Microorganisme electronice... VirușiFlaviu Cibu, Adrian Bugariu"Dacă nu există nici un motiv ca ceva să nu existe, atunci există în mod obligatoriu" (Legile lui Murphy) sau mai simplu "dacă există un motiv ca ceva să existe, atunci există în mod obligatoriu". Această lege se aplică și în cazul virușilor informatici, "derivați" din virușii biologici (au aceleași funcții) care se supun de asemenea acestei legi. Existența virușilor biologici este de necontestat precum și cea a virușilor informatici, fiind o realitate nefastă pentru oameni. Ei sunt cei care pot face posibilă pierderea de date importante, de timp și chiar distrugerea calculatoarelor, utilizatorul asistând de multe ori neputincios în fața unui asemenea atac. Ca răspuns la aceste atacuri s-au realizat antivirușii, programe care încearcă să imunizeze sistemele informatice. Conceptul de virus informatic a apărut încă din anul 1972 într-o carte science-fiction When Charlie was one scrisă de D. Gerrold. La centrul de calcul de la University of Carolina, în data de 3 noiembrie 1983, Frederick Cohen a demonstrat conceptul atât de convingător încât i s-a retras dreptul de a mai utiliza calculatoarele respective. Experții consideră că în prezent se cunosc aproximativ 50000 de viruși. Virușii informatici sunt programe de dimensiuni mici care au proprietatea de a se autoreplica inserându-se în fișiere sau în zonele sistem ale discurilor flexibile fără acordul utilizatorului și au în majoritatea cazurilor o activitate distructivă. Utilizatorul este, în majoritatea cazurilor, cel care determină infectarea. În trecut singurul mod de infectare era prin intermediul dischetelor. În prezent interconectivitatea calculatoarelor, care a ajuns la un grad foarte mare prin răspândirea accentuată a rețelelor și prin apariția Internet-ului, la acestea adăugându-se creșterea numărului de calculatoare deci creșterea numărului de surse potențiale de infectare, face ca virușii să cunoască o viteză de propagare foarte mare iar neutilizarea unui antivirus performant poate avea consecințe grave. Internet-ul se dezvoltă necontenit și tinde să devină omniprezent. Funcția de bază a Internet-ului este de a facilita transmiterea și schimbul rapid de informații. Astfel el devine un "vehicul uriaș" de transmitere a virușilor. Dar Internet-ul are mai multe protocoale de transmitere a datelor și fiecare virus este specializat într-unul din aceste protocoale, dar nici existența unui virus care să se propage prin mai multe protocoale nu poate fi considerată imposibilă, totul depinzând de inteligența creatorilor de viruși, numiți virogeni. Virușii pot fi transmiși și prin e-mail. Ei pot veni ca fișiere infectate atașate e-mail-ului sau pot fi găsiți chiar în mesajul e-mail dacă se folosește formatul HTML. Aceasta este cea mai frecvent utilizată cale de infectare, dar mai există și protocolul de știri (NNTP) unde utilizatorul se poate înscrie la un server de știri de unde va primi periodic e-mail-uri, care pot fi virusate. Un alt protocol este acela de încărcare de fișiere (FTP). Virușii mai pot fi întâlniți și în paginile Web care conțin text și imagini dar și applet-uri Java și controale ActiveX, care pot fi mijloace de infectare.
