EXE dosyasını virüslerden nasıl temizlenir. Exe-virüsler bunlarla mücadele yöntemleri nedir

Bu makale hakkında konuşuyor virüslerenfekte olma Exe dosyaları. Bir sınıflandırma verilir virüslerÇalışmalarının algoritmaları detaylı olarak kabul edilir, onlarla dezavantajları arasındaki farklar.

Virüsler - Bu, zihin için iyi bir jimnastiktir, ancak birçok insan yazdığını düşünüyor virüs Yüksek seviye dil çok zordur. Bu tam olarak değil. Pascal dilinde yazmak oldukça kolaydır, ancak ortaya çıkan kodun değeri bir reverent heyecanına neden oluyor.

Her tür için virüsler Ayrıntılı yorumlarla kaynak metinler sundu. Ayrıca, işin yapısı ve ilkeleri hakkında temel bilgiler sunulmuştur. Ex programı.

SOM dosyaları (Esas olarak montajda yazılmış küçük programlar) yavaşça, ancak doğru çalındı. Büyüklüğünü korkutmayı değiştirmeye geldiler EXE-"Canavarlar". Nasıl bulaşacağını bilen virüsler var. Exe dosyaları.

Ex-Program Yüklenmesi Yapısı ve Süreci

Aksine Somun programı, Ex programı Birkaç segmentten oluşabilir (kodlar, veri, yığın). 64kb'den fazla işgal edebilirler. Ex-dosya Yüklendiğinde kullanılan bir başlığa sahiptir. Başlık, imzayı içeren biçimlendirilmiş bir parçadan ve indirmek için gereken verileri içermektedir. Exe dosyasıve adresleri ayarlamak için tablolar ( Yer değiştirme tablosu). Tablo, Format Segmentinde değerlerden oluşur: Ofset. Tablodaki değerleri gösteren önyükleme modülünde, programı yükledikten sonra, programın belleğe indirildiği bölüm adresi belleğe eklenmelidir.

Başladığın zaman Ex programı sistem yükleyici (DOS 4BH işlevini arayın) aşağıdaki adımlar:

1. Ücretsiz bellek alanının segment adresi belirlenir, boyut

programı yerleştirmek için yeterlidir.

2. Çevre değişkenleri için bellek bloğu oluşturulur ve doldurulur.

3. PSP ve program için bir bellek birimi vardır (segmentasyon - PSP;

segment + Oyuuoo - Program).

İlgili değerler PSP alanlarına girilir.

4. DTA düğmesine PSP: 0080H olarak ayarlanmıştır.

5. İş yükleyici çalışma alanı biçimlendirilmiş okunur

başlık Exe dosyası.

6. Önyükleme modülünün formülüyle uzunluğu eklenir:

Si7.e \u003d ((PAGECNT * 5I2) - (HDRSAE * I6)) - PA! TP3IG.

7. Bagaj modülünün dosyadaki yer değiştirmesi

8. Segment adresi (start_seg) indirmeye eklenir - bir PSP + LOH'dur.

9. Önyükleme modülü (adresle başlayarak)

Start_SEG: 0000).

10. Her ayar tablosu girişi için:

a) i_off ve i_seg kelimelerini okuyun;

b) relc ^ seg-start ^ seg + lseg hesaplanır;

c) Kelime Relo_SEG: i_off'ta okunur;

d) Start_SEG Okuma için eklenir:

e) Sonuç aynı adres boyunca hatırlanır (Relo_SEG: i_off).

11. Programın hafızası Makhmet'e göre dağıtılmaktadır.

12. Kayıtlar başlatılır, program yürütülür:

b) AH \u003d Komut satırında belirtilen sürücü tanımlayıcılarının doğruluğunu doğrulamanın sonucu;

c) SS ° Start_SEG + Reloss, SP-Exesp;

d) CS \u003d Start_SEG + Relocs, IP \u003d EXEIP.

