20. Загрузочные вирусы, классификация
Загрузочные вирусы заражают загрузочный (Boot) сектор флоппи-диска и Boot-сектор винчестера. При инфицировании диска вирус в большинстве случаев переносит оригинальный Boot-сектор (или MBR) в какой-либо другой сектор диска (например, в первый свободный). Если длина вируса больше длины сектора, то в заражаемый сектор помещается первая часть вируса, остальные части размещаются в других секторах (например, в первых свободных). Затем вирус копирует системную информацию, хранящуюся в первоначальном загрузчике в свои коды и записывает их в загрузочный сектор. программа системной загрузки считывает первый физический сектор загрузочного диска. В случае дискеты или компакт-диска управление получает boot-сектор, который анализирует таблицу параметров диска высчитывает адреса системных файлов операционной системы, считывает их в память и запускает на выполнение. В случае жесткого диска управление получает программа, расположенная в MBR. Этот вирус: - уменьшает объем свободной памяти (слово по адресу 0040:0013); - считывает с диска свое продолжение (если оно есть); - переносит себя в другую область памяти (например, в самые старшие адреса памяти); - устанавливает необходимые векторы прерываний; - совершает, если они есть, дополнительные действия; - копирует в память оригинальный Boot-сектор и передает на него управление.
Вопрос №21 (Макровирусы, общие сведения, расположение макровируса в файле)Макровирус — это вирусы, разработанные на макроязыках, встроенных в такие пакеты ПО, как Microsoft Office. Для своего размножения такие вирусы используют возможности макроязыков и при их помощи переносятся из одного зараженного файла в другие. Большая часть таких вирусов написана для MS Word.
Физическое расположение вируса внутри файла зависит от его формата, который в случае продуктов Microsoft чрезвычайно сложен: каждый файл-документ Word, Office 97 или таблица Excel представляют собой последовательность блоков данных (каждый из которых также имеет свой формат), объединенных между собой при помощи большого количества служебных данных. Структура файлов Word, Excel и Office напоминает усложненную файловую систему дисков DOS: «корневой каталог» файла-документа или таблицы указывает на основные подкаталоги различных блоков данных, несколько «таблиц FAT» содержат информацию о расположении блоков данных в документе и т. д.
Вопрос №22 (Макровирусы, принцип работы)
Макровирус — это вирусы, разработанные на макроязыках, встроенных в такие пакеты ПО, как Microsoft Office. Для своего размножения такие вирусы используют возможности макроязыков и при их помощи переносятся из одного зараженного файла в другие. Большая часть таких вирусов написана для MS Word.
Макрос - это программа, которая используется обычно для автоматизации определенных процессов внутри приложений.
Принцип работы
Как правило, макровирусы используют следующие приёмы работы:
В вирусе может присутствовать автомакрос(автофункция)
В вирусе переопределен один из стандартных системных макросов (ассоциированный с каким-либо пунктом меню)
Макрос вируса автоматически вызывается при нажатии на какую-либо клавишу или комбинацию клавиш
Вопрос №23 (Макровирусы, алгоритм работы Word и Excel макровирусов)
Макровирус — это вирусы, разработанные на макроязыках, встроенных в такие пакеты ПО, как Microsoft Office. Для своего размножения такие вирусы используют возможности макроязыков и при их помощи переносятся из одного зараженного файла в другие. Большая часть таких вирусов написана для MS Word.
Алгоритм работы макровирусов для Word и Excel
Большинство известных Word-вирусов при запуске переносят собственный код в область глобальных макросов документа.
При выходе из Word глобальные макросы (включая макросы вируса) автоматически записываются в DOT-файл глобальных макросов (обычно таким файлом является NORMAL.DOT). Таким образом, вирус активизируется в тот момент, когда Word грузит глобальные макросы.
Затем вирус переопределяет (или уже содержит в себе) один или несколько стандартных макросов и перехватывает таким образом команды работы с файлами. При вызове этих команд заражается файл, к которому идет обращение. Для этого вирус конвертирует файл в формат Template (что делает невозможными дальнейшие изменения формата файла, т. е. конвертирование в какой-либо не-Template формат) и записывает в файл свои макросы, включая Auto-макрос.
Другой способ внедрения вируса в систему базируется на так называемых «Add-in» файлах, т. е. файлах, являющихся служебными дополнениями к Word. В этом случае NORMAL.DOT не изменяется, а Word при запуске загружает макросы вируса из файла ,определенного как «Add-in».
Вопрос №24 (Сетевые вирусы)
К сетевым вирусам относятся вирусы, которые для своего распространения активно используют протоколы и возможности локальных и глобальных сетей. Основным принципом работы сетевого вируса является возможность самостоятельно передавать свой код на удаленный сервер или рабочую станцию.
Наибольшую известность приобрели сетевые вирусы, называемые сетевыми червями (червь Морриса). Первые сетевые вирусы не изменяли файлы или сектора на дисках. Они вычисляли сетевые адреса других компьютеров и рассылали по этим адресам свои копии.
Следующее поколение сетевых вирусов для своего размножения использовали возможности электронной почты.
Вопрос №25 (Троянские кони (логические бомбы))
Это программы, носящие какие-либо разрушительные действия, т.е. зависимость от определенных условий или при каждом запуске, выполняющая диструктивные действия. Подовляющее их большинство подделываются под какие-либо полезные программы, новые версии популярных утилит или доролнения к ним.
К троянским коням так же можно отнести «дроппер» вирус – зараженные файлы код которых подправлен таким образом, что известная версия антивирусов не определяет вирусов в файле.
Следует отметить «злые шутки» - программы не причиняющие вреда, но выводящие об этом сообщение.
Вопрос №26 (intended-вирусы)
Intended-вирусы. К таким вирусам относятся программы, которые на первый взгляд являются стопроцентными вирусами, но не способны размножаться по причине ошибок. Например, вирус, который при заражении "забывает" поместить в начало файлов команду передачи управления на код вируса, либо записывает в нее неверный адрес своего кода, либо неправильно устанавливает адрес перехватываемого прерывания (что в подавляющем большинстве случаев завешивает компьютер) и т. д.
Вопрос №27 конструкторы вирусов
Программы, предназначенные для изготовления новых компьютерных вирусов, червей и троянских программ. Подобные программы позволяют генерировать исходные тексты вредоносных программ, объектные модули и непосредственно зараженные файлы.
Некоторые конструктороы (VLC, NRLG) снабжены стандартным оконным интерфейсом, где при помощи системы меню можно выбрать тип вируса, поражаемые объекты (COM и/или EXE), наличие или отсутствие самошифровки, противодействие отладчику, выбрать эффекты, сопровождающие работу вируса и т.п