Clasificarea virușilorExistă mai multe tipuri de viruși:
Virus de bootInfectează boot record-ul unui harddisc sau al unei dischete. Boot record-ul harddisc-urilor se referă la MBR aflat pe prima pistă a harddisc-ului și la sectorul de boot aflat la începutul fiecărei partiții conținând codul necesar lansării sistemului de operare. Orice dischetă formatată are un sector de boot care poate conține codul necesar lansării sistemului de operare, acesta fiind o dischetă bootabilă. Dischetele nebootabile conțin în sectorul de boot doar textul Non-system disk or disk error. Virușii de boot se pot împărți în viruși de MBR și în viruși de sistem. Un virus de boot înlocuiește zona de sistem cu o copie a sa după ce boot record-ul original a fost copiat în alt loc sau a fost pur și simplu suprascris. Există însă și viruși care infectează MBR-ul rezumându-se la a se modifica zece bytes. În momentul în care se se încarcă sistemul de pe o dischetă infectată, virusul se va lansa în execuție. El se va încărca în memorie și va executa codul boot record-ului original și totul va părea normal. Dar el rămâne de cele mai multe ori rezident în memorie și va infecta prima dată boot record-ul harddisc-ului pentru a fi sigur că se va lansa la o nouă încărcare a sistemului. După aceasta, orice accesare a unui harddisc sau a unei dischete va fi interceptată de virus pentru a asigura propagarea sa. Înainte de a infecta, el verifică dacă boot record-ul nu a fost deja infectat, și dacă nu, acesta va fi infectat. Virușii de boot sunt capabili să infecteze un calculator, indiferent de sistemul de operare: sisteme DOS: MS-DOS, Windows 3.x, Windows 9x, cât și sisteme non-DOS: UNIX, Linux, NetWare, Windows NT/2000 dar acestea de obicei nu se vor mai putea lansa. Virușii infectează, în special, MBR-ul harddisc-urilor. Deoarece mărimea MBR-ului este de doar 512 bytes, virușii cu un cod mare își vor ascunde codul în afara MBR-ului existând patru posibilități de infectare. Unii viruși folosesc, pentru a se ascunde, zona dintre primul sector al primei piste (MBR) și primul sector al celei de a doua piste de pe harddisc, această zonă fiind ignorată de sistemele de operare respective, deoarece sectoarele sunt ascunse. Mulți viruși creează sectoare defecte pe disc unde își vor copia propriul cod. O altă posibilitate este ca virușii să își ascundă codul în zona rezervată directorului principal. O soluție ingenioasă este crearea de către virus a unei piste suplimentare pe disc, pistă în care își va copia codul. Întrucât există mai multe tipuri de dischete, numai o serie mică de viruși sunt capabili să infecteze toate aceste dischete. Majoritatea virușilor de boot sunt creați pentru a utiliza dischetele de 1,44 megabytes. Prezența unor asemenea viruși poate fi ușor observată dacă sunt folosite dischete protejate la scriere. De fiecare dată când este citită discheta, virușii vor încerca să scrie pe dischetă și zgomotul produs de unitate va fi mai puternic. Cea mai bună metodă de a preveni infectarea dischetelor este de a folosi protecția acestora dacă se dorește numai citirea lor. De multe ori calculatoarele sunt infectate pentru că sistemul se încarcă folosind o dischetă virusată sau sunt infectate accidental din cauza unei dischete uitate în unitate. Acest lucru poate fi prevenit prin schimbarea opțiunii de încărcare din BIOS Setup astfel încât calculatorul să încerce încărcarea sistemului mai întâi de pe harddisc și apoi de pe dischetă. În cazul dischetelor, dezinfectarea se realizează cu ajutorul unui antivirus sau prin formatare. Dacă harddisc-urile sunt infectate se devirusează cel mai sigur cu un antivirus. Dacă virusul a infectat MBR-ul, se poate folosi și comanda DOS fdisk /mbr care reface MBR-ul, însă dacă virusul mută tabela de partiție în alt loc, comanda fdisk/mbr va șterge virusul, dar sistemul nu va mai putea fi încărcat pentru că tabela de partiții nu poate fi găsită. Calculatorul va afișa mesajul de eroare DOS Invalid drive specification, toate partițiile fiind pierdute. Este necesară repartiționarea harddisc-ului și formatarea sa distrugându-se toate datele. Dacă este infectat sectorul de boot se poate utiliza comanda sys c: executată de pe o dischetă curată, care va transfera sistemul de pe dischetă pe harddisc.
