Sayfa 27

ACABA O MU?

Çoğu durumda ise virüslerin arkasında mutlaka bir kötü niyet yoktur. Zararsız bazı virüs örneklerine tüm bilgisayarlarda rastlanır:

* Ekranda örümcekler dolaşır. * Küçük öbür hayvancıklar ekranı veya pencereleri kemirirler.

Bazı virüsler kullanıcının ani bir tepkisini beklerler. Bunlardan birinde ekranda arada sırada bir dobişko görünüyor ve bağırarak pasta istiyor. Bu sırada CIRLC tuşlarına basmazsanız, bu sevimli yaratık belleğin bir parçasını “ısırıvetir”. AMIGĞA da bu gelişmeden payını aldı. Federal Almanya'da AMIGA 1000'in piyasaya çıkışından bir yıl sonra ilk virüs üretildi ve dolaşmaya başladı. Doğum yeri İsviçre Bilgisayar Kulübü'- nün (SCA) yazılım merkeziydi. Kulüp üyelerinden birinin daha sonra söylediğine göre, virüsün üretilme amacı, bazı sevilmeyen arkadaşları korku ve paniğe düşürmek ve bunlarm programlatını bozmaktı. Virüs, planlandığından çok daha hızlı yayıldı. Disket değiş tokuşu sayesinde yaygınlaştı. Doğumundan yaklaşık üç hafta sonra Federal Almanya'nın tümüne yayılmıştı. Dört haftanın sonunda ise ABD'de ilk örnekler gözüktü.

SCA virüsü, yaygınlaşması açısından en enteresan olanı. Bu virüs, disketin “Bootblock”'undaki ilk iki sektöre saklanıyor. Bir start disketinin, örneğin Workbench disketinizin, bootblock'unda bir (DOS) tanımı ve bir DOSyenileme rutini vardır. AMIGA açıldığında aşağıdaki adımları yürütür: * Başlangıç disketini tanır, * Yenileme rutinini belleğe yükler ve harekete geçirir. Bu atlama rutini virüslerin en sevdiği ortamı oluşturur, çünkü bu rutin her açılıştan sonra otomatik olarak yüklenir ve işlenir. Bir virüs bu rutine yerleşirse, başlangıçta belleğe erişir. Hastalanmış bir disketin boot edilmesinde, aşağıdaki aşamalar gerçekleşir: * Modifiye edilmiş rutin, bir bellek alanı ayırır ve kendini üst RAM bölgesine kopyalar. * Reset vektörü, bellekte bulunan virüs rutinine aktarılır. * Sonuçta virüs programı AMIGA-DOS'un normal çağrılmasını yerine getirir. Artık virüs pusuya yatmış durum dadır. Kimse onu farkedemez. Virüs ancak yeni bir reset durumunda aktif hale geçer. Reset rutini yerine, işletim sistemi virüs rutinine atlar. Hasilerler: * Disket sürücüde bulunan disketin bootblock'u her zamanki gibi okunur. * Başlangıç rutininde bulunan tüm komutlar yerine getirilir -eğer disket korunmaya alınmamışsa son kez olmak üzere-. * Sonra olanlar olur. * Virüs kendini disketin ilk iki sektörüne yazar. Virüsün zararlı etkisi bootblock'- un bozulmasıdır. Maalesef birçok programın en önemli bilgileri burada yer almaktadır. ““Barbarian” ya da “Terrapods” gibi oyunların özel “Loader”'ları (yükleyicileri) vardır. Bu tür disketler virüs tarafından hemen işlemez hale getirilir.

SCA virüsünün tek etkisi bu değil. Her 16. resette virüs ekranda varlığını haber veriyor. İkiyüzlü, bir ifadeyle yazılmış bir yazı şeridi, enfeksiyon hakkında bilgi veriyor.

