Polimorfik virüs, antivirüs yazılımları tarafından tespit edilmemek için kodlarını değiştirebilen, bununla birlikte işlevselliğini koruyan virüslere verilen isimdir. Farklı polimorfik virüsler için farklı antivirüs yazılımlarının başarısız olduğu raporlar incelendiğinde grülmektedir. Polimorfik virüslerin tespiti konusunda antivirüs yazılımları gelişmekle beraber halen diğer virüs tipleri için sağlanan güvence seviyesine ulaşılamamıştır. POLİMORFİK VİRÜSLERİN TANIMIPolimorfik virüslerin kodlarının değiştirilmesiyle kastedilen: Değişken bir şifreleme anahtarı ve/veya şifreleme rutini ile şifreleme, Virüs koduna şaşırtma amaçlı kodlar eklenmesi , Kodu oluşturan fakat sıralamanın nemli olmadığı komutların sırasının işlevselliği değiştirmeyecek şekilde değiştirilmesi yntemleridir. Bu tür virüsler antivirüs yazılımları tarafından tespit edilmesi en zor olan virüs türleridir. Basit imza tabanlı virüs tespiti yapan antivirüs yazılımları polimorfik virüsleri tespit etmekte başarısız olabilmektedirler. Antivirüs yazılımlarını çeşitli tehidtlere gre değerlendiren bağımsız bir oluşum olan www.av-comparatives.org'da yayınlanan Şubat 2008 raporuna gre 8 farklı polimorfik virüs için antivirüs yazılımlarının değerlendirmesi aşağıda verilmiştir. POLİMORFİK VİRÜSLERİN YAPISIPolimorfik virüsler 3 kısımdan oluşmaktadır: Şifre Çzme kısmı: Bu kısım şifreleme rutinini ve gerekli ise anahtar bilgisini içermektedir. Virüslü bir dosya çalıştırıldığında şifre çzücü rutin devreye girerek virüsün şifreli kısımlarını çzer ve kontrolü şifresi çzülen zararlı koda devreder. Virüs gvdesi: Zararlı kodu içermekte, virüslü dosyalarda şifreli olarak bulundurmaktadır. Virüslü dosya çalıştırıldığında belleğe aktarılıp şifresi çzülmekte, kodda belirtilen işlemlere gre virüsün kendini diğer dosyalara kopyalaması ve diğer zararlı işlemleri yapmasını sağlamaktadır. Mutasyon Motoru: Zararlı kod ile birlikte şifreli olarak tutulmaktadır. Mutasyon motoru, virüslü dosya çalıştırıldığında şifre çzme rutini ile şifresi çzülüp, belleğe aktarılmakta ve bulaşacağı diğer dosyalara kopyalanacak mutasyona uğramış virüs versiyonlarını oluşturmaktadır. Bunun için virüs gvdesini işlevselliğini bozmayacak şekilde değiştirmekte, farklı bir şifreleme rutini ve anahtarı oluşturmaktadır. Bu sayede şifreleme rutinine gre tespit işlemi yapan antivirüs yazılımlarının aldatılması amaçlanmaktadır. Mutasyon motoru işlemini tamamladıktan sonra mutasyona uğramış virüs ve mutasyon motoru yeni oluşturulmuş şifreleme rutini ile şifrelenip virüs bulaştırılan dosyaya kopyalanmaktadır. POLİMORFİK VİRÜSLERİN TESBİTİBütünlük Kontrolü : Bu yntemde dosyalar hakkında bir durum tablosu tutulur. Antivirüs yazılımı taranan dosyaların CRC'sini hesaplar ve durum tablosuna kaydeder. Sonraki taramalarda, ya da dosyaya erişildiğinde CRC değeri tekrar hesaplanır ve dosyanın virüslü olup olmadığına CRC değerinin değişip değişmediğine bakılarak karar verilir. Bu yntem günümüz antivirüs yazılımlarında nadiren kullanılan oldukça eski bir yntemdir. Dezavantajları: Bu yntemle virüsün türü tespit edilememektedir. Günümüzde