1. Классические вирусы

Начало заражения инициирует пользователь — он запускает файл с вирусом. Делятся на компилируемые и на интерпретируемые.

Для затруднения детектирования антивирусами, вирусы могут использовать техники сокрытия своего кода (обфускация):

• Полиморфизм = самошифрование своего кода (на случайных ключах, в несколько заходов, в несколько алгоритмов) — при запуске код самого вируса расшифровывается и он всегда один и тот же;

• Метаморфизм — вирусы полностью меняют свой код при создании новой копии: в них добавляется и удаляется куча ненужного (ничего не делающего) кода, происходит перемешивание блоков и т.п.;

• Стелс-техники — позволяют полностью (частично) скрыть присутствие вируса в системе — например, вирус может перехватывать обращения ОС к зараженным файлам и подменять возвращаемые данные (например, о размере файла, о списке запущенных процессов);

• Самозащита — противодействуют антивирусам, людям, занимающихся их отладкой;

• Туннелирование — вирусы действуют на очень низком системном уровне — между ОС и антивирусом, препятствуя попыткам их детектирования (создают себе «туннель» для работы).

1.1. Компилируемые вирусы

Обычные программы, исполняемые непосредственно в ОС. Делятся на:

• файловые (добавляют свой код в исполняемые файлы);

• загрузочные (заражают загрузочную запись винтов (MBR) или загрузочный сектор съемных накопителей);

• смешанные (файловые+загрузочные).

Вирусы бывают резидентными (постоянно в оперативке) и нерезидентными (запуск только с зараженным файлом).

1.2. Интерпретируемые вирусы

Представляют из себя исходный код, который может исполняться только в среде отдельных приложений. Делятся на макровирусы и скриптовые вирусы.

1.2.1. Макровирусы

Один из самых распространенных типов вирусов. Написаны на макро-языках популярных приложений (в основном офисных — Microsoft Office, например) и распространяются в создаваемых в этих приложениях документах. Заражение происходит в момент открытия документа (ворд или экселевская таблица). Вообще макро-языки созданы для автоматизации рутинных задач по обработке текстов, таблиц и иных данных.

Один из сценариев заражения: пользователь открывает зараженный документ; происходит исполнение кода вируса, который добавляет себя в файл-темплейт для новых документов (например вордовских); т.о., все вновь создаваемые пользователем ворды будут уже содержать код вируса.

1.2.2. Скриптовые вирусы

Схожи с макровирусами по идее. Отличие в том, что макровирусы пишутся на языке, «понимаемом» одним конкретным приложением (Офис например), а скриптовые — на языке, «понимаемом» специальными системными программами (сервисами).

Грубо говоря, макро-язык — фича отдельной программы, а скриптовый язык — самостоятельный язык программирования. Например, вирусы на языке VBScript (Visual Basic Script), могут исполняться силами встроенного в Windows сервиса Windows Scripting Host.

2. Сетевые черви (worms)

Проникают на компьютер-жертву без участия пользователя, используя т.н. «дыры» (уязвимости) в ПО ОС, чтобы проникнуть на компьютер. Уязвимости позволяют удаленно загрузить и выполнить машинный код, в результате чего червь попадает в ОС и, как правило, начинает действия по заражению других компьютеров через локальную сеть или Интернет. Злоумышленники используют заражённые компьютеры пользователей для рассылки спама или для DDoS-атак.

Бывают почтовыми (по e-mail тех, с кем вы общались по почте), IM-worms (по контакт-листу аськи), IRC-worms, p2p-worms и др.