Размещено на http://www.allbest.ru/

Анатомия и функционирование компьютерных вирусов

1. История появления вирусов

Компьютерный вирус (КВ) - это самовоспроизводящаяся программа, производящая несанкционированные действия.

КВ - результат взаимодействия трех направлений:

разработка самовоспроизводящихся программ;

создание программ, повреждающих или уничтожающих другие программы;

разработка и освоение массового производства дешевых и мощных ПК.

Идея создания самовоспроизводящихся программ берет свое начало из работ по созданию самовоспроизводящихся механизмов, метод создания которых в 1951 году предложил Джон фон Нейман.

Для того чтобы самовоспроизводящиеся программы могли успешно размножаться, им необходимо определенное “жизненное пространство” - некоторое критическое количество ПК и соответствующий уровень информационных потоков между ними.

В 1987 году количество ПК достигло нескольких миллионов, тогда и произошла первая эпидемия. Пакистанский вирус был написан для наказания американских туристов, покупавших в Пакистане незаконные копии программ.

Вторым историческим предшественником КВ можно считать программы-вандалы и троянские программы. Они содержат скрытый модуль, выполняющий несанкционированные действия.

Программы-вандалы обычно выполняют или имитируют выполнение какой-нибудь полезной или экзотической функции. При этом в качестве побочного эффекта они стирают файлы, разрушают каталоги, форматируют диск и т.д.

Чтобы привлечь пользователей, троянская программа-вандал часто маскируется под новую версию какого-нибудь известного программного продукта.

Толчком к появлению программ-вандалов послужило появление первых компьютерных сетей. При этом автор подсовывает программу в несколько BBS (доска объявлений), пользователи которых затем “попадаются на удочку”. В качестве примера троянской программы-вандала можно привести программу “Сюрприз”. Написанная на Бейсике, она исполняла команду DEL *.*, затем выдавала на экран сообщение “Surprise!”. И таких простых и злобных программ написано немало.

Иногда в качестве самостоятельной разновидности троянских программ-вандалов выделяют так называемые логические мины - скрытые модули, встроенные в ранее разработанную и широко используемую программу. Этот модуль является безвредным до определенного события, при наступлении которого он срабатывает. Подобные программы иногда используются уволенными или обиженными сотрудниками. В истории отечественного программирования был довольно “громкий” случай компьютерного саботажа. В начале 80-х годов газеты сообщили о программисте, который перед увольнением встроил в программу, управлявшую главным конвейером ГАЗа, “мину”, которая через некоторое время привела к остановке конвейера.

Программы, обеспечивающие вход в систему или получение привилегированной функции (режима работы) в обход существующей системы полномочий, называют люками (back door).

Троянские программы могут также использоваться в целях разведки, например, программы для угадывания паролей.

Самой нашумевшей историей, связанной с распространением троянской программы, был случай, получивший название AIDS Information Trojan - троянская программа в составе базы данных по СПИДу. В конце 1989 года программа, записанная на дискете, была разослана злоумышленником в 20 тыс. медицинских организаций. Программа действительно выдавала нужную информацию, а через некоторое время вся информация на винчестере была перекодирована, и на экране появлялось требование заплатить деньги. Автор был арестован через три месяца.

Формально, компьютерным вирусом называется программа, которая может заражать другие программы путем включения в них своей, возможно модифицированной копии, причем последняя сохраняет возможность к дальнейшему размножению. Программа, зараженная вирусом, может рассматриваться как автоматически созданная троянская программа. Зараженные программы передаются через дискеты или по сети на другие компьютеры. Так и возникает эпидемия.

Упрощенно процесс заражения вирусом программных файлов вирусом можно представит следующим образом. Код зараженной программы обычно изменен таким образом, чтобы вирус получил управление первым, до начала работы программы-вирусоносителя.

При передаче управления вирусу он каким-то способом находит новую программу и выполняет вставку собственной копии в начало или конец этой обычно еще не зараженной программы. Если вирус дописывается в конец программы, то он корректирует код программы, чтобы получить управление первым.

После отработки своего тела передает управление программе-вирусоносителю, и та нормально выполняет свои функции.

