Характеристика видов компьютерных вирусов

  3.2. Файловые вирусы

  Рассмотрим  теперь схему работы простого файлового  вируса. В отличие от загрузочных  вирусов, которые практически всегда резидентны, файловые вирусы совсем не обязательно резидентны. Рассмотрим схему функционирования нерезидентного файлового вируса. Пусть у нас  имеется инфицированный исполняемый  файл. При запуске такого файла  вирус получает управление, производит некоторые действия и передает управление "хозяину" (хотя еще неизвестно, кто в такой ситуации хозяин).

  Какие же действия выполняет вирус? Он ищет новый объект для заражения - подходящий по типу файл, который еще не заражен (в том случае, если вирус "приличный", а то попадаются такие, что заражают сразу, ничего не проверяя). Заражая  файл, вирус внедряется в его код, чтобы получить управление при запуске  этого файла. Кроме своей основной функции - размножения, вирус вполне может сделать что-нибудь замысловатое (сказать, спросить, сыграть) - это уже  зависит от фантазии автора вируса. Если файловый вирус резидентный,, то он установится в память и получит  возможность заражать файлы и  проявлять прочие способности не только во время работы зараженного  файла. Заражая исполняемый файл, вирус всегда изменяет его код - следовательно, заражение исполняемого файла всегда можно обнаружить. Но, изменяя код файла, вирус не обязательно вносит другие изменения:

  он  не обязан менять длину файла

  неиспользуемые  участки кода

  не  обязан менять начало файла

  Наконец, к файловым вирусам часто относят  вирусы, которые "имеют некоторое  отношение к файлам", но не обязаны  внедряться в их код. Рассмотрим в  качестве примера схему функционирования вирусов известного семейства Dir-II. Нельзя не признать, что появившись в 1991 г., эти вирусы стали причиной настоящей эпидемии чумы в России. Рассмотрим модель, на которой ясно видна основная идея вируса. Информация о файлах хранится в каталогах. Каждая запись каталога включает в себя имя  файла, дату и время создания, некоторую  дополнительную информацию, номер первого  кластера файла и т.н. резервные  байты. Последние оставлены "про  запас" и самой MS-DOS не используются.[1;с27] 

  3.3 Загрузочно-файловые вирусы

  Мы  не станем рассматривать модель загрузочно-файлового  вируса, ибо никакой новой информации вы при этом не узнаете. Но здесь  представляется удобный случай кратко обсудить крайне "популярный" в  последнее время загрузочно-файловый вирус OneHalf, заражающий главный загрузочный  сектор (MBR) и исполняемые файлы. Основное разрушительное действие - шифрование секторов винчестера. При каждом запуске  вирус шифрует очередную порцию секторов, а зашифровав половину жесткого диска. Основная проблема при лечении  данного вируса состоит в том, что недостаточно просто удалить  вирус из MBR и файлов, надо расшифровать зашифрованную им информацию. Наиболее "смертельное" действие - просто переписать новый здоровый MBR. Главное - не паникуйте. Взвесьте все спокойно, посоветуйтесь со специалистами.

  3.4 Полиморфные вирусы

  Большинство вопросов связано с термином "полиморфный  вирус". Этот вид компьютерных вирусов  представляется на сегодняшний день наиболее опасным. Объясним же, что  это такое.

  Полиморфные вирусы - вирусы, модифицирующие свой код  в зараженных программах таким образом, что два экземпляра одного и того же вируса могут не совпадать ни в одном бите.

  Такие вирусы не только шифруют свой код, используя различные пути шифрования, но и содержат код генерации шифровщика и расшифровщика, что отличает их от обычных шифровальных вирусов, которые  также могут шифровать участки  своего кода, но имеют при этом постоянный код шифровальщика и расшифровщика.

