Вирусы

Если  вы замечаете, что с компьютером  происходит подобное то, с большой  степенью вероятности, можно предположить, что ваш компьютер поражен  вирусом.

Кроме того, есть некоторые характерные  признаки поражения вирусом через  электронную почту:

• друзья или знакомые говорят вам о сообщениях от вас, которые вы не отправляли;
• в вашем почтовом ящике находится большое количество сообщений без обратного адреса и заголовка.

Следует отметить, что не всегда такие признаки вызываются присутствием вирусов. Иногда они могут быть следствием других причин. Например, в случае с почтой зараженные сообщения могут рассылаться с вашим обратным адресом, но не с вашего компьютера.

Есть  также косвенные признаки заражения  вашего компьютера:

• частые зависания и сбои в работе компьютера;
• медленная работа компьютера при запуске программ;
• невозможность загрузки операционной системы;
• исчезновение файлов и каталогов или искажение их содержимого;
• частое обращение к жесткому диску (часто мигает лампочка на системном блоке);
• интернет-браузер «зависает» или ведет себя неожиданным образом (например, окно программы невозможно закрыть).

В 90% случаев  наличие косвенных симптомов  вызвано сбоем в аппаратном или  программном обеспечении. Несмотря на то, что подобные симптомы с малой вероятностью свидетельствуют о заражении, при их появлении рекомендуется провести полную проверку вашего компьютера установленной на нем антивирусной программой. В случае отсутствия таковой, можно скачать и установить пробную версию Антивируса Касперского Personal или Drweb`а, которая будет полностью работоспособна две недели с момента установки.

 

                  Как работает вирус?

      Рассмотрим  схему функционирования очень простого загрузочного вируса, заражающего дискеты.

      Что  происходит, когда вы включаете компьютер? Первым делом управление передается программе начальной загрузки, которая хранится в постоянно запоминающем устройстве (ПЗУ) т.е. ПНЗ ПЗУ.

      Эта программа тестирует оборудование и при успешном завершении проверок пытается найти дискету в дисководе  А:

      Всякая дискета размечена на т.н. секторы и дорожки. Секторы объединяются в кластеры, но это для нас несущественно.

      Среди секторов есть несколько служебных, используемых операционной системой для  собственных нужд (в этих секторах  не могут размещаться ваши данные). Среди служебных секторов нас пока интересует один - т.н. сектор начальной загрузки (boot-sector).

      В секторе начальной загрузки хранится информация о дискете - количество поверхностей, количество дорожек, количество секторов и пр. Но нас сейчас интересует не эта информация, а небольшая программа начальной загрузки (ПНЗ), которая должна загрузить саму операционную систему и передать ей управление.

      Таким образом, нормальная схема начальной  загрузки следующая:

      ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

      Теперь  рассмотрим вирус. В загрузочных вирусах выделяют две части - т.н. голову и т.н. хвост. Хвост, вообще говоря, может быть пустым.

      Пусть у вас имеются чистая дискета  и зараженный компьютер, под которым  мы понимаем компьютер с активным резидентным вирусом. Как только этот вирус обнаружит, что в дисководе появилась подходящая жертва - в нашем случае не защищенная от записи и еще не зараженная дискета, он приступает к заражению. Заражая дискету, вирус производит следующие действия:

• выделяет некоторую область диска и помечает ее как недоступную операционной системе, это можно сделать по-разному, в простейшем и традиционном случае занятые вирусом секторы помечаются как сбойные (bad)
• копирует в выделенную область диска свой хвост и оригинальный (здоровый) загрузочный сектор
• замещает программу начальной загрузки в загрузочном секторе (настоящем) своей головой
• организует цепочку передачи управления согласно схеме.

