Вирусы семейства зараза.

Еще один необычный способ - это вирусы, заражающие системный файл IO.SYS. Семейство этих вирусов обычно называется ЗАРАЗА, поскольку первый такой вирус выводил сообщение «В ВООЕ СЕКТОРЕ - ЗАРАЗА!».

Данные вирусы являются файлово - загрузочными и используют рассогласование между механизмом начальной загрузки DOS и обычным механизмом работы с файлами. При начальной загрузке MS-DOS проверяется, что имена двух первых элементов в корневом каталоге загрузочного диска IO.SYS и MSDOS.SYS, но атрибуты этих элементов не проверяется. Если имена совпадают, то программа начальной загрузки считывает в память первый кластер элемента с именем IO.SYS и передаёт ему управление. Пользуясь этим несовершенством программы начальной загрузки, вирус ЗАРАЗА при заражении жестких дисков делает следующее:

• Копирует содержимое файла IO.SYS в конец логического диска;

• Сжимает элементы корневого каталога, начиная с третьего, на один элемент к концу каталога;

• Копирует первый элемент корневого каталога и устанавливает в нем номер начального кластера, указывающий на место, куда было скопировано содержимое файла IO.SYS (как правила, в начало области данных логического диска);

• Области данных корневого каталога диска устанавливает признак «метка тома».

Таким образом, начало оглавления корневого каталога после заражения будет выглядеть так (при просмотре программой Disk Edit):

Name .Ext Size Date Time Cluster Arc R/O Sys Hid Dir Vol

Sector. . .

IO SYS 40744 31.05.05 6:22 2 R/O Sys Hid Vol

MSDOS SYS 38138 14.07.05 23:44 5 R/O Sys Hid

Io SYS 40744 31.05.05 6:22 65616 R/O Sys Hid

. . .

Здесь в столбце «Cluster - кластер (англ.)» у первого элемента стоит 2 - номер кластера диска, куда вирус записал свое тело (и где раньше располагался файл IО.SYS), а у третьего элемента в этом столбце указан номер того кластера, начиная с которого вирус поместил копию файла IО.SYS.

Иначе говоря, в корневом каталоге появляются два элемента с именем IО.SYS, один из которых помечен атрибутом «метка тома». Однако при начальной загрузки это не вызывает сбоев - программа начальной загрузки, проверив, что первые два элемента каталога имеют имена IО.SYS и MS.DOS, загрузит первый кластер, указанный в первом элементе оглавления (на обычном диске - это начала IО.SYS, а на зараженном - код вируса), и передаст ему управление. Вирус загрузит себя в оперативную память, после чего загрузит начало исходного файла IО.SYS и передаст ему управление. Далее начальная загрузка идет, как обычно.

А что же при обычной работе в DOS? Неужели в корневом каталоге не будут видны два элемента с именем IО.SYS? Оказывается, нет. DOS и все программы (кроме программы начальной загрузки) будут считать первый элемент каталога, раз он помечен «метка тома» , описанием метки диска С:. А метки игнорируются при обработке файлов и каталогов, поэтому первый элемент с именем IО.SYS не будет виден при просмотре корневого каталога. Разве лишь метка для диска С:, выводимая при вводе команды VOL C:, станет «IO SYS» (некоторые программы будут показывать её как IOSYS). Однако мало кто из пользователей обращает внимание на метки дисков!

Опасность вирусов семейства ЗАРАРЗА состоит в том, что даже загрузить компьютер с «чистой» системной дискеты и ввести команду SYS C: , вирус не будет удален с диска! Команда SYS, как и остальные программы DOS, проигнорирует указывающий на вирус первый элемент корневого каталога, посчитав его описанием метки. Перезаписан будет лишь «файл-дублер» IO.SYS, описанный в третьем элементе корневого каталога. Причем если программа запишет файл IO.SYS в новое место на диске, то система перестанет загружаться с жесткого диска, т.к., вирус в своем теле хранит адрес начального сектора исходного сектора исходного файла IO.SYS.

Поэтому обеззараживать диски, инфицированные вирусами семейства ЗАРАЗА, командой SYS не следует, это надо делать антивирусными программами. Основным симптом вируса семейства ЗАРАЗА является метка тома «IO SYS», т.е. в ответ на команду DOS VOL C: выводится:

Volume in drive C is IO SYS

Volume Serial Number is . .

В крайнем случае , можно использовать следующий приём: с помощью программы Disc Edit снять у первых трех элементов (первый и третий - с именами IO.SYS, второй - с именем MSDOS.SYS) корневого каталога диска С: на жестком диске атрибуты «скрытый», «системный», «только для чтения» и «метка тома», переименовав при этом один из элементов с именем IO.SYS, например, в IOI.SYS:

Name . Ext Size Date Time Cluster Arc R/O Sys Hid Dir Vol

Sector…

Io SYS 40744 31.05.05 6:22 2

MSDOS SYS 38138 14.07.05 23:44 5

IO1 SYS 40744 31.05.05 6:22 65616

После этого файлы IO.SYS, IO1.SYS и MSDOS.SYS можно удалить командой Del. Теперь команда SYS C: сможет записать на диск С: чистые системные файлы.

