IL VIRUS STEALTH NELLE SUE VARIE FORME (TSR, MBR, FILE INFECTOR)

Transcript

1 IL VIRUS STEALTH NELLE SUE VARIE FORME (TSR, MBR, FILE INFECTOR) di Carlo Ferrero Sommario: Definizione di virus stealth Perché sono nati e qual è il loro scopo Le caratteristiche del virus stealth Il primo virus stealth Virus TSR Virus MBR Virus File Infector Come smascherarli e sconfiggerli DEFINIZIONE DI VIRUS STEALTH: I virus stealth sono fra i più pericolosi nonché i più moderni. La parola STEALTH discende dal famoso F117 Stealth (primo volo 1981), l' unico velivolo d' attacco tattico del mondo capace di penetrare nello spazio aereo nemico in maniera pressoché invisibile al radar. Si tratta infatti di una tecnica adoperata da alcuni virus TSR che consente al virus di rendersi invisibile ai controlli, ossia letteralmente di sparire nel momento in cui qualcuno ne va a verificare la presenza. Il virus ha la capacità di far apparire tutto normale, nascondendo tutti i sintomi e i segnali di allarme che possono farlo individuare (tipicamente l incremento della lunghezza di un file o l alterazione del Boot sector o del MBR); quando il virus è attivo in memoria per raggiungere il suo intento manipola le funzioni base del DOS, quelle che il sistema utilizza abitualmente per avere informazioni sui file durante la lettura e quelle riguardanti la scrittura e modifica. Può attuare una disinfezione on-the-fly dei programmi infetti caricati in memoria o modificare nella FAT la voce corrispondente al file infettato in modo da celare le modifiche alla sua lunghezza (size-hiding). Esistono diversi tipi di virus che usano la tecnica stealth per potersi meglio nascondere ai controlli e per recare danni diversi: virus di Boot, virus file infector, TSR, polimorfi e persino i MACRO (un esempio è Niki:it che nasconde tutte le modifiche apportate a Word). La maggior parte dei virus stealth è di tipo parassita, ossia infetta i classici file eseguibili (.com,.exe,.dll) lasciandoli perfettamente utilizzabili ma al tempo stesso utilizzandoli come mezzi di propagazione dell infezione. Per eludere un anti-virus lo stealth può agire in due modi: 1) Il virus stealth disabilita un eventuale anti-virus residente in memoria: ciò è possibile poiché questa è un operazione lecita che gli stessi anti-virus fanno. Infatti, un programma anti-virus che ha un modulo di prevenzione residente in memoria, deve poter richiedere a questo modulo la sua disattivazione temporanea quando viene lanciato dall utente in modo da non avere conflitti. Quando la scansione termina il programma riattiva il modulo residente. 2) Il virus va alla ricerca di eventuali anti-virus residenti e se ve ne sono evita di partire, aspettando di entrare in azione quando non sono presenti questi guardiani. 1

2 PERCHE SONO NATI E QUAL E IL LORO SCOPO: La tecnica stealth è stata concepita come risposta alla tecnica CRC (Cyclic Redundancy Check), utilizzata proprio per impedire che i virus modificassero i file impunemente. La tecnica CRC permette, tramite un apposito algoritmo, di analizzare ogni file e, sulla base dei valori dei byte che compongono il file, di generare una stringa in codice binario che viene memorizzata su disco. Ogni volta che si accede al file, tale procedimento viene ripetuto e si confronta il codice di controllo che viene emesso dall algoritmo con quello precedentemente memorizzato. Se il codice di controllo non corrisponde a quello memorizzato, è certo che il file è stato modificato e ciò è un possibile sintomo di un infezione in corso. Tuttavia la tecnica CRC ha un paio di gravi controindicazioni: non impedisce il contagio, ma consente solo di individuare un infezione già in atto, quando i danni potrebbero essere già ingenti; inoltre emette una serie di falsi allarmi in presenza di applicazioni che modificano il proprio codice o di programmi in corso di sviluppo (nel caso di programmatori professionisti, che si trovano a registrare decine di versioni diverse dello stesso programma ogni giorno, questo è un