.0100A8E5: 2D00200000          sub    eax,000002000 ;"    "

.0100A8EA: 89857E070000 mov    [ebp][00000077E],eax

.0100A8F0: 50                  push   eax

.0100A8F1: 0500100000          add    eax,000001000 ;"   "

.0100A8F6: 89857E070000 mov    [ebp][00000077E],eax

.0100A8FC: 50                  push   eax

.0100A8FD: 0500100000          add    eax,000001000 ;"   "

.0100A902: EB31         jmps   .00100A935   -------- (1)

Рисунок 8. Внедрение X-кода в главную иконку файла

Восстановление пораженных объектов. Отличить и отделить фрагменты X-кода от фрагментов оригинального файла практически нереально. Да и нужно ли? Ведь достаточно отобрать у него управление… К счастью, таких изощренных X-кодов в дикой природе практически не встречается, и обычно они ограниваются внедрением в свободные с их точки зрения регулярные последовательности, которые вполне могут принадлежать буферам инициализированных данных, и если X-код перед передачей управления оригинальной программе не подчистит их за собой, ее поведение рискует стать совершенно непредсказуемым (она ожидала увидеть в инициализированной переменной ноль, а ей что подсунули?).

Восстановление иконок и bitmap не представляет большой проблемы и осуществляется тривиальной правкой ресурсов в любом приличном редакторе (например, в Visual Studio). Задачу существенно упрощает тот факт, что все иконки обычно хранятся в нескольких экземплярах, выполненных с различной цветовой палитрой и разрешением. К тому же из всех регулярных последовательностей программисты обычно выбирают для внедрения нули, соответствующие прозрачному цвету в иконках и черному в bitmap. Сама картинка остается неповрежденной, но окруженной мусором, который легко удаляется ластиком. Если после удаления X-кода файл отказывается запускаться, просто смените редактор ресурсов либо воспользуйтесь hiew, при минимальных навыках работы с которым иконки можно править и в hex-режиме (считайте, что идете по стопам героев «Матрицы», рассматривающих окружающий мир через призму шестнадцатеричных кодов).