中國炸彈病毒

中國炸彈病毒

中國炸彈病毒可能是首例中國人製造的病毒,與國外傳入的病毒相比其破壞力最強,且極其隱蔽。染毒系統一般無明顯表現,但一旦滿足觸發條件,後果不堪構想,這就好像埋在被傳染機器中的一顆定時炸彈隨時可能“爆炸”。“中國炸彈”病毒的螢幕顯示如下:中國炸彈——Chinese Bomb——(Made in China 1989)。中國炸彈破壞條件滿足之後,對於磁碟數據的破壞是很嚴重的。

基本介紹

  • 中文名:中國炸彈病毒
  • 外文名:Chinese Bomb
  • 出現時間:1989年
  • 類型:常駐記憶體型計算機病毒
  • 破壞作用:計算機系統運行速度將減慢等
  • 學科:計算機術語
簡述,表現,組成,檢測,消除,

簡述

中國炸彈病毒也稱為1500病毒。它有一個變種稱為中國炸彈-B( Chinese bomb-B,其檢測軟體為SCAN;消除軟體為KILL)。該病毒的位元組長度為1.5K位元組。它傳染COMMANI.COM檔案,隨系統的啟動駐留於記憶體。中國炸彈病毒1989年首先發現我國陝西西安,是土生土長的計算機病毒之一。
中國炸彈病毒傳染各種DOS版本中的COMMAND.COM檔案,被傳染上該病毒的COMMAND.COM檔案比原來檔案增加了1492(5D4H)個位元組。如果使用被傳染的DOS系統啟動機器,計算機系統運行速度將減慢,尤其是執行DOS查看目錄DR命令、打開檔案或裝入、執行檔案時,系統運行速度明顯減慢,並且此時磁碟如果有未被傳染的COMMAND.COM檔案,則該檔案會立即被傳染上中國炸彈病毒。該病毒屬於常駐記憶體型計算機病毒,中國炸彈病毒駐留記憶體後,不改變0040:0013H、0040:0014H兩處的內容,所以般用DEBUG不能發現系統記憶體容量的減少。病毒發作的條件是
(1)系統時間是15分或45分,並且秒數是15秒或45秒;
(2)打開磁碟上任一個檔案(21H中斷3DH號功能調用)。當同時滿足以上兩個條件時,該病毒便把記憶體中任意一塊數據寫入硬碟前80個扇區,將主引導記錄(分區表)DOS引導記錄、磁碟檔案分配表(FAT表)等覆益,從而完全破壞磁碟。

表現

傳染有中國炸彈病毒的系統啟動時,病毒首先常駐記憶體並監視系統的運行情況,如破壞條件滿足,中國炸彈病毒即破壞系統,否則病毒將監視系統中是否有COMMAND.COM檔案,以進行傳染。傳染有中國炸彈的電腦程式在運行時可能出現如下症狀
(1)COMMAND.COM加長1492位元組,檔案的建立時間將變為1980年1月1日;
(2)執行DOS的內部命令時,時間延長;
(3)系統在破壞是顯示:——Chinese Bomb——(made in China 1989)。
中國炸彈病毒連結在COMMAND.COM檔案的尾部,並將第一條指令改為JMP××××(××××是原 COMMAND.COM檔案的長度),當系統啟動流程進行到執行COMMAND.COM檔案時,病毒程式將首先得到執行。

組成

病毒程式從邏輯結構上可分為初始化部分、傳染部分和病毒的破壞及表現部分。
1.中國炸彈病毒的初始化部分
(1)初始化部分首先將記憶體中COMMAND.COM程式末尾的病毒程式前移至CS:0100H,將COMMAND.COM程式覆蓋,並將指令指針(IP)移至此區繼續執行。
(2)調用解碼子程式將數據區中密碼翻譯成數據,該數據區存放檔案路徑名、原檔案長度、病毒標識、原檔案第一條指令和螢幕顯示信息等。
(3)釋放除程式本身所需以外的記憶體空間,並為COMMAND.COM檔案申請全部記憶體自由空間,在申請到的記憶體段內建立新程式段,並將磁碟上COMMAND.COM檔案讀入記憶體中新程式段,將新程式段內程式的第一條指令恢復為正確指令,使其成為正確的COMMAND.COM程式。
(4)用INT 18H中斷替代INT 21H中斷,修改INT 21H中斷的入口地址,將控制權交給病毒程式。
(5)調用病毒傳染部分傳染硬碟中COMMAND.COM檔案。
(6)轉至記憶體新程式段處執行正確的COMMAND.COM程式。
2.中國炸彈病毒的傳染部分
病毒的傳染部分由被修改的INT 21H完成,即如果本次中斷是INT 2lH中斷中的獲得磁碟自由空間(36H)功能調用(DOS中的DIR命令執行此調用)、打開檔案(3DH)調用或者裝入執行檔案(4BH)調用等調用之一,病毒根據本次中斷所涉及的驅動器,調用傳染部分傳染該盤中的COMMAND.COM檔案。
(1)打開盤上的COMMAND.COM檔案,將其屬性改為普通檔案屬性(20H),以便進行讀寫操作。
(2)比較檔案中偏移量03H位元組開始處的一個字是否等於偏移量150H位元組開始處的一個字,如果兩處的字值相同,病毒程式即認為該檔案已被傳染,不再次傳染之;若檔案中偏移量03H及150H兩處的標識字不同,則病毒傳染該檔案,傳染時病毒將正常檔案的長度和第一條指令保存於數據區中,調用解碼子程式,將數據區恢復成密碼;將病毒程式(長度為5D4H)寫入檔案末尾,並將COMMAND.COM檔案第一條指令修改為JMP××(×××為原檔案長度),而後將檔案150H處標識寫到03H處,作為病毒傳染的標識。
3.病毒的破壞及表現部分
病毒的破壞及表現部分是被修改的INT 21H中斷服務程式,當執行INT21H中斷時,便進入病毒的INT 21H中斷程式。被病毒修改的INT 21H程式完成如下幾個功能:
(1)首先保存INT2H中斷的原入口地址,並且保護中斷現場。
(2)如果本次中斷是INT 21H中斷的打開檔案(3DH號)功能調用,同時,當前系統時是15分或45分且秒數是15秒或45秒時,則破壞硬碟,並且在螢幕上顯示上述病毒信息。

