  Ŀ
  Ŀ
                                                                          
                      "Recep'in Kesi"  Virsler                        
                                                                          
  ٳ
   PS 25  Austos'95                                 Recep Tezkol          
  


> Merhaba Dostlar,

        Efendim, virsler sohpetimizde bu ay DORUK BBS virs forumuna konuk
  olacaz. Doruk BBS'de bir ok forumun yan sra bir de virs forumu
  bulunmaktadr. Burada virsler ve bunlara kar alnacak nlemler konusunda
  zaman zaman ateli tartmalar, bilgi alverii olmaktadr. Getiimiz
  yln mays ay posta kaytlarndan derlediim mektuplar size sunuyorum.
        Bizleri misafir eden DORUK BBS Sistem operatr Sayn Cengiz zden'e
  ve virus-f yelerine teekkr ederim.
  
DORUK BBS ViRS FORUMU POSTALARI

Herkese merhaba,
Virsler herzaman ilgimi ekmitir. En basitinden en karmana. Hatta,
enmeyip, oturup virs de yazmtm. lk virsm, sadece COM dosyalara
bulaabilen, 102 bytelk bir virsd. Hibir kontrol yoktu, kendini ardarda
bellee yklyor, ayn dosyay defalarca virslyordu. En son gelitirdiimde
ise statik 7 byte var, aklnza gelen pek ok kontrol var, baz virs
scanner'lar kar hassasiyet bile. Neyse, onlar hibir zaman hibir yere u/l
etmedim, hi de niyetim yok. Amacm sadece kendi kendime minik mutluluklard.
  Neyse, virs konusunda neler dndm biraz grendiniz. Daha nce
Altnyldz grubunun eitli irketlerinde ( en uzun sre ALSS'de ), ve
Robotics'de altm. Bazlarnz bileceklerdir, Robotics'in de bir BBS'i
vardr. Orada henz tanmlanmam ( daha dorusu ska kullanlan virs tarama
programlarnn bulamadklar ) virsler zerine baya vakit harcadm. Cansu
adn verdikleri virs bir dergi yaynlamadan 3 ay nce temizleme program
ile orada tantmtm. air ve Mumcu'nun BBS'lerde dolaan ilk temizleme
programlarn da yazdm. Ayrca belirtmekde yara var, hala Scan'in bulamad,
birinin adn SSD, dierinin de Cc koyduum iki virs piyasa da dolamakta.
Cc her ne kadar ilkel olsa da, SSD, tehlikeli ve nispeten biraz daha
gelimi bir virs. steyen olursa pheli dosyalrn incelerim.
   Gelelim, konu balna, Scan 114 ve Clean 114. Srm 112'in sonras ok
abuk geldi, neredeyse 1 ay iinde iki yeni srm birden. Burnum, yeni
virslerden ok bug-fix kokusu alyor ya, neyse. MacAfee'ye  air ve Mumcu'nun
temizleme algotirmalarn, virsn aklamal ( reverse engineering ile elde
edilmi ) kaynak kodunu da gnderdiim halde, hala, virsleri bulduunda "Yok
abi, ben bunlar temizleyemeyeceim, istersen, zerini karalayp sileyim"
diyor, ve bu benim sinirimi bozuyor. Ayrca F-Prot gibi daha makul programlar
bile, ilk bellek taramasnda ( rnein benim makinamda 170X ) bulduunu
sylyor. Virs aratrmalar/ gelitirmeleri iin ayr bir makina kullanrm,
ve makinam imdiye kadar yalnzca bir kez virslendi, onda da evime gelen bir
arkada kendi makinasnn bozulduunu, ve projeyi yetitirmek iin benim
makinamda almasnn gerekli olduunu sylemi, yokluumda ailem kabul
etmiti. rnein, ben eminim makinamdan, ve n eyaplacan biliyorum, ancak
bilgisayar artk herkes tarafndan kullanlyor desek yanl olmaz. Bunlarn
arasndaki pek ok bilinsiz kullanc sizce "Makinanzda virs var" yanl
alarmnda ne yapard?

 Sorumsuz, virs arama ve temizleme programlar reticilerini knyorum.
Sayglar.
Murat Sakarya.

************************************************************************
Sender: "med" <erdemd@doruk.com.tr>
Subject: yeni bir virus

    Sevgili virus severlere(!!!)
   Asagida 1 aydir elime gecen her virus programiyla yaptigim testler
arastirmalar sonucu yakaladigim yeni bir virus hakkinda edindigim bilgileri
yazdim. Anti virus yazacak kadar iyi bir programci olmadigim icin isteyenlere
bir disketle virusu yollayabilirim. Virussuz gunler geceler dilerim.
                                                                     -MED-


 ATB virusu EXE uzantili dosyalara bulastiginda dosya uzunlugu birinci bulas-
mada 5164 byte, ikinci ve sonraki bulasmalarinda 2400 byte uzuyor.
Ayrica test icin COM dosyalara bulastirdigimda her COM dosyanin boyunu esit
miktarda uzatmadigini gordum. Fakat daha farkli bir olay da soyle oldu.10 byte
uzunlugunda yazdigim bir COM dosyanin boyunu ilk bulasmada 2389 byte ikinci
bulasmada 5162 byte uzatti ve sonraki bulastirma girisimlerimde herhangi bir
uzama olmadi. Bulastigi dosyalarda ornegin DOS 6.0'in mem.exe gibi hafizaya
bakan bir program oldugunda tuhaf hatalar hafizada ilginc goruntuler olmasina
neden oluyor (yani kisaca sacmalamalar oluyor).

    Ayrica virus aktif hale geldiginde ekranin en ust satirinda kayan
yazi seklinde komik esprili bir takim mesajlar gecirmekte.
Mesaj soyle:

Dos Sistem Uyarilari:MERKEZI ISLEM BIRIMINDE IKI DERECE SICAKLIK ARTISI
GOZLENMISTIR. YAPTIGINIZ ISLEMLERI EN ALT DUZEYE INDIRINIZ-ATB; BILGISAYARINIZ
KIMLIGI SAPTANMAMIS BIR CASUS UYDU TARAFINDAN IZLENMEKTEDIR, GIZLI
ISLEMLERINIZ
ICIN TUVALET KAGIDI KULLANINIZ.-ATB; BULUNDUGUNUZ BOLGEYE BES KILOMETRE
MESAFEDE DUSMAN FUZELERI TESBIT EDILMISTIR, SIGINAKLARA GITMENIZ ICIN 10
SANIYENIZ VAR-ATB; SU ANDA BILGISAYARINIZ PSIKOLOJIK BIR BUNALIMA GIRMISTIR,
TESELLI ICIN LUTFEN CABA SARFETMEYINIZ. BEN PISI MISI ANLAMA BEN MERSEDES
ISTIYORUM-ATB; DISKINIZDE SU AN BIR DELIK DAHA ACILIYOR!! KAPASITESI IKI
KATINA
CIKACAK -ATB; KIRMIZI UZERINE COCA-COLA YAZILI LENSLERIMIZ CIKTI, ISTEKLERINIZ
ICIN ATB -ATB; 2000 YILI GELIYOR... NICE FROM FAR, FAR FROM NICE-ATB; SONRAKI
VIRUS VERSI

demis ve kalmis.Sanirim bu isi yapan kisi orijinal Yankee Doddle 2885
virusunun icindeki mesaj metnini degistirmis ve sigmayinca yarim kalmis.
Ancak Scan 111 bu virusu Yankee Doddle 2885 olarak yakalayabiliyor Clean 111
ile temizlenemiyor. Clean 111 'in temizleyememesinin nedeni bence bu
degisikligin yapilmis olmasi

   * Mesaja bakarsaniz eger niye bu viruse ATB adini verdigimi anlarsiniz.

