अंदर वायरस स्कैनर

पिछले साल मैंने एक एंटी-वायरस कंपनी के लिए वायरस स्कैनर के कार्यान्वयन पर काम किया, जो कि काफी हद तक पर्याप्त है ।
पोस्ट अधिग्रहीत ज्ञान का एक निचोड़ है, और विषम एंटी-वायरस स्कैनर की आंतरिक संरचना के बारे में व्यापकता बताती है।
एक स्कैनिंग इंजन या स्कैनर एक एंटीवायरस पैकेज की नींव है। यह एंटीवायरस का बैक-एंड है, एक नियम के रूप में, एक dll के रूप में प्रस्तुत किया गया है, क्योंकि स्कैनर का उपयोग पैकेज से कई कार्यक्रमों द्वारा किया जाता है।
इस मामले में ग्राफिकल शेल इंजन के परिणामों को प्रदर्शित करने के लिए सिर्फ एक सुंदर आवरण है। बैक-एंड में इंजन द्वारा सभी उपयोगी कार्य किए जाते हैं।

वायरस सॉफ्टवेयर स्थान

नाम से यह स्पष्ट है कि इंजन का उपयोग मैलवेयर के सभी संभावित स्थानों को स्कैन करने के लिए किया जाता है, अर्थात्:

• संपूर्ण डिस्क तक, मनमानी फ़ाइलों और फ़ोल्डरों को स्कैन करें।
• मेमोरी स्कैन। मेमोरी में लोड की गई सभी प्रक्रियाएं और उनके dll स्कैन किए जाते हैं।
• डिस्क के स्कैनिंग रिकॉर्ड (मास्टर बूट रिकॉर्ड - एमबीआर)।
• मैलवेयर के निशान के लिए सिस्टम को स्कैन करना। % APPDATA%,% WINDIR% जैसे विशिष्ट फ़ाइलों और फ़ोल्डरों के लिए सिस्टम फ़ोल्डर्स की जाँच करना। स्टार्टअप और सेटिंग्स के संकेतों के लिए रजिस्ट्री को स्कैन करना।

स्कैनिंग के प्रकार।

स्कैनिंग को दो मुख्य प्रकारों में विभाजित किया गया है: हस्ताक्षर और हेयुरिस्टिक ।

हस्ताक्षर आधारित स्कैनिंग।

एक अन्य नाम हैश स्कैन है। स्कैनर एक शब्दकोश के साथ फ़ाइल हस्ताक्षरों की तुलना करके फ़ाइलों की जाँच करता है।
आमतौर पर, एंटीवायरस हस्ताक्षर एक ज्ञात वायरस के शरीर से उत्पन्न एमडी 5 हैश (16 बाइट्स) है।
इस प्रकार, किसी फ़ाइल को संक्रमित माना जाता है यदि उसका हैश हस्ताक्षर डेटाबेस में पाया जाता है। मैलवेयर का पता लगाने के लिए, हैश की गणना केवल पीई हेडर के आधार पर एक्सई फाइलों के लिए की जा सकती है।
इस प्रकार का स्कैन आपको उच्च स्तर की संभावना के साथ हमले के प्रकार को निर्धारित करने की अनुमति देता है, बिना झूठी सकारात्मक (क्या हेयुरिस्टिक स्कैनिंग करता है)।
हैश स्कैन के नुकसान में नए वायरस का पता लगाने में असमर्थता शामिल है जो डेटाबेस में नहीं हैं। साथ ही पॉलीमॉर्फिक या एन्क्रिप्टेड वायरस के लिए भेद्यता, जिसे हस्ताक्षर डेटाबेस के लिए नियमित अपडेट की आवश्यकता होती है।
हैश स्कैन का एक और कमजोर बिंदु सत्यापन की गति है। यदि यह मूर के कानून के लिए नहीं था, तो कोई भी आधुनिक कंप्यूटर उचित समय में इतने सारे हस्ताक्षरों के साथ स्कैनिंग समाप्त नहीं कर सकता था।