2. Структура КВ

Наиболее распространенными типами компьютерных вирусов в MS DOS являются файловые нерезидентные, файловые резидентные и бутовые вирусы.

Условно выделяют две части КВ - голову и хвост.

Голова - часть вируса, первой получающая управление.

Хвост - это части вируса, расположенные отдельно от головы. Вирус без хвоста называют несегментированным.

Основные объекты заражения - исполняемые файлы типа .COM, .EXE, .OVL, драйверы .SYS и загрузочная дорожка. При многократном заражении инфицированный файл может содержать тела нескольких вирусов.

Файловый нерезидентный вирус при запуске зараженной программы выполняет следующие действия:

восстанавливает начало программы в оперативной памяти;

находит очередную жертву;

проверяет зараженность жертвы;

внедряет тело вируса в программу- жертву;

передает управление программе-вирусоносителю.

Файловый резидентный вирус помимо файлов заражает оперативную память ПК.

Резидентный вирус можно представить как состоящий из двух относительно независимых частей: инсталлятора (программа установки) и модуля обработки прерываний. При запуске зараженной программы инсталлятор выполняет следующие действия:

восстанавливает начало программы в оперативной памяти;

проверяет зараженность ОЗУ;

перехватывает требуемые прерывания;

передает управление зараженной программе.

Прерывания - это программы операционной системы, выполняющие стандартные действия с файлами, экраном, клавиатурой и т.д. Большинство обычных программ используют прерывания. Для размножения вирусы используют функции работы с файлами. При обращении любой программы к этим функциям происходит заражение по сценарию нерезидентного вируса.

Бутовый вирус - это специализированная разновидность резидентного файлового вируса, который заражает загрузочный сектор гибкого ил жесткого диска. Распространяются бутовые вирусы путем заражения бут-сектора дискет, причем как системных, так и несистемных. Отличительная особенность - голова вируса располагается в загрузочном секторе, а хвост - в неиспользуемых областях диска.

При загрузке с зараженного диска бутовый вирус получает управление и сначала копирует себя в старшие адреса памяти. Затем он уменьшает размер доступной памяти, чтобы защитить резидентную часть вируса, и адрес прерывания 13h, чтобы перехватить обращения к диску, после этого вирус запускает стандартный системный загрузчик.

При чтении любой дискеты вирус проверяет ее на зараженность и инфицирует загрузочный сектор. Теперь при загрузке с этой дискеты произойдет заражение компьютера.

3. Жизненный цикл компьютерных вирусов

Различают два основных действия (фазы), выполняемых компьютерным вирусом: размножение и проявление. Размножение обычно является первым и обязательным действием вируса при получении им управления.

Фаза проявления, на которой выполняются несанкционированные действия, может чередоваться с размножением, начинаться через определенный период или при сочетании некоторых условий. Она может заключаться в изощренных визуальных или звуковых эффектах. Вирусы-вандалы на фазе проявления наносят повреждения файловой системе, вносят ошибки в данные или нарушают работу ПК.

Кроме того, возможна латентная фаза, когда нет размножения и проявления. Это может быть обусловлено:

системным временем (пятница, 13-е);

конфигурацией (должен быть винчестер);

аппаратными особенностями (только на клонах IBM PC).

В качестве первичного носителя вируса, как правило, выступает дискета с игровыми программами или новыми популярными программами.

4. Симптомы заражения

Существуют определенные признаки, указывающие на заражение программы или диска вирусом:

изменение длины файлов и даты создания;

выдача сообщений типа “Write protect error” при чтении информации с защищенных от записи дискет;

замедление работы программ, зависание и перезагрузка;

уменьшение объема системной памяти и свободного места на диске без видимых причин;

появление новых сбойных кластеров, дополнительных скрытых файлов или других изменений файловой системы.

5. Вызываемые вирусом эффекты

По степени разрушительности вирусы можно условно разделить на два типа: “иллюзионисты” и “вандалы”.

“Иллюзионисты” демонстрируют экзотические звуковые и визуальные эффекты: осыпание букв, бегающие рожицы.

