4.9.3 Компьютерные вирусы, происхождение и основные типы

Проблема компьютерных вирусов в настоящее время, в связи с внедрением сетевой технологии, становится особенно острой.

Компьютерный вирус  это небольшая по размеру программа (от 200 до 5000 байт), обладающая следующими свойствами:

- она способна самостоятельно, без санкции пользователя, проникать (осуществлять «самозапись») на магнитные носители  жесткие диски и дискеты;

- «вирусный модуль» не имеет собственного имени и добавляет свое «тело» к уже имеющимся на нем файлам, или записывает себя в отдельный рабочий кластер диска, помечая его как сбойный (дефектный), либо размещается в области так называемых старших адресов адресного пространства;

- вирус осуществляет несанкционированные пользователем действия, определяемые содержащейся в нем программой. Например, поражать аппаратную часть вычислительной системы (области оперативной памяти компьютера, содержимое перезаписываемого программируемого запоминающего устройства (Flash BIOS)), файлы операционной системы, а также выполняемые программы и документы различных приложений.

Вирус подобно своему биологическому аналогу имеет жизненный цикл. В нем обычно выделяют четыре фазы:

 инфицирования (латентный период);

 воспроизводства (инкубационный период);

 проявления, в рамках которого происходят его воспроизводство и нарушение работы зараженных компонентов операционной среды и приложений;

 уничтожения.

Свое действие вирусы часто проявляют через некоторое время, например, при вступлении какого-либо события, условия в аппаратно-программной среде компьютера (при перезагрузке компьютера, подключении периферийного устройства, запуске файлов определенного типа и т.д.) либо сети.

В настоящее время известно более 5000 программных вирусов, их можно классифицировать по следующим признакам:

1. Среде обитания.

2. Способу заражения среды обитания.

3. Воздействию (особенности поведения).

1. В зависимости от среды обитания вирусы можно разделить на а) файловые; б) загрузочные; в) файлово-загрузочные (комбинированные); г) макровирусы приложений; д) сетевые.

Файловые вирусы внедряются главным образом в исполняемые модули, то есть в файлы, имеющие расширения СОМ и ЕХЕ. Файловые вирусы могут внедряться и в другие типы файлов, но, как правило, записанные в таких файлах, они никогда не получают управление и, следовательно, теряют способность к размножению.

Загрузочные вирусы внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Rеcord).

Файлово-загрузочные вирусы заражают как файлы, так и загрузочные секторы дисков.

Макровирусы приложений, используя возможности макроязыков систем обработки данных, разрушают обрабатываемую ими информацию. Известны случаи заражения макровирусами приложений, разрабатываемых в средах продуктов Microsoft Office. Например, искажение текстов документов, подготавливаемых в среде редактора Microsoft Word, и электронных таблиц Microsoft Excel. Вирус внедряется в среду при открытии на редактирование зараженного файла. В момент открытия файла-документа система вызывает находящиеся в документе вирусные глобальные макросы, написанные на языке Basic for Application. Они автоматически копируются в документы по командам Файл|Сохранить и Файл|Сохранить как... . Кроме того, эти макросы автоматически записываются в DOT-файл (файл с шаблоном документа) при выходе из системы, что обеспечивает их автоматическую загрузку в следующем сеансе работы с офисной программой. Ныне появились вирусы, объектами разрушения которых стали фото- и видеофайлы, передаваемые по электронной почте.

Сетевые вирусы распространяются по различным компьютерным сетям. В числе сетевых находятся скрипт-вирусы (вирусы-программ, написанных на языках скриптов, например, Visual Basic Script и Java Script).

2. По способу заражения среды обитания вирусы можно разделить наследующие виды: а) резидентные б) нерезидентные.

Местом размещения резидентных вирусов в оперативной памяти компьютера могут быть обычная память по фиксированному адресу; дисковый буфер; область данных; таблица векторов. Резидентный вирус получает возможность заражать файлы и проявляться независимо от первоначального зараженного файла.

