Обход резидентных антивирусных мониторов

Обычно все программы используют сервис DOS так:

mov ah,...

int 21 h

По команде INT управление передается в точку, адрес которой определя-

ется двумя словами, находящимися в таблице векторов прерываний

по адресу 0000h:0084h. С этого момента начинается исполнение команд

многочисленных обработчиков прерывания INT 21h и не менее многочис-

ленных резидентных программ до тех пор, пока управление, наконец,

не получит оригинальный обработчик операционной системы (рис. 5.1.):

Разумеется, среди этих многочисленных обработчиков может "затесаться"

обработчик, принадлежащий антивирусному монитору, который не дает

спокойно работать не только вирусам, но и обычным программам.

Поэтому серьезные вирусы и некоторые хорошо написанные программы

пытаются определить адрес оригинального обработчика и обратиться

к нему напрямую, в обход остальных обработчиков:

mov ah,...

pushf

call dword ptr 021

021 dw ?

S21 dw ?

Но антивирусные мониторы учитывают эту возможность и принимают

свои меры.