  Полиморфные вирусы - это вирусы с самомодифицирующимися  расшифровщиками. Цель такого шифрования: имея зараженный и оригинальный файлы  вы все равно не сможете проанализировать его код с помощью обычного дизассемблирования. Этот код зашифрован и представляет собой бессмысленный  набор команд. Расшифровка производится самим вирусом уже непосредственно  во время выполнения. При этом возможны варианты: он может расшифровать себя всего сразу, а может выполнить  такую расшифровку "по ходу дела", может вновь шифровать уже  отработавшие участки. Все это делается ради затруднения анализа кода вируса.[1;с 29] 
 
 
 
 
 
 
 
 

  4. ИСТОРИЯ КОМПЬЮТЕРНОЙ ВИРУСОЛОГИИ

  И ПРИЧИНЫ ПОЯВЛЕНИЯ ВИРУСОВ 

  История компьютерной вирусологии представляется сегодня постоянной "гонкой за лидером", причем, не смотря на всю мощь современных  антивирусных программ, лидерами являются именно вирусы. Среди тысяч вирусов  лишь несколько десятков являются оригинальными  разработками, использующими действительно  принципиально новые идеи. Все  остальные - "вариации на тему". Но каждая оригинальная разработка заставляет создателей антивирусов приспосабливаться  к новым условиям, догонять вирусную технологию. Последнее можно оспорить. Например, в 1989 году американский студент  сумел создать вирус, который  вывел из строя около 6000 компьютеров  Министерства обороны США. Или эпидемия известного вируса Dir-II, разразившаяся  в 1991 году. Вирус использовал действительно  оригинальную, принципиально новую  технологию и на первых порах сумел  широко распространиться за счет несовершенства традиционных антивирусных средств.[2;с 45]

  Или всплеск компьютерных вирусов в  Великобритании : Кристоферу Пайну  удалось создать вирусы Pathogen и Queeq, а также вирус Smeg. Именно последний  был самым опасным, его можно  было накладывать на первые два вируса, и из-за этого после каждого  прогона программы они меняли конфигурацию. Поэтому их было невозможно уничтожить. Чтобы распространить вирусы, Пайн скопировал компьютерные игры и  программы, заразил их, а затем  отправил обратно в сеть. Пользователи загружали в свои компьютеры, зараженные программы и инфицировали диски. Ситуация усугубилась тем, что Пайн умудрился занести вирусы и в программу, которая с ними борется. Запустив ее, пользователи вместо уничтожения вирусов получали еще один. В результате этого были уничтожены файлы множества фирм, убытки составили миллионы фунтов стерлингов. 

5. ПРИЗНАКИ  ПОЯВЛЕНИЯ ВИРУСОВ 

  При заражении компьютера вирусом важно  его обнаружить. Для этого следует  знать об основных признаках проявления вирусов. К ним можно отнести  следующие:

  прекращение работы или неправильная работа ранее  успешно функционировавших программ

  медленная работа компьютера

  невозможность загрузки операционной системы

  исчезновение  файлов и каталогов или искажение  их содержимого

  изменение даты и времени модификации файлов

  изменение размеров файлов

  неожиданное значительное увеличение количества файлов на диске

  существенное  уменьшение размера свободной оперативной  памяти

  вывод на экран непредусмотренных сообщений  или изображений

  подача  непредусмотренных звуковых сигналов

  частые  зависания и сбои в работе компьютера

  Следует отметить, что вышеперечисленные  явления необязательно вызываются присутствием вируса, а могут быть следствием других причин. Поэтому  всегда затруднена правильная диагностика  состояния компьютера.[2;с 52] 
 
 
 
 
 
 
 
 

  6. Как обнаружить вирус? Традиционный подход 

  Итак, некий вирусописатель создает вирус  и запускает его в"жизнь". Некоторое время он, возможно, погуляет вволю, но рано или поздно "лафа" закончится. Кто-то заподозрит что-нибудь неладное. Как правило, вирусы обнаруживают обычные пользователи, которые замечают те или иные аномалии в поведении  компьютера. Они, в большинстве случаев, не способны самостоятельно справиться с заразой, но этого от них и  не требуется.

