Жизненный цикл компьютерных вирусов

Подобно биологическим вирусам, для большинства компьютерных вирусов характерен определенный инкубационный период. Следует различатьдва основных действия (фазы), выполняемые компьютерные вирусом:

1. Фаза размноженияобычно является первой и обязательной фазой, на которой вирус заражает все новые и новые программы. При этом никаких других действий вирус обычно не выполняет.

2. Фаза проявленияобязательно связана с визуальным или звуковым эффектами. Последние, в основном, характерны для так называемых вирусов - иллюзионистов, которые обычно внезапно демонстрируют свое присутствие с помощью изощренного визуального или звукового эффекта. Фаза проявления может также включать или исключительно заключаться в нанесение вирусом повреждений отдельным файлам или файловой системе компьютера. Повреждения могут быть массированными, когда, например, стираетсяFATи другие системные блоки, или, наоборот, распределенными, когда довольно часто выполняются небольшие, трудно обнаруживаемые повреждения.

Наряду с указанными действиями, вирус может обладать определенной латентной фазой, в течение которой никаких действий по своему размножению не предпринимается. Латентная фаза может быть обусловлена определенным временем периодом (например, определенным месяцем или годом), конфигурацией (например, вирус может активизироваться только при попадании на винчестер) или аппаратным особенностями (например, только наIBMPC).

ЗАМЕЧАНИЯ

1. Компьютерные вирусы «бессмертны»и могут неограниченное время хранится в различного рода архивах. Даже «полностью уничтоженные» вирусы могут сохраниться в каком-нибудь архивном файле и случайно или умышленно «реанимироваться» через много месяцев или даже лет после первоначального обнаружения или уничтожения. Из этого следует важный вывод, что после первого обнаружения и уничтожения вируса следует ожидать повторных заражений. Таким образом, после появления определенного вируса борьба с ним становиться постоянной проблемой.

2. Среда обитания вирусов ограничена выполняемыми программами, т.е. файлами типаEXEиCOM, а такжеBOOT-секторами системных дисков. Не следует бояться, что вирус может быть перенесен через файл данных. В принципе возможно создание вируса, встраивающегося в загружаемые фазы оверлейной программы, однако такие вирусы до настоящего времени распространения не получили. Кроме того, возможен перенос вируса черезBAT– файлы (например, путем вставки вызова вируса в качестве дополнительного шагаBAT– файла), но эта возможность представляется еще более отдаленной.

В любом случае для получения управления вирус должен модифицировать один из исполняемых файлов, поэтому контроль за их целостностью является очень важным методом их обнаружения.

Характерны четыре места, где вирус может спрятать свое тело:

- Область стека некоторой системной программы;

- Начало, конец или середина исполняемого файла;

- BOOT– сектор;

- один или группа сбойных кластеров.

Некоторые типы «троянских программ», встраиваемые в библиотеки компиляторов, близки к вирусам, однако в данном случае они могут распространяться только на компилируемые (с помощью данного компилятора) программы. Способности к саморазмножению у данного типа программ нет, а именно она характерна для вирусов.