Mikä on onkalovirus?

Onkalovirus on suhteellisen harvinainen virustyyppi, joka kopioi itsensä tiedostoissa käyttämättömiin tiloihin ja leviää siten vaikuttamatta tartuttamansa tiedoston kokoon. Niitä kutsutaan joskus myös "tilan täyteviruksiksi". Monissa tiedostoissa on tyhjiä tiloja, jotka tavallisesti jätetään huomioimatta suoritettaessa tiedostoa, johon ne kuuluvat. Näiden tilojen läsnäolo ei ole ongelma – elleivät ne tietenkään ole viruksen saastuttamia.

Koska tiedoston kokoon ei tehdä muutoksia, on mahdotonta tietää, onko tiedostoa muutettu pelkästään tarkistamalla sen ominaisuudet – sen sijaan sinun on verrattava sitä aikaisempaan, tartuttamattomaan versioon varmistaaksesi. Tilatäyteaineita on ollut olemassa vuodesta 1998, ja niitä on suhteellisen vaikea havaita. Windows 95/98 -päivien ympärillä oli useita erittäin onnistuneita virusaaltoja.

Kuinka se toimii?

Saastuttaakseen tiedostoja tilantäytön on ensin löydettävä tiedosto, jossa on tyhjää tilaa. Joten sen täytyy etsiä tyhjiä tiloja. Kun se löytää tyhjää tilaa jostain tiedostosta, se kopioi itsensä sisään ja täyttää tilan suurentamatta tiedostoa. Tämä vaikeuttaa virustentorjuntaohjelmien havaitsemista.

Niin kauan kuin virus löytää tarpeeksi suuria tiloja kopioidakseen itsensä, se jatkaa niin – jos se ei löydä mistään tai se on jo tartuttanut kaikki mahdolliset vaihtoehdot, se voi olla käyttämättömänä, kunnes se laukeaa, tai yksinkertaisesti jatkaa skannausta kunnes uusi tiedosto siihen sopiva näyttää. Sellaisenaan se kuluttaa prosessointitehoa taustalla, mikä voi hidastaa muita asioita.

Tämä tekniikka perustuu primitiivisiin virustentorjuntatekniikoihin, jotka etsivät lähes yksinomaan tunnettujen virusten allekirjoituksia. Saastuttamalla olemassa oleva tiedosto, tuloksena oleva tartunnan saanut allekirjoitus on ainutlaatuinen tiedoston ja viruksen yhdistelmälle.

Todellinen esimerkki

Vuonna 1998 virus nimeltä CIH osoitti tämän toiminnallisuuden. Se sai lempinimen Tšernobyl, koska sen hyötykuorma oli sattumalta asetettu laukeamaan Tšernobylin katastrofin päivänä yli kymmenen vuotta aikaisemmin. Virus kohdistui erityisesti Portable Execution- tai PE-tiedostojen aukkoihin. Se jakoi koodinsa sopimaan siististi näihin aukkoihin ja lisäsi taulukon tiedoston yläosaan seuratakseen koodin paikkoja, jotta se voisi toimia kunnolla.

Sitten CIH ylikirjoittaisi käynnistyspäivänä ensimmäisen megatavun tallennustilaa nollalla. Tämä yleensä tuhosi osiotaulukon tai pääkäynnistystietueen. Menettäminen saa aikaan siltä, ​​että koko asema on pyyhitty. Tiedot oli kuitenkin palautettavissa. Virus yrittää myös pyyhkiä BIOS-sirun. Tämä onnistui vain joillakin laitteilla, mutta ei toisilla. Laitteissa, joissa on pyyhitty BIOS-siru, joko siru oli ohjelmoitava uudelleen tai vaihdettava. Toinen vaihtoehto oli hankkia uusi tietokone.

Kaikki kertoivat, että CIH-viruksen arvioitiin aiheuttaneen 1 miljardin dollarin vahingot ja saastuneen 60 miljoonaa tietokonetta ympäri maailmaa. Viruksen kirjoitti Chén Yíngháo, opiskelija Tatungin yliopistosta Taiwanista. Chén väitti, että virus oli kirjoitettu haasteeksi virustentorjuntakehittäjien liian rohkeita tehokkuusvaatimuksia vastaan. Sitten luokkatoverit julkaisivat sen, vaikka on epäselvää, oliko tämä tahallista vai vahingossa. Chén pyysi anteeksi yliopistolta ja julkaisi virustorjuntaohjelman CIH:lle. Syytteitä ei koskaan nostettu, koska Taiwanilla ei tuolloin ollut tietokonerikollisuutta koskevaa lainsäädäntöä, eikä kukaan uhri nostanut kanteen.

Ennaltaehkäisy

Ontelo- tai spacefiller-virusten ehkäisy on parasta tehdä minimoimalla altistumisriskisi. Yksi hyvä askel on varmistaa, että kaikki lataamasi tai asentamasi ohjelmat ja tiedostot ovat peräisin virallisesta, luotettavasta lähteestä. Virustorjuntaohjelmilla on perinteisesti ollut vaikeuksia havaita onteloviruksia. Nykyaikaiset virustentorjuntatekniikat ovat kuitenkin paljon edistyneempiä. On edelleen tärkeää pitää virustorjuntasi ajan tasalla ja päivitetty uusimmilla virustunnisteilla, jotta tunnettujen virusten havaitseminen ja poistaminen on helpompaa.

Tämän tyyppistä virusta ei oikeastaan ​​enää nähdä. Virustorjuntatekniikat ovat kehittyneet huomattavasti, mikä helpottaa tämänkaltaisten asioiden havaitsemista. Lisäksi virusten tekijät ovat ottaneet käyttöön entistä luovempia menetelmiä virustorjuntaohjelmistojen välttämiseksi.

Johtopäätös

Cavity virus, joka tunnetaan myös nimellä space filler virus, on eräänlainen haittaohjelma, joka piiloutuu muiden tiedostojen aukkoihin. Tämä tekniikka tekee sen havaitsemisen todella vaikeaksi perustiedoston allekirjoituksen tarkistuksella. Se välttää myös saastuneen tiedoston koon säätämisen, mikä tekee sen havaitsemisesta entistä vaikeampaa. Tunnetuin esimerkki, CIH, käytti tätä tekniikkaa suurella teholla. Se jakoi koodinsa niin moneen aukkoon kuin tarvitsi ja lisäsi taulukon tiedoston yläosaan koodin sijainnin seuraamiseksi. Nykyaikaiset virustorjuntatekniikat pystyvät tunnistamaan tämän tyyppiset virukset, joten niitä ei käytetä yleisesti.