home
***
CD-ROM
|
disk
|
FTP
|
other
***
search
/
Chip 1996 April
/
CHIP 1996 aprilis (CD06).zip
/
CHIP_CD06.ISO
/
hypertxt.arj
/
92
/
MTEPRESS.CD
< prev
next >
Wrap
Text File
|
1995-09-14
|
7KB
|
124 lines
@VSegítség! A vírusok élnek!@N
Élhetnek-e önálló létet a számítógépvírusok? Nagyon
sokszor feltettük magunknak ezt a kérdést, látva, hogy egyes
vírusok immár szinte kiirthatatlanná váltak a számítógépes
kultúrákból. Minden a Whale vírussal kezdôdött -- vele
megjelentek azok a vírusok, melyek önmaguk kódját képesek
szinte határtalanul módosítani.
Szinte egyszerre jelentkezett két veszély a mesterséges
intelligencia körében. Érdemes mindkettôrôl kissé bôvebben
szólni, mert hihetetlenül komoly kockázati tényezôt
jelentenek adataink biztonsága szemszögébôl. Az egyik:
megjelentek a vírusíró automaták, amelyekkel szaktudás
nélkül is írhatók vírusok. A másik: megjelentek azok a
polimorf (magukat mindig más és más vírusnak mutató),
valamint saját maguk kódját folyamatosan módosító vírusok,
amelyek kétségessé teszik az ellenük való fellépés sikerét.
""Nem törôdöm többé a vírusok irtásával, inkább az
amerikaiakhoz hasonlóan arra törekszem, hogy jelezzem a
vírusok valószínû jelenlétét, és megakadályozzam a
fertôzést!" -- fakadt ki a közelmúltban Farmosi István,
ismert antivírus szakembereink egyike, amikor az egyik
újabb, ki tudja hányadik Dir2FAT-átiratot prezentáltam neki.
Valóban, merre tart most a vírusháború?
1992. május 11-én Santa Clara-ban John McAfee bemutatta
az elsô @KCLEAN@N verziót, amely valami védelmet tud adni a sok
alakban megjelenô vírusok ellen, mivel ekkor került
kifejlesztésre programrendszerének @KGeneric@N opciója az
önmagukat megváltoztató vírusok ellen. Ugyanakkor ekkor
merült fel egy másik, ennél sokkal súlyosabb probléma:
megjelent a @KMutation Engine@N (mutációs gép), amely egy adott
kódból egy újabbat gyárt. Külföldi és hazai antivírus
szakemberek szívességébôl viszonylag hamar megkaptam az
inkriminált programrendszert.
A programrendszer mindössze 5525 byte-os ARJ file-ban,
MUTATOR.ARJ néven kószál a programmásolás homályos útjain.
Ebbôl kibontás után egy MUTATOR.EXE és egy hozzá tartozó
.DOC file válik szabaddá. Számítógépes anarchistánk ebben a
dokumentációban ajánlja melegen minden szabotôr figyelmébe
remekmûvét, amely remekmû az egyszerû és nagyhatású ötlete
okán.
Az EXE file veszély nélkül elindítható generáló program.
Szükséges hozzá még egy assembly vírus forráskód, vagy más
assembly program. A MUTATOR ezt a kódot veszi kezelésbe és
ebbôl készít egy másik, lefordítható kódot. Az
funkcionálisan teljesen azonos az eredetivel, viszont
binárisan már semmi köze hozzá...
Amikor elindítjuk a programot, akkor egy rövid üzenetben
felszólít, hogy romboljuk le használatával saját cégünket.
Utána bekéri a forrásfile nevét, majd ha ezt megadtuk, a
kimeneti file-t is. Ezután teszi fel kérdéseit:
-- a forráskód hányadik sorától hányadik soráig kívánom
mutáltatni;
-- milyen lépésközzel;
-- hány új sort tegyen be.
A program azt használja ki, hogy az assembly kódban
vannak hatástalan és semleges utasítások. Hatástalan lehet
egy NOP parancs. Ha a fordító lefordítja, akkor ez binárisan
belekerül a kész kódba. Nos, ha én ezt elszórom a
programban, akkor annak bináris kódja más lesz, mint ha az
eredeti forrást lefordítom. De más utasításokkal, például
regisztercserékkel is megtehetem ugyanezt. A végeredmény egy
olyan kód lesz, amely semmiben sem hasonlít az eredetihez.
