STORYTELLER病毒的分析与防治

1 STORYTELLER病毒的特点最近在国内发现一种新的文件型病毒。该病毒对两类系统可执行文件进行传染。对COM型文件传染时,使文件长度增加1261字节;对EXE型文件传染时,由于是在文件的最末尾从一节的起点开始写病毒程序,所以文件长度增加的字节数为1261～1276。在病毒程序的尾部可以看到如下信息:     

1824病毒的检测与消除

(1) 病毒检测:①.COM文件增加1831字节,.EXE文件增加1824字节左右时;②文尾有B8 00 02 50 CB F6 C7等7字节病毒特征串时。 (2) 病毒感染过程:对.COM文件,只简单地将病毒代码720H字节存入文件首,然后将文件尾加上7字节病毒特征串,这样.COM文件增加727H字节。对.EXE文件,将病毒代码存入文件尾,同时修改文件头CS,SS,IP,SP等值,将其指向病毒代码,原文件头上述各值与0013异或后存入病毒代码0385～038CH处。     

934病毒的检测与消除

(1)病毒发作特征:运行934病毒感染的文件时,系统进入图形状态,驻留内存;PCTOOLS及MEM.EXE不能发现内存减少。 (2)病毒感染特征:只感染COM文件,感染文件长度增加3A6H(934)字节。 (3)病毒感染过程:将3A6H(934)字节长的病毒代码附在COM文件尾,将原COM文件开头4字节移到病毒代码偏移OBH处,即带毒文件长度减29BH偏移处;COM文件开头置跳     

1465病毒消毒程序

本文首先分析一种新型的长度为1465字节的病毒传染计算机可执行COM、EXE文件的机制,然后介绍用C语言编写的消毒程序。     

930／3A2病毒的检测和清除

笔者在单位的微机上发现一种新病毒,这种病毒只感染可执行文件(.COM和.EXE),用当前的CPAV、MSAV和SCAN均不能发现该病毒,唯有“超级巡警”KV200能够发现,但不能清除它.该病毒代码长为898个字节,对可执行文件传染后,文件字节增加930个字节,故称之为930/3A2病毒.     

INOC病毒的解密与消除

本系近来遇到一种新病毒,其现象是感染“.EXE”文件和长度不大于2048字节的“.COM”文件(但不感染COMMAND.COM),感染后长度增加1787～1833字节。用美国的CPAV1.4和MCAFEESCAN113等均无法检测出来;用冰岛大学推出的F-PROT软件可以检测出文件感染了名为“INOC”的病毒,但无法清除,只能把被感染文件改名(“.COM”改为“.VOM”;“.EXE”改为“.VXE”)。运行了带毒程序后,用MEM或MI命令可以看到病毒已用该程序的名字驻留内存,占用2288字节,并截取了INT 2F中断。此外该病毒还有一个特殊现象;若是被感染的文件名为SCAN.EXE,那么运行该文件时屏幕上将会显示出如下一段信息:     

13XX病毒的清除

最近,笔者发现一种新型计变机病毒,该病毒成功地逃避了SCAN108、CPAV2.0、KILL70的合围.该病毒只传染EXE文件,目染毒文件长度增加1366字节到1382字节不等.(据此命名)它只是在DIR时传染.病毒特征为文件前2条指令是:     

一种新的DOS病毒——新世纪病毒

最近笔者在学校机房中又发现一种新的DOS病毒,这种病毒用现有的反病毒软件如CPAV,KILL,SCAN等都查不出来,因病毒代码内写有“the new sentry of computer”的字样,故称其为新世纪病毒,这可能是我国又一国产病毒。一、病毒的破坏作用新世纪病毒既是文件型病毒,又是引导区病毒,即病毒既感染可执行文件(COM,EXE),又将自己覆盖在硬盘的主引导扇区,成为BOOT型病毒,该病毒原长为3K字节,感染文件时,对COM型文件直接写在文件尾,对EXE型文件则将3K以上的字节写在文件尾,对传染条件来说,该病毒只要驻留于内存中,则传染是无条件的:你运行一个文件,它感染一个文件,除非磁盘是写保护的,该病毒感染后的EXE文件     

一种变长病毒的分析与清除

最近,在本单位的微机上发现一种不知名的病毒,用K72,CPAV均无法检测出来.笔者对其进行了深入分析,成功地清除了该病毒,在此介绍给同行,以便发现时能及时清除.一、变长病毒的标志当发现文件的长度无故增长,并且,如果COM文件的前五个字节为B8 XX XX FFEO;EXE文件的第3,4字节(文件映像长度)为FF FF及第17,18字节(SP寄存器应具有的值)为C1 05,则可判定文件感染了此种病毒.     

Hymn病毒的检测和清除

笔者最近在一台486微机上发现名为Hymn的病毒.此病毒是一种典型的文件型病毒,它传染特定的COM、EXE文件,染毒文件长度增加930字节.用现有的KV系列、KILL系列及SCAN等清毒软件均无法查出,用DUCKV(1.34版)能查出该病毒名,却无法清除.为此,对该病毒进行分析,找到了检测和清除的方法.一、病毒引导代码用debug把染毒文件调入内存,有如下引导代码:     

病毒BUPT 9146

最近,笔者在微机上发现一种新病毒,因其表现时屏幕显示“Hello,Welcome to BUPT 9146,Beijing!”故将其命令名为BUPT9146病毒.用KILL68及MS-DOS6的MSAV均查不出此病毒.经过跟踪分析,笔者掌握了病毒的运行机制及待点,在此介绍给大家,以便及时发现和清除.一、特征.①病毒属良性文件型病毒,被感染COM文件长度增加1367字节,EXE文件增加1364-1379字节,COMMAND.COM文件受病毒保护不被感染.②被感染文件尾部四字节为病毒的标志字节“C6 CECB C9”.③用工具软件可在被感染文件中搜索到字串“Onlyfor experiment.BUPT”.     

