Kuri müstiline viirus

Kuidas siis kõlab viiruse definitsioon? Paljud defineerivad ta parasiitprogrammina mis on kirjutatud tahtlikult sisenema kasutaja teadmata või nõusolekuta tema arvutisse. Sellele definitsioonile vastavaid viirusi on mitmeid liike. Suurimad viiruste alajotused oleks ilmselt alglaadimissektoriviirused ja programmifaile nakatavad viirused. Neid iseloomustavad omakorda veel viiruse residentsus, võime end krüpteerida, polümorfsus ja tegevuse varjatus (stealth). Viirus võib vastata ka kõigile neile iseloomujoontele korraga, sellisel juhul on tegemist väga kavala ja elujõulise isendiga. Sellest tulenevalt saab viirusi veel liigitada nende elujõulisuse järgi ja ka nende aktiveerumisrutiinide järgi. Arvutikasutaja slängis on elujõulisuse märkimiseks väga tabavad metafoorid: kui viirus on kasutajate seas üldlevinud, siis nimetatakse teda metsikuks, kui aga viirus on vaid korra kuskilt leitud, kahjutuks tehtud ning informatsioon tema kohta mõnda viirusetõrjeprogrammi kaasatud, siis kutsutakse teda kodustatud viiruseks.

Aktiveerumisrutiinide järgi liigitatakse viirusi ohututeks (tegelikult on kõik viirused ohtlikud, aga see on lihtsalt tinglik nimetus, mis tähendab sisuliselt mittedestruktiivsust) ja destruktiivseteks. Ohutu viiruse sümptomiks on harilikult mingi tobe teade, pilt, meloodia või mis iganes — peaasi, et see kasutajale silma torkaks, et see teda häiriks. Mõned ohutud viirused teevad arvuti kasutamise lausa võimatuks, näiteks ajavad klaviatuuri laotuse segamini. On levinud ka müüdid isendeist, mis arvuti riistvara hävitavad, kuid need töötavad reeglina vaid teoreetiliselt ja on väga harvaesinevad. Destruktiivsed viirused aga hävitavad või ka krüpteerivad kettal olevat informatsiooni, mistõttu on viimased pelgalt levivatest viirustest märksa ohtlikumad. Lohutuseks võib öelda, et ohutute viiruste osakaal viiruste hulgas on märksa suurem kui destruktiivsete viiruste oma, nii et juhuslikult mõne elektroonilise eluvormiga kokku puutudes on tõenäosus, et tegemist on ohutu isendiga, küllaltki suur. Selle peale ei saa aga loomulikult kindel olla — isegi Murphy seadus teab öelda, et teoreetiliselt kõige ebatõenäolisema sündmuse tõenäosus on tegelikult praktikas kõige suurem.

Omaette viiruste klass on mitmesuguste kasutajaliideste makrode kaudu levivad viirused. Need viirused levivad ainult vastavate liideste salvestiste kaudu ja kasutavad selleks rakenduse sisemisi käske, mistõttu pole nad alati nii elujõulised kui teised viirused, kuigi mõnedes situatsioonides on nad siiski äärmiselt ratsionaalsed: tegevusalal, mis nõuab pidevalt dokumentide ülekandmist ühest arvutist teise (näiteks ajakirjanduses), on makroviirustel väga helge põli. Samas on makroviirused ka praktiliselt ainukesed, mis suudavad levida erinevate operatsioonisüsteemide vahel: Parim rohi nende vastu on arvatavasti makrode kasutamise keelamine liidese enda konfiguratsioonis.

Mis juhul teised viirused levivad? Failiviirused levivad vaid juhul, kui käivitada nakkusega fail, kopeerimisel mitte mingit nakatumisohtu pole. Alglaadimissektoriviirused levivad sel juhul, kui keegi nakatunud disketilt eksikombel operatsioonisüsteemi käivitada püüab. Ent kui alglaadimissektoriviirus end juba nakatunud kõvakettalt mällu on lugenud, võib viirus nakatada ka kõiki arvutisse sisestatud diskette. Ei maksa paaniliselt karta disketti, millel arvatakse olevat viirus, arvutisse sisestada, sest seni, kuni kettalt pole ühtki programmi käivitatud ega alglaadimist tehtud, ei levi ükski viirus mitte kuskile. Kui on kindel, et kettal on ainult alglaadimissektori viirus, siis võib ka üpris julgelt kettal olevaid programme käitada. On levinud ka naeruväärne kartus, et äkki viirus pääseb kuidagi kirjutamiskaitsega disketile. Kui arvuti riistvara on komplektne ja garanteeritud korralikult töötama, siis on viiruse kopeerumine kirjutuskaitsega disketile täiesti välistatud.