EXE virüslerinin sınıflandırılması

Exe virüsü. Koşullu olarak, algoritmanın özelliklerini bir özellik olarak kullanan gruplara ayrılabilir. VirüslerÜzerine yaz.) Böyle virüsler Zaten nadir oldu. Ana dezavantajı çok kaba iştir. Enfekte programlar yürütülmez çünkü virüs Program kodunun üstüne kaydetmeden yazılmıştır. Başladığın zaman virüs Başka bir fedakarlık (veya mağdur) arıyorum, orijinal kodu kaydetmemek için vücudunu düzenlemek ve programın başlangıcına kaydetmek için bulunan bir dosyayı açar. Bunlarla bulaşmış virüsler Tedavi edilmeyen programlar tabi değildir.

Uydu virüsleri (Companion)

Bunlar virüsler Reprodüksiyon algoritması nedeniyle adlarını aldı:

her virüslü dosyaya bir dosya uydu oluşturulur. Bu grubun iki tür virüsünü daha ayrıntılı olarak düşünün:

Virüsler İlk tip aşağıdaki gibi çarpılır. Enfekte olmuş için Exe dosyası Aynı dizin, aynı ada sahip bir viral kod dosyası oluşturur. Ex-dosyaAncak genişleme ile Som.. Virüs Yürütülebilir dosyanın adı komut isteminde belirtilirse etkinleştirilir. Gerçek şu ki, dosya uzantısı belirtilmemişse, Dos. Öncelikle, geçerli dizindeki belirtilen adı ve genişletme ile bir dosya arar. Som.. Eğer bir Somun dosyası Bu isim bulunamadı, aynı isim için arama aranıyor. Exe dosyası. Bulunmadıysa ve Ex-dosya, DOS tespit etmeye çalışacak Wat. (toplu iş) dosyası. Geçerli dizinde yürütülebilir bir dosyanın yokluğunda belirtilen isim Arama, değişken tarafından mevcut olan tüm dizinlerde gerçekleştirilir. Yol.. Diğer bir deyişle, kullanıcı programı çalıştırmak istediğinde ve yalnızca adını komut istemine çevirdiğinde (Temelde böylece her şey bitti), ilk kontrol alır virüskimin kodu Somun dosyası. O yaratır Somun dosyası başka bir veya daha fazla Exe dosyaları(uygulanır) ve sonra yürütür Ex-dosya Komut satırında belirtilen adla. Kullanıcı sadece çalıştığını düşünüyor Eski program.

Virüs uydusu nötralize eder oldukça sadece - sadece sil

SOM dosyası.

Virüsler İkinci tip daha ince davranır. Virüs bulaşmış

Exe dosyası aynı kalır ve uzantı herhangi bir şekilde değiştirilir

yürütülebilir bir başka farklı ( Som, exe ve wat), Örneğin,

dosya genişleme alabilir Dat. (veri dosyası) veya Ovl (pro--

gram yerleşimi). Sonra yerinde Exe dosyası Kopya viral kod. Böyle bir virüslü program başlattığınızda, yönetim alır viral İçinde bulunan kod Exe dosyası. Başka bir veya daha fazla bulaşmak Exe dosyaları aynı şekilde virüs İadeler orijinal dosya. Yürütülebilir uzatma (ancak e değil Heh ve som, Ex-dosya Bu isim ile virüsle uğraşıyor), sonra gerçekleştirir. Enfekte programın çalışması tamamlandığında, uzantı tetiklenen dosyasına döndürülür. Dosyaların tedavisiBu tür bir virüs bulaşmış olursa zor olabilir virüs- Uygun, bir parçayı veya enfekte olmuş dosyanın tüm gövdesini şifreldirir ve yürütülmeden önce kod çözülür.

VirüslerProgramda (paraziter) uygulandı Virüsler Bu tür en görünmezdir: kodları, enfekte olmuş programda kaydedilir; kapsamlı tedavi virüslü dosyalar. Uygulama yöntemlerini düşünün Exe virüsleri Exe virüsleri.

