एमएस-डॉस वायरस वर्ल्ड

यह पोस्ट 2018 के अंत में 35 वीं कैओस कंप्यूटर कांग्रेस में मेरी बात का एक पाठ संस्करण है।

और इसलिए मुझे यह स्वीकार करना चाहिए कि MS-DOS थोड़ा नाराज है, इस तथ्य के बावजूद कि MS-DOS मैलवेयर ने मुझे हमेशा कुछ हद तक मोहित किया है, लेकिन पहले हमें पूछना चाहिए: "डॉस क्या है?"

• डॉस सीपी / एम का एक संस्करण है, एक और बहुत पुराना ऑपरेटिंग सिस्टम है।
• डॉस परिवार आपूर्तिकर्ताओं की एक विस्तृत श्रृंखला फैलाता है, सिर्फ इसलिए कि यह डॉस का मतलब यह नहीं है कि यह 8086 सीपीयू या बेहतर पर चलेगा
• इन DOS प्रदाताओं में से कुछ के पास API संगतता है, जिसका अर्थ है कि उनमें से कुछ मैलवेयर का उपयोग करते हैं!

प्रदर्शन वीडियो:

पोस्ट EDISON सॉफ्टवेयर के समर्थन से लिखा गया था, जो एक आभासी मोबाइल ऑपरेटर के लिए एक एप्लिकेशन विकसित करता है और पायथन में साइटों के विकास और रखरखाव में लगा हुआ है ।

लेकिन वास्तव में, डॉस युग की हमारी अधिकांश यादें इस बात का सौंदर्यशास्त्र हैं कि उस समय के कंप्यूटर कैसे दिखते थे:



यह "बेज कंप्यूटिंग" और मॉडल एम कीबोर्ड का युग है, जो इस बात के आधार पर प्रसिद्ध या बदनाम हो सकता है कि आपको शोर कीबोर्ड पसंद है या नहीं।



हम में से कुछ के पास डॉस का उपयोग करने की यादें हो सकती हैं, और कुछ अभी भी डॉस का उपयोग कर सकते हैं!



उदाहरण के लिए, जॉर्ज आर। मार्टिन, जिन्होंने द गेम ऑफ थ्रोन्स लिखा था, यह अफवाह है कि पुस्तक लिखने के लिए डॉस में वर्डस्टार का उपयोग किया गया था!



हम QBASIC को भी याद नहीं कर सकते हैं, क्योंकि यह प्रोग्रामिंग के साथ उनका पहला परिचित होगा!



लेकिन कभी-कभी DOS का उपयोग करने वाला जीवन इतना अच्छा नहीं था, कभी-कभी आपने DOS का उपयोग किया, और जैसी चीजें अचानक हुईं। इस उदाहरण में, मुद्रण के दौरान एक छोटा राग बजाया जाता है, इसलिए यह कार्यालय के वातावरण में बहुत ही अजीब स्थिति हो सकती है।



उनमें से कुछ अधिक "प्यारा" हैं, इस मामले में, उदाहरण के लिए, एस्की प्रतीक द्वारा खींची गई एक एम्बुलेंस से गुजरता है, और फिर जिस कार्यक्रम को आप खोलना चाहते हैं, वह सबसे खराब स्थिति में, मामूली असुविधाओं के साथ होता है।

VX Heavens के नाम से चल रहे मैलवेयर आर्काइविस्ट्स के एक समूह के लिए धन्यवाद, हमारे पास एक अच्छा ऐतिहासिक DOS मैलवेयर संग्रह है, या कम से कम जब तक यूक्रेनी पुलिस ने साइट पर छापा नहीं मारा:

शुक्रवार, 23 मार्च को, किसी आपराधिक जांच (यूक्रेन की आपराधिक संहिता के अनुच्छेद 361-1 - किसी को बेचने या वितरित करने के उद्देश्य से मैलवेयर बनाना) के संबंध में पुलिस द्वारा सर्वर को जब्त कर लिया गया था। के बारे में "कंप्यूटर, स्वचालित सिस्टम, कंप्यूटर नेटवर्क के अनधिकृत हैकिंग के लिए डिज़ाइन किए गए नि: शुल्क पहुंच वाले दुर्भावनापूर्ण सॉफ़्टवेयर में"।

सौभाग्य से, लोकप्रिय धार साइटों में अभी भी साइट डेटाबेस की प्रतियां हैं जो हमें एक उत्कृष्ट डेटासेट प्रदान कर सकती हैं:

