İftiracı Anti-Virüs'ler

Erdem Alaca · #1 26-09-2013, 11:44

Merhaba...

Herhalde hepimizin bilgisayarında illa ki bazı korsan/crack/patch'li, vb. programlar vardır. Programlar çok pahalı olduğu için, ve 2-3 programla bilgisayar dönmediği için insan bir yerde mecbur kalıyor buna.

Haa, derseniz "Hayır, benim PC'mde her programın parası verilip, yasal lisansı alınmış durumda, diğerleri de zaten ücretsiz (free) program" - o zaman ben de derim ki, "Bir dakika arkadaş, depoya bir gidiyorum, orada bir çift kanat olacaktı; alıp hemen geleyim"

Yok böyle bir şey yani, varsa da ben görmedim/duymadım...

----------

Uzatmayalım. Gelelim anti-virüs'lere. Bir sistem taraması yaptırıyorum, bilmem kaç tane "patch", ".dll", ".exe" dosyasını trojan/backdoor gibi raporluyor.

Programları biliyorum, paşa paşa oturuyorlar oturdukları yerde aylardır, bazen de senelerdir.

Hani kötü bir niyeti olsa programın gerçekten ne yapması lazım? Öncelikle internet'e çıkmak istemeli, istemeli ki virüsü yazan eleman(lar)la irtibat kurabilsin, talimat alabilsin. Ondan sonra benim bilgilerimi mi çalmaya çalışacak, ya da bir server saldırısı için benim PC'yi asker mi yapacak, gerisi ona kalmış.

Ancak böyle bir durum yok, kuzu gibi, internete falan çıkmadan sadece görevini ifşa eden programlar.

İnternete çıkmadı da, sistemi bozmak amaçlı yapılmış virüsler diyelim (psikopatlar tarafından); e böyle bir durumda yok, bazıları yıllardır kullandığım programlar.

Sonuç?

İki ihtimal kalıyor. Ya anti-virüsler hatalı tesbit (false-positive) yapıyorlar, ya da işin içinde bir dümen var...

Nadir de olsa hatalı tesbitler var, bizzat biliyorum (kendi yazdığım programın virüs olduğunu öğrenmem gibi

); ama bu ağırlığı oluşturmuyor bence.

Dümen şurda, anlatayım:

Geçen günlerde, deneme amaçlı Office-2010 kurdum makinaya, sonra az önce bir tarama yaptırdım, Office 2010'un çalışmasını sağlayan AutoKMS.exe dosyası, yüksek riskli "jenerik trojan" olarak raporlandı.

Alakası yok, çünkü o program internete çıkmaya çalışmadı, öyle sağı solu oynayan bir program da değil, görevini yapıyor sadece.

Bu durumda (bana göre elbet) ne olmuş oluyor?

Antivirüs programı iftira atmış oluyor.

Bu nasıl oluyor?

Şöyle: Büyük bir yazılım firmasından bir ürün çıkıyor (örneğimizdeki Microsoft Office gibi); yetenekli cracker'ların programı kırması en fazla bir günlerini alıyor; yani gününde korsan versiyonu net'te yerini buluyor.

Sonra Microsoft bu korsan versiyonu temin ediyor, aktivasyonu, vb. sağlayan exe'yi, ya da başka bir korsan dll'yi anti-virüs üreticilerine yolluyor ve rica ediyor:

"Bu benim Office 2010'u korsan çalıştıran patch/exe/vs. Gereğinin yapılmasını arz ederim."

Anti-virüs mafyasından cevap geliyor:
"Ağbi tamam yaparız da, biraz masrafı var; çocukların extra mesaisi, falan-filan."

"Önemli değil ağbi, neyse veririz, denizde kum, Microsoft'ta para"

-----------------

İşte böyle bir düzen dönüyor bence.
Ne bileyim uçtuk mu acaba?

İçimden geldi, paylaşayım istedim.
Aşırı da uzun yazdım; noktasına, virgülüne dahi dokunmadan, günahı-sevabıyla "konuyu aç" butonuna basıyorum.

Sağlıcakla kalınız...

xcan · #2 26-09-2013, 14:07

Erdem Alaca´isimli üyeden Alıntı

Merhaba...

Herhalde hepimizin bilgisayarında illa ki bazı korsan/crack/patch'li, vb. programlar vardır. Programlar çok pahalı olduğu için, ve 2-3 programla bilgisayar dönmediği için insan bir yerde mecbur kalıyor buna.

