火炬病毒

计算机病毒

火炬病毒是指寄生在磁盘引导区或主引导区的计算机病毒。此种病毒会利用系统引导时,不对主引导区的内容正确与否进行判别的缺点,在引导型系统的过程中侵入系统,驻留内存,监视系统运行,待机传染和破坏。

简介

概念

特性

历史此种病毒利用系统引导时,不对主引导区的内容正确与否进行判别的缺点,在引导型系统的过程中侵入系统,驻留内存,监视系统运行,待机传染和破坏。

发作条件

硬盘感染时要在主引导记录偏移1BBH处保留被感染时间的BCD码月份。如果在非硬盘感染的月份中用带病毒的软盘引导系统(如硬盘是3月份被感染，在4月份用带有“火炬”病毒的软盘起动)，那么，就会在屏幕上显示几束火炬的图案，同时，破坏性地覆盖硬盘主引导区，其直接后果是硬盘不能引导，软盘引导后也不能进入硬盘，也就是说造成表面上的硬盘所有数据丢失。

传染

按照引导型病毒在硬盘上的寄生位置又可细分为主引导记录病毒和分区引导记录病毒。主引导记录病毒感染硬盘的主引导区，分区引导记录病毒感染硬盘的活动分区引导记录。

消除方法

发现

1、进入DEBUG。

2、调出可能有病毒的引导块。

(1)、查找硬盘中的火炬病毒，执行以下一段指令 A100MOV AX，201 MOV BX，200MOVCX，1MOV DX，80 INT 13 INT 3 G；执行指令

(2)、如果是查A驱中的软盘，执行命令 ?L CS：200 001

(3)、如果是查B驱中的软盘，执行命令 -L CS：200 1 0 1 3、反汇编。 U 200 JMP 298 …U 298 CLD XOR AX ， AX MOV SS ， AX MOV SP ， 7C00 PUSH AX … … POP DS … … 如果反汇编200H和298H处有以上指令，则说明你的机器已被“火炬”病毒感染。

消除

1、消除软盘中的火炬病毒。火炬病毒感染软盘时，把原BOOT区放在1面19H道1扇区中，因此，消除方法是：

(1)、消A驱中的火炬病毒，在DEBUG下执行： -A100 MOV AX，201 MOV BX，200 MOV CX，1901 MOV DX，0100 INT 13 INT 3 -RIP ：100 -G -W200 001

(2)、消B驱中的火炬病毒。将第4句 “MOV DX， 0100”改为“MOV DX，0101”。

2、消除硬盘中的火炬病毒。

(1)、有原硬盘引导记录备份的，恢复原主引导记录备份。在此也提醒读者注意：希望用户在没有引导型病毒感染以前，做好硬盘主引导记录、DOS引导区的备份工作。

(2)、没有原引导记录备份的，可从其它机器硬盘上获得主引导记录，方法是：在其它未感染的硬盘上执行： -A100 MOV AX， 201 MOV BX， 200 MOV CX， 1 MOV DX， 80 INT 13 INT 3 _RIP ：100 _G；执行，读出主引导记录取名为BOOT，保存到软盘中。 -N BOOT -RCX ：200 -RBX ：0 -W 200 到被“火炬”病毒感染的机器上执行上面这段DEBUG的获主引导记录的程序后，再执行命令： -N BOOT -L 400 M 4005 BD 200；复制正常主引导记录再执行指令 -A100 MOV AX，301 MOV BX，200 MOV CX，1 MOV DX，80 INT 13 INT 3 RIP ：100 即可。

危害

计算机资源的损失和破坏，不但会造成资源和财富的巨大浪费，而且有可能造成社会性的灾难，随着信息化社会的发展，计算机病毒的威胁日益严重，反病毒的任务也更加艰巨了。1988年11月2日下午5时1分59秒，美国康奈尔大学的计算机科学系研究生，23岁的莫里斯（Morris）将其编写的蠕虫程序输入计算机网络，致使这个拥有数万台计算机的网络被堵塞。这件事就像是计算机界的一次大地震，引起了巨大反响，震惊全世界，引起了人们对计算机病毒的恐慌，也使更多的计算机专家重视和致力于计算机病毒研究。1988年下半年，中国在统计局系统首次发现了小球病毒，它对统计系统影响极大，此后由计算机病毒发作而引起的“病毒事件”接连不断，前一段时间发现的CIH、美丽莎等病毒更是给社会造成了很大损失。

症状

1.计算机系统运行速度减慢。

2.计算机系统经常无故发生死机。

3.计算机系统中的文件长度发生变化。

4.计算机存储的容量异常减少。

5.系统引导速度减慢。

6.丢失文件或文件损坏。

7.计算机屏幕上出现异常显示。

8.计算机系统的蜂鸣器出现异常声响。

9.磁盘卷标发生变化。

10.系统不识别硬盘。

11.对存储系统异常访问。