- •Классификация именований вирусов по «Доктор Веб»
- •2.1. Файловые вирусы
- •2.1.1. Overwriting-вирусы
- •2.1.2. Parasitic-вирусы
- •2.1.3. Companion-вирусы
- •2.1.4. Link-вирусы
- •2.1.5. Файловые черви
- •2.1.7. Алгоритм работы файлового вируса
- •2.1.8. Особые случаи
- •2. 2. Загрузочные вирусы
- •2.3 Макровирусы
- •2.3.1. Word-, Excel-, Office 97-вирусы
- •2.3.2. Алгоритм работы Word-макровирусов
- •2.3.3. Алгоритм работы Excel-макровирусов
- •2.3.4. AmiPro-вирусы
- •2.4. Сетевые вирусы
- •2.5. Прочие вредные программы
- •2.5.1. "Троянские кони" (логические бомбы)
- •2.5.2. Intended-вирусы
- •2.5.3. Конструкторы вирусов
- •2.5.4. Полиморфные генераторы
- •2.6. Резидентные вирусы
- •2.6.2. Загрузочные вирусы
- •2.6.3. Windows-вирусы
- •2.6.4. Макровирусы
- •2.7. "Стелс"-вирусы
- •2.7.1. Загрузочные вирусы
- •2.7.2. Файловые вирусы
- •2.7.3. Макровирусы
- •2.8. Полиморфик-вирусы
- •2.8.1. Полиморфные расшифровщики
- •2.8.2. Уровни полиморфизма
- •2.8.3. Изменение выполняемого кода
- •Глава 3 Методы обнаружения и удаления компьютерных вирусов
- •3.1 Профилактика заражения компьютера
- •3.2. Откуда берутся вирусы
- •3.2.1. Глобальные сети — электронная почта
- •3.2.2. Электронные конференции, файл-серверы ftp и bbs
- •3.2.3. Локальные сети
- •3.2.4. Пиратское программное обеспечение
- •3.2.5. Персональные компьютеры общего пользования
- •3.2.6. Ремонтные службы
- •3.3. Основные правила защиты
- •3.4.2. Типы антивирусов
- •3.4.3. Антивирусные программы, наиболее известные в России
- •3.4.4. Методика использования антивирусных программ
- •3.5. Обнаружение неизвестного вируса
- •3.6. Обнаружение загрузочного вируса
- •3.7. Обнаружение файлового вируса
- •3.8. Обнаружение макровируса
- •3.9. Обнаружение резидентного вируса
- •3.9.2. Windows-вирусы
- •3.10. Анализ алгоритма вируса
- •3.11. Восстановление пораженных объектов
- •3.11.1. Восстановление файлов-документов и таблиц
- •3.11.2. Восстановление загрузочных секторов
- •3.11.3. Восстановление файлов
- •3.11.4. Дезактивация оперативной памяти
Дисциплина: "Информатика"
Задания для подготовки к тестированию по теме
"09 Локальные и глобальные сети ЭВМ"
Классификация именований вирусов по «Доктор Веб»
"HLL." (High Level Language) вирусы
Вирусы, написанные на языках программирования высокого уровня, таких как C, C++, Pascal, Basic и другие. В некоторых случаях вирусный код компилированных HLL - вирусов сжимают с использованием различных утилит уплотнения (PKLITE, LZEXE, DIET и др).
В группе HLL-вирусов выделяют несколько классов:
"HLLC." (High Level Language Companion) - вирус-компаньон, написанный на языке программирования высокого уровня. Такой вирус использует алгоритм инфицирования, который базируется на манипулировании именами файлов в файловой системе. Обычно HLLC - вирус переименовывает оригиналы исполняемых файлов (или перемещает их в другие директории), а затем использует названия оригинальных исполняемых файлов для создания на их месте вирусной копии.
"HLLO." (High Level Language Overwriting) -перезаписывающий вирус, написанный на языке программирования высокого уровня. HLLO - вирус перезаписывает данные файла-жертвы.
"HLLP." (High Level Language Parasitic) -паразитический вирус, написанный на языке программирования высокого уровня. HLLP - вирус поражает исполняемые файлы, не повреждая оригинальные данные файла - жертвы.
"HLLW." (High Level Language Worm) - вирусная программа-червь, написанная на языке программирования высокого уровня. Для распространения эти вирусы не нуждаются в хост-файле, а копируют себя в системные директории.
"HLLM." (High Level Language MassMailing Worm) - вирусные программы-черви массовой рассылки, написанные на языке программирования высокого уровня.
Троянские кони
"Trojan." - общее название для различных Троянских коней (Троянцев) :
"PWS." - Троянский конь, который ворует пароли. Как правило, префикс такой вирусной программы дополняется словом "Trojan." - "Trojan.PWS."
