Игорь Гульев - Создаем вирус и антивирус

;Точка 0

90 NOP

90 NOP

E8CC00 CALL CheckA20

2E CS:

Фрагмент 2 может располагаться как в верхних, так и в нижних адресах памяти.

;Точка 1

NEXTDOS:

FA CLI

80FC6C CMP AH,6C

80FC50 CMP AH,50

748E JZ 40A9

;Точка 2

Для DOS 7.0 структура обработчика, в общем, такая же. Исключение – фрагмент 1 присутствует всегда, вне зависимости от содержимого файла CONFIG.SYS. Теперь приведем конкретные значения адресов, полученные для разных случаев:

DOS 7.0 (русская версия)

Точка 0 00C9:0FB2 9090

Точка 1 FF03:41E7 80FA

Точка 2 FF03:420A 1E06

DOS 6.20

device=himem.sys

dos=high

Точка 0 0123:109E 9090

Точка 1 FDC8:40F8 80FA

Точка 2 FDC8:411B 1E06

DOS 6.20

dos=high

Точка 0 0123:109E 03EB

Точка 1 03AC:40F8 80FA

Точка 2 03AC:411B 1E06

DOS 6.20

Точка 1 002A:40F8 80FA

Точка 2 002A:411B 1E06

DOS 5.0

device=himem.sys

dos=high

Точка 0 0123:109E 9090

Точка 1 FDC8:40EB 80FA

Точка 2 FDC8:410E 1E06

DOS 5.0

dos=high

Точка 0 0123:109E 03EB

Точка 1 03AC:40F8 80FA

Точка 2 03AC:411B 1E06

DOS 5.0

Точка 1 002A:40EB 80FA

Точка 2 002A:410E 1E06

DOS 3.30

Точка 0 0070:05DC 892E

Точка 1 0294:1460 3A2E

Точка 2 0294:1480

DOS 3.10Точка 0 0070:0D43

DOS 3.20Точка 0 0070:17D0

Точка 2 является оптимальной, то есть в нее целесообразнее всего передавать управление, чтобы обойти резидентные антивирусные мониторы. Точка 2A – это позиция инструкции INT 2Ah, которую DOS обязательно выполняет в процессе обработки 21-го прерывания.

В конце каждой строки приведены контрольные слова – на тот случай, если по указанному адресу находится нечто иное.

Борьба с антивирусными мониторами

Современные антивирусные мониторы умеют отслеживать факт прямого обращения программ к DOS.

Защиту 21-го прерывания можно организовать более эффективно, используя метод встраивания в ядро операционной системы. Общепринятая схема такова: в точку входа прерывания INT 21h записывается инструкция JMP FAR на обработчик, который проверяет номер функции на безопасность. Он восстанавливает оригинальные инструкции в точке входа прерывания и вызывает обработчик INT 21h. После возврата управления из прерывания, в точку входа снова записывается инструкция JMP FAR, и управление передается программе, вызвавшей INT 21h.

Здесь описан обычный «сплайсинг» (встраивание), который широко применяется разработчиками вирусов. Отметим, что для перехода не обязательно использовать инструкцию JMP FAR (она занимает 5 байт в памяти и не везде может быть размещена). Вместо нее можно применить INT 3, затратив всего 1 байт. В то же время необходимо обеспечить обработку вызовов с кодами 00h, 4Ch, 31h (они не возвращают управление в исходную точку), а также самовызовов (при завершении процессов посредством INT 27h и INT 20h).

Процесс развивается следующим образом. Первый компонент антивирусного монитора встраивается в ядро DOS, а второй – просто перехватывает цепочку 21-го прерывания. Когда программа выполняет инструкцию INT 21h, управление передается второму компоненту. У антивирусных мониторов существует список функций, которые воспринимаются ими как опасные. Они могут сделать проверку на наличие заданной функции в этом списке, затем выставить флаг «проход цепочки» и передать управление дальше. Когда первый компонент получает управление, он проверяет флаг «прохода цепочки». Если он выставлен, то была инструкция INT 21h, поэтому необходимо сбросить флаг «проход цепочки» и передать управление в DOS. Если флаг сброшен, это значит, что был выполнен прямой вызов. В этом случае требуется принимать соответствующие меры против возможных действий вируса.

Эта идея исключительно проста и эффективна. В том или ином виде ее применяют почти все современные антивирусные мониторы. Вот один из таких вариантов.

После трассировки прерывания выполняется обращение к DOS по оригинальному адресу. Программа AVPTSR перехватывает обращение. Точнее, AVPTSR перехватывает INT 2Ah, причем этот вызов произведен из INT 21 h, вблизи начала фрагмента. Обработчик INT 08h, то есть таймера, периодически восстанавливает вектор 2Ah, если он был отключен.

Подразумевается, что флаг прохода цепочки 21-го прерывания проверяется в обработчике INT 2Ah.

Конструирование неотслеживаемого обращения к DOS

Для чего нужно такое конструирование? Неужели антивирусные мониторы настолько бдительны, что пресекают любые попытки открыть для модификации EXE– или СОМ-файл? Да, это действительно так. Авторы антивирусных мониторов обладают достаточно эффективными средствами, чтобы предотвратить прямые обращения к DOS со стороны вирусов.