恢复感染DIR—2病毒文件的方法

DIR—2病毒的宿主是可执行文件,当运行了带毒的文件后,其病毒部分驻留内存,并感染默认目录及根目录下的.EXE、.COM文件,染毒文件的长度、日期均不改变。它不寄生在染毒的文件上,而是隐藏在磁盘的最后两个簇上,通过修改被感染文件的首簇号使之指向磁盘的最后两个簇。实现对可执行文件的感染。该病毒传播迅速、破坏性大,用KILL、SCAN等清毒软件均可检测出来,但用它们清除病毒时,它     

KV300杀毒专家经验谈(续)——DIR2-3、DIR2-6、NEW-DIR2/BYWAY-A病毒的清除方法

PC机中流窜着三种危害性特别大的DIR2病毒。这种病毒在感染形式和自身结构上与以往引导区型、宿文件型病毒大不相同。该病毒在软硬盘中占据小于33兆硬盘最后一个簇的区域。但是,对当今快速发展的各种大容量硬盘,该病毒就计算错误,乱感染一通,很难解除。病毒实际上长度为1024、2048字节。病毒通过DIR或其它读写盘命令将当前盘中所有.COM和.EXE文件目录登记项中的首簇数修改为病毒认为是磁盘最后一个簇数,这个簇数指向的位置就是病毒在盘中隐藏的位置。     

清除1099病毒及其变形的方法

“1099”病毒是近年来流行的一种文件型病毒。激发时，将会随机性地改写硬盘，故有的资料称之为“随机格式化病毒”，被改写的硬盘中，文件数据全部丢失，所以是一种“恶性病毒”。1099病毒的感染能力很强，在运行了一个染毒文件后，它就驻留内存，然后在DIR命令下，每列一次目录时，就感染当前目录下的一个可执行文件，先感染．EXE文件，再感染．COM文件。一旦COMMAND．COM文件被感染，则每次开机后它就驻留内存，伺机继续感染其它的可执行文件。研究此病毒可以用如下方法：先把一个无毒的．EXE文件或者．COM文件以．CMP文件复…     

一种新病毒的清除方法

最近在笔者单位的计算机中发现了一种新的病毒,病毒不能被KILL70.01、SCAN108、CPAV1.4所发现和清除.病毒只感染.COM文件,感染病毒的文件长度增加1024(1K)字节.当计算机有病毒时,用DIR命令,在遇到.COM文件时计算机的显示速度明显下降、并有写盘现象.这种病毒是文件型(外壳型)病毒,由于病毒修改了INT21中断,所以感染起采非常迅速.在内存中有病毒的情况下,只要打DIR命令就能将当前目录下所有.COM文件感染上病毒.不过此时用DIR命令不能发现.COM文件的长度和日期有变化,用PCTOOLS工具可看到文件的长度多了1024字节.     

对2048LH病毒的消除

《电脑》1994年第11期曾介绍一种2048病毒,该病毒只感染EXE文件,而不感染COM文件.本人最近发现一种病毒,用Cpav、kill62软件不能发现和消除,被感染病毒的文件大小增大2048字节左右,为区别起见,暂称该病毒为2048LH病毒,该病毒属于文件型病毒,专门感染COM和EXE文件,但不感染command.com文件,当该病毒驻留内存后,用Pc-tools或Chkdsk检测,可发现内存减少2K.     

一种CPAV查不到的病毒分析

(1)表现特征及传染特性 当微机被这种病毒感染之后,只要在带毒的环境中操作过的所有目录下的.COM文件都加长848个字节。据此,我们称它为848病毒,当系统被848病毒感染之后,则在进行改变路径和有计算磁盘剩余空间的操作时,病毒就感染所有当前目录的.COM文件。而我们常用的DIR命令里是有计算磁盘剩余空间这一操作的,也就是说至少在用CD命令和DIR命令时就不可能逃过848病毒的感染。因此,该病毒的传染性是很强的。 (2)848病毒的发作条件及破坏性 发作条件为当系统日期大于12月20日时发作。当848病毒发作时,它破坏C盘和A盘的0面0道1到9扇区的全部数据。也就是说硬盘的分区表被毁,A盘的引导记录和一部分FAT表被毁。这样,硬盘和A盘上的所有数据就无法使用了。因此,这种病毒的破坏性是很大的。     