EXE dosyalarını enfeksiyon yolları

En yaygın enfeksiyon yolu Exe dosyaları Böyle: Vücut dosyanın sonunda bitmiştir. virüsve başlık (orijinal ile), böylece virüslü bir dosyaya başlarken, kontrol alınır virüs. Enfeksiyon gibi görünüyor SOM dosyalarıAncak, geçiş kodunda virüsün başlangıcındaki bir görev yerine, programın başlangıcının adresi ayarlanır. İşin bitiminden sonra, virüs depolanan başlığın depolanan başlığını çıkarır, program başlatmasının orijinal adresi, DS veya ES kaydının değerini (virüs başladığında elde edilir) ve kontrolü alınan adrese aktarır. .

Bir sonraki yol - Virüsün kod vardiya dosyasının başlangıcına uygulanması

programlar. Enfeksiyon mekanizması budur: vücut enfekte program Belleğe okunur, onun yerine yazılmıştır. viral kodve sonra - kod enfekte Programlars. Böylece, program kodu, virüs kodunun uzunluğu için dosyada "kaydırılmış" gibi görünüyor. Bu nedenle, yöntemin adı - "Vites değiştirme yöntemi". Enfekte bir dosyayı başlatırken virüs Başka bir veya daha fazla dosyayı enfekte eder. Bundan sonra, program kodunu belleğe okur, bu, yürütülebilir dosyanın uzantılı olarak, özel olarak diskte oluşturulan geçici bir dosyada yazar ( SOM veya EHE) ve ardından bu dosyayı çalıştırır. Program iş bittiğinde, geçici dosya silinir. Bir virüs oluştururken ek koruma teknikleri kullanılmamışsa, virüslü bir dosyayı iyileştirmek çok kolaydır - sadece dosyanın başlangıcındaki virüs kodunu silin ve program yeniden çalışacaktır. Bu yöntemin dezavantajı, virüslü programın tüm kodunun hafızada okunması gerektiğidir (çünkü 1 MB'den fazla örnek var).

Dosyaları enfekte etmenin bir sonraki yolu - Transfer yöntemi - görünüşe göre, listelenen en mükemmel olanıdır. Virüs aşağıdaki gibi çarpılar: Vücudun enfekte olmuş bir programı başlatırken virüs Ondan okunur. Sonra enfekte olmuş bir program arayışı bulunur. Başlangıç \u200b\u200bhafızada okunur, eşit bedenin uzunluğu Virüs. Vücut bu yere yazılmıştır. virüs. Bellek gelen programlar dosyanın sonunda bitirir. Bu nedenle, yöntemin adı "transfer yöntemi "dir. Sonra virüs Enfekte bir veya daha fazla dosya, başlattığı programı yürütmeye başlar. Bunu yapmak için, dosyanın sonunda kaydedilen enfekte programın başlangıcını okur ve program performansını geri yükleyerek dosyanın başlangıcına kaydeder. Sonra virüs Program başlangıç \u200b\u200bkodunu dosyanın sonundan siler, dosyanın orijinal uzunluğunu geri yükler ve programı yürütür. Program tamamlandıktan sonra, virüs kodunu dosyanın başlangıcına yönlendirir ve programın orijinal başlangıcı sonuncusudur. Bu yöntem bile enfekte olabilir antivirüsBütünlük kodlarını kim kontrol eder çünkü başlatıldı virüs Program enfeksiyondan önce olduğu gibi tam olarak aynı kodu vardır.

VirüslerYazılım kodunu değiştirme ( Üzerine yaz. ) Daha önce belirtildiği gibi, bu türler virüsleruzun zamandır öldü. Bazen daha fazla görünüyor virüslerdil Montajcı., ama en küçük olanı yazarken bir rekabet virüsün üzerine yazma. Şu anda, ünlülerin en küçüğü virüslerin üzerine yaz yazılı Hatırlatma (Death Virii Crew Grubu) ve 22 bayt alır.

