Методы и средства защиты информации

Вирусные методы разрушенияинформации 251

Еще одним примером являются современные мощные полнопроточные UPS импортного производства, которые имеют развитое встроенное программное обеспечение для управления, в том числе, уровнем выходного напряжения. Соответствующая программная закладка может быть активизирована закодированной командой по сети электропитания и на короткое время перепрограммирует UPS на максимально возможное выходное напряжение, которое приведет к выходу из строя защищаемого UPS оборудования. Так как программное обеспечение UPS специализированно, то поиск таких закладок может быть затруднителен. Поэтому рекомендуется устанавливать на входе UPS дополнительные фильтры.

По способу управления ТС НСВ могут быть с ручным управлением, автоматическим и дистанционным. АвтоматическиеТС НСВ могут генерировать импульсы напряжения периодически, по случайному закону, по максимуму нагрузки ( у последовательновключаемыхТС НСВ может контролироватьсяток в цепи нагрузки, т.е. косвенно количествовключаемыхПЭВМ) и т.д.

Вирусные методы разрушения информации

Компьютерным вирусом называется программа, которая может “ заражать” другие программы, включая в них свою (возможно, модифицированную) копию. Эта копия, в свою очередь, также способна к дальнейшему размножению. Следовательно, заражая программы, вирусы способны распространяться от одной программы к другой. Зараженные программы (или их копии) могут передаваться через дискеты или по сети на другие ЭВМ.

Упрощенно процесс заражения вирусом программных файлов можно представить следующим образом.

1.Код зараженной программы изменен таким образом, чтобы вирус получал управление первым, до начала работы программы-носителя.

2.При получении управления вирус находит на диске какую-нибудь не зараженную программу и вставляет собственную копию в начало (или в конец) этой программы. Возможны случаи, когда вирус включает себя в середину программы.

3.Если вирусдописываетсяне в началопрограммы, то он корректируетее код (или даже уничтожаетпрограмму) с тем, чтобыполучитьуправлениепервым.

4.После размножения (или вместо него в отдельных случаях) вирус может производить различные разрушающие действия.

5.После этого управление обычно передается программе-носителю (как правило, она сохраняется вирусом) и она выполняет свои функции, делая незаметными для пользователя действия вируса.

Для более эффективного размножения вирус при первом получении управления становится резидентным, т.е. постоянно присутствует в оперативной па-

252 Глава 14. Методы и средства разрушения информации

мяти во время работы компьютера и размножает свои копии, как говорилось раньше, при каждом обращении пользователя к программе для ее выполнения, копирования, изменения или просмотра.

Одной из разновидностей вирусов являются вредоносные программы типа “Троянский конь”. К ним обычно относят специально созданные программы, которые, попадая в вычислительные системы (обычно под видом заведомо полезных программ), начинают скрытно выполнять несанкционированные действия.

Еще одним типом вирусов являются так называемые черви, которые воспроизводятся, копируя себя в памяти одного или нескольких компьютеров (в случае сети), независимо от наличия в ней других программ.

В качестве программ-носителей вирусов могут выступать следующие носители.

∙Выполняемые файлы, т.е. файлы с расширением COM, EXE, DLL, OVL и т.п. Так как вирус начинает работу при запуске зараженной программы, особенно опасно заражение часто используемых программ. При заражении программы многими из современных вирусов, использующих особенности формата выполняемых файлов для системы Windows, длина программы остается неиз-

менной. Возможно также распространение вируса в программах, написанных на языке программирования высокого уровня, если они работают в среде интерпретатора этого языка, например VBA (Visual Basic for Application), который встраивается в такие популярные программы, как Microsoft Word, Microsoft Excel, Microsoft Outlook, Microsoft PowerPoint, CorelDraw, AutoCAD и

др.

∙Программы операционной системы и драйверы устройств (обычно име-

ют расширения SYS, BIN, VXD и т.п.).

∙Программа-загрузчик операционной системы, находящаяся в первом сек-

торе диска. Так как программа-загрузчик невелика, то вирус обычно размещает себя в дополнительных секторах на диске, которые помечает как “пло-

хие” (bad).

∙Объектные файлы и библиотеки (расширения OBJ, LIB, TPU и т.п.). Такие файлы и библиотеки, полученные из ненадежного источника, могут содержать, помимо полезного кода, встроенный вирус. При использовании зараженных библиотек вирус автоматически будет попадать во все создаваемые на основе таких библиотек программы.

Вирусы часто производят какие-либо разрушительные действия. Но, в отличии от способности к размножению, разрушение не является неотъемлемой функцией вируса. Хотя воздействие вируса на систему, программы, данные и аппаратуру могут быть весьма разнообразными, однако если в такой размножающейся программе есть ошибки, не предусмотренные ее автором, то последствия могут быть непредсказуемы. Кроме того, надо учитывать, что само размножение имеет следствием сокращение доступного дискового пространства и увеличение времени работы программ.

