 
                     電腦病毒世界探密
                                                     動95  鍾元凱
 
     【寫在前面】
 
         時光匆匆，玩電腦病毒也有一段時日。從完全陌生到如今的身經
     百戰，我也經歷了一般人所會走的路，遇過大家都可能遇到的問題。
     撰寫此文的目的，無非是希望廣大的電腦使用者，能走出電腦病毒的
     陰影，進而培養正確的觀念及應對的方法。在本文中，我將分以下三
     部分，以第一手的資料，分數次為大家做介紹：
 
                ┌──────────────┐
                │    ⑴電腦病毒觀念的建立    │
                │    ⑵電腦病毒程式的探究    │
                │    ⑶一般常見疑問Ｑ＆Ａ    │
                └──────────────┘
 
         分成三部分的原因，無非是希望能循序漸近地滿足對電腦病毒有
     興趣的人。第一部份將概述電腦病毒的基本常識，並為各位介紹如何
     與電腦病毒對抗。第二部分則嘗試由組合語言的層次，來看一看電腦
     病毒的運作情形。當然，我不贊成您寫作病毒，但所謂知己知彼，百
     戰百勝，唯有從病毒本身下手才能真正的了解它們的世界也唯有這樣
     才能真正地瞭解到電腦病毒核心。第三部分則是提出一些常見的疑難
     雜症及解答，以期糾正某些錯誤的觀念及看法
 
         這一次，我將只提到第一部分（電腦病毒觀念的建立），可以寫
     的材料很多，但是要寫得讓人很容易接受，卻也是一件蠻不容易的事
     情。期待各位的回應、批評及指報，我由衷的感謝！
 
 
     【⑴電腦病毒觀念的建立】
 
         相信大家都知道，也常看到坊間的書藉及雜誌不時會有有關電腦
     病毒的訊息出現。筆者不認為會寫得比它們好，也沒必要在這浪費篇
     幅去講這些詳細的內容。筆者只是希望，能經由一己之努力，補其所
     不足；要真正的瞭解電腦病毒，唯有自行努力，才是正途。
         看過第三波的人，一定對黃瑞強先生不定期的病毒文章有所認識
     。但大多數的人也認為，黃先生講得太少，每每看到精彩處卻下次再
     見。筆者試著用敘事的方式，來一一說明這些事情。分類如下：
 
                  ┌───────────────┐
                  │    ①什麼是電腦病毒？        │
                  │    ②開機型病毒？            │
                  │    ③檔案型病毒？            │
                  │    ④複合型及伴隨型病毒？    │
                  │    ⑤變體引擎及病毒產生器？  │
                  │    ⑥Windows 的病毒？        │
                  │    ⑦防毒、掃毒及解毒？      │
                  │    ⑧病毒資訊的獲得？        │
                  └───────────────┘
 
     》①什麼是電腦病毒？
 
         電腦病毒，顧名思義，所指的是電腦（一般指個人電腦）作業系
     統下的一種程式，它被撰寫的目的多數是為了破壞及惡作劇，但卻常
     因為大眾的認知不足，造成一般電腦使用者的恐慌及害怕，以致常聽
     到有人用format的方法來解決問題。在此，筆替認為有必要先建立正
     確的病毒定義及觀念。
 
         所謂電腦病毒，事實上必須符合三個必要的條件：⑴複製⑵散播
     以及⑶破壞。這三個條件，缺一而不為電腦病毒。如使用者會聽到的
     「特洛依程式」、「玩笑程式」、「信件炸彈」、「ANSI炸彈」等，
     基本上都不應該也不能屬於電腦病毒的範圍之內。（這些東東我會在
     第三部分再加以說明）如一般使用者最常聽見的米開蘭基羅（石化三
     代），便符合了複製（感染磁片），散播（磁片開機）及破壞（摧毀
     硬碟）三個要素。又如本校計中最常附送的馬蓋仙1.0B(Music A08)
     也是與這三個原則符合的（抓圖片→看圖→中獎？？）。
 
