20 Проектирование программного обеспечения аис Компьютерные вирусы и антивирусные средства.

Вирус – программа, способная самостоятельно внедряться в другие программы, файлы и системные области диска и осуществлять различные разрушительные действия.

Первые вирусы появились где-то в конце 60-х - начале 70-х годов, но вирусами их еще не называли. Официально считается, что термин "компьютерный вирус" впервые был употреблен сотрудником одного из американских университетов на 7-ой конференции по безопасности информации в 1984 году. В первой половине 70-х годов появился первый сетевой вирус, который мог самостоятельно войти в сеть через модем и передать свою копию удаленной системе. Для борьбы с этим вирусом была создана первая известная антивирусная программа.

Первый вирус, заражающей документы Word, появился в августе 1995 года ("Concept"). До этого считалось, что вирусом нельзя заразить компьютер при чтении файла, что вирусы передаются только через файлы программ. Летом 1996 года появился вирус "Laroux" ("Лару"), заражающий таблицы Excel.

Первый вирус для Windows 95 появился в январе 1996 года.

Чаще всего вирусы создаются людьми, которые научились программировать, но не знают куда применить свои знания. Многие создаваемые вирусы не выходят в "свет", то есть не получают широкого распространения. В июле 1992 года был создан первый конструктор вирусного кода для IBM-PC совместимых компьютеров.

Существует более 20000 - 30000 различных вирусов, но большинство из них не выходят из лабораторий, где они были созданы.

Вирусы могут передаваться двумя способами: через дискету и по сети.

Признаки наличия вирусов:

1. уменьшение доступного пространства оперативной памяти;

2. изменение количества файлов;

3. изменение размеров файлов;

4. резко замедляется скорость работы системы;

5. начинает зажигаться лампочка обращения к дисководу, хотя обращения нет;

6. зависание системы.

Классификация вирусов

Вирусы можно разделить на классы по следующим основным признакам:

• среда обитания;

• операционная система;

• особенности алгоритма работы;

• деструктивные возможности.

По среде обитания вирусы можно разделить на:

• файловые;

• загрузочные;

• макро;

• сетевые.

Файловые вирусы - это вирусы, которые либо различными способами внедряются в выполняемые файлы (наиболее распространенный тип вирусов), либо создают файлы-двойники, либо используют особенности организации файловой системы.

Загрузочные вирусы записывают себя либо в загрузочный сектор диска (boot-сектор), либо в сектор, содержащий системный загрузчик винчестера (Master Boot Record), либо меняют указатель на активный boot-сектор.

Макро-вирусы поражают файлы документов и электронные таблицы популярных редакторов. Этот тип вирусов не оказывает разрушительного воздействия на систему.

Сетевые вирусы используют для своего распространения протоколы или команды компьютерных сетей и электронной почты.

Существует большое количество сочетаний - например, файлово-загрузочные вирусы, заражающие как файлы, так и загрузочные сектора дисков. Такие вирусы, обычно, имеют сложный алгоритм работы, часто применяют оригинальные методы проникновения в систему, используют стелс и полиморфик-технологии. Другой пример сочетания - сетевой макро-вирус, который не только заражает редактируемые документы, но и рассылает свои копии по электронной почте.

Вирусы можно подразделять по операционной системе объекты которой подвержены заражению данным вирусом. Каждый файловый или сетевой вирус заражает файлы какой-либо одной или нескольких ОС - DOS, Win95/98/2000/NT, OS/2 и т.д. Макро-вирусы заражают файлы форматов Word, Excel. Загрузочные вирусы также ориентированы на конкретные форматы расположения системных данных в загрузочных секторах дисков.

По особенностям алгоритма работы можно выделить группы вирусов, использующих следующие приемы:

• резидентность;

• стелс-алгоритмы;

• самошифрование и полиморфичность;

• нестандартные приемы.

Резидентный вирус при инфицировании компьютера оставляет в оперативной памяти свою резидентную часть, которая затем перехватывает обращения ОС к объектам заражения и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения компьютера или перезагрузки ОС. Нерезидентные вирусы не заражают память компьютера и сохраняют активность ограниченное время. Некоторые вирусы оставляют в оперативной памяти небольщие резидентные программы, которые не распространяют вирус. Такие вирусы считаются нерезидентными.

Резидентными можно считать макро-вирусы, поскольку они постоянно присутствуют в памяти компьютера на все время работы зараженного редактора. При этом роль ОС берет на себя редактор, а понятие "перезагрузка ОС" трактуется как выход из редактора.

Использование стелс-алгоритмов позволяет вирусам полностью или частично скрывать себя в системе. Наиболее распространенным стелс-алгоритмом является перехват запросов ОС на чтение/запись зараженных объектов. Стелс-вирусы при этом либо временно лечат их, либо "подставляют" вместо себя незараженные участки информации. В случае макро-вирусов наиболее популярный способ - запрет вызовов меню просмотра макросов. Одним из первых файловых стелс-вирусов являлся вирус "Frodo", первый загрузочный стелс-вирус – это вирус "Brain" .

Частично стелс-вирусами можно назвать небольшую группу макро-вирусов, которые хранят свой основной код не в самом макросе, а в других областях документа.

Самошифрование и полиморфичность используются практически всеми типами вирусов для того, чтобы максимально усложнить процедуру детектирования вируса. Полиморфик-вирусы - это достаточно труднообнаруживаемые вирусы, не имеющие сигнатур, т.е. не содержащие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик-вируса не будут иметь ни одного совпадения. Это достигается шифрованием основного тела вируса и модификациями программы- расшифровщика.

Нестандартные приемы часто используют в вирусах для того, чтобы как можно глубже спрятать себя в ядре ОС (например вирус "ЗАРАЗА"), защитить от обнаружения свою резидентную копию (например вирусы "TPVO" и "Trout2"), затруднить лечение от вируса и т.д..

По деструктивным возможностям вирусы можно разделить на следющие группы:

• полезные вирусы, которые используются в играх для моделирования нестандартных ситуаций;

• безвредные или неопасные вирусы, то есть вирусы никак не влияющие на работу компьютера (могут только уменьшать свободную память на диске в результате своего распространения, а также создавать различные графические, звуковые и прочие эффекты);

• опасные вирусы, которые могут привести к серьезным сбоям в работе компьютера;

• очень опасные вирусы, в алгоритм работы которых заведомо заложены процедуры, которые могут привести к потере программ, уничтожить данные, стереть необходимую для работы компьютера информацию, записанную в системных областях памяти, и даже, как гласит одна компьютерная легенда, способствовать быстрому износу движущихся частей механизмов - вводить в резонанс и разрушать головки некоторых типов винчестеров.