Так что не будем мешкать и совершим наш решительный марш-бросок, снося всех вирусов, встретившихся на нашем пути!

Основные признаки вирусного внедрения

Единственным гарантированным способом выяснения, является ли данный файл «плохим» файлом или нет, является его полное дизассемблирование. Не скрою, дизассемблирование – крайне кропотливая работа и на глубокую реконструкцию программы размером в пять – десять мегабайт могут уйти годы если не десятки человеко-лет! Чудовищные трудозатраты делают такой способ анализа чрезвычайно непривлекательным и бесперспективным. Давайте лучше отталкиваться от того, что подавляющее большинство вирусов и троянских коней имеют ряд характерных черт, своеобразных «родимых пятен», отличающих их от всякой «нормальной» программы. Надежность таких «индикаторов» зараженности существенно ниже и определенный процент зловредных программ при этом останется незамечен, но… как говорится, на безрыбье и слона из мухи сделаешь!

Количество всевозможных «родимых пятен», прямо или косвенно указывающих на зараженность файла, весьма велико и ниже перечислены лишь наиболее характерные из них. Но даже они позволяют обнаружить до 4/5 всех существующих вирусов, а по некоторым оценкам и более того (по крайней мере все «лауреаты» вирусного TOP-20 обнаруживаются).

Текстовые строки

Прежде чем приступать к тотальному дизассемблированию исследуемого файла, нелишне пролистать его дамп на предмет выявления потенциально небезопасных текстовых строк, к которым, в частности, относятся команды SMTP-сервера и командного интерпретатора операционной системы («HELO/MAIL FROM/MAIL TO/RCPT TO, DEL/COPY/RD/RMDIR соответственно), ветвей автозапуска реестра (RunServices, Run, RunOnce), агрессивные лозунги и высказывания («легализуем марихуану», «сам дурак») и т. д.

data:0040E048 aQuit            db 'QUIT',0Dh,0Ah,0

data:0040E050                  db '.',0Dh,0Ah,0

data:0040E058 aData            db 'DATA ',0Dh,0Ah,0

data:0040E060 aHeloS           db 'HELO %s',0Dh,0Ah,0

data:0040E06C asc_40           db '>',0Dh,0Ah,0

data:0040E070 aMailFrom        db 'MAIL FROM: <',0

data:0040E080 aRcptTo          db 'RCPT TO:<',0

data:0040F244 aSoftwareMicros  db 'SoftwareMicrosoftWindowsCurrentVersion',0

data:0040F279 aRun             db 'Run',0

data:0040F27D aRunonce         db 'RunOnce',0

data:0040F285 aSystemCurrentc  db 'SystemCurrentControlSetServices',0