$ tar -tvf viruses-20070914.tar | wc -l 66714 $ ls -alh viruses-20070914.tar 6.6G viruses-20070914.tar 

हालाँकि, इन नमूनों का अध्ययन शुरू करने के लिए, हमें पहले इन नमूनों के विशिष्ट वितरण प्रवाह को समझने की आवश्यकता है, यह देखते हुए कि ये कार्यक्रम पूर्व-इंटरनेट युग में काम करते हैं:



आपके द्वारा अपने सिस्टम पर एक संक्रमित फ़ाइल प्राप्त करने और उसे चलाने के बाद, दुर्भावनापूर्ण प्रोग्राम या तो सक्रिय रूप से आपके द्वारा चलाए जाने वाले प्रोग्रामों के लिए सिस्टम कॉल इंटरसेप्टर को सक्रिय रूप से खोजेगा या स्थापित करेगा। वह अक्सर पता लगाने से बचने के लिए सूक्ष्म और अदृश्य तरीके से ऐसा करता है। सूक्ष्मता का महत्व महत्वपूर्ण है क्योंकि इस दुर्भावनापूर्ण कार्यक्रम को वितरित करने के लिए, आपको या तो इसे एक माध्यम (डिस्केट) का उपयोग करके किसी अन्य सिस्टम में स्थानांतरित करना होगा या इसे अन्य वितरण बिंदु पर डाउनलोड करना होगा, जैसे बीबीएस।



रनटाइम पर, मैलवेयर के दो विकल्प होते हैं; यह या तो छिपी रह सकती है और नई फ़ाइलों को संक्रमित कर सकती है, या पेलोड प्रदर्शित कर सकती है।

कुछ पेलोड बहुत सुंदर हैं! नीचे दिए गए उदाहरण असामान्य कार्यों का उपयोग करते हैं, जैसे कि 256 रंग:



या यह जो आपके स्क्रीन बफर के साथ खेलता है:





हालांकि, अधिकांश भाग के लिए, मैलवेयर चुप रहेगा और संक्रमण के लिए फ़ाइलें खोजने का प्रयास करेगा। अधिकांश फ़ाइलों का संक्रमण बहुत सरल है, उदाहरण के लिए, यदि आप COM फ़ाइल को मशीन कोड के लंबे टेप के रूप में देखते हैं:



फिर "आपको बस इतना करना है" कार्यक्रम की शुरुआत में जेएमपी सम्मिलित करना है और कार्यक्रम के अंत में डेटा जोड़ना है। यह कुछ इस तरह दिखेगा:



कुछ कोड होशियार थे और बाइनरी फ़ाइल में "खाली स्थान" पाया गया था और खुद को वहां लिखा था, जो बाइनरी फ़ाइल को आकार में बढ़ने से रोकता था, जो संभवतः, इसका मतलब था कि एंटीवायरस लाल ध्वज का उपयोग कर सकता है।



हालाँकि, पहले, मैंने इंटरसेप्टिंग सिस्टम कॉल का भी उल्लेख किया था। इस तथ्य के बावजूद कि एमएस-डॉस रनटाइम बहुत सरल और व्यावहारिक रूप से असुरक्षित है (आप COM फ़ाइल से लिनक्स को तुच्छ रूप से लोड कर सकते हैं)। इसमें अभी भी पूर्ण एपीआई शामिल है ताकि अनुप्रयोगों को अपनी फाइल सिस्टम कार्यान्वयन की आवश्यकता न हो। यहाँ कुछ syscalls विशेषताएं हैं:



वे एक सॉफ्टवेयर रुकावट पैदा करके काम करते हैं, जिसमें प्रोग्राम प्रोसेसर को कुछ मेमोरी करने के लिए सिस्टम मेमोरी के दूसरे सेक्शन में जाने के लिए कहता है:



हालाँकि, MS-DOS इन कॉल को जोड़ने / संशोधित करने (किसी अन्य कॉल का उपयोग करने) की सुविधा भी प्रदान करता है, जिससे आप सिस्टम का विस्तार कर सकते हैं ताकि नए ड्राइवर रन टाइम पर लोड कर सकें। हालाँकि, यह मैलवेयर इंटरसेप्ट्स जोड़ने के लिए एक आदर्श स्थान है:



