Minek nevezzelek?

Az egyszerű halandó nem is gondolná, hogy mennyi gond van a vírusnevekkel. Nehéz eldönteni, hogy ugyanarról a vírusról beszélünk-e. Általában csak a hossz ad valamiféle támpontot, de sok vírusnál és vírustípusnál a hossz sem jellemző. Ha volna egy referencia víruskereső, akkor az megoldás lehetne, de nincs ilyen, és nincs is idő megvárni, míg azok elnevezik a vírust.

Valaki 1993 táján megcserélt néhány utasítást a Michelangelo  vírusban. Annak idején a SCAN  volt a de facto víruskereső. Ez nem tartalmazott teljes vírusazonosítást (amikor egy bit változását is felismeri a vírusban), csak egy egyszerűbb szekvenciaellenőrzést. A SCAN a módosítások miatt nem ismerte fel a vírust Michelangeloként, viszont véletlenül ráillett egy másik vírus szekvenciája, az SWB-é. Az SWB  (Swiss Boot, EXEBUG) eredetileg egy lopakodó vírus. Nem így a Michelangelo-SWB. A lopakodó SWB-t az 1993. március 4-i Heti Chipben  Kis János írta le. A Michelangelo-SWB-t az 1993. májusi Alaplapban  Farmosi István. Ettől kezdve két SWB vírus volt, melyeknek családilag semmi közük nem volt egymáshoz.

A helyzetet bonyolítja, hogy a vírusszakértők nem szeretik megadni a vírusírónak azt a szívességet, hogy ő nevezhesse el a vírust. Hiába van benne a vírusban egyértelműen a szöveg, hogy ``Én vagyok a Jóska vírus.''^3.1, kitalálnak neki egy megfelelőbb nevet. Ez történt a már említett első Win95-ös vírussal is, melyet írója Bizatch-nak nevezett el. Szerencsére ez az eset nagy nyilvánosságot kapott, így hát mindenki tudta, hogy a Boza  vírus micsoda.

Legutóbb a Chernobyl  vírussal történt ilyesmi. Magam sem tudtam sokáig, hogy mi lehet ez az április 26-án támadó vírus, amelyről mostanában annyit cikkeznek. Aztán kiderült, hogy a CIH  és Spacefiller  néven már régóta népszerű vírusról van szó. (Magyarországon a CD-GURU lemezén jelent meg nagy példányszámban. Egy cetlin biztosítottak róla, hogy egy teljesen ártalmatlan vírusról van szó. Valójában az egyik legveszélyesebb, legnagyobb kárt okozó vírus.) Ráadásul az április 26-a a vírus saját születési dátuma, a vírusíró valószínüleg nem is gondolt a csernobili katasztrófára, amikor kiválasztotta az időpontot. (Az újabb változatok már minden hónap 26-án támadnak.) Ha jól nyomoztam ki, akkor a NAI (Network Associates, Inc., volt McAfee Associates, a SCAN gyártója) adta a vírusnak ezt a hangzatos nevet. Hogy miért kellett a megszokott név helyett újat adni? Mindenki döntse el maga!

Szerencsére pozitív hozzáállás is előfordul az antivíruscégek részéről. Létezik egy ajánlás[18], melyet a CARO  (Computer Antivirus Research Organisation), egy több céget tömörítő szervezet hozott nyilvánosságra.

A CARO vírusnevek maximum 4 részből állnak, a részek maximális hossza 20 karakter, a részeket egymástól pont (``.'') választja el. Az általános formátum:

családnév.csoportnév.főváltozat.alváltozat:módosító

A nevekben a következő karakterek szerepelhetnek: ``A''-``Z'', ``a''-``z'', ''0''-``9'', ``_'', ``$'', ``%'', ``&'', ``!'', ``''', ```'', ``#'', ``-``. A kis és a nagy betűk nem számítanak különbözőnek. A módosítók általában nem rokoni kapcsolatot, hanem megjelenési formát jelentenek, például a tömörítési vagy mutációs algoritmus nevét. Ha szükséges, több módosítót is meg lehet adni.

Létezik egy CARO szabvány a makrovírusok elnevezésére is[14]. Szerencsétlen módon ez eléggé eltér a hagyományos vírusokétól. Az általános formátum:

típus://platform/törzs.változat.alváltozat:nyelvkód

Mint látható, ez a név az URL-ek mintájára készült. Ennek ellenére nem vagyok biztos abban, hogy a típus után szükség van a két perjelre. Mindegy. A típus lehet:

*main::open_tags

típus	leírás
virus	vírus
intended	terjedésre képtelen vírus
trojan	trójai program
joke	beugrató program
generator	víruskészítő program
dropper	vírustelepítő program

A platform a futtató alkalmazást jelenti, például: WordMacro, Word97Macro, ExcelMacro, LotusMacro.

A nyelvkód akkor számít, ha a vírus csak adott nyelvű programban képes működni. Pl: De (német), It (olasz), Jp (japán), stb.