แอนตี้ไวรัสหลายตัวแจ้งเตือน 「This file is a decompression bomb」 เมื่อสแกนคอมพิวเตอร์ ข้อความนี้หมายถึง แอนตี้ไวรัสพบไฟล์ที่หากแตกบีบอัด (decompress) จะไม่แตกเสร็จเลย และน่าจะทำให้ระบบค้าง
File Compression (การบีบอัดไฟล์) คืออะไร?
ก่อนอธิบาย decompression bomb ให้ดูพื้นฐานการบีบอัดไฟล์ File compression คือการกระทำของ file compression algorithm ลดขนาดไฟล์ ตัวอย่าง หนัง 700MB แปลงเป็น RAR 500MB เพื่อลดขนาด อัลกอริทึมต้อง อ่าน ไฟล์ทั้งหมด และ วิเคราะห์ ก่อน
คอมพิวเตอร์ทั้งหมดประกอบด้วย 0 และ 1 เรียกว่า binary code หลักการของอัลกอริทึมบีบอัด คือ ค้นหา ความคล้ายคลึง ใน binary code ของไฟล์
เรามักใช้รูปแบบในชีวิตประจำวัน ตัวอย่าง ถ้าต้องส่งตัวเลข 111000 ให้เพื่อน จะพูดว่า สาม 1 และสาม 0 เมื่อตัวเลขเพิ่ม รูปแบบพูดยาวนานเกือบเท่าเดิม
ชิ้นส่วน binary เช่น 111111000000 มีชุดตัวเลขซ้ำ 2 ชุด เพื่อทำให้ชิ้นส่วนเล็กลง อัลกอริทึมเขียนใหม่เป็น 6×1 6×0 ชิ้นส่วนที่กิน 12 หลัก กลายเหลือ 6 หลัก
กลไกของ Decompression Bomb คืออะไร?
Decompression bombs ประกอบด้วยรหัสที่สร้าง รูปแบบยาวมาก (extremely long patterns) ตัวอย่าง พูดว่า เขียน 1 ตามด้วยศูนย์ทริลลี่ยื่น เพื่อนอาจเริ่มเขียนศูนย์ตั้งแต่ศูนย์ ในขณะที่ตัวเลขจริงมีแค่ 7 หลัก
เช่นเดียวกัน decompression bombs อาจมีขนาด 5KB แต่สร้างไฟล์ใหญ่極端 (เช่น 10TB) มี 1000 GB ใน 1TB ค่าประมาณต่ำนี้ จริงๆ อาจถึง petabytes กระบวนการนี้คล้าย halting problem ในวิทยาการคอมพิวเตอร์ ไม่รู้ว่าจะหยุดประมวลผลเมื่อไหร่
ผลกระทบจากการเปิด Decompression Bomb
หากแอนตี้ไวรัสสแกน .zip หา decompression bomb โดยไม่มีอัลกอริทึมดี อาจ ค้าง (hang) สถานะกลายเป็น 『not responding』 เช่นเดียวกัน OS ปัจจุบันเปิดไฟล์ zip ได้ ระบบปฏิบัติการ ก็อาจ เสียหาย เวลาพยายามเปิด decompression bomb และก่อให้เกิดความเสียหายร้ายแรง
หากเปิดไฟล์ที่ติดป้าย decompression bomb และมันจริงๆ เป็น ระบบจะ ค้างทันที และพังท้ายที่สุด ทำให้สูญเสียข้อมูล ไวรัสและมัลแวร์หลายตัวใช้หลักการ decompression bomb ติดเชื้อคอมพิวเตอร์
กรณีไฟล์ติดป้ายว่าไม่ใช่ Decompression Bomb (False Alarm)
มีกรณีมากที่ไฟล์ติดป้าย decompression bomb โดยแอนตี้ไวรัส แต่จริงๆ ไม่ใช่ bomb อาจมี ลำดับตัวเลขสุ่ม เขียนไว้แบบที่แอนตี้ไวรัสคิดว่าเป็น bomb
หากต้องการแน่ใจว่าไฟล์ไม่ใช่ decompression bomb ควรสแกนหลายครั้งด้วยแอนตี้ไวรัสต่างๆ (Malwarebytes, AVG, Panda, Norton ฯลฯ) หากเป็นจริง ระบบเหล่านี้จะแจ้งเตือน
มีกรณีมากที่แอนตี้ไวรัสให้ false alarm False alarm ในศัพท์แอนตี้ไวรัส หมายถึง ไฟล์ติดป้ายเป็นภัยคุกคาม แต่จริงๆ ไม่ใช่ภัยคุกคาม สามารถ Google ชื่อไฟล์ ค้นหาผู้อื่นรายงานปัญหา หากแน่ใจว่าไม่ใช่ bomb ให้เพิ่มในรายการยกเว้นของแอนตี้ไวรัส และใช้งานต่อไปได้ตามต้องการ
ยังสามารถรัน Microsoft Safety Scanner บนคอมพิวเตอร์ Microsoft Safety Scanner เป็นเครื่องมือสแกนหาและลบมัลแวร์ จดจำว่า ซอฟต์แวร์นี้ ไม่ใช่ตัวแทน ของแอนตี้ไวรัสประจำ แต่ให้ virus definitions ล่าสุด และอาจช่วยทางออกในกรณีนี้