Son dakika notu:
----------------
    Elime yeni gecen Scan 113, Clean 113 ile yeniden tarama yaptigimda bir sey
daha kesfettim ki, o da virusun ikiden fazla bulastigi dosyalarda virus
yakalanamiyor. Sonuc olarak yine Clean 113 ile bile bu virusten
kurtulunamiyor.
                        -MED-


************************************************************************
Sender: "Murat Sakarya" <murats@doruk.com.tr>
Subject: Re: yeni bir virus

>    Sevgili virus severlere(!!!)
>   Asagida 1 aydir elime gecen her virus programiyla yaptigim testler
>arastirmalar sonucu yakaladigim yeni bir virus hakkinda edindigim bilgileri
>yazdim. Anti virus yazacak kadar iyi bir programci olmadigim icin isteyenlere
>bir disketle virusu yollayabilirim. Virussuz gunler geceler dilerim.

Selam,
Henz mesajnn devamn okumadm bile. Ancak gerek de yok. O virs
STYORUM.  Eer mmkn ise,
   Murat Sakarya
   Omni Ltd. ti.
   Yldz Posta Cad. No 11/9
   Esentepe 80280 stanbul
adresine gnderir misin?
imdiden teekkrler.
Murat.

************************************************************************
Sender: "med" <erdemd@doruk.com.tr>
Subject: Re: yeni bir virus
>
>
Mesajini aldim. Virusu en kisa sure icinde yollayacagim. Ayrica bir de
suprizim var. Bir tane daha yeni bir virus buldum adini da TOSUN-History
koydum onu da yollayacagim. Anti virusu yazarsan ben de isterim.
Virussuz gunler dilerim.     -MED-


************************************************************************
Sender: "Murat Sakarya" <murats@doruk.com.tr>
Subject: Re: yeni bir virus


 Harikasn. Teekkr ederim. Eer antivirs yazlabilecek bir virs ise
yazarm ( umarm overwriting deildir ). Yaznca da senin koyduun isimleri
kullarm ve ilk alacaklardan biri de sensin.
Grmek zere.
Murat


************************************************************************
Sender: "IBRAHIM YILMAZ" <yilmazi@doruk.com.tr>
Subject: Re: yeni bir virus


>>    Sevgili virus severlere(!!!)
ne demezsin...
>>   Asagida 1 aydir elime gecen her virus programiyla yaptigim testler
>>arastirmalar sonucu yakaladigim yeni bir virus hakkinda edindigim bilgileri
>>yazdim. Anti virus yazacak kadar iyi bir programci olmadigim icin
isteyenlere
>>bir disketle virusu yollayabilirim. Virussuz gunler geceler dilerim.
nasil anladin virusu onu yazsan iyi olur bence...virusten bir parca
rica etsem :)


************************************************************************
Sender: "MED" <erdemd@doruk.com.tr>
Subject: Re: yeni bir virus(to yilmazi@)

>
     Selam sevgili virus sever(!) ya da sevmez brahim,
     Bence sen ya hi virse rastlamadn ya da virslerle i iesin de haberin
yok. Ayrca bir de u var belki de kullandn sisteme hi mi hi virs bula-
myordur(bu biraz zor ama ihtimal dahilinde - it always possible to infect
any kind of virus to every program, if you don't know anything about viruses).

     Ben yaklak 7 yllk bir PC kullancsym ve 7 yldr da virslere
sava am, zararlarnn yannda yararlarn da (nasl olur demeyin
anlatacam) grm bir kullanc olarak tecrbelerimden size baz aktarmlar
yapacam. nk virs yazarlara ve virsl tutanlara kar topyekn bir
sava balatmak istiyorum. Virs yazarlarna buradan sesleniyorum:

"Virs yazacanza gidin gazete okuyun da evremizdeki sabotaj olaylarn
grn de utann. Sizin yaptnz, yllarca allarak yaplm bir yapy
bombalamaya, ya da sevmediiniz birisinin arabasnn frenlerini sabote etmeye
e deer. Eer biraz olsun kendi yaptnz, kefettiiniz eylerin gzleriniz
nnde yok olmasna dayanamyorsanz bu ii yapmazsnz."

     Bugn ben virsler yznden dier insanlara gre daha az olmakla birlikte
bilgi kaybna uram bir insan olarak bilginin amzn en deerli varl
olduu gnmzde virs yaratan bu insanlar knyorum. Bence nasl psikopat
bir

insan zevk iin adam ldryorsa virs yazarlar da zevk ve kendi egolarn
tatmin iin virus yazmaktalar(Anti-virus satmak iin ticari olarak yazanlar da
ayr bir konu, onu da sonra ayrca yazarm).Pek muhterem (#@!) virus yazar-
lar; sanmayn ki virs yazarak zekiliinizi ortaya karyosunuz veya ne ka-
dar zeki olduunuzu herkese ilan ediyorsunuz. nk virs yazmann zekilikle
veya ok bilgili olmakla hi alakas yok biraz assembler biraz virsler
hakkn-da bilgi edinmekle herkes virs yazabilir. Eer sadece uzmanlar bu ii
yapabi-liyor olsayd dnya apnda gnde ortalama 5 - 14 PC virs (rakamlar
ok dei-ebilir) ortaya kmazd.
     Yani bilmem anlatabildim mi?

     Ya pardon kaptrmm imdi asl konuya gelelim:Yani virs nasl
anladm? ne yapt da virs olabilir dedim?(her samalamaya virs denmez, ya
bir yazlm ya da ufak bir donanm hatas olabilir ki bunlara bug-bcek diyo-
ruz). Aslnda brahim bu soruya cevap vermektense virsler nasl varlklardr
ve nasl tespit edilebilirler ya da durumdan phe edilebilir gibi sorulara
cevap vererek konunun asln anlatsam herhalde kendin de (senin gibi virsleri
tanmayanlar ya da az tanyanlar dahil) virs tespit edebilirsin. inliler ne
demi "a grdn birisine karnn doyurmak iin balk vereceine ona balk
tutmasn ret."

