1.2 Деятельность вирусов

Различные вирусы выполняют различные действия:

- выводят на экран мешающие текстовые сообщения (поздравления, политические лозунги, фразы с претензией на юмор и т.д.);

- создают звуковые эффекты (гимн, гамма, популярная мелодия);

- создают видео эффекты (переворачивают или сдвигают экран, имитируют землетрясение, вызывают опадание букв в тексте, выводят картинки и т.д.);

- замедляют работу ЭВМ, постепенно уменьшают объем свободной оперативной памяти;

- увеличивают износ оборудования (например, головок дисководов);

- вызывают отказ отдельных устройств, зависание или перезагрузку компьютера и крах работы всей ЭВМ;

- уничтожают FAT, форматируют жесткий диск, стирают BIOS, уничтожают или изменяют данные, стирают антивирусные программы;

- осуществляют научный, технический, промышленный и финансовый шпионаж;

- выводят из строя системы защиты информации и т.д.

Главная опасность самовоспроизводящихся кодов заключается в том, что программы-вирусы начинают жить собственной жизнью, практически не зависящей от разработчика программы. Так же, как в цепной реакции в ядерном реакторе, запущенный процесс трудно остановить.

Симптомы вирусного заражения ЭВМ:

- замедление работы некоторых программ

- увеличение размеров файлов (особенно выполняемых)

- появление не существовавших ранее «странных» файлов

- уменьшение объема доступной оперативной памяти (по сравнению с обычным режимом работы)

- внезапно возникающие разнообразные видео и звуковые эффекты

- появление сбоев в работе ОС (в т.ч. зависание)

- запись информации на диски в моменты времени, когда этого не должно происходить

- прекращение работы или неправильная работа ранее нормально функционировавших программ.

1.3 Классификация вирусов

Существует большое число различных классификаций вирусов:

-по среде обитания:

1. Сетевые – распространяются по сетям (Melissa).

2. Файловые – инфицируют исполняемые файлы с расширениями .exe, .com. Также к этому классу относятся макровирусы, которые заражают неисполняемые файлы (например, в MS WORD или в MS EXCEL).

3. Загрузочные – внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Record - MBR). Некоторые вирусы записывают свое тело в свободные сектора диска, помечая их в FAT как «плохие».

4. Файлово-загрузочные – способны заражать и загрузочные секторы, и файлы.

- по способу заражения:

1. Резидентные – оставляют в оперативной памяти свою резидентную часть, которая затем перехватывает обращения программ к ОС и внедряется в них. Свои деструктивные действия вирус может повторять многократно.

2. Нерезидентные – не заражают оперативную память и проявляют свою активность лишь однократно при запуске зараженной программы.

- по степени опасности:

1. Неопасные – например, на экране появляется сообщение: «Хочу чучу». Если набрать на клавиатуре слово «чуча», то вирус временно «успокаивается».

2. Опасные – уничтожают часть файлов на диске.

3. Очень опасные – самостоятельно форматируют жесткий диск. (CIH – активизируется 26 числа каждого месяца и способен уничтожать данные на жестком диске и в BIOS).

- по особенностям алгоритма:

1. Вирусы-компаньоны – создают для ехе-файлов новые файлы-спутники, имеющие то же имя, но с расширением com. Вирус записывается в com-файл и никак не изменяет одноименный ехе-файл. При запуске такого файла ОС первым обнаружит и выполнит com-файл, т.е. вирус, который затем запустит и ехе-файл.

2. Паразитические – изменяют содержимое дисковых секторов или файлов.

3. Репликаторы – черви (рисунок 1) – распространяются в сети. Они проникают в память компьютера из сети, вычисляют сетевые адреса других компьютеров и рассылают по этим адресам свои копии. Черви уменьшают пропускную способность сети, замедляют работу серверов. Могут размножаться без внедрения в другие программы и иметь «начинку» из компьютерных вирусов. («Червь Морриса» в конце 80-х парализовал несколько глобальных сетей в США).

4. Невидимки (стелс) – маскируют свое присутствие в ЭВМ, их трудно обнаружить. Они перехватывают обращения ОС к пораженным файлам или секторам дисков и «подставляют» незараженные участки файлов.

5. Мутанты (призраки, полиморфные вирусы, полиморфики) – их трудно обнаружить, т.к. их копии практически не содержат полностью совпадающих участков кода. Это достигается тем, что в программы вирусов добавляются пустые команды (мусор), которые не изменяют алгоритм работы вируса, но затрудняют их выявление. (OneHalf – локальные «эпидемии» его возникают регулярно).

6. Макровирусы – используют возможности макроязыков, встроенных в системы обработки данных (Word, Excel).

7. «Троянские кони» – маскируются под полезную или интересную программу, выполняя во время своего функционирования еще и разрушительную работу (например, стирает FAT) или собирает на компьютере информацию, не подлежащую разглашению. Не обладают свойством самовоспроизводства.

Рисунок 1 – Компьютерный вирус Червь

- по целостности:

1. Монолитные – программа вируса - единый блок, который можно обнаружить после инфицирования.

2. Распределенные – программа разделена на части. Эти части содержат инструкции, которые указывают компьютеру, как собрать их воедино, чтобы воссоздать вирус.

- по языку, на котором написан вирус (ассемблер, высокоуровневый язык программирования, сценарный язык и др.);

- по дополнительной вредоносной функциональности (бэкдоры шпионы, ботнеты и др.).