Kuidas saab aga kasutaja aru, et arvutis on viirus? Kõige parem viiruste otsimise vahend on loomulikult selleks mõeldud programm (tuntuimad ja parimad on hetkel F- Prot ja TBAV), kuid alati pole seda käepärast või on ta võimetu viirust avastama. Sel juhul saab viiruse olemasolu kindlaks teha ka mõningate väliste sümptomite abil. Kui arvutis on viirus, siis kõige levinumateks sümptomiteks on näiteks:

• Programmide sisselugemine võtab rohkem aega kui peaks;
• Programmifailide suurus kasvab kogu aeg;
• Kõvakettalt kaob vaba ruumi, kuigi kettale midagi ei kirjutata;
• Ilmuvad igasugused ebaharilikud veateated;
• DOS-i CHKDSK ei näita mälumahuks 655360 baiti;
• Aeg-ajalt kirjutatakse ilma mingi põhjuseta midagi kettale;
• Tehes alglaadimise disketilt, ei pääse ligi kõvakettale;
• Ketastele tekivad mingid kahtlased kahtlaste nimedega failid;
• Failid kettal kaovad ilma mingi põhjuseta;
• Arvuti CMOS tühjeneb pidevalt.

Enne vastuabinõude lahkamist räägiksin veidi viiruste hingeelust. Missugust liiki viirused on siis kõige kavalamad ja missuguseid trikke nad enda avastamise vältimiseks teevad?

Kõige suurem osa metsikuist viirustest on alglaadimissektoriviirused. Kuna viimasel ajal on disketid oma otstarbekuse ja populaarsuse praktiliselt minetanud, siis hakkavad ka alglaadimissektoriviirused oma tähtsust tasapisi kaotama. Alglaadimissektoriviiruse tööpõhimõte seisneb originaalse alglaadimissektori salvestamises (näiteks salvestavad paljud viiruse selle suvalisse kasutamata kohta ketta lõpus) ja selle asendamises viiruselise koodiga, mis käivitab pärast ka algse alglaadimisprogrammi, nii et mingit muutust arvuti töös pole märgata. Edasi nakatab viirus juba kõik arvutisse sisestatud disketid, juhul kui neil muidugi kopeerimiskaitset peal pole.

Residentsed failiviirused nakatavad programmifaile kolmel erineval moel. Esimene viis on kirjutada programmidfaili algus viiruselise koodiga üle, jättes originaalse faili sisu salvestamata. Niisugused viirused on oma ehituselt väga labased ja pole elujõulised. Nende põhjustatud kahju pole ka reeglina võimalik hüvitada, kuna originaalne fail rikutakse. Aitab vaid varukoopiate tegemine. Ülekirjutavate viiruste olemasolu on väga kergelt avastatav — programmifailid ei lähe lihtsalt käima või ei tee enam seda, mida nad peaksid tegema. Faili alguses on mingi võõras programmilõik. Teine nakatamise viis, mis töötab COM-failide puhul, on põhimõtteliselt sama alglaadimissektori viiruste tööpõhimõttega. Viirus salvestab originaalse faili alguse ja asendab selle viiruselise koodiga. Igal käivitusel kutsutakse seetõttu originaali asemel välja viiruseline kood, mis kontrollib, ega viirust juba mälus pole: kui on, siis käivitab kohe salvestatud originaalse programmi; kui pole, siis esmalt loeb end mällu ja käivitab alles seejärel algse programmi. Kolmandaks, EXE-faile nakatatakse programmi algusaadressi ümbersuunamisega viiruselisele koodile, mis on harilikult lisatud programmifaili lõppu. Ülejäänud tööpõhimõtted on tal samad, mis COM-faili viirustel.

Kui viirus on mälus, siis seal haaratakse tavaliselt enda kätte mõni failidega opereerimisega tegelev katkestus, mis asendatakse faile nakatava programmilõiguga. Algne katkestus muidugi salvestatakse ja kutsutakse peale naka-tamist vahelejäämise vältimiseks välja. Nagu näha, tegutsevad viirused suhteliselt märkamatult, tehes kõik ära kasutaja selja taga; ideaalse viiruse puhul võib täheldada vaid fakti, et mõnede programmide sisselugemine võtab rohkem aega, kui ta võtma peaks.

