PGDCA, BCA, B-Tech, MCA, M-Tech, B.Sc computer science राजस्थान सूचना सहायक व कंप्यूटर शिक्षक विशेष नोट्स: इस अध्याय में हम Polymorphic, Metamorphic and Stealth Viruses (पॉलीमॉर्फिक, मेटामॉर्फिक और स्टेल्थ वायरस की कार्यप्रणाली) की संपूर्ण थ्योरी, मुख्य तकनीकी बिंदु, तुलनात्मक तालिका और विगत परीक्षाओं के पैटर्न पर आधारित 20 अति-महत्वपूर्ण बहुविकल्पीय प्रश्न (MCQs) विस्तृत हिंदी व अंग्रेजी व्याख्या सहित पढ़ेंगे।
Overview: Polymorphic, metamorphic, and stealth viruses employ advanced code obfuscation, runtime decryption, instruction rewriting, and OS API interception to evade static antivirus signatures. Detecting them requires CPU emulation, Control-Flow Graph (CFG) normalization, offline scanning, and behavioral EDR telemetry.
अध्याय सार: पॉलीमॉर्फिक, मेटामॉर्फिक और स्टेल्थ वायरस स्टैटिक एंटीवायरस सिग्नेचर से बचने के लिए रनटाइम डिक्रिप्शन, कोड के पूर्ण पुनर्निर्माण और ऑपरेटिंग सिस्टम API इंटरसेप्शन जैसी उन्नत तकनीकों का उपयोग करते हैं। इनकी पहचान के लिए CPU एमुलेशन, कंट्रोल-फ्लो ग्राफ विश्लेषण, ऑफलाइन स्कैनिंग और व्यवहार-आधारित EDR की आवश्यकता होती है।
Polymorphic, Metamorphic and Stealth Viruses: Detailed Notes & Architecture (पॉलीमॉर्फिक, मेटामॉर्फिक और स्टेल्थ वायरस की कार्यप्रणाली)
1. Encrypted, Oligomorphic and Polymorphic Viruses (एन्क्रिप्टेड, ओलिगोमॉर्फिक और पॉलीमॉर्फिक वायरस)
[EN] Early encrypted viruses (like Cascade) ciphered their main body with a variable key, yet kept a static decryption routine that antivirus signatures easily flagged. Oligomorphic viruses rotated among a small fixed pool of decryptors (e.g., Whale), whereas true Polymorphic viruses—pioneered by 1260 and Dark Avenger's Mutation Engine (MtE)—integrate a full mutation engine generating millions of unique decryption stubs per generation. By varying registers, XOR/ADD/SUB/ROL keys, and inserting junk instructions inside the decryptor, no two copies share contiguous byte signatures—even though the decrypted in-memory payload remains identical.
[HI] शुरुआती एन्क्रिप्टेड वायरस अपने मुख्य कोड को एन्क्रिप्ट करते थे, लेकिन उनका डिक्रिप्शन स्टब एक जैसा रहने से एंटीवायरस उन्हें पकड़ लेता था। ओलिगोमॉर्फिक वायरस कुछ सीमित डिक्रिप्टर्स बदलते थे, जबकि सच्चे पॉलीमॉर्फिक वायरस (जैसे 1260 और MtE इंजन) हर नए संक्रमण पर एक बिल्कुल नया डिक्रिप्शन कोड और नई कुंजी (XOR/ADD/ROL) उत्पन्न करते हैं। यद्यपि डिस्क पर हर प्रति का बाइट पैटर्न अलग दिखता है, फिर भी मेमोरी में डिक्रिप्ट होने के बाद मूल पेलोड एक ही रहता है।
2. Metamorphic Viruses: Complete Structural Rewriting Without Encryption (मेटामॉर्फिक वायरस: बिना एन्क्रिप्शन के पूर्ण कोड रूपांतरण)
[EN] Metamorphic viruses eliminate encryption and decryption stubs altogether, instead embedding an internal disassembler, control-flow analyzer, and reassembler to rewrite the viral body itself across generations (e.g., Zmist, Simile, Win95/Regswap). Techniques include instruction substitution (`XOR EAX, EAX` replaced by `SUB EAX, EAX`), register swapping across generations, dead/junk code insertion (`NOP`, `ADD EBX, 0`), and subroutine block permutation linked by unconditional jumps. Because there is no constant plaintext payload even in RAM after startup, metamorphic engines defeat simple memory-dump signatures and demand opcode-histogram or graph-isomorphism analysis.