हेयुरिस्टिक स्कैन

पहले से ज्ञात विशेषताओं (हेयूरिस्टिक्स) के आधार पर वायरस का पता लगाने के लिए एक विधि। उदाहरण के लिए, एमबीआर में प्रवेश करने वाले बूट वायरस का पता लगाने के लिए, एक एंटीवायरस दो तरह से बूट रिकॉर्ड पर विचार कर सकता है: WinAPI ReadFile फ़ंक्शन का उपयोग करके, और डायरेक्ट डिस्क एक्सेस ड्राइवर (DDA ड्राइवर) का उपयोग करके। और फिर दोनों बफ़र्स की तुलना करें। यदि बफ़र्स अलग हैं, तो एक उच्च संभावना के साथ
हम कह सकते हैं कि न केवल वायरस बूट करने योग्य है, यह WinAPI कॉल को भी बदलता है।
जो रूटकिट्स के लिए आम बात है ।
हेयोरिस्टिक स्कैन का एक अन्य उदाहरण रजिस्ट्री और सिस्टम निर्देशिका में वायरस के निशान की खोज हो सकता है। एक नियम के रूप में, वायरस फ़ाइलों और / या रजिस्ट्री प्रविष्टियों का एक विशिष्ट सेट बनाते हैं जिनके द्वारा उनकी पहचान की जाती है।
ऊपर सूचीबद्ध मैलवेयर स्थानों के प्रकार, अर्थात् निशान के लिए स्कैनिंग, कुकीज़ को स्कैन करना और बूट डिस्क रिकॉर्ड की जांच करना, भी हेयुरिस्टिक स्कैनिंग की आड़ में आते हैं।

स्कैनर घटकों और सामान

ड्राइव डायरेक्ट एक्सेस ड्राइवर

रूटकिट को बायपास करने के लिए आवश्यक है। एक संक्रमित प्रणाली में, रूटकिट्स का उपयोग किया जाता है
उसकी उपस्थिति का पता लगाने के लिए। ऐसा करने का सबसे अच्छा तरीका एपीआई फ़ंक्शन कॉल को ओवरराइड करना है।
विशेष रूप से, फ़ाइलों के साथ काम करने के लिए: CreateFile, ReadFile, आदि। जब कोई एंटीवायरस प्रोग्राम सिस्टम को स्कैन करता है,
इन कार्यों को कॉल करने पर, रूटकिट FALSE वापस कर सकता है जब इस तरह के कॉल को संदर्भित करता है। इसके आसपास जाने के लिए,
स्कैनर में WinAPI का उपयोग किए बिना, डिस्क से प्रत्यक्ष सेक्टर-दर-सेक्टर पढ़ने के लिए एक मॉड्यूल है।

ब्लैक एंड व्हाइट लिस्ट

उनका उपयोग उन खोजों को फ़िल्टर करने के लिए किया जाता है जो वास्तव में दुर्भावनापूर्ण नहीं हैं। इस प्रकार, एंटीवायरस झूठे सकारात्मक होने की स्थिति में खतरे की चेतावनी नहीं देता है।
आधुनिक एंटीवायरस डेटाबेस को औसतन 5 मिलियन हस्ताक्षर से संग्रहीत करते हैं। इसके अलावा, एक वायरस के लिए, अक्सर, एक दर्जन हस्ताक्षर मौजूद हो सकते हैं। यह संभव है कि कई हजार सिस्टम फाइलों में से, हस्ताक्षर के लिए उपयुक्त फाइल हो। और यह धमकी देता है कि एंटीवायरस इसे हटा देगा, या इसे संगरोध में ले जाएगा, जिससे सिस्टम क्रैश हो सकता है।
झूठी सकारात्मकता को कम करना किसी भी एंटीवायरस कंपनी की सर्वोच्च प्राथमिकता है।
सबसे प्रतिष्ठित एंटी-वायरस टेस्ट - वायरस बुलेटिन को पास करने के लिए, एंटी-वायरस को एक भी गलत पॉजिटिव दिए बिना, 100% पता लगाने का परिणाम दिखाना चाहिए।
सफेद सूची - इसमें उन फ़ाइलों की एक सूची होती है जो सिस्टम को नुकसान नहीं पहुंचाती हैं, लेकिन किसी तरह स्कैनर द्वारा पता लगाया जाता है।
ब्लैकलिस्ट - वायरस की एक सूची है जिसमें हम भरोसा करते हैं (सिस्टम को नुकसान नहीं पहुंचाते हैं)।