dramma). La tecnica CRC (che, ancora oggi, è fatta propria dalla quasi totalità dei software anti-virus con i nomi di validazione, inoculazione, controllo dell integrita etc ) è sicuramente uno dei sistemi di controllo del sistema, ma non è più considerata da sola come il rimedio definitivo, poiché si è dimostrata alla mercé (se non supportata da altri strumenti) di virus che utilizzano la tecnica stealth. I virus stealth sono dunque nati proprio per contrattaccare il CRC facendo credere all anti-virus che il file sia ancora allo stato originale quando invece è stato modificato dal virus stesso. Il virus riesce nell inganno grazie a un sistema che gli permette di intercettare dei vettori di interrupt tramite i quali il sistema accede normalmente alle informazioni che riguardano i file. Riporto gli interrupt più importanti: INT 00 - CPU-generated - DIVIDE ERROR INT 01 - CPU-generated - SINGLE STEP; (80386+) - DEBUGGING EXCEPTIONS INT 02 - external hardware - NON-MASKABLE INTERRUPT INT 04 - CPU-generated - INTO DETECTED OVERFLOW INT 13 - DISK INT 20 - DOS 1+ - TERMINATE PROGRAM INT 21 - DOS 1+ - Function Calls INT 22 - DOS 1+ - PROGRAM TERMINATION ADDRESS INT 24 - DOS 1+ - CRITICAL ERROR HANDLER INT 27 - DOS 1+ - TERMINATE AND STAY RESIDENT Quelli segnalati in grassetto sono gli interrupt solitamente intercettati dai virus stealth. LE CARATTERISTICHE DEL VIRUS STEALTH: A seconda della natura del virus le tecniche usate per celare una infezione sono: MBR STEALTH: Un virus che infetta l'mbr salva una copia del vecchio MBR prima di sostituirlo con il codice virale. Quando un anti-virus va a leggere l'mbr, il parassita intercetta la lettura e restituisce la copia originale salvata, mascherando l'infezione presente. SIZE HIDING: Se un virus X e' lungo 100 bytes tutti i file infetti (file eseguibili) avranno la loro dimensione aumentata di 100. Un virus è in grado di intercettare un comando di tipo "DIR" e sottrarre il valore 100 alla dimensione dei file infetti, mascherando l infezione all'output del comando. 2

3 CLEAN ON THE FLY: Il virus puo' intercettare tutte le operazioni di lettura sui file e modificarne l'output. Se ad esempio un programma prova a leggere un file infetto, il virus, attivo in memoria, intercetta l'operazione e ripulisce il file prima della lettura, rendendolo trasparente al controllo. Una volta finita l'operazione, il virus re-infetta il file. IL PRIMO VIRUS STEALTH: Il primo virus stealth risale al lontano 1986: Nasce Brain, il primo esempio documentato di virus MS-DOS che infettava il settore di Boot del floppy disk. Brain fu sviluppato in Pakistan da due fratelli, Basit e Amjad, che possedevano una piccola software house (Brain Software). Brain non ha un codice dannoso: era stato sviluppato solo per tentare di comprendere la portata del fenomeno delle copie pirata. Tale virus si avvia dal Boot sector dei dischetti floppy, copia il contenuto del settore originale in una nuova locazione del disco, marca questi tre cluster (sei settori) come BAD nella FAT (in tal modo non verranno sovrascritti accidentalmente) e scrive il codice del virus nel Boot sector del disco. Esso si installa in memoria riservando per sè tra i 3 Kbyte ed i 7 Kbyte di RAM. Si nasconde al rilevamento, intercettando qualsiasi interrupt (come ad esempio l'int 21h) che possa interrogare il Boot sector in modo da reindirizzare la lettura del Boot alla locazione dove ha provveduto a salvare il Boot sector originale. Si limitava a riprodursi su tutti i dischetti inseriti nel lettore di un PC infetto modificandone l'etichetta con il testo "(c) Brain". Si è estinto quando sono usciti dal commercio i dischetti a bassa densità, gli unici che Brain poteva attaccare. VIRUS TSR: Abbiamo visto che una particolarità dei virus stealth è quella di essere residenti in memoria, dunque TSR. Ma come fanno a diventare residenti senza dare nell occhio? Dal momento che il contenuto della RAM viene perso ogni qual volta che si spegne il PC, i TSR devono: 1. Essere eseguiti dall utente