Virüs İşi \u200b\u200bAlgoritması Üzerine Yaz Sonraki:

1. Virüsün kontrolü aldığı dosyayı açın.

3. Dosyayı kapatın.

4. Enfeksiyon için uygun maskeye göre arama yapın.

5. Artık bulunamayan dosyalar artık bulunamıyorsa, 11 numaraya gidin.

6. Bulunan dosyayı açın.

7. Bulunan dosyanın bu virüs bulaşıp bulaştığını kontrol edin.

8. Dosya enfekte olursa, 10'a gidin.

9. Virüs kodunu başlangıcına kaydedin.

10. Dosyayı kapatın (isteğe bağlı olarak birinden birinden enfekte edebilirsiniz

katalogda veya diskte balık tutmak).

11. "Anormal Program Sonlandırması" veya "Yeterli Bellek Değil" gibi herhangi bir hata mesajı, - kullanıcının programın başlamamasına şaşırmadığı sürece.

12. Programı tamamlayın.

Aşağıda, programın dosyaları bu şekilde bulaşan listesi bulunmaktadır.

($ M 2048, 0, 0)

(DOS ve sistem modülleri kullanılır (sistem modülü her bir derleme programına otomatik olarak bağlanır))

(Virüs adı)

Virname \u003d 'acı';

(Yeniden enfeksiyonu kontrol etmek için satır.

Enfekte dosyaya koddan hemen sonra ekler virüs}

ViraBel: string \u003d '' acı! 1;

(Derlemenin uzunluğu Exe dosyası}

Yazar \u003d 'kirli nazi / sgww.';

(Bir oturumda enfekte olan dosyaların sayısı)

(Bir kopyanın varlığını belirlemek için dizi virüs bulunan dosyada)

VirsDentiFier: CHAR dizisi;

(Dosyalarla çalışmak için dosya değişkeni)

(Başka bir dosya değişkeni - onsuz yapması mümkün olsa da, daha net olacaktır)

(Bulunan dosyanın adı için)

TargetFile: PATHSTR;

(Vücut tamponu Virüs)

Virbuf: CHAR [-i.virlen];

(Tarihler / zaman dosyası için)

(Enfekte Dosyaların Sayısını Sayma)

Dirlnfo: SearchRec;

LabelBUF: CHAR dizisi;

(Başlatma)

Labelbuf: \u003d ViraBel;

Labelbuf: \u003d ViraBel;

Labelbuf: \u003d ViraBel,

Labelbuf: \u003d ViraBel;

Labelbuf: \u003d ViraBel;

(Sayı sayacını sıfırlayın virüslü dosyalar}

(Dosya değişkeni virbody'yi başlatan programın adıyla ilişkilendiriyoruz)

Atama (virbody, parstration (o));

(Dosyayı RECSIZE \u003d 1 BYTE ile açın)

Sıfırlama (virbody, 1);

(Vücudu dosyadan okuyun Virüs Virbuf bölgesinde)

Blockread (virbody virbuf, virlen);

(Dosyayı kapat)

(Kurban arayın)

prosedür FindTarget;

(Bulunan program zaten enfekte olmuşsa ve henüz olmasa da yanlış olan işlev doğru döndürür ()

fonksiyon VirusPresent: Boolean;

Viruspresent: \u003d false;

(Bulundu dosyayı açın)

Atama (hedef, targetfile);

Sıfırlama (hedef, 1);

(Vücut uzunluğu için hareket virüs Dosyanın başlangıcından itibaren)

Aramak (hedef, virlen);

(5 bayt okuyun - Dosya zaten enfekte olursa, bir etiket var. virüs}

BlockRead (hedef, virsdentifier, 5);

VirTdenTier \u003d Virl_abel thatn ise

(Bir etiket varsa, o zaman da var. virüs}

VirusPresent: \u003d Doğru;

(Enfeksiyon Prosedürü)

prosedür infectfile;

(Bulunan dosyanın boyutu, virüsün artı 100 baytlığın uzunluğundan daha azsa, prosedürden ayrılırız)

Sr.Size ise< VirLen+100 Then Exit;

Bulunan program henüz enfekte olmazsa, enfekte olur)

Eğer viruspresent değilse, o zaman

(Dosyanın tarihini ve saatini hatırlayacağız. Arama arşiv özniteliğine sahip dosyalar arasında arama yapıldığından, bu özellikten sonra tasarruf ettikten sonra dosyaya yüklendiğinden, öznitelikleri hatırlamayın.