यह एक अच्छी तरह से उपयोग की जाने वाली चाल थी, क्योंकि आप "ओपन फाइल" कॉल को इंटरसेप्ट कर सकते थे और फिर सिस्टम में नई निष्पादन योग्य फाइलों का पता लगाने के लिए इसका इस्तेमाल कर सकते थे ... और उन्हें संक्रमित कर सकते थे।

उनका उपयोग कैसे किया जाता है, इसके एक त्वरित उदाहरण के रूप में, आइए एक साधारण हैलो वर्ल्ड प्रोग्राम देखें:



जैसा कि हम देख सकते हैं, टाइप int दो कॉल हैं। हम मुख्य प्रणाली कॉल नंबर के रूप में 21h (h = hex) का उपयोग करते हैं, और हम यह निर्दिष्ट कर सकते हैं कि हम क्या चाहते हैं कि MS-DOS Ah के मूल्य के आधार पर प्रदर्शन करें



इस स्थिति में, प्रोग्राम लाइन को प्रिंट करने के लिए कॉल करता है, और फिर रिटर्न कोड 0 (अपरिभाषित) के साथ बाहर निकलता है।

जैसा कि पहले बताया गया है। जब आप int 21h कॉल करते हैं, तो केंद्रीय प्रोसेसर आईवीटी तालिका में दिखेगा जहां जाना है, इस हैंडलर के अंदर अक्सर एक खंड होता है जैसे कि राउटर जो विभिन्न मुख्य कॉल को रूट करता है, इंट 21 एच के मामले में यह मूल्य आह के आधार पर विभिन्न कार्यों को निर्देशित करता है। जैसे ही हम जगह पर पहुंचते हैं, वास्तविक कॉल हैंडलर कार्य से निपटेगा, फिर वह मुख्य कार्यक्रम पर लौटने के लिए iret चलाएगा, अक्सर कॉल के परिणामों के रजिस्टर को छोड़कर:



So. अगर हम प्रोग्राम को शुरू करने वाले सभी सिस्टम कॉल को देखना चाहते हैं, तो हम रुकावट हैंडलर की शुरुआत में एक ब्रेकपॉइंट सेट कर सकते हैं और जांच सकते हैं कि क्या है:



हम ऐसा इसलिए करते हैं क्योंकि MS-DOS में अवरोध हैंडलर हमेशा एक निश्चित स्थान पर होता है (यह ASLR और कर्नेल ASLR युग की तुलना में बहुत पहले है), और प्रोग्राम स्थान नहीं है।



एक बार जब हम इसे लॉन्च करते हैं, तो हम इस पैटर्न द्वारा की गई चुनौतियों को देख सकते हैं। जबकि हम स्क्रीन पर देख सकते हैं कि उसने सिर्फ बकरी फ़ाइल के बारे में एक अधिसूचना छापी थी (बकरी एक ऐसी फाइल है, जिसे बलि देने के लिए डिज़ाइन किया गया है, एक बलि बकरी की तरह)। हम यह भी देखते हैं कि यह कार्यक्रम केवल एक पंक्ति को प्रिंट करने से अधिक करता है। यह डॉस संस्करण की जांच करता है (शायद संगतता के लिए जांच करने के लिए) और फिर डेटा खोलता है, पढ़ता है और लिखता है!



यह दिलचस्प है! लेकिन हम इस बारे में अधिक जानना चाहते हैं कि सिस्टम कॉल को लाल रंग में हाइलाइट किया गया है, क्योंकि उनके पास फ़ाइल नाम और डेटा जैसी चीज़ों के लिए इनपुट होना चाहिए।

ऐसा करने के लिए, हमें syscall के दौरान अन्य रजिस्टरों को देखने की आवश्यकता है:



एक साधारण उदाहरण के रूप में "प्रिंट स्ट्रिंग" का उपयोग करके, हम देख सकते हैं कि उपयोग कैसा दिखता है:



DS क्या है: DX? यहां दो रजिस्टर क्यों हैं, और हम उनसे डेटा कैसे प्राप्त करते हैं?