Yaygınlaşmasında görülen başarı, AMIGA'da yeni bir virüs dalgasının oluşmasına yolaçtı: Bunların bazıları artık sadece bootblock'ta değil, başka kütüklerin içinde de saklanıyorlar. Örneğin C- Directory'si bu haşaratların en sevdiği saklanma yerlerinden biri oldu. Başka kuluçka yerleri de var; library'ler, printerler, RAM işleyici, disket düzenleyicisi, yani kısacası her yer. Programcı ne kadar kötü niyetli olursa, virüs © kadar zor temizlenir veya disket o kadar zor tedavi edilir. Her programa yerleşebilme özelliğine sahip olan, her çağrıda yeni hedef arayan, hatta donanım vektörlerini, library'lerdeki adımları veya sistem rutinlerini değiştiren bir virüsle başa çıkabilmek oldukça zordur. Bu kategoriye giren türlerden biri örneğin kendini modifiye edilmiş bir DIR komutuna saklar. Komut alışıldığı gibi işler, yalnızca en son anda belleğe bir virüs kopya eder. Bunu kimse farkedemez. Virüs oldukça hızlıdır. Bu varyasyon, yeni bir disketi sürücüye her takılışında çağrılan disket düzenleyicinin yayılmasını kötüye kullanır Ne yapar bu vi- Tüs? Eğer disket bir korunmamış durumdaysa, hastalık taşıyan DIR komutunu sürüceye yerleştirilmiş diskete kopyalar. Allahtan bu virüsün olumsuz yanı, yalnızca yanlış DIR komutunun yayılmasıdır. Bu komutla bağlı olarak, zaman zaman ekranda belirli bir “Kral Samson”'un evrendeki tüm şeylerin hakimi olduğunu bildiren bir uyarı çıkmakta. Son zamanlarda iki yeni virüs kendilerinden sıkça söz ettiriyor. Bunlardan biri SCA virüsünün bir türevi. Yayılması ve saklanma yeri aynı. Fakat hastalık etkisi kıyaslanamayacak kadar ağır. Yalnızca bootblock'a yazmak yerine, bu program 40. izi de formatlıyor. Dolayısıyla disketin tüm directory'si siliniyor. Belki de tüm sistemin bozulmasına yolaçan bir başka virüsle de tanışmışsınızdır. Bu durumda yoğun bir reset etme çabası sizi kurtaramayacaktır. AMIGA'nızı kapatmak ve yeniden açmaktan başka hiçbir şansınız yok. Virüslerin etkileri çoğu kez felakete yolaçtığından, bunlara karşı herhangi bir korunma olup olmadığı sorusu şiddetle gündeme geliyor. Bugüne kadar tanınan türlerinden kendinizi korumanız mümkün. SCA ve benzeri, yani bootblock'a yerleşen virüslere karşı komutunu kullanabilirsiniz. Fakat bu komutun yalnızca enfekte olmuş disketlere karşı kullanılması gerekiyor. Enfeksiyon tesbit etmenin yolu ise bir disket monitörü kullanmaktan geçiyor. Disketin ilk iki sektöründeki bilgileri, enfekte olmamış bir workbench disketininkilerle veya INSTALL komutunun yeni uygulanmış olduğu bir disketinkilerle karşılaştırın. Çoğunlukla enfekte olmuş disketin bootblock'- unda programcıyı virüs hakkında uyaran bir ifade bulunacaktır. Örneğin SCA virüsünde birinci blokta şöyle bir ifadeyle karşılaşırsınız: **Something wonderful has happened. Your AMIGA is alive”. Virüsün varlığını tesbit edebilmek için, disketlerinizi önce ya da benzeri bir programdan geçirebilirsiniz. Bu programlar da aynı şekilde bootblock'u kullanırlar. Programın başlangıcında daha önceden alışmış olduğunuz görüntüyle karşılaşmazsanız, bilin ki, AMIGA”'- nızda bir virüs yayılmaktadır. AMIGA 1000 sahipleri kendilerini “Anti-Virüs Kickstart” disketleriyle koruyabilirler. Bu programlar AMIGA'nızda bir SCA'nın ya da türevi olan bir virüsün bulunduğunu hemen gösterirler ve bunun etkinliğini derhal yokederler. Aslında SCA virüsünün etkisini yoketmenin çok daha kolay bir yolu daha vardır. Bunu sağlayacak trick'i programcıların kendilerinden aldık: