ma ja sam to radio davno ima dve godine.. pa mi malo ostalo..

xexexexexe
bas me interesuje ce probati da vidi sta ce se desiti  :twisted:  
haXor

Proveri da li je PE Exe:
- ucitaj DOS heder
- da li ima 'MZ'
- uzmi pointer na pocetak PE hedera
- proveri pointer, ako ne radi, izadji
- ucitaj PE heder
- da li ima 'PE'
- ako nema, izadji

- Kreni sa infekcijom:
Ucitaj sve prvo:
- ucitaj file header
- ucitaj optional header
- ucitaj section alignment (koliki je NZD sekcije)
- ucitaj file alignment (koliko je veliki NZD starta sekcije)
- ucitaj SizeOfHeaders (velicina svih hedera sa tablama sa sekcijama)
- ucitaj SizeOfImage (SizeOfHeaders + BrojSekcija*SectionAlignment)
- ucitaj sve dosadasnje table sa sekcijama:
- ucitaj SizeOfRawData

Promeni:
- BrojSekcijaPotrebnihZaVirus = Virus / SectionAlignment, ako ima ostatka onda jos +1
- FizickiStartVirusa = SizeOfHeaders + (dosadasnji broj sekcija  SizeOfRawData tih sekcija)
- VirtuelniStartVirusa = SizeOfHeaders + (dosadasnji broj sekcija)  SectionAlignment

- promeni file header:
- NumberOfSections = NumberOfSections + BrojSekcijaPotrebnihZaVirus
- promeni optional header:
// program startuje prvo virus, koji je na kraju, a onda se far jumpom vrati na original
- AdressOfEntryPoint = FizickiStartVirusa
- SizeOfHeaders = SizeOfHeaders + BrojSekcijaPotrebnihZaVirus (velicina tabele sa sekcijom
- SizeOfImage = SizeOfHeaders (novi) + (broj updatevanih sekcija) SectionAlignment

- zapisi stare tabele
- ubaci novu:
- ime: 'moj_vir0'
- VirtualAdress (RVA) = SizeOfHeaders (novi) + BrojStarihSekcija * SectionAlignment
- SizeOfRawData = (VelicinaVirusa) // ukoliko treba podeliti virus na sekcije, preduzeti nesto
- PointerToRawData = FizickiStartVirusa

- ubaci originalan program
- ubaci virus sa jmp-om na pocetak originalnog programa


Evo otprilike nesto sto ja trenutno pokusavam da sredim..

Pa posto me vecina kritikuje........moze li mi reci neko ko bolje zna od mene (administrator) da li je ovo ispravno mada mi se cini da sam se zeznuo negde.....
Ako neko zna neka kaze da se vise ne vrtim u krug...

Hm.. pazi... nisam uopste pobornik pojasnjavanja ovakvih stvari sa opravdanjem "ovo je sve edukativne prirode, ne odgovaram ako neko to iskoristi u ne moralne svrhe".
Ovo sto pokusavas da uradis u principu je pisanje mutanta postojeceg virusa sto nema bas neke svrhe jer i to svaki AV procita.

Mozes na netu naci kako izgleda recimo cih 1.4 pa pogledaj malo njegov source, koji dosta podseca na ono sto tebi treba i nacices resenje za svoj problem, imas cak i dosta dobro dokumentovanih source codova.
Zaista ne bih da ulazim u ovakva objasnjavanja ipak sam odavno prerastao ovakve stvari a i admin sam zastita.co.yu ne bih da kaljam obraz mesanjem u pisanje nekih malicioznih kodova.

Kao sto SF kaze, ne postoji virus koji radi u "edukativne" svrhe, tako da ces morati i dalje solo da se vrtis.  

Kao sto rekoh nisam ja neki specijalac, ali se trudim da naucin nesto.

Ok, taj pristup mi se svidja.
Predlozi... postoji dosta underground zajednica koje se bave antivirusnim solucijama, uglavnom na svojim sajtovima imaju ok baze sourceva dobro dokumentovanih , pa ono... googlaj, citaj, uci.

www.The-Error.net