[原创]决战EPO病毒 邪恶八进制信息安全团队技术论坛 - EvilOctal Security Team - E.S.T
[原创]决战EPO病毒
原文作者：Piotr Bania
文章翻译：无敌最寂寞 [E.S.T]
信息来源：邪恶八进制信息安全团队（http://www.eviloctal.com/）
这篇短文主要是通过分析Win32.CTX.Phage病毒，讲述了一种称作入口点遮蔽（Entry-Point Obscuring,EPO)的病
毒编码技术。作为读者，阅读本文前需要了解最基本的IA-32平台汇编（译者注：32位的x86称作IA32）以及PE文件
结构中的主要部分，才能够很好的理解本文。另外作者建议本文读者能够回顾一下Peter Szor和Wason Han 写的
Win32.CTX.Phage中的叙述，因为本文并没有涵盖此病毒的全部特性。
为什么是EPO和Win32.CTX.Phage
因为采用入口点遮蔽技术编写的病毒具有极强的反探测、反查杀以及反删除能力，所以还是非常值得我们研究的。目
前，这种技术已经应用于很多方面，但在本文中我们选择的是一个病毒实例——Win32.CTX.Phage，这是因为这个
病毒的作者还写过其它一些病毒比如Win9x.Margburg病毒（这是一个windows9x变种病毒）以及Win9x.HPS病毒
等。这些病毒同样具有难检测和难查杀的能力，CTX.Phage病毒还使用了其它特殊的技术使得我们即使了解其原理但
查杀起来依然是非常困难的。
了解EPO技术
病毒感染文件后，必须找到能够获得控制以及使自身能够运行的途径。大部分感染PE文件的病毒采用的最普遍的方法
是：简单地修改宿主文件的入口点使其指向病毒体。如下所示：
由于这种简单的修改入口点的感染方式会导致宿主文件的入口点出现在了代码段之外的地方，因为很容易被一些杀毒
软件检测到。下面是一个检测这种感染方式的例子代码：
Code:
[Ctrl+A Select All]
EPO技术出现的唯一的原因就是躲避杀毒软件的检测。一个采用EPO技术编写的病毒不会直接从宿主程序中获得控制
权，而是采用打补丁的方式在宿主文件中将一条原始的jump/call指令修改为一个特定的jump/call指令，间接地获得
控制权。EPO技术的实现也是多样化的，本文详细阐述了其中的一种。
Win32.CTX.Phage病毒采用的EPO技术
Win32.CTX.Phage病毒并没有修改宿主文件的入口点，而是搜索宿主程序的整个代码段以期待能够找到一些由
Borland 或者Microsoft连接器产生的API调用。当找到后，病毒会检查调用地址是否指向了导入节中。如果检查结果
该调用确实是一个外部调用，那么病毒程序会产生一个随即数用来指示病毒是否修改当前处理的指令或者继续寻找下
file:///C|/Documents and Settings/Administrator/桌...制信息安全团队技术论坛 - EvilOctal Security Team - E_S_T.htm（第 1／9 页）2005-8-9 21:32:05
(checks if the 'entry-
point section' is the last
section):
// --- snip of scanner
code
-------------------------
-----------------------
...(snip)...
sections = pPE-
>FileHeader.
NumberOfSections;
pSH =
(PIMAGE_SECTION_
HEADER)((DWORD)
mymap+pMZ-
>e_lfanew + sizeof
(IMAGE_NT_HEADE
RS));
while (sections != 0) {
if (IsBadReadPtr
(&pSH,sizeof
(PIMAGE_SECTION_
HEADER)) == TRUE)
{
printf("[-] Error:
Bad PE file");
goto
error_mode4;
}
char *secname=
(char *) pSH->Name;
if (secname ==
NULL) strcpy
(secname,"NONAME")
;
startrange=
(DWORD) pSH-
>VirtualAddress +
pPE->OptionalHeader.
ImageBase;
endrange=
(DWORD) startrange +
pSH->Misc.VirtualSize;
...(snip)...
if (pSH-
>VirtualAddress <=
pPE->OptionalHeader.
AddressOfEntryPoint
&& \
pPE-
>OptionalHeader.
AddressOfEntryPoint <
pSH->VirtualAddress +
pSH-
>Misc.VirtualSize)
{
printf("[+]
Checking call/jump
requests from %s
section (EP)",
secname);
pSHC = pSH;
}
pSH++;
sections--;
}
pSH--;
if (pSHC == NULL)
{
printf("[-] Error:
invalid entrypoint");
goto error_mode4;
}
printf("[+] Starting
heuristics scan on %s
section...",pSHC-
>Name);
if (pSHC == pSH)
{
printf("[!] Alert:
Entrypoint points to last
section (%s) -> 0x
%.08x",
pSH-
>Name,pPE-
>OptionalHeader.
AddressOfEntryPoint +
pPE-
>OptionalHeader.
ImageBase);
printf("[!] Alert:
The file may be infected!
");
printf("[+] No
deep-scan action was
performed");
goto error_mode4;
}
...(snip)...
// --- snip of scanner
code
-------------------------
-----------------------
