить такие действия:

1. Установить регистры SS и SP на собственный стек
2. "Отрезать" у системы несколько килобайтов памяти (сколько именно - зависит от длины вирусного кода)
3. Переписать свой код в полученную область (кстати, она будет находиться в старших адресах основной памяти)
4. Передать управление следующей секции своего кода, уже расположенной в конце основной памяти

Эта секция, в свою очередь, должна:

1. Переопределить вектор прерывания Int 13h на вирусный код
2. Считать настоящий загрузочный сектор в память по адресу 0000:7C00h
3. Проверить, заражен - ли винчестер. Если нет, то заразить его MBR
4. Передать управление настоящему загрузочному сектору, находящемуся по адресу 0000:7C00h

Далее загрузка ОС выполняется, как обычно. Когда система будет загружена,вирус должен заняться заражением BOOT - секторов дискет. С этой целью он выполняет такие действия:

1. При чтении секторов с номерами 2...N нулевой дорожки нулевой стороны диска " A " проверяет BOOT этого диска на зараженность
2. Если диск еще не инфицирован - заражает его
3. Передает управление системному обработчику Int 13h

Под заражением понимают запись вирусного кода в BOOT - сектор дискеты или в MBR винчестера. Понятно, что при загрузке с винчестера проверять его на зараженность бессмысленно. И тем не менее, наш вирус делает это, так как отключить проверку жесткого диска не так просто, как это может показаться. Кроме того, она выполняется очень быстро и поэтому совершенно не ощущается пользователем. На первый взгляд, приведенный алгоритм кажется довольно сложным. Тем не менее, его достаточно просто реализовать, в чем вы скоро убедитесь. Хотелось бы сказать о том, какой должна быть максимальная длина вирусного кода. Если мы хотим поместить вирус в загрузочный сектор целиком, следует учесть два момента.

1. Собственно программа загрузки в MBR занимает не более, чем 446 байт (см. ПРИЛОЖЕНИЕ 2)
2. Программа загрузки в BOOT - секторе дискеты имеет разный размер в разных версиях DOS. В самом "предельном" случае она начинается со смещения 0055h относительно начала сектора. Два последних байта BOOT и MBR содержат код: 55AAh. Если его затереть,система перестанет загружаться с испорченного таким образом диска. Некоторые вирусы используют этот прием для приведения дискеты или винчестера в "частично нерабочее" состояние.

Отсюда следует очевидный вывод - размер кода вируса не может превышать: 200h - 55h - 02h = 1A9h = 425 байт! Если вы не выйдете за эту границу, обращение к диску будет происходить корректно. Кроме того, даже NORTON DISK DOCTOR не будет замечать изменений программы загрузки в BOOT - секторе дискеты или MBR винчестера, что, согласитесь, очень важно.

Дата добавления: 2014-11-20