Öykünücüler (emulatorler) vasıtasıyla tespit edilmekten kurtulabilmek için her yeni yürütülebilir dosyaya bulaÅŸmadan önce kendilerini tamamiyle yeniden yazan virüslerdir. BaÅŸkalaşım geçirebilmeleri için bu viruslerin baÅŸkalaşım motoru kullanmaları gerekir. Bir baÅŸkalaşım motoru genelde çok büyüktür ve karmaşıktır. ÖrneÄŸin W32/Simile 14000 satır çevirici dili içerir ve %90′ı baÅŸkalaşım motoruna aittir.
ÇokÅŸekilli kodlar, virüs tarayıcılara yönelik ciddi tehdit arz eden ilk teknikti. ÅžifrelenmiÅŸ virüslere benzer ÅŸekilde çokÅŸekilli virüsler de dosyalara ÅŸifrelenmiÅŸ kopyaları ile bulaÅŸmakta idi. Bununla birlikte ÅŸifre çözücü modülde her dosya bulaÅŸmasında deÄŸiÅŸmekteydi. Dolayısıyla iyi yazılmış çokÅŸekilli bir virüs her bulaÅŸmada sabit kalacak hiçbir parçaya sahip deÄŸildi ve bu da virüs imzalarını kullanarak virüsü tespit […]
Daha geliÅŸkin bir yöntem ise virüsü basit ÅŸifreleme yöntemleri ile saklamaktı. Bu durumda virüs, ufak bir ÅŸifre çözücü modül ile virüs kodunun ÅŸifrelenmiÅŸ bir kopyasından oluÅŸmaktaydı. Her dosya bulaÅŸmasında virüs faklı bir anahtar ile ÅŸifreleniyor olsa da virüsün sürekli sabit kalacak tek bölümü, virüsün son bölümüne iliÅŸtirilen çözücü modül olacaktır. Bu durumda virüs tarayıcı virüs […]
Geçmişte virüsler kendilerini basit şekillerde değiştirebiliyorlardı. Örneğin virüsler, kaynak kodlarında yer alan ve görevleri benzer altprogram ünitelerini değiş tokuş etmekteydi. 2+2 yapısındaki bir virüs takas sonunda 1+3 forumuna dönerken işlevinde herhangi bir değişiklik olmuyordu. Günümüzde bu durum gelişkin virüs tarayıcılar için bir problem oluşturmuyor.
Birçok antivirüs yazılımı, sıradan programların dosyalarını virüs imzalarını kontrol ederek taramakta ve muhtemel virüsleri bulmaya çalışmaktadır. Bir virüs imzası belirli tip virüsü ya da virüs ailesini belirten özel byte numunesidir. EÄŸer virüs tarayıcısı incelenen dosyalar içinde böyle bir numune ile karşılaşır ise kulanıcıyı virüs hakkında bilgilendirir. Kullanıcı bu durumda dosyayı silebilir ya da virüsten arındırabilir. […]
