Компьютерные вирусы и средства активной защиты

Компьютерные вирусы и средства активной защиты

1. Определение компьютерных вирусов.

В соответствии с классическим определением вирусы являются не самостоятельной программой, а некоторым программным кодом, который внедряется в исполняемые модули и является некоторым «паразитом» на программе-хозяине. Деятельность компьютерных вирусов очень напоминает деятельность биологических вирусов в природе. При активизации программы-хозяина, активизируется и вирус, который может заразить другую исполняемую программу. Так вирусы могут быстро размножаться в программной среде. При размножении они могут портить программные коды, выводить из строя устройства или компьютерную систему. Есть безвредные вирусы. Но в любом случае вирусы потребляют вычислительные ресурсы и затрудняют контроль пользователя за вычислительным комплексом.

2. Деструктивные возможности вирусов.

Вирусы могут нанести различные повреждения вычислительной системы и данным пользователя. Так как вирус является некоторым чужеродным кодом, внедренным в исполняемую программу, то ее нормальное выполнение прерывается, и начинает выполняться код вируса. В зависимости от этого кода определяются деструктивные возможности вируса. Многие вирусы не умеют возвращаться в нужную точку прерванной программы и эта программа перестает правильно функционировать. Если в вирусе последняя строчка пустая, то она может быть воспринята как команда «halt» и компьютер может остановиться.

По деструктивным возможностям кода вирусы разделят на

• безвредные, которые не разрушают данные и не выполнят вредных воздействий на другие программы и устройства;

• неопасные, которые уменьшают свободные ресурсы вычислительной системы, могут сопровождаться звуковыми или графическими эффектами;

• опасные вирусы, которые приводят к потере данных, выходу из строя программ и аппаратуры;

• очень опасные, код вируса может привести к потере программ, потере данных, перепрограммированию некоторых устройств, выводу из строя операционной системы и других вычислительных ресурсов.

3. Классификация вирусов.

Существуют несколько классификаций вирусов. Классификации разрабатываются в соответствии с признаком, одним или несколькими, который помогает описывать целую группу вирусов, помогает помещать в уже существующую систему классификации новый вирус. Например, можно проводить классификацию по, рассмотренным выше, деструктивными возможностями, наиболее используемая классификация по местонахождению вирусов, их размещению и возможности их модифицироваться (шифроваться). Популярная на западе классификация типов вирусов выглядит так:

• Com – вирусв исполнительном файле;

• Tsr – резидентный вирус;

• Exe – вирус в исполнительных файлах типа exe;

• Bat – вирус в командном файле;

• Sys – вирус в системных файлах;

• Boot – вирус в загрузочной области;

• Macro – макро вирус в макрокомандах, в основном поражает документы MSOffice и электронной почты;

• Stealth – маскирующийся вирус;

• Polymorphic – нова копия вируса шифруется;

• Worm – червь, программа, производящая свои копии, распространяется по компьютерной сети;

• Trojan –троянский конь, программа, использующая чужие данные, для проникновения в вычислительную сеть или систему.

Последние два типа являются самостоятельными программами и не подходят под классическое определение вируса. Большинство выделенных типов связано с их местоположением в вычислительной системе.

4. Среда обитания вирусов.

По среде обитания вирусы можно разделить на загрузочные, файловые, макро и сетевые вирусы.

Загрузочные вирусы находятся в загрузочных секторах дисков, записывают себя в область памяти, которая используется при загрузке операционной системы, могут записываться в микросхему BIOS, которая отвечает за начальную загрузку компьютера.

Файловые вирусы располагаются в исполняемых файлах. Код вируса внедряется в код исполняемой программы и начинает выполняться при ее запуске. Некоторые вирусы при их активизации могут создавать клоны инфицированной программы и записывать их в различные места файловой системы. Большинство вирусов находит первые попавшиеся исполняемые файлы и внедряет в них свой код.

Макро-вирусы – располагаются в макрокомандах различных документов. В первую очередь это документы MSOffice, которые распространяются по электронной почте. При попытке открыть такой документ происходит заражение макро-вирусом.

Сетевые вирусы – используют для своего распространения протоколы или программы, обеспечивающие работу компьютерных сетей.

Могут существовать различные сочетания. Например, сетевой макро-вирус.

5. Особенности алгоритмов работы вирусов.

Выделяются особенности алгоритмов работы, характерные для различных типов вирусов. Эти особенности: резидентность, стелс-алгоритмы, полиморфные вирусы, использование нестандартных алгоритмов.

Резидентные вирусы – после запуска инфицированного файла он записывается в резидентную область оперативной памяти, где он сохраняет свою работоспособность вплоть до перезагрузки компьютера. Вирус работает в соответствии со своим алгоритмом и может заражать новые файлы и от него обычно не удается избавиться простым удалением инфицированных файлов. Нужна специальная процедура очистки резидентной области памяти от вируса.

Стелс-алгоритмы – обеспечивают невидимость вирусов для антивирусных программ за счет маскировки кода вируса. Обычно такие вирусы состоят из двух частей. Одна из них постоянно находится в памяти компьютера. Если операционная система обращается к зараженному файлу (вторая часть), то резидентная часть (первая) перехватывает это обращение и удаляет код вируса и приложение оказывается «чистым». После прекращения работы приложения в него опять записывается код вируса.

Полиморфные вирусы – изменяют собственный код. Антивирусные программы распознают вирусы за счет характерных для вирусов сочетаний кода. Полиморфные вирусы шифруют собственный код, и антивирусная программа не может его распознать. Обычно существует дешифрующая часть, которая восстанавливает код вируса перед его выполнением. Часто для шифрования используют случайные величины, зависящие от даты, поэтому зашифрованный код вируса получается каждый раз новым.

7. Вирусы и операционные системы.

Код вируса представляет собой исполняемый код, который выполняется определенной операционной системой и не работает в другой операционной системе. Обычно, зараженные файлы для операционной системы Windows не опасны для работы с среде Unix и наоборот. Вирус может попасть в среду другой операционной системы, если исходный текст вируса будет оттранслирован в этой системе и создан новый исполняемый код. Можно сказать, что вирусы ориентированы на конкретную операционную систему. Однако, если в разных операционных системах используются одинаковые приложения и существуют макро-вирусы для этих приложения, то эти макро-вирусы опасны для этих операционных систем.

8. Антивирусные программы.

Антивирусные программы предназначены для обнаружения и нейтрализации вирусов. Если удается, то восстанавливаются исполнительные файлы, другие файлы. Если не удается, то поврежденные участки диска или памяти локализуются и блокируются. Основной проблемой является распознавание вирусов. Многие антивирусные программы имеют базы вирусов, которые периодически пополняются.