3.1.3 Віруси за особливостями використовуваних алгоритмів

Прості віруси – це віруси-паразити, вони змінюють вміст файлів і секторів дисків і можуть бути досить легко виявлені та знешкоджені.

Стелс-віруси (або віруси-невидимки) – це віруси, які повністю або частково приховують себе в системі. Найбільш розповсюдженим стелс-алго­ритмом є перехоплення запитів ОС на читання-записуваннязаражених об’єк­тів. Стелс-віруси при цьому або тимчасово виліковують їх, або під­став­ляють замість себе незаражені ділянки інформації. Це можуть бути і макро-віруси, які можуть забороняти виклики меню перегляду макросів. Це можуть бути і файлові (наприклад, вірус “Frodo”), і бутовські (вірус “Brain”) стелс-віруси.

Віруси-мутанти, які можуть використовувати алгоритми шифров­ки-розшифровки та поліморфізму, завдяки яким копії одного і того самого вірусу не мають жодного ланцюжка байтів, що повторюються. Поліморфік-віруси досить важко виявити, вони не мають сигнатури, тобто не містять жодної сталої ділянки коду

3.1.4 Віруси за деструктивними можливостями

Опис деструктивних мо­жливостей вірусу можна представити у такому розрізі:

• нешкідливі вірусиніяким чином не впливають на роботу комп’ютера, крім зменшення вільної пам’яті на диску в результаті свого поширення;

• безпечні віруси вплив вірусів обмежується зменшенням вільної пам’яті на диску і графічними, звуковими та іншими ефектами;

• не­безпечні віруси можуть призводити до серйозних збійних ситуацій у роботі комп’ютера;

• дуже небезпечні вірусиможуть призводити до втрати програми, зни­щення даних, стирання необхідної для роботи комп’ютера інформації, яка записана в системних областях пам’яті, і навіть сприяти при­ско­ре­ному зносу рухомих частин механізмів, наприклад, головок вінчес­тера.

3.2 Систематизація комп’ютерних вірусів

Важливість і довгостроковий характер проблеми захисту від ком­п’ю­терних вірусів на практиці не викликає сумніву. Для зручності ідентифікації було би зручно, щоб кожний вірус мав своє ім’я. На превеликий жаль, старі вірусі у більшості випадків мають чимало назв, які виникли історично, а нові віруси, навпаки, таких назв взагалі не мають.

Відомим дослідником комп’ютерних вірусів М.М. Безрукавим було вироблено і запропоновано схему класифікації, яка включає три основні елементи:

• класифікаційний код вірусу;

• дескриптор вірусу (формалізований список основних власти­вос­тей);

• сигнатура вірусу (рядок для контекстного пошуку даного вірусу в зараженій програмі).

3.2.1 Класифікаційний код вірусу

Кож­ному вірусу присвоюється код, який складається з літерного префікса, кількісної характеристики і факультативного літер­ного суфікса.

Наприклад, в коді RСЕ-1813с є такі складові:RСЕ- префікс,1813- корінь (харак­те­рис­тика), ас- суфікс. Крім того, фа­культативне роз­ширення,щозаписується в кінці коду через крапку, характеризує групу, до якої належить даний вірус. На­приклад, RСЕ-1813.ІЕR означає, що даний вірус належить до єрусалимської групи.

Головною вимогою до класифікаційного коду вірусу є мож­ливість визначення більшості вхідних його властивостей на незараженому ком­п'ю­тері. Виконання будь-яких дій з дослідження вірусу на зараженому ком­п'ю­те­рі є найбільшою й найбільш роз­повсюдженою помилкою, якої припускаютьсянедосвідчені користувачі. Необхідно підкреслити, що будь-які дії на комп'ютері, зараже­ному невідомим вірусом, пов'язані з певним ризиком виклика­ти спрацьовуювання троянської компоненти вірусу. Крім того, резидентний вірус з метою маскування може перехоплювати запити і перекручувати інформацію, яка видається. Нині відомі віруси, що мають таку властивість. Наприклад, група файлових вірусів, відома під назвою ТР-вірусів, починаючи з вірусу ТР-34 (члени цієї групи мають номери, які зберігаються в передостанньому байті вірусу вшістнадцятковому вигляді), має властивість "самовикусування" при спробі трасувати заражену програму – резидентний вірус виконує "викусування" вірусу з програми, "підсову­ючи" налалагоджувачувже вилікувану програму. Так само бутові віру­си, які входять у пакистанську групу (віруси “Вгаіn”,“Аshar”), при спробі переглянути бут-сектор на зараженому комп'ютері "підсовують" користувачу оригінальний бут-сектор, який зберігається вірусом в одному із секторів, позначеному як дефектний (і, тим самим, вилученому з розподілу у файли).

Літерний префікс вказує на місце розміщення голови вірусу і склада­ється з послідовності літер і цифр, що починається з великої літери. Відповідно до цьогобудемо розрізняти такі типи вірусів (розглядатимемо тільки реально існуючі типи, а не всі принципово можливі):

• файлові– коли голова вірусу розміщується в СОМ-, ЕХЕ-файлах і оверлеях(символи С, Е в префіксі). При цьому додаткову літеру, яка відображає зараження оверлеїв, у префікс не вводиться, щоб запобігти його ускладненню, а виноситься у деск­риптор;

• бутові– коли голова вірусу розміщується в бут-секторі або блоці МВR(символи В, R або М у префіксі);

• пакетні– коли голова вірусу розміщена в пакетному файлі, тобто являє собою фрагмент або програму на будь-якій мові програмування (префікс J).

Поряд із "чистими" вірусами, які вико­ристовують лише одне сере­довище, нині з'явились "гібридні" – ком­бінація файлових і бутових вірусів. У таких вірусах замість пер­шої літери R використовують відповідну літеру префікса бутового вірусу, наприклад ВСЕ або МСЕ (як і бутові, змішані віруси не можуть бути нерезидентними).

Характеристика вірусу являє собою кількісно вимірювану власти­вість вірусу, яка допускає просте визначення і розрізня­ється для більшості типів вірусів. Наприклад, для файлових віру­сів як характеристика може використовуватися величина прирос­ту довжини файлів при зараженні ("інфекційна довжина"), хоч тут є певні складності.

Суфіксвикористовується, коли два різних віруси або два шта­ми од­но­го і того самого вірусу мають однаковий префікс і харак­теристику.Уцьо­му випадку,дляотриманняунікальногокоду використовуєтьсяяк суфікс латинськалітера. Наприклад, в коді RС-1704f літера f означає "штам-f”.