Quando l'infezione avviene per mezzo di un file infetto, il virus innanzi tutto va alla ricerca della propria presenza in memoria: chiama l'interrupt 21h che restituisce un valore e lo confronta con quello posto precedentemente in un registro interno (installation check). Se tali valori sono uguali, il virus si riconosce come già presente in memoria ed evita di procedere con un ulteriore installazione, eseguendo il programma già infetto. In caso contrario si installa in memoria, riservandosi una discreta quantità di memoria ed aggiornando un proprio contatore che tiene conto del numero di sistemi infettati. Dopo di ciò il virus va alla ricerca dell'indirizzo originale delle routine di gestione dell'interrupt 13h. Questa è un operazione rischiosa per il virus in quanto deve sbirciare il contenuto del relativo vettore d'interrupt senza che un eventuale antivirus residente in RAM se ne accorga. Esistono vari modi per fare questo e, qualunque sia la procedura adottata, essa consiste, in linea generale, nel "riagganciare" una normale e lecita chiamata fatta ad un certo interrupt per ottenere una certa particolare risposta. In questo modo un eventuale antivirus, che ha controllato le operazioni della chiamata iniziale, trovandole perfettamente "normali", considera ancora sotto il suo completo controllo l'interrupt stesso, mentre invece il virus cattura una risposta specifica.

Ottenuto l'indirizzo iniziale dell'interrupt 13h il virus lo utilizza per proprie operazioni sul disco e così elude il blocco da parte di programmi antivirus TSR che controllano la modifica dei vettori di interrupt. Fatto ciò il virus legge l'MBR del disco fisso per vedere se esso è già infetto. Se non lo è, e se una delle partizioni del disco è di un certo tipo, essa viene ridotta di un certo numero di settori, che vengono impiegati per celare l'MBR originale ed il codice virale, dopo di che viene creato un nuovo MBR con le informazioni sulla nuova partizione così modificata.

Il nuovo MBR è polimorfo e cifrato. Ciò significa che, a parte le nuove informazioni sulla nuova partizione, il resto dell'MBR è diverso da qualunque altro che sia stato o che venga successivamente infettato dal virus su un altro computer.
In tal modo la ricerca del virus per stringhe di riconoscimento diventa particolarmente difficoltosa. Per contro, il virus è in grado di rilevare se si tratta di un MBR infetto, poichè crea un checksum unico per ciascun MBR e lo scrive al suo interno; dopo di che, per verificare l'avvenuta infezione, ricalcola il checksum e lo confronta con quello contenuto nell'MBR. Fatto ciò, il virus, legge l'indirizzo originale della routine di gestione dell'INT 21 e, una volta ottenuto, lo impiega per tutte le successive operazioni con il sistema operativo.

A questo punto, ogni file con estensione COM o EXE che venga successivamente aperto, letto, rinominato o eseguito e che non sia stato ancora infetto, viene infettato dal virus che si attacca alla fine del file. Per controllare se un file è già infetto, il virus adotta la stessa tecnica di cifratura e di polimorfismo impiegata per individuare l'infezione sull'MBR dei dischi fissi.
I file con estensione COM sono incrementati di 2846 byte e quelli EXE di 2926 byte. L'unico limite per i file con estensione COM è dovuto al fatto che non possono superare i 64 Kbyte, perciò se loro lunghezza è superiore a 62690 byte, l'infezione da parte del virus non avviene. L'allungamento dei file tuttavia può essere diverso a seconda della variante del virus che impieghi altri tipi di checksum per il riconoscimento.

Dall'MBR di un disco fisso

Quando il virus è caricato ed eseguito dal Boot sector di un disco, riserva per se una certa quantità di memoria convenzionale, dove viene installata una propria routine di gestione dell'interrupt INT 1Ch, che ha la funzione di installare, a sua volta, quella dell'interrupt INT 21h [Wil93]. Successivamente, il virus, prende nota, dalla tavola dei vettori di interrupt, gli indirizzi originali delle routine di gestione degli interrupt INT 21h e INT 13h e le sostituisce con due proprie routine di gestione. Per il virus, è relativamente facile conoscere l'indirizzo di ciascuna routine di gestione, in quanto ha libero accesso alla tavola dei vettori di interrupt.
Quindi il virus, non modifica la tavola dei vettori di interrupt e per questo motivo, sfugge a quei programmi antivirus che rilevano la presenza di un virus proprio quando il vettore di interrupt viene modificato.

In questo modo il virus ottiene tre importanti risultati:

• si installa in memoria prima che venga eseguito un qualunque altro programma

• ha libero accesso agli indirizzi originali degli interrupt che possono essere utilizzati per una successiva azione

• risulta difficile individuarlo se si infiltra attraverso il Boot sector di un disco infetto

Verrà illustrato con un esempio quello che fa realmente il tunnelling virus quando viene eseguito dal Boot di un disco infetto.

