Bir virüsün kendini çoğaltabilmesi için virüsün yürütülmeye ve hafızaya yazılmaya izinli olması gerekir. Bundan ötürü birçok virüs kendilerini geçerli programların yürütülebilir dosyalarına tuttururlar. Eğer bir kullanıcı virüs bulaşmış programı başlatmaya kalkarsa, ilk olarak virüsün kodu çalıştırılır. Virüsler yürütüldüklerinde gösterdikleri davranışlara göre iki çeşide ayrılırlar. Yerleşik olmayan virüsler hemen tutunacakları başka konaklar ararlar, bu hedeflere bulaşır ve nihayetinde bulaştıkları programa kontrolü bırakırlar. Yerleşik virüsler yürütülmeye başladıklarında konak aramazlar. Bunun yerine yürütümle birlikte kendilerini hafızaya yükler ve kontrolü konak programa bırakırlar. Bu virüsler arka planda etkin kalarak, virüs bulaşmış program dosyalarına erişen her programın dosyalarına ya da işletim sisteminin kendisine bulaşırlar.
Yerleşik olmayan virüsler [değiştir]
Yerleşik olmayan virüslerin keşfedici modül ile çoğaltıcı modülden oluştukları düşünülebilir. Keşfedici modül virüsün bulaşması için kullanılacak yeni dosyalar aramakla yükümlüdür. Keşfedici modülün karşılaştığı her yürütülebilir dosyaya çoğaltıcı modül çağrılmak suretiyle virüs bulaştırılır.
Basit virüsler için çoğaltıcının görevleri şunlardır:
1. Yeni bir dosya aç
2. Dosyaya önceden virüs bulaştırılıp bulaştırılmadığını kontrol et (eğer bulaştırlımış ise keşfedici modüle geri dön)
3. Virüs kodunu yürütülebilir dosyaya tuttur.
4. Yürütülebilir dosyanın başlangıç noktasını kaydet.
5. Yürütülebilir dosyanın başlangıç noktasını yeni eklenen virus kodunun başlatma alanına yönlendir.
6. Eski başlatma alanını virüs yürütülür yürütülmez o alana yayılacak şekilde virüse kaydet.
7. Yürütülebilir dosyadaki değişiklikleri kaydet.
8. Virüs bulaşmış dosyayı kaydet.
9. Çoğaltıcı modülün virüs bulaştıracaği dosyalar bulabilmesi için keşfedici modüle geri dön .
Yerleşik virüsler [değiştir]
Yerleşik virüsler yerleşik olmayan virüslerdeki örneğine benzer bir çoğaltıcı modül içerirler. Ancak yerleşik virüslerde çoğaltıcı modülü çağıran keşfedici modül bulunmamaktadır. Onun yerine, virüs yürütüldüğü vakit çoğaltıcı modül hafızaya yüklenir ve böylece işletim sistemi belirli tip bir görevi her seferinde uygularken çoğaltıcı modülün de yürütülmesi sağlanır. Örneğin işletim sistemi bir dosyayı her seferinde yürütürken çoğaltıcı modül çağrılabilir. Bu durumda virüs bilgisayarda yürütülmekte olan tüm uygun programlara bulaşabilir.
Yerleşik virüsler, bazen hızlı bulaşıcılar ve yavaş bulaşıcılar olmak üzere alt kategorileri ayrılabilirler. Hızlı bulaşıcılar olabildiğince çok dosyayı infekte etmeye çalışırlar. Örneğin, hızlı bulaşıcı ulaşılan her potansiyel konak dosyasına virüs bulaştırabilir. Bu durum antivirüs programları için özel bir problem oluşturmaktadır, çünkü virüs tarayıcısı sistem genelinde tarama yaptığında sistemdeki tüm potansiyel konak dosyalarına erişecektir. Eğer virüs tarayıcısı sistem hafızasında virüsün bulunduğunu tespit edemez ise virüs, virüs tarayıcısını arkadan takip ederek tarama için erişilen tüm dosyalara bulaşacaktır . Hızlı bulaşıcılar, sisteme yüksek hızda yayılmalarına bel bağlarlar. Bu metodun sakıncası virüsün birçok dosyaya bulaşması ve kendisinin tespitini bir anlamda kolaylaştırmasıdır. Çünkü sistem hafızasını işgal eden virüsler giderek makineyi yavaşlatacak ve şüphe uyandıran eylemler gerçekleştirerek antiviruüs yazılımları tarafından fark edileleceklerdir. Yavaş bulaşıcılar ise konak dosyalarını nadiren infekte edecek şekilde tasarlanmışlardır. Örneğin, bazı yavaş bulaşıcılar sadece kendilerini kopyaladıklarında dosyalara tutunurlar. Yavaş bulaşıcılar aktivitelerini sınırlayarak tespit edilmekten sakınmaya çalışırlar. Bilgisayarı fark edilebilir şekilde yavaşlatmaları olası değildir ve şüphe uyandıran davranışları tespit eden antivirüs yazılımlarını tetiklememek için ellerinden geleni ardlarına koymazlar. Yavaş bulaşma ile tüm sisteme yayılma yaklaşımı bu tür viruslerin amaçlarına ulaşmalarına imkân vermemiştir.