Vírusirtó program legyen a talpán, amely az így generált
újabb és újabb verziókat követni tudja! S mint minden
technika, nemcsak rossz célra, hanem a vírusíráshoz képest
bocsánatos bûnre is felhasználható. Ha ellopok mondjuk egy
forráskódot assemblyben, azt megmutálom, még saját szerzôje
sem ismeri fel saját programját! Egyelôre ez a rendszer
ismert, de ennél komolyabb technológiával dolgozó
virusfejlesztô készletek jelentek meg a feketepiacon,
amikhez képest a Heti CHIP testvérlapunkban bemutatott MANTA
vírusíró készlet gyermekjáték.
A Mutation Engine-nel párhuzamosan jelent meg egy igen
veszélyes programrutin. Bolgár eresztés, a Dark Avenger
írójának alkotása. Cikkünk illusztrációjában éppen ennek egy
programrutinján mutatjuk be a Mutation Engine hatását.
A Mutate assembly rutinja nemcsak vírushoz, hanem
minimális módosítás után bármely programba beleilleszthetô.
Ennek segítségével megvalósítható az, hogy a program minden
futása során átírja önmagát. Tehát a programkód folyamatosan
él, változik. Miként a természetben, itt is megindulhat az a
folyamat, amit biológiai -- pontosabban számítógépes --
értelemben vett életnek nevezhetünk. Létrejöttek
segítségükkel az alakjukat folyamatosan változtató
programok. Ezek detektálására a standard byte-minta keresô
technológia teljesen hasztalan, miként irtásuk is egészen
más eljárásokat igényel. Itt nem lehet byte-mintákat venni,
mert nincsen benne semmi állandó" -- ezekkel az elkeserítô
szavakkal vázolta fel Igor Grebert, McAfee
vírusprogram-visszafejtó csapatának vezetôje a
vírusdetektálás és -irtás esélyeit. ""A Mutation Engine
minden olyan sajátossággal rendelkezik, ami megfoghatatlanná
teszi a víruskódot, s ha azt az önmaga megváltoztatásával
kombinálják, az már szinte tökéletes!"
Hogy az élet ne legyen ilyen egyszerû, más kellemetlen
meglepetésekkel is kedveskedtek ebben az esztendôben a
vírusírók az adatbiztonsággal foglalkozó szakembereknek.
Viszonylag korán megjelentek az alakváltó vírusok. Az már
kisded vicc csupán, hogy ugyanaz a vírus más vírusnak is
álcázhatja magát. Erre példa a magyar Androméda sorozat
legidôsebb tagja. Ez nem csinál semmit, csak szaporodik. Ha
a memóriában van, és elindítunk egy víruskeresô programot,
akkor az úgy látja, hogy merevlemezünk Stoned vírussal
fertôzött. S ha ""leirtjuk" ezt, akkor volt egy tele
merevlemezünk... Az igazi polimorf vírusok viszont azok,
amelyek újabb, az eredetitôl eltérô vírusoknak adnak életet.
Ilyen megoldásokat trójai rutinként a számítógépes programok
másolásvédelmébe beépítve sajnos rutinszerûen alkalmaznak.
De vírusban jelenleg a Whale--Eddie--Fish vírusrendszer volt
a csúcs. Ugyanis ha a Whale vírus a Fish vagy az Eddie
vírussal találkozik, akkor átmenetileg ""összeolvad" vele,
majd több feltétel találkozása esetén szétváláskor újabb
halak nevét viselô vírusoknak ad életet. A Whale a
memóriában éppen arról ismerhetô fel, hogy egy adott
memóriacímen halnevek tömegét találhatjuk, ha jelen van.
Jelenleg a Makrela és a Guppi nevû szüleményei élnek önálló
életet, és a Whale mintegy negyven mutánsa ismert.
Rosszak az elkövetkezô évek víruskilátásai, s nem
valószínû, hogy az adatbiztonsággal foglalkozó szakemberek
állás nélkül fognak maradni...
@KKis János@N