Чего вирусы не могут.

Чтобы компьютер заразился вирусом, необходимо, чтобы на нем хотя бы раз была выполнена программа, содержащая вирус, а именно:

• Запущен зараженный исполнимый файл или установлен зараженный драйвер;

• Произведена начальная загрузка (либо даже попытка начальной загрузки) с зараженным загрузочным вирусом;

• Открыт на редактирование зараженный документ WORD для Windows или зараженная таблица Excel.

Отсюда следует, что нет оснований бояться заражения компьютерным вирусом, если:

• На компьютер переписываются файлы, не содержащие программ и не подлежащие преобразования в программы, например, графические файлы, текстовые файлы (кроме командных файлов и текстов программ), документы редакторов документов типа ЛЕКСИКОНа или Multi-Edit, информационные файлы баз данных и т.д.;

• На зараженном компьютере производится копирование файлов с одной дискеты на другую или иные действия, не связанные с запуском «чужих» (полученных извне) программ, перезагрузкой с «чужих» дискет или редактирование «чужих» документов Word для Windows или электронная таблица Excel.

Кроме того, вирус заражает лишь программы, и не может заразить оборудование (клавиатуру, монитор и т.д.). Вирус не может заразить или изменить данные, находящиеся на дискетах или съемных дисках с установленной защитой от записи, а также данные, находящиеся на аппаратно защищенных (скажем, установкой перемычки на диске или с помощью комплекса Sheriff) логических дисках.

Методы маскировки вирусов.

Чтобы предотвратить свое обнаружение, многие вирусы применяют довольно хитрые приемы маскировки. Рассмотри несколько разновидностей вирусов.

«Невидимые» вирусы или иначе их называют Стелс - вирусы.

Многие резидентные вирусы (и файловые, и загрузочные) предотвращают свое обнаружение тем, что перехватывают обращение операционной системы (и тем самым прикладных программ) к зараженным файлам и областям диска и выдают их в исходном (незараженном) виде.

Такие вирусы называются невидимыми, или stealts «СТЕЛС» вирусы. Разумеется, эффект «невидимости» наблюдается только на зараженном компьютере - на «чистом» компьютере изменения в файлах и загрузочных областях диска можно легко обнаружить.

Примечание. Некоторые антивирусные программы могут обнаруживать «невидимые» вирусы даже на зараженном компьютере. Для этого они выполняют чтение диска, не пользуясь услугами DOS. Например, AntiVirus и др.

Некоторые антивирусные программы используют для борьбы с вирусами свойство «невидимых» файловых вирусов «вылечивать» зараженные файлы. Они считывают (при работающем вирусе) информацию из зараженных файлов и записывают её в файл или файлы. Затем уже после загрузки с «чистой» дискеты, исполнимые файлы восстанавливаются в исходном виде.

Шифрование своего кода.

Вирусы часто содержат внутри себя различные сообщения, что позволяет заподозрить неладное при просмотре содержащих вирус файлов или областей дисков. Чтобы затруднить свое обнаружение, некоторые вирусы шифруют свое содержимое, та что при просмотре зараженных ими объектов (даже на «чистом» компьютере, то есть когда вирус не активирован) никаких подозрительных текстовых строк Вы не увидите.

Полиморфные вирусы.

Еще один способ, применяемый вирусами для того, чтобы укрыться от обнаружения, - модификация своего тела. Это затрудняет нахождение таких вирусов программами - детекторами - в теле таких вирусов не имеется ни одной цепочки байтов, по которым можно было бы идентифицировать вирус. Такие вирусы называются полиморфными, или самомодифицирующимися.

Примечание. Многие полиморфные вирусы используют шифрование своего кода, меняя параметры этой кодировки при создании каждой копии. Кроме того, они тем или иным способом изменяют и свою стартовую часть, которая служит для раскодировки остальных команд вируса.