“5120”病毒的防治

一、病毒的特点受感染的.COM和.EXE文件长度分别增加5125和5120字节;受感染程序在调入时,速度明显减慢,但运行时速度无明显变化,不感染COMMAND.COM,为一种良性病毒.某些文件不被感染,如WINDOWS文件,但由于病毒体较长,容易迅速占满软硬盘空间,而带来不少麻烦.二、病毒的运行1、“5120”病毒的引入(1)运行带毒文件.(2)如是.COM,则转(3);如是.EXE文件,则恢复原程序的一些参数:SS,SP,CS,IP,转(3).(3)调用中断21H,功能号ACACH,如果AX返回     

1099病毒的检测及清除

1099病毒是一种文件型病毒,攻击扩展名为EXE和COM的可执行DOS文件。该病毒代码长度为1099字节,故称其为“1099病毒”。1 1099病毒感染文件的特点及危害性 该病毒不感染长度低于2KB的文件。病毒代码附着在被感染文件尾部,文件长度增量为1099B 1～16B。原因是该病毒总是将自身复制到原文件末尾之后的第一个节地址(即能被16整除的磁盘地址)处,而在病毒体首字节与原文件末尾之间任意填充内容,导致文件长度增     

DIRⅡ病毒的检测和清除

DIRⅠ病毒驻留在磁盘的最后一个可用簇,驻留长度为1024字节,并在磁盘文件分配表FAT中将该簇标为FEFF(软盘有所不同)。该病毒首先感染COMMAND.COM文件,此时一旦执行DOS的DIR命令,病毒即进入内存,从而感染当前目录中的可执行文件(.EXE和.COM文     

一种反CPAV的病毒—1971病毒

最近在我单位发现一种新型病毒,该病毒的特点是:传染力强,破坏力小,反反病毒能力强,可自杀,很不容易引起注意,当我用目前较为流行的CPAV消毒时并没发现它,只是在一次偶然的机会发现CPAV的长度和备份的长度不同才抓住它。在目前还未有统一命名的情况下,仍取其长度值暂叫其1971病毒。1971病毒传染硬盘的主引导记录和所有长度大于666H个字节的COM和EXE文件,     

用TurboC编程检测和消除“627”病毒

最近,我系网络研究室的微机感染上了一种新型计算机病毒,使用CPAV2.0及KILL68均不能检测和消除.由于该病毒的感染,使数据传输受阻,严重时甚至导致整个网络瘫痪.经分析,该病毒为一文件型病毒,只传染大于1KB的.COM文件,且传染速度非常快,使文件长度增加627—639字节不等.由于该病毒使COMMAND.COM文件长度增加627B,故在各权威机构尚未正式命名之前,我们暂称之为“627病毒”.下面分几部分对627病毒进行讨论,并给出检测和消毒程序.     

神秘的3783病毒

最近,笔者发现了一种新的病毒,用目前常用的KV300、VRVNT、KILL等杀毒软件均不能发现和清除,因其感染EXE和COM文件时,使文件长度增长3783字节,故取名为3783病毒.它是一种两栖型(又称混合型)病毒,它既是系统型病毒,感染硬盘主引导扇区(即0道0头1扇区)和软盘的逻辑0扇区,又是文件型病毒,专门感染EXE文件和COM文件.3783病毒的神秘之处在于以下几点:其一,3783病毒感染硬盘和软盘时,病毒的首语句是JMP 013E(EB 3C),特别是软盘的逻辑0扇区,DOS 5.0以上版本的引导程序的首语     

一种新病毒的清除方法

最近在笔者单位的计算机中发现了一种新的病毒,病毒不能被KILL70.01、SCAN108、CPAV1.4所发现和清除.病毒只感染.COM文件,感染病毒的文件长度增加1024(1K)字节.当计算机有病毒时,用DIR命令,在遇到.COM文件时计算机的显示速度明显下降、并有写盘现象.这种病毒是文件型(外壳型)病毒,由于病毒修改了INT21中断,所以感染起采非常迅速.在内存中有病毒的情况下,只要打DIR命令就能将当前目录下所有.COM文件感染上病毒.不过此时用DIR命令不能发现.COM文件的长度和日期有变化,用PCTOOLS工具可看到文件的长度多了1024字节.     

对2048LH病毒的消除

《电脑》1994年第11期曾介绍一种2048病毒,该病毒只感染EXE文件,而不感染COM文件.本人最近发现一种病毒,用Cpav、kill62软件不能发现和消除,被感染病毒的文件大小增大2048字节左右,为区别起见,暂称该病毒为2048LH病毒,该病毒属于文件型病毒,专门感染COM和EXE文件,但不感染command.com文件,当该病毒驻留内存后,用Pc-tools或Chkdsk检测,可发现内存减少2K.     

COM文件转换为.EXE文件

·COM文件是大家熟悉的DOS可执行文件。由于它存在着文件长度受限制、不允许堆栈段等缺陷,在某些应用中,比如二次开发.COM文件(扩充功能、加密处理等),经常会碰到.COM文件长度超过64K后要将其转换为.EXE文件的问题,亦即EXE2BIN命令的逆过程。然而,有关的介绍资料却很少。作者通过对.COM和.EXE文件结构的分析,用宏汇编语言编写了一个名为COM2EXE.ASM的