işletim sistemi dosyaları ve virüslerin sıklıkla bulaştığı dosya türleri normal işleyiş içerisinde sıklıkla değişmektedirler. Bütünlük kontrolü yapan antivirüs yazılımı değişimin kaynağını virüs olarak algılayıp yanlış alarmlar üretebilmektedir. Bu sebeple bu yntem sadece normal şartlar altında değişmeyen dosyaların taranması için kullanılabilmektedir. İmza Tabanlı Tarama: Antivirüs tarama motoru sistem belleğini, sistem başlangıç blgesini ve dosyaların tutulduğu birimleri tarar ve antivirüs yazılımda yüklü olan, virüslerin karakteristik içeriklerine karşılık gelen bit dizini/imzalarla karşılaştırma yapar. Polimorfik virüslerin değiştirilmiş olması ihtimaline karşılık imzalarla birebir uyum aranmamakta, kısmi uyum yeterli grülebilmektedir. Dezavantajları: İmzası oluşturulmamış virüs türlerini tespit edememektedir. Polimorfik virüslerin tespiti amaçlı kullanılan kısmi imza eşleşmesi yntemi yanlış alarm riskini artırmaktadır. Kesin imza eşleşmesi ya da yakın imza eşleşmesi durumlarında ise polimorfik virüslerin tespiti zorlaşmaktadır. İmza tabanlı tarama yapan bazı gelişmiş antivirüs yazılımlarında polimorfik virüsler tespit edildiğinde mutasyon algoritması çalıştırılarak mutasyona uğramış hallerine ait virüs imzaları oluşturulup antivirüs imzalarına eklenmektedir. Bylece mutasyona uğrayarak yayılmış polimorfik virüsler tespit edilebilmektedir. Mantıksal Virüs Tarama: Gelişmiş antivirüs yazılımlarında kullanılan bir yntemdir. Tarama motoru sistem belleği üzerinde izole bir sanal sistem oluşturmakta, taranan dosyalar bu izole sanal sistemde çalıştırılmakta ve bylece aktif hale geçen virüslerin davranışları sonucu değişen sanal sistem durumu incelenmektedir. Bu tür bir tarama ile polimorfik virüslerin yakalanmamak için sistem durumunu değiştirmeyen kod parçaları ekleme / zararlı kodu karıştırma yntemleri etkisiz bırakılabilmektedir. Sanal sistem kullanımı polimorfik virüslerin şifre çzme kısmının çalışıp virüs gvdesi ve mutasyon motorunun sanal sistem belleğine yüklenmesini sağlamaktadır. Açık olarak sistem belleğinde bulunan sistem durumunu değiştirecek işlemler yaptığında tespit edilebilmektedirler. Dezavantajları: Tarama işlemi daha uzun sürmektedir. Virüsün işlevini gerçekleştirmesi birden çok programın/dosyanın çalıştırılmasına, şifre çzme anahtarı için uzun zaman alan aramalar yapmasına bağlı olabilir. Antivirüs yazılımı tüm ihtimalleri araştıramayacaktır. Mantıksal virüs tarama normal program ve virüs aktivitelerini ayıramayabilir. Proses Davranışlarının İzlenmesi: Bu yntem kritik dosyaların virüslere karşı güvenliğini sağlamayı amaçlamaktadır, tüm sistem için bir antivirüs koruması değildir. Kritik dosyalara erişimine izin verilen prosesler antivirüs yazılımında yüklüdür ve erişim listesine uygun olmayan erişimler engellenir. Heuristic İzleme Yntemi: Polimorfik virüslerin tespitinde imza karşılaştırmasının yetersizliğinden dolayı sistem aktivitelerinin izlenmesi için farklı teknikler geliştirilmiştir. Heuristic İzleme virüs olan ve olmayan kodları/programları birbirinden ayırmak için tanımlanmış, virüslerin sebep