      Таким образом, голова вируса теперь первой получает управление, вирус устанавливается  в память и передает управление оригинальному загрузочному сектору. В цепочке

      ПНЗ (ПЗУ) - ПНЗ (диск) - СИСТЕМА

      появляется  новое звено:

      ПНЗ (ПЗУ) - ВИРУС - ПНЗ (диск) - СИСТЕМА

      Мы  рассмотрели схему функционирования простого бутового вируса, живущего в  загрузочных секторах дискет. Как правило, вирусы способны заражать не только загрузочные секторы  дискет, но и загрузочные секторы винчестеров. При этом в отличие от дискет на винчестере имеются два типа загрузочных секторов, содержащих программы начальной загрузки, которые получают управление. При загрузке компьютера с винчестера первой берет на себя управление программа начальной загрузки в MBR (Master Boot Record - главная загрузочная запись). Если ваш жесткий диск разбит на несколько разделов, то лишь один из них помечен как загрузочный (boot). Программа начальной загрузки в MBR находит загрузочный раздел винчестера и передает управление на программу начальной загрузки этого раздела. Код последней совпадает с кодом программы начальной загрузки, содержащейся на обычных дискетах, а соответствующие  загрузочные секторы отличаются только таблицами параметров. Таким образом, на винчестере имеются два объекта атаки загрузочных вирусов - программа начальной загрузки в MBR и программа начальной загрузки boot-секторе загрузочного диска. 

                  Свойства вирусов.

    Вирус – едва ли не главный враг компьютера. Крохотные зловредные программки могут  в одночасье испортить плоды  вашего многомесячного труда, уничтожить текстовые файлы и электронные  таблицы, а то и вообще испортить  файловую систему на жёстком диске…

    К сожалению, некоторые авторитетные издания  время от времени публикуют «самые свежие новости с компьютерных фронтов», которые при ближайшем  рассмотрении оказываются следствием не вполне ясного понимания предмета.

    Прежде  всего, вирус - это программа. Вирус может перевернуть изображение на вашем мониторе, но не может перевернуть сам монитор. К легендам о вирусах-убийцах, «уничтожающих операторов посредством вывода на экран смертельной цветовой  гаммы 25-м кадром» также не стоит относиться серьезно.

     Ведут себя компьютерные вирусы точно так же, как вирусы живые: они прячут свой код в теле «здоровой» программы и при каждом её запуске активируются и начинают бурно «размножаться», бесконтрольно распространяясь по всему компьютеру.

     Это – одна сторона деятельности вируса. Не самая страшная, кстати. Если бы вирус просто размножался, не мешая работе программ, то с ним, наверное, не стоило бы и связываться. Тем более, что значительное число существующих вирусов принадлежит именно к этой, относительно безвредной категории.

     Но, помимо размножения, у вируса есть ещё  и другое «хобби» - разрушать и  пакостить. Степень «пакостности»  вируса может быть разная – одни ограничиваются тем, что выводят  на экран навязчивую картинку, мешающую вашей работе, другие, особо не раздумывая, полностью уничтожают данные на жёстком диске.

     К счастью, такие «жестокие» вирусы встречаются  нечасто. Во всяком случае, лично я  столкнулся с такой заразой только однажды. Но, может быть, мне просто повезло?

     В любом  случае, реальный вред от вирусов сегодня куда больше, чем, скажем, от нашумевшей на весь мир «ошибки 2000 года». Жаль только, что в отличие от этого «мыльного пузыря»  вирусы не испытывают желания враз покинуть наш грешный мир с приходом нового тысячелетия. И нет надежды справиться с ними окончательно в какие-то обозримые сроки – ибо таланту авторов антивирусных программ противостоит извращённая фантазия компьютерных графоманов.

     Ведь  написать вирус – задача не сильно сложная. Студенческих мозгов и умения, во всяком случае, на это хватает. А  если ещё и студент талантливый попадётся – будет созданная им «зараза» гулять по миру в течение долгих лет.

     Вообще-то век вируса недолог. Антивирусные программы, в отличие от него, бедолаги, умнеют не по дням, а по часам. И вирус, ещё  вчера казавшийся неуловимым, сегодня моментально удаляется и обезвреживается. Потому и трудно найти сегодня вирусы, чей возраст превышает год-два – остальные уже давно сохранились лишь в коллекциях.