Haa, derseniz "Hayır, benim PC'mde her programın parası verilip, yasal lisansı alınmış durumda, diğerleri de zaten ücretsiz (free) program" - o zaman ben de derim ki, "Bir dakika arkadaş, depoya bir gidiyorum, orada bir çift kanat olacaktı; alıp hemen geleyim"

Yok böyle bir şey yani, varsa da ben görmedim/duymadım...

----------

Uzatmayalım. Gelelim anti-virüs'lere. Bir sistem taraması yaptırıyorum, bilmem kaç tane "patch", ".dll", ".exe" dosyasını trojan/backdoor gibi raporluyor.

Programları biliyorum, paşa paşa oturuyorlar oturdukları yerde aylardır, bazen de senelerdir.

Hani kötü bir niyeti olsa programın gerçekten ne yapması lazım? Öncelikle internet'e çıkmak istemeli, istemeli ki virüsü yazan eleman(lar)la irtibat kurabilsin, talimat alabilsin. Ondan sonra benim bilgilerimi mi çalmaya çalışacak, ya da bir server saldırısı için benim PC'yi asker mi yapacak, gerisi ona kalmış.

Ancak böyle bir durum yok, kuzu gibi, internete falan çıkmadan sadece görevini ifşa eden programlar.

İnternete çıkmadı da, sistemi bozmak amaçlı yapılmış virüsler diyelim (psikopatlar tarafından); e böyle bir durumda yok, bazıları yıllardır kullandığım programlar.

Sonuç?

İki ihtimal kalıyor. Ya anti-virüsler hatalı tesbit (false-positive) yapıyorlar, ya da işin içinde bir dümen var...

Nadir de olsa hatalı tesbitler var, bizzat biliyorum (kendi yazdığım programın virüs olduğunu öğrenmem gibi

); ama bu ağırlığı oluşturmuyor bence.

Dümen şurda, anlatayım:

Geçen günlerde, deneme amaçlı Office-2010 kurdum makinaya, sonra az önce bir tarama yaptırdım, Office 2010'un çalışmasını sağlayan AutoKMS.exe dosyası, yüksek riskli "jenerik trojan" olarak raporlandı.

Alakası yok, çünkü o program internete çıkmaya çalışmadı, öyle sağı solu oynayan bir program da değil, görevini yapıyor sadece.

Bu durumda (bana göre elbet) ne olmuş oluyor?

Antivirüs programı iftira atmış oluyor.

Bu nasıl oluyor?

Şöyle: Büyük bir yazılım firmasından bir ürün çıkıyor (örneğimizdeki Microsoft Office gibi); yetenekli cracker'ların programı kırması en fazla bir günlerini alıyor; yani gününde korsan versiyonu net'te yerini buluyor.

Sonra Microsoft bu korsan versiyonu temin ediyor, aktivasyonu, vb. sağlayan exe'yi, ya da başka bir korsan dll'yi anti-virüs üreticilerine yolluyor ve rica ediyor:

"Bu benim Office 2010'u korsan çalıştıran patch/exe/vs. Gereğinin yapılmasını arz ederim."

Anti-virüs mafyasından cevap geliyor:
"Ağbi tamam yaparız da, biraz masrafı var; çocukların extra mesaisi, falan-filan."

"Önemli değil ağbi, neyse veririz, denizde kum, Microsoft'ta para"

-----------------

İşte böyle bir düzen dönüyor bence.
Ne bileyim uçtuk mu acaba?

İçimden geldi, paylaşayım istedim.
Aşırı da uzun yazdım; noktasına, virgülüne dahi dokunmadan, günahı-sevabıyla "konuyu aç" butonuna basıyorum.

Sağlıcakla kalınız...

Görüşüne aynen katılıyorum.
Anti virus programları dediğiniz gibi çalışıyor.
Oyüzden anti virus programı asla kullanmıyorum.
Aklınızda bulunsun Acronis programıyla temiz bir yedek alın.Problem yaşadığınızda yedekten iki dakikada yükleyin.
Antivürüst programlarının kendisi bizzat ajan programlar.
Virüs üretenlerle Antivirus üretenler genelde aynı kurumlar.

errata · #3 26-09-2013, 17:16

Komplo teorileri iyi güzel de keşke biraz da bilmediğiniz konularda fikir üretmeseniz.

Antivirüs programları dosyaları tiplerine göre, veritabanlarındaki imzalara göre tararlar. PE dosyalarda imzanın yanında CRC testi de yaparlar ve binary bloğunda anlamsız durumlar varsa sahte alarmlar verebilirler falan filan.

Antivirüs firmalarının virüs yazarlarıyla aynı "kurum" da çalışıyor olmalarını da sizin hayal gücünüze bağlamaktan başka çare yok.

murted · #4 26-09-2013, 17:32

Kapitän´isimli üyeden Alıntı

Antivirüs programları dosyaları tiplerine göre, veritabanlarındaki imzalara göre tararlar. PE dosyalarda imzanın yanında CRC testi de yaparlar ve binary bloğunda anlamsız durumlar varsa sahte alarmlar verebilirler falan filan.

Usta, bu crack hazırlayanlar tersine mühendislik yapıp exe, dll vs.den programın yasal kullanılıp kullanılmadığı sorgulayan kodları çıkarıyorlar ya , virüs programları değişikliği kullanıcı aleyhine bir şeyler yapıldığına yoruyor olabilirler mi?

Erdem Alaca · #5 26-09-2013, 17:39

Antivirüs firmalarının virüs yazarlarıyla aynı "kurum" da çalışıyor olmalarını da sizin hayal gücünüze bağlamaktan başka çare yok.

Ama bu çok tartışmalı bir konu sn. Kapitan. Google'a "does antivirus companies make viruses" yazınca gelen sonuçlara bakınız, hatta orada Çinli Antivirüs firmalarının bizzat bunu yaptığını iddia eden makale bile var (ilk sayfada)

Ben de inanmıyordum ama, yazıştığım yabancı bir forumda, Hollanda'lı bir abla uyandırmıştıı beni. O derdi onlara "Antivirüs Mafyası" diye.

Bence olup olmadığı ispatlanamayacak bir durum. Olmayabilir de, olabilir de. Olabilirse; hiç bir firma "Evet, biz bu haltı yapıyoruz arkadaşlar." diye çıkıp beyanat vermez.

xcan · #6 26-09-2013, 20:53

Kapitän´isimli üyeden Alıntı

Komplo teorileri iyi güzel de keşke biraz da bilmediğiniz konularda fikir üretmeseniz.

Antivirüs programları dosyaları tiplerine göre, veritabanlarındaki imzalara göre tararlar. PE dosyalarda imzanın yanında CRC testi de yaparlar ve binary bloğunda anlamsız durumlar varsa sahte alarmlar verebilirler falan filan.

Antivirüs firmalarının virüs yazarlarıyla aynı "kurum" da çalışıyor olmalarını da sizin hayal gücünüze bağlamaktan başka çare yok.

Bilgisayar eğitimi almadım.
Lakin dünyayı merak eden biriyim.Microsoft ve Gouglenin bizzat Cia ile ortak işler yaptığını okuyorum.Bu konuda açılmış mahkemeler var. Abd her türlü yasadışı dinleme ve izleme yapan virüsleri bu kurumlar vasıtasıyla yapıyor.
Gerisi safsata.
Emperyalizmi anlamak bende yeterli kanı uyandırıyor.
Ayrıca kişisel deneyimlerimle sabit birçok crack programları her taramada siliniyor.
Hadise benim açımdan açıktır.
Virus olmassa Antivirus para getirmez!!!!!!!!!!!!!!!!!
Özü yakaladığınızda detaylandırırsınız.
Benden kanıt isteyecek değilsiniz umarım

Şüpheci Dinsiz · #7 26-09-2013, 23:16

Sevgili arkadaşlar,

Geçmişte (MS/IBM DOS zamanı, teheheeey.) az biraz Turbo C++ ve Turbo Pascal kullanarak antivirüs yazma ile uğraşmışlığım var, hatta Dark Avenger adlı başa bela bir exe virüsünü exe'yi kurtararak alt etmişliğim de var.

İlk zamanlarda virüs yazarları program çalıştığında hafızaya geçmesini ve çalışır halde kalmalarını sağlarlardı (TSR - Terminate and Stay Resident). Hafızada çalışır halde kalan virüs, sonra çalıştırılan her programa da kendini eklerdi, böylece exe dosyaları kullanıldıkça virüs tüm exe'lere yayılırdı. Disketle diğer PC'lere geçerdi vesaire.

