Polimorfici

Virus polimorfici

Mi ricordo di un articolo che scrissi alcuni anni addietro in merito alle nuove frontiere dei virus. Quando qualcuno mi chiese che caratteristiche avrebbero avuto i virus della prossima generazione io risposi che sarebbero stati polimorfici.

Ebbene il futuro sembra arrivato molto in anticipo rispetto alle nostre previsioni. Infatti la maggior parte dei virus avanzati che sono in circolazione attualmente risulta avere caratteristiche di polimorfismo. Non è un caso che la tecnologia di riconoscimento più usata dai laboratori antivirus sia quella euristica. Utilizzando algoritmi euristici non si riconosce il virus in quanto tale ma il suo comportamento.

Alcuni amici mi hanno chiesto di scrivere due righe sul polimorfismo in ambito informatico, il quale indubbiamente assomiglia molto a quello biologico.

La base di funzionamento del virus polimorfico è un motore autocombinante di cifratura continua. Questo motore riscrive a ogni certo numero di infezioni il codice del virus tentando di renderlo irriconoscibile ai programmi di protezione.

Il primo virus polimorfico fu scritto attorno al 1990 quando agli albori dell'era internet un illuminato scoperse che era possibile includere in un codice malevolo un certo e ben noto algoritmo di cifratura. Un algoritmo di cifratura non è altro che una enorme formula che si occupa di riscrivere in base a certe condizioni di validazione (regole dell'algoritmo) il codice dell'algoritmo stesso.

Il risultato è fulminante. Il codice è sempre validato dal motore algoritmico e muta sempre i propri contenuti sperando di farla franca. L'azione polimorfica è spesso subdola poichè frequentemente il virus indugia su i sistemi infetti senza eseguire azioni di basso livello (infezioni record di avvio, tentativo di cambio impostazioni) e l'utente è portato a pensare che il sistema stesso sia a posto.

Dico subito che può essere complicato liberarsi di un simile virus. L'unica speranza è che il nostro software antivirus sia dotato di buona perspicacia euristica.

Probabilmente se la mutazione è impostata per essere eseguita a ogni generazione (salto sistema) è possibile che prima o poi per verosimiglianza euristica anche il nostro antivirus riceva l'aggiornamento via internet e rilevi l'infezione. Altrimenti avremo vita dura nella speranza che il codice non sia completamente malevolo o a velocissima ricombinazione.

Massimo Bellati per tecnologiaeprogresso.com