[HI] मेटामॉर्फिक वायरस एन्क्रिप्शन या डिक्रिप्शन लूप का उपयोग ही नहीं करते, बल्कि अपने भीतर मौजूद डिअसेंबलर और रीअसेंबलर के जरिए हर पीढ़ी में अपना पूरा मशीन कोड नए सिरे से लिख देते हैं (जैसे Zmist और Simile)। इसके लिए वे समतुल्य निर्देश प्रतिस्थापन (`XOR EAX, EAX` के स्थान पर `SUB EAX, EAX`), रजिस्टर स्वैपिंग, डेड-कोड जोड़ने और सबरूटीन ब्लॉकों का क्रम बदलने जैसी तकनीकों का उपयोग करते हैं। चूंकि मेमोरी में भी इनका बाइट क्रम एक जैसा नहीं रहता, इसलिए इनकी पहचान के लिए कंट्रोल-फ्लो ग्राफ और सिमेंटिक विश्लेषण जरूरी होता है।
3. Stealth Viruses and Anti-Analysis Armoring (स्टेल्थ वायरस और एंटी-एनालिसिस आर्मरिंग तकनीक)
[EN] Stealth viruses actively conceal symptoms of infection while resident in memory by hooking OS or BIOS APIs—historically `INT 21h` and `INT 13h` in DOS, and modern `NtQueryDirectoryFile` or IRP filter drivers in Windows. If an antivirus or user queries file length or reads an infected binary, the stealth handler subtracts the appended virus byte count (size stealth) or dynamically serves a clean unpatched buffer (read stealth). Armored viruses add anti-debugging traps such as `IsDebuggerPresent()`, `RDTSC` timing deltas, and hardware breakpoint detection to thwart reverse engineers.
[HI] स्टेल्थ वायरस मेमोरी में सक्रिय रहते हुए ऑपरेटिंग सिस्टम या डिस्क API (जैसे पुराने DOS में `INT 21h`/`INT 13h` और विंडोज में `NtQueryDirectoryFile`) को हुक करके संक्रमण के प्रमाण छिपाते हैं। जब कोई यूजर या स्कैनर फाइल का आकार जांचता है या फाइल पढ़ता है, तो स्टेल्थ वायरस बढ़ा हुआ आकार घटाकर दिखाता है या साफ मूल डेटा लौटा देता है। आर्मर्ड वायरस रिवर्स इंजीनियरिंग रोकने के लिए `IsDebuggerPresent()` और `RDTSC` टाइमिंग जांच जैसी एंटी-डीबगिंग तकनीक भी जोड़ते हैं।
4. Defeating Evasive Malware: Emulation, Normalization and Offline Rescue (उन्नत वायरसों की पहचान: एमुलेशन, नॉर्मलाइजेशन और ऑफलाइन स्कैन)
[EN] To neutralize polymorphic decryptors, modern AV engines execute suspicious binaries inside lightweight virtual CPU emulators for thousands of cycles until the decryption loop finishes revealing the static inner payload in emulated RAM. For metamorphic variants, detectors apply code normalization—stripping `NOP` sleds, folding redundant arithmetic, and canonicalizing register usage—before comparing Control-Flow Graphs (CFGs) and semantic signatures. Finally, active stealth hooks are bypassed completely by booting from a clean read-only WinPE/Linux Live rescue USB so the resident virus never gains execution control.