oppure 2. Bisogna indicarne l esecuzione automatica negli appositi file di configurazione o di Boot. Una volta eseguito il codice virale, questo può prendere il controllo delle principali funzioni del computer e sfuggire più facilmente alla rilevazione da parte dei programmi antivirus. Una delle operazioni più frequenti è la copia della FAT sana, in un altra posizione, in modo da far apparire non infetti i file virati. Un altro aspetto importante è la possibilità di controllare le operazioni di lettura e scrittura su disco, in modo da non dare nessun segno della propria presenza. Le caratteristica più pericolosa dei virus TSR è la possibilità di "catturare" i vettori di interrupt. Gli interrupt software sono routine del BIOS, memorizzati in una memoria ROM (non modificabile). Per essere eseguite, queste routine devono essere caricate in RAM dove il sistema operativo è in grado di rintracciarle utilizzando le informazioni presenti in una tabella di puntatori (vettori di interrupt). Ogni interrupt adempie a una funzione particolare, ad esempio, l int. 13h (13 indica il tipo di funzione, h ricorda che si sta usando la notazione esadecimale) gestisce l accesso ai dischi, l int. 24h controlla gli errori, l int. 10h si riferisce al video e così via. Quando un virus si installa residente in memoria, sostituisce uno o più vettori di interrupt con nuovi puntatori alle proprie routine, quindi, quando viene richiamato un interrupt, prima viene eseguito il codice virale e poi viene comunque lanciato l interrupt, per interferire il meno possibile con le normali operazioni. Con Windows 95, le possibilità di sopravvivenza di tali virus sono limitate alle sessioni DOS, quindi il rischio di contagio si è notevolmente ridotto. Il virus per scoprire se è già presente una sua copia in memoria oppure no ha solo due modi: 1) Creare una nuova function call per un certo interrupt che una volta chiamata dal virus gli segnali o meno la presenza di una copia già attiva del suo codice. 3

4 2) Scandire la memoria alla ricerca di una copia del suo codice. Una volta in memoria il virus stealth, come già detto, intercetta gli interrupt (la scelta varia da virus a virus). La stragrande maggioranza comunque intercetta le seguenti system call: 4Bh, caricamento di un programma in memoria; 3Ch, creazione di un file; 3Dh, apertura di un file; 3Fh, chiusura di un file; 43h, cambio attributi di un file; 56h, ridenominazione di un file; nonché INT 21H con le function call di gestione di directory e dei dischi (11h,12h,4Eh,4Fh). VIRUS MBR: La diffusione avviene generalmente quando si avvia un PC da un floppy infetto (anche vuoto, perché comunque contiene dei dati nel settore di avvio. In tal caso il messaggio è disco non di sistema ). Le informazioni principali sul disco, come il numero dei settori e la posizione fisica di ogni partizione, sono memorizzate nel settore di partizione (o MBR, Master Boot Record). La prima operazione eseguita al momento del boot è la lettura dell MBR, in seguito si passa al settore di avvio, all interno del quale è memorizzato il codice necessario per caricare i file di sistema. Il boot da floppy è molto simile, l unica differenza è che nei dischetti, non potendo essere partizionati, non è presente il Master Boot Record. Il programma relativi al boot sono memorizzati nel BIOS e, a differenza degli altri non vengono eseguiti tramite il loro entry point (il puntatore alla locazione logica in cui sono stati posizionati dal sistema operativo), ma vengono caricati in memoria riferendosi direttamente agli indirizzi fisici dei settori per mezzo di puntatori. La procedura di boot utilizza, quindi, uno schema a indirizzamento assoluto, senza considerare la struttura delle directory: il BIOS punta sempre e solo al primo settore fisico del disco di avvio: 1. nel caso di un dischetto si tratta del settore di avvio, o boot sector 2. nel caso di un disco fisso si tratta invece di quello che contiene l MBR, che punta al settore di avvio, cioè al primo settore della