commodore.gen.tr

Soru: yeni antivirüslerde 30 yıllık virüsleri bulacak signature'ler hala var mıdır? Hem de virüsler 68k, 6510 ve z80 için olacak!

Clamav'ın signature dosyası 900mb civarı. Eski signature'ler duruyor olabilir. Dos f-prot'ta signature dosyası 5mb falandı, işler baya bi değişmiş

Elimde amiga disketleri, c64 disket ve kasetleri, spectrum kasetleri var. Türkçe intro'lar vb enteresan şeyler çıkıyor. Sonra tosec arşivleri vb var. Bunlarda çıkabilecek virüsleri ne ile temizliyorsunuz? Ya da cinsin biri çıkar da bunlara 2018 model virüs yazarsa nasıl başa çıkacağız?

Hedef kitle kısıtlı olduğu için kimse uğraşmaz :)

Arada açıp emülatörleri retro yapan ama çok önemli bir şahsiyetsen bu bilgi ile girebilirler pek tabii. Ama bu da daha çok film senaryosunu çağrıştırdı :)

2010'larda falan kullandığım antivirüsün bazı Amiga virüslerini bulduğunu hatırlıyorum. Ancak hangi antivirüstü? ADF'den mi yoksa HDF içinden mi bulmuştu? Detayları hatırlamıyorum.

Bu arada eski virüsler gelecekte emüle edilecekleri vizyonu ile yazılmamışlarsa emülatörlere zarar vermez (Network isteyen bir sistemse her şey olabilir).

Ancak emülatörlerin kendi açıkları özel programlar / disk imajları vesaire ile
exploit edilebilir.

i_r_on: Emülatör değil, gerçek makine için. Mesela amiga'ya elimdeki disketleri takıp deniyorum. Ya da tosec arşivinden bakınıyorum. Disketin biri virüslüyse ve bulaşıcı birşeyse tehlike başlıyor. Virüsün makineye zarar vermeihtimali de var

8-bit'ler için büyük sıkıntı olmasa da dediğin gibi amiga tarafı sıkıntılı olabilir.

Çoğu bilindik antivirus eski virüsleri hala tanıyor. Eski virüslerin imzaları da zaten bir kaç byte yer kaplıyor definition dosyalarında. ClamAv da ben Datalock, Sigalit (Cansu), Walker virüslü disketleri tespit edebilmiştim. Tabi amiga ADF veya HDF leri tarayabilirler mi emin değilim.

8 bit tarafında gerek yok gibi. Amiga tarafında ise emin olduğun yazılımları kurduktan sonra full partisyon yedeği almak ve bilinmedik yazılımları öyle denemek veya kurup uzun süreli beklemek çare olabilir lakin Amiga tarafında zaten virus scannerlar mevcut ama ne kadar güncel kaldılar o ayrı mesele.

Meraktan biraz Amiga virüsü bulup üzerinde virüs taraması yapayım dedim. Bende şu an sadece Linux var, onda clamscan ile denedim. Sonuç: ya clamscan Amiga virüslerini tanımıyor ya da virüs diye bulduklarım virüs değil:

Virüsler:
https://archive.org/details/amiga_virus_collection_research

Komutlar:
7za x amiga_virus_collection_research.7z
clamscan -r VIRUSCOLLECTIE/

Sonuç:
----------- SCAN SUMMARY -----------
Known viruses: 6551382
Engine version: 0.99.3
Scanned directories: 52
Scanned files: 814
Infected files: 0

ilker abi bende merak ettim tarattım.

(http://i.hizliresim.com/yqL8Ra.png)

Yanlız kaldık yani

Eski de olsa, kodlarını kurcalayıp yeniden compile edebileceğimiz, ayrıca yeni signature ekleyebileceğimiz antivirüs bilen varmı?

Aslaaa... Yalnız değiliz :)

Kendin pişir kendin ye türü bir antivirüs DB hazırlattım Amiga için:

amigavirusdb.hdb

Ekteki zipli dosyanın içinde yer alıyor.

Linux'ta kullanmak için:

clamscan -i -r -d /tmp/amigavirusdb.hdb ./

Eminim ClamAV'de de bunu kullanmanın bir yolu vardır (her iki program da aynı kökten).

Örnek çıktı şöyle:


----------- SCAN SUMMARY -----------
Known viruses: 812
Engine version: 0.99.3
Scanned directories: 108
Scanned files: 1391
Infected files: 972


Basit, sadece statik dosyaların imzalarını içeriyor. Ama hiç yoktan iyidir. Elinizde virüslü olduğunu bildiğimiz ADF'ler varsa, bana gönderirseniz onların da imzalarını ekleyebiliriz.

