home *** CD-ROM | disk | FTP | other *** search
/ HPAVC / HPAVC CD-ROM.iso / pc / MAGS.ZIP / VLAD#3.ZIP / ARTICLE.2_2 < prev    next >
Encoding:
Text File  |  1995-01-18  |  1.9 KB  |  56 lines
  1.  
  2.  
  3.    A brand new way to fool TBScan 
  4.    +----------------------------+       by Automag/VLAD
  5.  
  6.  
  7.    Today I worked on some features for Antipode:
  8.    I wanted it to infect a file during a scan by AV software so I added
  9.    the usual int 21h 3Dh (open) infection.  It already infected the files
  10.    under McAfee's SCAN so I added the 21h 6Ch (extended open) infection and
  11.    F-PROT became a vector but I was surprised that TBSCAN didn't infect my 
  12.    test files (5 byte .COM just 3 NOPs and an int 20h).  I took SoftICE and
  13.    traced some code and was really surprised as TBSCAN didn't open any file
  14.    in my directory!
  15.  
  16.    I thought that Frans had found a brand new way to open files ?  Taking
  17.    int 21h as a breakpoint I found that TBSCAN just used the Find-Next
  18.    function.  I was dispirited, how would I use TBSCAN as a vector ?
  19.    Scanning another directory I was suprised to find TBSCAN used Int 21h 3Dh!
  20.  
  21.    Rebooting, I tried to scan my directory again and now TBSCAN only opened
  22.    two files, both were infected (627 bytes long) while the others were
  23.    skipped (5 bytes long).
  24.  
  25.    So here is the trick:
  26.    TBSCAN does not 'waste' any time with tiny files, it just skips them.
  27.    Let's imagine an algorithm...
  28.  
  29.       Int 21 4Bh entry point:
  30.        if (file_to_be_executed='TBSCAN.EXE')
  31.        then TBSCAN_FLAG=1
  32.       end
  33.  
  34.       int 21 4E entry point:
  35.        if (TBSCAN_FLAG=1)
  36.        then
  37.        {
  38.        if DTA.FILEEXT=COM
  39.        then DTA.SIZE=0
  40.        }
  41.       end
  42.  
  43.       int 21 4C entry point:
  44.        TBSCAN_FLAG=0
  45.       end
  46.  
  47.    with such an int 21h, TBSCAN won't scan any COM file :)
  48.  
  49.    That's done and tested and TBSCAN doesn't scan any file :)
  50.    The scanning is just a bit too fast as it scanned 726 executables in six
  51.    seconds :)  Now Frans can say that TBSCAN is the fastest scanner ever !
  52.  
  53.    But anyway TBAV is the best AV program I have ever used...
  54.    So greets to Frans Veldman...
  55.  
  56.