Virus de programInfectează fișierele executabile cu extensia .exe, .com și fișiere overlay care au extensia standard .ovl sau .ovr care se află pe un suport fizic neprotejat la scriere. Odată lansat, un fișier infectat se va executa, și virusul se va propaga găsind noi gazde. Unii viruși care nu sunt de calitate pot infecta și alte fișiere, criteriul fiind existența caracterelor MZ care apar la începutul fișierelor executabile. Virușii de program se inserează în general la sfârșitul fișierului, iar la începutul programului adaugă o instrucțiune de salt spre codul virusului iar acesta conține o instrucțiune de salt la începutul programului original. Un alt tip de infectare este cel al faimosului virus CIH. În fișierele executabile există zone care nu conțin nici un cod, fiind notate cu 0 în format hexazecimal, deci ele nu sunt utilizate. Virusul CIH se distribuie în aceste zone libere care, însumate, trebuie să ofere un spațiu suficient pentru virus, în cazul nostru 1024 bytes. Astfel dimensiunea fișierului nu crește ca în primul caz. Virusul CIH face parte din noua generație de viruși de program concepuți pentru mediul Windows (Windows '95 și Windows '98), primul astfel de virus fiind Bizatch, apărut în ianuarie 1996. Dar există și viruși care pur și simplu suprascriu fișierul executabil care este distrus și există (culmea!) posibilitatea ca dimensiunea fișierului să rămână aceeași. Aceștia sunt numiți viruși de suprascriere sau overwrite, care însă sunt foarte rapid observați de utilizator deoarece programele nu se vor mai executa. Majoritatea virușilor marchează întru-un fel fișierul infectat pentru a nu crește dimensiunea programelor și a fi mai greu de detectat. În majoritatea cazurilor virușii caută în fișier o secvență din codul lor, dar sunt și cazuri în care este schimbată data modificării fișierului cu o anumită valoare. Sunt și viruși care nu testează dacă fișierul a fost deja infectat și îl infectează în continuare, fiind posibil ca fișierul să atingă dimensiuni foarte mari dacă este accesat periodic. Clasa virușilor de program se împarte în viruși rezidenți și viruși nerezidenți în memorie. Virușii rezidenți sunt virușii care o dată lansați în execuție vor rămâne tot timpul în memorie și vor infecta orice program care va fi executat, iar cu cât utilizatorul va executa mai multe programe cu atât mai mult virusul se va răspândi. Cei mai mulți viruși se autodetectează în memorie pentru a nu exista mai multe copii active în același timp. Dar sunt și viruși care nu fac acest lucru, astfel reducându-se mult memoria liberă și odată cu ea viteza calculatorului, ajungându-se la imposibilitatea de a mai rula programe, fapt ce va fi sesizat imediat de utilizator. Virușii nerezidenți se vor executa și vor încerca să infecteze alte fișiere aflate de obicei în directorul curent și în directoarele la care face referință variabila de mediu Path, după care se vor șterge din memorie, fiind nedetectabili iar viteza de operare a calculatorului nefiind afectată. Acest tip de viruși mai sunt numiți și viruși Direct Action. O categorie de viruși sunt cei de tip bombă logică. Acești viruși se vor multiplica până când o condiție va fi satisfăcută și în acel moment se va declanșa "bomba". Condițiile puse sunt variabile. Des folosite sunt cele de dată și oră. Alți viruși se declanșează dacă au infectat de un anumit număr de ori, cum este cazul renumitului virus One Half care acționează dacă s-au criptat jumătate din fișierele aflate pe disc. Unii viruși chiar chestionează utilizatorii și în caz de răspuns greșit este pornit procesul de distrugere. Dar efectele pot varia de la mesaje și desene amuzante până la pierderea unor date importante și culminând cu distrugerea hardisc-urilor și a calculatorului căruia i-a fost șters BIOS-ul. Împotriva acestor viruși cea mai bună metodă este scanarea cu un antivirus performant al oricărui fișier copiat pe harddisc.
Virus multipartitEste un hibrid între cel puțin alte două tipuri de viruși. Acești viruși pot infecta mai multe medii: fișiere executabile, MBR-ul, sectorul de boot, tabele de alocare a fișierelor, directoare, asigurându-le șanse de supraviețuire mai mari. Cei mai întâlniți sunt virușii de boot și program cum este cazul virusului Kaczor. Chiar dacă va fi eliminat din fișierele executabile, el va continua să infecteze până când va fi devirusat și MBR-ul.
