NumberOne 바이러스, 1987년 - 갑자기 사라진 AIDS 바이러스의 원형

NumberOne

발견 : 1987년

제작자 : M. Vallen

 

* NumberOne

NumberOne 바이러스는 1987년 제작되었습니다.

 

http://virus.wikidot.com/numberone

Numberone - The Virus Encyclopedia

 

https://wiw.org/~meta/vsum/view.php?vir=978

Online VSUM - Number One Virus

Number One 문자열을 포함하고 있습니다.

 

'This File Has Been Infected by Number One!'

 

 

이 바이러스의 소스코드는 'Computer viruses - a high-tech disease'에 공개되었습니다.

 

제작자 이름은 M.Vallen인가 봅니다. M. Vallen이 누구인지는 확인되지 않았습니다. 

바이러스 크기는 12,027 바이트입니다. 따라서 여러 변형 중 이 길이를 가진 바이러스를 원형으로 판단할 수 있습니다

 

해당 소스코드는 한국에서 출판된 '컴퓨터 바이러스 분석, 제작 및 예처방' (1990)에도 그대로 실렸습니다.

 

 

* 변형 

 

소스코드가 책으로 출판되어서 여러 변형이 존재합니다.

 

AIDS.13952 

초기에는 AIDS라는 이름으로 불렸습니다. 

 

바이러스 크기 : 13,952 바이트

 

https://wiw.org/~meta/vsum/view.php?vir=84

Online VSUM - AIDS Virus

나중에 이 바이러스가 NumberOne 바이러스의 변형으로 밝혀졌습니다.

바이러스뉴스 1호, 2호에는 AIDS 바이러스 정보가 있었는데, 이후 어느 순간 정보가 갑자기 사라져 당시 의아했던 기억이 납니다.

 

역시 소스코드가 공개되었습니다.

(소스코드의 바이러스 크기는 13,847 바이트로 다른 변형입니다.)

{C-}
{U-}
{I-}       { Wont allow a user break, enable IO check }

{ -- Constants --------------------------------------- }

Const
     VirusSize = 13847;    { AIDS's code size }

     Warning   :String[42]     { Warning message }
     = 'This File Has Been Infected By AIDS! HaHa!';

{ -- Type declarations------------------------------------- }

Type
     DTARec    =Record      { Data area for file search }
     DOSnext  :Array[1..21] of Byte;
                   Attr    : Byte;
                   Ftime,
                   FDate,
                   FLsize,
                   FHsize  : Integer;
                   FullName: Array[1..13] of Char;
                 End;

Registers    = Record    {Register set used for file search }
   Case Byte of
   1 : (AX,BX,CX,DX,BP,SI,DI,DS,ES,Flags : Integer);
   2 : (AL,AH,BL,BH,CL,CH,DL,DH          : Byte);
   End;

{ -- Variables--------------------------------------------- }

Var
                               { Memory offset program code }
   ProgramStart : Byte absolute Cseg:$100;
                                          { Infected marker }
   MarkInfected : String[42] absolute Cseg:$180;
   Reg          : Registers;                 { Register set }
   DTA          : DTARec;                       { Data area }
   Buffer       : Array[Byte] of Byte;        { Data buffer }
   TestID       : String[42]; { To recognize infected files }
   UsePath      : String[66];        { Path to search files }
                                    { Lenght of search path }
   UsePathLenght: Byte absolute UsePath;
   Go           : File;                    { File to infect }
   B            : Byte;                              { Used }
   LoopVar      : Integer;  {Will loop forever}
   
   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ (생략)~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

 

분석

13,952 바이트 변형 기준입니다.

 

'Copyright (C) 1985 BORLAND Inc'를 포함하고 있는데, 이건 파스칼 컴파일러가 만든 문자열입니다.

 

굳이(?) 바이러스 감염 사실을 메시지로 출력합니다.

 

'I have been elected to inform you that throughout your process of'

'YES, it CAN be, a virus has infected your system.'

'you have to say about that? HAHAHA.'

 

 

 

'Your computer now has AIDS'

 

주) 산란형 AIDS II 바이러스와는 다릅니다. (이제 착각하는 사람도 없을 듯 합니다만...)

 

* 소감

 

AIDS 바이러스로 기억했는데 NumberOne 바이러스의 변형이었습니다.

파스칼로 만들어져서 간단한 바이러스인데 12-13 KB 정도됩니다.

컴파일러가 만든 코드와 바이러스 코드가 뒤섞여 분석하기가 힘들었다기보다 짜증났습니다.

(그 시절에는 고급언어로 작성된 파일은 어떻게 리버싱 하셨나요 ?!)

 

디스어셈블 보다는 파스칼 소스코드를 살펴봤습니다.