[HI] पॉलीमॉर्फिक वायरसों को पकड़ने के लिए आधुनिक एंटीवायरस इंजन संदिग्ध फाइल को वर्चुअल CPU एमुलेटर में चलाते हैं, ताकि डिक्रिप्शन लूप पूरा होते ही वर्चुअल RAM में छिपा मुख्य पेलोड सामने आ जाए। मेटामॉर्फिक वायरसों के लिए डेड-कोड हटाने (Code Normalization) और कंट्रोल-फ्लो ग्राफ मिलान का उपयोग होता है। स्टेल्थ वायरसों के हुक्स को पूरी तरह निष्प्रभावी करने के लिए सिस्टम को साफ Live USB या ऑफलाइन रेस्क्यू एनवायरनमेंट से बूट करके स्कैन किया जाता है।
Syntax, Formula & Technical Example (Polymorphic, Metamorphic and Stealth Viruses)
# Polymorphic Decryptor Variation vs Metamorphic Instruction Substitution (x86)
# --- Polymorphic Gen 1 Decryptor --- # --- Polymorphic Gen 2 Decryptor ---
MOV ECX, 0x0400 MOV EDX, 0x0400
MOV ESI, payload_start LEA EDI, [payload_start]
loop1: XOR BYTE PTR [ESI], 0x5A loop2: ADD BYTE PTR [EDI], 0x13
INC ESI / LOOP loop1 INC EDI / DEC EDX / JNZ loop2
# --- Metamorphic Equivalent Rewriting (No Encryption Used) ---
# Gen A: XOR EAX, EAX | ADD EBX, 4 | MOV [ECX], EBX
# Gen B: SUB EAX, EAX | NOP | LEA EBX, [EBX+4] | PUSH EBX | POP [ECX]Polymorphic, Metamorphic and Stealth Viruses Quick Reference & Comparison Table
| Virus Evasion Class | Core Evasion Mechanism | Primary Detection Countermeasure |
|---|---|---|
| Simple Encrypted Virus | Encrypts payload with changing key; keeps static decryptor | Match byte signature of static decryptor stub |
| Polymorphic Virus | Mutates decryption stub and key every generation via engine | CPU emulation until decrypted payload emerges |
| Metamorphic Virus | Rewrites instructions via substitution & dead-code without keys | Code normalization & Control-Flow Graph match |
| Stealth Virus | Hooks OS/disk APIs to forge clean file sizes & contents | Boot clean offline Rescue OS / kernel integrity |
Polymorphic, Metamorphic and Stealth Viruses Top 20 Bilingual MCQs with Answers
Q1. What distinguishes a Metamorphic Virus from a Polymorphic Virus at runtime in RAM?
(रनटाइम पर RAM के भीतर मेटामॉर्फिक वायरस और पॉलीमॉर्फिक वायरस के बीच मुख्य तकनीकी अंतर क्या होता है?)
(A) A metamorphic virus encrypts files with RSA-4096 while a polymorphic virus uses Base64
(B) A polymorphic virus infects only BIOS chips while a metamorphic virus infects only PDFs
(C) A metamorphic virus never changes its byte sequence or MD5 hash across generations
(D) A polymorphic virus decrypts back into an identical original payload in memory, whereas a metamorphic virus uses no encryption and alters its actual machine instructions
Correct Answer: (D)
[EN] Polymorphic viruses hide a constant inner body behind mutating decryptors; metamorphic viruses rewrite the body itself via equivalent opcodes and permutations.
[HI] पॉलीमॉर्फिक वायरस मेमोरी में डिक्रिप्ट होकर पहले जैसा ही कोड बना लेता है, जबकि मेटामॉर्फिक वायरस बिना एन्क्रिप्शन के हर बार अपने वास्तविक मशीन निर्देश बदल देता है।
Q2. In x86 assembly, which instruction sequence illustrates Metamorphic 'Instruction Substitution' that preserves exact semantics while changing opcodes?
(x86 असेंबली में निम्नलिखित में से कौन सा परिवर्तन मेटामॉर्फिक 'Instruction Substitution' (समान अर्थ लेकिन भिन्न ऑपकोड) का सही उदाहरण है?)
(A) Replacing `XOR EAX, EAX` with `SUB EAX, EAX` or `MOV EAX, 0`
(B) Replacing `MOV EAX, 5` with `HLT` (CPU Halt)
(C) Replacing `RET` with `INT 13h` disk format
(D) Encrypting the entire C: drive with AES-256
Correct Answer: (A)
[EN] Zeroing `EAX` can be compiled cleanly as `XOR EAX, EAX`, `SUB EAX, EAX`, or `MOV EAX, 0`, yielding distinct opcodes with identical CPU register results.
