Рисунок 13. Внедрение X-кода в файл путем создания собственной секции

Внедрение. Обобщенный алгоритм выглядит так:

n  загружаем PE-заголовок и смотрим, что расположено за таблицей секций;

n  если здесь не нули, отказываемся от внедрения;

n  если (e_lfanew + SizeOfOptionalHeader + 14h + (NumberOfSections + 1)*40) > SizeOfHeaders, раздвигаем заголовок, как показано в разделе «Внедрение в PE-заголовок», а если это невозможно, отказываемся от заражения;

n  дописываем X-код к концу файла;

n  увеличиваем NumberOfSections на единицу;

n  выравниваем LS.r_sz на величину FA;

n  дописываем к таблице секций еще один элемент, заполняя поля следующим образом:

n  имя: не имеет значения;

n  v_a: LS.v_a + ALIGN_UP( (LS.v_sz)? LS.v_sz: LS.r_sz), Section Alignment);

n  r_offset: SizeOfFile;

n  v_sz: sizeof(X-code) или 0x0;

n  r_sz: sizeof(X-code);

n  Charic.: IMAGE_SCN_CNT_CODE | IMAGE_SCN_MEM_EXECUTE;

n  остальные: 0x0;

n  пересчитываем Image Size.

Идентификация пораженных объектов. Внедрения этого типа легко распознаются по наличию кодовой секции в конце файла (стандартно кодовая секция всегда идет первой).