В простейших полиморфных вирусах вариации их кода ограничиваются использованием одних регистров компьютера вместо других, добавлением «незначащих» команд и т.д. И программы - детекторы приспособились обнаруживать команды в стартовой части вируса, несмотря на маскирующие изменения в них. Но имеются вирусы с чрезвычайно сложными механизмами самомодификации. В них каждая значащая инструкция передается одним из сотен тысяч возможных вариантов, при этом используется более половины всех команд процессора.

Тем не менее, имеются антивирусные программы - детекторы, способные обнаруживать даже такие сложные полиморфные вирусы. Как правило, они содержат эмулятор (программный эквивалент) процессора, то есть могут интерпретировать программы без их реального выполнения (на настоящем, незараженном компьютере). Такие детекторы интерпретируют анализируемые программы, то есть «выполняют» их на программном эквиваленте процессора, и в ходе этого «выполнения» решают, является ли анализируемая программа вирусом или нет. Эта задача очень сложна (точнее, нерешима), поскольку вирусы не используют каких-то специфических действий, которые не применялись бы другими программами. Однако лучшие детекторы способны отлавливать неизвестные полиморфные вирусы в более чем 80 % случаев при очень малом количестве ложных тревог.

Примером такой программы является Dr.Web из антивирусного комплекта DSAV фирмы «Диалог - Наука».

Неизменение длины файлов.

Ранние файловые вирусы при заражении увеличивали длину файлов, что позволило их легко обнаруживать. Однако затем появились вирусы, не увеличивающие длину файлов. Для этого, они могут записывать в свой код в «пустые» участки внутри файлов, сжимать код заражаемого файла и т.д. Разумеется, «невидимым» вирусам к таким уловкам прибегать нужды нет.

ОСОБЫЕ ВИДЫ ВИРУСОВ.

В этом параграфе мы опишем два вида вирусов, внедряющихся не в сами файлы, а в файловую систему на дисках. Эти вирусы требуют особого отношения, поскольку стандартные методы лечения могут привести к потери данных (для вирусов семейство DIR) или не излечивают от вируса (для вирусов семейства ЗАРАЗА).

Вирусы семейство DIR.

В 1991 году появились вирусы нового типа - вирусы, меняющие файловую систему. Эти вирусы обычно назывались DIR. Такие вирусы прячут свое тело в необходимый участок диска (обычно - в последний кластер диска) и помечают его в таблицу размещения файлов (FAT) как конец файла или как дефектный участок. Для всех .COM и .EXE- файлов указывают на первый кластер (участок) файла, содержащий в соответствующих элементах каталога, заменяется ссылкой на участок диска, содержащихся вирус, а правильный указатель в закодированном виде прячется в неиспользуемой части элемента каталога. Поэтому при запуске любой программы в память загружается вирус, после чего он остается в памяти резидентно, подключается к программам DOS для обработки файлов на диске и при всех обращениях к элементам каталога выдает правильные ссылки.

Таким образом, при работающем вирусе файловая система на диске на «чистом» компьютере также ничего странного не наблюдается. Разве лишь при попытке прочесть или скопировать с заражённой дискеты программные файлы из них будут прочитаны или скопированы только 512 или 1024 байта, даже если гораздо длиннее. А диск, как по волшебству начинает казаться исправным (неудивительно, ведь компьютер при этом становится зараженным).

При анализе на «чистом» компьютере с помощью программ ChkDisk, ScanDisk или NDD файловая система зараженного DIR- вирусом диска кажется совершенно испорченной. Так, программа ChkDsk выдает кучу сообщений о пересечениях файлов («. . .cross linked on cluster . . .») и о цепочках потерянных кластеров («. . . lost cluster found in . . . chains»).

Особая опасность вирусов семейства DIR состоит в том, что повреждения файловой структуры, сделанные этим вирусом, не следует исправлять программами типа ScanDisk или NDD - при этом диск окажется безнадежно испорченным. Для исправления надо применить только антивирусные программы.

Примечание. Вирусы семейства DIR формально относят к файловым, хотя они меняют не сами файлы, а способ обращения операционной системы к этим файлам.