  Необходимо  лишь, чтобы как можно скорее вирус  попал в руки специалистов. Профессионалы  будут его изучать, выяснять, "что  он делает", "как он делает", "когда он делает" и пр. В  процессе такой работы собирается вся  необходимая информация о данном вирусе, в частности, выделяется сигнатура  вируса - последовательность байтов, которая  вполне определенно его характеризует. Для построения сигнатуры обычно берутся наиболее важные и характерные  участки кода вируса. Одновременно становятся ясны механизмы работы вируса, например, в случае загрузочного вируса важно знать, где он прячет свой хвост, где находится оригинальный загрузочный  сектор, а в случае файлового - способ заражения файла. Полученная информация позволяет выяснить:

  как обнаружить вирус, для этого уточняются методы поиска сигнатур в потенциальных  объектах вирусной атаки - файлах и \ или  загрузочных секторах

  как обезвредить вирус, если это возможно, разрабатываются алгоритмы удаления вирусного кода из пораженных объектов.[3;с 43] 

  6.1 Программы обнаружения и защиты от вирусов

  Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько  видов специальных программ, которые  позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными. Различают следующие  виды антивирусных программ:

  программы-детекторы

  программы-доктора  или фаги

  программы-ревизоры

  программы-фильтры

  программы-вакцины  или иммунизаторы

  Программы-детекторы  осуществляют поиск характерной  для конкретного вируса сигнатуры  в оперативной памяти и в файлах и при обнаружении выдают соответствующее  сообщение. Недостатком таких антивирусных программ является то, что они могут  находить только те вирусы, которые  известны разработчикам таких программ.

  Программы-доктора  или фаги, а также программы-вакцины  не только находят зараженные вирусами файлы, но и "лечат" их, т.е. удаляют  из файла тело программы-вируса, возвращая  файлы в исходное состояние. В  начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая  их, и только затем переходят к "лечению" файлов. Среди фагов  выделяют полифаги, т.е. программы-доктора, предназначенные для поиска и  уничтожения большого количества вирусов. Наиболее известные из них: Aidstest, Scan, Norton AntiVirus, Doctor Web.

  Учитывая, что постоянно появляются новые  вирусы, программы-детекторы и программы-доктора  быстро устаревают, и требуется регулярное обновление версий.[3;с 45]

  Программы-ревизоры относятся к самым надежным средствам  защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов  и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию  пользователя сравнивают текущее состояние  с исходным. Обнаруженные изменения  выводятся на экран монитора. Как  правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются  длина файла, код циклического контроля (контрольная сумма файла), дата и  время модификации, другие параметры. Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс-вирусы и могут даже очистить изменения версии проверяемой программы от изменений, внесенных вирусом. К числу программ-ревизоров относится широко распространенная в России программа Adinf.

  Программы-фильтры  или "сторожа" представляют собой  небольшие резидентные программы, предназначенные для обнаружения  подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:

  попытки коррекции файлов с расширениями COM, EXE

  изменение атрибутов файла

  прямая  запись на диск по абсолютному адресу

  запись  в загрузочные сектора диска

  загрузка  резидентной программы

  При попытке какой-либо программы произвести указанные действия "сторож" посылает пользователю сообщение и предлагает запретить или разрешить соответствующее  действие. Программы-фильтры весьма полезны, так как способны обнаружить вирус на самой ранней стадии его  существования до размножения. Однако, они не "лечат" файлы и диски. Для уничтожения вирусов требуется  применить другие программы, например фаги. К недостаткам программ-сторожей можно отнести их "назойливость"(например, они постоянно выдают предупреждение о любой попытке копирования  исполняемого файла), а также возможные  конфликты с другим программным  обеспечением. Примером программы-фильтра  является программа Vsafe, входящая в  состав пакета утилит MS DOS.[4;с 78]

  Вакцины или иммунизаторы - это резидентные  программы, предотвращающие заражение  файлов. Вакцины применяют, если отсутствуют  программы-доктора, "лечащие" этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины  имеют ограниченное применение.