Вирусные методы разрушенияинформации 253

Действия вируса ведут чаще всего к отказу от выполнения той или иной функции или к выполнению функции, не предусмотренной программой. При этом создается впечатление, что происходят программные сбои или ошибки оборудования. Это впечатление усиливается способностью вируса выдавать ложное сообщение или искусственно вызывать ошибки системы. Неправильные действия системы, как правило, замечаются пользователем и могут быть им прекращены для предотвращения катастрофических последствий. Если наблюдаемые действия вызваны именно вирусом, то нужно как можно быстрее прекратить работу на компьютере и провести проверку программ и оборудования. Подозрение на появление вируса возможно в следующих случаях:

∙отключения какой-то стандартной функции системного или прикладного программного обеспечения ( например, отключение перезагрузки, которая при нормальной работе должна происходить после нажатия комбинации клавиш

<Ctrl+Alt+Del>);

∙проявления ошибок или сбоев при выполнении прежде стабильно работавших программ (например, переполнения буфера или деления на 0), самопроизвольной перегрузки или “зависания” операционной системы;

∙выполнения операций, не предусмотренных алгоритмом программы ( например, изменение данных в файле, не санкционированное пользователем, в том числе шифрование);

∙изменения атрибутов файла (например, дата создания файла, его длина и т.п.);

∙разрушения файлов, отдельных управляющих блоков или самой файловой системы ( несанкционированное форматирование жесткого диска, неожиданное исчезновение отдельных файлов и т.п.);

∙слишком частых обращений к диску;

∙появления ложных, раздражающих или отвлекающих сообщений;

∙блокирования доступа к системным ресурсам ( исчерпание дискового пространства из-за многократного повторного заражения, отключение механизма передачи параметров в запускаемые программы, существенное замедление работы путем выполнения холостого цикла при каждом прерывании от системного таймера и т.п.);

∙появления на экране дисплея световых пятен, черных областей и других визуальных аномалий;

∙проявления звуковых или визуальных эффектов ( например, “ осыпание символов” на экране, замедление перерисовки объектов на экране, воспроизведение мелодии и т.п.);

∙имитации аппаратных отказов;

∙сообщений антивирусных средств.

Наиболее распространенным разрушительным действием вируса является уничтожение информации (программ и данных). К сожалению, простого мето-

254 Глава 14. Методы и средства разрушения информации

да восстановления удаленных файлов в такой операционной системе, как MS DOS, не существует, хотя принципиально возможно восстановить файл путем просмотра всего дискового пространства с помощью специальных средств.

Труднее обнаружить не уничтожение, а изменение содержимого файла. Такие действия вируса особенно опасны, так как файлы могут быть существенно искажены, но заметить это удается слишком поздно. Например, вирус может заменить в файле данных все символы “5” на символы “7”. В этом случае искажение файла вызовет самые тяжелые последствия. Даже если такие искажения будут сразу обнаружены, потребуется значительное время, прежде чем эти данные можно будет снова нормально использовать. Вирусом могут быть вызваны изменения в программах, что порождает различные ошибки, сбои или отказы в работе программного обеспечения. Посредством изменения вирус способен разрушить аппаратные средства.

Примером таких действий являются следующие события:

∙интенсивное использование плохо охлаждаемого элемента конструкции для вывода его из строя или возгорания в результате перегрева;

∙“прожигание” пятна на экране;

∙нарушение работы периферийного оборудования, в результате задания ему неправильных режимов функционирования;

∙низкоуровневое изменение системных областей жесткого диска, вследствие чего диск невозможно восстановить без специального оборудования.

Важно иметь в виду, что вирус поражает определенные объекты, вторично их (как правило) не заражая, но зараженный объект сам становится источником информации.

Разрушающие программные средства

Программными закладками называются своеобразные программы, использующие вирусную технологию скрытного внедрения, распространения и активизации. Однако, в отличие от вирусов, которые просто уничтожают информацию, программные закладки, прежде всего, предназначены для ее несанкционированного скрытного получения. Типичная программная закладка может, например, сохранять вводимую с клавиатуры информацию (в том числе и пароли) в нескольких зарезервированных для этого секторах, а затем пересылать накопленные данные по сети на компьютер злоумышленника.

Программные закладки можно классифицировать по методу и месту их внедрения и применения (т.е. по способу доставки в систему).

1.Закладки, ассоциированные с программно-аппаратной средой.

2.Закладки, ассоциированные с программами первичной загрузки.

3.Закладки, ассоциированные с загрузкой драйверов, командного интерпретатора, сетевых драйверов, т.е. с загрузкой операционной среды.

258 Глава 14. Методы и средства разрушения информации

ной программы или операционной среды, причем интерес представляют лишь события, результатом которых может стать появление интересующей информации в информативной области. Установив факт интересующего события, закладка переносит часть информативной области либо всю информативную область в свою область сохранения (непосредственно на диск или в выделенную область оперативной памяти).

Перехват вывода на экран

Рассмотрим только текстовый режим вывода. Режим графического вывода будет отличаться лишь тем, что изменится адрес видеобуфера в программе, и информация будет представлена в виде точек с определенным цветом.

В оперативной памяти ПЭВМ область видеобуфера имеет заранее известный фиксированный адрес. Видеобуфер, с точки зрения программы, представляет собой область обычной оперативной памяти, которая рассматривается как последовательность слов (16 бит) в формате: символ (8 бит) + цвет (8 бит).

Выводимый на экран текст помещается в видеобуфер, откуда может быть считан и сохранен закладкой.

Синхронизирующим событием в этом случае может быть:

∙ввод с клавиатуры длинной последовательности символов (обрабатываемого текста);

∙чтение из файла;

∙запуск программ с определенными именами.

Кроме того, возможно периодическое сохранение области экранного буфера по сигналу от системного таймера.

Перехват ввода с клавиатуры

Закладки, анализирующие ввод с клавиатуры, являются достаточно опасными, поскольку клавиатура является основным устройством управления и ввода информации. Через клавиатурный ввод можно получить информацию о вводимых конфиденциальных сообщениях (текстах), паролях и т.д.

Перехват может производится двумя основными способами:

∙встраивание в цепочку прерывания int 9h;

∙анализом содержания клавиатурного порта или буфера по прерыванию от системного таймера.

Работа закладки основывается на полном сохранении всех нажатий (отжатий) клавиш в файле. Файл затем изучается, и на его основе злоумышленник, пытавшийся получить доступ к зашифрованным файлам, восстанавливает возможные парольные последовательности.

Пример подобной закладки приведен в листинге 14.1.