     Gelelim balk tutmaya pardon virslerin zelliklerine (burada anlattkla-
rm tamamen kendi edindiim tecrbelerdir ve her alanda olduu gibi eksiklik-
leri tamamlamak isteyenler ya da tartmak isteyenlere her zaman am)

     Virsler genel olarak u zellikleri gsterirler.Ancak unu da belirteyim
ben bu yazy yazarken yeni zelliklere sahip virsler virs yazarlar tara-
fndan yazlyor olabilir: Hemen hemen hepsi TSR (Terminate and Stay Resident)
programlar gibi kendilerini bulabildikleri her canl organizmaya (burada vi-
rslerin organik virslerle olan ortak zellikleri nedeniyle bulat ve
yaa-d organizma bir program olarak dnlmtr) bulatrabilmek iin
bilgi-sayarn canl hafzasnda (RAM - Random Access Memory) asl kalrlar.
Her virsn bir aktif hale geme koulu vardr. Kimisi Michelangelo gibi
herhangi bir tarihi bekler ve bu tarihte yapmas gerek neyse; rnein dosya
silmek, ekranda bir mesaj yazmak, diskteki ya da disketteki tm bilgileri
ulalmaz hale getirmek gibi eylemler gerekletirirler. Tabi bu aktif hale
geme koul-lar olmayan virsler de vardr. Ayrca aktif hale gemeden evvel
sadece bula-tnda bile tuhaf eyler yapanlar; rnein alakasz hata
mesajlar vermek, bulat dosyalarn tarihlerini sfrlamak (bu virs ben
yakaladm adn TOSUN-History koydum), dosyalarn boyunu iirenler (yine
benim bulduum ATB virs gibi),...vb. virsler de var. Kimi virsler
bazlarnn dediine gre CTRL+ALT+DEL ile reboot'tan bile kaabiliyormu ama
bunu tam olarak kantlam deilim.Zaten buna da inanmyorum ancak baz
virslerin (Walker gibi) anti-debugging zellii var. Bu zellik de virs
hafzada iken bulat yerlere aramaya kalktnzda sizi yanltp yanl
bilgi edinmenizi salamasdr.Diye-lim hafzada Int 13`e bulat ve burada bir
registerin deeri imdi atyorum `1` olmas gerekirken `0` olduunda virs var
diyebiliyorsak virs bu zellii sayesinde bize bu dee normalmi gibi
gsterebilmekte. Tabi virs tespiti haf-zadaki bir registere bakarak hemen
p diye yaplamaz. Ben sadece hayali bir rnek veriyorum.

NOT: BURADA ANLATILAN TARAMA YTEMLER SZN STENZE BALIDIR VE HER
TRL SORUMLULUK SZE ATTR.

     Virsler;

     a) Dosyalara bulaan virsler
     b) Disket ya da diskin belli blgelerine bulaanlar

olmak zere bulatklar yerlere gre ikiye ayrlrlar. Bunlar da tabiki kendi
aralarnda eitli gruplar olutururlar.

     a) Dosyalara bulaan virsler :

     Bu trler genelde EXE, COM, OVL uzantl alan dosyalara bularlar.Bu-
latklarnda hemen hemen hepsi dosya boyunu bir miktar  uzatrlar. te dosya
virslerini ilk ele veren bu boy uzatmadr.imdi brahim sen bata olmak zere
herkes "her dosyann boyunu bilmem mi gerekiyor, ama bu imkansz" diye isyan-
lar oynuyor olabilirsiniz. Aslnda olay gayet kolay (ukalalk yapmyorum),
bu tr dosya virsn tespit etmek iin ilk kez batch-file (DOS yn dosyas)
yazmtm. Yanl okumadnz DOS yn dosyas yani yle;

@echo off
echo BURADAK BE.EXE ve LAVA.COM YERNE SZ KENDNZ BAKA EXE, COM
echo DOSYA KOYABLRSNZ.
dr be.exe
dr lava.com
echo imdi alacak olan programlar yukarda listelenmitir ve
echo orijinal uzunluklar BE.EXE 18377, LAVA.COM 6942 bayttr.
be.exe
lava.com
dr be.exe
dr lava.com
echo Eer yukarda listelenmi dosya boylarnda bir uzama varsa hafzada bir
echo virs olma ihtimali vardr. Hangi dosyalardan phe ediyorsanz aman ona
echo dikkat edin.

bu yntemde virsl olmasndan phe ettiiniz, nasl m? Mutlaka ters giden
bir eyler vardr. Alakas olmayan hata mesajlar o program altrdnzda
ortaya kyorsa phe edebilirsiniz ve o program dosyasnn uzunluunu bilme-
seniz de bu ilem geerlidir. Bu yn dosyasn altrmadan nce ite bu
phe ettiiniz program altrn bylece virs varsa hafzaya bular.
Sonra bu yn dosyasn altrn ve sonuca gre karar verin.Grdnz m? ne
kadar basit. Kimi bilen kimseler diyecekler ki iyi de ya virs overwriting ise
dosya boyu uzamazki. ite o zaman bir HEXADECIMAL dosya gsterici programla
(NU6.0 Diskedit, PCTools gibi programlar tabi bunlar write protect konumda
olan dis-ketlerden altrlmal TE BURASI NEML; BU PROGRAMLAR WRITE
PROTECT KONUM-DA OLAN DSKETLERDEN ALITIRILMALI yoksa bunlar da
virslenebilir) orijinali-ni karlatrarak ki bu da ok zor bir ilemdir.
Eer hala virs bulacam diye inat ettiyseniz bu ileme bavurun yoksa
hexadecimal kodlar iinde boulursunuz. Bir de DOS'un debug programn
kullanarak incelemek var. Tabi bu da inat edenler iin bir yntem ama eer
virste anti-debugging varsa ie ya-ramaz.

     Eer virs overwriting (zerine yazma - yani var olan program yapsnda
deiiklik yapma) zelliine sahip ise virsn byk ihtimalle temizlenmesi
mmkn olmayabilir.

     Bunlarn yannda en sevdiim ve zahmetsiz yol ise her zaman elinizdeki en
yeni bulundurduunuz (yenilik olarak 1-2 aylk ya da daha az sre ncesi piya-
saya km) virs tarama/temizleme programlar KULLANMAKTIR.

     b) Disket ya da diskin belli blgelerine bulaanlar :
     Bu blme daha sonra devam ederim yoruldum dinleneyim biraz.

NOT: brahim! sana istemi olduun virsten paray bir dahaki mesajmda
ucubik karakterler eklinde gndereceim ok mi?

VRSSZ GNLER, GECELER DLERM.
                             -MED-


************************************************************************
Sender: "IBRAHIM YILMAZ" <yilmazi@doruk.com.tr>
Subject: Re: yeni bir virus(to yilmazi@)


>     Selam sevgili virus sever(!) ya da sevmez brahim,
Selam,
mmm...virus sevmek mi...
Belki bazi insanlara bu zekice gelebilir ama bence bu dusuncesiz
insanlarin isi.
>     Bence sen ya hi virse rastlamadn ya da virslerle i iesin de
ben viruslerden ilk zarar goren kisilerden biri olabilirim.
Bir zamanlar IBM VM/SP (mainframe) lerde sagi solu kurcalarken, operator
makinasina girmisim yanlislikla :) , Sonra bi de CHRISTMAS diye bir program
vardi. Bu ne deyip calistirmistim da bir Agac sekli cikmisti ekrana.
Iki uc gun sonra da bizim sistemcibasi bizi bi guzel azarlamisti. Sizin
yuzunuzden Avrupa'dan bi suru sikayet geldi, her yere CHRISTMAS programini
yollamissiniz vs.vs.
Eh tabi bizim diskimizi buyutturme planlari da suya dusmustu.
Daha o zamanlar virus adini bile duymamistim. (1986,87 civarlari)

Sonra Amiga'da Byte Bandit virsunu ve Guardian temizleme programini
gorunce tanistik kendileriyle.
O siralarda 170X (COM) virusunu de calistigim PC'de farketmistim. COM
dosyalari uzuyordu ve hemen bir temizleme programi yapmistim. Sonra SCAN
programi cikti piyasaya ve bilumum virusler. Ping pong, Dark Avanger ile Dir 2
belalilariydi.  Sonra tedbirimizi aldik tabi. Virus teknikleri ise hep ilgimi
cekmisti.