Makine kodu ile exe dosyasına baktığınızda normal program akışı şöyledir:
10 ...
20 ...
...
100 Giriş
110 Program
...
10000 Bitiş

Diyelim ki, exe programlar 100 no'lu satırdan (Entry point) başlar, 110 ile devam ederken virüs bulaştığında:

10 ...
20 ...
...
100 Goto 10010
110 Program
...
10000 Bitiş
10010 Virüs kodu
...
11000 Goto 110

Programa giriş noktasından virüs koduna dallanarak önce virüsü çalıştırıp, virüs TSR hale gelince programa dönerek normal çalışmaya devam ederdi. Bir sonraki virüssüz exe çalıştığında programın entry point'i neresi ise (örnekte 100 nolu satır) orayı modifiye eder, kendisini de dosyanın sonuna ekleyerek dosyayı virüslerdi.

Antivirüs yazan kişi, exe'nin hex kodlarını veya assembly kodlarını incelerse bu tür virüsleri kolayca tespit edebilir, temizleyebilirdi. Bu örnekte 100 nolu satırın gönderdiği adresten (10010) itibaren silerek son satırın geri gönderdiği adresi (110) yazarsa virüsten kurtulunmuş oluyor. Ben de Dark Avenger için böyle yapmıştım.

Virüs yazarları kolay bulunmamak, kolay temizlenmemek için mücadele eder, antivirüs yazarları metodu anlamaya, temizlemeye çalışırlar. Eskiden çoğu virüsün kendisine özgü belirli karakteri vardı. Örneğin bulaştığı dosyayı hep 1023 byte arttırırdı, bu byte'lar hep aynı karakter dizisinden oluşurdu. Antivirüsçüler virüsü tanıdıklarında bu karakter dizisinin unique (benzersiz) kısmını veritabanlarına alır, taradıkları dosya içinde bu diziyi ararlardı. Bulduklarında şu virüsü buldum derler ve temizlerlerdi.

Antivirüsler kendilerince başka yöntemler de geliştirdiler. Örneğin, işletim sisteminin kullandığı yazılım kesmelerini (software interrupt) dinlemeye (hook atmak) başladılar. Böylece dizisini tanımadığı bir virüs bile olsa TSR hale gelmeye çalışan bir programcık çalıştığında kullanıcıyı "şu program hafızaya geçmeye çalışıyor, ne yapayım" diye uyarmaya başladılar.

Antivirüscüler mesafe aldıkça virüsçüler de boş durmadı. İşletim sistemleri geliştikçe, karmaşıklaştıkça virüsçülere gün doğdu. Örneğin MS Windows, virüsçüler için panayır yeri kadar eğlenceliydi. Açılışta çalışma, servis olarak çalışma, IE içinde türlü imkanlar, registry içinde bir çok özelliğin aktif/pasif yapılması, hatta virüs kendisini Windows'tan bile önce, haliyle antivirüsten bile önce yüklemeyi başarıyordu (rootkit virüsleri), ki en başa belası bu tür virüslerdi. Boot sector virüsleri de kullanıcılara hatırı sayılır miktarda eziyet çektirdi.

Özellikle internet, e-ticaret yayıldıktan sonra virüsler veri tahrip etmekten veri çalmaya doğru evrildiler. Key logger denen, basılan tuşları log edip belirli bir internet adresine gönderen virüsler yüzlerce farklı versiyonuyla türedi. Bunlarla keyboard interrupt'ına hook atmakla kolay başa çıkıldıysa da veri/şifre çalma fikri cazibesini hiç yitirmedi.

Trojan horse (Truva atı) denen casus virüsler yazılmaya başlandı. Bu tür virüsler sürekli dosya adı değiştiren, karakter dizisi değiştiren, hatta uzaktan aktive edilmedikçe (DDoS ataklarda kullanılır) bir eylemde bulunmayan versiyonlara evrildi. Genellikle ücretsiz amatör yazılımlarla, ücretsiz oyunlarla, kırık (crack) programlarla yayıldılar.

Script virüsleri adı verilen ofis dosyaları ve internet sayfalarındaki javascriptlerle güvenlik açığı olan makinelere bulaşan kod parçaları da virüs olarak kullanıldı. Ne idüğü belirsiz web sitelerinden (mp3/porno vs.) yayıldılar.

--/--

Antivirüs yazarları bütün virüs türlerini inceler, virüsü tanımlayan diziyi (virus signature) bulmaya çalışırlar. Buldukları diziyi veritabanlarına eklerler. Her yeni virüs, yeni dizi demek olduğundan antivirus programları sık sık güncellenmeye ihtiyaç duyarlar. Bundan başka, yeni virüslerin dizisi tanınmasa bile izleyeceği yol aşağı yukarı bellidir.

Örneğin, dosya bozan bir virüs türünü tanımak kolaydır. Önce virüs olmadığını düşündüğünüz bir zamanda virüs aratırsınız, tek tek tüm dosyaların boyutunu ve dosyanın parmak izini (CRC, hash) bir yere yazarsınız. Daha sonra taradığınızda dosya boyutu değişmişse, veya dosyanın parmak izi değişmişse "bu virüslü olabilir" dersiniz. Eğer işletim sisteminde disk erişim kesmesine (interrupt'ına) hook atarsanız dosya değişirken bile müdahale eder, "ne oluyor orada" diye kullanıcıya sorarsınız.

--/--

Her antivirüs yazarı bunları bilir bilmeye. Ne var ki, işletim sistemine her müdahale makineyi yavaşlatır. Örneğin tüm yazılım/donanım kesmelerine (hardware/software interrupt) hook atarsanız (tüm işler sizin izninizle/onayınızla yürürse) virüs bulaşmaz ancak makine çok yavaşlar.

En iyi antivirüs, en çok risk kontrolünü en hızlı yapandır. İyi bir antivirüs programı kullanıcıya ayrıntılı risk kontrolü seçenekleri sunar. Kullanıcı, ihtiyacı olan kadar paranoyayı bu seçeneklere yansıtır, ne kadar paranoyaksa makinesi o kadar yavaşlar. Örneğin, internete, ağa bağlanmayan bir makinede paranoyak olmak gereken tek şey virüsün CD/DVD/Disket/USB disk/pen drive vs. yoluyla girme ihtimalidir. Örneğin, belirli dosya türlerinin, belirli klasörlerin virüs içerme ihtimali yoksa antivirüs ayarlarından bunları devre dışı bırakmak makineyi bu dosya türleriyle çalışırken hızlandırır. Kullanıcı, makinesine antivirüs yükledikten sonra çok yavaşladıysa ayarlara girip gereksiz kontrolleri devre dışı bırakabilir, optimal risk kontrolü yapmak makinenin çok yavaşlamasını önler.

--/--

Antivirüs yazarlarının virüs yazması elbette mümkündür, hatta çok daha iyisini/vahşisini yazabilirler. Ama yakayı ele vermesi demek piyasadan bitmesi, zarar gören insanların açacağı milyonlarca dolarlık tazminatlarla karşı karşıya kalması demek olur ki; bu riske gireceklerine pek ihtimal vermiyorum.

Sevgiler

errata · #8 26-09-2013, 23:23

murted´isimli üyeden Alıntı

Usta, bu crack hazırlayanlar tersine mühendislik yapıp exe, dll vs.den programın yasal kullanılıp kullanılmadığı sorgulayan kodları çıkarıyorlar ya , virüs programları değişikliği kullanıcı aleyhine bir şeyler yapıldığına yoruyor olabilirler mi?

Elbette.

PE paketlerin -her türden portable executable- başlık bilgisi bloklarında kendi hata doğrulama kodları bulunur.
Yani sen bir kod yazıp bunu derlersin, derleyici binary pakedi hazırlayıp paketin tepesine içerikle ilgili veriler kaydeder.
Bu veriler muhteliftir. (Karakter seti, memory modeli, paketin bit değeri, external bağımlılıklar, kütüphaneler, "pakedin disk boyu", vs.)
Pakedin disk boyunun hash verisini başlığa yazar ve daha sonra doğrulama için kullanır.

Atıyorum pakedin disk boyu 66984545 byte ise bunu md5 hash değeri "2669ed1006667f3dc1e7475cff509789" olarak başlığa yazar.

Program belleğe her alındığında, işletim sisteminin PE okuyucusu bu hash'ı alır ve doğrulama yapar. Yapamazsa zaten çalışmaz. Bu metod, ağda dosya gönderiminde de paket bütünlüğünü doğrulamak için kullanılır.

Bu işi antivirüs yazılımı da bu şekilde yapar. Programın CRC hash'ında bir terslik varsa tanımlanamayan virüs uyarısı verir.

Programa bir şekilde enjekte olmuş virüsler ise daha evvelden yakalanmadıkları sürece başarılı olabilirler.
Zira antivirüs yazılımlarının veritabanında kayıtları henüz yoktur. Hoş kayıt mevcut olsa bile, virüs yazarı eleman kodunu sürekli değiştirip derleyerek virüsün sürümünü artırır ve yeniler.