4. Сетевые Вирусы

Среди множества известных вирусов особое место занимают

сетевые вирусы, как правило, они считаются и наиболее опасными.

Возможность инфицирования компьютерными вирусами корпоративных компьютерных сетей становится все более серьезной проблемой. Опасность действия вирусов определяется возможностью частичной или полной потери ценной информации, а также потерей времени и средств, направленных на восстановление нормального функционирования информационных систем.

Обычная корпоративная компьютерная сеть включает в себя сотни рабочих станций, десятки серверов и, как правило, имеет очень сложную структуру. Стоимость обслуживания такой сети растет вместе с ростом числа подключенных рабочих станций. При этом расходы на антивирусную защиту являются не последним пунктом в списке общих расходов. Основной возможностью их снижения является централизация управления работой антивирусной системы,установленной в корпоративной компьютерной сети.

Администратор должен иметь возможность с одного рабочего места вести мониторинг всех точек проникновения вирусов и управлять всеми антивирусными продуктами, перекрывающими эти точки. Компьютерные вирусы проникают в сеть вместе с файлами.

Основные пути, которыми файлы, зараженные вирусами, попадают в корпоративную сеть:

• копирование инфицированных файлов при запуске программ и других файлов с переносимых источников (гибких дисков, оптических дисков, Zip, Jazz, Floptical, и т.д.);

• программное обеспечение, полученное через Web или FTPи со­храненное на локальных рабочих станциях;

• файлы, получаемые удаленными пользователями,которые соеди­няются с корпоративной сетью по модему;

• файлы, получаемые при соединении удаленного сервера с сетьюдля обмена с файловым сервером, сервером приложений или сервером баз данных;

• электронная почта,содержащая приложенные зараженные файлы.

Примечание 3.

FTP(англ.FileTransferProtocol—протокол передачи файлов)—стандартный протокол, предназначенный для передачи файлов поTCP-сетям(например, Интернет).FTPчасто используется для загрузки сетевых страниц и других документов с частного устройства разработки на открытыесерверахостинга.

Протокол построен на архитектуре «клиент-сервер» и использует разные сетевые соединения для передачи команд и данных между клиентом и сервером

Всеми́рная паути́на(англ.WorldWideWeb)—распределённая система,предоставляющая доступ ксвязанныммежду собой документам, расположенным на различныхкомпьютерах, подключенных кИнтернету.

Глобальная компьютерная сеть ИНТЕРНЕТ на сегодняшний день также является основным источником вирусов.

Наибольшее число заражений вирусом происходит при обмене письмами в форматах Word/Office. Пользователь зараженного макровирусом редактора, сам того не подозревая, рассылает зараженные письма адресатам, которые в свою очередь отправляют новые зараженные письма и т.д.

К сетевым вирусам относятся вирусы, которые для своего распростра­нения активно используют протоколы и возможности локальных и глобальных сетей.

Основным принципом работы сетевого вируса является возможность самостоятельно передать свой код на удаленный сервер или рабочую станцию.

«Полноценные» сетевые вирусы при этом обладают еще и возможностью запустить на выполнение свой код на удаленном компьютере или, по крайней мере, «подтолкнуть» пользователя к запуску зараженного файла.

Бытует ошибочное мнение, что сетевым является любой вирус, распространяющийся в компьютерной сети. Но в таком случае практически все вирусы были бы сетевыми, даже наиболее примитивные из них: ведь самый обычный нерезидентный вирус при заражении файлов не разбирается, сетевой (удаленный) это диск- или локальный. В результате такой вирус способен заражать файлы в пределах сети, но отнести его к сетевым вирусам нельзя.

Наибольшую известность приобрели сетевые вирусы конца 1980-х годов, их также называют сетевыми червями (worms).К ним относятся вирус Морриса, вирусы «CristmasTree» и «WankWorm&». Для своего распространения они использовали ошибки и недокументированные функции глобальных сетей того времени — вирусы передавали свои копии с сервера на сервер и запускали их на выполнение. В случае с вирусом Морриса эпидемия захватила даже несколько глобальных сетей в США.