"Backdoor." - вирусная троянская программа, которая содержит в себе RAT-функцию (RAT - Remote Administration Tool - утилита удаленного администрирования).
Silly-вирусы
Вирусы, которые не обладают никакими особенными характеристиками (такими как текстовые строки, специальные эффекты и т.д.) вследствие чего нет возможности присвоить таким вирусам особенные названия.
"SillyC." - не резидентные в памяти вирусы, объектами поражения которых являются только COM-файлы;
"SillyE." - не резидентные в памяти вирусы, объектами поражения которых являются только EXE-файлы;
"SillyCE." - не резидентные в памяти вирусы, объектами поражения которых являются только COM- и EXE-файлы;
"SillyRC." - резидентные в памяти вирусы, объектами поражения которых являются только COM-файлы;
"SillyRE." - резидентные в памяти вирусы, объектами поражения которых являются только EXE-файлы;
"SillyRCE." - резидентные в памяти вирусы, объектами поражения которых являются только COM- и EXE-файлы;
"SillyO." -не резидентные в памяти вирусы, которые перезаписывают файлы;
"SillyOR." - резидентные в памяти вирусы, которые перезаписывают файлы.
Вирусы, поражающие различные операционные системы
"Win." - поражает 16 битовые исполняемые программы (NE) в операционной системе Windows NE - NewExe - формат исполняемых файлов операционной системы Windows 3.xx . Некоторые из этих вирусов могут работать не только в среде Windows'3.xx но также и в Win'95/98/NT.
"Win95." - поражает 32 битовые исполняемые программы (PE и LE(VxD) операционной системы Windows и только в среде Windows 95/98
"WinNT." - поражает 32 битовые исполняемые программы (PE) операционной системы Windows и действуют только в среде Windows NT;
"Win32." - поражает 32 битовые исполняемые программы (PE) операционной системы Windows и действуют в различных средах - Windows 95/98/NT;
"OS2." - поражают исполняемые программы (LX) операционной системы OS/2 и действуют только в среде OS/2;
"Linux." - поражают исполняемые программы операционной системы Linux и действуют только в среде Linux;
"Java." - вирусы написанные на языке программирования Java;
Макро-вирусы для MS Office.
Эти вирусы используют особенности форматов файлов и встроенные макро-языки приложений MS Office (Word Basic для MS Word 6.0-7.0; VBA3 для MS Excel 5.0-7.0; VBA5 для MS Office'97; VBA6 для MS Office'2000).
"WM." - инфицированию подвергаются документы и шаблоны MS Word 6.0-7.0;
"XM." - инфицированию подвергаются документы MS Excel 5.0-7.0 ;
"W97M." - инфицированию подвергаются документы и шаблоны MS Word 8.0-9.0 (MS Office'97/2000);
"X97M." - инфицированию подвергаются документы MS Excel 8.0-9.0 (MS Office'97/2000) ;
"A97M." - инфицированию подвергаются базы данных MS Access'97/2000;
"O97M." - мультиплатформенные макро-вирусы, инфицированию которыми подвергаются одновременно несколько приложений MS Office.
Скрипт-вирусы
Такие вирусы пишутся на различных языках сценариев. Как правило, это VBS-, JS- и WScript- вирусные программы-черви, которые распространяются через электронную почту.
"VBS." - вирусы, написанные на языке Visual Basic Script;
"JS." - вирусы, написанные на языке Java Script language;
"WScript." - VBS- и/или JS- черви обычно встроены в HTML-файлы.
"BAT." - вирусы, написанные на языке командного интерпретатора MS-DOS
Другие суффиксы
"IRC."- вирусные программы-черви, которые распространяются, используя среду Internet Relayed Chat channels.
Также при именовании вирусов компания "Доктор Веб" использует следующие суффиксы:
".generator" - так называемый «Вирусный конструктор»
".based" - этот суффикс означает, что вирус был сгенерирован специальной программой «Вирусный конструктор» или что вирус был создан как модификация какого-то "basic" вирусного кода
".dropper" - общее название для «инсталлятора» вируса. Не является сам вирусом. При запуске производит вирус и инсталлирует его в операционную систему (в исполняемый файл, документ, загрузочный сектор и т.д.).
Вирусы можно разделить на классы по следующим основным признакам:
— среда обитания;
— операционная система (ОС);
— особенности алгоритма работы;
— деструктивные возможности. В зависимости от среды обитания вирусы можно разделить на:
— файловые;
— загрузочные;
— макровирусы;
— сетевые.
Файловые вирусы либо различными способами внедряются в выполняемые файлы (наиболее распространенный тип вирусов), либо создают файлы-двойники (вирусы-компаньоны), либо используют особенности организации файловой системы (link-вирусы).