         那麼，病毒又是存在於那裏的呢？這不禁又讓筆者想起在 BBS上
     一直存在的笑話：「有病毒會藏在CMOS中嗎？」這個簡單的笑話，並
     沒有隨著時間的行進而消逝，反而是隔一段時間就會出來造成雙方的
     激辯。在這裏筆者先給各位一個肯定的答案：不會。其實很簡單，病
     毒一定是藏在磁性記憶體上。哈！這根本是廢話，因為病毒本身就是
     一種電腦程式。那麼，簡單的說，病毒可能存在於⑴軟碟⑵硬碟及⑶
     記憶體中。⑴⑵是病毒靜態存在的場所，而⑶則是病毒動態的隱身之
     地！
 
         而電腦病毒本身，也可以有很多種分類方法，如⑴開機型及檔案
     型（這也是我所用的方法）⑵常駐及非常駐型及⑶編碼型及非編碼型
     等等。我之所以用⑴，是因為這種方式最通俗，也最好瞭解。
 
         因此，符合上述三要件的，才能稱之為「電腦病毒」。下面，就
     讓筆者來介紹電腦病毒的種類以及特徵。
 
 
     》②開機型病毒？
 
         所謂開機型的病毒(Boot-type virus) 是界定為在電腦開機時，
     搶先作業系統進入記憶體的程式。正常我們由軟碟開機的程序如下（
     我不把特殊及不常見的方式計入）：
 
     ┌───┐  ┌───┐  ┌──┐  ┌───┐  ┌─────┐  ┌───┐
     │開電源│→│ POST │→│BIOS│→│IO.SYS│→│ MSDOS.SYS│→│ SHELL│
     │      │  │ 程序 │  │載入│  │載入  │  │ 載入     │  │ 程式 │
     └───┘  └───┘  └──┘  └───┘  └─────┘  └───┘
 
         由於病毒必須取得磁碟讀寫的控制權（這樣才能達成感染的目的
     ），因此開機型病毒本身會存在於開機磁區(Boot Area) ，以便在載
     入OS時會先OS載入以取得絕對控制權。因此感染（中毒）後開機的程
     序變成了下面這樣：
 
     ┌───┐  ┌───┐  ┌──┐  ┌───┐  ┌─────┐  ┌───┐
     │開電源│→│ POST │→│BIOS│→│IO.SYS│→│ MSDOS.SYS│→│ SHELL│
     │      │  │ 程序 │  │載入│↑│載入  │  │ 載入     │  │ 程式 │
     └───┘  └───┘  └──┘↑└───┘  └─────┘  └───┘
                                     ↑
                                ※病毒載入※
 
         我們看到了病毒在 DOS載入前載入，這樣便可以利用讀寫磁片的
     機會（如dir 指令）進行感染。而硬式磁碟的感染，就是比軟碟多了
     一項硬碟分割表的檢查程序，而開機型病毒便可藏身於開機磁區或是
     硬碟分割表中，多了一種可能。至於很多人關心的病毒發作及破壞等
     等，不同的病毒會有不同的設計方法，例如最近很多人中的 MONKEY/
     猴子病毒（好像是因為拷大補吧？）就會把分割表搬走，造成了中毒
     者的恐慌。至於判斷及解決的方法，筆者會在下一次說明。有興趣的
     朋友可以自行參考書籍（如松崗最近那本）。
 
 
     》③檔案型病毒？
 
         所謂檔案型的病毒(File-type virus) 是介定為在檔案執行時，
     先原檔案之前放執行的程式。病毒本體寄居於可執行檔案中，當此
     檔案被執行時，便侵入作業系統取得絕對控制權。當然也有不常駐
     而僅在放執行時感染其它檔案的病毒，不過筆者認為那沒什麼好講
     的（如長度 32bytes的病毒，看完後真是%$#@....）
 
         而病毒要如何去取得控制權呢？大體而言病毒都是朝BIOS呼叫
     及 DOS呼叫兩方面著手。會寫常駐程式的人應知道我的意思：取得
     中斷進入點。方式則千奇百怪，如早期的正常方式( Int21h's 25h
     & 35h)，中期的單步中斷（MacGyver 1.0) 及最近流行的字串比對
     法（ MacGyver4.0 & T4-Virion)(但此法對BIOS會有不相容的情形
     。這些我會在第二部分說明。
 
         通常正常的中斷呼叫程序為：
 
      ┌─────┐  ┌─────┐  ┌─────┐  ┌─────┐
      │ 中斷產生 │→│ DOS 處理 │→│ BIOS 處理│→│ 硬體 I/O │
      └─────┘  └─────┘  └─────┘  └─────┘
 
