Raadioga.1000

Raadioga.1000 või Nilz.1000 on Ülo Kiple "haiguste ravile" pühendatud polümorfne krüptiv mitte-destruktiivne residentne EXE-faile nakatav MS-DOSi arvutiviirus.

Viirus on autori tunnistuse põhjal valminud 24. märtsil 1997 ning avalikus levis tõendamist leidnud sama aasta augustis.

Nakatamine

Viirus teeb end käivitamisel residentseks, haarab enda kätte MS-DOSi katkestuse INT 21H ja nakatab seejärel kõik EXE-failid viiruselise koodi kirjutamisega faili lõppu, kui kutsutakse välja standardse DOSi API kataloogist failide nimekirja pärimisega seotud funktsioone SetDTA, SetDrive, FindFirst või  MS-DOS 7.x/Windows 95 ChangeDir funktsiooni. Viirus väldib toona tuntud viirusetõrjetarkvara nakatamist failinime kahe esitähe kontrollimise teel.

Failide mitmekordse nakatamise vältimiseks määrab Raadioga.1000 nakatamisel faili muutmise aja sekundite väärtuseks 34, sest DOSi failihaldurid tüüpiliselt ei näita kasutajale sekundite väärtusi. Selle väärtuse kontrollimisega eristab viirus nakatatud faile nakatamata failidest. Siiski märgitakse nakatamisel 12 juhul 256-st sekundite väärtuseks 35, et võimaldada tõenäosusega 3/64 mitmekordset nakatamist.

Viirus kontrollib EXE-faili päisest pinusegmendi asukohta ning väldib sellega Windowsi failide nakatamist.

Sümptomid

Viirus avaldab end 10. märtsil, aktiveerib CMOS-mällu talletatud parooli küsimise BIOSis ning lõpetab arvuti töö, näidates kasutajale kirja:

HAIGUSTE RAVI KONTROLLITUD VAIKUSE PIMEDUSE JA RAADIOGA

Kui CMOSi parooli pole määratud, siis peab kasutaja opsüsteemi või BIOSi seadistusrakenduse käivitamiseks sisestama tootja poolt määratud vaikimisi parooli. Kui parool oli määratud, aga hiljem tühistatud, siis on endine parool taas aktiveeritud ning kasutajalt oodatakse selle sisestamist.

Eripära

Viiruse eripäraks on selle aeglane polümorfsus, mistõttu viirusetõrjetarkvara kirjeldusbaasides jäeti koodi muutumine arvestamata, viiruse eri kujusid ei avastatud ning registreeriti baasides mõnda aega viiruse uute versioonidena.

Viiruse autor avaldas viiruse kommenteeritud lähtekoodi 1999. aastal avaliku omandina, kuid palus tuua koodi levitamisel seal ära tähekombinatsiooni "NiL". Autori kommentaaride järgi on viirus kirjutatud 4,77 MHz IBM XT peal Borlandi Turbo Assembleris, korralikult optimeeritud ja koodimisvigadeta ning sihipäraselt koostatud 1000 baidi pikkusena, et luua "vaese mehe" varjatuse-efekt (ingl k stealth), muutes nakatatud failide kasvamise hooletule inimsilmale märkamatuks.

Viirus on ilmselt ainus tehnilises mõttes ainulaadne teadaolevalt Eestis kirjutatud ja avalikku levisse jõudnud viirus. Raadioga.1000 oli detsembris 2000 viirusetõrjetarkvara tootva ettevõtte F-Secure avalikus viiruste nimekirjas dokumenteeritud kui üks viiest Eestist pärit viirusest ning kirjelduses kinnitatakse, et kuigi tegu on lihtsa EXE-faili viirusega, siiski on seda raske tuvastada, sest see "muudab oma koodi väga aeglaselt". AntiViral Toolkit Pro kokkuvõttes aga kirjeldatakse Raadioga.1000 kui "ohtlikku mäluresidentset krüptitud parasiteerivat viirust", kuigi viirus on mitte-destruktiivne ega parasiteeri süsteemi märgatavalt rohkem kui mõni teine.

Toonaste kriteeriumide järgi oli Raadioga.1000 leidlikult minimalistlik kombinatsioon polümorfsusest, krüptimisest ja stealth-funktsioonist.

Motivatsioon

Autor on avaldanud viiruse kommenteeritud lähtekoodi CodeBreakersi e-zine'i 1999. aasta juunikuu numbris kaks aastat pärast viiruse käiku laskmist. Lähtekoodi kommentaarides vaatab ta hüvastijätukirja vormis tagasi oma tegevusele viiruste loojana, teatab, et loobub ilmselt peagi skeenes osalemisest, ning markeerib lühidalt oma vaateid viiruste kirjutamisele ning selle kultuurilise tähendusele.

Ta märgib, et ei pea end pseudonüümi taha varjuvaks autoriks, vaid viiruse masinformaadis käituskoodis esinev signatuur "NiL" on tema jaoks pigem koodnimi või märgistus "pisikeste iseend replitseerivate koodijuppide loomise harrastusele", tervitab teisi viirusekirjanikke ning kutsub neid jätkama head tööd, kuid hoiduma kahju tekitavate viiruste kirjutamisest. Ta kinnitab, et kollanoklik huvitumine asjadest, mille vastu pole enamikul inimestest huvi, on seotud teadmisega. Ka tunnustab ta viirusetõrjetarkvara väljatöötajaid, et need viirusekirjanike loominguga võideldes endale elatist teenivad. Lõpetuseks rõhutab ta, et pole oma väidetes teadmiste poole pürgimise ega viirusetõrjujate tegevuse kohta irooniline.

Codebreakersi e-zine'i samas numbris on avaldatud ka autori esimese, veebruaris 1997 avalikku levisse jõudnud viiruse "Tere.370" lähtekood, mille kommentaarides on toodud ära sama hüvastijätusõnum.

Arvutiviirused

Viited

Välislingid

Ben Coxi DOSi-viiruste proovide vaataja: Virus.DOS.Raadioga.1000.a