Viirus 10. märtsil 2020 avaldamas oma Ülo Kiplest inspireeritud grafiti-sõnumit
**Raadioga.1000** või **Nilz.1000** on Ülo Kiple "haiguste ravile" pühendatud polümorfne krüptiv mitte-destruktiivne residentne EXE-faile nakatav MS-DOSi arvutiviirus.

Viirus on autori tunnistuse põhjal valminud 24. märtsil 1997 ning avalikus levis tõendamist leidnud sama aasta augustis.

Nakatamine
----------

Viirus teeb end käivitamisel residentseks, haarab enda kätte MS-DOSi katkestuse INT 21H ja nakatab seejärel kõik EXE-failid viiruselise koodi kirjutamisega faili lõppu, kui kutsutakse välja standardse DOSi API kataloogist failide nimekirja pärimisega seotud funktsioone *SetDTA*, *SetDrive*, *FindFirst* või MS-DOS 7.x/Windows 95 *ChangeDir* funktsiooni. Viirus väldib toona tuntud viirusetõrjetarkvara nakatamist failinime kahe esitähe kontrollimise teel.

Failide mitmekordse nakatamise vältimiseks määrab Raadioga.1000 nakatamisel faili muutmise aja sekundite väärtuseks 34, sest DOSi failihaldurid tüüpiliselt ei näita kasutajale sekundite väärtusi. Selle väärtuse kontrollimisega eristab viirus nakatatud faile nakatamata failidest. Siiski märgitakse nakatamisel 12 juhul 256-st sekundite väärtuseks 35, et võimaldada tõenäosusega 3/64 mitmekordset nakatamist.

Viirus kontrollib EXE-faili päisest pinusegmendi asukohta ning väldib sellega Windowsi failide nakatamist.

Sümptomid
---------

Viirus avaldab end 10. märtsil, aktiveerib CMOS-mällu talletatud parooli küsimise BIOSis ning lõpetab arvuti töö, näidates kasutajale kirja:

`HAIGUSTE RAVI KONTROLLITUD VAIKUSE PIMEDUSE JA RAADIOGA`

Kui CMOSi parooli pole määratud, siis peab kasutaja opsüsteemi või BIOSi seadistusrakenduse käivitamiseks sisestama tootja poolt määratud vaikimisi parooli. Kui parool oli määratud, aga hiljem tühistatud, siis on endine parool taas aktiveeritud ning kasutajalt oodatakse selle sisestamist.

Eripära
-------

Viiruse eripäraks on selle aeglane polümorfsus, mistõttu viirusetõrjetarkvara kirjeldusbaasides jäeti koodi muutumine arvestamata, viiruse eri kujusid ei avastatud ning registreeriti baasides mõnda aega viiruse uute versioonidena.

Viiruse autor avaldas viiruse kommenteeritud lähtekoodi 1999. aastal avaliku omandina, kuid palus tuua koodi levitamisel seal ära tähekombinatsiooni "NiL". Autori kommentaaride järgi on viirus kirjutatud 4,77 MHz IBM XT peal Borlandi Turbo Assembleris, korralikult optimeeritud ja koodimisvigadeta ning sihipäraselt koostatud 1000 baidi pikkusena, et luua "vaese mehe" varjatuse-efekt (ingl k *stealth*), muutes nakatatud failide kasvamise hooletule inimsilmale märkamatuks.

Viirus on ilmselt ainus tehnilises mõttes ainulaadne teadaolevalt Eestis kirjutatud ja avalikku levisse jõudnud viirus. Raadioga.1000 oli detsembris 2000 viirusetõrjetarkvara tootva ettevõtte F-Secure avalikus viiruste nimekirjas dokumenteeritud kui üks viiest Eestist pärit viirusest ning kirjelduses kinnitatakse, et kuigi tegu on lihtsa EXE-faili viirusega, siiski on seda raske tuvastada, sest see "muudab oma koodi väga aeglaselt". AntiViral Toolkit Pro kokkuvõttes aga kirjeldatakse Raadioga.1000 kui "ohtlikku mäluresidentset krüptitud parasiteerivat viirust", kuigi viirus on mitte-destruktiivne ega parasiteeri süsteemi märgatavalt rohkem kui mõni teine.