Virus însoțitorSpeculează o anumită caracteristică a sistemului DOS prin care, dacă două programe, unul având extensia .exe și celălalt extensia .com, au același nume, atunci se execută mai întâi fișierul .com. Deci acești viruși se aplică doar la fișierele executabile cu extensia .exe creând un fișier cu extensia .com care conține virusul. El se lansează în execuție doar în momentul în care este executat un fișier fără a i se preciza extensia. Fiind dată comanda de lansare, se va executa fișierul cu extensia .com și apoi se va executa fișierul cu extensia .exe, totul derulându-se normal. Dezinfecția unui asemena virus este simplă: se încarcă sistemul de pe o dischetă curată după care se șterg fișierele .com care au același nume cu fișierele .exe. De cele mai multe ori fișierele ce conțin virusul sunt ascunse, necesitând modificarea atributelor acestora.
RetrovirusAcest tip de viruși acționează împotriva antivirușilor. Ei pot căuta un antivirus pe harddisc și îl pot șterge. Un virus activ poate identifica lansarea în execuție a unui antivirus. Ca răspuns, el nu permite lansarea antivirusului sau chiar blocheză calculatorul și utilizatorul crede că antivirusul a produs crash-ul. Alți viruși încearcă să limiteze capacitatea de detecție a antivirușilor prin modificarea antivirusului, a unor fișiere ale acestuia. Antivirusul se va comporta normal dar numărul virușilor recunoscuți va fi foarte mic sau chiar zero. Virușii pot afecta în principal bazele de date despre viruși și fișierele de control. Virusul Zarma este capabil să dezactiveze antivirușii VSafe, VDefend și Vwatch. Virusul Peach atacă antivirusul Central Point prin ștergerea fișierului cu semnăturile virușilor. Neverificând existența fișierului cu amprente, antivirusul se execută fără probleme, însă nu va recunoaște nici un virus. Virusul GoldBug șterge toate fișierele Chklist conținute în director, ocolind astfel protecția sumei de control a antivirușilor Central Point (CPAV) și Microsoft (MSAV). Există și viruși care șterg fișierele sumă de control ale antivirusului TBAV - ThunderByte AntiVirus. Un astfel de virus poate în cazul renumitului antivirus AVP - AntiViral Toolkit Pro să modifice fișierul avp.set care conține numele bazelor de date cu semnături. Pentru a rula corect, este necesară prezența doar a numelui kernel.avp, iar antivirusul va recunoaște aproximativ 200 de viruși din totalul de peste 30000.
Virus de legăturăEste un tip de virus deosebit deoarece el nu modifică conținutul fișierelor infectate ci modifică structura directorului, mai exact intrările din tabela director corespunzătoare fișierelor executabile. Virușii leagă primul pointer de cluster al intrării de director corespunzătoare fișierelor executabile, de un alt cluster unde se găsește corpul virusului. Lansat în execuție virusul va încărca fișierul executabil citind valoarea cluster-ului de start al fișierului care este stocată în alt loc. Din această categorie pot fi amintiți virușii: Dir II.Byway și DIR II. Acesta poate fi eliminat prin redenumirea tuturor executabilelor în fișiere cu extensii non-executabile cât timp virusul este activ iar după dezinfectare extensiile fișierelor trebuie reschimbate cum au fost inițial. În funcție de locul de rezidență virușii prezentați mai sus se clasifică în viruși rezidenți în: blocul de control al memoriei (MCB), buffer-e DOS, memoria Low, High, extinsă, expandată video și în tabela de întreruperi. O altă clasificare poate fi făcută după modul de infectare. Virușii infectează folosind comenzi DOS FindFirst și FindNext sau interceptând comenzi DOS ce accesează discul: FindFirst, FindNext, deschidere de fișier, închidere de fișier, citire de fișier. Un criteriu în clasificarea virușilor este modul de răspândire. Virușii pot fi considerați infectori rapizi sau infectori latenți. De