Raadioga.1000

Viirus 10. märtsil 2020 avaldamas oma Ülo Kiplest inspireeritud grafitisõnumit

Raadioga.1000 või Nilz.1000 on Ülo Kiple "haiguste ravile" pühendatud polümorfne krüptiv mittedestruktiivne residentne EXE-faile nakatav MS-DOSi arvutiviirus.

Viirus on autori tunnistuse põhjal valminud 24. märtsil 1997 ning avalikus levis tõendamist leidnud sama aasta augustis.

Nakatamine

Viirus teeb end käivitamisel residentseks, haarab enda kätte MS-DOSi katkestuse INT 21H ja nakatab seejärel kõik EXE-failid viiruselise koodi kirjutamisega faili lõppu, kui kutsutakse välja standardse DOSi API kataloogist failide nimekirja pärimisega seotud funktsioone SetDTA, SetDrive, FindFirst või MS-DOS 7.x/Windows 95 ChangeDir funktsiooni. Viirus väldib toona tuntud viirusetõrjetarkvara nakatamist failinime kahe esitähe kontrollimise teel.

Failide mitmekordse nakatamise vältimiseks määrab Raadioga.1000 nakatamisel faili muutmise aja sekundite väärtuseks 34, sest DOSi failihaldurid tüüpiliselt ei näita kasutajale sekundite väärtusi. Selle väärtuse kontrollimisega eristab viirus nakatatud faile nakatamata failidest. Siiski märgitakse nakatamisel 12 juhul 256-st sekundite väärtuseks 35, et võimaldada tõenäosusega 3/64 mitmekordset nakatamist.

Viirus kontrollib EXE-faili päisest pinusegmendi asukohta ning väldib sellega Windowsi failide nakatamist.

Sümptomid

Viirus avaldab end 10. märtsil, aktiveerib CMOS-mällu talletatud parooli küsimise BIOS-is ning lõpetab arvuti töö, näidates kasutajale kirja:

HAIGUSTE RAVI KONTROLLITUD VAIKUSE PIMEDUSE JA RAADIOGA

Kui CMOS-i parooli pole määratud, siis peab kasutaja opsüsteemi või BIOS-i seadistusrakenduse käivitamiseks sisestama tootja poolt määratud vaikeparooli. Kui parool oli määratud, aga hiljem tühistatud, siis on endine parool taas aktiveeritud ning kasutajalt oodatakse selle sisestamist.

Eripära

Viiruse eripäraks on selle aeglane polümorfsus, mistõttu viirusetõrjetarkvara kirjeldusbaasides jäeti koodi muutumine arvestamata, viiruse eri kujusid ei avastatud ning registreeriti baasides mõnda aega viiruse uute versioonidena.

Viiruse autor avaldas viiruse kommenteeritud lähtekoodi 1999. aastal avaliku omandina, kuid palus tuua koodi levitamisel seal ära tähekombinatsiooni "NiL". Autori kommentaaride järgi on viirus kirjutatud 4,77 MHz IBM XT peal Borlandi Turbo Assembleris, korralikult optimeeritud ja koodimisvigadeta ning sihipäraselt koostatud 1000 baidi pikkusena, et luua "vaese mehe" varjatuse-efekt (ingl k stealth), muutes nakatatud failide kasvamise hooletule inimsilmale märkamatuks.

Viirus on ilmselt ainus tehnilises mõttes ainulaadne teadaolevalt Eestis kirjutatud ja avalikku levisse jõudnud viirus. Raadioga.1000 oli detsembris 2000 viirusetõrjetarkvara tootva ettevõtte F-Secure avalikus viiruste nimekirjas dokumenteeritud kui üks viiest Eestist pärit viirusest ning kirjelduses kinnitatakse, et kuigi tegu on lihtsa EXE-faili viirusega, siiski on seda raske tuvastada, sest see "muudab oma koodi väga aeglaselt". AntiViral Toolkit Pro kokkuvõttes aga kirjeldatakse Raadioga.1000 kui "ohtlikku mäluresidentset krüptitud parasiteerivat viirust", kuigi viirus on mitte-destruktiivne ega parasiteeri süsteemi märgatavalt rohkem kui mõni teine.