         而當病毒試圖去入侵記憶體時，它可能會有兩種侵入的方式：
 
      ┌─────┐  ┌─────┐  ┌─────┐  ┌─────┐
      │ 中斷產生 │→│ DOS 處理 │→│ BIOS 處理│→│ 硬體 I/O │
      └─────┘↑└─────┘↑└─────┘  └─────┘
                    ↑              ↑
               ※病毒攔截⑴※  ※病毒攔截⑵※
 
         其中⑴的方式就是取得 DOS的進入點（當然還有分是末端進入
     點還是原始進入點），而⑵的方式就是取得BIOS的原始進入點。
 
         當病毒侵入記憶體後，便是和開機型病毒相同，藉由磁碟的作
     動來達到複製的目的（為所欲為啦）。由於近年各式各樣的程式愈
     來愈多，檔案型的病毒也就愈來愈猖獗啦！
 
         但是，提到這裏，也不得不先提一下防毒程式的工作方式。通
     常防毒程式的工作場合有二：
 
      ┌─────┐  ┌─────┐  ┌─────┐  ┌─────┐
      │ 中斷產生 │→│ DOS 處理 │→│ BIOS 處理│→│ 硬體 I/O │
      └─────┘↑└─────┘↑└─────┘  └─────┘
                    ↑              ↑
               ※防毒程式⑴※  ※防毒程式⑵※
 
         可以看到，防毒程式的動作竟和病毒十分相似！！事實上也是如
     此，很多防毒的技巧都是病毒先「發明」出來的啦！但是，為什麼防
     毒程式仍然每每會被高強的病毒穿過呢？不知大家有沒有發現，雖然
     位置相同，病毒和防毒程式卻還是有先後的關係？舉例來說，若今天
     有一隻病毒利用特殊方法拿到BIOS原始進入點，那結果不就成了：
 
      ┌─────┐  ┌─────┐      ┌─────┐  ┌─────┐
      │ 中斷產生 │→│ DOS 處理 │→→→│ BIOS 處理│→│ 硬體 I/O │
      └─────┘↑└─────┘↑  ↑└─────┘  └─────┘
                    ↑              ↑  ↑
               ※防毒程式⑴※       ↑ ※病毒攔截※
                               ※防毒程式⑵※
 
          這樣病毒就可以低於防毒程式，甚至擾亂防毒程式！！
 
 
     》④複合型及伴隨型病毒？
 
         這是近幾年來比較厲害與奇妙的兩種方式。
 
         複合型(Multi-partite) 病毒綜合了開機型及檔案型的特性，
     以及兩者的感染方式，更加快了病毒程式散播的速度，如國內較
     常見的MacGyver 2.0就屬這一類型（這通常也是病毒作者拿來練
     功用的）。它綜合了以上二類病毒的「優點」於一身！
 
         至於伴隨型病毒，則是利用 DOS執行檔案的順序，將本體複
     製為欲感染之檔案，僅是附檔名不同（.EXE改為.COM），並將自
     己隱藏起來，這樣它不用破壞原檔案，即可達成侵入記憶體的目
     的。若筆者沒記錯，AIDS病毒（不是人類的那種啦）就是伴隨型
     病毒的先軀。不過這種病毒的方法有點類似耍詐，而且也很容易
     被掃毒程式給抓到。
 
         筆者手上還有一隻病毒，我實在是不知道它應該怎麼分，既
     是.COM型卻都感染.EXE檔（嘿嘿！原理自己想，我還想等著看黃
     瑞強怎麼替JOEY打廣告呢！）。
 
         隨著病毒作者想法的日新月異，各式各樣的病毒型別及分類
     不斷地放打破及重建。下面我所要提的，就是最近大家都有興趣
     的變體引擎及病毒產生器啦！
 
 
     》⑤變體引擎及病毒產生器？
 
         寫到這裏，我想告訴大家的是，多型病毒的出現已經是不可
     避免的趨勢。由於病毒作者和防毒軟體的鬥法，造成了這樣的結
     果。
         多型病毒，就是病毒本身長度會改變，且會編碼，使得掃毒
     及解毒程式不能用傳統式的方法來判斷（對防毒倒是沒有差別）
     。由於解碼長度的不定，往往解毒的人必須自行加入判斷的方法
     以及還原的方式，這也使得國內外許多自稱有自製解藥功能的防
     毒軟體紛紛中箭落馬（別問我是不是ZLOCK ，我是不會說的）。
     如第三波提過的Tequila以及Connie 1.0 就是屬於多形病毒。
 