[HI] `XOR EAX, EAX`, `SUB EAX, EAX` और `MOV EAX, 0` तीनों ही EAX रजिस्टर को शून्य करते हैं, पर इनके मशीन बाइट्स अलग होते हैं।
Q3. How do antivirus engines primarily defeat Polymorphic viruses during file scanning?
(एंटीवायरस इंजन फाइल स्कैनिंग के दौरान पॉलीमॉर्फिक वायरसों को मुख्य रूप से किस तकनीक से पकड़ते हैं?)
(A) By calculating a single static MD5 hash of the mutated decryptor
(B) By deleting all `.dll` files inside `C:\Windows\System32`
(C) By running the suspect executable inside a built-in CPU emulator so the polymorphic stub decrypts the fixed inner payload
(D) By disabling TCP port 443 in the local router
Correct Answer: (C)
[EN] Emulation lets the variable decryptor execute safely in a sandboxed virtual CPU until the constant viral body is exposed for signature matching.
[HI] एंटीवायरस अपने वर्चुअल CPU एमुलेटर में फाइल को चलाता है ताकि पॉलीमॉर्फिक डिक्रिप्टर खुद ही असली स्थिर कोड को RAM में खोल दे।
Q4. Which virus technique intercepts Windows file-query APIs (such as `NtQueryDirectoryFile` or `FindFirstFile`) so `dir` or Explorer shows the original uninfected file size?
(कौन सी वायरस तकनीक विंडोज के फाइल-क्वेरी API (जैसे `NtQueryDirectoryFile`) को हुक करती है ताकि `dir` कमांड में संक्रमित फाइल का आकार पहले जितना ही दिखे?)
(A) Hit-List Scanning
(B) Dead-Code Padding
(C) Size Stealth (API-hooking Stealth Virus)
(D) Cavity Overwriting
Correct Answer: (C)
[EN] Resident stealth viruses hook directory enumeration and file-read APIs, subtracting the virus size from reported metadata so infections stay invisible.
[HI] स्टेल्थ वायरस फाइल लिस्टिंग API को हुक करके रिपोर्ट किए गए आकार में से अपना जोड़ा गया आकार घटा देता है, जिससे फाइल सामान्य दिखती है।
Q5. Why must an administrator boot from a clean read-only Live USB or WinPE rescue environment to reliably detect a kernel-resident Stealth Virus?
(कर्नेल-स्तर पर सक्रिय स्टेल्थ वायरस को विश्वसनीय रूप से पकड़ने के लिए क्लीन Live USB या WinPE रेस्क्यू एनवायरनमेंट से बूट करना क्यों आवश्यक होता है?)
(A) Because Windows blocks SHA-256 hashing unless booted from USB
(B) Because the active stealth hooks in the compromised OS never load when booting an uncompromised offline OS, exposing true disk contents
(C) Because USB drives have faster CPU clock speeds than internal SSDs
(D) Because stealth viruses automatically delete themselves whenever a USB port is used
Correct Answer: (B)
[EN] If the infected OS is running, the stealth virus filters every disk read; booting a clean external OS bypasses those hooks completely.
[HI] संक्रमित OS चलने पर स्टेल्थ वायरस हर डिस्क रीड को फिल्टर कर सकता है, जबकि साफ Live USB से बूट करने पर उसके हुक्स लोड ही नहीं होते।
Q6. Which metamorphic code transformation reorders independent instruction blocks and links them together via unconditional `JMP` statements?
(कौन सा मेटामॉर्फिक रूपांतरण स्वतंत्र कोड ब्लॉकों के क्रम को बदलकर उन्हें बिना शर्त `JMP` निर्देशों से आपस में जोड़ देता है?)
(A) ARP Spoofing
(B) Register Packing
(C) Code Transposition (Subroutine / Basic-Block Permutation)
(D) Polymorphic Key Stretching
Correct Answer: (C)
[EN] Code transposition shuffles independent basic blocks inside the binary and inserts `JMP` edges so execution flow remains valid while byte order changes.
[HI] कोड ट्रांसपोजिशन प्रोग्राम के ब्लॉकों का भौतिक क्रम बदल देता है और `JMP` के जरिए तार्किक प्रवाह को बरकरार रखता है।
Q7. Which 1992 toolkit by Dark Avenger popularized Polymorphic viruses by allowing virus writers to link a modular mutation engine into almost any virus?
