VirDem , 1986년 ... Ralf Burger의 또 다른 데모용 바이러스

 

VirDem

 

. 다른 이름 : Virdem

. 제작 : 1986년

. 제작국 : 독일

. 제작자 : Ralf Burger

 

 

1986년 최초의 IBM-PC (MS-DOS) 컴퓨터바이러스인 브레인(Brain) 바이러스가 파키스탄에서 탄생합니다.

 

https://xcoolcat7.tistory.com/1107

브레인 (Brain) 바이러스 - 파키스탄에서 탄생한 최초의 IBM PC 호환 컴퓨터 바이러스

 

하지만, 컴퓨터바이러스 개념을 여러나라에서 개발하기 시작했고 그중 독일인의 활동이 활발했습니다.

 

Ralf Buger는  Burger 바이러스로 겹쳐쓰기 바이러스를 개념증명 합니다.

 

https://xcoolcat7.tistory.com/1119

Burger 바이러스 .. Ralf Burger의 개념 증명 겹쳐쓰기 컴퓨터 바이러스

 

Ralf Burger는 또 다른 바이러스인 VirDem 를 제작했습니다.

 

 

* VirDem

 

VirDem은 1986년 제작된 데모용 컴퓨터바이러스입니다.

 

http://virus.wikidot.com/virdem

Virdem - The Virus Encyclopedia

 

 

https://www.f-secure.com/v-descs/virdem.shtml

Virdem | F-Secure Labs

 

 

http://wiw.org/~meta/vsum/view.php?vir=1506

Online VSUM - VirDem Virus

 

http://virus.wdfiles.com/local--files/virdem/virdem.txt

 

독일 이외에 알려진건 Ralf Burger의 책이 출판된 1990년입니다.

 

* 분석

 

1) 메시지

 

영어를 일부 포함한 독일어 메시지를 포함하고 있습니다.

 

 

 

Virdem Ver.: 1.0 (Generation 1) aktiv. Kopireid VirWare 1986 If you can't help yourself, try 05932/5451 !!!!! Good luck !!!!! Dies ist ein Demoprogramm fur  Computerviren. Geben Sie nun    bitte eine Zahl ein. Wenn Sie richtig raten, d걊fen Sie Weiterarbeiten Die Zahl liegt zwischen  0 und   Bedauerlicherweise war Ihre Antwort nicht richtig.         Mehr Gl갷k beim n꼊hsten Mal ....   Bravo. Richtige Antwort. Sie d걊fen Weiterarbeiten.    Alle Ihre Programme sind nun durchseucht.

 

1.05 버전 메시지입니다.

 

This is Burger Destroy-Virus V.1.05 This Version has a minor bug! Bot virus-writer do not sleep and soon we will  see the full version that'll be able to kill all of your harddisk!!! Be aware of the evil and do not beleave those fucking antivirals and all other bustards here We have the right to kill PC's and we will do it for ever!!! PC's are for nothing, just like Antivirus-Writers are!!!

 

 

1.06 버전 메시지입니다.

 

Virdem Ver.: 1.06 (Generation 0) aktiv. Copyright by R.Burger 1986,1987 Tel.: 05932/5451 Dies ist ein Demoprogramm fuer Computerviren. Geben Sie nun bitte eine Zahl ein. Wenn Sie richtig raten,duerfen Sie weiterarbeiten. Die Zahl liegt zwischen 0 und   Bedauerlicherweise war Ihre Antwort nicht richtig. Mehr Glueck beim naechsten Mal ....   Bravo. Richtige Antwort. Sie duerfen weiterarbeiten.   Alle Ihre Programme sind nun infiziert.

 

2) 코드

코드는 NOP (90h)로 시작합니다.

아무것도 안하는 코드이며, 감염 표시입니다.

 

 

감염된 파일은 세대 (Generation)을 포함하고 있고, 9 가 되면 메시지를 출력합니다.

변형에 따라 다른데 영어 혹은 독일어 문자열입니다.

 

A 드라이브에서 COM 파일을 찾아 감염시킵니다.

 

 

COM 파일 앞부분에 바이러스를 덮어쓰고, 바이러스 크기 만큼 원래 코드는 파일 끝으로 이동합니다.

그리고, 원래 코드를 복구 시켜주는 코드가 추가로 붙게 됩니다.

 

 

 

복구 코드는 바이러스 내에 존재하므로 굳이 감염된 파일 끝에 추가하지 말고, 바이러스가 실행될 때 메모리 내에서 해당 코드를 복사하면 될 겁니다.

 

 

 

* 문제 발생

 

COM 파일의 최대 길이는 65,535 (FFFFh) 바이트입니다.

이 바이러스는 메모리 F800h 에 감염 시킬 파일을 읽어 들입니다.

만약 COM 파일 크기가 64 KB에 근접한다면 다른 파일을 F800h에 읽는 과정에 코드가 손상됩니다.

 

 

 

* VirDem 변형들

해당 변형은 자세히 분석하지 않고 차이점만 퀵하게 봤습니다.

 

 

1) VirDem.463

 

메시지가 전혀 없이 순수(?) 감염만 됩니다.

다른 변형은 감염 여부 확인을 위해 파일 시작이 NOP (90h)으로 시작하는지 검사하지만, 이 변형은 다른 부분을 확인합니다.

 

 

2) VirDem.736

 

Generation 값을 저장하지만, 독일어 혹은 영어 메시지는 제거되었습니다.

 

 

 

3) VirDem.824

 

바이러스 길이만 좀 다른 변형입니다.

 

 

 

* 마치며

VirDem 바이러스는 1986년에 제작된 데모용 바이러스입니다.

이외 1986년에 독일에서 제작된 컴퓨터바이러스로는 Bernd Fix의 RushHour 바이러스도 있습니다.

 

 

https://xcoolcat7.tistory.com/91503

Rushhour 바이러스 , 1986년 - 또 다른 독일인의 데모용 바이러스

 

 

 

https://de.wikipedia.org/wiki/Rushhour_(Computervirus)

Rushhour (Computervirus) – Wikipedia

 

 

1986년까지 IBM PC에서는 브레인 바이러스 외에는 모두 개념 증명 바이러스였습니다.

1987년에는 개념 증명이 아니라 본격적인 컴퓨터 바이러스들이 등장합니다.

 

다음에는 미국에서 발견된 바이러스입니다.