         而變體引擎的出現，更是將多形的能耐發揮到極點。從此，
     病毒作者不必再花腦筋去想要如何達成多型的目的，只要CALL變
     體引擎的模組即可。不過，誠如第三波所言，變體做的病毒一定
     是多形，但多形卻不一定的變體，這是很重要的觀念。為了讓有
     興趣的人知道更多，筆者把目前世界上的變體引擎做一個完整而
     概略的介紹。迄今就我所知全世界有８個變體引擎。
 
     變體引擎（ Polymorphic Engine ）
     ───────────────
     ⑴ Dark Avenger's Mutating Engine (MtE)
 
         這是全世界第一個變體引擎，由保加利亞毒狂Dark Avenger
     所發明及完成。由於這個「天才」的發明，使得後續不斷的變體
     出現，真是「成就裴然」啊！目前最新版是 1.0b 版（嘿！比黃
     瑞強說的新）。原版的 MtE檔案及說明文件如下：
 
          ┌──────────────────────┐
          │   demovir.asm      2998   4-22-92 12:00p   │
          │   make.bat          131   4-22-92 12:00p   │
          │   mte.doc          9732   4-22-92 12:00p   │
          │   mte.obj          2509   4-22-92 12:00p   │
          │   nops.bin           16   4-22-92 12:00p   │
          │   read.me          1424   4-22-92 12:00p   │
          │   rnd.asm           914   4-22-92 12:00p   │
          └──────────────────────┘
 
     ┌──────────────────────────────┐
     │   MuTation Engine <tm>                                     │
     │                                                            │
     │   Version 1.00?(22-04-92)                                 │
     │   (C) 1992 CrazySoft, Inc.                                 │
     │                                                            │
     │   1.  License                                              │
     │                                                            │
     │   You are free to include this Engine in viruses.  Using   │
     │   it in another ways is prohibited.  You are free to give  │
     │   ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^好笑吧！                 │
     │   it to people that will only use it in this way.          │
     │   MuTaion engine is free.                                  │
     └──────────────────────────────┘
 
         目前知道由 MtE做出來的病毒略舉幾隻：
 
             CoffeShop:MtE.0_90
             Shocker:MtE.0_90
 
 
     ⑵ TridenT's Polymorphic Engine (TPE)
 
         這是由荷蘭的病毒組織TridenT 大將 Masud Khafir 所做，
     目前世界公認變型能力最強的引擎。體積小而功能強大，目前已
     出到 1.4版。原版的 TPE檔案及說明文件如下：
 
          ┌──────────────────────┐
          │   history.doc      1713  12-24-93  4:03p   │
          │   readme.1st       1040  12-25-92  3:04a   │
          │   tpe-gen.asm      4004  12-24-93  4:03p   │
          │   tpe-gen.com      1921   7-02-93 12:26a   │
          │   tpe-gen.obj       454  12-19-92  4:43p   │
          │   tpe.doc          8644  12-24-93  4:03p   │
          │   tpe.obj          1953   7-02-93 12:25a   │
          └──────────────────────┘
 
     ┌────────────────────────────────┐
     │   TridenT Polymorphic Engine                       version 1.4 │
     │   ============================================================ │
     │                                                                │
     │   Written by Masud Khafir of the TridenT virus research group. │
     │                                                                │
     │   What is it?                                                  │
     │   ~~~~~~~~~~~                                                  │
     │                                                                │
     │   The TPE is a module that can be included in programs to make │
     │   them able to produce polymorphic programs. The TPE comes as  │
     │   an OBJ file. If you want to include the TPE in your program  │
     └────────────────────────────────┘
 
         目前知道由 TPE做出來的病毒略舉幾隻：
 
             Civil_War.1994:TPE.1_3
             YB-1.TPE.1_4
 
 
     ⑶ Dark Angel's Mutating Engine (DAME)
 