>yok. Ayrca bir de u var belki de kullandn sisteme hi mi hi virs bula
>myordur(bu biraz zor ama ihtimal dahilinde - it always possible to infect

virusun ne oldugunu unutmaya baslamistim yav.

>yapacam. nk virs yazarlara ve virsl tutanlara kar topyekn bir
>sava balatmak istiyorum. Virs yazarlarna buradan sesleniyorum:
>
>"Virs yazacanza gidin gazete okuyun da evremizdeki sabotaj olaylarn
>grn de utann. Sizin yaptnz, yllarca allarak yaplm bir yapy
>bombalamaya, ya da sevmediiniz birisinin arabasnn frenlerini sabote etmeye
>e deer. Eer biraz olsun kendi yaptnz, kefettiiniz eylerin
>gzleriniz nnde yok olmasna dayanamyorsanz bu ii yapmazsnz."

>ayr bir konu, onu da sonra ayrca yazarm).Pek muhterem (#@!) virus yazar-
>lar; sanmayn ki virs yazarak zekiliinizi ortaya karyosunuz veya ne ka-
>dar zeki olduunuzu herkese ilan ediyorsunuz. nk virs yazmann zekilikle
>veya ok bilgili olmakla hi alakas yok biraz assembler biraz virsler
>hakknda bilgi edinmekle herkes virs yazabilir. Eer sadece uzmanlar bu ii
>yapabiliyor olsayd dnya apnda gnde ortalama 5 - 14 PC virs (rakamlar
>ok deiebilir) ortaya kmazd.
>     Yani bilmem anlatabildim mi?
iyi demissin...katiliyorum ama virus yazanlarin kimisi gercekten ustaca
yazmislar, ustaliklarini dokturmusler, ozellikle aman kimse zarar gormesin
diye ne kadar ugrasmislar bilseniz. Kimisi bir espiri olsun diye yazmis.
Belki dedigim CHRISTMAS'i yazan virus olsun diye degil de herkezin
yeni yilini kutlamak icin yazmistir.
Kimisi birine duydugu sevgiyi tum aleme duyurmak istemis. Hani su Mumcu
virusu.
Tabi ne zarar vereceklerini dusunmeden...Veya bundan ne olacak canim
diyerek.

>CTRL+ALT+DEL ile reboot'tan bile kaabiliyormu ama bunu tam olarak
>kantlam deilim.Zaten buna da inanmyorum ancak baz virslerin (Walker
>gibi) anti debugging zellii var. Bu zellik de virs hafzada iken
bulat yerlere
>aramaya kalktnzda sizi yanltp yanl bilgi edinmenizi salamasdr.
Cok korkunc. Ya bende de varsa. Olecek miyim, yoksa bir kamera sakasi mi.

iyi yazmissin, parmaklarina saglik.
>VRSSZ GNLER, GECELER DLERM.
> -MED-

Benden de herkese SIHHAT ve mutluluk dolu gunler.

ibrahim


************************************************************************
Sender: "Murat Sakarya" <murats@doruk.com.tr>
Subject: Re: yeni bir virus(to yilmazi@)


Evet, eer btn virsler ( bazlar gibi )bularken haber verseler ne iyi
olurdu deil mi ? :-)


>nk virs yazarlara ve virsl tutanlara kar topyekn bir
>sava balatmak istiyorum.

   Balat koum kim tutar seni ...

>(Anti-virus satmak iin ticari olarak yazanlar da

 Onlarn ou Bulgar. Geen sene Robotics BBS'e bunu Trkiye'de yaptn
syleyen biri dadanmt da, aznn payn vermitim. Zaten virsleri de bir
eye benzemiyordu.

>Biraz assembler biraz virsler hakknda bilgi edinmekle herkes virs
>yazabilir.

  Ama, virsden virse de fark vardr bu arada...


>     Virsler genel olarak u zellikleri gsterirler.Hemen hemen hepsi TSR
>(Terminate and Stay Resident)

 Evet, dorudur. Yeni virsler SBK ( Sonlan ve Bellekte Kal ) olmak zorunda !

>tnda bile tuhaf eyler yapanlar; rnein alakasz hata mesajlar vermek,
>bulat dosyalarn tarihlerini sfrlamak (bu virs ben yakaladm adn
>TOSUN-History koydum), dosyalarn boyunu iirenler (yine benim bulduum ATB
>virs gibi),...vb. virsler de var.

 Bunlar Tuhaf davranlar deil, yalnzca aramzda "lazy programmer" diye
adlandrdmz uyuuklarn virs yazmaya kalkmasnn sonucu. Genelde bir
virsn ayn dosyay birden ok kere bozmas istenmez. Bu yzden dosyann
virsl olup olmadn da bulamaya alma esnasnda kontrol etmek gerekir.
Bunun en gereki yntemi, virs tarama programlarnn yapt gibi, virsn
olmas muhtemel kaykln okuyarak, kendi kodunu kontrol etmektir. Ancak
tahmin edebileceiniz gibi bu zellikle dk hzl makinalarda (iyi
kodlanmazsa) oka vakit alabilir. O yzden virs yazarlar bir ksm
farkedilmeyen, bir ksm da dikkatli gzlerden kamaycak olan tarih
deiiklii yntemini kullanrlar. rnein Vienna virs dosyann oluturulma
saniyesini 62 yapar. "Dir" dediinizde bu saniye ekrana gsterilmez ve siz de
byle bir samaln farknda olmazsnz, ancak bi bilgi dosyann bilgileri
arasnda mevcuttur ve Eer Get File Date&Time fonksiyonlarn kullanrsanz
kolayca bu dosyann virsl olup olmad hakknda yorum yapabilirsiniz. Sebep
bu kadar ak.


>Kimi virsler bazlarnn dediine gre
>CTRL+ALT+DEL ile reboot'tan bile kaabiliyormu ama bunu tam olarak
kantlam >deilim.Zaten buna da inanmyorum

 zgnm ancak inanmalsn. Bunun iin iletim sisteminin inceliklerini bilmek
gerekiyor, Ctrl-Alt-Del yapldnda sadece 3 kesmenin adresi deimemektedir.
Yani bu u kesmenin adresleri POST (Power on self test) ardndan bulunup kesme
tablosuna yazlmamaktadr. Bunlardan biri de video kontrol kesmesi olan
0x10'dur. Sanrm yeterince tyo verdim. Ancak uratrsa ve virs kodunu
neredeyse 168 byte uzatsa da, bu mmkndr ve kullanlmaktadr. Bu ileme de
"Fake Boot" ad verilir.

>anti-debugging zellii var. Bu zellik de virs hafzada iken bulat
>yerlere aramaya kalktnzda sizi yanltp yanl bilgi edinmenizi
>salamasdr.Diyelim hafzada Int 13`e bulat ve burada bir registerin
deeri >imdi atyorum `1` olmas gerekirken `0` olduunda virs var
diyebiliyorsak >virs bu zellii sayesinde bize bu dee normalmi gibi
gsterebilmekte. Tabi >virs tespiti hafzadaki bir registere bakarak hemen
p diye yaplamaz. Ben >sadece hayali bir rnek veriyorum.
>
 Evet, rnek hayali, nk gerek debugger'lar ile hi anslar yok, register
deerlerini grebilirsiniz. Ancak anti-debugging olarak anlalmas gereken
ey, rnein Boot sektrnz Stoned virs ile bozulmu ise, DiskEdit gibi
programlarla (virs aktif iken) boot sektr okuma isteiniz filtrelenir, ve
orjinal sektr size gsterir. Ayrca baz virsler, baz tarama programlarn
"hissederek", taram annda kodlarnn yerini deitirme, kodlarn deitirme
gibi zelliklere de sahiptirler. Eskiden kullanlan bir yntem de ( genelde
partition ( blmlendirme tablosu ) ve boot sektr virsleri kullanr), DOS
ana belleinden 1 ya da 2 KByte almaktr. Dos neredeyse her bellek isteinde,
0040:00xx'lerde bulunan parametre tablosundan ne kadar toplam bellek var diye
bakt iin oradaki deer ile oynamak bile bazen yeterli olmaktadr.


