Wie haben Viren damals funktioniert?

markusk

es mag ja interessant sein, sich mit der Technik von Viren zu beschäftigen, aber in dem Moment, wo du so etwas programmierst, stellt sich für mich die Frage: wozu?

Denn wenn mal so ein selbstreplizierendes Etwas in die Umlaufbahn kommt, wird sich die Retro-Gemeinde bestimmt nicht freuen.

Wenn ich möchte, dass mein Programm sich nachträglich verändert bzw. verändert wird, dann möchte ich das selbst bestimmen.

Alles andere bewegt sich bei mir auf sehr gefährlichen Bahnen ....

Skorbin

Wenn ich das richtig verstanden habe, geht es ums verständnis WIE das funktioniert hat, und nicht um das "in Umlauf" bringen.

markusk wird das sicherlich in einer "Sandbox" testen und niemals veröffentlichen bzw. "freilassen". (Hoffe ich zumindest!!)

Fakt ist: Ja - diese Viren haben COM und EXE Dateien direkt manipuliert. Mal haben sie sich an den Dateianfang, mal an das Dateiende angehangen und das ganze gelang mal mehr und mal weniger gut.

Einige Exemplare waren "dumm", so das Programme, die die Prüfsumme der Datei beim Start kontrollieren, einen Fehler feststellen und eine Warnung herausgaben.

Andere wiederum waren "schlau" und haben die Prüfsumme gleich passend mitverändert.

Ebenfalls interessant sind die Viren, die sich im Bootsektor einnisten und von dort aus Dateien und andere Bootsektoren (z.B. eingelegte Disketten) infizieren.

Programmiertechnisch ist das wahre Kunst, denn im sowieso sehr kleinen Bootsektor noch etwas zu verstecken und das Betriebssystem trotzdem noch startfähig zu halten ist wahrlich interessant.

Schade finde ich in dem Fall wirklich, das dieses Können hier für solch unschöne Machenschaften vergeudet wurde.

Hehe, ich fand die Vorstellung cool, dass mein Programm sich selber verbreitet und potentiell am Ende auf jedem PC zu finden sein wird Ich habe mich während meiner Abizeit intensiv mit dem Thema beschäftigt (damals hatte ich noch Zeit...) und ein ganz cooles Projekt auf die Beine gestellt. Das Teil war am Ende ca. 1500 Byte groß und konnte u.a....:

- sich selbst verschlüsseln, nur ca. 10 Byte waren bei jeder Kopie gleich

- .COM, .EXE und Bootsektoren von FDD und HDD infizieren: Der Sprung vom BIOS zum DOS ist eine Herausforderung, beides funktioniert völlig unterschiedlich. Letztlich ist es aber sehr nützlich: Infizierte Diskette wird im Laufwerk "vergessen". PC wird gestartet, versucht von Diskette zu booten. Virus übernimmt Kontrolle, startet von HDD und macht sich unter DOS breit. Schneller gehts nicht.

- unter DOS hat er eine Stealth-Funktion gehabt: Wenn man "DIR" eingetippt hat, waren die Dateien genau so groß wie ursprünglich. Wenn man die Diskette dann aber in einen nicht infizierten PC geschoben hat, waren es 1500 Byte mehr

- Generationenzähler, falls es einmal um die Welt geht und dann wieder bei mir ankommt

Ich war mächtig stolz auf mein Werk und habe viel Zeit investiert. Vor allem habe ich unglaublich viel gelernt. Als Literatur hatte ich nur das Buch "PC Intern" von Michael Tischer. Internet und so gabs ja noch nicht und einen anderen Virus als Vorlage hatte ich auch nicht. Hatte das Ding auch irgendwann mal Testweise auf die Menschheit losgelassen. Aber das war schon Win95 im kommen und darunter ging das alles nicht mehr...keinen Schaden angerichtet also.

Ist alles 25 Jahre her aber wenn Du Fragen zu irgendwas hast kann ich sicher noch helfen

.COM ist sehr einfach weil die Datei ein 1:1 Abbild des RAM an der Adresse CS:0100 ist.