cele mai multe ori infectorii rapizi produc o adevărată epidemie care conduce la diminuarea performanțelor calculatorului, și deci alarmarea utilizatorului. Virușii pot fi clasificați și după dimensiunea lor. Majoritatea virușilor au o dimensiune cuprinsă între 1500 și 3000 de bytes dar există și microviruși care pot avea o dimensiune de minim 22 bytes cum este cazul virușilor: Trivial - 22 bytes, 84 - 84 bytes, Tiny DI - 94 bytes, AT - 108 bytes, Smallv - 115, Anto - 129 bytes, Tiny - 133 bytes, Toby și STSV - 200 bytes. Caracterstica acestor viruși este că ei doar se răspândesc, dar de obicei suprascriu fișierele infectate. Există și viruși cu dimensiuni cuprinse între 3000 și 5000 bytes, din acestă categorie făcând parte viruși foarte periculoși cum sunt: Bizatch - 3192 bytes, One Half - 3544 bytes, Die_Hard - 4000 bytes, Frodo - 4000, bytes AntiCAD - 4096 bytes, Bomber - 4096 bytes, Kaczor - 4444 bytes, Neuroquila - 4644-4675 bytes. Virușii cu dimensiune mai mare sunt în general viruși creați în limbaje de nivel înalt: C, Pascal, Basic: Animus - 7392 bytes, Wonder - 7424 bytes, Pascal 7808 - 7808 bytes, Worm 16580 - 16580 bytes, Ehhehe - 31107 bytes. Foarte mulți viruși produc diferite efecte sonore și video, uneori distractive, dar și înspăimântătoare (de exemplu, format...,). Efectele sonore pornesc de la un singur beep și ajung la râsete sau chiar la melodii (de exemplu, Yankee Doodle). Efectele video ale virușilor sunt foarte variate, de la simplu text afișat, la diferite desene, până la efecte deosebite. În general textele din interiorul virusului sau cele afișate, conțin numele virusului și/sau pseudonimul autorului virusului și un mesaj care precizează infectarea calculatorului.
Virus de macroAcest tip de virus este în prezent cel mai răspândit. Procesoarele de text ca și alte tipuri de programe au evoluat foarte mult, ajungându-se la implementarea unui "limbaj" care să fie folosit la automatizarea unor task-uri complexe sau repetitive în interiorul documentelor. Astfel de limbaje macro se întâlnesc la procesoarele de text Ami Pro, WordPerfect și la pachetul Microsoft Office. Virușii de macro sunt virușii scriși în limbajul macro al unui program. Ei utilizează limbaje puternice care le permit să modifice (infecteze) și să creeze noi documente conținând viruși de macro. Acești viruși sunt întâlniți cel mai frecvent în Word și în Excel. Macro-urile conțin instrucțiuni în WordBasic (în Word 5.0 și Word 6.0) sau VisualBasic (în Word '97 și Word 2000) ce pot fi utilizate în întreaga suită Office, atât pe platforme PC cât și Mac. Mijloacele de infectare sunt fișierele șablon (template-uri), care pot conține macro-uri. Problema este că orice document se bazează pe un template sistem ale cărui macro-uri vor fi interpretate și executate automat de programul gazdă. De asemenea și documentele pot conține macro-uri care să se autoexecute. În cazul aplicației Word, o dată deschis un document infectat, virusul se va autolansa și va infecta șablonul global Normal.dot sau va crea un fișier în directorul Startup care va fi executat la toate sesiunile de lucru. La crearea sau la deschiderea unui document, virusul activat va insera în document propriul său macro folosindu-se de macro-urile Auto și astfel el își asigură propagarea. Virușii de macro se răspândesc cu rapiditate deoarece schimburile de documente sunt mult mai frecvente decât schimburile de programe executabile. Word '97 permite dezactivarea autoexecuției macro-urilor, astfel virușii devenind inofensivi. Dar acestă opțiune poate fi dezactivată chiar de un macro. Mulți viruși creați în Word 6.0 supraviețuiesc și în Word '97, fiind convertiți automat în comenzi VisualBasic, însă nu și invers. Primul virus macro de Word a apărut în 1995 și se numește Concept dar nu produce daune. În Excel, ca și în