Toonaste kriteeriumide järgi oli Raadioga.1000 leidlikult minimalistlik kombinatsioon polümorfsusest, krüptimisest ja *stealth*-funktsioonist.

Motivatsioon
------------

Autor on avaldanud viiruse kommenteeritud lähtekoodi CodeBreakersi e-zine'i 1999. aasta juunikuu numbris kaks aastat pärast viiruse käiku laskmist. Lähtekoodi kommentaarides vaatab ta hüvastijätukirja vormis tagasi oma tegevusele viiruste loojana, teatab, et loobub ilmselt peagi skeenes osalemisest, ning markeerib lühidalt oma vaateid viiruste kirjutamisele ning selle kultuurilise tähendusele.

Ta märgib, et ei pea end pseudonüümi taha varjuvaks autoriks, vaid viiruse masinformaadis käituskoodis esinev signatuur "NiL" on tema jaoks pigem koodnimi või märgistus "pisikeste iseend replitseerivate koodijuppide loomise harrastusele", tervitab teisi viirusekirjanikke ning kutsub neid jätkama head tööd, kuid hoiduma kahju tekitavate viiruste kirjutamisest. Ta kinnitab, et kollanoklik huvitumine asjadest, mille vastu pole enamikul inimestest huvi, on seotud teadmisega. Ka tunnustab ta viirusetõrjetarkvara väljatöötajaid, et need viirusekirjanike loominguga võideldes endale elatist teenivad. Lõpetuseks rõhutab ta, et pole oma väidetes teadmiste poole pürgimise ega viirusetõrjujate tegevuse kohta irooniline.

Codebreakersi e-zine'i samas numbris on avaldatud ka autori esimese, veebruaris 1997 avalikku levisse jõudnud viiruse "Tere.370" lähtekood, mille kommentaarides on toodud ära sama hüvastijätusõnum.

|  |  |
| --- | --- |
|  | Vikitekstides on artikliga seotud alliktekste: **Raadioga.1000 v1.0 24.Mar.1997 NiL** |

Viited
------

1. ↑  NOD32 antivírus (9. november 2009). "Nilz.1000". *ESET Ungari veebisait*. Vaadatud 11. aprillil 2020.
2. ↑  "Ülo "Haiguste ravi" Kiple sõnumit levitatakse viirusega". *Eesti Päevaleht*. 21. juuni 2001. Vaadatud 10. aprillil 2020.
3. 1 2 3  Peter Szor, Mikko Hypponen (1997). "F-Secure Computer Virus Information Pages: Raadioga". *F-Secure veebileht*. Originaali arhiivikoopia seisuga 2. detsember 2000. Vaadatud 10. aprillil 2020.
4. 1 2 3  Jevgeni Kasperski (1998). "Raadioga.1000". *AntiViral Toolkit Pro Virus Encyclopedia*. Originaali arhiivikoopia seisuga 2. oktoober 1999. Vaadatud 10. aprillil 2020.
5. ↑  "Viruses whose origin is estonia". *F-Secure veebileht*. Originaali arhiivikoopia seisuga 2000-12-06. Vaadatud 6. detsembril 2000. `{{netiviide}}`: kontrolli kuupäeva väärtust: `|vaadatud=` (juhend)
6. ↑  Märt Põder (aprill 1997). "Kuri müstiline viirus". *Arvutimaailm*. Vaadatud 10. aprillil 2020.
7. ↑  Opic (juuni 1999). "Codebreakers #5". *Codebreakers*. Vaadatud 20. aprillil 2020.[*alaline kõdulink*]
8. ↑  Peter Szor (1997). "F-Secure Computer Virus Information Pages: Tere". *F-Secure veebileht*. Originaali arhiivikoopia seisuga 2. detsember 2000. Vaadatud 20. aprillil 2020.
9. ↑  NiL (juuni 1999). "Tere.370 v1.0 NiL". *Codebreakers*. Vaadatud 20. aprillil 2020.[*alaline kõdulink*]

Välislingid
-----------

* Ben Coxi DOSi-viiruste proovide vaataja: Virus.DOS.Raadioga.1000.a