Wat is een polymorf virus?
Er zijn verschillende overeenkomsten tussen biologische virussen en computervirussen. Terwijl biologische virussen cellen binnendringen om te overleven en zich voort te planten, liften computervirussen mee op bestanden in een computersysteem om te gedijen en zich te verspreiden. Beide soorten virussen kunnen ook de code van hun gastheer manipuleren en beschadigen om kopieën van zichzelf te maken.
Een subset van computervirussen, polymorfe virussen genaamd, draagt nog een kenmerk uit het arsenaal van hun biologische tegenhanger: mutatie. Denk aan hoe vaak het influenzavirus muteert of het groeiende aantal nieuwe coronavarianten — de veranderingen helpen deze ziektes soms om biologische afweer te omzeilen. Op dezelfde manier muteren polymorfe virussen om hun code te veranderen terwijl ze meestal hun kernfunctie behouden. Het verschil tussen een muterend biologisch virus en een polymorf PC-virus is dat het eerste natuurlijk muteert terwijl iemand het tweede programmeert met polymorfisme.
Wat doet een polymorf virus?
Net als een gewoon computervirus maakt een polymorf virus gegevens kapot en vertraagt het systeembronnen, soms leidend tot computerstoringen zoals blue screen errors. Alle virussen, polymorf of gewoon, hebben gastprogramma's nodig, gebruikersactie om tussen systemen te bewegen en hechten stukjes van hun kwaadaardige code aan gastbestanden of vervangen ze volledig met kwaadaardige kopieën. Waar polymorfe virussen een stap verder gaan, is dat ze een polymorfische engine gebruiken om hun code te verbergen, meestal door cryptografie.
De polymorfe engine, ook wel mutatie-engine genoemd, wijzigt de malware’s ontsleutelingsprocedure elke keer dat het zich voortplant, waardoor de nieuwe staat moeilijk te identificeren is voor conventionele antivirussoftware.
Polymorf virus vs. polymorf malware
Wanneer mensen het hebben over polymorfe virussen, bedoelen ze vaak polymorfe malware. Om dit beter te begrijpen, moet je het verschil tussen virus- en malware-infecties in de computerwereld kennen. Kort gezegd, een virus is slechts één type malware. Andere soorten malware die mutatie-engines kunnen gebruiken om antivirus-technologie te omzeilen zijn wormen, Trojans, bots, keyloggers en ransomware. Een voorbeeld is polymorfe malware zoals Emotet, een banking Trojan die gevoelige informatie steelt terwijl hij cybersecurity-tools misleidt om zich te verbergen.
Een ander voorbeeld van polymorfe malware is Win32/VirLock ransomware. Niet alleen vergrendelt Win32/VirLock computerschermen en versleutelt het gegevens, maar het verandert ook zijn structuur voor elk geïnfecteerd bestand en uitvoering. VirLock is een van de eerste ransomware-soorten die polymorfisme gebruikt.
Wat is een polymorfe worm?
Een polymorfe worm is een soort computerworm die moeilijk te detecteren is omdat hij zijn structuur verandert naarmate hij zich voortplant. Bovendien kan een polymorfe worm zijn schadelijke payload aanpassen om te voorkomen dat beveiligingssoftware hem stopt. De Storm Worm is een voorbeeld van een adaptieve malware die conventionele antivirus-technologie moeilijk kon aanpakken omdat hij zijn handtekening veranderde. De polymorfe packer van de worm had veel variaties, waardoor hij handtekeningen kon veranderen zo snel als elke 10 tot 30 minuten. De bedreiging-ontwijkende capaciteiten van Storm waren frustrerend voor cybersecurity-specialisten omdat het achterdeuren opende in computers en grote botnets vormde.
Wat is het verschil tussen polymorfe en metamorfische malware?
Hoewel polymorfe malware zijn originele code versleutelt om detectie te voorkomen, verandert het zijn code niet. Maar metamorfische malware is gevaarlijker omdat het zijn eigen code wijzigt. Wanneer malware met metamorfische capaciteiten een gastheer infecteert, kan de volgende iteratie er totaal anders uitzien.
Kan een polymorf virus gedetecteerd worden?
Een polymorf virus of enige kwaadaardige software die een mutatie-engine gebruikt, is moeilijk te detecteren voor traditionele antivirus-tools omdat het zijn staat verandert na infectie. Zoals je waarschijnlijk weet, gebruiken typische beveiligingssoftware op handtekeningen gebaseerde technieken. Wanneer polymorfe malware zijn handtekening verandert, schieten antivirusprogramma's die handtekening-detectie gebruiken tekort.
Echter, geavanceerde antivirussoftware die heuristische analyse gebruikt om anti-malware technologie aan te drijven, kan opkomende bedreigingen zoals polymorfe malware detecteren. Dus, wat betekent 'heuristiek'? Welnu, onderzoekers hebben de term bedacht om een anti-malware programma te beschrijven dat de structuur, programmeerlogica, en gegevens van een potentiële bedreiging onderzoekt op junkcode, ongebruikelijke instructies, en bedreigingsgedragingen.
Net als andere cyberbedreigingen verspreidt polymorfe malware zich via phishing-emails, schadelijke websites en gevaarlijke links. Het kan ook profiteren van zwakheden in besturingssystemen en programma's. Het voorkomen van transformerende bedreigingen vereist een volledige verdedigingsstrategie. Gebruik proactieve antivirus-tools, update je software regelmatig, en vermijd elke infectie vector die een polymorf virus kan gebruiken. Organisatieleiders die polymorfe bedreigingen willen stoppen, moeten overwegen te investeren in Endpoint Protection dat machine learning en kunstmatige intelligentie gebruikt om vijandige code te herkennen en te voorkomen.