CPAV免疫功能剖析

CPAV是一个集病毒的检测、清除、免疫于一体的实用软件,它采用窗口菜单式的用户界面,使用起来十分方便。它的免疫功能主要包括:①对引导扇区加免疫;②对EXE文件加免疫;③对COM文件加免疫。关于其实现操作,在该软件的帮助信息及许多书本上都有介绍,这里不再多述。本文仅从CPAV给COM文件增加的免疫功能来进行分析和评价。     

B483病毒

最近,在我单位的计算机上发现了一种新的病毒,用CPAV、KILL、SCAN均无法检测出来。我对病毒进行了彻底的分析,成功的清除了病毒。因该病毒运行后在内存0000:053E处有B483标志,所以称之为B483病毒。该病毒是文件型病毒,它的感染对象是绝大部分COM文件和EXE文件。     

一种反CPAV的病毒—1971病毒

最近在我单位发现一种新型病毒,该病毒的特点是:传染力强,破坏力小,反反病毒能力强,可自杀,很不容易引起注意,当我用目前较为流行的CPAV消毒时并没发现它,只是在一次偶然的机会发现CPAV的长度和备份的长度不同才抓住它。在目前还未有统一命名的情况下,仍取其长度值暂叫其1971病毒。1971病毒传染硬盘的主引导记录和所有长度大于666H个字节的COM和EXE文件,     

一种新病毒的清除方法

最近在笔者单位的计算机中发现了一种新的病毒,病毒不能被KILL70.01、SCAN108、CPAV1.4所发现和清除.病毒只感染.COM文件,感染病毒的文件长度增加1024(1K)字节.当计算机有病毒时,用DIR命令,在遇到.COM文件时计算机的显示速度明显下降、并有写盘现象.这种病毒是文件型(外壳型)病毒,由于病毒修改了INT21中断,所以感染起采非常迅速.在内存中有病毒的情况下,只要打DIR命令就能将当前目录下所有.COM文件感染上病毒.不过此时用DIR命令不能发现.COM文件的长度和日期有变化,用PCTOOLS工具可看到文件的长度多了1024字节.     

930／3A2病毒的检测和清除

笔者在单位的微机上发现一种新病毒,这种病毒只感染可执行文件(.COM和.EXE),用当前的CPAV、MSAV和SCAN均不能发现该病毒,唯有“超级巡警”KV200能够发现,但不能清除它.该病毒代码长为898个字节,对可执行文件传染后,文件字节增加930个字节,故称之为930/3A2病毒.     

INOC病毒的解密与消除

本系近来遇到一种新病毒,其现象是感染“.EXE”文件和长度不大于2048字节的“.COM”文件(但不感染COMMAND.COM),感染后长度增加1787～1833字节。用美国的CPAV1.4和MCAFEESCAN113等均无法检测出来;用冰岛大学推出的F-PROT软件可以检测出文件感染了名为“INOC”的病毒,但无法清除,只能把被感染文件改名(“.COM”改为“.VOM”;“.EXE”改为“.VXE”)。运行了带毒程序后,用MEM或MI命令可以看到病毒已用该程序的名字驻留内存,占用2288字节,并截取了INT 2F中断。此外该病毒还有一个特殊现象;若是被感染的文件名为SCAN.EXE,那么运行该文件时屏幕上将会显示出如下一段信息:     

COM文件转换为.EXE文件

·COM文件是大家熟悉的DOS可执行文件。由于它存在着文件长度受限制、不允许堆栈段等缺陷,在某些应用中,比如二次开发.COM文件(扩充功能、加密处理等),经常会碰到.COM文件长度超过64K后要将其转换为.EXE文件的问题,亦即EXE2BIN命令的逆过程。然而,有关的介绍资料却很少。作者通过对.COM和.EXE文件结构的分析,用宏汇编语言编写了一个名为COM2EXE.ASM的     

一种新病毒的清除方法

笔者最近在使用本校的微机时,发现了一个奇怪现象:用dir命令列磁盘文件目录时,文件名的显示速度较迟缓,还有停顿现象,尤其在显示可执行文件名时更为严重。通过对内存及磁盘文件的分析发现,这是一种新病毒在作怪。这种病毒用CPAV1.2、SCAN V91及kill50均无法查出,在众多资料中也无关于这种病毒的介绍。由于这种病毒感染COM文件后会使文件的长度增加1757个字节,所以笔者暂称它为“1757病毒”。     

一种新的DOS病毒——新世纪病毒

最近笔者在学校机房中又发现一种新的DOS病毒,这种病毒用现有的反病毒软件如CPAV,KILL,SCAN等都查不出来,因病毒代码内写有“the new sentry of computer”的字样,故称其为新世纪病毒,这可能是我国又一国产病毒。一、病毒的破坏作用新世纪病毒既是文件型病毒,又是引导区病毒,即病毒既感染可执行文件(COM,EXE),又将自己覆盖在硬盘的主引导扇区,成为BOOT型病毒,该病毒原长为3K字节,感染文件时,对COM型文件直接写在文件尾,对EXE型文件则将3K以上的字节写在文件尾,对传染条件来说,该病毒只要驻留于内存中,则传染是无条件的:你运行一个文件,它感染一个文件,除非磁盘是写保护的,该病毒感染后的EXE文件     

对任意COM文件加口令

本刊14期《利用口令对COM文件加密》介绍了对COM文件加密的方法,但不能实现对任意COM文件加密。如果你要对另一个COM文件加口令,还得按照此办法再写一段同样的程     

