Wat is een polymorf virus?
Er zijn verschillende overeenkomsten tussen biologische virussen en computervirussen. Terwijl biologische virussen cellen binnendringen om te overleven en zich te verspreiden, maken computervirussen gebruik van bestanden in een computersysteem om te gedijen en zich te verspreiden. Beide typen virussen kunnen ook de code van hun gastheer manipuleren en corrumperen om kopieën van zichzelf te maken.
Een subset van computervirussen, polymorfe virussen genaamd, draagt nog een kenmerk uit het arsenaal van hun biologische tegenhanger: mutatie. Denk aan hoe vaak het influenzavirus muteert of het groeiende aantal nieuwe coronavarianten — de veranderingen helpen deze ziektes soms om biologische afweer te omzeilen. Op dezelfde manier muteren polymorfe virussen om hun code te veranderen terwijl ze meestal hun kernfunctie behouden. Het verschil tussen een muterend biologisch virus en een polymorf PC-virus is dat het eerste natuurlijk muteert terwijl iemand het tweede programmeert met polymorfisme.
Wat doet een polymorf virus?
Net als een gewoon computervirus maakt een polymorf virus gegevens kapot en vertraagt het systeembronnen, soms leidend tot computerstoringen zoals blue screen errors. Alle virussen, polymorf of gewoon, hebben gastprogramma's nodig, gebruikersactie om tussen systemen te bewegen en hechten stukjes van hun kwaadaardige code aan gastbestanden of vervangen ze volledig met kwaadaardige kopieën. Waar polymorfe virussen een stap verder gaan, is dat ze een polymorfische engine gebruiken om hun code te verbergen, meestal door cryptografie.
De polymorfe motor, ook wel mutatiemotor genoemd, wijzigt de ontsleutelingsprocedure van de malware elke keer dat deze wordt gerepliceerd, waardoor de nieuwe staat moeilijk te identificeren is voor conventionele antivirussoftware. Voor een filmvoorbeeld: zie een polymorf virus als de T-1000 uit Terminator 2, die van gedaante verandert om zijn identiteit te verbergen maar nooit zijn kernfunctie verliest.
Polymorf virus vs. polymorf malware
Als mensen het hebben over polymorfe virussen, bedoelen ze vaak polymorfe malware. Om dit beter te begrijpen, u het verschil weten tussen virus- en malware-infecties in computers. Kort gezegd is een virus slechts één type malware. Andere soorten malware die mutatie-engines kunnen gebruiken om antivirustechnologie te omzeilen, zijn wormen, Trojaanse paarden, bots, keyloggers en ransomware. Een polymorfe malware zoals Emotet is bijvoorbeeld een banking Trojan die gevoelige informatie steelt terwijl hij cyberbeveiligingstools misleidt om zich te verbergen.
Een ander voorbeeld van polymorfe malware is Win32/VirLock ransomware. Niet alleen vergrendelt Win32/VirLock computerschermen en versleutelt het gegevens, maar het verandert ook zijn structuur voor elk geïnfecteerd bestand en uitvoering. VirLock is een van de eerste ransomware-soorten die polymorfisme gebruikt.
Wat is een polymorfe worm?
Een polymorfe worm is een soort computerworm die moeilijk te detecteren is omdat hij van structuur verandert terwijl hij zich verspreidt. Bovendien kan een polymorfe worm ook zijn schadelijke payload wijzigen om te voorkomen dat beveiligingssoftware hem stopt. De Storm Worm is een voorbeeld van adaptieve malware die door conventionele antivirustechnologie met moeite kon worden verholpen omdat de handtekening veranderde. De polymorfe packer van de worm had veel variaties, waardoor de handtekening elke 10 tot 30 minuten kon veranderen. Het ontwijkingsvermogen van Storm was frustrerend voor cyberbeveiligingsspecialisten omdat het achterdeurtjes in computers opende en gemakkelijk grote botnets vormde.
Wat is het verschil tussen polymorfe en metamorfische malware?
Hoewel polymorfe malware zijn originele code versleutelt om detectie te voorkomen, verandert het zijn code niet. Maar metamorfische malware is gevaarlijker omdat het zijn eigen code wijzigt. Wanneer malware met metamorfische capaciteiten een gastheer infecteert, kan de volgende iteratie er totaal anders uitzien.
Kan een polymorf virus gedetecteerd worden?
Een polymorf virus of enige kwaadaardige software die een mutatie-engine gebruikt, is moeilijk te detecteren voor traditionele antivirus-tools omdat het zijn staat verandert na infectie. Zoals je waarschijnlijk weet, gebruiken typische beveiligingssoftware op handtekeningen gebaseerde technieken. Wanneer polymorfe malware zijn handtekening verandert, schieten antivirusprogramma's die handtekening-detectie gebruiken tekort.
Echter, geavanceerde antivirussoftware die heuristische analyse gebruikt om anti-malware technologie aan te drijven, kan opkomende bedreigingen zoals polymorfe malware detecteren. Dus, wat betekent 'heuristiek'? Welnu, onderzoekers hebben de term bedacht om een anti-malware programma te beschrijven dat de structuur, programmeerlogica, en gegevens van een potentiële bedreiging onderzoekt op junkcode, ongebruikelijke instructies, en bedreigingsgedragingen.
Net als andere cyberbedreigingen verspreidt polymorfe malware zich via phishing-e-mails, schadelijke websites en gevaarlijke koppelingen. Het kan ook gebruikmaken van zwakke plekken in besturingssystemen en programma's. Het voorkomen van transmutatiebedreigingen vereist een volledige verdedigingsstrategie. Gebruik proactieve antivirustools, patch uw software regelmatig en blijf uit de buurt van elke infectievector die een polymorf virus kan gebruiken. Organisatieleiders die polymorfe bedreigingen willen tegenhouden, kunnen overwegen om te investeren in Endpoint Protection dat gebruikmaakt van machine learning en kunstmatige intelligentie om vijandige code te herkennen en te voorkomen.