partizione primaria. A questo punto viene eseguito il file IO.SYS, situato necessariamente sul cluster numero due. Il virus di Boot inizialmente sposta il programma della tavola delle partizioni in un settore qualsiasi del disco, successivamente copia sé stesso nello spazio così liberato(se il virus è più grande di 512Byte si dovrà dividere il due parti). In questo modo, il codice virale viene eseguito automaticamente a ogni boot del sistema e viene attivato direttamente dal programma di avvio memorizzato nel BIOS. Dopo essere stato caricato, il virus si collega al settore del disco dove ha spostato la tavola delle partizioni, permettendo un avvio "quasi" normale. Nella maggior parte dei casi, il virus sceglie abitrariamente dove spostare la tavola delle partizioni e i settori di boot originali, che poi vengono indicati come non utilizzabili nella FAT (File Allocation Table), in modo da evitare che un programma qualunque li sovrascriva accidentalmente. Quando il Bootstrap loader del sistema legge il contenuto del boot sector, il virus: Copia in memoria le info lette e da loro il controllo. Riduce a quantità di memoria libera. Si copia nello spazio ottenuto. Setta gli interrupt che gli sono necessari. Esegue eventuali operazioni addizionali. Carica in memoria il Boot sector originale e gli da il controllo. 4

5 Un punto di forza di questi agenti virali è che possono contagiare allo stesso modo qualsiasi PC, indipendentemente dal sistema operativo utilizzato: questo perché il codice è scritto in linguaggio macchina e viene eseguito prima del sistema operativo. Per cui la situazione prima e dopo l infezione sarà la seguente: Per entrare in memoria il virus deve ingannare il sistema. Ci sono 2 modi che il virus può utilizzare: 1. diminuisce la misura della quantità di memoria. Solitamente l inizio della memoria è posto all indirizzo 40h:13h; riscrivendo tale valore ci si assicura uno spazio dove copiare le proprie istruzioni. 2. Si può utilizzare la memoria non ancora assegnata (metodo più rischioso) Ecco un esempio di virus stealth MBR: Stoned.Michelangelo.D Virus scoperto nei primi mesi del La documentazione di Norton Antivirus riporta: is a virus that infects the DOS boot sector on floppy disks and the master boot record (MBR) of the first hard drive (80h). Caratteristica peculiare: se il sistema è stato infettato ed è riavviato il giorno 6 Marzo (di ogni anno), il virus sovrascrive silenziosamente i primi 17 settori dei primi 256 cilindri dell hard disk con dati casuali dalla memoria. Se il sistema è immediatamente spento alcuni dati possono essere recuperati. Il 6 Marzo è infatti il compleanno del famoso artista. Alla sua uscita nei giorni che precedettero tale data questo virus fece molto scalpore tanto da scatenare la cosiddetta Michelangelo Madness (follia). In realtà il crollo totale non si verificò mai poiché le contromisure adottate furono sufficienti. VIRUS FILE INFECTOR: File virus si possono dividere Parasitic Viruses, Overwriting Viruses, Companion Viruses e Linking Viruses. Tutti i sopracitati tipi di virus possono utitlizzare la tecnica Stealth, Encryption o Polymorphism. I file virus infettano i file eseguibili (EXE e COM), i device driver (SYS) e attualmente anche i file di documenti DOC. Essi si replicano ad ogni avvio di un programma infetto. Il virus parassita 5

6 preserva le funzioni del file ospite senza danneggiarlo. Esso si differenzia dal virus MBR in quanto si attacca a un programma e si replica attraverso altri programmi senza toccare il sistema operativo. Vediamo i file virus in dettaglio: 1) SYS Fortunatamente solo pochi virus infettano i file SYS. Tali virus possono essere infatti estremamente pericolosi perché si installano in memoria prima del caricamento di un programma anti-virus. Essi aggiungono il loro codice al corpo del file e modificano l header in modo da cambiare gli indirizzi delle routine Strategy e Interruptus del driver da infettare. Quando il DOS carica un driver infetto e lo inizializza, il virus intercetta la richiesta del sistema operativo, inizializza se stesso e il driver e rimane in memoria insieme col codice del driver, diventando di fatto una parte del sistema operativo. 