     Сегодня науке известно около 100 тысяч компьютерных вирусов – маленьких вредоносных программок, следующих в своей жизни только трём заповедям – Плодиться, Прятаться и Портить.

     Как и обычные вирусы, вирусы компьютерные – паразиты, для размножения им нужен «носитель»-хозяин, здоровая программа или документ, в тело которой они прячут участки своего программного кода. Сам вирус невелик – его размер редко измеряется килобайтами. Однако натворить эта «кроха» может немало. В тот момент, когда вы, ничего не подозревая, запускаете на своём компьютере заражённую программу или открываете документ, вирус активизируется и заставляет компьютер следовать не вашим, а его, вируса, инструкциям. И – прости прощай, ваша любимая информация! Быть ей удалённой, причём чаще всего – безвозвратно. Мало того, современные вирусы исхитряются портить не только программы, но и «железо». Например, вчистую уничтожают содержимое BIOS материнской платы или калечат жёсткий диск.

     А стоит  за всем этим… простое человеческое тщеславие, глупость и инстинктивная  тяга к разрушению. Мы умиляемся, видя сосредоточенно изничтожающего песчаный замок или старый журнал ребёнка, - а позднее такие вот подросшие, но так и не выросшие дети калечат наши компьютеры.

     …А  началась эта история ни много  ни мало – лет тридцать назад. Именно тогда, в конце 60-х, когда о «персоналках»  можно было прочитать лишь в фантастических романах, в нескольких «больших» компьютерах, располагавшихся в крупных исследовательских центрах США, обнаружились очень необычные программы. В отличие от программ нормальных, послушно ходивших «по струнке» и выполнявших все распоряжения человека, эти гуляли сами по себе. Занимались в недрах компьютера какими-то понятными только им делами, по ходу дела сильно замедляя работу компьютера. Хорошо хоть, что ничего при этом не портили и не размножались.

     Однако  продлилось это недолго. Уже в 70-х годах были зарегистрированы первые настоящие вирусы, способные к размножению и даже получившие свои собственные имена: большой компьютер Univac 1108 «заболел» вирусом Pervading Animal, а на компьютерах из славного семейства IBM-360/370 поселился вирус Christmas tree.

     К 1980-м  годам число активных вирусов  измерялось уже сотнями. А появление  и распространение персональных компьютеров породило настоящую  эпидемию – счёт вирусов пошёл  на тысячи. Правда, термин «компьютерный  вирус» появился только в 1984 году: впервые его использовал в своём докладе на конференции по информационной безопасности сотрудник Лехайского Университета США Ф. Коэн.

     Первые  «персоналочные» вирусы были существами простыми и неприхотливыми – особо  от пользователей не скрывались, «скрашивали» своё разрушительное действие (удаление файлов, разрушение логической структуры диска) выводимыми на экран картинками и каверзными «шутками»: «Назовите точную высоту горы Килиманджаро в миллиметрах! При введении неправильного ответа все данные на вашем винчестере будут уничтожены!!!». Выявить такие вирусы было нетрудно: они «приклеивались» к исполняемым (*.com или *.exe) файлам, изменяя их оригинальные размеры, - чем и пользовались первые антивирусы, успешно выявлявшие нахалов.

     Позднее вирусы стали хитрее – они научились маскироваться, запрятывая свой программный код в таких потаённых уголках, до которых, как им казалось, ни один антивирус добраться не мог. Поначалу – действительно, не добирались. Потому и назывались такие вирусы «невидимками» (stealth).

     Казалось, фантазия вирусописателей наконец-то истощилась. И когда против stealth-вирусов было наконец-то найдено «противоядие», компьютерный народ вздохнул с облегчением. А всё ещё только начиналось…

 

              Классификация вирусов.

      Один  из авторитетнейших «вирусологов» страны Евгений Касперский предлагает условно классифицировать вирусы  по следующим признакам :

• по среде обитания вируса
• по способу заражения среды обитания
• по деструктивным возможностям
• по особенностям алгоритма вируса.

Более подробную классификацию внутри этих  групп можно представить примерно так :