Du machst erst eine Kopie der ersten 3 Bytes (da ist da wo die Ausführung nach dem Laden startet) und sicherst die an einer vorgesehenen Stelle in Deinem Virus-Code der sich irgendwo im RAM befindet. Dann speicherst Du den Virus am Ende der .COM Datei. Die ersten 3 Bytes, die Du vorher gesichert hast, ersetzt Du dann durch einen JMP zu der Routine, die den Virus initialisiert.

Diese Routine prüft, ob der Virus noch nicht aktiv im RAM ist. Wenn nicht, ist der PC noch nicht infiziert. Wir müssen also den Virus im RAM festsetzten etc.. Wenn das fertig ist und auch wenn die Virus bereits im RAM ist, muss die Ausführung wieder an das ursprüngliche .COM Programm übergeben werden.

Dafür kopierst Du die 3 Bytes, die Du bei der Infektion gesichert hast, wieder an die ursprüngliche Stelle. Die .COM Datei ist ja vom DOS ins RAM geladen worden. Diese Änderung findet nur im RAM statt, nicht in der Kopie der .COM auf dem Laufwerk. Dann springt die Ausführung an die Adresse CS:0100 und das ursprüngliche Programm wird ausgeführt als wenn nichts gewesen wäre.

Diese Modifikation kannst Du ganz einfach an einer .COM Datei ausprobieren, ohne dass Du direkt einen kompletten Virus schreiben musst: 3 Bytes am Anfang sichern. Durch einen JMP ans Ende der Datei ersetzten. Dort ein paar Zeilen Code einfügen, die die ursprünglichen 3 Bytes (dann an der Adresse CS:0100 bis CS:0102) wiederherstellen. Dann JMP CS:0100 und das ursprüngliche Programm startet als wenn nichts gewesen wäre

Ist kompliziert geschrieben. Ich kanns vielleicht auch mal an einem Beispiel zeigen wenn Du es nicht verstehst

Mit .EXE ist es deutlich komplizierter, müsste ich selber nochmal nachlesen...

Ich hatte mal eine Anfrage beim Trojaner Board zum Thema alte Computerviren gestartet, und die dachten echt, ich wollte 25 Jahre später irgendwas schlimmes damit anstellen.^^

Hier als Beispiel ein Video zu meinem "Lieblings-Virus":

Der Kanal bietet einiges an Infos dazu. Für mich einfach nur ein Teil der PC-Geschichte, und nichts schlimmes. (heutzutage)

CS:0100 weil das .COM Programm ja von DOS an diese Stelle geladen wird

3 byte...weil Du an dieser Stelle eine JMP unterbringen musst der genau 3 Byte groß ist

Angenommen Dein .COM ist ohne Virus 2000 Bytes groß.

DOS lädt es ins RAM von CS:0100 bis CS:20FF

Dein Virus beginnt also (nach der Infektion) bei CS:2100. Auf der Diskette also am Ende nach den 2000 Bytes des ursprünglichen Programms.

Angenommen das Programm beginnt ursprünglich mit AA BB CC...ist natürlich Unsinn aber egal. Die Bytes hat der Virus vor der Infektion gesichert und sind jetzt angenommen bei CS:2100-CS:2102.

Dein Virus-Code beginnt bei CS:2103.

Die ersten 3 Bytes im Programm wurden ersetzt durch

JMP 2103

bei CS:2103 geht es dann weiter mit

PUSH CS

POP DS

MOV AL, [2100]

MOV [100], AL

MOV AL, [2101]

MOV [101], AL

MOV AL, [2102]

MOV [202], AL

...damit hast Du die ersten 3 Byte wieder hergestellt.

Hier hast Du jetzt Platz alles zu machen was Du willst. Deinen Virus in den Speicher kopieren, Interrupts umleiten, vielleicht einfach mal die Festplatte formatieren oder den Benutzer anders ärgern, etc...

Und dann Ende :

JMP 0100

...und das ursprüngliche Programm läuft als wenn nichts gewesen wäre.

Joa, prinzipiell kannst Du das alles mit TASM schreiben. Damit erzeugst Du dann aber direkt eine .COM die den Virus startet sonst wirds kompliziert.

Für den Test mit einem Hexeditor. Direkt mit debug.exe geht's aber auch, einfach die Dateigröße vor dem Schreiben entsprechend setzen.