Toonaste kriteeriumide järgi oli Raadioga.1000 leidlikult minimalistlik kombinatsioon polümorfsusest, krüptimisest ja stealth-funktsioonist.

Motivatsioon

Autor on avaldanud viiruse kommenteeritud lähtekoodi CodeBreakersi e-zine'i 1999. aasta juuninumbris ehk kaks aastat pärast viiruse käikulaskmist. Lähtekoodi kommentaarides vaatab ta hüvastijätukirja vormis tagasi oma tegevusele viiruste loojana, teatab, et loobub ilmselt peagi skeenel osalemisest, ning markeerib lühidalt oma vaateid viiruste kirjutamisele ning selle kultuurilise tähendusele.

Ta märgib, et ei pea end pseudonüümi taha varjuvaks autoriks, vaid viiruse masinformaadis käituskoodis esinev signatuur "NiL" on tema jaoks pigem koodnimi või märgistus "pisikeste iseend replitseerivate koodijuppide loomise harrastusele", tervitab teisi viirusekirjanikke ning kutsub neid jätkama head tööd, kuid hoiduma kahju tekitavate viiruste kirjutamisest. Ta kinnitab, et kollanoklik huvitumine asjadest, mille vastu pole enamikul inimestest huvi, on seotud teadmisega. Ka tunnustab ta viirusetõrjetarkvara väljatöötajaid, et need viirusekirjanike loominguga võideldes endale elatist teenivad. Lõpetuseks rõhutab ta, et pole oma väidetes teadmiste poole pürgimise ega viirusetõrjujate tegevuse kohta irooniline.

Codebreakersi e-zine'i samas numbris on avaldatud ka autori esimese, veebruaris 1997 avalikku levisse jõudnud viiruse "Tere.370" lähtekood, mille kommentaarides on toodud ära sama hüvastijätusõnum.

Viited

  1. ↑ NOD32 antivírus (9. november 2009). "Nilz.1000". ESET Ungari veebisait. Vaadatud 11. aprillil 2020.
  2. ↑ "Ülo "Haiguste ravi" Kiple sõnumit levitatakse viirusega". Eesti Päevaleht. 21. juuni 2001. Vaadatud 10. aprillil 2020.
  3. 1 2 3 Peter Szor, Mikko Hypponen (1997). "F-Secure Computer Virus Information Pages: Raadioga". F-Secure veebileht. Originaali arhiivikoopia seisuga 2. detsember 2000. Vaadatud 10. aprillil 2020.
  4. 1 2 3 Jevgeni Kasperski (1998). "Raadioga.1000". AntiViral Toolkit Pro Virus Encyclopedia. Originaali arhiivikoopia seisuga 2. oktoober 1999. Vaadatud 10. aprillil 2020.
  5. ↑ "Viruses whose origin is estonia". F-Secure veebileht. Originaali arhiivikoopia seisuga 2000-12-06. Vaadatud 6. detsembril 2000. {{netiviide}}: kontrolli kuupäeva väärtust: |vaadatud= (juhend)
  6. ↑ Märt Põder (aprill 1997). "Kuri müstiline viirus". Arvutimaailm. Vaadatud 10. aprillil 2020.
  7. ↑ Opic (juuni 1999). "Codebreakers #5". Codebreakers. Vaadatud 20. aprillil 2020.[alaline kõdulink]
  8. ↑ Peter Szor (1997). "F-Secure Computer Virus Information Pages: Tere". F-Secure veebileht. Originaali arhiivikoopia seisuga 2. detsember 2000. Vaadatud 20. aprillil 2020.
  9. ↑ NiL (juuni 1999). "Tere.370 v1.0 NiL". Codebreakers. Vaadatud 20. aprillil 2020.[alaline kõdulink]

Välislingid