home *** CD-ROM | disk | FTP | other *** search
/ HPAVC / HPAVC CD-ROM.iso / pc / CRYPT16.ZIP / DECOM.DOC < prev    next >
Encoding:
Text File  |  1993-06-17  |  2.0 KB  |  35 lines
  1.                      DECOM 0.9ß - MTE file decryptor 
  2.                         
  3.                         Written by Black Wolf '93
  4.  
  5.      This is a simple utility that will step through an MTE decryptor and
  6. decrypt the virus it is attached to, then terminate before executing
  7. the virus.  It is useful if you have an MTE-based virus and you want to
  8. find out what virus has infected it - just decrypt it using DECOM, then
  9. check the resulting file, looking after the decryptor.  This is a proto-type
  10. version, and is NOT IN ANY WAY GUARANTEED!  I am only releasing this version
  11. because to this date nothing else seems to be able to do this.  I am
  12. also releasing the source code.  This will allow anyone who needs to be able
  13. to disinfect MTE-based viruses to modify the code to- instead of saving the
  14. result to disk -search it for the storage bytes, original SS:SP and CS:IP,
  15. or whatever is needed for the disinfection routine.  Once I have gotten
  16. time to come back to this, I will modify it into a generic encryption
  17. bypasser, and add a few useful features in it.
  18.  
  19.         When used, it will attempt to follow the execution of the program
  20. until the end of the MTE decryptor.  It will not execute INT calls, and
  21. will terminate if one is encountered.  It also terminates if DS and ES
  22. change, or if a far call or PUSHF is encountered.  THIS DOES NOT ABSOLUTELY
  23. GUARANTEE SAFETY WHEN RUN!  While I have not encountered an MTE file that
  24. it did not safely unencrypt, it is quite possible to program such.  The
  25. viruses I have tested this on are POGUE, DEMOVIR, and the INSUFF series,
  26. as well as a collection of my own test MTE files.  One possible time
  27. when DECOM may go passed the decryptor is when the MTE does not actually
  28. encrypt the code - this generally results in DECOM printing that it
  29. can not safely decrypt it, whereas it was never actually decrypted.
  30. I hope this is found to be useful at least as a coding example, if not
  31. as a tool.  Good luck!
  32.  
  33.                 Black Wolf
  34.  
  35.