Link atar mısınız?

Bilgisayara bulaşan bir zararlı yazılım, Windows Defender veya başka virüs programları tarafından nasıl tespit edilebiliyor? Bu virüs programları dosyaların kodlarını okuyabiliyor mu? Mesela bilgisayardaki onlarca. py dosyası arasından birisi virüs ve anında tespit edildi. Virüs programları bunun zararlı yazılım olduğunu nasıl anlıyor?

Aynı imzaya sahip olmuyorlar, tespitleri aynı oluyor. İkisi de tuş vuruşlarını kaydedecek, ikisi de bu vuruşları bir SMTP üzerinden saldırgana iletecek. Tuş vuruşu kaydetmek için kullanacağı kütüphaneler aynı olacak, SMTP ile yollama yöntemleri aynı olacak. Bunlar benzerlik gösterecek veya birebir aynı yapıda olacak, bu da byte-sign değerinin birbirine benzemesine hatta aynı olmasına sebep olacak ve tespit edilecek. Byte-sign atlatmak için çeşitli şifreleme metodları var, ancak onlar da sezgisel taramada ortaya çıkacak.

Algoritmaları öğreniyor database güncelliyor uygulamanında sertifikası yok ise direk virüs olarak görebiliyor şüphelenirse.

Anladım ama mesela A kişisinin yazdığı keylogger ile B kişisinin yazdığı keylogger farklı dillerde ve farklı şekilde yazılmış olsun. Bu iki virüs nasıl aynı imzaya sahip olabiliyor?

GitHub - HydraDragonAntivirus/Hydra-Dragon-Antivirus-Linux: Hydra Dragon Anti-virus For Linux Şu anlık en iyi açık kaynaklı antivirüs bu. ClamAV'dan daha iyi skoru var.

2 türlü anti virüs vardır ilk olan dosyanın sadece imzasına bakar yani daha önceden yakalanan bir dosyaysa kendi veri tabanı ile eşleşirse bu dosyayı kötü amaçlı olarak algılar diğer çeşit ise ilk kinden daha pahalı olur ve genelde kurumlar tarafından kullanılır bu tür anti virüsler dosyanın nereye trafik yaptığını PC de nereleri karıştırdığını izler yapabilirse koduna da bakar ve buna göre karar verir.

Github'da yaptığım Linux antivirüsü var ona bakıp çözebilirsin mantığını.

Dosyalari icerikleriyle beraber tariyor. Mesela VirusTotal'in sitesine girip bir dosya attiginda dosyanin komplesine bakiyor bir parcasina degil.

Birden fazla çeşitte algılama yöntemleri var. Örneğin Byte-Signature, zararlı yazılımın bilinen ve makine dilinde tespit edilmiş bir parçasına göre sınıflandırılır. Yazılımda bu iz varsa tespit edilir. Heuristic yani sezgisel tespit, en son çaredir. Çalıştırıldıktan sonra veya çalıştırılmadan önce davranış analizi gerçekleştirilir ve buna bağlı olarak eğer yeni bir zararlı ise tespit edilir, byte-sign oluşturulur ve veritabanına eklenir. Hash-Signature yöntemi vardır bir de, bu pek tercih edilmemesi ve güvenilmemesi gereken bir yol. Dosyanın HASH değeri veritabanıyla eşleşiyorsa zararlı olarak algılar fakat bunu atlatmak oldukça basit, dosyada yapılacak en ufak bir değişiklik dahi HASH değerini değiştireceği için bu pek tercih edilmez.

Bana kalsa onların da bir sistemi var kötü amaçlı kodların kayıtlı oldugu bir yere bağlıysalar mesela VirusTotal ne gibi virüs varsa içinde onu söylüyor onlarda böyle bir şey varsa öyle çalışıyor diye biliyorum.