Cascade (1701, 1704) 바이러스, 1987 ... 글자가 떨어집니다

Cascade (작은폭포)

1701

1704

1701/1704

FallingLetters

 

Virus:/DOS/Cascade.1701.A

Virus:/DOS/Cascade.1704.A

 

발견 : 1987년 

제작지 : 독일 ?

 

증상 : 시스템 날짜가 1980년 혹은 1988년 10월-12월 일 경우 일정 시간 경과 후 화면의 글자를 아래로 떨어뜨림

 

* Cascade.1701 & Cascade.1704 바이러스

 

Cascade.1701 와 Cascade.1704 바이러스는 1987년 독일에서 발견되었다고 합니다.

 

https://en.wikipedia.org/wiki/Cascade_(computer_virus)

Cascade (computer virus) - Wikipedia

 

 

 

https://www.f-secure.com/v-descs/cascade.shtml

Cascade | F-Secure Labs

한국에는 1990년 1월 Cascade.1701 과 Casacde.1704 바이러스가 동시에 발견되었습니다.

오스트리아 유학생이 가져온 CHART.COM 파일에서 처음 발견되었다고 합니다.

 

한국에서 널리 퍼지지는 않았지만 어느 정도 퍼진 듯 합니다. 저도 1990년 학교 컴퓨터실에서 Cascade.1701 바이러스에 감염된 파일을 경험했습니다. 

 

마이크로소프트웨어지1990년 2월호에 Pingpong 바이러스와 간단히 소개되었습니다.

 

 

https://xcoolcat7.tistory.com/91612

핑퐁 (Pingpong) 바이러스 , 1987 ... 공이 돌아다닌다 ?!

 

 

백신 II 플러스 (V2Plus) 1.4 버전에서 진단/치료 기능이 추가되었습니다.

마이크로소프트웨어지 1990년 3월호에 Cascade.1704 바이러스 분석 내용이 소개되었습니다.

 

 

 

 

1) 최초의 암호화 바이러스

 

Cascade 바이러스는 최초의 암호화 바이러스입니다.

 

Cascade.1701.A 바이러스 암호 해제 코드입니다.

 

Cascade.1704.A 바이러스 암호 해제 코드입니다.

 

바이러스 길이인 mov sp 값 빼고는 암호 해제 코드가 동일합니다. 그래서, McAfee 와 같은 일부 백신 프로그램은 둘을 구분하지 않고 진단하기도 합니다.

 

2) IBM PC 동작 안함 

Cascade 바이러스 제작자의 의도는 IBM에서 제작한 컴퓨터에서는 동작하지 않게하려 했습니다.

 

F000:E008에서 'COPR. IBM' 문자열을 검사해 IBM 컴퓨터는 감염 안되게 하려고 했습니다.

하지만,Cascade.1701 바이러스의 경우 문자 비교를 ES 세그먼트가 아닌 DS 세그먼트에서하는 실수로 제작자가 의도한 기능이 동작하지 않습니다.

 

 

 

 

3) 증상

시스템 날짜가 1980년 혹은 1988년 10월-12월 일 경우 일정 시간 경과 후 화면의 글자를 아래로 떨어뜨립니다.

 

0722 2E            CS:                                     0723 F606570108    TEST BYTE PTR [0157],08                  0728 741D          JZ 0747                                072A 50            PUSH AX                                  072B 51            PUSH CX                                  072C 52            PUSH DX                                  072D B42A          MOV AH,2A                               072F CD21          INT 21                                  0731 81F9C407      CMP CX,07C4                                                 ; 1988 ? 0735 720D          JB 0744                                                    0737 7705          JA 073E                                0739 80FE0A        CMP DH,0A                                                   ; 10 / 11 /12 ? 073C 7206          JB 0744                                073E 2E            CS:                                     073F 80265701F7    AND BYTE PTR [0157],F7                  0744 5A            POP DX                                  0745 59            POP CX                                  0746 58            POP AX                                  0747 2E            CS:                                     0748 FF2E3B01      JMP FAR [013B]

 

감염 증상 영상입니다.

https://www.youtube.com/watch?v=z7g-v3d7-Gk

 

 

* 변형들

다양한 변형이 존재합니다.

 

Cascade.691

 

691 바이트로 암호화, 글자 떨어뜨리기는 빠져있습니다.

IBM PC 확인 기능은 있지만 여전히 ES:가 아닌 DS에서 검사하는 버그를 가지고 있습니다.

 

 

* 의의

Cascade 바이러스는 최초의 도스 암호화 바이러스입니다. 

 

Eugene Kaspersky 씨가 1989년 이 바이러스에 감염되면서 치료하는 프로그램을 제작했습니다.

참고로 당시 러시아에 AIDSTEST란 제품이 있었습니다.

 

https://ru.wikipedia.org/wiki/Aidstest

Aidstest — Википедия

그는 취미로 백신 프로그램을 제작했고 이후 1992년 Antiviral Toolkit Pro(AVP)를 출시했습니다. 

1997년에 Kami에서 독립해서 Kaspersky Lab을 설립합니다.

 

Dr. Solomon은 이 바이러스의 치료 기능을 제외했다가 다시 추가했습니다.

(AI 설명이 맞다면 Cascade 바이러스 치료 기능 제외가 의도적이었군요.)

 

 

* 다음은 

 

다음 분석할 컴퓨터바이러스의 힌트는 뉴질랜드입니다.

 

https://xcoolcat7.tistory.com/91754

Stoned 바이러스, 1987 ... 대마초 대신 돌이라 번역 된