>     a) Dosyalara bulaan virsler :
>
>     Bu trler genelde EXE, COM, OVL uzantl alan dosyalara
>bularlar.Bulatklarnda hemen hemen hepsi dosya boyunu bir miktar
>uzatrlar. te dosya virslerini ilk ele veren bu boy uzatmadr.

 zgnm ama, artk virs yazarlar arasnda byle virsler yazanlara ilkel
gzle baklyor. Pek ok virs dosya boyunu orjinal olarak gsterebilmekte.
Yntem de basit. Find_First_Matching_File ve Find_Next fonksiyonlarn
alrsnz. Bu Int 21h fonksiyonlar dosyann ad, boyu, oluturulma tarihini
ieren bir blok gnderirler. Eer virsn varl kontroln rnein saat
deerini 25 ile karlatrarak yapyorsanz, iiniz iyice kolay.
Eer oluturulma saati 25 ise
   Eer dosya uzants COM ise
      Dosya Boyundan COM'a eklenen boyu kar
   Eer dosya uzants EXE ise
      Dosya boyundan EXE'ye eklenen boyu kar
demek yeterlidir.

Ayrca, pek ok kiinin pek ok srm (version) in bildii COMMAND.COM
uzunluklar da artk ie yaramaz oldu. nk IBM-DOS, MS-DOS, PC-DOS, DR-DOS,
Novell-DOS, ( ayrca pek ounun Compaq, Toshiba filan iin ayr
gncellemeleri ) olmas ayn srm COMMAND.COM'larn deiik uzunluklara sahip
olmalarna sebep oldu.

>dr lava.com
>echo Eer yukarda listelenmi dosya boylarnda bir uzama varsa hafzada bir
>echo virs olma ihtimali vardr. Hangi dosyalardan phe ediyorsanz aman ona
>echo dikkat edin.
>
 Ancak yine de belirtilmesi gerek birey var : Pek ok virs orjinal dosya
uzunluu konusunda hassasdr. rnein (zorunlu olarak) .COM dosyalarda ekleme
sonucu oluabilecek boy, 64K'nn zerinde olamaz. Ayrca, tanmlanmay ya da
temizleme programlarnn yazlmasn engellemek amac ile de EXE'lerde pek
ou minimum bir dosya boyu belirlemilerdir. Tabi bunda, burada anlatmamzn
gerei olmayan EXE header bilgilerinde yapmalar gerekecek deiiklikler de
etkilidir.


Yeni km tarama programlarna gelince...
McAfee'nin Scan ve Clean'i de Frederick Sculasen'in F-Prot'u da, d
kaynakldr. Ayni Trkiye'mizin yeni cevherlerinden, ancak birileri onlara
rnek gnderince haberleri olmakta. O yzden onlar da her zaman gvenilir
deildir. F-Prot 2.11 makinam her taramamda bellekte 170X ( tarih ncesidir,
genler bilmez ) bulduunu sylyor, ben de azm brakp baka bir yerimle
glyorum.

>VRSSZ GNLER, GECELER DLERM.
>                             -MED-

Mesajna teekkrler..
Bulatm iin umarm kzmadn...
Murat Sakarya -=[]=-


************************************************************************
Sender: "MED" <erdemd@doruk.com.tr>
Subject: Re: yeni bir virus(to yilmazi@)

>
>
>Evet, eer btn virsler ( bazlar gibi )bularken haber verseler ne iyi
>olurdu deil mi ? :-)
>
>
>>nk virs yazarlara ve virsl tutanlara kar topyekn bir
>>sava balatmak istiyorum.
>
>   Balat koum kim tutar seni ...
>
>
>Yeni km tarama programlarna gelince...
>McAfee'nin Scan ve Clean'i de Frederick Sculasen'in F-Prot'u da, d
>kaynakldr. Ayni Trkiye'mizin yeni cevherlerinden, ancak birileri onlara
>rnek gnderince haberleri olmakta. O yzden onlar da her zaman gvenilir
>deildir. F-Prot 2.11 makinam her taramamda bellekte 170X ( tarih ncesidir,
>genler bilmez ) bulduunu sylyor, ben de azm brakp baka bir yerimle
>glyorum.
>
Bende de F-Prot 2.11 var fakat u ana kadar senin anlatn gibi bir olayla
karlamadm. Bir anormallik olmasn.(yaklak iki aydr kullamyorum)
>>VRSSZ GNLER, GECELER DLERM.
>>                             -MED-
>
>Mesajna teekkrler..
>Bulatm iin umarm kzmadn...
yoo ne demek tabi buyur abi
sana yazdm dier mesaja bakarsan sevinirim.
Grmek zere
                  -MED-
>Murat Sakarya -=[]=-
>
>


************************************************************************
Sender: "MED" <erdemd@doruk.com.tr>
Subject: Re: yeni bir virus(to yilmazi@)

>
     Herkese selam
     Virslerle ilgili yazma kaldm yerden devam ediyorum.

     b) Disket ya da diskin belli blgelerine bulaanlar :
     Bu virsler de benim rastladm ve bildiim iki eit;

     i) Boot/Partition Table virsleri

     Bu virslerden u sralar en ok tannan CANSU virs. Hatrlamadnz
m?
Hani 1 Numara Virslk pardon Yaynclk hediye olarak verdii disketle da-
tmt. Hah ite o.
     Bu tr virsler tespit edilmeleri en kolay virslerdir. Dosyalara
bulama-
dklar iin ya hard diski veya disketi toptan yok ederler ya da ulalmaz
hale
getirirler. Bulamalar da olduka kolaydr. Virsn bulamas iin her hangi
bir programn almas gerekmez (tabi diskin 0. sektr partition, disketin
0. sektr boot ksm yani Master Boot Record-MBR'un bir eit program olduu-
nu saymazsak). Virsn bulamas iin bilgisayara taklm olan virsl diske-
tin bu MBR programnn almas gerekir. Bu da disket bilgisayar alrken
disket srcde takl olmas veya herhangi bir ekilde disketten kopyalama
yaplmas ile mmkn olmaktadr. Eer MBR virsl ise virs daha sonra taklan
disketlere bulaabilmek iin hafzaya ve ayrca sistemde hard disk varsa ki,
gnmzde hard disksiz sistem ok az, hard diskin MBR ksmna bular. te
size virsn bana salad bir yarar (yazmn ilk blmnde aklayacam
demitim):
      CANSU virsn ilk tespit ettiim zaman ki, bu tarih 10-20 Ocak
1992'dir,
virsn herhangi bir ad yoktu ve virs o zamanlarda bol miktarda kullandm
720 KB DD disketlerimden herhangi bir anti-virs yazmadan temizlemitim (sahip
olduum 60 disketten 28'inde vard ve bir gece arkadamn bilgisayarnda
sabah
saat:06.00'a kadar srmt) ve bu ilem bittiinde artk hem disketin boot
sektrnde neler olduunu renmitim hem de virsn balang kodunun nerede-
ise tamamn ezberlemitim. Nasl m temizledim ? Boot sektr temiz olan dis-
ketlerin bu temiz ksmlarn virsl olanlarn zerine kopyaladm
(overwrite).
Bu ilemi, o zamana kadar pek kullanmadm ama kullanmasn iyi bildiim
Peter
Norton amcann (amca diyorum ona bir programc olarak saygm byk)  rettii
Norton Utilities 6.0 iindeki DISKEDIT.EXE ile gerekletirdim. te o gnden
sonra Peter Norton'un NU 6.0'dan vazgemedim. u anda hala kullanyorum. Eer
NU 6.0 ve nceki versiyonlar hakknda bilgi edinmek isterseniz sorularnza
her zaman am. Bylece hem bir programn yeteneklerini hem de disket ve
disklerin mantksal yapsn renmi oldum.

