Вирусы

• Компьютерному вирусу исполняется 30 лет, хотя началось все значительно раньше, но отсчет ведется от 1983 года, когда калифорнийский студент Фред Коэн на занятиях по компьютерной безопасности занимался написанием программы, которая способна к саморазмножению и паразитическому распространению по сетям. Особой опасности программа Коэна не представляла, поскольку эксперимент был контролируемым и не имел далеко идущих целей.

• 11 ноября он представил результаты своей работы – «демонстрационный вирус для VAX 11/750 под управлением Unix». Это и считают днем рождения вирусов. Общая история «вирусного движения» будет показана далее.

41

Классификация вирусов

•Вирусы делятся на классы по среде обитания, а эти классы, в свою очередь, делятся на подклассы по способу заражения. Итак, по среде обитания вирусы делятся на:

–файловые,

–загрузочные,

–макровирусы;

–скриптовые.

•Файловые вирусы для заражения пользуются файловой системой ОС. Они различными способами внедряются в исполняемые файлы, создают файлы-двойники и т.д.

42

Файловые вирусы

•Перезаписывающие вирусы (Overwriting). Самый распространенный способ заражения. Вирус переписывает код программы (заменяет его своим), после чего, естественно, файл перестает работать. Файл, зараженный данным способом, восстановлению не подлежит. Перезаписывающий вирус быстро обнаруживает себя, так как зараженная система (или программа) перестает функционировать.

•Паразитические вирусы (Parasitic). К таковым относятся все вирусы, которые изменяют содержимое файла, но при этом оставляют его работоспособным. Основными типами таких вирусов являются вирусы, записывающиеся в начало файлов (prepending), в конец файлов (appending) и в середину файлов (inserting).

•Вирусы-компаньоны (Companion). Данный способ подразумевает создание файла-двойника, при этом код файла-жертвы не изменяется. Обычно вирус изменяет расширение файла (например, с .exe на .com), потом создает свою копию с именем, идентичным имени файла-жертвы,

и дает ему расширение, тоже идентичное. Ничего не подозревающий пользователь запускает любимую программу и не подозревает, что это вирус. Вирус, в свою очередь, заражает еще несколько файлов и запускает программу, затребованную пользователем.

43

Загрузочные вирусы

•Известные на текущий момент загрузочные вирусы заражают загрузочный сектор гибкого диска и boot-сектор или Master Boot Record (MBR) жесткого диска.

•Принцип действия загрузочных вирусов основан на алгоритмах запуска операционной системы при включении или перезагрузке компьютера — после необходимых тестов установленного оборудования (POST- теста) программа системной загрузки считывает первый физический сектор загрузочного диска и передает на него управление.

•При заражении дисков загрузочные вирусы «подставляют» свой код вместо какой-либо программы, получающей управление при загрузке системы. Принцип заражения, таким образом, одинаков во всех вышеописанных способах: вирус «заставляет» систему при ее перезапуске считать в память и отдать управление не оригинальному коду загрузчика, а коду вируса.

•При инфицировании диска вирус в большинстве случаев переносит оригинальный boot-сектор (или MBR) в какой-либо другой сектор диска (например, в первый свободный). Если длина вируса больше длины сектора, то в заражаемый сектор помещается первая часть вируса, остальные части размещаются в других секторах (например, в первых свободных)

44

Макровирусы и скриптовые вирусы

•Макровирусы в основном заражают документы MS Office.

•При этом вирус добавляет свой код в

область макросов документа. Расположение кода вируса в документах разных приложений вышеописанного пакета разное.

• Скрипт-вирусы — это вирусы, написанные на скрипт-языках (VBS, JS, BAT, PHP и т.д.). Заражают они файлы довольно большого диапазона расширений: от .exe до .html.

45

Черви

•Основными признаками, по которым черви различаются между собой, являются:

–способ распространения червя;

–способ запуска копии червя на заражаемом компьютере;

–методы внедрения в систему;

–наличие некоторых отличительных характеристик,

таких как: полиморфизм, невидимость и т.д. 46

Троянские программы

•Если вы и не загружаете из Сети подозрительного содержимого, то все равно не можете считать себя в безопасности — троянские функции бывают встроены и в лицензионное программное обеспечение. Например, в сентябре 2002 года «Лаборатория Касперского» сообщила об обнаружении троянских функций в коммерческой программе, предназначенной для просмотра и редактирования графических изображений Firehand Ember Millennium.

•Авторы троянских программ внимательно следят за новостями об обнаружении дыр в операционных системах и прикладных программах работы с электронной почтой, а также в Интернет- браузерах. Цель — проникновение троянов в компьютеры через такие дыры в операционной системе Windows либо их загрузка при просмотре Web-страниц. Например, троян Trojan.JS.Scob и его модификации, написанные на языке JavaScript, размещались на взломанных серверах и при просмотре страниц этого сервера вызывали загрузку на компьютер пользователя других троянских программ

49

Виды троянских программ (по Касперскому)

•Троянские утилиты удаленного администрирования (Backdoor).

Троянские программы этого класса являются утилитами удаленного администрирования (управления) компьютеров. В общем, они очень похожи на «легальные» утилиты того же направления (в Windows подобная программа – Удаленный рабочий стол). Единственное, что определяет их как вредоносные программы, — это их действия без ведома пользователя. Данная программа при установке и\или загрузке не выдает никаких уведомлений. Таким образом, обладатель конкретной копии данного ПО может без ведома пользователя осуществлять операции разного рода (от выключения компьютера до манипуляций с файлами)

•Похитители паролей (Trojan-PSW). Эти занимаются тем, что воруют пароли. Проникнув на компьютер и инсталлировавшись, троян сразу приступает к поиску файлов, содержащих соответствующую информацию. Кража паролей — не основная спецификация программ этого класса — они также могут красть информацию о системе, файлы, номера счетов, коды активации другого ПО и т.д.

•Загрузчики (Trojan-Downloader). Эти трояны занимаются несанкционированной загрузкой программного обеспечения (вредоносного) на компьютер ничего не подозревающего пользователя. После загрузки программа либо инсталлируется, либо записывается трояном в автозагрузку (это в зависимости от возможностей операционной системы).

50