Lue uutinen mobiilisivustolla

Kun virus saa variantin

11.9.2001 08:17 Viruksia, matoja ja muita ei-toivottuja ohjelmanpätkiä tehtaillaan jatkuvasti. Suuri osa niistä ei kuitenkaan ole kokonaan uusia tekeleitä, vaan vaikkapa aiempien virusten enemmän tai vähemmän muunneltuja versioita, variantteja.

Virustorjunta on takaa-ajokilpailua, jossa torjuntaohjelmia tuottavat yritykset tulevat aina pari askelta virusten kirjoittajien jäljessä. Virusmaakarin kannalta tilanne on hyvä, hän kun haluaa kättensä jäljen leviävän mahdollisimman laajalle.

Osaltaan virusten ja matojen lisääntymiseen on vaikuttanut se, että erilaisia virusgeneraattoreita on yhä helpommin kenen tahansa saatavilla. Virusgeneraattorit ovat työkaluja, joilla vaikkapa matojen tehtailu käy nopeasti ja helposti.

Vahingollisen ohjelman teko ei enää suurta osaamista edellytä. Niinpä valtaosa esimerkiksi uusista sähköpostimadoista on VBSWG:n kaltaisilla, yksinkertaisella graafisella käyttöliittymällä varustetuilla työkaluilla tehtyjä.

Virusten tekijät ovat myös huomanneet, että turhaa työtä voi näppärästi eliminoida käyttämällä aiempia, laajalle levinneitä ja paljon vahinkoa aiheuttaneita viruksia tai matoja pohjana uudelle yritykselle tukkia sähköpostipalvelimia tai avata takaportteja pahaa aavistamattomien tietokoneille.

Siksi surullisenkuuluisalla Loveletterilläkin on jo muutamia kymmeniä seuraajia, jotka on alkuperäisen madon pohjalta kehitettyjä muunneltuja versioita, variantteja.

Vari-mikä?

Variantti on muunnos alkuperäisestä viruksesta, troijalaisesta tai madosta. Muuntelun tarkoituksena on yrittää ohittaa virustorjuntaohjelmien merkkijonotunnistus tai hämätä varuillaan olevia käyttäjiä vaikkapa vain hieman uudenlaisella ulkoasulla. Aktivoitu virus saattaa esimerkiksi näyttää tietokoneen käyttäjälle tekaistuja virheilmoituksia, jotka ovat erilaisia kuin aiemmassa versiossa.

Pienimmillään muutokset saattavat koskea esimerkiksi saastuneen liitetiedoston sisältävän sähköpostiviestin otsikkoa tai leipätekstiä. Tällaisellakin muutoksella voidaan saada sähköpostimadon vastaanottaja avaamaan liitetiedosto, joka sisältää jotakin muuta kuin miltä ensi vikaisulla näyttäisi. Esimerkiksi taannoisen Kournikova-madon houkutinta, nuoren naispuolisen tennistähden olematonta kuvaa, on sittemmin vaihdeltu eri nimiseksi.

Aina variantti ei kuitenkaan ole pelkkä kosmeettinen muunnos alkuperäisestä viruskoodista. Osa varianteista on aidosti paranneltuja versioita esikuvistaan. Tällaisista versioista voi tulla entistäkin suurempia uhkia, kuten viime kuukausien tapahtumat osoittavat.

Asetelma muuttuu

Heinäkuussa havaittu Code Red levisi nopeasti ympäri maailman ja saavutti melkoisen mediasuosion. Eipä aikaakaan kun mato oli jo saanut kakkosversionsa, vieläpä tuhoisan sellaisen. Tuoreempi esimerkki on viime viikolta, kun Magistr-madon terästetty variantti löydettiin.

Näissä tapauksissa on kyseessä paranneltu versio jo alun perinkin hankalasta madosta. Vahingolliseen koodiin on voitu ympätä uusia toimintoja, joiden avulla pyritään saamaan ohjelma leviämään mahdollisimman tehokkaasti ja aiheuttamaan mahdollisimman suurta vahinkoa.

Mikäli vielä onnistutaan saamaan uudesta versiosta mahdollisimman vaikeasti havaittava ja poistettava, on uusi ja entistä ilkeämpi variantti syntynyt.

Pelkkä vandalismi ei kuitenkaan enää riitä selittämään virusten kirjoittelua, vaan viruskoodilla pyritään jo tekemään rahaa.

Oikeastaan koko virusasetelma on muuttumassa sitä mukaa, kun vahingollista koodia aletaan yhä enemmän käyttää rikollisiin tarkoituksiin tiedonhankinta- ja ansaintamielessä. Erot viruksen, madon ja troijalaisen välillä alkavat sumentua - vahingollisiin ohjelmiin ympätään jo ominaisuuksia kaikista virustyypeistä.

Tulitko päivittäneeksi?

Virusten torjunnan kannalta tilanne on haastava. Virustorjuntaohjelmissa käytetään muun muassa menetelmää, jossa virukset tunnistetaan tiettyjen, tunnettujen merkkijonojen avulla. Tällaisen järjestelmän toiminta edellyttää sitä, että tietokoneelle saapuvan viruksen kuvaus on virustorjuntaohjelmassa.

Käytännössä merkkijonoja etsivä virustorjuntaohjelma ei siis virusta tunnista ilman tällaista «sormenjälkeä». Toisin sanoen aina tarvitaan vähintäänkin yksi saastunut kone, jotta viruksen sormenjälki voidaan rekisteröidä ja lisätä torjuntaohjelman viruskuvauksiin. Koska uusia viruksia syntyy alinomaa, antivirusohjelmat eivät tällä menetelmällä voi suojata aivan uusimmilta viruksilta.

Kaiken lisäksi moni ei ikinä tule päivittäneeksi tietoturvaansa, vaikka tietokoneelta jonkinlainen virusskanneri löytyisikin. Symantecin mukaan laiskoja päivittäjiä on jopa 40 prosenttia kaikista tietokoneen käyttäjistä.

Kenelle kellot soivat?

Virustorjunnassa käytetään myös heuristista tunnistusta, joka ei etsi tiettyjä merkkijonoja, vaan tietynlaisia viruksille, madoille ja troijalaisille ominaisia toimintoja. Heuristinen skannaus usein tuottaakin tulosta virusvarianttien kohdalla, kun antivirusohjelma osaa etsiä tiettyjä käyttäytymismalleja epäilyttävästä ohjelmasta.

Heuristisen menetelmän ongelmana ovat olleet turhat varoitukset, sillä moni tavallinen ja harmitonkin ohjelma – jopa toinen virusskanneri - saattaa tässä suhteessa ylittää antivirusohjelman hälytyskynnyksen.

Hälytyskellojen pitäisi tietysti soida myös tuolin ja näppäimistön välissä ennen kuin lähtee avaamaan pamelaanderson.jpg.vbs –nimistä liitetiedostoa. Aivan niin, vaikka viestissä kehotettiinkin avaamaan liite...

Antti Kirves toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Pitkämäen keihään vahingoittama Sdiri vie IAAF:n oikeuteen

• Intian rikkain perhe avasi kohukotinsa ovet Vanity Fairille
• Afrikkalaisten maahanmuutto kiristää tunnelmia Tel Avivissa
• Bankia pyytää Espanjan valtiolta 19:ää miljardia euroa
• Rivitalo palaa Vahdossa