      CANSU virsn nasl tespit ettim?
      Bu virs ilk zamanlar aktif hale gemeden nce u ekilde bir aksaklk
tespit ettim ve phelendim. Dosya says fazla olan bir program paketinin
olduu 720 KB DD diskete DIR dediimde dosya listesinin sonuna doru tuhaf
karakterlerden oluan dosya isimleri grdm. Ne yaptysam silemedim. Sonrasn-
da NU 6.0 Norton Disk Doctor ile kontrol ve dzeltmeler ve bilgi kayplar
ile karlatm (neyseki yedei vard ve virsszd). Daha sonra bu tr aksak-
lklar gsteren disket aradm bir tane daha buldum. Tuhaf karakterli dosya
isimleri yine ayn idi. Bir de NU 6.0 Disk editor' ile inceledim ve virsn
nasl bulatn eitli disketlerle karlatrarak buldum ve temizledim.
Bu olduka zahmetli bir iti.i rendikten sonra kolayn buldum ve ilk
olarak disketlerin veya disklerin 0. sekttne bakmaya baladm (virs kodunu
biraz rendim ya). Ama bu iin daha da kolaynn var olduunu rendim.
DOS 5.0 ve sonrasnda bir komut sayesinde kolayca bulmaya baladm virs.
Komut satrnda 'MEM' yazmakla hafzada temel hafza (base memory) ksmnn
byklne baktnzda eer 640 KB (=655360 byte eder) 'dan 1-2 KB az bir
miktar varsa sistemin hafzasnda virs olma HTMAL % 70 - % 90 arasnda.
HTMAL dememin nedeni ise kimi sistemlerin hard disk tip bilgisini hafzann
bu ksmna yazyor olmalardr. Eer virs var ve anti-virs programnz yoksa
DOS 5.0'dan sonra gelen zellik olarak komut satrnda FDISK/MBR yazp bilgi-
sayrn alteri kapatp an (kapama ama arasnda 20-30 sn kadar beklemeniz
sisteminizin yararnadr). Artk virsn yok olmu olmas gerekiyor (tabi eer
komutu yanl yazarsanz sorumluluk tamamen size ait ve bu komut sadece hard
diskler iin kullanlan bir komuttur ve yanl bir yazm tm hard diski silme-
nize neden olur benden sylemesi). Bu ilem her trl boot ve partition table
virsn yok eder.

     Off yoruldum.Neyse az kald. Burada bir reklam aras veriyorum.(TV'ye
bak)

     Yukarda anlattm zahmetli/zahmetsiz yntemleri hi kimsenin kullanmak
zorunda kalmamas dileiyle VRSSZ GNLER, GECELER...

                                                      -MED-
  Sevgili dostum Murat virs muhabbetine bulamana ok sevindim. Hadi el ele
verip herkese virslerden korunma, gvenli bilgisayar kullanma konusunda
bir eyler vermeye balayalm. Yukarda yazdklarm senin mesajn grmeden
evvel yazlmtr. Sana eksik gelen ya da yanl gelen hereyi eletirip
eklemeler yapabilirsin. Eksikliklerin olmas ise yazarken yorulmam ve ileri-
min younluu her trl katkn iin teekkrler. Bu arada HP-UX Visual User
Environment hakknda bir bilgin var mi ya da nasl bilgi edinebilirim
(Kitaplarn nereden alabilirim filan). Ayrca nceki mesajmda belirttiim
TCP/IP hakknda yardmc olabilir misin?
                                               -MED-
     Coming up next message...

     ii) FAT virsleri


************************************************************************
************************************************************************
Sender: "Cengiz Ozden" <cengiz@doruk.com.tr>
Subject: Re: yeni bir virus(to yilmazi@)


>     Coming up next message...
>
>     ii) FAT virsleri

Virslere bu kadar ilgi olduuna gre sanrm ayr bir forum grubu (virus-f)
oluturmak iyi olabilir.  virus-f'in yneticiliini stlenmek iin gnll
varsa ltfen "doruk" kullancsna yazsn.

yi almalar, Cengiz.


************************************************************************
Sender: "Murat Sakarya" <murats@doruk.com.tr>
Subject: Re: yeni bir virus(to yilmazi@)


>     Bu virslerden u sralar en ok tannan CANSU virs. Hatrlamadnz
>m?
>Hani 1 Numara Virslk pardon Yaynclk hediye olarak verdii disketle da-
>tmt. Hah ite o.

  Nedendir bilinmez, o virse CANSU denmesini sevmiyorum. Galiba Cansu diye
bir arkadam olduu iin. Hi uyumuyorlar da.


>tin bu MBR programnn almas gerekir. Bu da disket bilgisayar alrken
>disket srcde takl olmas veya herhangi bir ekilde disketten kopyalama
>yaplmas ile mmkn olmaktadr.

 Pek oumuz, disket srcde disket unutup makinamz amaya altmzda
karlatmz "Non-System disk. Replace and press any key when ready" tr
mesajlara aldrmayz, ve disketi kartp bir tua basarz. Ancak (benim gibi)
baz paranoya sahipleri makinay hemen kapatr, ve sanrm dorusu da budur.
nk eer disketinizde bulunabilecek bir boot virs aktif hale gelmitir.

>HTMAL dememin nedeni ise kimi sistemlerin hard disk tip bilgisini hafzann
>bu ksmna yazyor olmalardr.

 Baz durumlarda da yksek bellei kullanm iin gerekli olan A20 ( address 20
) hatt srcs de 1 K alabilmektedir.  Eer PSP:2 adresinde 9FC0 var ise,
A20 iindir, panie mahal yoktur.


>Bu arada HP-UX Visual User Environment hakknda bir bilgin var mi ya da nasl
>bilgi edinebilirim

nan bir fikrim yok, ancak aratracam.

>Ayrca nceki mesajmda belirttiim TCP/IP hakknda yardmc olabilir misin?
  TCP/IP de uzun ve zahmetli bir konudur, bir mesajn iine sktrmam olas
deil. lerleyen gnlerde TCP/IP konusunda da yazacam, sz.

Murat Sakarya


************************************************************************
Sender: "Murat Sakarya" <murats@doruk.com.tr>
Subject: Re: yeni bir virus(to yilmazi@)


>
>Virslere bu kadar ilgi olduuna gre sanrm ayr bir forum grubu (virus-f)
>oluturmak iyi olabilir.