После некоторого затишья проблема сетевых вирусов вновь обострилась в начале1997 г. с появлением вирусов «Macro. Word. ShareFun» и «Win. Homer». Вирус «Macro. Word. ShareFun» использует возможности электронной почты MicrosoftMail. Он создает новое письмо, содержащее зараженный файл-документ («ShareFun» является макровирусом), затем выбирает из списка адресов службы MS-Mail (из компьютерной записной книги пользователя) три случайных адреса и рассылает по ним зараженное письмо. Поскольку многие пользователи устанавливают параметры MS-Mail таким образом, что при получении письма автоматически запускается MS Word, то вирус «автоматически» внедряется в компьютер адресата зараженного письма.Этот вирус иллюстрирует первый тип современных сетевых вирусов, которые объединяют возможности встроенного в Word/Excel языка Basic, протоколы и особенности электронной почты и функции автозапуска, необходимые для распространения вируса.

Вирус «Win. Homer».использует для своего распространения протокол FTP(FileTrabsferProtocol) и передает свою копию на удаленный ftp-сервервкаталог Incoming. Поскольку сетевой протокол FTP исключает возможность запуска файла на удаленном сервере, этот вирус можно охарактеризовать как «полусетевой», однако это реальный пример возможностей вирусов по использованию современных сетевых протоколов и поражению глобальных сетей.

Наиболее распространенными типами компьютерных вирусов в MS DOS являются:

• файловые нерезидентные,

• файловые резидентные

• бутовые вирусы.

Основные объекты заражения – исполняемые файлы типа .COM, .EXE, .OVL, драйверы .SYS и загрузочная дорожка. При многократном заражении инфицированный файл может содержать тела нескольких вирусов.

Файловый нерезидентный вирус при запуске зараженной программы выполняет следующие действия:

• восстанавливает начало программы в оперативной памяти;

• находит очередную жертву;

• проверяет зараженность жертвы;

• внедряет тело вируса в программу- жертву;

• передает управление программе-вирусоносителю.

Файловый резидентный вирус помимо файлов заражает оперативную память ПК.

Резидентный вирус можно представить как состоящий из двух относительно независимых частей: инсталлятора (программа установки) и модуля обработки прерываний.

При запуске зараженной программы инсталлятор выполняет следующие действия:

• восстанавливает начало программы в оперативной памяти;

• проверяет зараженность ОЗУ;

• перехватывает требуемые прерывания;

• передает управление зараженной программе.

Прерывания – это программы операционной системы, выполняющие стандартные действия с файлами, экраном, клавиатурой и т.д. Большинство обычных программ используют прерывания.

Для размножения вирусы используют функции работы с файлами. При обращении любой программы к этим функциям происходит заражение по сценарию нерезидентного вируса.

Бутовый вирус – это специализированная разновидность резидентного файлового вируса, который заражает загрузочный сектор гибкого ил жесткого диска. Распространяются бутовые вирусы путем заражения бут-сектора дискет, причем как системных, так и несистемных. Отличительная особенность – голова вируса располагается в загрузочном секторе, а хвост – в неиспользуемых областях диска.

При загрузке с зараженного диска бутовый вирус получает управление и сначала копирует себя в старшие адреса памяти. Затем он уменьшает размер доступной памяти, чтобы защитить резидентную часть вируса, и адрес прерывания 13h, чтобы перехватить обращения к диску, после этого вирус запускает стандартный системный загрузчик.

При чтении любой дискеты вирус проверяет ее на зараженность и инфицирует загрузочный сектор. Теперь при загрузке с этой дискеты произойдет заражение компьютера.

Вирусы-черви обычно состоят из двух частей:

• загрузчика;

• исполняемой части.

Вирус-червь сначала на атакуемую машину, проникает лишь небольшая часть вируса, называемая головой или загрузчиком, которая и подтягивает основное тело червя (исполняемая часть). Собственно говоря, голов у вируса может быть и несколько. Так, достопочтенный вирус Морриса имел две головы.