3.3.5 Алгоритм роботи файлового вірусу

Одержавши керування, вірус здійснює такі дії (приведений список найбільш загальних дій вірусу при його виконанні, і для конкретного вірусу список може бути доповнений, пункти можуть помінятися місцями і значно розширитися):

1. резидентний вірус перевіряє оперативну пам'ять на наявність своєї копії і інфікує пам'ять комп'ютера, якщо копія вірусу не знайдена. Нерезидентный вірус шукає незаражені файли в поточному і\абокореневомукаталозі, укаталогах, відзначених командою PATH, сканує дерево каталогів логічних дисків, а потім заражає виявлені файли;

2. виконує, якщо вони є, додаткові функції, деструктивні дії, графічні чи зву­ко­ві ефекти і т.д. Додаткові функції резидентного вірусу можуть викли­ка­ти­ся через деякий час після активізації в залежності від поточного часу, кон­фі­гу­рації сис­те­ми, внутрішніх лічильників чи вірусу інших умов; у цьому ви­пад­ку вірус при ак­тивізації обробляє стан системного годинника, встанов­лює свої лічильники і т.д.;

3. повертає керування основній програмі (якщо вона є). Паразитичні віру­си при цьому аболікують файл, виконують його, а потім знову зара­жа­ють, або відновлюють програму (але не файл) у вихідному виді (на­приклад, у COM-програм відновлюються декілька перших байтів, у EXE-програми об­чис­лю­єть­ся справжня стартова адреса, у драйвера відновлюються значення адрес про­грам стратегії і переривання). Ком­пань­йони-віруси запускають на виконання свого "хазяїна", віруси-хробаки і overwriting-віруси повертають керування ОС.

Метод відновлення програми упервісному вигляді залежить від способу за­ра­ження файлу.

Якщо вірус впроваджується в початок файла, то він або зрушує коди зараженої програми на число байтів, рівне довжині вірусу, або переміщає час­ти­на коду програми з її кінця в початок, або відновлює файл на диску, а потім за­пускає його.

Якщо вірус записався в кінець файла, то при відновленні програми він використовує інформацію, збережену у своєму тілі при зараженні файлу. Це може бути довжина файлу,декількабайтівпочатку файлу у випадку COM-файлуабо декілька байтів заголовка у випадку EXE-файлу.

Якщо ж вірус записується в середину файласпеціальнимчином, то при відновленні файлу він використовує ще і спеціальні алгоритми.

3.3.6 Приклади файлових вірусів

Abba.9849

Безпечний резидентний вірус. Перехоплює INT 21h і записується в кінець COM- і EXE-файлів при їх запуску. Містить рядки

\COMMAND.COM

Program too big to fit in memory

\ABBAл|*.* E\ABBAл|

Створює на поточному диску файли ABBAл|nn з атрибутами HIDDEN і READONLY, 'nn' - число файлів, заражених на цьому диску. Це число збільшується при зараженні чергового файлу – вірус перейменовує цей файл в ABBAл|(nn+1). Залежно від числа nn вірус проявляє себе якимсь відео-ефектом на відео карті Hercules.

Lenin 943

Безпечний нерезидентний вірус. При запуску шукає EXE-файли і записується в їх кінець. При зараженні не змінює значення регістрів в EXE-заголовку, а вставляє в точку входу у файл команду CALL FAR virus і коректує Relocation Table. Залежно від своїх лічильників виводить тексти

САМЫЙ! ЧЕЛОВЕЧНЫЙ! ЧЕЛОВЕК!

Ленин и сегодня всех живых держит мертвой хваткой упыря

Також містить рядки

*.EXE PATH=

Metall.557

Дуже небезпечний нерезидентний вірус. Шукає .COM-файлы окрім COMMAND.COM і записується в їх кінець. Коректно заражає тільки файли, на початку яких присутня команда JMP/CALL NEAR. Решта файлів після зараження виявляється зіпсованими. Залежно від системного таймера перемішує символи на екрані. Містить рядок: METALL\I

Scorpion.2278

Дуже небезпечний нерезидентний зашифрований вірус. При запуску заражає файл C\COMMAND.COM, потім шукає COM- і EXE-файли і записується в їх кінець. При зараженні COMMAND.COM записується в кінець файлaв область стека COMMAND.COM і, таким чином, не збільшує його довжину. Знищує файли з ім'ям CHKLIST.MS. В деяких випадках також шукає інші файли і знищує їх. Залежно від системної дати і встановленого BIOS'а форматує вінчестер, виводить текст:

DEATH ON TWO LEGS V2.8

(c) BLACK SCORPiON, 1996

Written in Moscow

потім перехоплює INT 1Ch і програє мелодію. Вірус також містить рядки:

*.* *.EXE *.COM

C\COMMAND.COM

DEATH ON TWO LEGS WAS HERE

Sisters.2221

Дуже небезпечний резидентний зашифрований вірус. Перехоплює INT 21h, 16h і записується в кінець COM- і EXE-файлів при їх запуску. Знищує антивірусні файли даних CHKLIST.MSіCHKLIST.CPS.

Залежно від значень внутрішнього лічильника і поточної дати вірус відключає драйвер миші, стирає 40 секторів на диску C, видаляє CMOSпам'ять, завішує комп'ютер, виводить повідомлення:

TEMPLE OF LOVE V1.0 MS 95.

FoUnD VIRUS SYSTERS OF MERCY iN yOuR sYsTeM !!!

Вірусний обробник INT 16h (клавіатура) стирає CMOS-пам'ять ком­п'ютера після 700 натиснень на клавіші. Вірус також містить рядки тексту:

SyStEm is now halted.