2) COM e EXE Gli Exe al momento sono una delle famiglie infettive più diffuse al mondo. I file eseguibili possono avere solo due formati: COM ed EXE. Il file in formato COM è una eredità del DOS 1.0, mentre il formato EXE è nato in seguito. La differenza principale è che un file COM non può essere più lungo di 64K e mantiene stack, dati e codice assieme. Invece un file EXE non ha limitazioni sulla dimensioni e mantiene separati stack, dati e codice. I file COM e EXE sono infettati in modo diverso, per cui il virus prima di infettare il file deve stabilirne il formato e può farlo in due modi: fidandosi dell estensione oppure analizzando l header (come fa anche il DOS). Se il virus segue il primo metodo e si sbaglia a infettare il file non ci sarà più la possibilità per l anti-virus di ripristinare il file originale. Il virus può inserirsi nell eseguibile o all inizio (prepending) o alla fine (appending) o in mezzo. Di solito i virus stealth utilizzano quest ultima tecnica: il virus può inserirsi nella stack area oppure in una porzione di codice non utilizzata o spostando un pezzo di codice da un altra parte e inserendosi nel buco così creato (in un certo senso come per i virus MBR). Dunque il virus con tecnica stealth sarà anche qui in grado di mascherarsi restituendo all occorrenza il file originale. Ecco qui riportati alcuni esempi di virus stealth che infettano COM ed EXE (e MBR). Whale Alias: HDEuthanasia, Krsna Tipo: Stealth OS, Boot MBR, Boot Resident, COM/EXE -files Origine: Slovenia Anno: 1990 Il virus Whale è un virus a stealth parziale. Esso infetta i file di programma.exe e altera le voci delle cartelle dei file infetti quando altri programmi tentano di leggerle. Il virus Whale aggiunge 9216 byte a un file infetto. Poiché i cambiamenti delle dimensioni dei file sono indice della 6

7 presenza di un virus, il virus sottrae successivamente lo stesso numero di byte (9216) dalle dimensioni di file indicate nella voce di directory/cartella per indurre l'utente a credere che le dimensioni del file non sono cambiate. Inoltre prende speciali accorgimenti per rendere la comprensione del suo codice più ardua. Digi.3547: Tipo: Companion program Tipo: EXE application, COM application, COMMAND.COM Caratteristiche: Memory resident, TSR, Encrypted, Stealth, si nasconde alle scansioni. Trigger (evento scatenante): Any 28th of May (Maggio) Payload (azione del virus): Corrompe un programma o sovrascrive file. Origine: Polonia Anno: 1995 Note: Questo virus risiede in memoria. Infetta i file.com e.exe e ha come obbiettivo il COMMAND.COM e ha un attività distruttiva. Il giorno 28 Maggio il virus sovrascrive ogni traccia dei primi 20 cilindri dell hard disk, partendo dalla posizione fisica cilindro 0, traccia 0 e settore 1. Inoltre scrive la parola DIGI nei settori. Quando ha completato la sua attività lo schermo si cancella e appare un bordo blu e una linea blu con il seguente messaggio: THIS IS A NEW DELIVER II SÆëâlÆH WRITE BY DiGiT! SOUTH POLAND 1995 Dopo questo il virus fa apparire un flag e fa ascoltare della musica. N.B. : i Companion sono file virus che non cambiano la grandezza dei file. L algoritmo di lavoro di questi virus è creare dei file compangni degli eseguibili.exe che hanno lo stesso nome, ma estensione.com. Ad esempio, per il file XCOPY.EXE è creato il file XCOPY.COM. Il virus scrive se stesso come file.com e non cambia il file.exe in questo modo infettato. Quando l utente lancia il programma da linea di comando, scrivendone semplicemente il nome, il DOS cerca ed esegue il file.com, cioè il virus, che a sua volta lancerà il file.exe. Il virus non fa altro che sfruttare la caratteristica del DOS che cerca dapprima il file che abbia quel nome con estensione.com, poi se non esiste lo cerca.exe ed infine.bat. N.B. : COMMAND.COM è l interprete dei comandi (o processore dei comandi) che permette a ogni utente di interagire, tramite il prompt del DOS, con il sistema operativo stesso; inoltre è un file eseguibile che contiene tutti i cosiddetti comandi interni del DOS (come dir, copy, ecc.); Hare Alias: HDEuthanasia, Krsna Tipo: Stealth OS, Boot MBR, Boot Resident, COM/EXE -files Origine: Slovenia Anno: 1996 Note: Hare e' un virus stealth multipartito residente con capacità antieuristiche e antidebug, criptato con un motore polimorfico 'lento'. Infetta i file COM ed EXE, gli MBR degli Hard Disk ed i boot sector dei floppy. I file infettati ed i Boot sector sono criptati con un motore polimorfico lento. I file infettati sono marcati settando il campo dei secondi nell'ora di creazione a 34. Hare non infetta i file le cui iniziali sono "TB" e "F-". Quando un file infetto viene lanciato, il virus per prima cosa infetta l'mbr dell'hard Disk. Quando la macchina viene riavviata il virus si installa in memoria dall'mbr e comincia ad infettare i floppy e i file EXE e COM. Una volta residente, il virus occupa piu' di 9Kb di memoria. La dimensione dei file infetti cresce di circa 7-8Kb, a seconda del decriptatore polimorfico. Quest'ultimo contiene molti salti condizionali e incondizionali e molte chiamate ad interrupt inutili per confondere l'analisi euristica. Hare tenta di nascondere le modifiche ai file, ma a volte le dimensioni dei file infetti diventano più piccole o più grandi di quanto non lo fossero originariamente. Hare e' in grado di infettare sotto Windows 95: cancella il driver del floppy disk 7

8 per potersi diffondere sui dischetti usati sotto Win95. Hare si attiva il 22 Agosto e il 22 Settembre all'accensione della macchina. In quel momento mostra questo testo: "HDEuthanasia" by Demon Emperor: Hare Krsna, hare, hare... Dopodiche' il virus tenta di sovrascrivere l'hard Disk e i drive A: e B:. Questa procedura produce un errore 'Disco non di sistema', ma il virus rimane residente dopo che il danno e' stato fatto (così può ancora replicarsi se un floppy di sistema viene inserito per far ripartire la macchina). Sono state rilevate molte infezioni di Hare negli Stati Uniti nel Maggio '96 e fu probabilmente distribuito su internet, dato che presto si rilevarono casi anche in Canada, Inghilterra, Svizzera, Russia, e Olanda. COME SMASCHERARLI E SCONFIGGERLI: Abbiamo visto che un virus stealth può raggirare un anti-virus. Ma allora come è possibile stanare e debellare gli stealth? Il tallone d Achille di un virus Stealth è la fase di esecuzione: Quando un virus è latente su un disco può nascondersi, quando però è attivo e si trova nella memoria RAM, diventa visibile. Gli Antivirus di ultima generazione non solo cercano di cogliere in fallo il virus Stealth quando questo è in memoria, ma riescono a rilevarlo anche in fase di latenza, quando è addormentato, con sofisticati strumenti di interrogazione. Analizziamo ora le diverse tecniche seguite per lo smascheramento di alcune tipologie di virus descritte. Trovare uno stealth MBR TSR: Per i virus risiedenti nel MBR è sufficiente avviare il sistema da un floppy pulito ( e protetto da scrittura!!!) prima di eseguire il controllo dei virus e in questo modo si troveranno tutti i virus stealth. Infatti gli stealth possono nascondersi solo se sono residenti e attivi in memoria. Se non è installato in memoria il virus non potrà proteggere i file o i Boot sectors infetti dal riconoscimento e un anti-virus potrà facilmente rilevare l infezione. Successivamente tramite il comando FDISK /MBR (avendo cura di avere il nostro floppy pulito inserito) effettueremo la sostituzione dell MBR incriminato. Nei casi in cui non si disponga di un floppy sarà comunque possibile (se il virus stealth ha salvato da qualche parte il Boot sector originale) ripristinare il Boot sector, dopo aver individuato il virus stesso (che in tal caso sarà ancora attivo in memoria) e dopo aver individuato l area su disco dove il virus aveva fatto la tale copia. L indirizzo di tale area può essere o in formato logico (numero del settore del disco logico, gestito dal DOS) o in formato assoluto (numero cilindro, testina e settore del disco fisico, gestito dal BIOS). Il valore dell indirizzo è calcolato in modo diverso a seconda del metodo usato dal virus per conservarsi il settore originale. I Boot virus sono soliti decrementare la quantità di memoria convenzionale visibile da DOS per inserirci la propria porzione TSR. Si dovrà effettuare una scansione fra l indirizzo del segmento della fine della memoria DOS e l inizio del segmento della memoria video (A000h). 8