Bizim dahiler yeni virsler gelitirmedike, konu tkanp kalr. Yani en
fazla, "Nedir, Nasl bular, Nasl farkedilir ve Nasl kurtululur?"
sorularna cevap aranr, daha sonra da yeni bireyler olmas beklenir. Ancak,
yeni kullanclar
iin, yaptmz trde yazmalarn bulunduu bir forum da fena fikir deil.

Murat Sakarya.


************************************************************************
Sender: "Murat Sakarya" <murats@doruk.com.tr>
Subject: Yeni virsler inceleniyor...


Selam,
   Erdem'in gnderdii disketi henz aldm. ki virs olduu doru, birini
incelemeye baladm, ancak bu virs yepyeni deil. Daha nce SSD adn
verdiim virsn biraz daha gelitirilmi hali. O yzden zlerek adn SSD2
vermek zorundaym. Biraz virs tantalm.

SSD - 2 virs:
   Virs hem EXE hem de COM dosyalara yaylabilen ancak iinde zararl kod
bulunmayan bir virstr. COM dosyalara 570, EXE dosyalara 570 - 586 byte
ekler.  Mumcu virs ile ayn yntemi kullanarak o an bellekte olup olmadn
kontrol eder. Yntem Interrupt $21'in AX = $4343 ile arlmasdr. Eer
dnte AX = $3434 ise virs bellektedir. Bulamak iin de ayn kesmenin 4Bh
(EXEC program) alt fonksiyonunu kullanr.
   Virs 60000 byte'dan daha uzun COM dosyalara bulaamaz. (SSD virs 55000
byte'dan uzununa bulaamyordu.) Bulatnda boyu 64K'y geecek COM
dosyalar da kontrol eder ve onlara da bulamaz. Bu kontrolu yaparken, btn
COM dosyalarnn Far Jump ile baladn varsayar. Bunu virsn halen
gelitirilmekte olduuna yorabiliriz. nk bu hali ile, zaten 60000 byte'dan
kk dosyalara bulamas durumunda bile boyu 64 Kb'yi geememektedir. Aslnda
bu kontrol kendi koyaca Far Jump iin yapyor gzkmekte, ancak baz
overlay'ler (PCTools'un kullandklar gibi) dnda, kendi kodunun zerine
atlayan program ile de karlamadm. Bulam olduu dosyalarn tarih ve
zaman bilgileri sfrlanr, yani DIR komutu verildiinde tarih ve saat
bilgileri gzkmez. Ancak her saat ve tarih bilgisi gzkmeyen dosyann
virsl olduu dnlmemelidir. Dosyalarn Read-Only (saltoku) iaretlenmi
olmas nemli deildir, virs bunu da kontrol ederek, gerekiyorsa bu biti
kaldrarak dosyay yazlabilir hale getirir. Pek ok EXE dosyada gerek
deerinde bulunmayan "Length of partial page at end" deikenini bulam hal
iin doru olarak hesaplar ve yerine koyar.
   Virs 6 ay nce tesbit edip SSD adn verdiim virsn biraz daha gelimi
bir eklinden baka birey deildir.

Virsn temizleme program dn gecenin rndr. Sabaha kar bitmi olduu
iin ( ayrca o srada bir arkadata (parti verilmekte olan bir evde) olduum
iin hata bildirimlerinizden memnun olurum. EXE dosyalarda birebir kurtarma
mmkn olmamaktadr. 1-16 byte aras uzama mmkndr. Ancak programn
almasna etki etmeyecektir (eer kendi uzunluunu kontrol eden ya da
kendini deitiren programlardan deilse ). Program operatre gnderiyorum, o
bir yerlere koyup size haber verir (umarm).

Murat Sakarya


************************************************************************
Sender: "MED" <erdemd@doruk.com.tr>
Subject: Re: yeni bir virus(to yilmazi@)

>
>>     Coming up next message...
>>
>>     ii) FAT virsleri
>
>Virslere bu kadar ilgi olduuna gre sanrm ayr bir forum grubu (virus-f)
>oluturmak iyi olabilir.  virus-f'in yneticiliini stlenmek iin gnll
>varsa ltfen "doruk" kullancsna yazsn.
>
>yi almalar, Cengiz.
>
>
Selam!

Aslnda bu ie seve seve gnll olurdum ama hi mi hi zamanm yok
Ancak her ne ekilde olursa olsun sorunlara cevap vermeye alrm.
yi gnler...
                    -MED-


************************************************************************
Sender: "MED" <erdemd@doruk.com.tr>
Subject: Re: Yeni virsler inceleniyor...


>Selam,
Selam ben Erdem,

>   Erdem'in gnderdii disketi henz aldm. ki virs olduu doru, birini
>incelemeye baladm, ancak bu virs yepyeni deil. Daha nce SSD adn
verdiim
>virsn biraz daha gelitirilmi hali. O yzden zlerek adn SSD2 vermek
>zorundaym.
Sorun deil.Ancak unu da syleyeyim bu virs bende 93 Eyll'nden beri vard.
Bir trl inceleyip bir yerlere gnderememitim (daha dorusu gderecek adam
bulamadm). Sevgili Dostum Murat bundan sonra yakaladm her yeni virs sana
yollayacam. Yolladn (yazilim-f) CLNSSD2.ZIP ' D/L yaparak aldm ancak
deneyecek vaktim olmad.Sonra denerim sz.

    Senin kendi yakaladn virslerin anti-virslerini sana gnderdiim
diskete ekip yollayabilmen mmkn m?

    Scan 2.0.0' ancak 9600'ne kavuunca yollayabileceini yazmsn
Bunu da benim diskete ekebilmen mmkn m?

    Ayrca dier virs inceleme iin ne alemde? O biraz matrak ve manyak
bir virst. Kesinlikle kendisinin bulap bulamadn kotrol etmeden
dosyalara bulayor ve acayip iiriyordu. Dnebiliyor musun srf denemek
iin yaklak 18 KB'lk bir dosyaya defalarca bulatrdm tam olarak 119 kez
bulatrdm (diskette yer kalmad da daha fazla bulatramadm) ve dosya boyu
yaklak 310 KB civar olmutu.

     Bir de senden birey daha istesem. u virlerin bulat hafza adresle-
ri, PSP, cheksum, CRC, iyi bir debugger vb. hakknda bilgi verebilir misin?
Hani belki daha sonra ben de antivirs yazmaya balayabilirim. Hem sonra
virslere kar ciddi ciddi savarz (umarm ok ey istemedim).

      HEYY! VRSLERDEN NEFRET EDENLER! VRSLERDEN KORUNMA YNTEMLERN OK
Y BLYOR MUSUNUZ? SONRA MECBUR KALMAMAK N BENCE BAZI KSEL TECRBELER
RENMENZDE FAYDA VAR.
      BEN DE NEFRET EDYORUM
      UMARIM KMSE HERHANG BR VRSN GAZABINA URAMAZ.
      VRSSZ GNLER, GECELER, VE HATTA BAYRAMLAR DLERM.

    HERKESN KURBAN BAYRAMINI EN TEN DLEKLERMLE KUTLARIM.
                                                      -MED-


************************************************************************
Sender: "deniz tanyel" <denizta@doruk.com.tr>
Subject: Bilgisayar Vir]sleri Canli mi?

Merhaba

Bilgisayar Virusleri Yasiyor mu?