Mitteresidentsed failiviirused on peaaegu sama tööpõhimõttega nagu residentsed failiviirused, ainuke vahe seisneb selles, et nakatav kood ei asetse mõnel katkestusel arvuti mälus, vaid käivitub ainult nakatunud programmifaili käivitamisel, otsides viiruse algtekstis määratud algoritmiga kettalt nakatamata faile ja nakatades neid.

Kui vaadata viirusega nakatunud faili, siis hakkab seal kohe silma, et programmi alguses on pikk hüpe kuskile faili lõppu. Üldse võib programmilfaili tegevuse kõige elementaarsemal sammhaaval jälgimisel viiruselise koodi kergelt avastada — lihtsamatel juhtudel saab viiruse elimineerimisega hakkama isegi kõige vähemate assemblerkeele alaste teadmistega kasutaja. Selle vastu on viirusekirjanikud aga välja nuputanud stealth-viirused. Stealth-viirus haarab enda kätte lisaks failide käivitamise katkestusele ka teisi kettaoperatsioone teostavaid katkestusi: tema tööpõhimõte seisneb BIOS-i rutiinide saboteerimises nii, et nad annaks ketta kohta valeinformatsiooni. Lihtsamad stealth-viirused näitavad nakatunud faili suuruse asemel algse faili suurust, põhjalikumad aga võltsivad lausa failide sisu, näidates viiruse asemel algset sisu.

Teine viirusetõrjujate petmise võimalus seisneb krüptimises. Et failide sirvimisel poleks niivõrd lihtne aru saada, et tegemist on viirusega, siis viiruse kood krüptitakse. Enne käivitamist peab aga viirus end ise lahti krüptima, seega on krüptivail viirustel mingi iseloomulik päis, mis viiruse koodi krüptimisega tegeleb ja mille otsimise abil krüptivaid viirusi ka avastatakse. Kõige kavalamad viirused aga genereerivad igal käivitusel või nakatumisel erineva päise või koguni terve uue viiruse, mille tõttu on viirusetõrjeprogrammidel neid kaunikesti keeruline avastada. Niisuguseid viirusi nimetatakse polümorfseteks, neil on lugematu arv erinevaid esinemisvorme — nad on seetõttu ka päris tõsine väljakutse viiruste otsimise meetoditele ja viirusetõrjeprogrammide väljatöötajatele; pelgast viiruste otsimisstringide andmebaasist nende puhul abi pole.

Mida aga teha, kui teatakse, viirus on arvutis? Kõige lihtsam on muretseda endale kõige uuem viirusetõrjepakett ja lasta sellel töö ära teha, kuigi ka selle tegevuse juures on mõningaid nüansse, millega on äärmiselt soovitav arvestada. Et avastada näiteks mõnda kõrgema klassi stealth-viirust, tuleb igal juhul teha alglaadimine puhtalt disketilt (kusjuures alglaadimisdiskette tuleks hoida kogu aeg kirjutamiskaitse all) ja seejärel käivitada viirusetõrjeprogramm, mis viiruse üles leiab ja selle loodetavasti ka eemaldab. Kui süsteemi nakatanud viirus aga pole stealth-viirus, siis aitab tema eemaldamiseks viirusetõrjeprogrammi käivitamisest ilma mälu kontrollimata (f-prot /nomem), viiruse eemaldamisest kettalt tõrjeprogrammi abiga ja sellele järgnev kohene algkäivitus (mitte Ctrl-Alt-Del, vaid reset, kuna mõned viirused on võimelised ka nupukombinatsiooni üle elama). Algajal aga on sellegipoolest soovitav teha alati viiruse avastamisel alglaadimine puhtalt disketilt, sel juhul on risk midagi ära vussida kõige väiksem.

Mida teha, kui viirusetõrjeprogramm leiab arvutist tundmatu viiruse? Siis ei aita muu, kui kutsuda kohale mõni programmeerijast spetsialist või teha vajalikest andmefailidest (kuid mitte käivitatavatest programmifailidest) varukoopiad ja kogu ketas vormindamise teel tühjendada. Uue viiruse leidmisel oleks eetiline sellest teatada ka mõnele viirusetõrjega tegelevale organisatsioonile ning saata neile tundmatu viirusega nakatunud fail, et keegi teine sama viiruse pärast enam kannatama ei peaks.

Artikkel ilmus ajakirja Arvutimaailm 1997. aasta aprillikuu numbris.