अनपैकर, डिकोडर

वायरस का पता लगाने के एक स्वीकार्य स्तर को प्राप्त करने के लिए, स्कैनर को एक exe पैकर (उदाहरण के लिए, UPX) के साथ एन्क्रिप्ट किए गए एनकोडर को संसाधित करना होगा। फिर, हैश की गणना करने से पहले, स्कैनर यह पता लगाता है कि फ़ाइल एन्क्रिप्टेड है और पहले डिकोडर से संपर्क करता है, और फिर इस आधार पर, हैश की गणना की जाती है और डेटाबेस में एक के साथ तुलना की जाती है।
दूसरे प्रकार के अभिलेखागार सुप्रसिद्ध जिप, रार, 7z इत्यादि हैं। एंटीवायरस को भी इन अभिलेखागार को अनपैक करने में सक्षम होना चाहिए, और सामग्री को स्कैन करना चाहिए।
तीसरा प्रकार NTFS ADS (NTFS वैकल्पिक डेटा स्ट्रीम) का अपघटन है। NTFS फ़ाइल सिस्टम में, निष्पादन योग्य फ़ाइल को एक नियमित रूप से प्रच्छन्न किया जा सकता है, उदाहरण के लिए, एक पाठ। इस फ़ाइल की एक वैकल्पिक धारा सीधे वायरस को संदर्भित करेगी।

उपयोग-मामले

एंटीवायरस सॉफ़्टवेयर न केवल सिस्टम की पूरी स्कैन के साथ इंजन का उपयोग करता है, बल्कि ऐसे मामलों में भी:

• इंटरनेट सुरक्षा। अर्थात्, ब्राउज़र कुकीज़ और फ़्लैश प्लेयर की स्कैनिंग।
  उदाहरण के लिए, Chrome% स्थानीय डेटा% \\ Google \\ Chrome \\ उपयोगकर्ता डेटा \\ डिफ़ॉल्ट \\,% appdata% में फ़ायरफ़ॉक्स फ़ोल्डर% \\ मोज़िला \\ फ़ायरफ़ॉक्स \\ प्रोफाइल में कुकीज़ को संग्रहीत करता है।
  % USERPROFILE% \ AppData \ Roaming \ Microsoft \ Windows \ कुकीज़ में इंटरनेट एक्सप्लोरर के लिए।
  इस प्रकार, फ़ायरफ़ॉक्स और क्रोम के लिए कुकीज़ के sql डेटाबेस से, या IE के लिए प्रत्येक कुकी की तीसरी पंक्ति से डोमेन नाम निकालना।
  स्कैनर इसकी तुलना हानिकारक साइटों के डेटाबेस से करता है।
  
• ईमेल सुरक्षा। स्कैनर मेल सुरक्षा के लिए जिम्मेदार एंटीवायरस मॉड्यूल से चिपकता है। यह आउटलुक, थंडरबर्ड, के लिए एक प्लगइन हो सकता है
  जो वायरस के लिए अटैचमेंट की जाँच पर आधारित है।
• किसी फ़ाइल / फ़ोल्डर का प्रासंगिक स्कैन। जब उपयोगकर्ता संदर्भ मेनू में "फ़ाइल चेक करें ..." का चयन करता है, तो फ़ोल्डर या फ़ाइल पर राइट-क्लिक करके, एंटीवायरस भी इंजन तक पहुंचता है।