(1992 में Dark Avenger द्वारा बनाया गया कौन सा टूलकिट पॉलीमॉर्फिक वायरसों को लोकप्रिय बनाने के लिए प्रसिद्ध है?)
(A) WannaCry Kill Switch
(B) EternalBlue SMB Exploit
(C) Mutation Engine (MtE)
(D) Metasploit Meterpreter
Correct Answer: (C)
[EN] Dark Avenger's Mutation Engine (MtE) was an object library that converted ordinary viruses into polymorphic ones with randomized decryptors.
[HI] Dark Avenger का Mutation Engine (MtE) एक मॉड्यूलर इंजन था जो साधारण वायरसों को भी पॉलीमॉर्फिक बना देता था।
Q8. How does 'Code Normalization' assist security analysts in detecting Metamorphic malware?
('कोड नॉर्मलाइजेशन' (Code Normalization) मेटामॉर्फिक मैलवेयर का पता लगाने में सुरक्षा विश्लेषकों की मदद कैसे करता है?)
(A) It strips junk instructions like `NOP`s, simplifies redundant arithmetic, and standardizes equivalent idioms before CFG comparison
(B) It increases Shannon entropy to 8.0 to force AV quarantine
(C) It converts binary malware into plain PNG screenshots
(D) It renames `.exe` extensions to `.txt` so they cannot execute
Correct Answer: (A)
[EN] Normalizing away dead code (`NOP`, `ADD reg, 0`) and collapsing equivalent opcodes reveals the invariant underlying Control-Flow Graph.
[HI] कोड नॉर्मलाइजेशन `NOP` व बेकार निर्देशों को हटाता है और समतुल्य ऑपकोड्स को मानक रूप में लाता है, जिससे मूल कंट्रोल-फ्लो ग्राफ पकड़ा जा सके।
Q9. What does an 'Armored Virus' use the x86 `RDTSC` (Read Time-Stamp Counter) instruction for?
(एक 'आर्मर्ड वायरस' (Armored Virus) x86 के `RDTSC` (Read Time-Stamp Counter) निर्देश का उपयोग किस उद्देश्य से करता है?)
(A) To detect single-stepping inside a debugger or emulator by measuring abnormally large CPU cycle delays between two instructions
(B) To accelerate AES hardware encryption pipelines
(C) To synchronize corporate NTP time servers over UDP 123
(D) To repair corrupted NTFS Master File Table timestamps
Correct Answer: (A)
[EN] Executing two consecutive blocks takes microseconds normally, but seconds when a human single-steps in a debugger; `RDTSC` detects this gap and exits cleanly.
[HI] `RDTSC` दो निर्देशों के बीच लगे CPU साइकिल्स मापता है; यदि कोई विश्लेषक डीबगर में कोड स्टेप-बाय-स्टेप चला रहा हो, तो अत्यधिक देरी से वायरस उसे पहचान लेता है।
Q10. Which statement is NOT true regarding Polymorphic, Metamorphic, and Stealth viruses?
(पॉलीमॉर्फिक, मेटामॉर्फिक और स्टेल्थ वायरसों के बारे में निम्नलिखित में से कौन सा कथन सत्य नहीं है?)
(A) Oligomorphic viruses choose from a small, finite set of pre-written decryption routines
(B) Dead-code insertion adds instructions like `NOP` or `XCHG EAX, EAX` that leave program semantics unchanged
(C) Stealth viruses can hide both altered file sizes and modified file contents from active OS tools
(D) Metamorphic viruses rely on a fixed AES decryption stub to unpack an unchanging payload in RAM
Correct Answer: (D)
[EN] Metamorphic viruses explicitly avoid encryption/decryption stubs and instead transform the entire instruction body natively.
[HI] मेटामॉर्फिक वायरस एन्क्रिप्शन या डिक्रिप्शन स्टब का उपयोग नहीं करते; वे बिना एन्क्रिप्ट किए सीधे अपने पूरे कोड की संरचना बदलते हैं।
Q11. Why did early 'Simple Encrypted Viruses' fail to remain undetectable for long despite changing their encryption key on every infection?
