home
***
CD-ROM
|
disk
|
FTP
|
other
***
search
/
Chip 1996 April
/
CHIP 1996 aprilis (CD06).zip
/
CHIP_CD06.ISO
/
hypertxt.arj
/
92
/
MTESCAN.CD
< prev
next >
Wrap
Text File
|
1995-09-14
|
5KB
|
79 lines
@VA Mutation Engine vallatása@N
Korábbi írásunkban bemutattuk a Mutation Engine
vírusgyártó programot, amely nagy pánikot okozott a
felhasználók és az antivírus szakemberek körében.
A vírusgyártó automata és a Dark Avenger szerzôje által
elkészített, vírusokba linkelhetô kód-önmódosító rutin
önvizsgálatra késztette a vírusokkal foglalkozó
szakembereket. Vesselin Boncsev, a Bulgáriából a hamburgi
Virus Test Centerbe átigazolt szakember véleménye szerint
nem lehet olyan antivírus szakember, aki 100%-os
biztonsággal azt állíthatja, meg tudja védeni a
felhasználókat a vírusoktól. Ezután a biztonság csak olyan
százalékos értékkel lesz kifejezhetô, amely alulról közelíti
a százat.
A Virus Test Centerben Morton Swimmer foglalkozik már
hosszabb ideje a Mutation Engine -- McAfee jelzete (MtE) --
tesztelésével. A vizsgálatok célja az, hogy az ilyen típusú
programok ellen megbízható detektálási eljárást találjanak.
A Fear vírust használták alapként a tesztekre.
Pontosabban az ezzel végzett fertôzés során keletkezett 9471
fertôzött file-t. Ezeket természetes fertôzéssel, a
fertôzött programok indítgatásával hozták létre. Aki ismeri
a Mutation Engine belinkelhetô rutint, az tudja, hogy az a
vírus, amelybe ezt a rutint befordították, folyamatosan
átkódolja magát, mégpedig úgy, hogy egy véletlenszám
generátor véletlen leállításakor kapott értékkel XOR-olja el
magát. Nos, a Mutation Engine segítségével módosított vírus
a 9471 file közül csak három esetben gyártott azonosat. Az
összes többiben a fertôzés utáni kód eltért a többi fertôzés
utáni kódtól. A 9468 eltérô file azt jelenti, hogy a a
program kódgenerátora igen-igen jó, a szó kriptográfiai
(titkosítástani) értelmében. A teszteket folyamatosan
ismétlik, hogy megtalálják az ilyen típusú kódolás
ellenszerét.
Három, igen elterjedt víruskeresôt is kipróbáltak ezen a
file-tömegen, hogy lássák, milyen mértékben képesek ennek az
igen veszélyes fertôzésnek a kimutatására. A teszben
felhasznált programokat olvasóink is jól ismerik: Fridrik
Skulason F-Prot programjának 2.03a verziója, McAfee SCAN
programjának 89-B bugfix verziója, valamint az Amerikában
közismert, de nálunk még ismeretlen kereskedelmi
programcsomag, a dr. Solomon's féle FindVirus v4.15, 1992.
május 15-i verziója szerepelt a vizsgálatokban. A három
keresôt végigfuttatták a file-okon, és azt vizsgálták, hogy
milyen nagyságrendben ismerték fel az általuk ismertnek
hirdetett Mutation Engine fertôzést.
Legrosszabbul a FindVirus vizsgázott. Egyáltalán nem
vett észre 744 vírusmintát a megfertôzött file-kupacból
(7,9%-os hibaarány)), ami nagyon rossz arány. ùgy tûnik,
hogy Solomon úr vállalkozását fôleg hírneve tartja életben,
meg az, hogy évekkel korábban az USA kormányának szállította
termékeit. Skulason F-Prot 2.03a-ja mindössze 13 fertôzést
nem észlelt, ami 0,14%-os hibaarány. Legjobbnak a SCAN 89-B
bizonyult, amely mindössze 4 vírusmintát nem vett észre (ez
0,04%-os hibaarány!) A SCAN az ellenpróba során mindössze
egy hamis riasztást adott.
Természetesen joggal tehetik fel a felhasználók a
kérdést: a négy fel nem ismert vírusfertôzés milyen
biztonságtechnikai kockázatot jelent. Az lenne igazán
kívánatos, hogy az ismert vírusokat a detektorok 100%-os
biztonsággal megfogják, illetve ahol nincs jelen vírus, ott
ne jelezzenek. Sajnos egyre inkább beigazolódik, hogy ez a
követelmény csak vágyálom, olyan mint egy páncélszekrénytôl
megkívánni, hogy illetéktelenek soha ne tudják kinyitni.
Ugyanakkor már egyetlen nem észlelt fertôzött file újabb
járvány elindítója lehet.
S most nézzük meg ennek matematikai alapjait is. A
Mutation Engine mutációs rutinja 2 a 252-iken eltérô
változatot képes elôállítani 128 byte-os véletlenszám
generátora segítségével. Ennek még 0,04%-a is igen nagy
szám. S ha arra gondolunk, hogy azt a véletlengenerátort
valaki még át is írhatja, akkor a szám szinte
beláthatatlanra duzzad. Nincs az a víruskeresô program,
amely ezt hiba nélkül nyilván tudná tartani, és meg tudná
keresni.
@KKis János@N