Файлові віруси

Розглянемо тепер схему роботи простого файлового вірусу. На відміну від завантажувальних вірусів, які практично завжди резидентні, файлові віруси зовсім не обов'язково резидентні. Розглянемо схему функціонування нерезидентного файлового вірусу. Хай у нас є інфікований виконуваний файл. При запуску такого файла вірус одержує управління, проводить деякі дії і передає управління «господарю» (хоча ще невідомо, хто в такій ситуації господар).

Які ж дії виконує вірус? Він шукає новий об'єкт для зараження - відповідний по типу файл, який ще не заражений (в тому випадку, якщо вірус «пристойний», а то попадаються такі, що заражають відразу, нічого не перевіряючи). Заражаючи файл, вірус упроваджується в його код, щоб отримати управління при запуску цього файла. Окрім своєї основної функції - розмноження, вірус цілком може зробити що-небудь хитромудре (сказати, запитати, зіграти) - це вже залежить від фантазії автора вірусу. Якщо файловий вірус резидентний, то він встановиться в пам'ять і отримає можливість заражати файли і проявляти інші здібності не тільки під час роботи зараженого файла. Заражаючи виконуваний файл, вірус завжди змінює його код - отже, зараження виконуваного файла завжди можна знайти. Але, змінюючи код файла, вірус не обов'язково вносить інші зміни:

• він не зобов'язаний міняти довжину файла

• невживані ділянки коду

• не є зобов'язаний міняти початок файла

Нарешті, до файлових вірусів часто відносять віруси, які «мають деяке відношення до файлів», але не є зобов'язаний упроваджуватися в їх код. Розглянемо як приклад схему функціонування вірусів відомого сімейства Dir-II. Не можна не визнати, що з'явившись в 1991 р., ці віруси стали причиною справжньої епідемії чуми в Росії. Розглянемо модель, на якій ясно видно основна ідея вірусу. Інформація про файли зберігається в каталогах. Кожний запис каталога включає ім'я файла, дату і час створення, деяку додаткову інформацію, номер першого кластера файла і т.з. резервні байти. Останні залишені «про запас» і самій MS-DOS не використовуються.

При запуску виконуваних файлів система прочитує із запису в каталозі перший кластер файла і далі вся решта кластерів. Віруси сімейства Dir-II проводять наступну «реорганізацію» файлової системи: сам вірус записується в деякі вільні сектори диска, які він позначає як збійні. Крім того, він зберігає інформацію про перші кластери виконуваних файлів в резервних бітах, а на місце цієї інформації записує посилання на себе.

Таким чином, при запуску будь-якого файла вірус одержує управління (операційна система запускає його сама), резидентний встановлюється в пам'ять і передає управління викликаному файлу.

Завантажувально-файлові віруси

Ми не станемо розглядати модель завантажувально-файлового вірусу, бо ніякої нової інформації ви при цьому не взнаєте. Але тут представляється слушна нагода стисло обговорити украй «популярний» останнім часом завантажувально-файловий вірус OneHalf, що заражає головний завантажувальний сектор (MBR) і виконувані файли. Основна руйнівна дія - шифрування секторів вінчестера. При кожному запуску вірус шифрує чергову порцію секторів, а зашифрувавши половину жорсткого диска, радісно повідомляє про це. Основна проблема при лікуванні даного вірусу полягає в тому, що недостатньо просто видалити вірус з MBR і файлів, треба розшифрувати зашифровану їм інформацію. Сама «смертельна» дія - просто переписати новий здоровий MBR. Головне - не панікуйте. Зважте все спокійно, порадьтеся з фахівцями.

Поліморфні віруси

Більшість питань пов'язана з терміном «поліморфний вірус». Цей вид комп'ютерних вірусів представляється на сьогоднішній день самим небезпечним. Пояснимо ж, що це таке.

Поліморфні віруси - віруси, що модифікують свій код в заражених програмах таким чином, що два екземпляри одного і того ж вірусу можуть не співпадати ні в одному біті.

Такі віруси не тільки шифрують свій код, використовуючи різні шляхи шифрування, але і містять код генерації шифрувальника і розшифровує, що відрізняє їх від звичайних шифрувальних вірусів, які також можуть шифрувати ділянки свого коду, але мають при цьому постійний код шифрувальника і розшифровує.

Поліморфні віруси - це віруси з тими, що розшифровують, що самомодифікуються. Ціль такого шифрування: маючи заражений і оригінальний файли ви все одно не зможете проаналізувати його код за допомогою звичайного дизасемблювання. Цей код зашифрований і є безглуздим набором команд. Розшифровка проводиться самим вірусом вже безпосередньо під час виконання. При цьому можливі варіанти: він може розшифрувати себе всього відразу, а може виконати таку розшифровку «по ходу справи», може знов шифрувати вже відпрацьовані ділянки. Все це робиться ради скрути аналізу коду вірусу.