23. marts 2004 - 13:24Der er
3 kommentarer og 1 løsning
Antivirus og varianter af samme virus: Bliver vi snydt?
I øjeblikket er der som bekendt masser af varianter ude, af de samme vira.
MyDoom version A, B, C .... osv.
Jeg har forstået, at 'bogstaveringen' i stedet for at give hver virus sit eget navn skyldes, at der i bund og grund er tale om samme virus, der blot er blevet modificeret i større eller mindre grad (måske ikke at den oprindelige forfatter).
Men hvorfor skal vi så hele tiden opdatere vores anti-virus programmer? Hvorfor kan anti-virus programmerne ikke genkende en ny virus, forudsat at store dele af den, ligner den forrige version af samme virus?
"Jamen, den er jo anderledes" siger min logik mig "så man kan ikke bruge samme 'fingeraftryk' til at genkende både version A og version C af samme virus".
Men så siger min logik mig også, at ENTEN bør store dele af to variationer af samme virus være ENS (og dermed kunne genkendes) ELLER også så er via så forskellige, at de burde have forskellige navne.
Eller sagt på en anden måde: Hvis man kan genkende en virus som værende variation af en anden virus, hvorfor kan anti-virus programmerne ikke det samme? (Jo, jeg ved godt at mennesker kan ting som computere ikke kan).
Tanken slog mig så, om det kan være fordi Antivirus-firmaerne ikke har nogen interesse i at kigge på version A og B af samme virus, og lave en opdatering der sandsynligvis også vil fange variation C og D:
Hver gang der kommer en ny virus, så skal vi opdatere vores anti-virus program. Vi bliver bekræftet i, at vi gjorde ret i, at vælge netop DETTE antivirus program.
Og hvis vi uvidende brugere skal vælge mellem to antivirus programmer, vælger vi så ikke det program der kan prale med at kende 20.000 forskellige vira, frem for det der kun kan kende 5.000 vira ("og variationer heraf")?
Bliver du som bruger mere tryg af, at bruge et antivirus-program der opdateres hver anden dag, frem for et der kun opdateres 1-2 gange om måneden?
Holdningsspørgsmål, derfor har jeg valgt fri debat (håber det er OK :o).
Lad mig høre jeres vinkler på ovennævnte, hvad enten det er holdninger I har, eller om I konkret har så meget forstand på 'hjernen' i et antivirus-program og kan forklare mig, hvorfor antivirus-programmerne ikke er bedre til at håndtere variationer af en virus.
I dette særtema ser vi på, hvordan cloud og AI bliver fundamentet for virksomhedernes digitale forretning, og hvordan de nye muligheder for automatisering og forretningsværdi kan udnyttes uden at miste overblik, sikkerhed og menneskelig kontrol.
Jeg blev klar over problematikken ved et Cisco kursus, hvor de promoverede deres Security Agent. Netop virussernes varianter og dertilhørende forskellige signaturer blev nævnt som et problem fordi der trods alt er et tidsrum fra en variant dukker op til antivirus firmaerne har en opdatering, som så skal downloades af klienten.
Pointen i Cisco's Security Agent var at den overvågede alle programmer og "mistænkelig" opførsel blev blokeret med det samme. Herefter blev brugeren promptet og/eller den systemansvarlige alarmeret.
Genialt ! Men hvorfor er det ikke allerede indbygget i vores antivirus programmer ? Det er nok mest et spørgsmål om penge, for på denne måde kan der tjenes ekstra ved at sælge et tillægsprodukt (såsom Cisco's)
tjaa jeg forstår godt at de laver en opdatering til de "nye" varianter af virus, det er jo lidt lige som at gå til lægen også få en indsprøjtning mod influenza! det er ikke sikkert den virke mod det som kommer i år! men den er lavet ud fra de forudsætninger som vi kendte sidste år.
og det er jo lidt på samme måde antivirus producenterne arbejder. :)
Men der kan altså laves mange subtile ændringer i vira, som et menneske helt sikkert kan genkende i løbet af et øjeblik, men virus-genkenderen måske kan have svært ved gennemskue, at det er det, som er resultatet !-)
For det første kan man jo simpelthen bytte rundt på kommandoer, hvis det at de kommer i en bestemt rækkefølge ikke betyder noget for hvordan de virker ...
Desuden kan man jo akkumulere sig til en bestemt værdi et bestemt sted på mange forskellige måder ...
F.eks. kan jeg huske, at den interrupt, man skulle bruge for at udløse dos-kommandoer i x86-processorerne, var en interrupt 21 med tallet 16 placeret i et bestemt register, afhængig af hvad der så stod i et andet register, blev forskellige kommandoer udført, bl.a. voldsomme ting som ændringer i harddiskens struktur m.v.
Men, hvis man nu skal aktivere den der interrupt 21, kan de 21 jo opstå på en masse forskellige måder, man kan skrive 21, nemt nok, man kan gange 3 og 7, man kan lægge 15 til 6 eller trække 12 fra 33, og det kan jo gøres endnu sværere at gennemskue ved at lægge to tal sammen (eller gange, dividere, trække fra osv.) fra to (eller flere !-) forskellige registre, det er måske 15 kommandoer i stedet for een, men det bliver altså svært at genkende, for det giver samtidig flere muligheder for at blande koderne ...
-- og præcis den polymorfi udnyttes i de fleste nutidige vira, og samtidig er de begyndt at udnytte den relativt dårlige sikring, som findes i vbscript i kombination med M$-applikationer, da vbscript er intenderet til at manipulere stort set alt, som programmerne kan !-)
-- og nogle programmer kan altså mange grimme ting, men dog sjældent for meget med selve harddisk-strukturen, hvis man ellers bruger en af de nyere windows ...
-- om der så også skulle være den samme slags markedsføring i anti-virus-program-producenternes adfærd, som der er i M$s, er jeg ikke i stand til afgøre !o]
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
