Perancangan dan Pembuatan Virus Komputer dan Anti-Virusnya dengan Metode Heuristik

Dalam pencarian cara lama, program anti-vuus melakukan scanning terhadap byte-byte kode virus, memeriksanya kemudian mencocokkan hasilnya dengan data yang ada pada database. Data untuk satu virus tertentu hanya cocok untuk virus itu pula, dengan demikian untuk memeriksa ratusan virus diperlukan ratusan data virus pula. Hal ini jelas tidak efektif untuk saat ini karena tiap saat perkembangan virus sangat cepat sehingga data virus tiap saat harus di-upgrade. Cara ini menyebabkan pemborosan dana dan tenaga. Dalam perkembangannya, virus mengalami kemajuan pesat sejak ditemukannya metode untuk mengenkripsi diri. Cara ini mangakibatkan virus selalu terbungkus kode aslinya. Untuk mengembalikan file, tubuh yang terenkripsi harus dibongkar dulu, baru dilakukan analisa. Pencarian cara lama masih bisa dilakukan karena walaupun dienkripsi, dekriptornya sendiri tetap sama dan tidak berubah untuk tiap kali penularan. Yang terjadi selanjutnya adalah kode dekriptor itu pun berubah-ubah tiap kali virus menular, dengan demikian semua tubuh virus baik yang terenkripsi maupun dekriptornya selalu berubah, praktis tidak ada yang sama tiap kali virus menular. Dengan cara lama, untuk mendeteksi, anti-virus tidak cukup hanya mendeteksi berdasarkan byte-byte kode secara sekuensial, tetapi juga harus bisa melakukan emulasi terhadap kode virus itu. Emulasi digunakan untuk melakukan proses dekripsi, jadi scanner harus menjalankan (single step) kode dekriptor virus itu sendiri dengan syarat-syarat yang ditentukan oleh scanner. Syarat-syarat dimaksud misalnya adalah tidak melakukan emulasi bila instruksi itu adalah instruksi untuk overwrite disk. Heuristic scanning adalah melakukan pencarian kode instruksi pada suatu file executable kemudian membandingkan apakah instruksi itu adalah instruksi untuk resident, untuk membuka file, menulis file, memindah ke memori lain segment atau melakukan perintah yang tidak wajar dalam sistem operasi misalnya men-set waktu file dengan nilai invalid yaitu detik lebih dari 60. Hasil-hasil yang diperoleh akan dikumpulkan untuk dilaporkan kepada user. Semakin banyak nilainya semakin besar pula kemungkinan tertular virus. Sampai saat ini cara ini dirasa cukup baik, dan efektif dalam pencarian virus karena database tidak perlu diupgrade setiap saat. Dalam tugas akhir ini dibuat perangkat lunak yang mampu menempel pada file yang dipanggil, kemudian melakukan manipulasi file host tersebut. Pada saat file host dijalankan, perangkat lunak yang telah menempel akan mengambil alih semua kontrol, melakukan pemetaan terhadap memori, lalu menetap di memori (resident), kemudian kontrol program diberikan ke file host, program berjalan seperti biasa. Perangkat lunak yang menempel pada file host akan dienkripsi dengan menggunakan metode polymorphic pada bagian dekriptornya. Dengan cara ini, diharapkan pada semua variannya, tidak ada string signature yang bisa dijadikan patokan dalam pencarian virus. Anti-heuristik dipakai untuk menggagalkan upaya dissasemble dan emulasi software anti-virus. Hasil akhir perangkat lunak diharapkan tidak bisa deteksi oleh semua anti-virus yang ada di pasaran