9 Evitare e curare i danni di uno Virus File Infector: Evitare di scaricare eseguibili o altro da siti non ufficiali se poi questo non fosse possibile prima di eseguire qualsiasi programma scaricato verificare con un buon antivirus lo stato dello stesso. Quando si curano i file è necessario prendere in considerazione le seguenti regole: Testare e curare i file eseguibili (COM, EXE, SYS) di tutte le directory, di tutti i driver e senza tenere conto degli attributi dei file (sola lettura, di sistema, nascosto). Ripristinare gli attributi, la data e l ora dei file Curare i file infetti più di una volta (anche infettati dallo stesso virus) Vediamo come avviene il ripristino di file infettati alla fine (appending): In questo caso alcuni byte dell inizio del file sono salvati nel corpo del virus. Per ripristinare il file è necessario rimettere questi byte nella loro posizione originale e buttare il corpo del virus. Nel caso di un file COM l operazione è banale, mentre nel caso EXE è più complesso. Il virus cambia i campi dell header. I valori originali sono memorizzati da qualche parte nel corpo del virus. Per ripristinare il file bisogna stabilire e trovare quali campi sono stati cambiati, rimetterli nell header, tagliare via il corpo del virus e correggere i campi che indicano la dimensione dell immagine in memoria del programma. Bisogna stare sempre attenti quando si decide di cancellare dei file infetti in quanto in casi come le infezioni da virus companion di solito non si presentano problemi (poiché come detto vengono fatte copie dei file originali con estensione diversa), mentre in altri casi la cancellazione può portare a danni ad altri file: per esempio la cancellazione di un file infetto col virus DIR II ( Dir-2 virus is a memory resident, stealth, Master Boot Record (MBR)/Boot Sector infecting virus: si tratta di un virus che modifica la struttura dati del sistema del DOS, in modo che possa prendere il controllo del programma che l'utente intende lanciare. DIR-2 manipola gli elementi di una directory in modo da puntare al primo cluster del suo codice; quando il DOS legge il disco per caricare un programma, viene caricato il virus) provoca un malfunzionamento della FAT facendo comparire dei lost cluster su disco. Nota: significato della parola ricerca euristica per gli anti-virus: Questo genere di programmi va alla ricerca di istruzioni e di funzionamenti sospetti. Solitamente anche negli scanner si trova un algoritmo euristico, per ricercare le stringhe caratteristiche dei virus conosciuti, ma anche tentare di individuare virus sconosciuto. Generalmente, un programma di ricerca euristica esamina la funzione di ogni istruzione in relazione alle altre. I moduli che vengono ricercati da un motore di ricerca euristica sono le routine di decrittazione, le chiamate al sistema non documentate, le sequenze di istruzioni insolite o inutili, l allocazione sospetta della memoria, la scrittura diretta sul disco e la presenza di settori di avvio e di date/orari non validi. Oltre a questo se, in un programma conosciuto come non residente, vengono rilevate stringhe che fanno pensare al suo caricamento in RAM, è probabile la presenza di un virus.un programma di ricerca euristica può identificare molti virus sconosciuti, ma può anche generare numerosi falsi allarmi. 9

10 Link di riferimento: In formato PDF e PS informazioni varie sui vari tipi di virus e i modi in cui affrontarli: