التقنيات التي تستخدمها الفيروسات لمنع اكتشافها

من طرف **Tammam21** الأربعاء 15 أكتوبر 2008, 5:57 pm

فــيروس الحاسب :

عبارة عن برنامج يدخل الحاسوب ليدمره أو يشوه البيانات والبرامج المخزنة داخل الحاسوب .
و يتصف فيروس الكمبيوتر بانه :
برنامج قادر على التناسخ replication و الانتشار اي خلق نسخ(قد تكون
معدلة) من نفسه. و هذا ما يميز الفيروس عن البرامج الضارة الاخرىالتي لا
تكرر نفسها مثل احصنة طروادة Trojans و القنابل المنطقية logic bombs.
عملية التناسخ ذاتها هي عملية مقصودة و ليست تاثيرا جانبيا و تسبب خللا او تخريبا في نظام الكمبيوتر المصاب اما بشكل عفوي او متعمد.
يجب على الفيروس ان يربط نفسه ببرنامج اخر يسمى الحاضنhost بحيث ان اي تنفي لذلك البرنامجسيضمن تنفيذ الفيروس.
و يتكون برنامج الفيروس بشكل عام من اربعة اجزاء رئيسية و هي:

الية التناسخ The Replication Mechanism
و هو الجزء الذي يسمح للفيروس ان ينسخ نفسه و بدونه لا يمكن للبرنامج ان يكرر ذاته و بالتالي فهو ليس فيروسا.

الية التخفي The Protection Mechanism
و هو الجزء الذي الذي يخفي الفيروس عن الاكتشاف و يمكن ان يتضمن تشفير
الفيروس لمنع البامج الماسحة التي تبحث عن نموذج الفيروس من اكتشافه

الية التنشيط The Tigger Mechanism
و هو الجزء الذي يسمح للفيروس بالانتشار قبل ان يعرف وجوده كاستخدات توقيت
الساعة في الكمبيوتر كما في فيروس mechelangelo الذي ينشط في السادس من
اذار من كل عام و هناك فيروسات تنتظر حتى تنفيذ برنامج ما عددا معينا من
المرات كما في فيروس celand او disk crunching الذي يستهدف ملفات exe و
يصيب كل عاشر ملف يتم تنفيذهاو بعد عدة مرات من اقلاع الكمبيوتر او عند
تنفيذ تسلسل معين من الاوامر كما في فيروس fumanchu الذي ينشط عند الضغط
على ctrl+alt+del

الية التنفيذ The Play Mechanism
و هو الجزء الذي ينفذه الفيروس عندما يتم تنشيطه و قد يكون مجرد رسالة على
الشاشة او مسح بعض الملفات او تخريب كامل للقرص الصلب او مسح تدريجي
للبيانات

اوجه الشبه بين الفيروس العادي وفيروس الحاسوب :
1. العدوى .
2. كلاهما يلحق الضرربالمصاب .
3. وجود أعراض للمصاب بالفيروس .
4. التكاثر في الفيروس العادي والتناسخ في البرمجة .
5. كلاهما لا يعمل إلا بشروط معينة .
طرق انتقال فيروس الحاسوب :
1. وسائط التخزين المساعدة مثل الاقراص .
2. الشبكات . (للمزيد من المعلومات)

ما هو الهدف من كتابة الفيروس ؟
1. الحد من نسخ البرامج كما في فيروس باكستاني أو Brain وهو اول فيروس كمبيوتر ظهورا وانتشارا .
2. البحث العلمي كما في فيروس Stoned الذي كتبه طالب دراسات عليا في
نيوزيلاندا وسرق من قبل أخيه الذي أراد أن يداعب أصدقائه بنقل الفيروس
إليه .
3. الرغبة في التحدي وأبراز المقدرة الفكرية من بعض الاشخاص الذي يسخرون
من ذكائهم وقدراتهم بشكل سيء مثل فيروس V2P الذي كتب كإثبات ان البرامج
المضادة من نوع معين غير فعالة .
4. الرغبة في الانتقام م قبل بعض المبرمجين المطرودين من أعمالهم
والناقمين على شركائهم ويصمم الفيروس في هذه الحاله بحيث ينشط بعد ةتركهم
العمل بفترة كافية اي تتضمن قنبلة منطقية موقوته.
5. التشجيع على شراء البرامج المضاده للفيروسات اذ تقوم بعض شركات البرمجة
بنشر فيروسات جديدة ثم تعلن عن منتج جديد لكشفها . (للمزيد من المعلومات)