         相信看過第三波的人，對美國病毒組織 Phalcon/Skism  的
     鬼才 Dark Angel 應不陌生。他改良 MTE的缺點，並加上自己創
     見，創造了DAME。不過這個DAME可不是第三波那個，那個是 MTE
     啦！目前最新版是 0.91 版。
 
   ┌───────────────────────────────────┐
   │ DAME, Revisited                                                      │
   │ By Dark Angel of Phalcon/Skism                                       │
   │                                                                      │
   │ In this article, I present another lame virus to be linked with DAME.│
   │ The debug script is included at the end of the article and the source│
   │ code can be found following this short text.  Before attempting to   │
   └───────────────────────────────────┘
 
 
     ⑷ NukE's Encryption Device (NED)
 
         既有DAME，那麼 NuKE 的 NoWhereMan 自然不會示弱，於是
     乎 NED就這樣誕生。最新版本是 1.0版。
 
         下面是0.90b 的說明檔：
 
  ┌────────────────────────────────────┐
  │  Thanks for beta-testing The [NuKE] Encryption Device!  Remember, this │
  │ckage is a beta version, and is not the be given, in whole or in part, t│
  │YONE.  All feedback on this package should be directed via PRIVATE e-mai│
  │ Nowhere Man.                                                           │
  └────────────────────────────────────┘
 
     ⑸ Mark Ludwig's Visible Mutating Engine (VME)
 
         這是一個蠻新的變體，作者是美國病毒界的高人 Mark Ludwig
     寫成。似乎還沒有其它的病毒是用 VME完成。
 
 
     ⑹ MnemoniX's Mutating Engine (MutaGen)
 
         這一個目前最新的變體引擎，是變體史上的一個特例。它不
     採用指向變體尾端的作法，而是直接定義變體引擎的長度。現在
     剛出了 1.10 版。
 
         下面是 1.10 的說明檔：
    ┌───────────────────────────────────┐
    │             悅<<==--==>>秤 騵 MutaGen 苃 悅<<==--==>>秤              │
    │                                                                      │
    │         A Quiescently Frozen Concoction of MnemoniX - 1994           │
    │                            Version 1.10                              │
    │ * Huh? *                                                             │
    │                                                                      │
    │     Greetings; welcome to MutaGen, a compact but powerful polymorphic│
    │ryption module. MutaGen is mainly designed for inclusion in computer  │
    │uses or other worms, but may be utilized for any purpose the user wish│
    └───────────────────────────────────┘
 
 
     ⑺ Dark Slayer's Mutating Engine (DSME)
 
         看到 Dark Slayer，相信中過 MacGyver 的人應該知道，他
     就是作者JOEY，只是名字換一個罷了。DSME的出現，替台灣病毒
     界起了不小的震憾（如後來另一個 GPE就是）。舊版之多形能力
     並不是很強，但已使很多解毒程式終結，預計暑假結束推出的新
     版據說比 TPE 1.4  還強（嘩！那不是世界第一？）。
 
         下面是 1.00 的說明檔：
         （剛剛拿到燒的第三波，講的就是這個啦！）
     ┌───────────────────────┐
     │                                              │
     │Dark Slayer Mutation Engine                   │
     │                                              │
     │Version 1.0 <09-28-93>                        │
     │written by Dark Slayer in Keelung. Taiwan     │
     └───────────────────────┘
 
 
     ⑻ Guns n' Roses Polymorphic Engine (GPE)
 
         這就是另一個台灣的變體引擎，作者是中華工專的學生。這
     就好像是在和DSME較勁一般，多形能力和DSME不相上下。
 
         下面是 1.00 的說明檔：
 
   ┌───────────────────────────────────┐
   │  GUNS N' ROSES Polymorphic Engine <tm>                   Version 1.00│
   │  Written by Slash Wu in Taipei, Taiwan.                              │
   │                                                                      │
   │  槍與玫瑰多形引擎 <註冊商標>                             版本 1.00   │
   │  由吳俊緯所寫, 於臺灣省, 台北市。                                    │
   └───────────────────────────────────┘
 
