ما هو الفيروس المتحول
الفيروس المتحول برنامج ذاتي التكاثر لا يكتفي بإخفاء شيفرته، بل يغيّرها. تُنتَج كل نسخة جديدة بواسطة محرك مدمج يعيد كتابة التعليمات، فتتشابه النسخ في السلوك وتكاد لا تتشارك أي نمط من البايتات. وهنا بيت القصيد: مضاد الفيروسات التقليدي يتعرف على البرمجيات الخبيثة من مظهرها، والفيروس المتحول لا يظهر مرتين بالمظهر نفسه.
أما ما يفعله بعد التشغيل فمسألة منفصلة. محرك التحوّل مجرد تنكّر، والحمولة قد تكون أي شيء، من إصابة الملفات إلى مسجّل لوحة المفاتيح أو قناة هادئة لـتسريب البيانات. والأفضل أن ننظر إلى الأمر هكذا: المحرك يقرر هل تستطيع التعرف على البرنامج، والحمولة تقرر كم سيكلفك ذلك.
كيف يعيد كتابة نفسه
يحدث التحوّل ضمن دورة يحملها الفيروس في داخله، دون أي مساعدة خارجية.
- 1
قراءة شيفرته
يفكّك المحرك جسم الفيروس إلى قائمة تعليمات يستطيع فهمها وتعديلها.
- 2
التحويل
يطبّق قواعد إعادة الكتابة، مثل استبدال تعليمة بأخرى مكافئة أو إعادة ترتيب كتل مستقلة أو إدراج حشو غير ضار.
- 3
إعادة البناء
يجمّع التعليمات المعدّلة من جديد في جسم جديد يعمل، بعناوين وقفزات مختلفة.
- 4
الإصابة والتكرار
تُلحَق النسخة الجديدة بهدف، وعند تشغيلها تبدأ الدورة نفسها من جديد.
المتحول مقابل متعدد الأشكال
يخلط كثيرون بين الاثنين. الفيروس متعدد الأشكال (Polymorphic) يحتفظ بالشيفرة الأساسية نفسها ويغيّر غلافه فقط، وغالبًا طبقة تشفير بمفتاح مختلف في كل مرة. وبعد إزالة الغلاف يظهر الجسم نفسه، فيجد المحللون شيئًا ثابتًا للمطابقة. أما الفيروس المتحول فلا يملك جسمًا ثابتًا يمكن العثور عليه.
| الجانب | الفيروس متعدد الأشكال | الفيروس المتحول |
|---|---|---|
| ما الذي يتغير | طبقة التشفير ومفكّك التشفير الخاص بها | شيفرة البرنامج نفسها |
| الجسم بعد فك التعبئة | متطابق في كل نسخة | مختلف في كل نسخة |
| ما الذي يحمله | محرك تحوّل للغلاف | محرك يفكّك الشيفرة ويعيد بناءها |
| صعوبة الكتابة | متوسطة | أعلى بكثير |
| نقطة الضعف | يمكن مطابقة الجسم بعد فك التشفير | سلوكه وأنماط المحرك نفسه |
تقنيات التحوّل الشائعة
تجمع محركات التحوّل بين مجموعة صغيرة من التحويلات. لا تُعدّ أي منها متقدمة وحدها، ويأتي الأثر من تراكمها عبر الأجيال.
- استبدال التعليمات: وضع تعليمة مختلفة تعطي النتيجة نفسها.
- إعادة ترتيب الشيفرة: خلط كتل لا يعتمد بعضها على بعض وتصحيح القفزات بينها.
- إعادة تسمية السجلات: استخدام سجلات معالج مختلفة للعمليات نفسها.
- إدراج شيفرة عديمة الفائدة: إضافة تعليمات لا تفعل شيئًا، مثل عمليات فارغة أو عمليات يلغي بعضها بعضًا.
- التوسيع والتقليص: استبدال تسلسل قصير بآخر مكافئ أطول، أو العكس.
لماذا تفشل التواقيع
يقارن الفحص بالتواقيع ملفًا بأنماط بايتات مأخوذة من عينات معروفة. ويضرب التحوّل هذا الافتراض مباشرة، لأن النسخة الجديدة لا تحمل أي نمط سُجّل من قبل. لذلك ينتقل الكشف من شكل الملف إلى ما يفعله.
وهناك طبقة ذات صلة هي مراقبة سلامة الملفات. فهي لا تتعرف على الفيروس إطلاقًا، بل تلاحظ أن ملفًا محميًا تغيّر دون أن يأذن أحد بالتغيير، وهذا ينجح مهما كان شكل الشيفرة.
| أسلوب الكشف | يحتاج إلى نمط بايتات معروف | يرى السلوك أثناء التشغيل |
|---|---|---|
| مطابقة التواقيع | ||
| الاستدلال الساكن | ||
| مراقبة السلوك | ||
| العزل التجريبي أو المحاكاة |
الدفاع على طبقات
بما أن أي فحص منفرد لا يتعرف على كل النسخ، يُبنى الدفاع من طبقات تفشل بطرق مختلفة. تقلّل حماية نقاط النهاية القائمة على السلوك وقوائم التطبيقات المسموحة والتحديثات في وقتها من احتمال الإصابة. ومع ذلك تبدأ معظم الإصابات بشخص، عبر رسالة مثل التصيّد بالنسخ أو ملف من وسائط قابلة للإزالة، لذا فإن ترشيح البريد وقواعد الأجهزة لا تقل أهمية عن الماسح.
افترض أن نسخة ما ستُشغَّل في النهاية. وتحدّ تجزئة الشبكة والحسابات ذات الحد الأدنى من الصلاحيات والنسخ الاحتياطية المُختبَرة مما يمكن أن تطاله ومن زمن التنظيف.
الفحص النظيف لا يثبت أن الجهاز نظيف: أمام عينة متحولة لا يستطيع الماسح القائم على التواقيع سوى الإبلاغ بأنه لم يجد شيئًا يعرفه.
من أين تبدأ
ابدأ بسؤال عما يمكن أن تصل إليه إصابة ناجحة، لا بكيفية اصطياد كل نسخة. احصر نقاط النهاية التي تحتفظ بالبيانات الحساسة، وفعّل عليها الكشف القائم على السلوك، وتأكد من ملاحظة تغييرات الملفات غير المعتادة والتحويلات الصادرة.
خط الدفاع الأخير هو البيانات نفسها. يراقب ضابط منع فقدان البيانات على نقطة النهاية، مثل Anexet DLP، القنوات التي تغادر عبرها البيانات، فيمكن إيقاف التسريب حتى لو لم يُتعرَّف قط على البرنامج الذي بدأه.
قد لا تتعرف دائمًا على المتسلل، لكن يمكنك دائمًا مراقبة ما يخرج من الباب.
Anexet Team