Membuat Virus Detector dengan Assembly

Dalam artikel ini saya akan memberi contoh bagaimana cara antivirus mendeteksi virus.

Sebenarnya ada banyak cara antivirus untuk mendeteksi virus, tapi kali ini saya hanya akan memberi contoh

sedikit cara membuat program virus detector sederhana, dan bisa dikembangkan menjadi Anti Virus yang handal.

Nah, untuk contoh virusnya saya ambil dari si brontok yang lagi kondang katanya. brontok yang mana?, varian A,B,C... atau Z ?,

yah karena saking banyaknya varian jadi bingung deh, ya udah aku ambil semuanya, lo kok semua?

Sebenarnya ada rahasia yang unik pada virus brontok ini, eh tapi bukan rahasia ding, cause semua pasti sudah tahu

ciri khas brontok, apa tuh?

Ternyata semua varian dari virus brontok memiliki kesamaan yang tak pernah berubah sampai saat ini, dan ini yang saya

ambil sebagai identitas brontok dalam program virus detector sederhana yang akan kita buat. persamaan itu adalah :

sebaru-barunya varian terbaru dari brontok pasti akan tetap ber ikon folder, nah inilah yang akan kita jadikan handle virusnya.

lo nanti kalo ada applikasi walaupun bukan virus kalo ber-ikon folder akan dideteksi sebagai brontok?,

ya, memang, karena ikon folder merupakan ikon yang tidak wajar untuk sebuah applikasi. dan ini terbukti belum pernah

ada applikasi yang berikon folder murni. Dan hanya dengan cara inilah kita bisa mendeteksi berbagai macam virus brontok

yang terkenal cepat dalam perkembangannya, dari A sampe Z dari Z kembali lagi ke A, bahkan untuk brontok yang akan datang sekalipun!.

Inilah mimpi buruk bagi pembuat brontok. (ganti dong ikonnya....)

kita juga bisa menghandle ikon-ikon tidak wajar lainnya seperti ikon dokumen word, ikon notepad dll.

Lalu programnya mau kita buat pake apa?. pake VB!. bodoh brontok terbaru sudah dilengkapi anti VB man!,

pake C++. sama dengan brontok dong!. Oke kita pake Assembly Win32bit!. sulit nih!. Gampang kok baca aja buku

Pemrograman Bahasa Assembly oleh S'to di www.ilmukomputer.com.

terus kapan kita mulai ?

Oke kita mulai sekarang.

----[ CUT HERE ]-------------------------------------------------------------------------------------------------------------------

;-----------------------------------------------------------------------------------)

; SIMPLE VIRUS DETECTOR

; BY:[4NV|e]

; +=+=+=+=+=+=+=+=+=+=+=+=+

;

; Bisa dikompil menggunakan:

; Macro Assembly Win32 (MASM32)

; Turbo Assembly Win32 (TASM32)

;-----------------------------------------------------------------------------------)

.386 ;<--Untuk prosesor 32 bit

.model flat, stdcall ;<--Memori 32 bit

option casemap :none ;<--case sensitive

include user32.inc ;------|

include kernel32.inc ;|--Komponen wajib hanya butuh kernel32.dll dan user32.dll

includelib user32.lib ;| berbahagialah, karena tidak butuh MSVBVM60.dll

includelib kernel32.lib ;------| dan MSVCP60.dll dan dll-dll yang lain/dlllllll.

.data

hInst dd 0 ;<--Buffer-buffer

gBuff1 dd 260 dup(0)

CommandLine dd 0

AppName db "Simple Virus Detector by:4NV|e",0

FileTarget db 260 dup(0) ;<----------260 = MAX_PATH

nOffset dd 0

FileReadError db "File gak bisa dibuka/dibaca. Tambahkan parameter yang menunjuk pada file.",0

MemoryError db "Alokasi Memori Error.",0

strIniBrontok db "File %s",13,10,"Adalah virus Brontok.",13,10

db "Berhati-hatilah!!.",0

strBukanBrontok db "File ini bukan Brontok",0

strMasukkanCMDL db "Tambahkan parameter yang berisi alamat file.",0

Virus_DB db "Brontok",0,008H,025H,000h,000h,0 ;<-- 7 byte Nama virus, 4 byte offset awal

; 2 byte pemisah, 12 byte virus sign dan

; 2 byte tanda akhir. jadi setiap 1 data berjumlah 27 byte

;Signatur virus milik brontok Varian A-Z. 4 byte x 3 = 12 byte + 2 = 14 byte

;______________________________|_______________________________

;| |

db 09FH,0CFH,0ECH,0F9H,0FEH,0CCH,0FCH,0FFH,0BCH,0FEH,0FFH,0B5H,0,0

.code

start:

push 0

call GetModuleHandle ;<--Ambil handle untuk proses kita (App Instance)

mov hInst, eax ; dan simpan pada memory

call GetCommandLine ;<--Ambil letak offset Command Line (exe parameter)

mov CommandLine, eax ; yang akan kita gunakan untuk menunjuka pd file

; yang akan kita periksa

push CommandLine

push offset gBuff1 ;<--Copykan ke dalam buffer

call lstrcpy ; kita gunakan lstrcpy

; (perintah dari kernel32.dll

; yang dikenal baik dikalangan CRACKER)

;--------------------

; karena format string yang telah kita dapatkan dalam buffer

; adalah : |"exe file" + parameter| dan yang kita butuhkan

; hanyalah parameternya maka kita akan melakukan langkah2 berikut

;--------------------

lea esi, gBuff1 ;<--Ambil alamat efektif dari buffer

; yang telah berisi string exefile+parameter

mov ecx, esi ;<--gunakan register ecx untuk counter

add esi, 260 ;MAX_PATH

;mulai looping

cari_lagi:

dec esi ;<--kurangi esi dengan 1 (dec = decrement)

cmp esi, ecx ;<--apakah buffer sudah habis dibaca?

jbe udeh_lah ; jika udah lompat ke udeh_lah

cmp byte ptr [esi], 022H ; apakah offset esi menunjuk pada karakter (") ?

jne cari_lagi ;<--kalo ga balik ke cari_lagi

add esi, 3 ;<--esi=offset->"X:\xxxxx

cmp byte ptr [esi], 022H

je nullkan

jmp udeh_lah

; sebenarnya kita bisa pake "repne scasb",

; tapi dengan cara diatas akan lebih mudah dicerna.

nullkan: ;jika terdapat karakter '"' Nullkan!

inc esi

mov edi, esi

inc ecx

mov al, 022H

cld ;<--Clear Direction Flag

repne scasb ;<--aku terpaksa pake ini biar gak kelamaan

mov byte ptr [edi-1],0

jmp udeh_lah

udeh_lah:

cmp byte ptr [esi], 03AH

jne path_oke

dec esi

path_oke:

push esi ;<--sekarang esi berisi offet dari parameter

push offset FileTarget ;<--kita kopikan lagi ke buffer yang berbeda

call lstrcpy

push offset FileTarget ;<--Apakah commandline berisi?

call lstrlen ; atau sama dengan perintah VB if len(FileTarget) = 0 then goto commandline_kosong

test eax, eax ; jika tidak goto commandline_kosong

jz commandline_kosong

push offset FileTarget ;<--panggil prosedur pemeriksaan file

call CheckThisFile ; jika virus terdeteksi maka register EAX akan bernilai 2

test eax, eax ; jika file gak bisa dibuka maka EAX bernilai 1

jz bukan_virus ; jika bukan virus maka EAX bernilai 0

;<--Jika Bukan Virus goto bukan_virus

cmp eax, 1

je TAMAT

push offset FileTarget ;<--buatkan format string untuk ditampilkan ke msgbox

push offset strIniBrontok

push offset gBuff1 ;<--hasil masuk ke gBuff1

call wsprintfA

push 030H ;<--030H = MB_ICONEXCLAMATION/vbExclamation

push offset AppName

push offset gBuff1

push 0

call MessageBoxA ;<--Tampilkan Message Box!

jmp TAMAT ;<--Selesai goto TAMAT

bukan_virus:

push 0

push offset AppName

push offset strBukanBrontok

push 0

call MessageBoxA ;<--Tampilkan Message Box!

jmp TAMAT

commandline_kosong:

push 0

push offset AppName

push offset strMasukkanCMDL

push 0

call MessageBoxA

TAMAT:

push hInst

call ExitProcess ;<--Akhiri Proses

;==============================[ PROSEDUR PEMERIKSAAN ]==========================)

CheckThisFile proc tFile:DWORD

LOCAL lBuff[260]:BYTE ;--------|

LOCAL fHandle:DWORD ;|

LOCAL fSize:DWORD ;|

LOCAL memptr:DWORD ;|

LOCAL bread:DWORD ;|--definisikan variabel lokal

LOCAL ccnt:DWORD ;|

LOCAL SizeToCheck:DWORD ;|

LOCAL EndOffset:DWORD ;|

LOCAL VirusName:DWORD ;|

LOCAL VIDB:DWORD ;|

LOCAL UdahKetemu:DWORD ;----------|

push 00000004H ;<--PAGE_READWRITE

lea eax, bread

push eax

push tFile

call OpenFile ;<--Buka file

mov fHandle, eax ;<--Ambil handle file yang terbuka

inc eax

jnz file_ada ;<--Apakah berhasil, jika ya goto label file_ada

push 0 ; Tidak ? sampaikan pesan kesalahan

push offset AppName

push offset FileReadError

push 0

call MessageBoxA

mov eax, 1 ;<--set return value = 1 (file not found/access denied)

ret

file_ada:

push 0

push fHandle

call GetFileSize ;<--Ambil ukuran file

mov fSize, eax ; simpan di memori

; nggak make file mapping?

; aku gunakan VirtualAlloc untuk membaca file

push 00000004H

push 00001000H ;<--MEM_COMMIT

push fSize ;<--ukuran file

push 0

call VirtualAlloc ;<--Alokasikan memori untuk tempat dari isi file

mov memptr, eax ;<--Pointer simpan dalam memori

test eax, eax ;<--Berhasil?

jnz mem_oke ; YA. goto mem_oke

push 0 ; TIDAK. tampilkan pesan kesalahan

push offset AppName

push offset MemoryError

push 0

call MessageBox

jmp e_close_file

mem_oke:

push 0 ;--------|

lea eax, bread ;|

push eax ;|

push fSize ;|--Masukkan isi dari file kedalam memori yang

push memptr ;| telah kita alokasikan untuk diperiksa

push fHandle ;|

call ReadFile ;|

test eax, eax ;|

jnz read_ok ;|

jmp e_free_ch ;--------|

read_ok:

lea esi, Virus_DB

xor eax, eax ; EAX = 0

mov UdahKetemu, eax ; set local flag

ps_loop_3:

mov VirusName, esi ;--------|ESI menunjuk ke offset Virus_DB

mov eax, esi ;|karena nama virus maximal kita set 7 byte

add eax, 8 ;|maka EAX ditambah dengan 8 (+1 byte=pembatas=0)

xor ebx, ebx ;|byte ke 1-7 berisi nama virus, byte ke 8 = 0

mov ebx, dword ptr [eax] ;|byte ke 9-12 berisi offset awal yang harus dibaca, byte ke 13 = 0

mov nOffset, ebx ;|byte ke 14-25 berisi Virus_sign/ID

add esi, 13 ;|

mov VIDB, esi ;--------|

mov esi, memptr ;<--esi menunjuk pada awal offset dari file

mov ecx, fSize

cmp ecx, nOffset ;<--Apakah file target lebih kecil dari awal offset untuk dibaca?

