home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #19 / NN_1992_19.iso / spool / comp / virus / 3690 < prev    next >
Encoding:
Internet Message Format  |  1992-09-02  |  1.8 KB
  1. Path: sparky!uunet!olivea!decwrl!elroy.jpl.nasa.gov!usc!wupost!darwin.sura.net!jvnc.net!netnews.upenn.edu!netnews.cc.lehigh.edu!news
  2. From: PHYS169@csc.canterbury.ac.nz (Mark Aitchison, U of Canty; Physics)
  3. Newsgroups: comp.virus
  4. Subject: Re: On integrity checking (PC)
  5. Message-ID: <0013.9209021551.AA11708@barnabas.cert.org>
  6. Date: 31 Aug 92 03:18:19 GMT
  7. Sender: virus-l@lehigh.edu
  8. Lines: 28
  9. Approved: news@netnews.cc.lehigh.edu
  10.  
  11. tck@netlink.cts.com (Kevin Marcus) writes:
  12. > Hey, Vesselin, all that talk about new products and detecting unknown
  13. > viruses...  Blech.  Wouldn't this fool an integrity checker, if the
  14. > virus were installed to a new system...
  15.  
  16. I guess an integrity checker could limit the spread and warn of the
  17. presence, but not stop a virus-infected program being put onto the
  18. system.
  19.  
  20. > Assume a stealth virus, which disinfected on the fly - really flying -
  21. > disinfecting on file opens, reinfecting on a file close, and also on
  22. > findfirst/next calls.  If the virus is unknown to the integrity
  23. > checker, then woulnd't it fake it out if it were in memory at the time
  24. > of the scanning?
  25.  
  26. If the change detector uses standard DOS calls (or even BIOS) then it
  27. stands to get fooled.  But it doesn't have to. As for an integrity
  28. checker doing its thing as part of the program execute sequence, it is
  29. a good idea to use this in conjunction with other anti-viral
  30. precautions, e.g. ones that check whether important BIOS and DOS
  31. vectors have changed. There is still a way a virus can get around
  32. this, but it is difficult, and requires the virus know about the
  33. particular change detector that is running.  And viruses that go to
  34. such an extent will be obvious to other, elementary, change detectors
  35. (e.g. ones that simply look for changes to particular parts of system
  36. memory).
  37.  
  38. Mark Aitchison, University of Canterbury.
  39.