الظواهر الدالة على وجود الفيروسات :
إن وجد عارضين أوأكثر من العوارض الدالة على وجود فيروس فإمكانية وجود الفيروس في جهازك تصبح أكبر ومن هذه العوارض :
1. بطيء في الجهاز وذلك بسبب :
* الفيروسات تتحكم بإجراءات التنفيذ والتشغيل للجهاز والبرامج فيزي من التعليمات .
* الفيروس ياخذ حيز في الذاكرة الرئيسية RAM . (للمزيد من المعلومات)
2. انخفاض سعة الذاكرة الرئيسية بشكل مفاجيء مما يؤدي إلى عدم تنفيذ البرامج وبالذات البرامج التي تأخذ سعة عالية في RAM .
3. انخفاض سعة القرص الصلب بشكل ملحوظ وذلك بسبب تناسخ الفيروسات
4. تغير شكل بعض أيقونات الملفات .
5. تغير حجم بعض الملفات وذلك بسبب تضمين الفيروس ضمن هذه الملفات .
6. تنفيذ البرامج يستغرق وقتا أكثر من المعتاد .
7. ظهور رسائل خطأ غير مألوفة وخاصة عند ظهور رسائل تشير إلى أستخدام
الاقراص والبرامج بشكل متكرر دون أن يتم استعمالها من قبل المستخدم .

يمكن لأنواع كثيرة من الفيروسات ان تستخدم احدى التقنيات التالية لاخفاء وجودها و جعل اكتشافها عملا صعبا نوعا ما:

الخداع Stealth
تستخدم الفيروسات طرقا فعالة للتمويه من اجل
اخفاء وجودها كمثال اذا حاولت قراءة المعلومات في قطاع بدء التشغيل لقرص
مصاب بفيروس brain و كان الفيروس نشطا في الذاكرة فسوف يعرض لك معلومات
القطاع الاصلي و ليس المصاب.فيروس frodo يصيب الملفات و لكن ذلك لا يمكن
اكتشافه اذا كان الفيروس نشطا لانه يعمد الى الغاء الاصابة من الملف الذي
تحاول قراءته. فيروس dir سوف يعرض لك الطول الاساسي للملف المصاب و يخدع
بذلك البرامج المضادة للفيروسات و التي تعتمد طريقة تدقيق المجموعchechsum
لملاحظة التعديلات التي تطرا على الملفات.

التشفير العادي Encryption
تستخدم بعض الفيروسات مفهوم التشفير
لمنع البرامج المضادة للفيروسات و التي تعتمد مبدا البحث scnners من
اكتشافها و ذلك بان تضيف الى كل رمز في نص الفيروس رمزا مفتاحا key يؤخذ
بشكل عشوائي في كل نسخة جديدة من الفيروس و يتم اكتشاف هذه الفيروسات
بالبحث عن طريقة التشفير المتبعة و التي تكون في بداية نص الفيروس كما في
فيروس whale الذي يوجد منه اربعون نوعا مختلف التاثير.

التشفير المعقد Polymorphism
تستخدم بعض الفيروسات نظاما
متقدما للتشفير يكون فيه الرمز متغيرا طول الوقت عوضا عن البقاء ثابتا. و
كتابة البرامج المضادة للفيروسات اصعب من مجرد استخدام الصيغ النموذجية
templates للبحث عن الفيروسات،و كذلك كتابة الفيروسات من هذا النوع هي
صعبة حتى مع انتشار برامج خاصة لتوليد التشفير engines، و تاتي خطورة هذا
النوع من الفيروسات من ان اكتشافها اكثر صعوبة و اقل وثوقية و عملية اصلاح
الملفات المصابة غير مفيدة كما في فيروس tremor الذي يقدر عدد اشكاله
المختلفة بستة مليارات.