一种新型计算机病毒的分析和诊治

笔者最近发现了一种新的良性计算机病毒，用现有的CPAV，SCAN等反病毒软件都不能诊治。感染该病毒的程序比原来增加了1465个字节，因而笔者称这种病毒为1465病毒。分析了核病毒的程序后，用C语言编制了诊治该病毒的程序。1465病毒附在COM和EXE文件的后部。运行有毒文件时，首先执行病毒部分。病毒先检查对号中断，如果对号中断已感染病毒，则执行文件的正常部分；如果对号中断未感染病毒，刚修改对号中断，使其附有1465病毒，并感染COMMAND．COM文件。在内存感染的情况下使用DIR命令，感染相应的COM和EXE文件，并显示文件原来…     

用TurboC编程检测和消除“627”病毒

最近,我系网络研究室的微机感染上了一种新型计算机病毒,使用CPAV2.0及KILL68均不能检测和消除.由于该病毒的感染,使数据传输受阻,严重时甚至导致整个网络瘫痪.经分析,该病毒为一文件型病毒,只传染大于1KB的.COM文件,且传染速度非常快,使文件长度增加627—639字节不等.由于该病毒使COMMAND.COM文件长度增加627B,故在各权威机构尚未正式命名之前,我们暂称之为“627病毒”.下面分几部分对627病毒进行讨论,并给出检测和消毒程序.     

一种变长病毒的分析与清除

最近,在本单位的微机上发现一种不知名的病毒,用K72,CPAV均无法检测出来.笔者对其进行了深入分析,成功地清除了该病毒,在此介绍给同行,以便发现时能及时清除.一、变长病毒的标志当发现文件的长度无故增长,并且,如果COM文件的前五个字节为B8 XX XX FFEO;EXE文件的第3,4字节(文件映像长度)为FF FF及第17,18字节(SP寄存器应具有的值)为C1 05,则可判定文件感染了此种病毒.     

“金蝉脱壳”—让软件自动反病毒

反病毒软件CPAV以及被CPAV免疫过的文件苦自身被非法改变，一旦运行就会报警。KV系列反病毒软件具有自我修复的功能，如KV100FIX。这种特性给人很深的印象。用C语言编写一小段程序，也可以达到这个效果。病毒或者感染BOOT区和分区表，或者感染可执行文件，此外也有“多功能”的病毒。感染可执行文件的病毒泛称为文件型病毒，当它感染可执行文件后，很可能使可执行文件长度增加（但在系统有毒的情况下，很多病毒可使染毒文件在DIR时长度没有变化）。因此若在自已编写的软件中事先置入最后的可执行文件的长度，让软件在运行时首先检…     

“848”病毒的检测与清除

“848”是流行于PC机上的一种计算机病毒,它专门感染包括COMMAND.COM在内的COM型文件,被感染的文件长度增加848个字节,故称为“848”病毒.当带有848病毒的文件运行时,程序首先跳转到病毒体部分,执行DOS功能调用INT21的BB功能,这是病毒程序自加的功能、通过判断AX里的返回值是否等于1111h.来确定系统是否感染病毒.如果AX里的内容不是这个值,则病毒便认为系统中没有受到感染,于是就启动感染过程.     

在右键菜单中添加注册组件菜单项

通过使用COM接口程序，扩展Windows外壳，在上下文菜单中 加服务器文件注册和卸载功能菜单项。     

使用MS—DOS6.2 DBLSPACE命令经验一则

MS—DOS6.2中的DBLSPACE实用程序是一个磁盘压缩程序,可扩大磁盘容量近一倍.用户对文件的存取、压缩、恢复在不知不觉中完成,使用非常方便,且较安全、可靠.笔者应用此功能将D盘增容近一倍,然而在使用D盘上杀毒软件CPAV2.0等时发现系统先是访问A驱动器,然后又访问B驱动器,经过一段间歇后再访问D盘上的CPAV,找到CPAV后运行此软件,这样既浪费时间,而且对驱动器频繁访问对磁头有一定的磨损.解决的方法很简单,下面介绍一下.     

COM文件反病毒外壳生成器

新病毒层出不穷,简直令人防不胜防。下面的CURECOM.ASM经编译连接为CURECOM.COM后,按格式:CURECOM COM文件名执行,就可在COM文件原先的代码之上加一层反病毒外壳,该文件以后再被病毒感染,只需执行这个文件,其上的反病毒外壳就可将感染的     

CPAV—功能强大的抗病毒工具软件

CPAV是美国CentralPointSoftware公司推出的一个检测和清除计算机病毒的软件包，其全称为CentralPointAnti．Virus。该防毒软件功能强大，用户界面友好，不仅能够对病毒进行处理，而区还可以对磁盘上的文件进行免疫，并且在计算机被病毒入侵时能自动产生报警，提醒用户清除病毒。1991年推出的1．0版CPAV能够检测和清除534种病毒，1992年推出的1．2版能够检测和清除1009种病毒，其后推出的1．4版能够检测和清除1197种病毒。该软件包由四大功能模块组成：BOOTSAFE、CPAV、VSAFE和VWATCH，并支持／？询问参数。这里以CPAVI．…     

CPAV与计算机病毒的防治

CPAV软件对引导型病毒、文件型病毒的通用检测技术,以及计算机病毒的防治方法.