檢測

從上面的分析中可以看出,中國炸彈病毒主要利用了COMMAND.COM檔案常駐記憶體的特點,並且接管了DOS功能調用INT21H中斷,每當執行INT21H中斷時,中國炸彈病毒便得到了一次活動機會。
中國炸彈病毒的實際位元組長度為1492位元組,一般而言,在DOS狀態下使用DIR命令查看磁碟中的COMMAND.COM檔案位元組數是否增加了1492個位元組及檔案建立時間是否發生變化,可以發現COMMAND.COM檔案是否被傳染。如果COMMAND.COM增加了1492個位元組,同時COMMAND.COM檔案的建立時間變為1980年1月1日,便可認定已傳染上了中國炸彈病毒。DOS2.0、3.0、3.2、3.3版本中COMMAND.COM檔案位元組數分別為17654(十進制)、22042(十進制)、23791(十進制)、25307(十進制)。傳染後長度應分別為19146(十進制)、23534(十進制)、25283(十進制)、26799(十進制)。
中國炸彈病毒的另外一個特點,是病毒在COMMAND.COM檔案中設定標識,即將相對於檔案頭的檔案偏移量為150H的兩個位元組放入相對於檔案頭偏移量為03H開始處的一個字中,這樣,被病毒傳染的COMMAND.COM檔案相對於檔案頭偏移量為03H、04H中的內容與相對於檔案頭偏移量為150H、15IH處的內容是相同的,因此,可以用DEBUG調出 COMMAND.COM後用D命令顯示103H、104H與250H、251H( DEBUG載入檔案是從偏移量為100處開始的)四單元中的內容,查看其是否相等。如果103H、104H和250H、251H所組成的兩個字是相等的而且檔案長度增加了1492位元組,我們就可以斷定COMMAND.COM檔案中傳染有中國炸彈病毒。用DEBUG檢測系統的具體方法如下
A>DEBUG COMMAND.COM-D 250 25136CD:0250 00 4C-D 103 10436CD:10000 4C
這樣通過上面講到的COMMAND.COM檔案的三種變化,即可斷定系統的命令解釋程式COMMAND.COM檔案中傳染有中國炸彈病毒。

消除

因為病毒修改了COMMAND.COM檔案的前6個位元組的內容,這就能夠在正常的COMMAND.COM檔案執行之前首先執行病毒程式,同時病毒又是連結於檔案的尾部,所以我們可以用恢復被傳染的COMMAND.COM檔案的前6個位元組並去除檔案尾部5D4H位元組病毒程式的方法消除中國炸彈病毒,但是由於病毒對原來 COMMAND.cOM檔案的前6個位元組採用加密的方法保存在自己的數據區中,因比我們必須首先執行病毒代碼部分的病毒解密程式部分以解密這6個位元組使用系統調試程式 DEBUG消除中國炸彈病毒的具體過程如下:
C>DEBUG COMMAND.COM-RCX:68AF-U100xxxx:0100 E9D862 JMP 63DB-D 688BHxxxx:688BH 68AC 8Cxxxx:0100 JMP 0E30xxxx:0103-H 688B 5D46E5F 62B7-RCXCX 688B:62B7-W-QC>
注意:用DEBUG.COM對COMMAND.COM檔案手工解毒後應該立即重新啟動系統,以避免其他盤中的 COMMAND.COM檔案被中國炸彈病毒傳染。

相關詞條

熱門詞條

聯絡我們