Chip 05/2002: antivirový koutek

Každý existující virus má přiděleno svoje jméno. Dnes si povíme něco o tom, jak taková jména vznikají a podle jakých pravidel je tvořeno jejich názvosloví. Nejjednodušší by možná bylo detekované viry prostě vzestupně číslovat. V praxi je to ale nepoužitelné – sice by nedocházelo k různým konfliktům, ale pouhé číslo není pro zapamatování vůbec vhodné. Je tedy třeba vymyslet něco lepšího. Už před mnoha lety se antivirové firmy dohodly na několika základních pravidlech pro pojmenovávání virů:
Jméno by mělo být krátké a výstižné, nemělo by mít vulgární význam v žádném jazyce, virus by neměl být pojmenován po žádné žijící osobě, firmě či existujícím produktu.

Toto pravidlo zní poměrně jednoduše a srozumitelně, občas je ale těžké jej naplnit. Vzpomeňme si například na to, jaký problém měla automobilka Honda se svým novým vozem, pojmenovaným Fitta, v severoevropských zemích! (pro osvěžení paměti: reklamní slogany zněly: „Honda Fitta je na první pohled malá, ale když se do ní vstoupí, je prostorná.“, „Velikost je malá, ale překvapení veliké. Honda Fitta je každodenní potěšení.“ V dánštině, švédštině a norštině však „Fitta“ znamená vulgární výraz pro ženské pohlaví, auto bylo nakonec přejmenováno na Jazz J ). Také média často v zájmu co největší senzace pojmenovávají viry bez ohledu na výše uvedená pravidla. Příkladem může být virus „Anna Kournikova“ (ve skutečnosti pojmenovaný VBS:SST-A, vytvořený generátorem virů VBSWG), či virus Černobyl (ve skutečnosti Win32:CIH, který vznikl na Tchajwanu a s výročím výbuchu ukrajinského reaktoru měl jen náhodou společné datum manipulační činnosti - 26. dubna).

Jméno viru by mělo být alespoň částečně ve vztahu k tomu, s čím se napadený uživatel setká při projevech viru.

Ani toto pravidlo nelze vždy jednoduše dodržet, zejména proto, že podobné viry jsou často sdružovány do „rodin“ se stejným názvem a i když si mohou být velmi podobné, texty či jména souborů mohou být zcela odlišné.

Jméno viru by nemělo být totožné s tím, jak virus pojmenoval jeho autor.

V tomto bodě jde spíše o to nešířit slávu autorů virů ale spíše je od psaní virů odradit. Pěkným příkladem může být přejmenování prvního viru pro Windows 95 z Win95:Bizatch na Win95:Boza (bulharský alkoholický nápoj, který je „tak silný, že pouhý pohled na něj přináší bolehlav“) nebo přejmenování českého viru Win32:Hydra na Win32:Hadra, které se jeho autora opravdu dost dotklo J .

Jméno viru se skládá z několika částí, které ale nejsou všechny povinné: jde o platformu (například Win32, W97M, VBS), vlastní jméno a variantu. Tak například jméno W97M-Hope.AA znamená, že se jedná o dvacátou sedmou variantu makroviru pro Word97 z rodiny Hope.

Viry se dnes šíří opravdu velice rychle. Je proto velmi důležité kromě rychlého přidání detekce virus i správně a jednotně pojmenovat ve všech antivirových produktech, protože jinak by nebylo jasné, kolik a jakých virů se vlastně objevilo. Na tomto poli antivirové firmy úzce spolupracují a v naprosté většině případů se dnes na jménu a identifikaci viru okamžitě shodnou. Platí jednoduché pravidlo – právo pojmenovat virus má ta firma, která jej odhalí jako první, během několika hodin je toto jméno podrobeno „expertize“ ostatních tak, jak jsou analyzovány vlastnosti viru a potenciál jeho šíření.

V roce 1999 se objevil první virus, který aktivně využíval elektronickou poštu a masově se posílal dále. Šlo o virus W97M:Melissa. Brzy se objevila řada jeho variant. Některé z nich ale nebyly schopny se masově šířit. Na ty bylo uplatněno zvláštní pravidlo – místo do rodiny Melissa, kterou měli uživatelé spojenou s masovým šířením, byly zařazeny do nové rodiny Assilem, která tuto vlastnost neobsahovala. Podobný princip vytváření jména byl použit u známého viru WiN32:Nimda, jehož název vznikl otočením slova „admin“, který se v těle viru vyskytuje.

Podobných pravidel dnes existuje celá řada a některé z nich jsou určitě zpestřením jinak docela nudné práce analyzátora virů v antivirové firmě. Až se tedy příště setkáte s nějakým virem, zkuste přijít na to, jak jeho jméno mohlo vzniknout…

Novinky

Během posledního měsíce se objevilo několik nových virů. K těm nejdůležitějším určitě patřil virus Win32:Cervivec, který je takřka určitě českého původu. V rámci výše uvedených pravidel byl pojmenován po sluhovi čaroděje Sarumana z českého překladu Tolkienovy trilogie Pán prstenů. Je zajímavý zejména tím, že se posílá ve formě archivního souboru ZIP na adresy, uložené v programu ICQ. Doprovodný text v jednom z osmi (!) jazyků včetně češtiny hovoří o žertovném programu, který neobsahuje virus. Psychologický účinek na komunitu uživatelů ICQ byl opravdu značný a virus se rozšířil velice rychle. Naštěstí neobsahuje žádnou destrukční činnost. K dalším novinkám patřilo několik nových variant viru Win32:Mylife, které se ale nijak masově nerozšířily, a tak virům stále vévodí stálice, z nichž většina využívá bezpečnostní díry programů Internet Explorer, Outlook a Outlook Express: Sircam, Nimda, Klez-E, Hybris a Badtrans.