jbe pake_DB_lain ; jika ya coba data virus selanjutnya

add esi, nOffset ; kamu bisa nambahin data virus sendiri, untuk contoh aku cuma pake virus brontok.

mov eax, memptr

add eax, fSize

mov EndOffset, eax ;<--Akhir dari offset

xor eax, eax

mov ccnt, eax

mov eax, EndOffset

sub eax, esi

mov SizeToCheck, eax ;<--banyaknya pengulangan yang akan dilakukan

ps_loop_1:

inc esi

mov edi, VIDB

xor ebx, ebx

ps_loop: ;----------------|

cmp ebx, 2 ;|--Rutin untuk memeriksa file

jae ps_loop_end ;| apakah sudah berputar sebanyak 3x? (ingat Virus ID berisi 3 dword/12 byte)

mov eax, dword ptr [esi+ebx*4] ;| lo, kok ebx,2 ?, ya. karena ebx = 0 dan diset akhir

mov edx, dword ptr [edi+ebx*4] ;|

inc ebx ;|

cmp eax, edx ;|

je ps_loop ;----------------|

ps_loop_end:

cmp ebx, 2 ;<--Apakah pemeriksaan menuai hasil?

je virus_nih ; jika ya goto _virus_nih

inc ccnt

mov ecx, ccnt

add ecx, 10 ;<--Harus begini atau akan terjadi error

cmp ecx, SizeToCheck

jae pake_DB_lain

jmp ps_loop_1

virus_nih:

mov eax, 2 ;<--EAX = 2 (Virus ditemukan)

mov UdahKetemu, eax ;<--set local flag

pake_DB_lain:

mov eax, UdahKetemu

test eax, eax

jnz e_free_ch

mov esi, VirusName

add esi, 25

inc esi

cmp byte ptr[esi],0 ;apakah virus databasenya masih?

jne ps_loop_3 ;jika masih lompat ke ps_loop_3

e_free_ch:

push 00004000H ; = MEM_DECOMMIT

push fSize

push memptr

call VirtualFree ;<--Bebaskan memori

e_close_file:

push fHandle

call CloseHandle ;<--Tutup file

the_end:

mov eax, UdahKetemu ;<--set return value

ret

CheckThisFile endp

end start

----[ END OF FILE ]-------------------------------------------------------------------------------------------------------------------

Agak panjang ya... tapi kalo udah dikompil akan didapatkan file executable dengan ukuran file kira-kira 4.5 KB,

4.5 KB!!!, ya begitulah Assembly, terus kalo dipak make UPX jadi berapa ya?. oh ya, 4.5 KB itu belum make ikon/resource lo.

Setelah dikompil coba jalankan filenya dengan menambahkan parameter yang menunjuk pada file yang akan kita periksa

contoh :

"cekvirus.exe C:\windows\eksplorasi.exe"

Tanpa tanda petik, dan diketik pada jendela explorer atau jendela konsol, file harus ada/eksis.

Jika source code diatas dimodifikasi menjadi virus maka akan menjadi virus yang mengerikan.

Jika source code diatas ditambah listing membaca proses pada memory (EnumProcesses) , mangaksesnya (OpenProcess),

mencari file (FindFirstFile) dan dikembangkan lebih baik lagi, maka akan menjadi anti brontok yang dahsyat.

dan bahkan masuknya virus brontok kedalam system komputer menjadi hal yang tidak mungkin.

Siapa aja yang pengen nyoba, nih link untuk download kompilernya.

www.masm32.com

www.tasm32.com

Dan ini contoh file yang udah di kompil.

www.ansui.cjb.net\ansui\simple_vd.exe

sumber code-security

Membuat Virus Detector dengan Assembly

0 Response to "Membuat Virus Detector dengan Assembly"