ऐसा करने के लिए, हमें 8086 प्रोसेसर के बारे में थोड़ा और समझने की आवश्यकता है।



8086 प्रोसेसर 16-बिट सीपीयू है, लेकिन 20-बिट मेमोरी एड्रेसिंग के साथ। इसका मतलब है कि प्रोसेसर केवल उन मूल्यों को स्टोर कर सकता है जो 64 केबी का संकेत देते हैं, यह एक समस्या है जब मेमोरी क्षमता 1 एमबी तक होती है।

इसके आसपास जाने के लिए, हमें विभाजन के रजिस्टरों को समझना होगा:



8086 प्रोसेसर में 4 सेगमेंटेशन रजिस्टर हैं जिनकी हमें देखभाल करने की आवश्यकता है:

• सीएस - कोड सेगमेंट
• डीएस - डेटा खंड
• एसएस - स्टैक सेगमेंट
• ईएस - एक अतिरिक्त सेगमेंट (यदि आपको विभिन्न स्थितियों के आसपास जाने के लिए एक और की आवश्यकता है)

कई अन्य सामान्य प्रयोजन रजिस्टर हैं जो आपको अत्यधिक मेमोरी उपयोग से बचाते हैं और आपको अन्य कार्यों के लिए मापदंडों को पारित करने की अनुमति देते हैं।
खंड रैम में ब्लॉक को बदलकर कार्य को पंजीकृत करता है:



यह 16-बिट सीपीयू को सभी 20 बिट्स रैम को देखने की अनुमति देता है, यह सुनिश्चित करता है कि प्रत्येक डीएस मूल्य के लिए ब्लॉक 16 बाइट्स से ऑफसेट है।



इस मामले में, डीएस कॉल का उपयोग 16-बिट विंडो के अंदर एक पॉइंटर के रूप में किया जाता है, जहां लाइन की शुरुआत होती है। तब लाइन प्रिंटर तब तक स्कैन करेगा जब तक कि यह $ वर्ण नहीं मिल जाता है, और फिर यह बंद हो जाता है। यह अन्य प्रणालियों के समान है जो $ के बजाय नल बाइट्स का उपयोग करते हैं।



ISA x86 की उम्र के साथ, थोड़ा बदल गया है, इस तथ्य के बजाय कि प्रोसेसर बिट आकार में वृद्धि हुई है, वही रजिस्टर व्यापक हो गए हैं।

इसलिए, इस ज्ञान के साथ, हम इन कार्यक्रमों को ट्रैक करने के लिए "कार्यों" की एक सूची बना सकते हैं:



इस सेटिंग के साथ, हम कई बड़े कंप्यूटरों को समस्या पर कई घंटों तक फेंक सकते हैं और परिणाम एकत्र कर सकते हैं!



और हम प्राप्त करते हैं ...



कुछ भी नहीं।

यह निराशाजनक है।

हमने कम से कम एक हैम्स्टर को शक्ति के रूप में जला दिया और लगभग कोई भी सक्रिय नहीं मिला! (Xs इसका अनुवाद कैसे करें)



अगर हम कुछ नमूनों को देखें, तो हम यहां एक धूम्रपान बंदूक देखेंगे। नमूनों का एक सभ्य टुकड़ा तारीख या समय की जाँच करता है।

यदि हम इन कॉलों के दस्तावेज़ीकरण को देखते हैं, तो हम देखेंगे कि सिस्टम कॉल मान को प्रोग्राम के रजिस्टरों के रूप में लौटाता है:



तो हम उन्हें मजबूर कर सकते हैं! बस हमें कुछ ऐसा करना होगा:



लेकिन इस विधि के साथ एक समस्या है।



उदाहरण के परीक्षण के चरण में लगभग 15 सेकंड लगते हैं, क्योंकि यह पूर्ण qemu अनुकरण प्रक्रिया का उपयोग करता है, और वर्चुअल मशीन में प्रोग्राम को पूरी तरह से चलाने के लिए 15 सेकंड तक का समय लग सकता है। चूंकि डॉस में पावर-सेविंग फीचर्स नहीं हैं, इसका मतलब यह है कि जब डॉस स्टैंडबाय मोड में होता है, तो यह एक व्यस्त चक्र में होता है

इसलिए हम इस समस्या को अलग-अलग तरीके से देख सकते हैं कि तारीख / समय के अनुरोध के बाद किस कोड को निष्पादित किया जाएगा।

चूँकि हमारा ट्रैसर बाधा हैंडलर में है, हम उस बॉक्स से नहीं जानते हैं जहाँ प्रोग्राम स्थित है:



ऐसा करने के लिए, हमें उस स्टैक को देखने की आवश्यकता है जहां सीएस और आईपी रजिस्टर हमें इंतजार कर रहे हैं!