Оглавление.

1. Пояснительная записка. . . . . . . . . . . .. . . . . . .. . . .. . . . . .. . . .. . .. 1-4

2. Базовая система ввода - вывода информации…………………… 5-7

3. Виды форматирования …………………………………………… 7-8

4. Структура размещения информации на жестком диске……….. 8-9

5. Файловая система NTFS…………………………………………. 9

6. Дефрагментация диска …………………………………………… 9-10

7. Что такое компьютерный вирус………………………………….. 10

8. Как работает вирусная программа……………………………….. 10

9. Резидентные вирусы………………………………………………. 10

10. Опасные и неопасные вирусы. Неопасные вирусы……………. 11

11. Опасные и очень опасные вирусы………………………………. 11

12. Заражаемые объекты…………………………………………….. 11

13. Файловые вирусы………………………………………………… 11

14. Загрузочные вирусы……………………………………………… 11 - 12

15. Вирусы, заражаемые драйверы………………………………….. 12 - 16. Вирусы, заражающие системные файлы DOS…………………….. 12

16. Вирусы, заражающие документы для WORD…………………. 13

17. Сетевые вирусы…………………………………………………. 13-14

18. Вирусы, заражающие другие объекты………………………… 14

19. Что вирус не может заразить…………………………………… 14-15

20. Антивирусные программы……………………………………... 15

21. Виды антивирусных программ. Детекторы…………………… 15

22. Ревизоры………………………………………………………… 15

23. Сторожа…………………………………………………………. 16

24. Использование антивирусных программ………………………. 16-17

25. Антивирусные комплексы……………………………………… 17

26. Профилактика против вируса. Проверка извне данных………………………………………………………………. 17-18

27. Периодическая проверка на наличие вируса…………………. 18

28. Защита от загрузочных вирусов………………………………. 18

29. Защита от вирусов документов WRD для WINDOWS……… 18-19

30. Обновление антивирусных программ ………………………… 19

31. Действия при заражении вирусом. Первые признаки заражения вирусом………………………………………………………………. 19-20

32. Пять правил………………………………………………………. 20-21

33. Раннее обнаружение вируса…………………………………….. 21

34. Правильная перезагрузка………………………………………… 21-22

35. Лечение дисков программами - детекторами…………………… 22-23

36. Запуск программ - детекторов…………………………………... 23

37. Выяснение сведений о вирусе…………………………………… 23

38. Удаление вирусов………………………………………………… 23-24

39. Если детекторы не находят вирусов……………………………. 24

40. Запуск программы - ревизора…………………………………… 24

41. Лечения и последствия………………………………………….. 24

42. Неправильное лечение программой - ревизором………………… 24

43. Действия, предпринимаемые после лечения от компьютерных вирусов………………………………………………………………….. 24-25

44. Восстановление загрузки с жесткого диска……………………… 25

45. Сравнение файлов с резервных копий……………………………. 25

46. Проверка архивов………………………………………………….. 25

47. Проверка архивов…………………………………………………. 25

48. Проверка дискет……………………………………………………. 25

49. Установка антивирусных программ……………………………… 25-26

50. Особые случае. Если вирус не найден…………………………… 26

51. Некорректное лечение системных областей дисков……………. 26-27

52. Если диски не видны……………………………………………… 27

53. Что могут и чего не могут компьютерные вирусы. Вирусофобия….. 27-28

54. Последствия вирусофобии…………………………………………… 28-29

55. Что вирусы не могут……………………………………………….. 29-30

56. Методы маскировки вирусов……………………………………… 30

57. Шифрование своего кода…………………………………………... 30-31

58. Полиморфные вирусы……………………………………………… 31

59. Неизменение длины файлов……………………………………….. 31

60. Особые виды вирусов. Вирусы семейство DIR………………….. 32

61. Вирусы семейства ЗАРАЗА……

Список используемой литературы.

1. А.Г.Гейн, А.И.Сенокосов, Н.А. Юнерман.

Информатика. 10-11 кл. Изд. «Просвещение». 2000 г.

2. Максимов Ю.Я, Осипов С.В, Симоненко О.С.

практическая работа на компьютерах семейства IBM в операционной среде MS -DOS 4.01.

Акционерное общество «ДИАЛОГ - МИФИ». г. Москва. 1991 г.

3. В.Э.Фигурнов. IBM для пользователя. Полностью переработанное 7-ое издание. Изд. «Инфра - М». г. Москва. 1996 г.