Correcte definitie van een virus en virusscanner?

[MasterTweaker]

Is het correct als je een virus omschrijft als een stuk voor het besturingssysteem uitvoerbare code die bepaalde "system commands" van Windows kan aanroepen zonder de daarbij behorende bevoegdheid te hebben en erop uit is schade te berokkenen aan het systeem.

En dat je een virus dus simpelweg kan zien als een stuk code die bijvoorbeeld een "windows proces" aanroept om een bepaalde map te verwijderen of een bepaald bestand. Het virus doet dan dus niets anders dan een bepaald essentieel bestand verwijderen zodat je besturingssysteem simpelweg niet meer bruikbaar is.

Ik kan bijvoorbeeld als normale windows gebruiker niet zomaar de map system 32 van Windows in een keer verwijderen, maar zijn er dus virussen die dit wel in 1 keer kunnen? En doet een virus altijd zijn werk via het besturingssysteem of zijn er ook virussen die bijvoorbeeld weer een besturingssysteem op zich zijn?

En een virusscanner is dan toch niets anders dan een programma ,met daaraan verbonden een grote database, met daarin allerlei bekende bit patronen van virussen waarmee jouw bestanden vergeleken worden. Je bestanden worden dan dus gescand tegenover alle mogelijk virussen "bit sequenties" en als een bit sequentie dan overeenkomt met die van een bekend virus dan wordt het door de virus scanner gedetecteerd?

Kan iemand wat opheldering geven of dit een juiste abstractie is van een virus en virusscanner?

[3dfx]

Ik denk dat malware een betere benaming voor software die schade op je computer aan wil richten (in wat voor vorm dan ook) is dan virus.
Een virus is een vorm van malware, maar dan eentje die zichzelf verder verspreidt/'vermenigvuldigt', net zoals een "echt" vrius (niet alle malware heeft die eigenschap).

Daarnaast hoeven niet alle virussen/malware Windows-files te verwijderen/aan te roepen: soms worden er 'alleen' extra processen gestart die helemaal niet bij Windows horen.
Ook is het doel niet altijd om je Windows-installatie te slopen, maar om bijv. gegevens te verzamelen (emailadressen, creditcardnummers) of om controle over de machine te krijgen (denk aan botnets van geinfecteerde pc's waarmee spamruns uitgevoerd worden, of servers/instanties mee aangevallen worden).

Maar de namen virus en virusscanner zijn zo ingeburgerd dat je dat lastig kunt veranderen bij de massa.
Net zoals iets opzoeken op internet 'googlen' heet, en horizontale lamellen allemaal Luxaflex genoemd worden

[Exphy]

(The classic informal definition of "computer virus" is "a program that can 'infect' other programs by modifying them to include a possibly evolved copy of itself."

(Chess & White, 2000)
http://citeseerx.ist.psu....25.1508&rep=rep1&type=pdf

[MasterTweaker]

Iva_Bigone schreef op dinsdag 05 april 2011 @ 12:41:
Ik denk dat malware een betere benaming voor software die schade op je computer aan wil richten (in wat voor vorm dan ook) is dan virus.
Een virus is een vorm van malware, maar dan eentje die zichzelf verder verspreidt/'vermenigvuldigt', net zoals een "echt" vrius (niet alle malware heeft die eigenschap).

Daarnaast hoeven niet alle virussen/malware Windows-files te verwijderen/aan te roepen: soms worden er 'alleen' extra processen gestart die helemaal niet bij Windows horen.
Ook is het doel niet altijd om je Windows-installatie te slopen, maar om bijv. gegevens te verzamelen (emailadressen, creditcardnummers) of om controle over de machine te krijgen (denk aan botnets van geinfecteerde pc's waarmee spamruns uitgevoerd worden, of servers/instanties mee aangevallen worden).

Maar de namen virus en virusscanner zijn zo ingeburgerd dat je dat lastig kunt veranderen bij de massa.
Net zoals iets opzoeken op internet 'googlen' heet, en horizontale lamellen allemaal Luxaflex genoemd worden

Maar een virus roept dus altijd wel code van het besturingssysteem zelf aan?

[jeroen3]

Een virus kan beter worden gedefinieerd als:

Ongewenste software

En dat is een heel breed begrip.

[Verwijderd]

MasterTweaker schreef op dinsdag 05 april 2011 @ 13:40:
[...]

Maar een virus roept dus altijd wel code van het besturingssysteem zelf aan?

Wat bedoel je met code van het besturingssysteem? Als je systemcall bedoelt dan ja. Maar dat kan ook niet anders. Het virus heeft geen drivers aan boord om zelf met je HD controller te gaan praten bijv. En dat kan ook niet want een virus draait in eerste instantie altijd in userspace, en heeft daarom geen ring0 privileges. Hij moet toch meestal bestanden wegschrijven, geheugen alloceren etc. Wat hij wel kan doen is proberen dmv privilege escalation zich tot root (unix) of system user te verheven. Dan kan hij gewoon de kernel aanpassen en onder het OS gaan zitten (rootkit).

[Sefyu]

jeroen3 schreef op dinsdag 05 april 2011 @ 13:43:
Een virus kan beter worden gedefinieerd als:

Ongewenste software

En dat is een heel breed begrip.

Dat vind ik veel te kort door de bocht. Als ik, als malwareonderzoeker, virussen nodig heb voor mijn onderzoek, dan zijn deze toch al per definitie niet 'ongewenst'?

[3dfx]

Sefyu schreef op dinsdag 05 april 2011 @ 20:28:
[...]


Dat vind ik veel te kort door de bocht. Als ik, als malwareonderzoeker, virussen nodig heb voor mijn onderzoek, dan zijn deze toch al per definitie niet 'ongewenst'?

Precies. Ook programma's die zich mee-installeren terwijl je een ander programma installeert kunnen ongewenst zijn.
Denk maar aan alle browser-toolbars, safety-scanners & updaters die zich op je computer willen nestelen als je bijv. iets van Adobe, Windows Live, Google, Apple, whatever installeert.

[F_J_K]

MasterTweaker schreef op dinsdag 05 april 2011 @ 12:31:
Is het correct als je een virus omschrijft als een stuk voor het besturingssysteem uitvoerbare code die bepaalde "system commands" van Windows kan aanroepen zonder de daarbij behorende bevoegdheid te hebben en erop uit is schade te berokkenen aan het systeem.

Kan een gemiddeld virus niet al een boel gokkende op het hebben van adminrechten van de user?

En dat je een virus dus simpelweg kan zien als een stuk code die bijvoorbeeld een "windows proces" aanroept om een bepaalde map te verwijderen of een bepaald bestand. Het virus doet dan dus niets anders dan een bepaald essentieel bestand verwijderen zodat je besturingssysteem simpelweg niet meer bruikbaar is.

Dus de verkenner + domme user is een virus? En elke app-met-bug ook?

En een virusscanner is dan toch niets anders dan een programma ,met daaraan verbonden een grote database, met daarin allerlei bekende bit patronen van virussen waarmee jouw bestanden vergeleken worden. Je bestanden worden dan dus gescand tegenover alle mogelijk virussen "bit sequenties" en als een bit sequentie dan overeenkomt met die van een bekend virus dan wordt het door de virus scanner gedetecteerd?

Wikipedia: Antivirus software geeft extra methoden