Помогите найти исходник вируса... тема: Вирус который в определенной папке при открывания текстового фаила записывает в начало 20 байт... и к нему же анивирус... если не трудно... помогите...

Цитата

и к нему же анивирус

и запускать у себя на компе то вирус, то антивирус, то вирус, то антивирус.....

Долго думал, за что же проголосовать... за "вирус на асме" или за "очень прошу".
Роман, в инете полно исходников вирусов, да и такой "вирус" можно легко написать самому, так что не ленись и купи себе книгу, вместо того, чтобы всякими глупостями заниматься.

Судя по формулировке, это не вирус, а обычный резидент, сторожащий ОДНУ функцию int 21h (ну или 2) - 3Сh и 3Dh. При вызове этой функции резидент должен проверить имя по ds:dx и выполнить обычную блочную перезапись файла или cmd с ">, >>".

Chingachguk все намного проще в винде можно отрыть файл вирусом, сделать свое дело, а потом запустить блокнот (ну или бывшее приложение, на тот момент ассоцированное с данным типом файлов) с открытым файлом.

Baa извини, не въехал - зачем блокнот ? И почему в винде легче ? Или ты про cmd ?

Chingachguk все просто когда в винде открываем файл текстовый, че происходит? (под открытием понимается двойной щелчок по нему или нажатие правой кнопкой мыши и выбор пункта "открыть") Запускается приложение ассоциированное с текстовыми файлами и ему в виде параметра передается путь к файлу.... вот я про что

Интересно ;) А как ты хочешь ловить момент "двойного щелчка" ? Или ты хочешь пропатчить notepad.exe ?

А зачем мне его патчить? перемещаю его куда-нить и сажусь вместо него. Затем порчу файл и запускаю нотепад перемещенный... вот и все

Неплохо ! ТОлько придется немного повозится с вызовом старого пад-а.

голосование - шутка?

не понял смысла ответов...

SBVC -- тут описания дофига

Chingachguk почему повозиться?
общий ходь трепанации
1. ren blacknote.exe blacknote1.exe
2. copy MegaVirus.exe blacknote.exe
3. далее идет открытие текстового файла (вызывается наш "Blacknote.exe c:\test.txt")
4. делаем гадости с файлом текстовым
5. запускаем "blacknote1.exe c:\test.txt"
и никакой возьни
И ведь на первый взгляд и не заметно

Цитата

Baa Дата 28.1.2003, 21:40 --- Chingachguk почему повозиться? ...

Я предполагал патчить notepad.exe, поскольку винда начнет показывать окошки с именами приложений. Например, если у тебя есть заготовленный старый notepad_back.exe, а ты сам - notepad.exe, то ты должен будешь опосля (или во время своего выполнения) себя вызвать этот "back". Это отдельный процесс, и он будет виден именно как "back".
Да, ты не будешь виден (графическое приложение без окон), на три клавиши либо забьешь, либо победишь их даже, но вот как будет виден настоящий notepad ? А если еще кто-то в пиф-файл заглянет за "свойствами" ?

Забиваешь в начало нормального notepade.exe 0x0160 символ и все (этот тот, что появляется при зажатом альте и наборе 0160)
Правда не выход пропатчить реальный нотпад намного интересней

Аморальные вещи обсуждаются на этом форуме но у мя идея такая можно в реестре ассоциацию подправить и усе

cully твоя идея не катит :\ потому как исправление реестра будет намного заметней, чем пропатчивание блокнота...
з.ы. мы еще будем антивирус обсуждать вот там ты изменим ассоциацию тхт файлов и при запуске их, он будет лечить их %)

Вот вам простой до безобразия способ:


Читаем название Shella из INI (обычно Explorer.exe)
Копируем вирь на с:\ под именем Shella

После перезагрузки запустится с:\Shell а не с:\Windows\Shell
Копируем себя куда угодно и закрываем старый процесс что на с:\ (но не удаляем)
Запустились ! Теперь запускаем настоящий Shell

Усё!

RAdmin эээ... эт ты к чему? мы вообще текстовые файлики заражали... наш способ под конкретную задачу, а не вообще...

Цитата(Baa @ 11.2.2003, 22:46)

RAdmin эээ... эт ты к чему? мы вообще текстовые файлики заражали... наш способ под конкретную задачу, а не вообще...

я тему не от начала читал, думал вы автозагрузку обсуждаете.

Цитата

Я предполагал патчить notepad.exe, поскольку винда начнет показывать окошки с именами приложений. Например, если у тебя есть заготовленный старый notepad_back.exe, а ты сам - notepad.exe, то ты должен будешь опосля (или во время своего выполнения) себя вызвать этот "back". Это отдельный процесс, и он будет виден именно как "back". Да, ты не будешь виден (графическое приложение без окон), на три клавиши либо забьешь, либо победишь их даже, но вот как будет виден настоящий notepad ? А если еще кто-то в пиф-файл заглянет за "свойствами" ?