一种新的DOS病毒——新世纪病毒

最近笔者在学校机房中又发现一种新的DOS病毒,这种病毒用现有的反病毒软件如CPAV,KILL,SCAN等都查不出来,因病毒代码内写有“the new sentry of computer”的字样,故称其为新世纪病毒,这可能是我国又一国产病毒。一、病毒的破坏作用新世纪病毒既是文件型病毒,又是引导区病毒,即病毒既感染可执行文件(COM,EXE),又将自己覆盖在硬盘的主引导扇区,成为BOOT型病毒,该病毒原长为3K字节,感染文件时,对COM型文件直接写在文件尾,对EXE型文件则将3K以上的字节写在文件尾,对传染条件来说,该病毒只要驻留于内存中,则传染是无条件的:你运行一个文件,它感染一个文件,除非磁盘是写保护的,该病毒感染后的EXE文件     

一种新型计算机病毒的分析和诊治

笔者最近发现了一种新的良性计算机病毒，用现有的CPAV，SCAN等反病毒软件都不能诊治。感染该病毒的程序比原来增加了1465个字节，因而笔者称这种病毒为1465病毒。分析了核病毒的程序后，用C语言编制了诊治该病毒的程序。1465病毒附在COM和EXE文件的后部。运行有毒文件时，首先执行病毒部分。病毒先检查对号中断，如果对号中断已感染病毒，则执行文件的正常部分；如果对号中断未感染病毒，刚修改对号中断，使其附有1465病毒，并感染COMMAND．COM文件。在内存感染的情况下使用DIR命令，感染相应的COM和EXE文件，并显示文件原来…     

1091病毒的检测与删除

最近,我们单位出现一种新病毒,用CPAV和SCAN都不能发现它,我对它进行了分析,成功的杀灭了该病毒.因该病毒长度为443H字节,故称其为1091病毒.病毒修改COM文件头的11字节为远跳转指令,使病毒代码首先得到执行,并把原文件头的11字节存入病毒偏移11FH处,对EXE文件,则修改文件头的SS,SP,CS,IP使其指向病毒体,并把原文件头的11字节存入病毒偏移11FH处.病毒代码一运行,首先检测内存有没有驻留该病毒,如没有则把DOS可用内存减少2K字节,并把自身驻留于内存高端,同时修改24H,21H号中断,使其指向病毒内部代码.因此每当运行DIR命令时,病毒开始传播.     

934病毒的检测与消除

(1)病毒发作特征:运行934病毒感染的文件时,系统进入图形状态,驻留内存;PCTOOLS及MEM.EXE不能发现内存减少。 (2)病毒感染特征:只感染COM文件,感染文件长度增加3A6H(934)字节。 (3)病毒感染过程:将3A6H(934)字节长的病毒代码附在COM文件尾,将原COM文件开头4字节移到病毒代码偏移OBH处,即带毒文件长度减29BH偏移处;COM文件开头置跳     

INOC病毒的解密与消除

本系近来遇到一种新病毒,其现象是感染“.EXE”文件和长度不大于2048字节的“.COM”文件(但不感染COMMAND.COM),感染后长度增加1787～1833字节。用美国的CPAV1.4和MCAFEESCAN113等均无法检测出来;用冰岛大学推出的F-PROT软件可以检测出文件感染了名为“INOC”的病毒,但无法清除,只能把被感染文件改名(“.COM”改为“.VOM”;“.EXE”改为“.VXE”)。运行了带毒程序后,用MEM或MI命令可以看到病毒已用该程序的名字驻留内存,占用2288字节,并截取了INT 2F中断。此外该病毒还有一个特殊现象;若是被感染的文件名为SCAN.EXE,那么运行该文件时屏幕上将会显示出如下一段信息:     

警惕Format—1999病毒

Format 1999是近期较流行的一种恶性病毒,这种病毒发作起来就象破坏机器一样,会把整个硬盘的数据毁掉,本文就来揭示Format 1999病毒可憎的真面目.一、病毒的基本特征Format 1999病毒传染EXE和COM可执行文件,每个被感染的文件增长3184到3214个字节不等.对于一个文件型病毒来说,3K的长度算是比较大的规模了,在这3K字节中,Format 1999病毒不仅在驻留方式有其独特之外,它还花了大量功夫在它的破坏作用上,它在不同的条件下采用两种不同的破坏方式,发作时毫不掩饰自己的行动,并声称自己为“变态杀人狂(amuck)”.Format 1999病毒在系统查找匹配文件时会修改被感染文件的长度值,使得用DIR命令列目录时无法发现文件长度的变化,另外病毒把每试图     

1099病毒的检测及清除

1099病毒是一种文件型病毒,攻击扩展名为EXE和COM的可执行DOS文件。该病毒代码长度为1099字节,故称其为“1099病毒”。1 1099病毒感染文件的特点及危害性 该病毒不感染长度低于2KB的文件。病毒代码附着在被感染文件尾部,文件长度增量为1099B 1～16B。原因是该病毒总是将自身复制到原文件末尾之后的第一个节地址(即能被16整除的磁盘地址)处,而在病毒体首字节与原文件末尾之间任意填充内容,导致文件长度增     

硬盘坏簇的识别和修复

有些计算机病毒为了防止嵌入磁盘中的病毒代码被其它文件所覆盖,往往将病毒代码所占用的簇标志为坏簇.这样,当有新文件写入磁盘时,DOS将自动避开坏簇空间,病毒代码受到了“坏簇”的安全保护.例如,小球病毒和巴基斯坦智囊病毒就是利用坏簇标志来保护病毒代码的.     

