Prim Hírek

Mostanra azonban - más, rosszindulatú szoftverekkel szövetkezve - egy több milliárd dolláros iparág legfőbb "támogatóivá" váltak. A The Economistban megjelent írás szerint a haszonból egyaránt részesednek azok, akik vírusok segítségével lopják el a felhasználók információit, hogy így hajtsák azok gépeit a maguk irányítása alá, illetve azok, akik arra szakosodnak, hogy digitális védelmet fejlesszenek ki - és adjanak el jó pénzért - velük szemben. 

 

Nagy tehát a tét: a kártékony programok (malware-ek) egyre ügyesebben siklanak át az akadályokon, vagyis azokat a programokat, amelyeknek az a feladatuk, hogy észleljék őket, folyamatosan fejleszteni kell, hiszen csak így lehetnek képesek tartani a lépést az előbbiekkel.

 

Augusztus elején egy Bellevue-ben megrendezett konferencián - hogy az üzleti döntéshozók is tisztában legyenek vele, mit jelent ez a fajta "fegyverkezési" verseny - egy olyan tanulmányt ismertettek, amelynek középpontjában a vírusokat még megfoghatatlanabbá tévő innováció állt. A tanulmány szerzői - Vishwath Mohan és Kevin Hamlen a dallasi Texasi Egyetemről - Frankensteinnek nevezték el a programot. A horrorisztikus történet tudósa ugyanis (legalábbis a filmváltozatban) temetőkből és vágóhidakról begyűjtött testrészekből "varrta össze" a maga szörnyetegét - hasonlóan, mint ahogyan ez az "innovatív" vírus működik. 

 

    

A digitális Frankenstein-verzió ártalmatlan programokat, például szövegszerkesztőket vagy a Windows szerves részét alkotó számológépet szkennelve működik, méghozzá úgy, hogy azok kis darabjaiból állítja össze a maga "játékszerét". Az ilyen programtöredékek kódolnak egy sor olyan alapvető műveletet, amelyeket a számítógép végrehajt: egy szám betöltését a memóriába, majd egy másik szám hozzáadását. Elég ezekből a kóddarabkákból szemezgetni, és a megfelelő sorrendbe rendezve őket máris össze lehet ütni egy olyan szoftvert, amely bármilyen elképzelt feladatot elvégez.

 

Frankenstein "szemantikai tervrajzzal" indul, vagyis annak az összefoglaló leírásával, hogy milyen feladat elvégzésére szánták a programot. Ezt követően tüzetesen átvizsgálja a gépen fellelhető kódarzenált, amíg össze nem áll belőle a szükséges utasításlista.

 

Tanulmányában Mohan és Hamlen bizonyítja, hogy mindez megvalósítható egy-két egyszerű algoritmust összeállítani képes program birtokában, kizárólag a windows-os Explorer minialkalmazásaiból építkezve (ezek nem teljes értékű vírusok, de olyan eszközök, amelyeket egy víruskészítő hasznosnak fog találni).

 

    

Amellett, hogy technikailag tiszta, ez a megközelítés igen komoly előnyöket kínál a malware-ek íróinak. 

 

Természetes nyelven képes elkészíteni a maga "mondatait" a számítógépes kódban, amely - ha összetételét tekintve eltérő is - ugyanazt a jelentést közvetíti. Másként fogalmazva: egy programot többféle módon is meg lehet írni. Mivel Frankenstein célja, hogy algoritmusait minden alkalommal, amikor megfertőz egy új gépet, másik eszközkészletből állítsa össze, az eredményül létrejövő program minden korábbi változattól különbözni fog. Viszont a program minden változata pontosan ugyanúgy fog viselkedni.

 

A váltakozó programok ötlete önmagában nem számít új dolognak. A vírusírók már az 1990-es évek elején is előszeretettel alkalmaztak hasonló, ködösítő célú technikákat. 

 

Az úgynevezett polimorf vírusok titkosítást alkalmaznak saját kódolásukhoz. Ha a program ismétlődéseikor minden alkalommal új kulcsot használnak, az eredményül létrejövő halandzsa minden generáció esetében el fog térni az elődöktől. De a víruskereső programoknak sikerült a nyomukra akadniuk: a korszerűbbek arra a kis kódrészletre keresnek rá, amelyre szükség van a vírus visszafejtéséhez, és amelyet nehéz megbütykölni. Az összekevert számítógépes kódban is vannak olyan árulkodó jegyek, amelyeket képes detektálni a statisztikai elemzés.

    

    

Hamlenék ezt egy analógiával szemléltetik: képzeljünk el egy bankrablást, korlátlan számú símaszkkal; maga a rabló minden egyes bankrablás esetén más külsőt ölthet magára, de ez mit sem számít: ha valaki egy símaszkban lófrál egy bank körül, az mindig gyanús lesz.

 

A szerzők úgy vélik, hogy a Frankenstein-módszerek ellehetetlenítik az ilyen felderítési stratégiákat. Mivel a program nincs titkosítva, a statisztikai módszerekkel semmi különöset nem lehet majd tapasztalni. Az pedig, hogy létrehozott utódai legitim programok darabkáiból állnak, segít megbolondítani a heurisztikus elven működő - az agyafúrt viselkedés nyomait kutató - víruskeresőket.