Supposto che durante una trasmissione radiofonica, il conduttore interrompa momentaneamente lo svolgimento del programma per rispondere alle richieste di un radioascoltatore. In questo caso, il conduttore rappresenta il processore, la richiesta di un brano la chiamata ad un'interrupt ed il contenuto del disco la relativa routine.
Ogni mattina, degli addetti (il BIOS ed il DOS), pongono i dischi da ascoltare (le routine degli interrupt) in una particolare posizione negli scaffali (area particolare della RAM) e preparano una tabella (tavola dei vettori) in cui i dischi sono disposti sempre nello stesso ordine alfabetico (ordinamento costante dei vettori d'interrupt nell'omonima tabella). Ogni coppia d'inservienti prepara la tabella indicando, a fianco di ciascun titolo, la posizione del disco sullo scaffale. Se un sabotatore (il virus), vuole danneggiare un programma, può scambiare, di nascosto, gli indirizzi dei dischi scritti sulla tabella (soluzione naive facilmente riconoscibile da un adetto al controllo della tabella) oppure nota l'esatta posizione dei dischi, sostituisce un disco con un altro negli scaffali, quando gli inservienti si accingono a predisporre lo studio per la trasmissione radiofonica.

E' proprio questo che accade quando il virus si pone residente in RAM attraverso un riavvio da disco precedentemente infettato. Esso prende nota degli indirizzi originali delle routine di gestione degli interrupt e, quando viene caricato il COMMAND.COM del DOS, conoscendo le posizioni esatte degli indirizzi suddetti, sostituisce, (per esempio) per gli interrupt 13h e 21h, due proprie routine di gestione. Agendo così il virus ha il pieno controllo sulle richieste di tali interrupt che giungono dal sistema operativo.

Il tunnelling virus controlla, attraverso un contatore interno, se sono state eseguite un certo numero predefinito di infezioni, per mostrarsi. Questa tecnica virale, utilizzata da Invisible Man, [Hof97] permette al virus di visualizzare un messaggio al raggiungimento di 20 infezioni. Infatti raggiunta tale cifra, se viene eseguito un programma che ha una data di creazione anteriore di oltre un anno rispetto a quella del sistema, sovrascrive il programma con un altro che fa apparire sullo schermo una poesia dedicata ad Ester e contemporaneamente suona la melodia di Invisible Man dei Queen. Il file infettato, risulta essere inutilizzabile.
Il messaggio contenuto all'interno dei file infetti è il seguente :

The invisible Man - Written in Salerno (ITALY), October 1992 Dedicated to Ester: I don't know either how or when, but I will hold you in my arms again. I'm the invisible man, I'm the invisible man, Incredible how you can See right through me. I'm the invisible man, I'm the invisible man, It's criminal how I can See right through me.

3.6.4 Altre tecniche

Lo scopo principale di un hacker è quello di creare un computer virus che sia difficile da essere individuato. Il polimorfismo, le tecniche di stealth, quelle di tunnelling sono tra le migliori da usare ma non sufficienti a garantire la sopravvivenza del virus. Per realizzare un computer virus difficile da eliminare, se ne dovrebbe creare uno, dalla cui vita, dipende quella del file o sistema ospite. In parole povere, se il computer virus non funziona allora neanche il sistema lo farà. Normalmente quello che succede è il contrario. Quest'idea è stata già adottata per alcuni virus, tra i quali: One-Half, LZR, AIDS e KOHN_6 [Hof97].
One-Half cifra il disco fisso usando un sistema di cifratura simmetrico e memorizza la chiave segreta nel corpo del proprio codice. Per liberare la macchina dall'ospite sgradito, basta ottenere la chiave dal corpo del computer virus.

Il virus forma il messaggio m = { IV, Ks } (plaintext) utilizzando il vettore IV e la chiave Ks, lo cifra con la chiave pubblica Kf ottenendo il messaggio cifrato m' = { IV, Ks, Kf } (ciphertext). Il virus poi cifra i dati critici del sistema usando Ks, IV e l'algoritmo di cifratura simmetrico scelto. Ovviamente D (il dato originale) è distrutto.
A questo punto il virus rileva la propria presenza all'utente U visualizzando un messaggio contenente m', con le informazioni per contattare w. Una volta che U ha contattato l'autore w, deve inviargli m' insieme al riscatto. Quindi w decifra m' usando la chiave privata Kw e invia la chiave di sessione Ks e IV alla vittima U. Poiché quest'ultima non viene a conoscenza di Kw, è incapace di aiutare le altre vittime del crittovirus.

Questo attacco è del tipo denial of service reversibile poiché, comunicando con le vittime, l'autore w riesce a restituire il dato che era bloccato (denied). Questo contrasta con la definizione tradizionale di attacco denial of service nel quale, il dato è bloccato per sempre (cancellato).