Mantık olarak, antivirüsün kullanıldığı sisteme tehdit olabilecek şeyleri yakalaması, diğer alakasız sistemlerle ilgili arama yapmaması doğru olan değil midir?

Bu durumda en mantıklısı antivirüs çözümünü de Amiga üstünde kullanmak.

Yabancı forumlarda amiga için aşağıdaki önerilmiş,

http://aminet.net/package/util/virus/VirusZ (http://aminet.net/package/util/virus/VirusZ)

Başka platformların kullanabileceği dosyaları barındıran bir sistemin hemen her platforma ait kımıl zararlılarını taramasına ihtiyaç var aslında... Ayrıca posta sunucusuna gelen gidenler de bundan geçmeli. Clamscan, phishing vb. içerikleri de yakalıyor örneğin.

Virusz ise keşke veritabanını ayrı bir dosyada tutsaymış, o imzaları alırdık... Bir bilen o 80K'lık VirusZ dosyası içinden hex imzaları çıkarabilirse o da olur.
 

Polymorphic virüs yok mu amiga için? Bu tip virüsleri statik arama ile bulamazsın mesela.

20 sene önceki CIH virüslü bir cd elinde olan varsa güncel bir antivirusle test ederse en sağlıklı test olmuş olur, bu günün virusleri CIH yanında jokeware gibi kalıyor.

Abi bu çok iyi. Bu veritabanını nasıl hazırlattın? Gerçi 812 virus tanımlı. Ama çok iyi :)

Çok iyiymiş :) elinize sağlık. Başlayacak bir yer çıktı :) Eski antivirüslerin tespit ettiklerinin imzalarını nasıl çıkartıyoruz? Yani bir tane dosya ve (eski) antivirüs bu dosyada şu virüs var diyor. O virüsü belirten şey ardarda gelen birkaç byte (makine dili) galiba. O byte dizisini nasıl buluyoruz? Bulunca da amigavirusdb.hdb'ye eklemenin de bir yolu vardır tabii :)

Aslında amigavirusdb.hdb bir virus veritabanı ve bunu işleyen de https://www.clamav.net (https://www.clamav.net) adresindeki ClamAV. Konsol tabanlı olarak -d parametresi ile bu dosyayı veritabanı olarak tanıtıp ilgili dosya veya klasörleri taratabilirsin.

Asıl soru bu hdb dosyası nasıl oluşturuldu? ilker abiden cevap bekliyoruz.

clamscan'i gayet esnek yapmışlar. Birkaç türlü veritabanı oluşturulupeklenebiliyor. Örneğin belli bir virüse özgü bir byte dizisi ASCII hex olarak eklenebiliyor. Ya da bu örnekteki gibi eski arşiv dosyaları için, md5 hash'leri ve byte uzunlukları ile basit bir veritabanı oluşturulup eklenebiliyor.

Bu statik, yani arşivlerden indirirsek virüslü indirebileceğimiz dosyalar için oluşturulmuş veritabanını, virüslü dosyaların bulunduğu bir klasörde tek satırlık şu basit komutla oluşturttum:

find ./ -exec sigtool --md5 {} \; | cut -f1 -d\. > /tmp/amigavirusdb.hdb

Yaramayacak. Statik dosyadan kasıt o zaten. Örneğin diyelim ki İnternet'ten bulup indirdiğimiz bazı .ADF'ler bazı .LHA'lar virüslü, işte eğer bu veritabanında bunların kaydı varsa yakalayacak. Yoksa diyelim ki bir virüslü dosyayı indirip çalıştırdık ve diğer dosyalarımızı enfekte etti, işte bu haliyle bunları yakalayamayacak... Tek satırlık çözümle ancak bu kadar oluyor.

Ama eğer birisi VirusZ programındaki vektörleri çıkarıp verirse, ya da kaynak kodunu temin ederse, o imzaları kullanarak ayrı bir veritabanı oluşturabiliyoruz kolayca. İşte o zaman, yeni enfekte olmuş dosyaları da yakalamak mümkün olur.

Yalnız bu hali de yararlı. Örneğin, o virüs arşivindeki bir dosyayı bir .adf içine atıp, o .adf'yi tararsak virüslü olduğunu bulacaktır. Yani, eskiden enfekte olmuş, İnternet'te indirmemizi bekleyen çoğu masum görünüşlü şeytanı yakalaması lazım.
 
 

Bir zamanlar Amigada Virus Expert programı vardı. Virüsleri arşivleyip tekrar disketlere bulaştırabiliyordu.