はじめに

アンチウィルス対策製品の動作確認に使われたりするやつです。
EICAR STANDARD ANTIVIRUS TEST FILE
EICAR標準アンチウィルステストファイル

省略されて、EICARやEICARテストファイルみたいに呼ばれることもあります。
以下からダウンロードできます。

目的1

15年くらい前にパソコンを触り始めたときにマルウェアに興味があって色々ググっていてこれを見つけた
当時はdebug.exeがOSに付属していたり、普通に16ビットリアルモードでDOS互換プログラムが動作したのでこのファイルを動かした記憶があった。
ただ、それなりに年月が経過していて、実行できたっけなぁというくらいにしか記憶に残ってなかったので改めてEICARと厳粛に向き合ってみようと思った。

目的2

日本語訳してみる。

DOSプログラムですね。
まぁ実行できるのは記憶に有ったから良いとして、どうせなら解析してみようぜと思っている。

まずは結論から（解析方法は続きにあります）

どういうプログラムが書かれているのかというところに疑問を持っている。

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

この文字列は以下のように3分割できる。

X5O!P%@AP[4\PZX54(P^)7CC)7}$
EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$
H+H*

1：色々やっているけど、一番の目的は3番にある「出力命令（print）」と「プログラム終了命令（exit）」をデコードするためのコードが書かれている
2：3の命令で出力するための文字列（EICAR-STANDARD-ANTIVIRUS-TEST-FILE!が出力される）
3： INT 21h(DXレジスタを"$"終端の文字列へのポインタとみなし標準出力へ出力する命令)
　　また、INT 20h(exit)命令が、エンコードされて記述されている。

解析編

まずは実行してみよう。
DOSBox-XというDOSエミュレータツールがあるので、それをインストールして起動して実行してみる。

はい、出来ましたね。

とりあえずGhidraでリバースしてみる。ツールの使い方のような決まりきった手順は省略する。
一応画像においても、1～3がどこに該当するのかは明示しておこうと思う。

あとは出てきたアセンブリ（16bit Realmode）を読んでいくだけ。

0000:0100  58              POP        AX　// AX=0（CP/M互換のための値=0をスタックから取り出している）
0000:0101  35  4f  21      XOR AX ,0x214f // AX=0x214F
0000:0104  50              PUSH       AX // スタックに0x214Fを入れる
0000:0105  25  40  41      AND  AX ,0x4140 // 0x140 = 0x214F & 0x4140
0000:0108  50              PUSH       AX // スタックに0x140を入れる
0000:0109  5b              POP        BX // BX = 0x140
0000:010a  34  5c          XOR   AL ,0x5c // AL=0x11=0x40^0x5C (AX=0x11C)→表示する文字列のアドレス
0000:010c  50              PUSH  AX // 0x11Cをスタックに入れる
0000:010d  5a              POP   DX // DX = 0x11C // 表示する文字列のアドレス
0000:010e  58              POP   AX // AX = 0x214F
0000:010f  35  34  28      XOR   AX ,0x2834  // AX = 0x97B = 0x214F^x2834
0000:0112  50              PUSH  AX 
0000:0113  5e              POP   SI // SI = 0x97B
0000:0114  29  37          SUB   word ptr [BX ],SI // 0x21CD = 0x2B48 - 0x97B
0000:0116  43              INC   BX
0000:0117  43              INC   BX
0000:0118  29  37          SUB   word ptr [BX ],SI // 0x20CD = 0x2A48 - 0x97B
0000:011a  7d  24          JGE   0x0140  // 直前の引き算の結果が0以上の場合0x0140の処理へ分岐する
0000:011c  DB "EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$" // 表示する文字列（0000:010aで計算した値）
0000:0140  48              DEC   AX // H+ の部分
0000:0141  2b  48  2a      SUB   CX ,word ptr [BX  + SI  + 0x2a ] // H* の部分

011cまで実行されたときのダンプ

0000:0100  58              POP        AX　// AX=0（CP/M互換のための値=0をスタックから取り出している）
0000:0101  35  4f  21      XOR AX ,0x214f // AX=0x214F
0000:0104  50              PUSH       AX // スタックに0x214Fを入れる
0000:0105  25  40  41      AND  AX ,0x4140 // 0x140 = 0x214F & 0x4140
0000:0108  50              PUSH       AX // スタックに0x140を入れる
0000:0109  5b              POP        BX // BX = 0x140
0000:010a  34  5c          XOR   AL ,0x5c // AL=0x11=0x40^0x5C (AX=0x11C)→表示する文字列のアドレス
0000:010c  50              PUSH  AX // 0x11Cをスタックに入れる
0000:010d  5a              POP   DX // DX = 0x11C // 表示する文字列のアドレス
0000:010e  58              POP   AX // AX = 0x214F
0000:010f  35  34  28      XOR   AX ,0x2834  // AX = 0x97B = 0x214F^x2834
0000:0112  50              PUSH  AX 
0000:0113  5e              POP   SI // SI = 0x97B
0000:0114  29  37          SUB   word ptr [BX ],SI // 0x21CD = 0x2B48 - 0x97B
0000:0116  43              INC   BX
0000:0117  43              INC   BX
0000:0118  29  37          SUB   word ptr [BX ],SI // 0x20CD = 0x2A48 - 0x97B
0000:011a  7d  24          JGE   0x0140  // 直前の引き算の結果が0以上の場合0x0140の処理へ分岐する
0000:011c  DB "EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$" // 表示する文字列（0000:010aで計算した値）
0000:0140  cd 21           INT 21h // DXレジスタが指すメモリにある$で終わる文字列を表示する
0000:0141  cd 20           INT 20h // exitしておわり

まとめ

EICARは単なるシグネチャ文字列ではない。
自身をメモリ上で書き換えるポリモーフィック型マルウェアを模した列記とした実行可能なプログラムである。

ということでした。おわり。
明日から使える無駄知識でした。