         筆者把這些資料列出來的目的，當然不是鼓勵大家去找變體
     來害人，而只是站在求知的立場，讓有興趣的人能夠知道真正的
     事實真象。
 
         至於病毒產生器，我就不一一列出內容，或許有機會我會再
     以變體及病毒產生器為題再說一次。僅列出名稱讓大家知道：
 
         ⑴  G2
         ⑵  Generateur Virus ( GenVir )
         ⑶  NuKE-GV
         ⑷  IVP.1_0
         ⑸  IVP.1_7
         ⑹  PS-MPC.0_90
         ⑺  PS-MPC.0_91
         ⑻  VCL 1.0
         ⑼  Virus Tutorial
 
 
     ⑧⑥Windows 的病毒？
 
         最近在 BBS上看到一篇POST是問有沒有 WINDOWS下的病毒？我很
     肯定的說，有！不過至於是如何運作，由於筆者不善 WINDOWS的程式
     設計，我也不能明確的回答。尤有甚者，連最近引起大家廣泛注目的
     OS/2，其結構下也有病毒啦（還是用 TPE做的呢！）相信這方面的研
     究會是幾年內很熱門的事。
 
 
     ⑧⑺防毒、掃毒及解毒
 
         這是一個很大的學問，廣義來說還和資訊安全有關聯。筆者要先
     說明一個正確的觀念：不是有用防毒程式就可以高枕無憂啦（或許下
     次來寫個防毒程式破解大全喲！）......所以，正確的方法，應該是
     要定期的整理及掃描（消極），最重要的，就是....就是....就是不
     要隨便拷軟體啦（積極）！尤其很多人故意把病毒放在軟體內，請您
     幫他「測識」呢！（上次中山的SICE不就中了中工？？）
 
         至於常駐式的防毒程式，各方的說法莫衷一是，看法不盡相同，
     PCCILLIN就因為吃掉２Ｋ而讓使用者受驚；有的程式則因為大強（像
     是 TPLUS則相容性反而不好，哎，既要馬兒好，又要馬兒不吃草實在
     有點困難。筆者的建議，是不要用常駐式的防毒程式，而是定期（最
     好每天）用強一點的掃毒程式（如TBAV、F-PROT）等去抓，這樣既不
     會拖累系統，又不會毒發身亡。老話一句，不要亂拷軟體啦！不過我
     也只是在努力，你呢？
 
         掃、解毒的軟體，可以併在一起看。目前我覺得不錯的掃毒軟體
     如TBAV、F-PROT等都有解析式（判斷機械碼啦！）的功能，速度又快
     ，操作上也不會太困難，是蠻適合一般人用的啦！國內的 shareware
     中，VTSCAN和AISCAN是不錯的東東。
 
         總而言之，正確的病毒認知以及良好的軟體使用觀念才是對抗病
     毒的不二法門。以上 shareware都可以在我 maintain 的 anonymous
     ftp 找到。
                       /  ftp.cis.nctu.edu.tw  \
                       \  /pub/msdos/antivirus /
 
 
     ⑧⑧病毒資訊的獲得
 
         相信很多有興趣或是需要幫助的人，常常會苦於病毒的資訊太過
     封閉（至少我這麼覺得）。筆者以為，坊間一些書籍、雜誌（嘻！我
     最喜歡拿第三波來講）都可以使大家穫得很大的幫助。甚至一些防毒
     軟體所附的資料庫也都是不錯的參考對象。
 
         在 shareware的世界中，VSUM一直是個不錯的參考資料，功能強
     大的查詢系統十分方便，可以讓你知道國內外流行病毒的資訊。而我
     最近放到交大資科的 cmb30，個人覺得也是個不錯的東東。
         另外，internet的資源更是不在話下。com.virus 的virus-l 常
     常可以得到意想不到的收穫喲！
 
 
 
 
 
  ︻   /^ ^\  ︻ +---------------★ＮｏＨｅｒｅＭａｎ★--------------------+
  話  / o o \ 絕 | MtE DAME /亞洲中華民國台灣省國立清華大學\ GenVir NuKE-GV|
  出  W\ O /W 不 | TpE MGen \動力機械工程學系三年級華班三號/ PS-MPC G2     |
  有   / - \  灌 | VME DSME /鍾  元  凱  ( Chung Yuan-Kai )\ IVP    VirTorl|
  因  /    |  水 | NED GPE  \E-mail: u801403@[140.114.63.8]/ VirLab C-Virus|
  ︼ V__) ||  ︼ +-----------------☆ Tracer Minus ☆----------------------|
 
 ...........................................................................