Основні види вірусів і схеми їх функціонування

Серед всієї різноманітності вірусів можна виділити наступні основні групи:

• завантажувальні

• файлові

• файлово-завантажувальні

Тепер детальніше про кожну з цих груп.

Завантажувальні віруси

Розглянемо схему функціонування дуже простого завантажувального вірусу, що заражає дискети. Ми свідомо обійдемо всю численну тонкість, яка неминуче зустрілася б при строгому розборі алгоритму його функціонування.

Що відбувається, коли ви включаєте комп'ютер? Насамперед управління передається програмі початкового завантаження, яке зберігається в пристрої (ПЗП), що постійно запам'ятовує, тобто ПНЗ ПЗП.

Ця програма тестує устаткування і при успішному завершенні перевірок намагається знайти дискету в дисководі А:

Будь-яка дискета розмічена на т.з. сектори і доріжки. Сектори об'єднуються в кластери, але це для нас неістотно.

Серед секторів є декількох службових, що використовується операційною системою для власних потреб (в цих секторах не можуть розміщуватися ваші дані). Серед службових секторів нас поки цікавить один - т.з. сектор початкового завантаження (boot-sector).

В секторі початкового завантаження зберігається інформація про дискету - кількість поверхонь, кількість доріжок, кількість секторів і ін. Але нас зараз цікавить не ця інформація, а невелика програма початкового завантаження (ПНЗ), яке повинне завантажити саму операційну систему і передати їй управління.

Таким чином, нормальна схема початкового завантаження наступна:

ПНЗ (ПЗП) - ПНЗ (диск) - СИСТЕМА

Тепер розглянемо вірус. В завантажувальних вірусах виділяють дві частини - т.з. голову і т.з. хвіст. Хвіст, взагалі кажучи, може бути порожнім.

Хай у вас є чиста дискета і заражений комп'ютер, під яким ми розуміємо комп'ютер з активним резидентним вірусом. Як тільки цей вірус знайде, що в дисководі з'явилася відповідна жертва - в нашому випадку не захищена від запису і ще не заражена дискета, він приступає до зараження. Заражаючи дискету, вірус проводить наступні дії:

• виділяє деяку область диска і позначає її як неприступну операційній системі, це можна зробити по-різному, в найпростішому і традиційному випадку зайняті вірусом сектори позначаються як збійні (bad)

• копіює у виділену область диска свій хвіст і оригінальний (здоровий) завантажувальний сектор

• заміщає програму початкового завантаження в завантажувальному секторі (теперішньому часі) своєю головою

• організовує ланцюжок передачі управління згідно схемі.

Таким чином, голова вірусу тепер першої одержує управління, вірус встановлюється в пам'ять і передає управління оригінальному завантажувальному сектору. В ланцюжку ПНЗ (ПЗП) - ПНЗ (диск) – СИСТЕМА з'являється нова ланка:

ПНЗ (ПЗП) - ВІРУС - ПНЗ (диск) - СИСТЕМА

Ми розглянули схему функціонування простого вірусу, що живе в завантажувальних секторах дискет. Як правило, віруси здатні заражати не тільки завантажувальні сектори дискет, але і завантажувальні сектори вінчестерів. При цьому на відміну від дискет на вінчестері є два типи завантажувальних секторів, що містять програми початкового завантаження, які одержують управління. При завантаженні комп'ютера з вінчестера першої бере на себе управління програма початкового завантаження в MBR (Master Boot Record - головний завантажувальний запис). Якщо ваш жорсткий диск розбитий на декілька розділів, то лише один з них помічений як завантажувальний (boot). Програма початкового завантаження в MBR знаходить завантажувальний розділ вінчестера і передає управління на програму початкового завантаження цього розділу. Код останньої співпадає з кодом програми початкового завантаження, що міститься на звичайних дискетах, а відповідні завантажувальні сектори відрізняються тільки таблицями параметрів. Таким чином, на вінчестері є два об'єкти атаки завантажувальних вірусів - програма початкового завантаження в MBR і програма початкового завантаження в бут-секторі завантажувального диска.