Bu yazýmda antivirüs programlarýnýn virüs & trojan vs...’ larý nasýl yakaladýðýndan bahsetmek istiyorum. Buna neden de bazý site ve forumlarda insanlarýn baþkalarýna yanlýþ bilgiler vermeleridir. Genellikle bu konu hakkýndaki yanlýþ bilgiler de en çok "Hangi AV (Anti Virüs Programý) en iyisi?" tarzýndaki forum baþlýklarýnda dolaþýyor.
Bazý kimseler diyor ki þu AV daha iyi. Bak bu þu þu virüsü-trojaný hemen yakaladý diðer AV yakalayamýyor. Aslýnda burada pek de yanlýþ bir durum yok gibi görünse de, en iyisi AV’lerin virüsleri nasýl yakaladýðýný öðrendikten sonra yorum yapmak. Yoksa aðzý olan konuþuyor gibi bir durum çýkýyor ortaya.
Peki AV’ler Virüsleri Nasýl Yakalýyor?
Þimdi öncelikle hiçbir AV sizin yeni yazmýþ olduðunuz bir virüsü, trojaný vs... yakalayamaz (tespit edemez). Çünkü AV’ler bir programýn ne yaptýðýna, yapýsýna bakarak onun virüs olduðuna karar vermez (ascii formatýnda kodlanan bazý zararlý scriptler dýþýnda)! Peki nasýl tanýrlar? Öncelikle bir AV firmasý þüpheli dosya hakkýnda en az iki rapor almalýdýr. Daha sonra ise bu dosyanýn analizi yapýlýr ve bir virüs & trojan vs... olduðuna karar verilince, dosyadan hex imza alýnýr ve virüs veritabanlarýna iþlenir. AV progra****z da tarama sýrasýnda makinanýzdaki programlarda bu veritabanýna iþlenen hex imzayý arar ve eþitlik saðlandýðýnda dosyanýn infecte bir dosya olduðuna karar verilir.
Yani program ister bilgisayara zarar veren bir virüs olsun, ister bilgisayarýnýzda arka kapýlar (backdoor) açarak dýþarýya veri sýzdýran bir trojan & worm olsun, bunlar bir Av firmasýna rapor edilip, firma tarafýndan analiz edilip veritabanlarýna dahil edilene kadar asla bir AV tarafýndan tanýnamaz. Fakat yukarýda da bahsettiðim gibi bazý zararlý scriptler ascii formatýnda (düz yazý - derlenmemiþ) olduðundan AV bu dosyaya bakarak bazý belli rutinlere göre dosyanýn þüpheli bir dosya olduðuna karar verebilir.
Bunun doðruluðuna inanmak için bilgisayara format atan bir program yazýn ya da trojan serverý tarzý makinada port açan (sayýsý önemli deðil; ister 1 olsun ister100 olsun) ve dinlenen komutlara göre dýþarýya bilgi sýzdýran & makinada zararlý komutlar iþleten bir program yazýn. Bu programý herhangi bir AV’ye tarattýðýnýzda göreceksiniz ki AV bu programý bir virüs vs... olarak tanýyamayacaktýr.
Hadi þimdi biz de bir virüsden hex imza alalým
Ben örnek olarak Lorez virüsünden bir hex imza aldým:
58 FF E0 8B 85 57 17 40 00
50 B9 78 56 34 12 FF 95 E6
16 40 00 89 85 53 17 40 00
83 F8 FF 75 01 C3 6A 20 8B
Þimdi örneðin C’de bir program yazdýðýmýzý varsayalým ve Lorez virüsünden aldýðýmýz bu hex imzayý da programda kullandýðýmýzý düþünelim. Yine örnek vermek gerekirse BYTE tipinde bir diziye kodumuzu yerleþtirelim:
BYTE lorez_virusu_imzasi[] = {0x58,0xFF,0xE0,0x8B,0x85,0x57,0x17,0x40,0x00,
0x50,0xB9,0x78,0x56,0x34,0x12,0xFF,0x95,0xE6,
0x16,0x40,0x00,0x89,0x85,0x53,0x17,0x40,0x00,
0x83,0xF8,0xFF,0x75,0x01,0xC3,0x6A,0x20,0x8B};
Bu kodu yazdýðýnýz bir programa dahil edip windows altýnda derleyip only.exe diye bir dosya oluþturduðunuzu varsayalým. Büyük ihtimalle AV progra****z only.exe dosyasýna Win95.Lorez (ya da kendi veritabanlarýna nasýl bir isimle kaydetmiþlerse) virüsü bulaþmýþ diye bir uyarý verecektir. Ama siz bunun zararsýz bir kod olduðunu anlamýþsýnýzdýr sanýrým :-))
Ýþte AV yazýlýmlarý da ayný bu þekilde kendilerine rapor edilen dosyalarý incelerler ve hex imza veritabanlar oluþtururlar. Daha sonra da tarama iþlemlerinde dosyalarda bu veritabanýndaki imzalarý ararlar ve dosyanýn infecte olup olmadýðýna karar vererek disinfecte, silme, karantina vs iþlemleri gerçekleþtirirler.
Þimdi genel olarak bir AV’nin nasýl çalýþtýðýný öðrenmiþ olduk. Peki hangi AV’nin daha iyi olduðuna nasýl karar vereceðiz? Aslýnda her AV bu kýsýmda ayný iþlemleri yaptýðýndan fark burda yok aslýnda. Genel olarak AV’lerde sistemi aþýrý yavaþlatmamasý (Norton yüklü makinanýn sürünmesi gibi) ve e-posta denetleme vs gibi ek özellikler ve en az sistem harcayarak en çok fonksiyonu en iyi þekilde baþaran bir AV’yi iyi olarak nitelemek mümkün.
Ek olarak kendimce iyi bir AV’ye örnek vermem gerekirse Kaspersky AV’yi rahatlýkla söyleyebilirim. Bu yazýlýmýn diðer AV’lere göre bir artýsý daha var ki; o da bu virüslerden vs... alýnýp veritabanýna iþlenen hex imzalara ek olarak, dosyayý birçok exe packer ile ayrý ayrý packlenmiþ hallerinden de hex imza alarak veritabanýna iþlemeleri. Böylece örneðin tanýnan bir trojaný (eðer packlenmiþse unpack ederek baþka bir packerla) packleyerek diðer AV’lere karþý tanýnmaz hale getirseniz bile KAV bunu daha önceden kendisi de deneyip vertabanýna eklemiþ olabileceðinden, diðer AV’ler tanýmazken KAV bu infecte dosyayý yine tanýyabilir...