Korkmayin, Mistik birseylere girmek ya da Tanrclk oynamak
gibi br niyetm yok. Bu fikir BIONETteki bir FAQ dan alnmtr.
oradaki konu DEFINITION OF LIFE isimli bir yazdan kmt.

Yazda, Kendini cogaltma bilgisine sahip hereyin canl olduu
buna bilgisayar viruslarinin de dahil olabilecegi dncesiydi sadece.

Balangta bu fikre kar ckmtm. Cnki blgsayar vrusleri
kendiliinden varyans elde edemez. Varyans olmadan evrim ve yaam
olmaz.

BYK HATA! Mutasyon olasl var!( kopyalama hatas).
Aslnda evrime kar kan birok kisinin dt hataya aptalcasna
ben de dtm: Ksa zaman dilimlerini dnmek.

Neyseah (Bu:by the way anlamna gelyor)

Deiik bir environement bu envronement daki kendini oaltabilen bir
programn Mlyonlarca yl varoldugunu dnelim. Mutasyonlar (kendini
coaltrken oluan hatalar) rastgele daha iyi kodlarin olimasna
neden olabilir.

yeterince zaman varsa bu gerekler. Tpk dogann bir zamanlar
bolojik yaam oluturduu gibi.
Tabii ki olaslklar ve sre ok nemli. Yaamn olumasinda
biofiziksel hesaplarla eitli yaklamlar mmkn, ancak oldukca
karmak.
Yine de teknik olarak Bilgisayar virslrine canli dyebiliriz.
(Ne Fantastk ha! - Elektro-Manyetk ortamda bir canl.

Ttn mozak virs (Bu biolojik bir virus) bir protein kapsul ve DNA
(Yanl hatrlamrosam DNA virsyd deilse RNA da olabilir) dan
olusmutur. Kurutulunca kristalize bile olur (Analoji olarak protein
kapsul Dsket, RNA y da program olarak kabul edn) Bu program
plak ya da br file e infektedr. Ttn mozaik virs ise. Tutun
hucrelerine infekte olabilir. Virs program yllarca Dskette sakl
kalabilir (Bu durumda dahi canl denebilir) Tpk Ttn mozik virusnn
kristalze oldugunda yllarca sakl kalabildii gibi.
kristalize olarak kaldiinda hibir canllk belrtisi yoktur.

Bu sadece bir yaklam tabii ki. Fantastik yan ise, Hibir maddesel
varl olmayan elektromanyetk ortamda varolan bir canl fikri.
siz ne dersiniz ?

sevgiler

Dr.Deniz Tanyel


************************************************************************
Sender: "Cengiz Ozden" <cengiz@doruk.com.tr>
Subject: Re: Bilgisayar Virsleri Canl m?


>Bu sadece bir yaklam tabii ki. Fantastik yan ise, Hibir maddesel
>varl olmayan elektromanyetk ortamda varolan bir canl fikri.
>siz ne dersiniz ?

Aslnda her program yada yazlm zaten yaratcsndan (yada
yaratclarndan) bir para tar.  Bu anlamda her yazlm canldr.
Hatta belirli bir zekaya sahip bir canldr.  yi yazlmn belirli
bir kiilie sahip olduunu sylemek de mmkn.

Programlarn modellemesinde ounlukla iletmecilerin kulland
modellemeler kullanlr.  Virs rneinde de tbbi bir model
kullanlyor.  Tabi bunun sadece bir modelleme olduunu unutmamak
gerekli.  Dorusu evrim teorisi bir hayli ilgin...

Sevgiler ve sayglar, Cengiz.


************************************************************************
Sender: "deniz tanyel" <denizta@doruk.com.tr>
Subject: Re: Bilgisayar Virsleri Canl m?

>
>>Bu sadece bir yaklam tabii ki. Fantastik yan ise, Hibir maddesel
>>varl olmayan elektromanyetk ortamda varolan bir canl fikri.
>>siz ne dersiniz ?
>
>Aslnda her program yada yazlm zaten yaratcsndan (yada
>yaratclarndan) bir para tar.  Bu anlamda her yazlm canldr.
>Hatta belirli bir zekaya sahip bir canldr.  yi yazlmn belirli
>bir kiilie sahip olduunu sylemek de mmkn.

tabii ki bir zekaya sahiptir, nki bilgiye sahiptir. Ancak canllk burada
oalma yetenei, yani kendi kendini oaltma, ve kendi bana variance elde
edebilme ve kendi kendini gelitirme yeteneine de sahip.
Bu yzden virsler deiik bir pozisyonda ( onlar bz kopyalamyoruz)

sevgiler...

<<<< DENO >>>>


************************************************************************
Sender: "bERkaN eSkiKayA" <berkane@doruk.com.tr>
Subject: Re: Bilgisayar Vir]sleri Canli mi?

  Selam,

 < 22.05.94 tarihinde Deniz Tanyel soyle yazmis...>

 > Bilgisayar Virusleri Yasiyor mu?
 > (...)
 > Yazda, Kendini cogaltma bilgisine sahip hereyin canl olduu
 > buna bilgisayar viruslarinin de dahil olabilecegi dncesiydi sadece.
 > (...)
 > ..elekto-manyetik ortamda bir canli..vs..vs..

 Konunun uygunlugunu goz onune alarak, tartismaya sanal-f 'de  devam etmeyi
 oneriyorum. Ilgilenenler oradan takip edebilirler.

 Gorusmek uzere,
      -Berkan


************************************************************************
************************************************************************
Sender: "Murat Sakarya" <murats@doruk.com.tr>
Subject: Re: Yeni virsler inceleniyor...


Selam

>    Senin kendi yakaladn virslerin anti-virslerini sana gnderdiim
>diskete ekip yollayabilmen mmkn m?

Elbette. u aralar yeni bir projenin n teklifi zerinde alyorum da, pek
az vaktim oluyor. Bayramda da eeklik edip aramba-Perembe-Cuma'y da
yediim iin kpek gibi almak durumundaym. Zaten yazdklarmn pek ou
daha sonra bulunarak pek ok tarama programna eklendi. Ama dediim gibi Clean
hala air ya da Mumcu'yu temizleyemiyor, onlar gnderirim. Ayrca CC diye
bir virs daha var. O daha pek yaylmad. Onu da gndereceim.

>    Scan 2.0.0' ancak 9600'ne kavuunca yollayabileceini yazmsn
>Bunu da benim diskete ekebilmen mmkn m?
 ekerim tabi, aypsn.

>    Ayrca dier virs inceleme iin ne alemde? O biraz matrak ve manyak
>bir virst. Kesinlikle kendisinin bulap bulamadn kotrol etmeden
>dosyalara bulayor ve acayip iiriyordu. Dnebiliyor musun srf denemek
>iin yaklak 18 KB'lk bir dosyaya defalarca bulatrdm tam olarak 119 kez
>bulatrdm (diskette yer kalmad da daha fazla bulatramadm) ve dosya boyu
>yaklak 310 KB civar olmutu.

Aslnda dediim gibi, virs kodu iinde bulammym kontrol var. Ancak,
deiim srasnda kayklklarla da oynand iin, hayvanck kendini
bulamyor.  Belki kodu da dzeltirim.

>     Bir de senden birey daha istesem. u virlerin bulat hafza
>adresleri, PSP, cheksum, CRC, iyi bir debugger vb. hakknda bilgi verebilir
>misin?

Not aldm, bugn ok kapsaml olmasa da bireyler gndereceim.
Grmek zere,
Murat Sakarya
************************************************************************