home
***
CD-ROM
|
disk
|
FTP
|
other
***
search
/
Chip 1996 April
/
CHIP 1996 aprilis (CD06).zip
/
CHIP_CD06.ISO
/
hypertxt.arj
/
H9413
/
BACH.CD
< prev
next >
Wrap
Text File
|
1994-11-26
|
4KB
|
72 lines
@VJ. S. Bach@N
Michelangelo után a nagy barokk muzsikus, Johann Sebastian
Bach nevét is besározták a vírusprogramozók. A JSB vagy
J.S.Bach Észak-Európában, a karácsonyi vásár után bukkant
fel, 1993 utolsó hetében. Egy számítógép-kereskedô akadt rá
a furcsán viselkedô állományokra, és elküldte azokat
vizsgálatra @KFriderik Skulassonhoz@N. Heurisztikus
analízis üzemmódjában az Fprot jelezte a rendellenességet,
majd alaposabb elemzés következett, s a betolakodó megléte
immár bebizonyosodott. Víruspatak született.
JSB kizárólag a 496 bájtnál hosszabb .COM állományokat
fertôzi meg (csak a kiterjesztést nézi). Minden lefutásakor
egyetlen egy másik fertôzhetô állományt fertôz meg. Ha már
van ilyen, áldozatot keresve végigmegy a teljes elérési
úton. Egy példával illusztrálva ezt a kissé szokatlan
jelenséget: van egy start.bat programunk a fôkönyvtárban,
amelyet indítunk. Ez meghívja a C:\KAKADU\BACH\bach.com
programot. Ekkor a vírus nem a BACH vagy a KAKADU
könyvtárakban, hanem a fôkönyvtárban fog fertôzni.
Mint említettük, csak kitejesztést ellenôriz, ezért a
COM-nak átnevezett .EXE programot szintén nem kíméli,
amibôl az következik, hogy a víruskód lefutása után a
program elszáll.
Mindenekelôtt ellenôrzi, nem fertôzött-e az állomány. Ha
igen, azt jelzi, hogy a harmadik eltolási cím a vírus
szignatúrája: JSB. Az elsô 2x3 bájton ugróutasítást
találunk (JMP). Bach ""kegyeltjének" hosszabbnak kell
lennie 15 bájtnál, illetve rövidebbnek 64513 bájtnál (ez a
.COM hosszkorlátja). A fertôzés során az elsô 16 bájtot
cseréli fel a kód egy részével, a többit az állomány végére
fûzi. Végrehajtáskor fertôz, de van rezidens része is,
amely a lemezaktivitást (írást, olvasást) tartja
ellenôrzése alatt. Édesmindegy a számára, hol a
célállomány: hajlékony- vagy merevlemezen, avagy
hálózaton. Nincs kegyelem, nincs különbség; legyen akár
rejtett, akár csak olvasható vagy rendszerállomány -- az
attribútum nem tartja vissza. Ami a dátumot illeti,
aktivizálódás után nem állítja helyre az eredeti értéket,
viszont egyszerû szerkesztôprogrammal is felfedezhetô a
benne található, de nem megjelenô szövegrôl:
J.S. Bach by TXQ
vagy a 7--10. bájtokon levô JSB szignóról. Bach az 1993-as
évben csak minden hó 20-a után volt aktív, azóta viszont
minden áldott nap veszélyes.
Amikor a korábban említett lemezvezérlô rutin a DOS memória
alsó részében ül, saját megszakítási táblájával írja felül
az eredetit. Maga a DOS ""lukaiba" ül be, így nem foglal
memóriát, és segédprogramokkal sem lehet látni. Az INT 13h
megszakítást magára veszi, és mihelyt ezt valamely másik
program meghívja, eggyel csökkenti egy 200-ról induló
számláló értékét. Minden kétszázadik lemezhozzáférést
átirányít az elsô fizikai meghajtóra, azaz általában az A:
lemezegységre. Ha tehát látszólag ok nélkül kigyullad az A:
meghajtó aktivitását jelzô LED, a JSB-re is gyanakodhatunk.
Az eredmény elkeserítô: amikor a hajlékonylemezt olvassa a
gép, akkor is azt hiszi, hogy a merevlemezzel van dolga.
Ezért, mivel rossz könyvtári táblát olvas be, a
merevlemezre is rossz helyre írja be az adatokat, ily módon
igen gyorsan hihetetlen káoszt okoz.
Az Fprot 2.11 olimpiai kiadása a vírust detektálja és
takarítja. További elemzése folyamatban van.
@KKis János@N