Virüs İmzaları.

Virüslerin imzası; virüslerin değişmeyen, o virüsü normal programlardan ve diğer virüslerden ayıran bir karakter dizisidir. Virüs imzası disk ve bellek üzerinde taranarak virüsler tespit edilebilir. Bir virüsün imzası bulunurken bazı noktalara dikkat etmek gerekiyor. Bir kere, virüslü dosyada hangi kısımların virüse, hangi kısımların asıl dosyaya ait olduğunu bulmak gerekir. Yani nereye bakacağınızı bilmelisiniz. Çoğu virüsün birçok kısmı sabittir ve bulaşmalarda değişmez. Virüsün imzasının bu kısımlardan seçilmesi gerekir. Seçilen kısmın benzeri karakter dizisinin virüsün dışındaki kısımlarda olmaması gerekir. Bu yanlış virüs tespitlerini önlemek açısından çok önemlidir.
Virüs imzasını kullanarak virüs tespit etmek, bilinen ve değişmeyen sabit program kodu bulunan virüslere karşı sadece kullanılabilir. Tanınmayan ve her bulaşmada kodu değişen virüslere karşı etkisiz bir virüs avlama tekniğidir.

Virüs İmzalarını Eklemek. Bazı anti-virüs programları kullanıcıya yeni virüslerin imzalarını tanıtmaya izin veriyor. Bazısı ise bunu desteklemiyor. Bunun sebepleri çeşitli. Bazı anti-virüs yazılımcıları bununla uğraşmak istemiyor, bazısı anti-virüsün güvenirliliğinin azalacağını düşünüyor, bazısı da ticari kaygıdan dolayı buna izin vermiyor.

Kullandığınız anti-virüslerlerin menülü olanlarının menülerini gözden geçirdiğinizde yeni virüs tanıtma seçeneği varsa görürsünüz. Bu tür programlarda genelde tanıtılacak virüsün adını ve imzasını heksadesimal (onaltılı sayı sisteminde) olarak girileceği alanlar mevcut. Scan gibi menüsü olmayan, doğrudan komut satırından kullanılan programlarda da yardım dosyaları incelenerek yeni virüs tanıtılmasının nasıl yapılacağını öğrenmek mümkün.

Scan'e veya diğer anti-virüslere tanıttığınız yeni virüsleri maalesef doğrudan (örneğin Clean ile) temizleyemezsiniz. Çünkü genelde virüslerin temizlenebilmesi, tespit edilmesinden çok daha zor.

Windows 95 ve Yeni Disk Yerleşimi. Bazı anti-virüs programları Windows 95 ve Windows NT'li makinalarda herhangi bir işlem görmüş disketlerde uyarı veriyor. Sebebini araştırdığımda uyarının sebebi olabilecek bir kaç nokta tespit ettim.

Windows 95 ve NT, disket üzerinde bazı değişiklikler yapıyor. Windows 95'te formatlanan bir disketin Boot'unun en başında "MSDOS5.0" yerine "WIN4.0" etiketi var. Eğer sistem disketi olarak formatlandıysa bu etiket pek anlamlı olmayan harflerden oluşuyor. Boot sektörün sonunda da IO.SYS ve MSDOS.SYS 'nin yanında WINBOOT.SYS eklenmiş. Bu durumda Windows 95 ile sistem disketi olarak formatlanmış bir disketten bilgisayar açılırsa IO.SYS ve MSDOS.SYS gibi WINBOOT.SYS de belleğe yüklenecek.

Bunların dışında Root ve rehber alanlarında her her dosya için ayrılan alanlarda boş duran ayrılmış alanlarda da kullanılmaya başlamış. Bunun nedeni herhalde 255 karaktere kadar uzayabilen dosya adları. Yıllar önce çok popüler olan DIR-II virüsü de bu boş alanları dosyaların orijinal yerlerini tutmak için kullanırdı.