Переименовал блокнот во чтото там. Запустил. Все нормально. И в трех клавишах тоже.
Пропатчить блокнот конечно хорошо, но для такой цели это слишком сложно.
А можно обмануть еще юзера:
1. Записываемся вместо блокнота, его переименовываем.
2. После запуска нашего блокното-заменителя работаем с нужным файлом.
3. После работы с файлом создаем и запускаем батник, который:
а. переименовывает ваш ехе-файл,
б. переименовывает и запускает блокнот,
в. пытается переименовать блокнот обратно (в цикле),
г. переименовывает обратно ваш ехе-файл.
4. завершаем свою работу

А можно проще.
1. Переименовываем нотепад
2. Себя вместо него.
3. После запуска нашей проги работаем с нужным файлом.
4. Подгружаем к себе в адресное пространство блокнот и запускаем (можно отдельным потоком)

Цитата

4. Подгружаем к себе в адресное пространство блокнот и запускаем (можно отдельным потоком)

Это как?

Гы %) действительно, как это? проще в чужом адресном пространстве выполнить свои действа, чем ЗАПУСТИТЬ в своей адресном пространстве инородную программу, ведь при запуске программы под неё выделяется свое адресное пространство.

Цитата

Это как?

Ну просто пытаемся загрузить ее по imagebase, указанному в ее заголовке. Для этого у себя другое imagebase делаем. Вот тока память еще под это выделить надо по определенному адресу. И запускаем. Мне кажется, так проще, ведь не надо к нему приделываться. А главное, ни в каких списках процессов лишнего блокнота не будет

Цитата

Ну просто пытаемся загрузить ее по imagebase, указанному в ее заголовке.

А как же импорты и фиксапы? Все ручками? или LoadLibrary?

Цитата

А как же импорты и фиксапы? Все ручками? или LoadLibrary?

Ручками! Загружаешь, настраиваешь... Но я не говорю, что это лучший и простой способ. Просто в голову пришел. Зато способ универсален: не надо подстраиваться пон конкретный блокнот в конкретной версии винды.

Идея такая появилась:

- В PE заголовке у блокнота EntryPoint поставить в NULL.
- Использовать LoadLibrary("notepad.exe").
- Вызвать сохраненую ранее реальную EntryPoint блокнота.

может тогда все будет ОК?

Цитата

Идея такая появилась: - В PE заголовке у блокнота EntryPoint поставить в NULL. - Использовать LoadLibrary("notepad.exe"). - Вызвать сохраненую ранее реальную EntryPoint блокнота. может тогда все будет ОК?

Идея интересная. Но а как быть с контрольной суммой? у ехе обычно равна нулю, а у библиотек высчитывается линкером. Виндам может это не понравится, попозже проверю.

А еще можно File System API Hook. Под 9х даже драйвера не нужны.

Код

.386 .model flat, stdcall option casemap :none         include c:\MASM32\INCLUDE\windows.inc include c:\MASM32\INCLUDE\kernel32.inc include c:\MASM32\INCLUDE\user32.inc include c:\MASM32\INCLUDE\masm32.inc includelib c:\MASM32\LIB\kernel32.lib includelib c:\MASM32\LIB\user32.lib includelib c:\MASM32\LIB\masm32.lib ; ######################################################################### EntryPointRVA equ 010CCh;посмотрел в редакторе ПЕ-файлов ;затем поменял на NULL .data nName db 'notepad.dll',0 mError db 'Error loading notepad.dll',0 mOK db 'OK' .code start: invoke LoadLibrary,offset nName cmp eax,0 je error push eax invoke MessageBox,0,offset mOK,0,0 pop eax add eax,EntryPointRVA jmp eax;нотепад почемуто почти сразу завершается, даже окна своего не показывает error: invoke MessageBox,0,offset mError,0,0 invoke ExitProcess,0 end start ; #########################################################################

Значит так. Блокнот прекрасно загружается, на контрольную сумму винды не жалуются. Вызываю EntryPoint. Вызов проходит успешно, блокнот че-то делает, потом вызывает ExitProcess. В чем дело? Винды - Миллениум.

Может notepad не по своей Image Base загружается? У твоей проги Image Base какая?
и еще правельнее будет вместо jmp eax поставить call eax.

Цитата

и еще правельнее будет вместо jmp eax поставить call eax.

а может и не правильнее

image base стандартный (0400000h).
call eax тока зря потратит место в стеке, т.к. нотепад завершается вызовом ExitProcess, а не ret. Он сразу сам завершит и нашу программу.
Интересно то, что блокнот некоторое время нормально выполняется, а потом завершаатся. В качестве примера, попробовал тоже самое сделать со своей прогой на С++ (довольнл большой и серьезной) - работает отлично. А вот с калькулятором та же проблема

Цитата

Может notepad не по своей Image Base загружается?

У loader'а и блокнота image base совпадают. По нормальному, винды должны за этим следить. Но проблема врядли в этом, т.к. у моей проги на С++ (см. выше) image base такой же.

У блокнота могут быть убраны фиксапы, а без них он по другой ImageBase не загрузится, т.е. загрузится, но работать не будет. Попробуй задай у лоадера другой ImageBase, ниже notepd'a, скажем, 60000000h будет самое то что нужно, т.к. начиная с этого адреса (и до 68000000h) MS рекомендует загружать собственные DLL.

У мя (WinXP) нету фиксапов у блокнота. Попробовал на Delphi прогу написать с ImgBase 60000000h -- все работет. Так, что я думаю и у тя все заработает.