(Enfeksiyona açık)

Atama (hedef, targetfile);

Sıfırlama (hedef, 1);

(Vücut yazısı virüs Dosyanın başlangıcına kadar)

Blockwrite (Hedef, Virbuf, Virlen);

(Geçerli pozisyonun işaretçisini ve uzunluğunu hareket ettirin ( virüs Dosyanın başlangıcından itibaren)

Aramak (hedef, virlen);

(Enfeksiyon işaretini girin)

Blockwrite (Hedef, Labelbuf, 5);

(Dosyanın tarihini ve saatini yükleyin)

Setftime (hedef, zaman);

(Kapat)

(Tezgahı arttırın virüslü dosyalar}

(FindTarget Prosedürünün başlangıcı)

(Mevcut dizinde bir maske dosyası arıyoruz * .EXE

Özniteliklerle Arşiv.}

Findfirstf.exe ', arşivi, sr);

(Enfeksiyon için dosyalar varken)

DOSERROR \u003d 0 yaparken

Eğer sr.name \u003d "sonra çıkın;

(Bulunan dosyanın adını targetfile değişkeninde hatırlayın)

TargetFile: \u003d sr.Name;

(Enfeksiyon prosedürünü arayın)

(InfCount dosyaları enfekte olursa, aramayı tamamlayın)

İnfeksiyonlar\u003e Çıkışı InfCounte ise;

(Aşağıdaki maske dosyasını arıyoruz)

(Ana gövde)

(Başlat)

(Kurbanları arıyoruz ve onlara bulaşıyoruz)

(Ekrana bir hata mesajı veriyoruz)

Writeln ('Anormal Program Sonlandırması');

(Bu, derleyici virname ve yazar sabit koduna ekler, durum bu satırların asla gösterileceği şekilde ayarlanır)

Writeln (virname);

Writeln (Yazar);

Uydu virüsleri (Companion)

Uydu virüsleri Şimdi yaygın - eşlik ve paraziter oranı virüsler Yaklaşık bir ila iki. Bir yöntem oluşturma Som dosyası Bu yöntemin uydu anlamı, bir "uzaylı kedinin" dokunması değildir ( Exe programı), "senin" oluşturun - Somun dosyası İsimle Ex programı. Bunun çalışmalarının algoritması virüs Gereksiz eylemlerin (örneğin, derlenen uzunluğun virüsünün vücudundaki koruma) kaybolduğu için son derece basittir. Exe dosyası dan viral kod, vücut tamponunda okuyun Virüsbaşlangıç \u200b\u200bdosyası virüs Kontrol alındı). Dosya enfeksiyonunu belirlemek için etiketi bile saklamanıza gerek yoktur.

Enfeksiyon, komut işlemcisi kullanılarak yapılır:

1. Komut isteminde parametreler belirtilirse, bunları kaydedin. değişken tipi Virüslü bir programı iletmek için dize.

2. Gece Ex-dosya-erttel.

3. Katalogda bulunamadığını kontrol edin. Exe dosyası Somun dosyası Mağdurun dosyası ile aynı isimde.

4. öyle olursa Somun dosyası mevcut, dosya zaten bulaşmış, gidin

6 maddeye.

5. Dosyayı kopyalamak için komut işlemcisinin yardımıyla

yönetim, mağdur ve genişleme adında bir dosyaya alındı Som..

6.Proturn Ezez Bir dosyayı başın adını indirin ve uygulayın, ancak uzantıyla exe - Yani, enfekte bir program yapmak için.

7. Kontrolü DOS'a döndürün.

Aşağıdaki liste, bununla dosya enfeksiyonunu göstermektedir.