Tespitten korunma yöntemleri [değiştir]
Kullanıcılar tarafından tespit edilmeyi güçleştirmek adına virüsler bazı aldatmacalar kullanmaktadır. Özellikle MS-DOS platformundaki bazı eski virüsler, konak dosyaya bulaşıp içeriği değiştirmelerine rağmen, son değiştirme tarihinin özellikle değişmeden kalmasını sağlarlar.
Ancak bu yaklaşım ile antivirüs yazılımlarını aldatamazlar.
Bazı virüsler, ulaştıkları dosyaların büyüklüklerini değiştirmeden ve dosyaya zarar vermeden bulaşırlar. Bunu yürütülebilir dosyadaki kullanılmayan alanların üzerine yazarak gerçekleştirirler. Bu türden virüsler boşluk virüsleri olarak adlandırılırlar . Örneğin bir zamanlar büyük tahribata neden olmuş Chernobyl virüsü taşınabilir yürütülebilir dosyaları etkiler çünkü bu tür dosyalarda çok sayıda boşluk bulunmaktadır. 1 KB boyutundaki virüs, dosyalara bulaştığında dosya büyüklükleri değişmeyecektir.
Bir kısım virüsler antivirüs programları kendilerini tespit etmeden evvel bazı antivirüs program görevlerini sonlandırarak tespiti engellemeye çalışırlar.
Bilgisayarlar ve işletim sistemleri gelişip karmaşıklaştıkca eski tip saklanma yöntemlerinin güncellenmeleri ya da yenileriyle değiştirilmeleri gerektiği açıktır.
Olta dosyalarından ve diğer istenmeyen konaklardan sakınma [değiştir]
Bir virüs yayılıma devam edebilmek için mutlaka bir konağa tutunmalıdır. Bazı durumlarda konak programına bulaşmak iyi bir fikir değildir. Örneğin bazı antivirüs programları bütünlük kontrolu yaparak kendi kodlarını incelerler. Dolayısıyla bu türden programlara tutunmak virüsün açığa çıkmasına neden olacaktır. Bundan ötürü bazı virüsler, antivirüs programlarının parçaları oldukları bilinen bir kısım programlara tutunmayacak şekilde tasarlanırlar . Virüslerin sakındıkları bir başka konak türü ise olta (bait) dosyalarıdır. Olta dosyaları, antivirüs programaları ya da antivirüs uzmanları tarafından virüsün bulaşmasına yönelik özel olarak hazırlanan dosyalardır. Bu dosyaların hepsi de virüsleri tespit etmeye yönelik olup çeşitli amaçlar için üretilmektedirler;
Antivirüs uzmanları olta dosyalarını virüs numunesi elde etmek için kullanırlar. Bir virüsü küçük olta dosyalarında saklamak ve incelemek, sistemdeki büyük programların dosyalarına bulaşmış virüsü incelemeye göre daha pratik olduğundan uzmanlar olta dosyalarını kullanırlar.
Antivirüs uzmanları olta dosyalarını virüs davranışlarını incelemekte ve olası tespit yöntemlerini değerlendirmekte kullanırlar. Bu , özellikle virüsün çok şekilli olduğu durumlarda çok işe yaramaktadır. Bu durumda virüsün hazırlanan çok sayıda olta dosyasına bulaşması amaçlanır. Virüs bulaşmış tüm olta dosyaları, bir virüs tarayıcısının tüm virüs versiyonlarını tespit edip edemediğini değerlendirmede kullanılabilir.
Bazı antivirüs yazılımları da düzenli erişilen olta dosyalarını kullanmaktadır. Bu olta dosyalarında değişiklik olduğunda antivirüs yazılımı kullanıcıyı, sistemde etkin bir virüs bulunabileceği konusunda uyarır.
Olta dosyaları, virüsleri tespit etmekte ya da tespit etmeyi kolaylaştırmakta kullanıldıklarından , bir virüs bu türden dosyalara bulaşmayarak kendine fayda sağlayabilir. Virüs bunu anlamsız komutlar içeren küçük program dosyaları gibi, şüpheli görünen programlardan uzak durarak gerçekleştirir.
Virüsler için oltalanmadan sakınmanın bir diğer yolu da seyrek bulaşmadır. Bazen seyrek bulaştırıcılar , diğer şartlar altında tutunmaya uygun bir aday olabilecek konak dosyasına tutunmazlar. Örneğin bir virüs herhangi bir konak dosyasına bulaşıp bulaşmamaya rastgele bir şekilde karar verebilir ya da konak dosyalarına haftanın belirli günlerinde bulaşmayı tercih edebilir.
Kaçaklık
Bazı virüsler, antivirüslerin işletim sistemine aktardığı bazı istekleri durdurarak antivirüs yazılımını kandırmaya çalışırlar. Bir virüs, antivirüs yazılımının işletim sistemine ilettiği dosyayı okuma isteğinin doğru hedefe ulaşmasını engelleyebilir ve hatta isteği kendine yönlendirmek suretiyle antivirüsten saklanmayı başarabilir. Virüs, daha sonra aynı dosyanın temiz bir versiyonunu antivirüse sunarak dosyanın temiz gibiymiş görünmesini sağlar. Modern antivirüs yazılımları virüslerin bu türden gizlenme tekniklerine karşı koymaya çalışmaktadır. Kaçaklığı engellemenin tek yolu sistemi temiz olduğu bilinen bir ortamdan önyüklemektir.
Şekil değiştirmeler
Hiç yorum yok:
Yorum Gönder