(हर संक्रमण पर एन्क्रिप्शन कुंजी बदलने के बावजूद शुरुआती 'सिंपल एन्क्रिप्टेड वायरस' लंबे समय तक एंटीवायरस से क्यों नहीं बच सके?)
(A) They could only use 1-bit keys equal to zero
(B) Their unencrypted decryption stub stayed byte-for-byte identical, giving AV engines an easy static signature target
(C) They automatically appended the word 'VIRUS' to the desktop
(D) They transmitted their XOR keys in public DNS TXT records
Correct Answer: (B)
[EN] Because the decryptor loop itself was unencrypted and immutable across generations, AV vendors simply wrote signatures targeting the decryptor bytes.
[HI] भले ही मुख्य कोड एन्क्रिप्टेड था, लेकिन उसे डिकोड करने वाला डिक्रिप्शन स्टब हर फाइल में एक जैसा रहता था, जिसे एंटीवायरस आसानी से पहचान लेते थे।
Q12. In a 'Semi-Stealth' vs 'Full-Stealth' file virus comparison, what extra capability does Full-Stealth implement?
('सेमी-स्टेल्थ' और 'फुल-स्टेल्थ' फाइल वायरस की तुलना में फुल-स्टेल्थ कौन सी अतिरिक्त क्षमता लागू करता है?)
(A) Full-stealth turns off the monitor display permanently
(B) Full-stealth intercepts file-read calls (`ReadFile` / `INT 21h 3Fh`) to strip the virus out of returned buffers, masking both size and content changes
(C) Full-stealth requires manual user confirmation before infecting files
(D) Full-stealth replicates across Cisco BGP routers via ICMP echo
Correct Answer: (B)
[EN] Semi-stealth hides file size growth in directory listings, whereas Full-stealth also spoofs file-read data and timestamp/checksum queries.
[HI] सेमी-स्टेल्थ केवल फाइल साइज छिपाता है, जबकि फुल-स्टेल्थ फाइल पढ़े जाने वाले बफर से भी अपना कोड हटाकर मूल साफ डेटा दिखाता है।
Q13. Which Windows API function is frequently checked by armored viruses to determine whether an analyst has attached a user-mode debugger like x64dbg?
(विश्लेषक ने x64dbg जैसा यूजर-मोड डीबगर जोड़ा है या नहीं, यह जांचने के लिए आर्मर्ड वायरस अक्सर किस विंडोज API को कॉल करते हैं?)
(A) `GetAdaptersInfo()`
(B) `IsDebuggerPresent()`
(C) `DrawTextW()`
(D) `WSAStartup()`
Correct Answer: (B)
[EN] `IsDebuggerPresent()` queries the `BeingDebugged` flag in the Process Environment Block (PEB); malware alters control flow if it returns true.
[HI] `IsDebuggerPresent()` प्रोसेस एनवायरनमेंट ब्लॉक (PEB) के `BeingDebugged` फ्लैग की जांच करता है ताकि डीबगर मिलने पर वायरस अपनी चाल बदल दे।
Q14. Which famous metamorphic virus (2001, by Z0mbie) merged directly inside a host executable's code section by integrating its instructions between existing host instructions?
(2001 में Z0mbie द्वारा बनाया गया कौन सा प्रसिद्ध मेटामॉर्फिक वायरस होस्ट प्रोग्राम के मौजूदा निर्देशों के बीच अपने निर्देश मिलाकर कोड-इंटीग्रेशन करता था?)
(A) Zmist (Zombie.Mistfall)
(B) ILOVEYOU
(C) SQL Slammer
(D) Morris
Correct Answer: (A)
[EN] Zmist disassembled the target PE file into an internal graph, inserted its mutated instructions among host instructions, and reassembled the binary cleanly.
[HI] Zmist (Mistfall इंजन) लक्षित PE फाइल को डिअसेंबल करके अपने कोड को होस्ट निर्देशों के बीच इस तरह मिलाता था कि अलग करना बेहद कठिन हो जाता था।
Q15. Why is 'Register Swapping' inside a metamorphic engine ineffective if a detector maps instructions to symbolic wildcards?
(यदि कोई डिटेक्टर निर्देशों को सिम्बोलिक वाइल्डकार्ड से मैच करे, तो मेटामॉर्फिक इंजन की 'रजिस्टर स्वैपिंग' तकनीक क्यों विफल हो सकती है?)