($ M 2048, 0, 0)

(Kullanılmış DOS ve Sistem Modülleri (Sistem Otomatik Olarak Modül

derlerken her programa bağlanır)))

(Virüs adı)

VIRNAME \u003d 'GUESF;

Yazar \u003d 'Dirty Nazi / SGWW. Sadece 4 pvt! ';

(Numara enfekte bir dosyanın oturumu için)

(Bulunan dosyanın adı için)

TargetFile: PATHSTR;

EXE dosyalarının enfeksiyonu için yöntemler

EXE dosyalarını enfekte etmenin en yaygın yolu şöyledir: virüsün gövdesi dosyanın sonuna eklenir ve başlık (orijinal ile), virüslü bir dosyayı başlatırken, kontrol bir virüs aldı. COM dosyalarının kirlenmesi, ancak geçiş kodunda virüsün başlangıcındaki bir görev yerine, programın başlangıcının adresi ayarlanır. İşin bitiminden sonra, virüs depolanan başlığın depolanan başlığını çıkarır, program başlatmasının orijinal adresi, DS veya ES kaydının değerini (virüs başladığında elde edilir) ve kontrolü alınan adrese aktarır. .

Aşağıdaki yöntem, bir virüsün program kodunun kayması ile dosyanın başlangıcına tanıtılmasıdır. Enfeksiyon mekanizması budur: Enfekte programın gövdesi belleğe okunur, viral kodu yerine yazılır ve enfekte olmuş programın kodu olduğundan. Böylece, program kodu, virüs kodunun uzunluğu için dosyada "kaydırılmış" gibi görünüyor. Bu nedenle, yöntemin adı - "Vites değiştirme yöntemi". Virüslü bir dosyaya başladığınızda, virüs başka bir veya daha fazla dosyayı enfekte eder. Bundan sonra, program kodunu belleğe okur, onu, yürütülebilir dosyanın (COM veya EXE) uzantılı diskte özel olarak oluşturulan geçici bir dosyaya yazar ve ardından bu dosyayı çalıştırır. Program iş bittiğinde, geçici dosya silinir. Bir virüs oluştururken ek koruma teknikleri kullanılmamışsa, virüslü bir dosyayı iyileştirmek çok kolaydır - sadece dosyanın başlangıcındaki virüs kodunu silin ve program yeniden çalışacaktır. Bu yöntemin dezavantajı, virüslü programın tüm kodunun hafızada okunması gerektiğidir (çünkü 1 MB'den fazla örnek var).

Dosyaları enfekte etmenin aşağıdaki yolu - transfer yöntemi - görünüşe göre, listelenenlerin en mükemmel olanıdır. Virüs aşağıdaki gibi çarpılır: Virüslü program başlatıldığında, virüs gövdesi ondan belleğe okunur. Sonra enfekte olmuş bir program arayışı bulunur. Bellekte, başlangıcı okunur, virüsün uzunluğu eşittir. Virüs gövdesi bu yere yazılmıştır. Programın hafızadan başlaması, dosyanın sonuna eklenir. Bu nedenle, yöntemin adı "transfer yöntemi "dir. Virüs bir veya daha fazla dosya bulaştısından sonra, başlattığı programı çalıştırmaya başlar. Bunu yapmak için, dosyanın sonunda kaydedilen enfekte programın başlangıcını okur ve program performansını geri yükleyerek dosyanın başlangıcına kaydeder. Sonra virüs, kodun başlatma kodunu dosyanın sonundan siler, dosyanın orijinal uzunluğunu geri yükler ve programı yürütür. Program tamamlandıktan sonra, virüs kodunu dosyanın başlangıcına yönlendirir ve programın orijinal başlangıcı sonuncusudur. Bütünlük kodlarını kontrol eden antivirüsler bile bu yöntemle enfekte olabilir, çünkü virüsün başlattığı program enfeksiyondan önce olduğu gibi tam olarak aynı kodu vardır.