2048病毒

最近广州出现了一种新病毒,用目前人们使用的KILL和SCAN软件,不能查出或清除该病毒.由于受该病毒感染的EXE文件都增长2048字节,故笔者称之为2048病毒.2048病毒是一种文件型病毒,但它只感染EXE文件,而不感染COM文件.2048病毒和许多病毒一样,在功能调用INT 21H和磁盘中断INT 13H上做文章.但2048病毒与众不同的地方在于它在设置病毒INT 21H和病毒INT13H时,并没有修改中断向量表中记录的INT 21H和INT 13H的入口地址,而是采用了移花接木的手法.     

充分利用划伤软磁盘

软磁盘在使用过程中因各种原因受损划伤后,文件处于坏磁道,使得文件操作失败,在一些未联网的学校,软磁盘的使用频率高,为了充分利用好划伤磁盘,介绍以下方法: 1.划伤区极少,可以用PCT8.0先对磁盘格式化,这时可以查看到坏扇区的大概位置,完后退到DOS系统,使用DOS6.22系统中的NDD.EXE命令,此操作可以粘结好坏扇区和文件,完后,几乎可以完全修复磁盘。 2.一般只要0磁道不坏,DOS启动系统的2个隐藏文件(IO.SYS和MSDOS.SYS)都能传送上去,关键是COMMAN.COM文件所处的位置,一旦处于坏磁道,用DIR虽能查有该文件,但磁盘已不能作启动盘,此时再拷贝该文件仍会在此坏磁道。处理的方法是,将     

1150／Burglar病毒的分析与清除

近几个月,笔者在上机时,机器常出现死机现象,检查文件发现EXE文件无故增长1150字节,确认感染病毒,但使用KILL76.02、KV200(J)和CPAV2.0均不能查解,经分析发现为新病毒,定名为1150/Burglar病毒。分析与消毒方法如下。 1.病毒特性 参见附表,该病毒为常驻内存的文件型病毒,感染EXE文件,修改原文件的文件头,病毒体追加在EXE文件的尾部。当染毒文件运行时,病毒首先使用DOS功能调用的扩展功能F0H来判断病毒是否已驻留内存,调用返回AX寄存器,如AX=0,则表明病毒已驻留内存,病毒恢复原EXE文件的IP、CS、SS,运行被感染文件,反之,则先驻留病毒自身,再恢复执行染毒文件。     

“计算机病毒”诊治软件

随着计算机应用的推广和普及,国内外软件的大量流行,使相当规模的计算机系统感染上了病毒,这种流行病还在继续蔓延,给计算机的正常运用造成严重威胁。目前在国内流行的病毒有小球病毒,大麻MARIJUANA,用带这种病毒的盘启动系统有时显示器上出现“Your pc is now stoned”(石头)病毒、巴基斯坦智囊病毒[用DIR命令列磁盘目录时,磁盘卷棕为“Braln”]、杨基都督文件病毒和长方块(犹太人、耶路撒冷、疯狂拷贝)病毒。     

病毒晴雨表

病毒名称:矩阵隐形病毒(Win32/MTX) 病毒类型:混合型病毒病毒特征:该病毒不仅是一个32位病毒,还具有蠕虫一样的行为,同时有着象特洛伊一样的驻留方式。一旦系统运行了带毒的可执行文件,病毒会感染Windows目录下的文件,然后该病毒解包,并把它的蠕虫病毒部分两次驻留在Windows目录中,驻留的文件名为“Ie_pack.exe”和“Win32.dll”。同时,一个名为“Mtx_.exe”的特洛伊也被驻留在Windows目录中。     

汇编语言系列讲座(四)——DOS与BIOS功能调用

驻留在硬件ROM芯片中的BIOS和以磁盘文件形式提供的DOS模块(IBMBIO.COM、IBMDOS、COM)中含有大量的用于支持各种输入输出、设备管理、文件及目录管理等操作的实用程序,我们可以在用户的应用程序中通过中断方式调用这些系统功能,以获得所要求的服务。中断,是指程序运行过程中发生了某种紧急事件,这时CPU必须暂