Загрузочные вирусы записывают себя либо в загрузочный сектор диска (boot-сектор), либо в сектор, содержащий системный загрузчик винчестера (Master Boot Record), либо меняют указатель на активный boot-сектор.
Макровирусы заражают файлы-документы и электронные таблицы нескольких популярных редакторов.
Сетевые вирусы используют для своего распространения протоколы или команды компьютерных сетей и электронной почты.
Существует большое количество сочетаний, например файлово-загрузоч-ные вирусы, заражающие как файлы, так и загрузочные сектора дисков. Такие вирусы, как правило, имеют довольно сложный алгоритм работы, часто применяют оригинальные методы проникновения в систему, используют "стеле-" и полиморфик-технологии. Другой пример такого сочетания — сетевой макровирус, который не только заражает редактируемые документы, но и рассылает свои копии по электронной почте.
Заражаемая операционная система (вернее, ОС, объекты которой подвержены заражению) является вторым уровнем деления вирусов на классы. Каждый файловый или сетевой вирус заражает файлы какой-либо одной или нескольких ОС — DOS, Windows, Win95/NT, OS/2 и т. д. Макровирусы заражают файлы форматов Word, Excel, Office 97. Загрузочные вирусы также ориентированы на конкретные форматы расположения системных данных в загрузочных секторах дисков.
Среди особенностей алгоритма работы вирусов выделяются следующие:
— резидентность;
— использование "стелс"-алгоритмов;
— самошифрование и полиморфичность;
— использование нестандартных приемов.
Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращения ОС к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения компьютера или перезагрузки ОС. Нерезидентные вирусы не заражают память компьютера и сохраняют активность ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольшие резидентные программы, которые не распространяют вирус. Такие вирусы считаются нерезидентными.
Резидентными можно считать макровирусы, поскольку они также присутствуют в памяти компьютера в течение всего времени работы зараженного редактора. При этом роль ОС берет на себя редактор, а понятие "перезагрузка операционной системы" трактуется как выход из редактора.
В многозадачных ОС время "жизни" резидентного DOS-вируса также может быть ограничено моментом закрытия зараженного DOS-окна, а активность загрузочных вирусов в некоторых операционных системах ограничивается моментом инсталляции дисковых драйверов ОС.
Использование "стеле"-алгоритмов позволяет вирусам полностью или частично скрыть себя в системе. Наиболее распространенным "стелс"-алго-ритмом является перехват запросов ОС на чтение-запись зараженных объектов и затем "стелс"-вирусы либо временно лечат их, либо подставляют вместо себя незараженные участки информации. В случае макровирусов наиболее популярный способ — запрет вызовов меню просмотра макросов. Один из первых файловых "стелс"-вирусов — вирус Frodo, первый загрузочный "стелс"-вирус — Brain.
Самошифрование и полиморфичность используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру обнаружения вируса. Полиморфик-вирусы (polymorphic) достаточно трудно поддаются обнаружению; они не имеют сигнатур, т. е. не содержат ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы-расшифровщика.
Различные нестандартные приемы часто используются в вирусах для того, чтобы как можно глубже спрятать себя в ядре ОС (как это делает вирус "ЗАРАЗА"), защитить от обнаружения свою резидентную копию (вирусы TPVO, Trout2), затруднить лечение от вируса (например, помещают свою копию в Flash-BIOS) и т. д.
По деструктивным возможностям вирусы можно разделить на:
— безвредные, т. е. никак не влияющие на работу компьютера (кроме уменьшения свободной памяти на диске в результате своего распространения);
— неопасные, влияние которых ограничивается уменьшением свободной памяти на диске и графическими, звуковыми и прочими эффектами;
— опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;
— очень опасные — в алгоритм их работы заведомо заложены процедуры, которые могут вызвать потерю программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти, и даже, как гласит одна из непроверенных компьютерных легенд, способствовать быстрому износу движущихся частей механизмов — вводить в резонанс и разрушать головки некоторых типов винчестеров.
Но даже если в алгоритме вируса не найдено ветвей, наносящих ущерб системе, этот вирус нельзя с полной уверенностью назвать безвредным, так как проникновение его в компьютер может вызвать непредсказуемые и порой катастрофические последствия. Ведь вирус, как и всякая программа, имеет ошибки, в результате которых могут быть испорчены как файлы, так и сектора дисков (например, вполне безобидный на первый взгляд вирус DenZuk довольно корректно работает с 360-килобайтовыми дискетами, но может уничтожить информацию на дискетах большего объема). До сих пор попадаются вирусы, определяющие СОМ или ЕХЕ не по внутреннему формату файла, а по его расширению. Естественно, что при несовпадении формата и расширения имени файл после заражения оказывается неработоспособным. Возможно также "заклинивание" резидентного вируса и системы при использовании новых версий DOS, при работе в Windows или с другими мощными программными системами. И так далее.