Word, există macro-uri Auto, care se autoexecută la lansarea mediului. Virușii Excel se autosalvează în directorul de start al aplicației Excel, XLStart, în fișierul Personal.xls, iar la următoarea sesiune de lucru ei se vor activa automat. Se cunosc viruși de macro care pot distruge toate informațiile de pe harddisc. Ei pot insera comenzi DOS cu parametri redirecționați în fișierele de start Autoexec.bat și Config.sys. Există viruși care pot asambla fișiere executabile. Un astfel de virus asamblează cu ajutorul comenzii Debug un fișier .com care poate distruge datele de pe disc. Virușii de macro devin din ce în ce mai periculoși, acest lucru fiind facilitat și de puternicul limbaj VisualBasic. Un virus de macro poate accesa orice aplicație Office. Cel mai cunoscut virus de acest tip este Melissa pentru că este primul exemplu de succes al unui virus care se răspândește activ prin Internet. El se transmite primelor 50 de adrese de mail, pe care le găsește în agenda Outlook. Primul și cel mai răspândit virus de Excel este Laroux dar ca și virusul de Word Concept nu are efecte dăunătoare. Nici aplicațiile Access și PowerPoint nu au rămas imune la viruși. Primul virus Access se numește AccessiV și se multiplică doar în versiunea Access '97 în limba engleză.
Tehnici evazivePentru a nu fi detectați de antiviruși, creatorii de viruși au dezvoltat mai multe tehnici complexe cu care au dotat virușii.
StealthAceasta este o tehnică utilizată de virușii rezidenți. După cum le spune și numele acești viruși încearcă să se ascundă pentru a nu fi detectați. În momentul în care va fi accesat un fișier, virusul va raporta dimensiunea originală. El interceptează vectorii de întrerupere utilizați în citirea datelor de pe disc și îi modifică, astfel oferind informații false oricărui program care citește fișiere infectate. O serie de viruși, înainte de accesul la fișierul infectat, se vor autoextrage iar fișierul va fi unul nevirusat. Dar la închiderea fișierului virusul va reinfecta fișierul, astfel virusul nu va fi detectat de scanner-ele antivirușilor. Această tehnică este utilizată și de virușii de boot care nu vor fi detectați în boot records când ei sunt rezidenți în memorie. În concluzie, un virus stealth poate falsifica orice citire a discului. Folosind un mod de ascundere ingenios, unii viruși interceptează orice încărcare de program și, dacă găsesc în memorie caractere 'A', 'V' sau 'AV', ei eliberează memoria pentru a nu fi detectați de scanner-ele de memorie ale antivirușilor. Același lucru se poate spune și la infectarea fișierelor. Virușii verifică mai întâi dacă fișierele executabile nu sunt ale unor antiviruși și numai apoi infectează. Este și cazul virusului WereWolf care evită infectarea fișierelor: CLEAN - McAfee CLEAN, AVP - Antiviral Toolkit Pro, TB - ThunderByte Antivirus, QB - Qbasic, SCAN - McAfee SCAN, NAV - Norton Antivirus, V- orice fișier care începe cu 'V', FINDV - S&S Findvirus, GUARD - S&S VirusGuard, FV - S&S Findvirus, CHKDS - Chkdsk-ul DOS, F-PR - F-Prot, -D- AVP TSR. Se întâlnesc și viruși care nu permit lansarea unor programe antivirus afișând diferite mesaje de eroare. Primul virus stealth a fost virusul Brain apărut în ianuarie 1986 provenind din Pakistan și aproape toate variantele sale nu sunt dăunătoare.
TunnelingEste o tehnică specială utilizată de viruși pentru a nu fi descoperiți de către antiviruși, mai ales cei de tip shield. Antivirușii rezidenți interceptează permanent operațiile de accesare a fișierelor, verificând dacă acestea conțin viruși. Utilizând tehnica de tunneling, virușii se folosesc de o tratare hardware specială, suportată de familia de procesoare x86, pentru a afla adresa efectivă a diverselor servicii sistem DOS și BIOS. În acest mod virușii folosesc serviciile sistem fără ca antivirusul să observe acest lucru.