olabileceği beklenmeyen, tutarsız işlemleri gerçek programların işlemlerinden ayıran kurallara gre sistem aktivitelerini izleme yntemidir. Olasılık hesaplamaları yapar. Bir dosya ya da programın virüslü olduğuna karar vermek için belirlenen olasılık eşik değeri ne kadar düşük tutulursa, yanlış alarmlar alma riski de o kadar artacaktır. Heuristic sistemin başarılı olabilmesi için heuristic kuralları çok fazla sayıda programın davranışları detaylı olarak incelendikten sonra oluşturulmalıdır. Aksi takdirde kuralları yetersiz olan bir heuristic sistem çok sayıda yanlış alarmlar üretecektir ve kullanımı fayda getirmeyecektir. Proses Davranışlarının İzlenmesi: Bu yntem kritik dosyaların virüslere karşı güvenliğini sağlamayı amaçlamaktadır, tüm sistem için bir antivirüs koruması değildir. Kritik dosyalara erişimine izin verilen prosesler antivirüs yazılımında yüklüdür ve erişim listesine uygun olmayan erişimler engellenir. Heuristic İzleme Yntemi: Polimorfik virüslerin tespitinde imza karşılaştırmasının yetersizliğinden dolayı sistem aktivitelerinin izlenmesi için farklı teknikler geliştirilmiştir. Heuristic İzleme virüs olan ve olmayan kodları/programları birbirinden ayırmak için tanımlanmış, virüslerin sebep olabileceği beklenmeyen, tutarsız işlemleri gerçek programların işlemlerinden ayıran kurallara gre sistem aktivitelerini izleme yntemidir. Olasılık hesaplamaları yapar. Bir dosya ya da programın virüslü olduğuna karar vermek için belirlenen olasılık eşik değeri ne kadar düşük tutulursa, yanlış alarmlar alma riski de o kadar artacaktır. Heuristic sistemin başarılı olabilmesi için heuristic kuralları çok fazla sayıda programın davranışları detaylı olarak incelendikten sonra oluşturulmalıdır. Aksi takdirde kuralları yetersiz olan bir heuristic sistem çok sayıda yanlış alarmlar üretecektir ve kullanımı fayda getirmeyecektir. SONUCPolimorfik virüsler antivirüs yazılımları tarafından tespit edilmesi en zor olan virüs türleridir. Basit imza karşılaştırma ve bütünlük kontrolü yapma yntemleri bu tür virüslere karşı yeterli koruma sağlayamamaktadır. Mantıksal izleme ve heuristic yntemler polimorfik virüslerin tespiti için daha gelişmiş tarama yntemleridir, fakat başarı düzeyleri ilgili bileşenlerin çalışma yntemlerine, kullandıkları kuralların yeterliliğine ve tarama motorlarının gücüne bağlı olarak farklılıklar gsterebilmektedir. Antivirüs yazılımı seçimi yapılırken çeşitli antivirüs yazılımlarının polimorfik virüslerin tespiti konusundaki başarıları karşılaştırılmalıdır. Birçok antivirüs yazılımı virüs imzaları bulunan polimorfik olmayan virüslerin tespitinde %99'a varan başarılar gsterirken, polimorfik virüslerin tespitinde bu başarı oranı ciddi şekilde düşebilmektedir . REFERANS "Understanding and Managing Polymorphic Viruses.", The Symantec Enterprise Papers "Antivirüs Yazılım Karşılaştırmaları", www.av-comparatives.org "Advanced Virus Detection Scan Engine and DATs", Executıve Whıte Paper, www.networkassociates.com Emekli

Ayrıca ilk Polimorfik Virüs bir bulgar hacker tarafından yazılmıştır. Sevmem yazmayı, okumayı sevdiğim kadar.