Attacco per estorcere informazioni

Nell'attacco per estorcere informazioni, l'autore W del virus costringe la vittima U a fornire informazioni in cambio della chiave di sessione Ks e del vettore d'inizializzazione IV, ed in più fornisce un meccanismo per verificare l'autenticità del dato che viene estorto. Questo attacco può avere successo solo se il virus riesce a cifrare delle informazioni critiche che non possono essere rimpiazzate dalla vittima. Questo attacco utilizza l'attacco crittografico ibrido con alcune modifiche. Infatti, può estorcere delle risorse, ma viene anche usato come strumento per lo spionaggio e raccolta illegale di informazioni industriali e/o commerciali.
L'attacco permette ad un autore di virus W di richiedere un file di grandezza arbitraria includendo il checksum ChkSum di tale file nel messaggio m. In questo attacco, w richiede il file desiderato insieme al testo cifrato del messaggio m (ciphertext).
La notazione usata è illustrata di seguito:

m	=	{ChkSum, IV, Ks}
m'	=	{ChkSum, IV, Ks}
Kf	=	chiave pubblica di w nel virus F
Kw	=	chiave privata di w
ChkSum	=	ChkSum del file richiesto da w
IV	=	vettore di inizializzazione (casuale)
Ks	=	chiave di sessione (casuale )

L'unico valore che non é strettamente casuale é ChkSum, che é funzione della chiave di sessione Ks, IV e del file richiesto.
L'attacco procede in questo modo:

• il virus F, scritto da w, è programmato per cercare il dato critico D e il dato desiderato H

• una volta giunto sul giusto sistema ospite S, il virus inizia un attacco crittografico ibrido

• F genera IV e Ks, usando il generatore di numeri casuali contenuto nel proprio codice

• F usa un algoritmo di cifratura simmetrica per cifrare D, e distrugge il dato originale D lasciando al suo posto il cifrato D'

• il virus cerca il dato H da estorcere, se lo trova ne ricava il checksum ChkSum, ottenuto utilizzando H, IV, Ks, ed un algoritmo di cifratura simmetrica, come ad esempio MAC in modalità CFB.

• il virus F compone il messaggio m e lo cifra con Kf ottenendo m', distruggendo l'immagine di m presente nella RAM

• il virus mostra m' all'utente e gli dice di mandare m' ed H all'autore del virus secondo una certa modalità

• la vittima seguendo le istruzioni fornite da F spedisce a W, il testo cifrato m' ed il dato H

• l'autore del virus decifra m' con Kw ed estrae IV, Ks e ChkSum

• w poi esegue un checksum su H usando IV e Ks e confronta il risultato con ChkSum. Se CheckSum corrisponde, w capisce che H è autentico ed invia Ks ed IV alla vittima. Altrimenti w capisce che la vittima ha alterato H e non gli invia nulla.

Supponendo che la vittima voglia ingannare w, e se la vittima non vuole conoscere Ks allora può spedire a w un H di sua scelta e il corrispondente m', ricavati scegliendo un H a caso ed eseguendo le stesse operazioni fatte dal virus su H. La vittima può fare questo solo se possiede una copia di backup di D.
Supponendo che la vittima vuole Ks ed IV ma non vuole dare H a w: potrebbe fare ciò o modificando H e lasciando m' inalterato o modificandoli entrambi. Se la vittima invia m' con un H alterato, l'autore se ne accorgerà quando computa il checksum di H. Se la vittima gli manda entrambi alterati, poiché non conosce Kw, l'alterazione di m' non sarà corretta e con molta probabilità sarà rilevata quando w computa il checksum di H. Supponendo per assurdo che il checksum corrisponda, la vittima riceverà sicuramente un Ks non buono. L'unica speranza della vittima é quella di catturare Ks ed IV durante il breve periodo di permanenza di questi valori nella RAM.

Conclusioni

Mandare le informazioni all'autore di un virus che effettua tali tipi di attacchi, non comporta assolutamente la scoperta dell'autore: infatti, le informazioni (cifrate con la chiave pubblica dell'autore del virus) possono essere depositate in una bacheca elettronica pubblica oppure postate in un newsgroup.

L'autore allora può prelevarle facendo perdere le sue tracce. Si potrebbe utilizzare un crittovirus per rubare delle informazioni da un sito remoto e sfruttare la diffusione virale come mezzo di comunicazione. Anziché annunciare la propria presenza dopo aver cifrato il dato D, il crittovirus protrebbe inglobare il dato cifrato D' nel suo corpo e continuare a diffondersi. Se il virus con le informazioni al suo interno incontra un suo antenato o fratello duplica il suo fardello e lo cede al suo clone. In questo modo sperando che la diffusione virale non sia rilevata, l'autore può essere tanto fortunato da incontrare il virus con le informazioni incorporate. A questo punto, utilizzando la sua chiave privata Kw decifra D' ed ottiene, senza correre alcun rischio, le informazioni cercate. Il virus é un ottimo mezzo di comunicazione poiché solo l'autore ha l'abilitá di decifrare D' e nessun altro può recuperare il lavoro svolto dal virus.

Lo scenario fin qui delineato potrebbe sembrare solo teorico, ma non lo è affatto, Adam Young e Moti Yung [YY96] hanno effettivamente descritto ed implementato (vedi appendice) un crittovirus per APPLE Macintosh utilizzando RSA per la cifratura a chiave pubblica, TEA (acronimo di Tiny Encryption Algoritm) per la cifratura del dato critico, truerand.c di D. P. Mitchell e Matt Blaze per la generazione dei numeri casuali (chiave di sessione e vettore di inizializzazione).