(A) Because swapping registers automatically repairs infected DLLs
(B) Because x86 CPUs only have a single general-purpose register
(C) Because replacing `EAX` with `EBX` leaves the underlying opcode family and control-flow structure unchanged, which wildcard masks still match
(D) Because register swapping works only on ARM smartphones
Correct Answer: (C)
[EN] Pure register swapping (like `Regswap`) changes operand encodings while preserving exact opcode ordering, allowing masked/wildcard YARA rules to catch it.
[HI] केवल रजिस्टर बदलने (जैसे `EAX` की जगह `EBX`) से निर्देशों का मुख्य पैटर्न और ऑपकोड क्रम समान रहता है, जिसे वाइल्डकार्ड सिग्नेचर पकड़ लेते हैं।
Q16. What challenge does 'Opaque Predicate' insertion pose during static Control-Flow Graph disassembly of armored/metamorphic malware?
(आर्मर्ड या मेटामॉर्फिक मैलवेयर में 'ओपेक प्रेडिकेट' (Opaque Predicate) जोड़ने से स्टैटिक विश्लेषण में क्या कठिनाई आती है?)
(A) It adds conditional branches whose outcome is fixed at runtime (always true/false), tricking disassemblers into analyzing fake dead branches
(B) It converts `.exe` binaries into Microsoft Excel charts
(C) It compresses TLS handshakes into ICMP packets
(D) It causes the OS to unmount all NTFS drives instantly
Correct Answer: (A)
[EN] By introducing complex math conditions (e.g., `7y^2 - 1 != x^2`) whose outcome is always constant, malware bloats CFGs with unreachable junk paths.
[HI] ओपेक प्रेडिकेट ऐसी जटिल शर्तें जोड़ते हैं जिनका परिणाम हमेशा तय रहता है, जिससे डिअसेंबलर नकली कोड रास्तों के विश्लेषण में उलझ जाता है।
Q17. Within Polymorphic, Metamorphic and Stealth Viruses, which virus evasion class directly maps to: "Encrypts payload with changing key; keeps static decryptor"?
(Polymorphic, Metamorphic and Stealth Viruses में कौन सा Virus Evasion Class सीधे "Encrypts payload with changing key; keeps static decryptor" से संबंधित है?)
(A) Simple Encrypted Virus
(B) Polymorphic Virus
(C) Stealth Virus
(D) Metamorphic Virus
Correct Answer: (A)
[EN] In Polymorphic, Metamorphic and Stealth Viruses, 'Simple Encrypted Virus' handles 'Encrypts payload with changing key; keeps static decryptor' (Match byte signature of static decryptor stub).
[HI] Polymorphic, Metamorphic and Stealth Viruses में 'Simple Encrypted Virus' का कार्य/विवरण 'Encrypts payload with changing key; keeps static decryptor' (Match byte signature of static decryptor stub) है।
Q18. Which option accurately describes 'Polymorphic Virus' in Polymorphic, Metamorphic and Stealth Viruses?
(Polymorphic, Metamorphic and Stealth Viruses के संदर्भ में 'Polymorphic Virus' की सही विशेषता कौन सी है?)
(A) Rewrites instructions via substitution & dead-code without keys
(B) Hooks OS/disk APIs to forge clean file sizes & contents
(C) Encrypts payload with changing key; keeps static decryptor
(D) Mutates decryption stub and key every generation via engine
Correct Answer: (D)
[EN] 'Polymorphic Virus' provides 'Mutates decryption stub and key every generation via engine' — key point: CPU emulation until decrypted payload emerges.
[HI] 'Polymorphic Virus' का मुख्य विवरण 'Mutates decryption stub and key every generation via engine' है (CPU emulation until decrypted payload emerges)।
Q19. In Polymorphic, Metamorphic and Stealth Viruses, identify the correct parameter for the specification: "Rewrites instructions via substitution & dead-code without keys".
(Polymorphic, Metamorphic and Stealth Viruses में "Rewrites instructions via substitution & dead-code without keys" विवरण किस विकल्प के लिए सही है?)
