TL; DR
Một .avitệp là một video và do đó không thể thực thi được, vì vậy hệ điều hành có thể / sẽ không chạy tệp. Như vậy, nó không thể là virus theo cách riêng của nó, nhưng nó thực sự có thể chứa virus.
Lịch sử
Trước đây, chỉ có các tệp thực thi (tức là, runnable ') là virus. Sau đó, giun Internet bắt đầu sử dụng kỹ thuật xã hội để lừa mọi người chạy virus. Một mẹo phổ biến sẽ là đổi tên một tệp thực thi để bao gồm các phần mở rộng khác như .avihoặc .jpgđể lừa người dùng nghĩ rằng đó là một tệp phương tiện và chạy nó. Ví dụ: ứng dụng email chỉ có thể hiển thị hàng chục ký tự đầu tiên của tệp đính kèm, do đó, bằng cách cung cấp cho tệp một phần mở rộng sai, sau đó đệm nó với khoảng trắng như trong "FunnyAnimals.avi .exe", người dùng sẽ thấy những gì trông giống như video và chạy nó và bị nhiễm.
Đây không chỉ là kỹ thuật xã hội (đánh lừa người dùng), mà còn là một khai thác sớm . Nó khai thác hiển thị giới hạn tên tệp của ứng dụng email để thực hiện thủ thuật.
Kỹ thuật
Sau đó, khai thác tiên tiến hơn đã xuất hiện. Các nhà văn phần mềm độc hại sẽ phân tách một chương trình để kiểm tra mã nguồn của nó và tìm kiếm các phần nhất định có dữ liệu kém và xử lý lỗi mà họ có thể khai thác. Các hướng dẫn này thường ở dạng một số loại đầu vào của người dùng. Ví dụ: hộp thoại đăng nhập trên HĐH hoặc trang web có thể không thực hiện kiểm tra lỗi hoặc xác thực dữ liệu và do đó, giả sử / mong muốn người dùng chỉ nhập dữ liệu phù hợp. Nếu sau đó bạn nhập dữ liệu mà nó không mong đợi (hoặc trong trường hợp khai thác nhiều nhất, quá nhiều dữ liệu), thì đầu vào sẽ kết thúc bên ngoài bộ nhớ được chỉ định để giữ dữ liệu. Thông thường, dữ liệu người dùng chỉ nên được chứa trong một biến, nhưng bằng cách khai thác kiểm tra lỗi và quản lý bộ nhớ kém, có thể đưa nó vào một phần của bộ nhớ có thể được thực thi. Một phương pháp phổ biến và được nhiều người biết đến làtràn bộ đệm đặt nhiều dữ liệu vào biến hơn mức có thể giữ, do đó ghi đè lên các phần khác của bộ nhớ. Bằng cách khéo léo tạo ra đầu vào, có thể khiến mã (hướng dẫn) bị tràn ngập và sau đó chuyển điều khiển sang mã đó. Tại thời điểm đó, bầu trời thường là giới hạn đối với những gì có thể được thực hiện khi phần mềm độc hại có quyền kiểm soát.
Các tập tin phương tiện là như nhau. Chúng có thể được tạo để chúng chứa một chút mã máy và khai thác trình phát đa phương tiện để mã máy kết thúc chạy. Ví dụ: có thể đưa quá nhiều dữ liệu vào siêu dữ liệu của tệp phương tiện để khi trình phát cố gắng mở tệp và đọc nó, nó sẽ tràn ra các biến và khiến một số mã chạy. Ngay cả dữ liệu thực tế về mặt lý thuyết cũng có thể được chế tạo để khai thác chương trình.
Điều tồi tệ hơn với các tệp phương tiện là không giống như thông tin đăng nhập rõ ràng là xấu, ngay cả đối với người không (ví dụ: username: johndoe234AUI%#639u36906-q1236^<>3;'k7y637y63^L:l,763p,l7p,37po[33p[o7@#^@^089*(^#)360as][.;][.][.>{"{"#:6326^)tệp phương tiện có thể được tạo để nó thực sự chứa phương tiện hợp pháp, hợp pháp thậm chí không bị hỏng và trông hoàn toàn hợp pháp và đi hoàn toàn không bị phát hiện cho đến khi ảnh hưởng của nhiễm trùng xảy ra. Steganography (nghĩa là “viết phủ”) thường được sử dụng để che giấu dữ liệu trong các dữ liệu khác, nhưng điều này thực chất là điều tương tự kể từ khi phần mềm độc hại sẽ được ẩn trong những gì trông giống như phương tiện truyền thông hợp pháp.
