home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #27 / NN_1992_27.iso / spool / comp / virus / 4328 < prev    next >
Encoding:
Internet Message Format  |  1992-11-17  |  3.7 KB
  1. Path: sparky!uunet!charon.amdahl.com!pacbell.com!sgiblab!zaphod.mps.ohio-state.edu!caen!umeecs!hela.iti.org!cs.widener.edu!dsinc!netnews.upenn.edu!netnews.cc.lehigh.edu!news
  2. From: bontchev@fbihh.informatik.uni-hamburg.de (Vesselin Bontchev)
  3. Newsgroups: comp.virus
  4. Subject: Re: Info on Commander Bomber and Starship? (PC)
  5. Message-ID: <0005.9211171913.AA17490@barnabas.cert.org>
  6. Date: 16 Nov 92 14:08:56 GMT
  7. Sender: virus-l@lehigh.edu
  8. Lines: 59
  9. Approved: news@netnews.cc.lehigh.edu
  10.  
  11. tck@bend.ucsd.edu (Kevin Marcus) writes:
  12.  
  13. > Yeah, please post up a description.
  14.  
  15. The virus is a memory resident COM file infector. File size increases
  16. by 4096 bytes. The installation check ("Are you there?") is INT
  17. 21h/AX=424Fh; if it returns 4D42h in AX, this means that the virus is
  18. resident. The virus infects on file execution only; not on copying.
  19. True Execs are intercepted (AX=4B00h), which means that no overlays
  20. will be infected. The virus is not encrypted and contains two plain
  21. text strings: "COMMANDER BOMBER WAS HERE" and "[DAME] [DAME]". The
  22. "COMMAND" part of the first string is used to check the names of the
  23. infected files - the virus refuses to infect a file, the name of which
  24. begins like that. Therefore, the file COMMAND.COM will not be
  25. infected. The virus does not infect files smaller than 5120 bytes. The
  26. type of the file is checked (both MZ and ZM checks are performed) and
  27. only true COM-type files are infected. The date and the time of the
  28. infected files are preserved, but the attributes are not. The ReadOnly
  29. attribute will not stop the virus from infecting the file, although it
  30. will remain turned off after the infection.
  31.  
  32. Well, essentially, this is all. All of the viral code, that is. It
  33. occupies about 560 bytes. The remaining is code aimed to conceal the
  34. virus entry point. The virus can reside anywhere in the COM file.
  35. Furthermore, it consists of about a dozen tiny parts and one main
  36. body. The tiny parts do essentially nothing - just a few insignificant
  37. instructions and then transfer control to the next part. The
  38. generation of these parts is very polymorphic; meaning that they can
  39. be -very- different from one infected file to another. The main part
  40. is not even encrypted, which means that it can be detected with a
  41. simple (even not a wildcard) scan string, but in order to do this, the
  42. scanner must scan the -whole- file (which slows down the scanning
  43. considerably). Smart tricks like scanning at the file entry point, or
  44. at the beginning and at the end of the file only, do not work with
  45. this virus.
  46.  
  47. The second string found in the virus suggests that Dark Avenger
  48. (because he is the author of this Commander Bomber virus) intends to
  49. combine it with the MtE polymorphic mechanism for variable encryption.
  50. Detecting MtE with a scanner now is a nightmare, even if you know that
  51. the file entry point points to it. Detecting an MtE-based virus with
  52. the MtE-generated decryptor which can reside just anywhere in the file
  53. will be a double nightmare, if you care not to produce any false
  54. positives... Fortunately, it is not so easy thing to do...
  55.  
  56. It is is obvious that the Commander Bomber virus is yet another
  57. "demonstration" virus, like Dedicated. It is an attempt to show that
  58. known-virus scanners can be made obsolete. It is also a buggy virus -
  59. due to some reasons (not clear to me yet), the virus crashes after
  60. some infections. Other than that, there is no destructive payload in
  61. it (or any other payload for that matter).
  62.  
  63. Regards,
  64. Vesselin
  65. - -- 
  66. Vesselin Vladimirov Bontchev          Virus Test Center, University of Hamburg
  67. Tel.:+49-40-54715-224, Fax: +49-40-54715-226      Fachbereich Informatik - AGN
  68. < PGP 2.0 public key available on request. > Vogt-Koelln-Strasse 30, rm. 107 C
  69. e-mail: bontchev@fbihh.informatik.uni-hamburg.de    D-2000 Hamburg 54, Germany
  70.