Компьютерные вирусы

Компьютерный вирус - это специально написанная, небольшая по размерам программа (т. е., некоторая совокупность выполняемого кода), которая может "приписывать" себя к другим программам ("заражать" их), создавать свои копии и внедрять их в файлы, системные области компьютера и т. д., а также выполнять различные нежелательные действия на компьютере.

Компьютерные вирусы можно классифицировать по месту их обитания, по особенности алгоритма работы и по деструктивным возможностям.

По месту обитания можно выделить следующие виды вирусов: вирусы, заражающие исполняемые файлы; вирусы, заражающие управляющие сектора дисков (boot сектор и/или master boot сектор); вирусы, заражающие flash-BIOS; комбинированные вирусы, которые заражают как файлы, так и управляющие сектора дисков; макровирусы, заражающие текстовые файлы Microsoft Word и Microsoft Exel; вирусы, заражающие объектные библиотеки; вирусы, заражающие исходные файлы, написанные на том или ином языке программирования; сетевые вирусы (вирусы-черви). В [25] выделяются следующие особенности алгоритмов работы вирусов:

резидентность;

использование "стелс"-алгоритмов;

самошифрование и полиморфность.

Резидентный вирус при заражении компьютера записывает в оперативную память свою резидентную часть, которая затем перехватывает обращения ОС к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными до выключения компьютера или перезагрузки ОС. Нерезидентные вирусы не заражают память компьютера и работают только во время выполнения зараженной вирусом программы.

Использование “стелес”-алгоритмов (от английского stealth -втихомолку) позволяют вирусам полностью или частично скрыть себя в системе. Наиболее распространенным из таких алгоритмов является перехват запросов ОС на чтение-запись зараженных объектов и затем либо временное лечение этих объектов, либо подстановка вместо них незараженного текста программы.

Полиморфные вирусы трудно поддаются обнаружению, т.к. они не имеют сигнатур, т.е. не содержат ни одного постоянного участка кода. Это достигается шифрованием основного тела вируса и модификацией программы-расшифровщика.

Классификация вирусов по деструктивным возможностям и более подробное описание самих деструктивных возможностей приводится ниже.

Как указывается в [25], файловые вирусы могут внедряться практически во все исполняемые файлы всех популярных ОС. На сегодня известны вирусы, поражающие все типы выполняемых объектов DOS:

командные файлы (ВАТ-файлы); загружаемые драйверы (SYS-файлы);

выполняемые двоичные файлы (СОМ-файлы, ЕХЕ-файлы).

Получив управление, файловый вирус совершает следующие действия:

нерезидентный вирус ищет незараженные файлы на дисках (в том числе на дискетах, если это возможно) и заражает их; затем выполняет, если они есть, дополнительные функции: звуковые и видеоэффекты, деструктивные действия и т.д., после чего возвращает управление основной программе, если она есть;

резидентный вирус проверяет оперативную память на наличие собственной копии и инфицирует память, если память не была заражена ранее. Кроме того, он модифицирует прерывания, связанные с обращениями к файлам. Далее при выполнении этих прерываний вирус будет запускаться и выполнять описанные выше действия.

Загрузочные вирусы заражают загрузочный (boot) сектор гибкого диска, boot сектор или Master Boot Record жесткого диска. Они используют алгоритмы запуска ОС при включении или перезагрузке компьютера: после тестирования оборудования системный загрузчик считывает первый физический сектор диска, с которого производится загрузка и передает управление на А:, С: или CD-ROM в зависимости от параметров, установленных в BIOS Setup.

Заражение дискет производится одним единственным способом: вирус записывает свой код вместо кода boot-сектора дискеты. Известно три способа заражения жеского диска: вирус записывается либо вместо кода MBR, либо вместо кода boot-сектора загрузочного диска, либо модифицирует адрес активного boot-сектора в Disk Partition Table, расположенный в MBR жесткого диска.

Макровирусы - это программы, написанные на языках, встроенных в некоторые системы обработки данных (текстовые редакторы, электронные таблицы и т.п.).

Сетевые вирусы для своего распространения используют протоколы и возможности локальных и глобальных сетей. Для сетевых вирусов характерна способность самостоятельно передавать свой код на сервер (локальный или удаленный) либо рабочую станцию. Некоторые вирусы обладают еще и возможностью запустить этот код на исполнение.

В последнее время широкое распространение получили сетевые черви, использующие для распространения по сети Internet неосторожность и любопытство пользователей. Такой вирус представляет собой сообщение электронной почты интригующего содержания (слоган "I love You", портрет Анны Курниковой с обещанием сообщить о ней интересную информацию и т.д.), к которому прикреплен файл, содержащий текст макровируса. При попытке прочитать файл вирус запускается и рассылает свои копии по всем адресам, содержащимся в базе электронной почты данного компьютера. Деструктивные возможности вируса могут быть какими угодно.

К числу сетевых вирусов могут быть отнесены и скрипт-вирусы, которые обычно проникают в компьютеры в электрон ных письмах, содержащих вложенные файлы-сценарии.

По деструкивным возможностям вирусы можно разделить следующим образом:

безвредные, т.е. никак не влияющие на работу компьютера за исключением уменьшения объема свободной памяти (как оперативной, так и памяти на диске);

неопасные, влияние которых ограничивается уменьшением объема свободной памяти, графическими, звуковыми и прочими эффектами;

опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;

очень опасные, в алгоритм работы которых заложены процедуры, вызывающие потерю программ, уничтожение данных, стирание необходимой для работы компьютера информации, записанной в системных областях, а также оказывающие механические воздействия на компьютер или биологические воздействия на пользователя

Заметим, что термин "безвредный вирус" является относительным и означает только то, что в алгоритм данного вируса преднамеренно не заложено никаких деструктивных действий. Последствия от заражения таким вирусом конкретной системы всегда зависят от особенностей работы этой системы и могут быть весьма тяжелыми.

К числу опасных и очень опасных вирусов относят вирусы, которые частично или полностью нарушают работу программ и/или разрушают файловую систему ЭВМ (вплоть до форматирования жесткого диска). В литературе встречаются сообщения о вирусах, разрушающих аппаратную часть компьютера путем выжигания люминофора на экране, введения в резонанс головок жесткого диска и т.п. Однако, как указано в, существование таких вирусов достоверно не подтверждено.

48