Нерезидентные вирусы активны только в течение какого-то промежутка времени. При запуске зараженного файла вирус получает управление, выполняет некоторые действия и возвращает управление коду, в который он был внедрен.

3. По особенности поведения вирусы подразделяются:

- на немаскирующиеся;

- на компаньон-вирусы. Порождают файлы типа .com, имена которых соответствуют файлам типа .ехе. Поэтому спутники-файлы запускаются в первую очередь, передавая затем управление одноименным ехе-файлам, вследствие чего происходит замедление работы запускаемых программ;

- на деструктивные вирусы. При распространении своих копий они обязательно изменяют содержимое дисковых секторов или файлов;

- на самошифрующиеся (вирусы-призраки) представляют собой программы с изменяющимся размером кода, из-за чего их обнаружить достаточно трудно;

- на стелс-вирусы (вирусы-невидимки, не обнаруживаемые, например, при просмотре файлов на диске). Перехватывают обращения операционной системы к пораженным файлам или секторам дисков и обмениваются с незараженными фрагментами данных. Кроме того, они могут быть невидимыми для резидентных программ – антивирусных мониторов;

- на сетевые черви. Распространяются в компьютерной сети часто с целью блокирования доступа к сетевому ресурсу легальных пользователей, работы хост-компьютеров, проникают в операционную систему компьютера, находят адреса других компьютеров или пользователей и рассылают по адресам свои копии, используя разную среду распространения. Опасным вирусом такого типа считается KiezH, который при распространении электронной почты способен постоянно самомодифицироваться.

Почтовые черви могут переносить вредоносные программы, генерирующие в сети огромное множество пакетов разных протоколов, либо запускаемые для выполнения деструктивных действий в определенные моменты времени. В таких случаях управление атакой может быть организовано с одного либо нескольких сетевых узлов.

Полиморфные черви изменяют свое поведение при инфицировании.

Эволюционирующие (с генетическими механизмами) пока не отмечены.

Вирусы-шпионы. К их числу относятся так называемые программы типа «троянский конь» и клавиатурные шпионы.

Троянские программы, или просто троянцы, – это вредоносные программы, которые сами не размножаются, а, маскируясь под популярную программу, побуждают пользователя переписать и установить на свой компьютер вредителя самостоятельно.

По выполняемым вредоносным действиям троянские программы можно условно разделить на следующие виды:

• утилиты несанкционированного удаленного администрирования. Позволяют злоумышленнику удаленно управлять зараженным компьютером. Программы, используемые для этих целей, называются также эксплоитами. Атакам программ-эксплоитов в основном подвергаются серверы. Стратегия хакеров обычно реализуется в три этапа. На первом этапе они выясняют состав программ и оборудования в локальной сети «жертвы». На втором этапе они разыскивают информацию об известных ошибках в данных программах (об уязвимостях). На третьем этапе они готовят программы-эксплоиты для эксплуатации обнаруженных уязвимостей;

• утилиты для проведения DDoS-атак (Distributed Denial of Service – распределенные атаки типа «отказ в обслуживании»). Исчерпывают ресурсы информационной системы жертвы, в результате чего система перестает выполнять свои функции и становится недоступной;

• шпионские программы. Тайно наблюдают за действиями пользователя и записывают в свой журнал интересующие данные;

• рекламные программы (баннеры). Позволяют встроить рекламные объявления в какое-нибудь наиболее часто используемое приложение;

• программы дозвона. Пытаются с помощью модема и телефонной линии дозвониться до платного сервера и вынудить пользователя оплатить услуги;

• серверы рассылки спама. Дают возможность превратить чужой компьютер в сервер рассылки спама;

• многокомпонентные троянцы-загрузчики. Переписывают из Интернета и внедряют в систему другие вредоносные коды или вредоносные дополнительные компоненты.