जैसे ही हम इन दो रजिस्टरों को स्टैक से लेते हैं, हम उनका उपयोग रिटर्न कोड प्राप्त करने के लिए कर सकते हैं ताकि हमारी चेकलिस्ट इस तरह दिखे:



हमने यह करने के बाद और डेटासेट का बार-बार परीक्षण करने के बाद, हम देखेंगे कि रिटर्न कोड का क्या हिस्सा दिखता है!



यहाँ एक का एक नमूना है। यहां हम देखते हैं कि DL और 0x1e के लिए एक तुलना की जाती है।



यदि हम अपने प्रलेखन को देखते हैं, तो हम देखेंगे कि DL महीने का दिन है, अर्थात्, हम शीर्ष तीन ऑपरेशन कोड का विश्लेषण कर सकते हैं:



हम जा सकते हैं और मैन्युअल रूप से यह सब देख सकते हैं, लेकिन इनमें से कई नमूने हैं जो समय की जांच करते हैं, लगभग 4700:



इसलिए इसके बजाय हमें कुछ और करने की जरूरत है। हमें कुछ लिखने की जरूरत है ... हमें लिखने की जरूरत है ...



दुनिया में सबसे खराब x86 एमुलेटर, जिसे बेनएक्स 86 कहा जाता है, एक एमुलेटर है जिसे विशेष रूप से हमारी आवश्यकताओं के लिए डिज़ाइन किया गया है, और इससे अधिक कुछ नहीं:



लेकिन उसकी गति में उसके कुछ फायदे हैं।





हमने बेन्क्स बल का उपयोग करते हुए पाया पथ पर आधारित 10,000 विभिन्न निष्पादन परीक्षण जोड़े। इसलिए, मैं अपनी कुछ पसंदीदा खोजों के साथ समाप्त हो जाऊंगा जो समय सक्रिय हैं:



यह पैटर्न नए साल के दिन को सक्रिय करता है और ग्रीटिंग प्रदर्शित होने के बाद आपके सिस्टम को हैंग करता है। यह अच्छा हो सकता है यदि आप नए साल के लिए कार्यालय में फंस गए हैं, या यह बुरा हो सकता है अगर आपको वास्तव में नए साल के दिन कुछ करने की आवश्यकता है।



इस उदाहरण ने मुझे बहुत हैरान किया। यह 1995 की शुरुआत में सक्रिय है और उपयोगकर्ता को संक्रमित सभी संक्रमित फ़ाइलों के बारे में सूचित करता है, और फिर वायरस को हटाता है (शुरुआत में संक्रमण को हटाता है) और फिर कुछ नहीं करता है। यद्यपि किसी कारण से यह कहता है कि आपको McAfee खरीदना चाहिए, यह संदेश स्पष्ट रूप से पुराना नहीं है।



यह, सच में, वास्तव में मुझे भ्रमित करता है, किसी भी वर्ष के 8 नवंबर को, यह सिस्टम में सभी 0s को "नफरत" के छोटे ग्लिफ़ में बदल देगा। यह वास्तव में मुझे परेशान करता है यदि आप जानते हैं कि आपको इसकी आवश्यकता क्यों है, तो मुझे बताएं ...



यह शायद मेरी दुःस्वप्न है, जब किसी भी कार्यक्रम को शुरू करने के बाद, यह एक संदेश प्रदर्शित करता है कि वह आपकी मुख्य ड्राइव को नहीं खा सकता है। यह नीले रंग से बाहर देखना अविश्वसनीय रूप से परेशान करने वाला होगा।



निष्कर्ष में, हमारे पास डॉस मालवेयर का नेवी सील कोपीपास्टा संस्करण है। मुझे यकीन नहीं है कि यह लेखक अलादीन को पसंद नहीं करता है, लेकिन आप जो भी करते हैं, आप एक व्यक्ति हैं।

यदि आप इस लेख में चलने वाले कोड में रुचि रखते हैं, तो मैंने बिना किसी वारंटी के, अपने टूलकिट को गितूब पर जारी किया । यदि आप इस कोड को स्वयं बनाना चाहते हैं, तो आपको यह सुनिश्चित करने के लिए काम करना होगा कि यह आपके MS-DOS इंस्टॉलेशन के साथ काम करता है (हैंडलर ब्रेकप्वाइंट को ठीक करना)

हालाँकि, अगर आप इस परियोजना को देखने के दौरान मैंने जो कुछ देखा, उसे देखने के लिए, मैंने यहाँ वेब इंटरफ़ेस को संग्रहीत किया है: dosv.benjojo.co.uk

जल्द मिलते हैं!