_                                          _   
                           (_)                                        | |  
              __   ____  __ _  _   _  _ __ ___   _ __     _ __    ___ | |_ 
              \ \ / /\ \/ /| || | | || '_ ` _ \ | '_ \   | '_ \  / _ \| __|
               \ V /  >  < | || |_| || | | | | || |_) |_ | | | ||  __/| |_ 
                \_/  /_/\_\| | \__,_||_| |_| |_|| .__/(_)|_| |_| \___| \__|
                          _/ |                  | |                        
                         |__/                   |_| 
           
/---------------------------------------------------------------------------------------\
|>...................[     BMW(Mebromi) Bioskit boot阶段感染分析   ]...................<|
|>......................[          by nEINEI/vxjump.net         ]......................<|
|>......................[              2011-09-26               ]......................<|
\>......................  [           neineit_at_gmail.com    ]  ......................</



[目录]

[0x01] .简介
[0x02] .基本信息
[0x03] .bios阶段功能
[0x04] .MBR阶段功能
[0x05] .winlogon/wininit的解密
[0x06] .其它

[0x01] .简介
    
    BMW bioskit是首个(概念性的攻击在blackhat07，cansecweset09上已经有了)可刷写BIOS的病毒，感染
电脑主板的BIOS芯片和硬盘MBR，再感染Windows系统文件，执行恶意代码。
    
    插入isa模块到bios的方法是用释放的cbrom。刷bios的方法是用公开的io方式，逆那个my.sys驱动即可。
插入的ISA模块，保护MBR数据不被修复，每次开机都在写过去。

[0x02] .基本信息
   
    1   bios 中保存了MBR ，磁盘数据,
 
    2   isa 大小是 0xf  * 0x200 = 0x1e00 

    3   最后一个512 k ，置放bios 加载数据

    4   原windows mbr 不再此数据区
    
[0x03] .bios阶段功能
	
    该阶段执行的代码都在isa模块中，也就是感染后bios中的hook.rom模块。

    1  从0x5d开始拷15个扇区大小的数据到引导区

    2  判断是否支持 int 13 扩展读，不支持退出isa 模块，交由MBR继续引导
 
    3  硬编码0x97f 0处，构造磁盘地址包数据, 从磁盘偏移0开始读1扇区数据到0x8a00 ，如果失败退出isa模块

    4  读取0x8a92 dword 数据，比较是否是0x31746e69 （可看作感染表示，“int1”），是，ax = 1，继续运行。
       否则copy 0x80代码到0x7d80 ,该代码是写屏提示功能

    5  如果已经感染，正常引导系统，退出isa模块。

    6  没感染，从当前内存0x7c00,写0xe 个扇区数据到磁盘0-0-1开始偏移处


[0x04] .MBR阶段功能
	
    1  伪造一个开头，anti-mbr check 。

    2  copy 自身去0x600 内存

    3  判断是否int 13支持读

    4  从0柱0道2扇区开始读6个扇区的数据到0x7c00.

    5 读取cmos 数据，利用0x70 0x71端口，记录日期，运行次数，当日期不符合coms中记录的日期则重写当前日期到
      自身内存0x625(byte),0x626(byte)记录当天运行次数，在将当前0x600，512字节写回磁盘MBR。
 
    6 读取8扇区（原windowsMBR）的数据，到0x4000位置，获得磁盘活动分区，获得引导分区的起始位置main_dbr,保存该值到0x60c（byte）。

    7 自己加载DBR到0x7c00，判断引导分区的文件系统，NTFS or FAT32,  计算扇区字节数据sec_size,每簇扇区数cluster_by_seccunt,
      隐藏扇区数hide_seccunt,   MFT簇号MFT_NO,每个MFT记录簇数MFT_record，记录这些数据到当前0x600空白处。

    8 扫描DBR引导的下一个扇区中NDTLDR字符串，相当于校验当前是否合法。

    9 分FAT32 or NTFS 方式解析，读取磁盘2扇区数据到0x1200，检测是否是winlogon.exe Wininit.exe，
      如解析PE头，定位EOP，检测开头指令

   10 感染后的exe开头是自解密的代码，是则，已经感染，打印Find it OK,加载7扇区数据到0x7c00，控制权交原MBR，
      否则写磁盘数据进行感染，打印Find it ok，跳入原MBR执行。

[0x05] .winlogon/wininit的解密
	
    解密起点，(WORD) EOP + 5 + 0x2e 
    循环计数  (WORD) EOP + 5 + 2
    密钥      (DWORD)EOP + 5

算法：

   1 解密的1字节数据和密钥1字节相等不解密

   2 解密的1字节数据和密钥2字节不等，则xor，写回解密数据

   3 解密的1字节数据和密钥2字节相等，则0 xor1字节密钥，写回解密数据。



[0x06] .其它

   Bmw(Mebromi)的思路是，无论外部（非bios）如何修复，都从bios的isa模块把病毒数据覆盖硬盘MBR数据,达到永远的驻留硬盘，引导启动。

   分析过程的数据 bmw_ldr.bin ,dump_disk_bmw.dat,hook.rom 下载地址:
   代码 && 工具:http://www.vxjump.net/files/a_page/4/code1.htm
   或直接 http://www.vxjump.net/downfile/Mebromi.zip