8.3. Компьютерные вирусы.

Компьютерный вирус — это программный код, встроенный или в другую программу, или в документ, или в определенные области носителя данных и предназначенный для выполнения несанкционированных действий на компьютере.

Своим названием компьютерные вирусы обязаны определенному сходству с вирусами биологическими:

• способности к саморазмножению;

• высокой скорости распространения;

• избирательности поражаемых систем (каждый вирус поражает только определенные системы или однородные группы систем);

• наличию в большинстве случаев определенного инкубационного периода.

Компьютерные вирусы подразделяются на:

• программные люки;

• троянские кони;

• логические бомбы;

• файловые вирусы;

• загрузочные вирусы;

• макровирусы.

Люком называется не описанная в документации на программный продукт возможность работы с этим программным продуктом.

Сущность использования люков состоит в том, что при выполнении пользователем некоторых не описанных в документации действий он получает доступ к возможностям и данным, которые в обычных условиях для него закрыты (в частности, выход в привилегированный режим).

Троянским конем называются функции, реализуемые программой, но не описанные в документации.

Человек, знающий эту функцию, может заставить работать программу непредсказуемым для окружающих способом.

Логической бомбой называют участок программы, который реализует некоторые действия при наступлении определенных условий.

Эти условием может быть, например, наступление какой-то даты или появление какого-то имени файла.

Действиями могут быть удаление файла или посылка сообщений.

Файловые вирусы внедряются в:

• – выполняемые программы — файлы типа ЕХЕ и СОМ (вирус получает управление при запуске зараженной программы);

• – резидентные модули операционной системы и драйверы устройств с расширением SYS (активация вируса происходит при загрузке операционной системы);

• – объектные файлы и библиотеки, вирус из которых будет встраиваться в написанную пользователем программу при сборке выполняемой программы.

Процесс заражения вирусом программных файлов можно представить следующим образом. В зараженной программе код последней изменяется таким образом, чтобы вирус получил управление первым, до начала работы программы-вирусоносителя. При передаче управления вирусу он каким-либо способом находит новую программу и выполняет вставку собственной копии в начало или добавление ее в конец этой, обычно еще не зараженной, программы. Если вирус дописывается в конец программы, то он корректирует код программы, с тем чтобы получить управление первым. После этого управление передается программе-вирусоносителю, и та нормально выполняет свои функции. Более изощренные вирусы могут для получения управления изменять системные области накопителя (например, сектор каталога), оставляя длину и содержимое заражаемого файла без изменений.

Способы заражения делятся на резидентный и нерезидентный. Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращение операционной системы к объектам заражения и внедряется в них. Резидентные вирусы постоянно находятся в памяти и остаются активными вплоть до выключения или перезагрузки компьютера. Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольшие резидентные программы, которые не распространяют вирус. Такие вирусы тоже считаются нерезидентными.

Загрузочные вирусы. От файловых вирусов загрузочные вирусы отличаются методом распространения. Они поражают не программные файлы, а определенные системные области магнитных носителей (гибких и жестких дисков). На включенном компьютере они могут временно располагаться в оперативной памяти.

Обычно заражение происходит при попытке загрузки компьютера с магнитного носителя, системная область которого содержит загрузочный вирус. Так, например, при попытке загрузить компьютер с гибкого диска происходит сначала проникновение вируса в оперативную память, а затем в загрузочный сектор жестких дисков. Далее этот компьютер сам становится источником распространения загрузочного вируса.

Макровирусы. Эта особая разновидность вирусов поражает документы, выполненные в некоторых прикладных программах, имеющих средства для исполнения так называемых макрокоманд.

В частности, к таким документам относятся документы текстового процессора Microsoft Word. Заражение происходит при открытии файла документа в окне программы, если в ней не отключена возможность исполнения макрокоманд.

Признаками воздействий вирусов на компьютерную систему служат следующие:

• изменение даты создания и длины файла;

• пропажа файла;

• слишком частые обращения к диску;

• непонятные ошибки;

• “зависание” компьютера;

• самопроизвольная перезагрузка операционной системы;

• замедление работы процессора;

• появление неожиданных графических и звуковых эффектов;

• сообщения антивирусных программ.

Существуют три уровня защиты от компьютерных вирусов:

• предотвращение поступления вирусов;

• предотвращение вирусной атаки, если вирус все-таки поступил на компьютер;

• предотвращение разрушительных последствий, если атака все-таки произошла.

Существуют три метода реализации защиты:

• программные методы защиты;

• аппаратные методы защиты;

• организационные методы защиты.

В вопросе защиты ценных данных часто используют бытовой подход: “болезнь лучше предотвратить, чем лечить”.

Основным средством антивирусной защиты информации является резервное копирование наиболее ценных данных.

При резервировании данных необходимо отдельно сохранять все регистрационные и парольные данные для доступа к сетевым службам. Их не следует хранить на компьютере. Обычное место хранения - в сейфе руководителя подразделения.