(A) Metamorphic Virus
(B) Stealth Virus
(C) Polymorphic Virus
(D) Simple Encrypted Virus
Correct Answer: (A)
[EN] 'Metamorphic Virus' corresponds to 'Rewrites instructions via substitution & dead-code without keys' (Code normalization & Control-Flow Graph match).
[HI] 'Metamorphic Virus' का संबंध 'Rewrites instructions via substitution & dead-code without keys' (Code normalization & Control-Flow Graph match) से है।
Q20. Considering Polymorphic, Metamorphic and Stealth Viruses, what key behavior defines 'Stealth Virus'?
(Polymorphic, Metamorphic and Stealth Viruses में 'Stealth Virus' की मुख्य भूमिका या मान क्या है?)
(A) Mutates decryption stub and key every generation via engine
(B) Rewrites instructions via substitution & dead-code without keys
(C) Hooks OS/disk APIs to forge clean file sizes & contents
(D) Encrypts payload with changing key; keeps static decryptor
Correct Answer: (C)
[EN] 'Stealth Virus' represents 'Hooks OS/disk APIs to forge clean file sizes & contents' (Boot clean offline Rescue OS / kernel integrity).
[HI] 'Stealth Virus' का अर्थ/मान 'Hooks OS/disk APIs to forge clean file sizes & contents' है (Boot clean offline Rescue OS / kernel integrity)।
Polymorphic, Metamorphic and Stealth Viruses — Exam FAQs
Q1: Why doesn't a Metamorphic virus need a decryption loop like a Polymorphic virus?
मेटामॉर्फिक वायरस को पॉलीमॉर्फिक वायरस की तरह डिक्रिप्शन लूप की आवश्यकता क्यों नहीं होती?
[EN] A Polymorphic virus keeps its core payload encrypted and relies on a variable decryptor stub to unpack it in RAM. A Metamorphic virus never encrypts itself; instead, its internal mutation engine directly rewrites the executable instructions using equivalent opcodes, swapped registers, and reordered blocks so every generation looks completely different natively.
[HI] पॉलीमॉर्फिक वायरस अपने मुख्य कोड को एन्क्रिप्ट रखता है और उसे खोलने के लिए डिक्रिप्शन स्टब का उपयोग करता है। इसके विपरीत, मेटामॉर्फिक वायरस बिना एन्क्रिप्शन के ही अपने वास्तविक मशीन निर्देशों को समतुल्य कोड, नए रजिस्टर और बदले हुए क्रम में फिर से लिख देता है।
Q2: Can an ordinary user detect a Stealth Virus just by checking file sizes in Windows File Explorer?
क्या कोई सामान्य उपयोगकर्ता केवल Windows File Explorer में फाइल का आकार देखकर स्टेल्थ वायरस की पहचान कर सकता है?
[EN] Usually no; while a resident stealth virus is active in memory, it hooks OS directory and file-read APIs (`NtQueryDirectoryFile`) to subtract its added bytes and report the original clean size. An offline clean-boot scan or external integrity checksum comparison is needed to uncover it.
[HI] आमतौर पर नहीं; जब स्टेल्थ वायरस मेमोरी में सक्रिय होता है, तो वह OS के फाइल-लिस्टिंग API को हुक करके बढ़ा हुआ आकार छिपा देता है और मूल आकार ही दिखाता है। इसकी पहचान के लिए क्लीन ऑफलाइन बूट स्कैन जरूरी होता है।
Q3: What is the difference between Oligomorphic and Polymorphic viruses?
ओलिगोमॉर्फिक (Oligomorphic) और पॉलीमॉर्फिक (Polymorphic) वायरसों में क्या अंतर है?
[EN] Oligomorphic viruses only swap among a small, pre-built collection of fixed decryptors (e.g., 10-50 variants), which AV vendors can still fingerprint individually. Polymorphic viruses dynamically generate virtually limitless decryptor permutations using an embedded mutation engine.
[HI] ओलिगोमॉर्फिक वायरस कुछ सीमित पहले से बने डिक्रिप्टर्स में से एक चुनते हैं जिन्हें अलग-अलग सिग्नेचर से पकड़ा जा सकता है, जबकि पॉलीमॉर्फिक वायरस अंतर्निहित म्यूटेशन इंजन से लगभग अनगिनत नए डिक्रिप्टर बना लेते हैं।
Post a Comment
Post a Comment