AutocriptareCaracteristica principală a virușilor este cea de răspândire. Antivirușii detectează infecțiile prin căutarea unei amprente specifice fiecărui virus. Virușii infectează fișierele inserând propriul cod în fișierele infectate care este același în fiecare fișier virusat. Dar pentru a nu fi descoperiți, ei se autocriptează, iar unii își chiar modifică codul la infectare. Astfel, virusul nu va mai putea fi recunoscut după o anumită amprentă. Mulți viruși își criptează codul utilizând un algoritm simplu, cel mai simplu fiind cu operatorul XOR. Algoritmul de criptare poate avea și o cheie care de cele mai multe ori este ora și data ceasului intern. Acesta face ca un singur virus să poată avea mai multe forme, exceptând rutina de decriptare care este aceeași, care poate fi folosită de antiviruși pentru recunoaștere. Pentru a împiedica acest lucru, creatorii de viruși încearcă să minimizeze codul virusului. Aceasta se bazează pe faptul că amprentele nu pot conține un cod foarte scurt din virus, deoarece posibilitatea întâlnirii unor asemenea coduri este ridicată, antivirușii cauzând alarme false.
Polimorfism Este o tehnică mai avansată decât autocriptarea. Față de autocriptare virușii polimorfici își modifică și rutina de decriptare. Astfel, un virus va avea un număr foarte mare de forme, cel puțin 255. Mai mult, aceștia pot adăuga aleator secvențe de cod, fără nici o importanță, de ordinul a câtorva bytes, numite trash. Prin utilizarea acestor secvențe de cod se modifică și dimensiunea virusului, același virus având mai multe dimensiuni. Antivirușii vor detecta foarte greu acest tip de viruși care sunt complet criptați și având dimensiuni variabile. Creatorul de viruși bulgar, Dark Avenger, a creat în anul 1991 un motor de mutații numit MtE. MtE poate fi încorporat în orice virus, virusul devenid polimorfic. Motorul de mutații a fost distribuit în underground-ul Internet-ului ca un fișier obiect care era adăugat oricărui virus, nou sau vechi. Algoritmul de criptare, utilizat, de MtE, este unul foarte dezvoltat încât un singur byte comun întâlnindu-se în toate criptările MtE. Instrucțiunea comună este JNZ (Jump if Not Zero), care poate fi întâlnită oriunde este posibil în program. MtE folosește mulți și diferiți algoritmi de criptare și adaugă aleator doi bytes la rutina de decriptare. Dar MtE nu este unicul motor de criptare. Există foarte multe asemenea motoare mutagene dintre care pot fi amintite: DSME - Dark Slayer Mutation Engine, TPE - TridenT Polymorphic Engine scris în 1992 de Masud Khafir, DSCE - Dark Slayer Confusion Engine care este o versiune rescrisă a lui DSME, DAME - Dark Angel's Multiple Encryptor, MutaGen creat de MnemoniX.
Efectele virușilorPrezența unui virus poate fi descoperită în urma mai multor simptome:
Pe plan internațional se observă o prezență tot mai rară a virușilor de boot și de program, datorată utilizării din ce în ce mai puțin a dischetelor și creșterii interconectivității calculatoarelor prin utilizarea tot mai accentuată a rețelelor, mai ales a Internet-ului. O dată cu trecerea la noile platforme Windows, în special Windows '95 și Windows '98, virușii s-au specializat pe aceste platforme, locul virușilor DOS fiind luat de virușii ce infectează aplicațiile Windows. Pe măsură ce virușii de boot și de program sunt tot mai rar întâlniți, au apărut virușii de macro, virușii de Windows și viermii ce se propagă prin Internet, care vor domina noua lume virală.
Flaviu Cibu și Adrian Bugariu sunt elevi în clasa a XII-a la Liceul Teoretic "Octavian Goga" din Sibiu și pot fi contactați la adresele flaviu@zxmail.com, respectiv adrianbugariu@crosswinds.net. [cuprins] |