Vì vậy, có, các tệp phương tiện (và đối với vấn đề đó, bất kỳ tệp nào ) có thể chứa vi-rút bằng cách khai thác các lỗ hổng trong chương trình mở / xem tệp. Vấn đề là bạn thường không cần phải mở hoặc xem tệp bị nhiễm. Hầu hết các loại tệp có thể được xem trước hoặc đọc dữ liệu meta của chúng mà không cố ý mở chúng. Ví dụ: chỉ cần chọn tệp phương tiện trong Windows Explorer sẽ tự động đọc siêu dữ liệu (kích thước, chiều dài, v.v.) từ tệp. Đây có khả năng có thể là một vectơ tấn công nếu một người viết phần mềm độc hại tình cờ tìm thấy lỗ hổng trong chức năng xem trước / dữ liệu meta của Explorer và tạo ra một tệp phương tiện khai thác nó.
May mắn thay, khai thác là mong manh. Chúng thường chỉ ảnh hưởng đến một trình phát đa phương tiện khác với tất cả các trình phát và thậm chí sau đó, chúng không được bảo đảm để hoạt động cho các phiên bản khác nhau của cùng một chương trình (đó là lý do tại sao hệ điều hành phát hành bản cập nhật để vá lỗ hổng). Bởi vì điều này, người viết phần mềm độc hại thường chỉ dành thời gian để bẻ khóa các hệ thống / chương trình được sử dụng rộng rãi hoặc có giá trị cao (ví dụ: Windows, hệ thống ngân hàng, v.v.) Điều này đặc biệt đúng vì hack đã trở nên phổ biến như một doanh nghiệp với tội phạm cố gắng để có được tiền và không còn chỉ là lãnh địa của những người mọt sách cố gắng để có được vinh quang.
Ứng dụng
Nếu tập tin video của bạn đang bị nhiễm, sau đó nó sẽ có khả năng chỉ lây nhiễm nếu bạn tình cờ sử dụng media player (s) mà nó được thiết kế đặc biệt để khai thác. Nếu không, nó có thể bị sập, không mở được, chơi với tham nhũng hoặc thậm chí chơi tốt (đó là trường hợp xấu nhất vì sau đó được gắn cờ là ổn và lây sang những người khác có thể bị nhiễm bệnh).
Các chương trình chống phần mềm độc hại thường sử dụng chữ ký và / hoặc chẩn đoán để phát hiện phần mềm độc hại. Chữ ký tìm kiếm các mẫu byte trong các tệp thường tương ứng với các hướng dẫn trong các virus nổi tiếng. Vấn đề là do các virus đa hình có thể thay đổi mỗi lần chúng sinh sản, chữ ký trở nên kém hiệu quả. Heuristic quan sát các mẫu hành vi như chỉnh sửa các tệp cụ thể hoặc đọc dữ liệu cụ thể. Chúng thường chỉ áp dụng khi phần mềm độc hại đã chạy vì phân tích tĩnh (kiểm tra mã mà không chạy) có thể cực kỳ phức tạp nhờ các kỹ thuật che giấu và trốn tránh phần mềm độc hại.
Trong cả hai trường hợp, các chương trình chống phần mềm độc hại có thể và làm, báo cáo các kết quả dương tính giả.
Phần kết luận
Rõ ràng bước quan trọng nhất trong an toàn điện toán là lấy các tệp của bạn từ các nguồn đáng tin cậy. Nếu torrent bạn đang sử dụng là từ nơi bạn tin tưởng, thì có lẽ nó sẽ ổn. Nếu không, sau đó bạn có thể muốn suy nghĩ hai lần về nó, (đặc biệt là vì có các nhóm chống vi phạm bản quyền cố tình phát hành các torrent có chứa hàng giả hoặc thậm chí là phần mềm độc hại).