Глава 2. Вирусы и антивирусы

2.1. Вирусы

Этот враг реален и грозен, и именно вирусные козни становятся причиной доброй половины неприятностей у активных «сетевиков».

Компьютерный вирус — разновидность компьютерных программ, отличительной особенностью которых является способность к размножению (саморепликация). В дополнение к этому вирусы могут без ведома пользователя выполнять прочие произвольные действия, в том числе наносящие вред пользователю и/или компьютеру. По этой причине вирусы относят к вредоносным программам [4].

Неспециалисты ошибочно относят к компьютерным вирусам и другие виды вредоносных программ - программы-шпионы и даже спам. Известны десятки тысяч компьютерных вирусов, которые распространяются через Интернет по всему миру.

Создание и распространение вредоносных программ (в том числе вирусов) преследуется в России согласно Уголовному Кодексу РФ

Переносчиками вирусов в большинстве случаев являются сообщения электронной почты, содержащие вложенные файлы. Зараза может проникнуть в компьютер либо через программы (то есть исполняемые программы с расширением *.exe или *.com), либо через документы Microsoft Office, которые могут содержать вредоносные участки кода. Со стороны картинок и звуковых файлов никакая неприятность грозить вроде бы не может. Получив по почте письмо с прикрепленным к нему картинкой, ничего не подозревая, открываем и обнаруживаем, что под личной картинки скрывается вредоносный вирус «скрипт» [2].

Хитрость создателей вирсу проста - файл, который показался картинкой, имел двойное расширение. Например: WilliamShakespeare.jpg.vbs. Именно второе расширение и является истинным типом файла, в то время как первое является просто частью имени. Поскольку расширение vbs Windows знает, он пряит его от глаз пользователей, оставляя на экране лишь имя WilliamShakespeare.jpg.

Фокус с «двойным расширением» не проходит, если заранее активировать режим отображения типов файлов.

Впрочем, совсем не обязательно, что вирусы сочтут нужным маскироваться. Иногда exe-файлы «вложены» в письмо совершенно открыто. Тут уже совершенно понятно, что речь идет о вирусной атаке, однако и эти программы запускаются пользователями: одним вирусописатель обещают программы для взлома, другим предоставляются обновлением к популярной программе. Кроме того, вирусы можно получить вместе с самими программами – особенно в том случае, если скачивать их с неизвестных серверов.

Последствия от работы вирусов могут быть разными – от полного уничтожения содержимого винчестера до порчи определенных типов файлов. К тому же вирус может разослать собственные копии всем знакомыми, чьи адреса зафиксированы в адресной книге.

Способ справиться с вирусами один – хорошая антивирусная программа. Со свежими, обновляемыми не реже раза в неделю, антивирусными базами. И даже в этом случае подозрительные письма стоит удалять.

В качестве «вложения» в письмо допустимы лишь несколько типов файлов. Абсолютно безопасны (если не считать «фокусов» с двойным расширением) файлы txt, jpg, gif, bmp, tif, mp3, wma. «Условно съедобными» можно признать документы Microsoft Office(doc, xls) и архивы zip и rar. Они могут содержать вирус, но его вполне можно нейтрализовать с помощью антивирусной программы, при условии, что ее базы регулярно обновляются.

А вот список безусловно опасных типов файлов: asx, bas, bat, cmd, com, cpl, crt, exe, inf, ins, js, msc, msi, pif, reg, scf, scr, shs, vbs. Сами по себе эти файлы не опасны. Знаком опасности является только присутствие этих файлов в письме, поскольку каждый из них почти наверняка несет в себе вирусную начинку [2].

Список потенциальных «вирусоносителей» включает еще не один десяток типов файлов. Но эти встречаются чаще других.

«Троянские программы»

Троянская программа (также — троян, троянец, троянский конь) — вредоносная программа, распространяемая людьми. В отличие от вирусов и червей, которые распространяются самопроизвольно.

Название «троянские» восходит к эпизоду в Илиаде, рассказывающем о «Троянском коне» — дарёном деревянном коне, использованном для проникновения в Трою, что и стало причиной падения Трои. В Коне, подаренном в знак лже-перемирия, прятались воины Одиссея, ночью выбравшиеся из Коня и открывшие ворота основным антитроянской армии. Большая часть троянских программ действует подобным образом — маскируется под безвредные или полезные программы, чтобы пользователь запустил их на своем компьютере. Считается, что первым этот термин в контексте компьютерной безопасности употребил Дэниэл Эдвардс, сотрудник NSA, в своём отчёте «Computer Security Technology Planning Study».

«Трояны» — самый простой вид вредоносных программ, сложность которых зависит исключительно от сложности истинной задачи и средств маскировки. Самые примитивные «трояны» (например, стирающие содержимое диска при запуске) могут иметь исходный код в несколько строк [4].

Троянские программы распространяются людьми — как непосредственно загружаются в компьютерные системы злоумышленниками-инсайдерами, так и побуждают пользователей загружать и/или запускать их на своих системах.

Для достижения последнего, троянские программы помещаются злоумышленниками на открытые или индексируемые ресурсы (файл-серверы и системы файлообмена), носители информации, присылаются с помощью служб обмена сообщениями (например, электронной почтой), попадают на компьютер через бреши безопасности или загружаются самим пользователем с адресов полученных одним из перечисленных способов.

Иногда использование троянов является лишь частью спланированной многоступенчатой атаки на определенные компьютеры, сети или ресурсы.

Троянская программа может имитировать имя и иконку существующей, несуществующей, или просто привлекательной программы, компонента, или файла данных (например картинки), как для запуска пользователем, так и для маскировки в системе своего присутствия. Троянская программа может в той или иной мере имитировать или даже полноценно выполнять задачу, под которую она маскируется (в последнем случае вредоносный код встраивается злоумышленником в существующую программу).

В целом, троянские программы обнаруживаются и удаляются антивирусным и антишпионским ПО точно так же, как и остальные вредоносные программы.

Троянские программы хуже обнаруживаются контекстными методами антивирусов (основанных на поиске известных программ), потому что их распространение лучше контролируется, и экземпляры программ попадают к специалистам антивирусной индустрии с большей задержкой, нежели самопроизвольно распространяемые вредоносные программы. Однако эвристические (поиск алгоритмов) и проактивные (слежение) методы для них столь же эффективны.