У “вандалов” главная задача - как можно более скрытое размножение с последующим разрушением информации (обычно FAT и форматирование диска).

Виды наносимого вирусом ущерба:

разрушение отдельных файлов, управляющих блоков или файловой системы в целом;

блокирование некоторых функций ОС типа загрузки (?) с дискеты;

выдача ложных, раздражающих или отвлекающих сообщений (например, “Скажи бебе”);

создание звуковых или визуальных эффектов;

имитация ошибок или сбоев в программе или операционной системе;

имитация сбоев аппаратуры (перевод части кластеров в сбойные на винчестере или на дискете, зависание ПК через некоторое время после включения и т.д.).

Наиболее опасны не катастрофические повреждения винчестера или дискет, а медленные постепенные изменения в файлах данных (например, перестановка цифр в числовых полях файлов DBF (Data Base File) = файл базы данных).

Большинство повреждений от вирусов относятся к информации, к данным. Повреждения оборудования почти не бывает. Здесь много слухов и домыслов. Например, ходят слухи о вирусах, вводящих в резонанс головки винчестера, или прожигающих дыры на экранах мониторов.

6. Общая классификация средств защиты от вирусов

вирус защита вредоносный программа

Для обеспечения своего функционирования вирусу достаточно лишь нескольких вполне обычных операций, используемых большинством обычных программ. Поэтому принципиально не может существовать универсальный метод, защищающий операционную систему от распространения любого вируса. Тем не менее, можно существенно затруднить задачу создания вируса, применяя специальные методы, как в самой ОС, так и используя дополнительные резидентные и нерезидентные средства защиты.

Простейшим средством защиты от вируса является программа, позволяющая составить список зараженных программ. Такая программа называется детектором. Он может быть и резидентным. В этом случае после загрузки программы он проверяет ее на зараженность и, если вирус не обнаружен, передает ей управление.

Вторым и наиболее распространенным средством защиты от вирусов являются так называемые фаги - программы, “выкусывающие” вирус из зараженной программы.

Полифаги рассчитаны на несколько типов вирусов. Они умеют распознавать и выкусывать вирусы, информация о которых в них уже заложена (SOS и Aidstest).

Третьим типом антивирусных программ являются резидентные программы-сторожа, контролирующие подозрительные действия запускаемых программ (например, попытку записи в определенный раздел или файл с расширением .COM или .EXE) и блокирующие их. Здесь наибольший практический интерес представляют дисковые драйверы, обеспечивающие возможность сегментации винчестера и присваивания отдельным разделам статуса READ ONLY. Например, драйвер ADM (Advanced Disk Manager) блокирует доступ к первой дорожке, содержащей загрузочные сектора.

Четвертый тип - это программы-ревизоры, которые подсчитывают контрольные суммы и другие параметры файлов и сравнивают их с эталонными. Этот вид контроля представляется наиболее надежным, так как позволяет выявить даже при наличии в оперативной памяти резидентного КВ, выявить все измененные программы, несмотря на то, что вирус может пытаться эти изменения замаскировать. Ревизоры также могут быть резидентными.

Наиболее изощренным типом антивирусных программ являются так называемые вакцины. Они делают вирус неспособным к размножению. Вакцины могут быть пассивными или активными. Пассивная вакцина представляет собой программу, которая обрабатывает файл или все файлы на диске таким образом, что проставляется признак, который вирус использует, чтобы отличить зараженные файлы. Например, некоторые вирусы дописывают в конец файла строку “Ms Dos”. Если искусственно дописать в конец всех файлов эту строку, то файлы заражаться не будут.

Активные вакцины являются резидентными программами, действие которых основано на имитации присутствия вируса в оперативной памяти. Поэтому они применяются против резидентных вирусов. Поливакцины имитируют наличие в оперативной памяти нескольких вирусов.

Аппаратные средства защиты - это специальные платы, вставляемые в компьютер. Вместе с соответствующей резидентной программой такая плата аппаратно блокирует пути инфекции. Загрузка с дискеты происходит только по паролю, подозрительные действия с дискетами и винчестером блокируются и на экран выдаются предупреждающие сообщения.

Размещено на Allbest.ru